Totaalrapportage informatiebeveiliging
Gemeenschappelijke elektronische
Voorziening Suwinet 2020
1. Managementsamenvatting
Dit jaar verschijnt de vierde Totaalrapportage sinds de invoering van de ENSIAverantwoordingssystematiek door de gemeenten. De Totaalrapportage gaat over de
informatiebeveiliging van de Gemeenschappelijke elektronische Voorziening Suwinet (hierna GeVS)
Met een respons van ruim 98% 1 bij gemeenten en 83% bij andere afnemers is de rapportage
representatief. De door een EDP-auditor opgestelde assurance-rapporten, die onderdeel uitmaken
van de transparantierapportage, garanderen de juistheid van de bevindingen.
De Totaalrapportage is betrouwbaar, omdat 346 van de 357 partijen 2 die van Suwinet-gebruik
maakten een bruikbare verantwoording hebben aangeleverd. In 2020 wordt voor het eerst over 14
BIO-normen verantwoording afgelegd in plaats van 12 normen die sectorspecifiek waren. Daarnaast
zijn gemeenten in 2020 voor het eerst geïnformeerd over de Suwi-producten die zij afnemen en de
taken waar die producten voor worden gebruikt. Dit heeft mogelijk invloed op het gedaalde
percentage gemeenten dat aan alle beveiligingsnormen voldoet.
Het aantal gemeenten dat aan alle gecontroleerde beveiligingsnormen voldoet ligt op 69,2% (in
2019: 82%, in 2018: 79,1%). Het aantal gemeenten dat in twee opeenvolgende jaren niet voldeed
aan 2 of meer normen, is 7. Het aantal gemeenten dat voor het derde opeenvolgende jaar 2 of meer
bevindingen heeft, is 16.
Het aantal andere afnemers, het gaat dan om UWV, SVB, DUO, CAK, IND en Dienst Justis, dat aan alle
gecontroleerde beveiligingsnormen voldoet is 33%. Omdat deze afnemers dit jaar voor het eerst zijn
opgenomen in deze rapportage kan geen vergelijking worden gemaakt met eerdere jaren.
Er kan voor 2020, in tegenstelling tot vorige jaren, geen vergelijking worden gemaakt tussen de
toename of afname van specifieke bevindingen op normen bij gemeenten. Met ingang van 2020
vervangen de normen uit de Baseline Informatiebeveiliging Overheid (BIO) namelijk de normen die in
1 Dit is inclusief gemeenten die een onvolledige of onduidelijke verantwoording hebben afgelegd.

2 351 Gemeenten hebben over 2020 een verantwoordingspverplichting. Daarvan hebben 5 gemeenten geen

verantwoording afgelegd en 5 een onvolledige/onduidelijke verantwoording. Daarnaast hadden 6 andere afnemers een
verantwoordingsverplichting te weten; UWV, SVB, DUO, CAK, IND, Dienst Justis. Van deze partijen heeft 1 partij geen
verantwoording afgelegd.

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 1 van 9

het programma ‘Borging Veilige Gegevensuitwisseling via Suwinet’ zijn opgesteld. Daarmee is het
aantal normen in aantal toegenomen en zijn de normen inhoudelijk niet meer goed met elkaar te
vergelijken. In de rapportage over verantwoordingsjaar 2021 zal de vergelijking tussen
verantwoordingsjaar 2020 en 2021 wel (kunnen) worden gemaakt.
Het aantal meldingen van onrechtmatig gebruik van Suwinet, bijvoorbeeld voor schuldhulpverlening
is gestegen van 1 naar 6.
De Domeingroep Privacy & Beveiliging stelt een aparte notitie op voor het Ketenoverleg. In die
notitie staan conclusies en aanbevelingen bij deze Totaalrapportage.

2. Inleiding
Deze rapportage bevat een overzicht van de stand van de informatiebeveiliging van de GeVS in 2020
bij 351 3 gemeenten en 6 andere afnemers 4 . BKWI stelt deze rapportage samen op verzoek van het
Ministerie van Sociale Zaken en Werkgelegenheid.
Gemeenten leggen verantwoording af over de informatiebeveiliging volgens de ENSIA-systematiek 5 .
Deze verantwoording is primair gericht aan de Gemeenteraad als horizontale toezichthouder, maar
het gedeelte dat betrekking heeft op de GeVS wordt, voorzien van een assurance-rapport van een
EDP-auditor, ook doorgestuurd aan BKWI. Die informatie gebruikt BKWI om de Totaalrapportage op
te stellen. Deze rapportage wordt met de eerdergenoemde conclusies en aanbevelingen van de
domeingroep en een bestuurlijke reactie namens de Suwi-partijen door het Ketenoverleg naar de
minister van SZW wordt verstuurd.

3. Scope van de rapportage
De rapportage heeft betrekking op de informatiebeveiliging bij de gebruikers (afnemers) van
Suwinet. Er dienden 351 gemeenten en 6 andere afnemers verantwoording af te leggen over 2020.
Deze 6 andere afnemers zijn in 2020 voor het eerst opgenomen in de rapportage. Het gaat dan om
UWV, SVB, DUO, CAK, IND en Dienst Justis. Met ingang van verantwoordingsjaar 2020 is de Baseline
Informatiebeveiliging Overheid (BIO) voor alle partijen het uitgangspunt voor de rapportage.
Daardoor wordt de Totaalrapportage uniformer. Over 2019 konden andere afnemers dan gemeenten
zich nog verantwoorden op basis van de Verantwoordingsrichlijn 2011 waardoor een vergelijking niet
goed mogelijk was. Gemeenten en andere afnemers leggen verantwoording af over de normen in
tabel 1

3 Er zijn 355 gemeenten in 2021, maar 4 gemeenten hoeven geen verantwoording af te leggen in verband met herindeling
4 Bronnen en beheerders leggen geen verantwoording af. Dat is vastgelegd in de Verantwoordingsrichtlijn.
5 Zie www.ensia.nl.

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 2 van 9

Tabel 1: De 14 beveiligingsnormen BIO voor Suwinet
Norm

Onderwerp

5.1.1

Beleidsregels voor informatiebeveiliging

5.1.2

Beoordeling van het informatiebeveiligingsbeleid

6.1.1

Rollen en verantwoordelijkheden bij informatiebeveiliging

6.1.2

Scheiding van taken

7.2.2

Bewustzijn, opleiding en training ten aanzien van de
informatiebeveiliging

9.2.1

Registratie en afmelden van gebruikers

9.2.2

Gebruikers toegang verlenen

9.2.5

Beoordeling van toegangsrechten van gebruikers

9.2.6

Toegangsrechten intrekken of aanpassen

10.1.1

Beleid inzake het gebruik van cryptografische beheersmaatregelen

12.1.1

Gedocumenteerde bedieningsprocedures

12.4.1

Gebeurtenissen registreren

12.4.2

Beschermen van informatie in logbestanden

18.1.4

Privacy en bescherming van persoonsgegevens

De komende jaren blijft er één belangrijk verschil in de verantwoording tussen gemeenten en andere
afnemers: gemeenten verantwoording zich alleen over opzet en bestaan van de
informatiebeveiligingsmaatregelen, de andere afnemers verantwoorden zich ook over de werking
daarvan. Er is op dit moment overleg tussen BZK en SZW over de termijn waarop de gemeenten zich
ook over werking gaan verantwoorden.
Onderwerp van de verantwoording is – voor alle afnemers - het veilige gebruik van Suwinet Inkijk,
Suwinet Inlezen en/of DKD Inlezen.
Gemeenten gebruiken Suwinet voor SUWI-taken en niet-SUWI-taken. Bij de SUWI-taken gaat het dan
om de uitvoering van de Participatiewet, de IOAW en de IOAZ. Bij niet-SUWI-taken gaat het om het

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 3 van 9

gebruik van Suwinet voor RMC 6 -taken, beslaglegging door een gemeentelijke belastingdeurwaarder
of adresonderzoek door een afdeling Burgerzaken.
De verhouding van het aantal raadplegingen voor SUWI-taken ten opzichte van niet-SUWI-taken is
ongeveer 97:3.
Andere afnemers gebruiken Suwinet alleen voor taken die wettelijk zijn vastgesteld in relevante
wetgeving als bijvoorbeeld de Zorgverzekeringswet of Vreemdelingenwet .

4. Voor wie is deze rapportage bestemd?
De Totaalrapportage is gericht aan het Ketenoverleg en aan de minister van SZW als
verantwoordelijke voor het SUWI-stelsel.

5. Wat is het doel van deze rapportage?
Volgens Bijlage I, paragraaf 2.3 van de Regeling SUWI bepalen de Suwi-partijen “één gezamenlijk,
transparant en uniform niveau van betrouwbaarheid in termen van beschikbaarheid, integriteit en
vertrouwelijkheid” dat wordt vastgelegd in een verantwoordingsrichtlijn.
Die transparantie is als volgt geregeld:
•

Individuele afnemers stellen een z.g. transparantierapportage op en richten die aan BKWI

•

BKWI maakt op basis hiervan een totaalrapportage voor het Ketenoverleg en de minister van
Sociale Zaken en Werkgelegenheid

De Totaalrapportage geeft een samenvattend beeld van alle ontvangen transparantierapportages
van gemeenten en een samenvattend beeld van de andere afnemers. De Totaalrapportage beschrijft
de feitelijke stand van zaken van de informatiebeveiliging van de GeVS. De rapportage over de
bevindingen van normen is geaggregeerd. Bevindingen zijn dus niet te herleiden tot individuele
organisaties.
Het verkregen overzicht dient voor de ketenpartijen om het gezamenlijke gerealiseerde niveau van
beveiliging te analyseren en waar nodig ondersteunende verbetermaatregelen te nemen.
De Domeingroep Privacy & Beveiliging voorziet de Totaalrapportage van conclusies en
aanbevelingen, voordat die aan het Ketenoverleg wordt voorgelegd.
UWV, SVB en VNG formuleren hierop namens het Ketenoverleg een reactie en besluiten gezamenlijk
over eventuele maatregelen om die aanbevelingen uit te voeren. Het geheel wordt door de
voorzitter van het Ketenoverleg aangeboden aan de minister van SZW.

6 RMC: Regionaal Meld- en Coördinatiepunt Vroegtijdige Schoolverlaters

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 4 van 9

Op basis van deze rapportage kan de minister van SZW interveniëren als blijkt dat de voortgang van
individuele gemeenten bij het nemen van verbetermaatregelen onvoldoende is. Dit doet het
ministerie op basis van het Interventieprotocol Suwinet ENSIA 2018.
De andere afnemers volgen een vergelijkbare procedure, die is geregeld in de
Verantwoordingsrichtlijn Informatiebeveiliging GeVS. Deze afnemers leveren een In-controlverklaring aan.

6. Hoe is deze rapportage tot stand gekomen?
Voor gemeenten
Voor gemeenten is met ingang van 2017 een nieuwe verantwoordingssystematiek ingevoerd met de
naam ENSIA 7 , wat staat voor Eenduidige Normatiek Single Information Audit.
Volgens deze systematiek evalueren gemeenten hun informatiebeveiliging met behulp van een
vragenlijst, die gebaseerd is op de BIG 8 . Burgemeester en wethouders stellen op basis van een deel
van de vragen een in-control-verklaring op, de “collegeverklaring”, die wordt voorzien van een
assurance-rapport van een EDP-auditor. De in-control-verklaring bevat een bijlage, waarin eventuele
bevindingen (‘bevindingen”) van de getoetste beveiligingsnormen worden gespecificeerd.
Deze stukken zijn in eerste instantie bedoeld voor horizontale verantwoording aan de gemeenteraad,
maar geven ook inzicht in de toepassing van 14 normen uit BIO. Dat maakt ze geschikt voor verticale 9
verantwoording aan de minister van SZW.
Gemeenten hebben zich in 2021 via ENSIA over het verantwoordingsjaar 2020 verantwoord over
SUWI-taken (taken die worden uitgevoerd in het kader van de Participatiewet) en niet-SUWI-taken
(gebruik van Suwinet voor RMC-taken 10 , burgerzaken en belastingdeurwaarders).
Gemeenten dienden de stukken uiterlijk op 1 juni aan te leveren (één maand later dan voorgaande
jaren in verband met de coronacrisis). Vijf van de 351 verantwoordingsplichtige gemeenten hebben
tot op heden geen verantwoording aangeleverd. Deze gemeenten zijn bekend bij het ministerie van
SZW. Ter vergelijking: vorig jaar ontbraken er ook 5 verantwoordingen. Vijf gemeenten hebben een
onduidelijke of onvolledige verantwoording ingeleverd. Om te voorkomen dat de totaalrapportage
onbetrouwbaar wordt is de informatie van deze gemeenten niet verwerkt.
De gemeenten die twee jaar achter elkaar meer dan twee bevindingen hebben gemeld, zullen door
het ministerie worden benaderd conform het Interventieprotocol. Ook gemeenten die drie
7 Voor meer informatie: www.ensia.nl.

8 Baseline Informatiebeveiliging Gemeenten

9 Een van de doelen van ENSIA is namelijk om horizontale en verticale verantwoording te combineren en daarmee de

verantwoordingslast voor gemeenten zoveel mogelijk te beperken.

10 Regionale Meld- en Coördinatiefunctie voortijdig schoolverlaten

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 5 van 9

opeenvolgende jaren bevindingen hebben zullen door het ministerie van SZW worden benaderd
conform dit protocol.

Voor andere afnemers
Voor de 6 andere afnemers geldt in grote lijnen dezelfde procedure: bestuurders dienen een incontrol-verklaring te overleggen, waarin bevindingen per norm zijn opgenomen, met daarbij een
assurance-rapport.
Één afnemer heeft geen verantwoording afgelegd. De anderen hebben zich tijdig volgens de
Verantwoordingsrichtlijn 2020 verantwoord.
Aan eventuele bevindingen bij deze afnemers zal aandacht besteed worden in de bij de afnemer
gebruikelijke planning & control-cyclus.

Geen weging en interpretatie
BKWI past geen weging toe op de informatie die afnemers aanleveren. De informatie die afnemers
aanleveren over de normnaleving wordt één op één overgenomen en BKWI houdt bij het opstellen
van deze rapportage ook geen rekening met eventuele interpretatieverschillen van de normen. Om
de betrouwbaarheid van de rapportage te garanderen wordt een onduidelijke of onvolledige
verantwoording van een afnemer niet verwerkt.

Betrouwbaarheid van de Totaalrapportage
Om betrouwbaar te zijn moet de rapportage representatief zijn en moeten de gemelde bevindingen
juist zijn. Met een respons van ruim 98% 11 bij gemeenten en 83% bij andere afnemers is de
rapportage representatief. De door een EDP-auditor opgestelde assurance-rapporten, die onderdeel
uitmaken van de transparantierapportage, garanderen de juistheid van de bevindingen.

11 Dit is inclusief gemeenten die een onvolledige of onduidelijke verantwoording hebben afgelegd.

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 6 van 9

7. Wat zegt deze rapportage over de stand van de
informatiebeveiliging bij de afnemers?
Aantallen bevindingen op SUWI-taken per gemeente 2017-2020
Tabel 2 geeft aan hoeveel gemeenten géén bevindingen hebben gerapporteerd bij de uitvoering van
SUWI-taken en bij hoeveel gemeenten er 1, 2, 3 of meer bevindingen waren in de
verantwoordingsjaren 2017-2020.
Tabel 2: aantal en percentage bevindingen Suwi-taken 2017-2020
2020

2019

2018

2017

Aantal bevindingen

#
Gemeenten

%

#
Gemeenten

%

#
Gemeenten

%

#
Gemeenten

%

0
1
2
3
4 of meer
Verantwoording
ontbreekt/onduidelijk
Totaal

243
36
23
7
32
10

69,2 %
10,3%
6,5%
2%
9,1%
2,8%

291
10
13
7
29
5

82,0%
2,8%
3,7%
2,0%
8,2%
1,7%

273
15
17
8
29
3

79,1%
4,3%
4,9%
2,3%
8,4%
0,9%

170
55
39
36
63
15

45,8%
14,6%
10,3%
9,5%
16,7%
3,2%

351

100%

355

100%

345

100%

378

100%

Aantallen bevindingen van normen bij andere afnemers 2020
In de tabel 3 staat hoeveel andere afnemers geen bevindingen hebben geconstateerd en bij hoeveel
afnemers er 1,2,3 of meer bevindingen waren over verantwoordingsjaar 2020.
Tabel 3: aantal en percentage bevindingen 2020
Aantal bevindingen

# Afnemers

%

0

2

33,3%

1

1

16,6%

3

1

16,6%

4 of meer

1

16,6%

Verantwoording
ontbreekt

1

16,6%

Totaal

6

100%

2

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 7 van 9

Verloop bevindingen gemeenten
Er zijn 7 gemeenten die in 2020, 2019 en 2018 meer dan 2 bevindingen hebben op Suwi-taken en
niet-Suwi-taken. Deze gemeenten zullen worden benaderd door het ministerie van SZW in het kader
van het interventieprotocol. Er zijn 16 gemeenten die in 2020 en 2019 meer dan 2 bevindingen
hebben op Suwi-taken en niet-Suwi-taken. Ook deze gemeenten zullen benaderd worden door het
ministerie van SZW.

Bevindingen van normen bij gemeenten
Tabel 4 geeft per norm aan hoe vaak daarvan afgeweken is bij het gebruik van de GeVS voor SUWItaken en de drie niet-SUWI-taken. De norm waarbij de meeste bevindingen op Suwi-taken zijn
geconstateerd staat bovenaan, de norm met de minste bevindingen op Suwi-taken staat onderaan.
Hierbij moet worden opgemerkt dat een beperkt aantal gemeenten gebruik maakt van Suwinet voor
niet-SUWI-taken. Voor RMC-taken zijn dat er bijvoorbeeld maar 39.
Tabel 4: afwijking per norm bij gemeenten per taak in verantwoordingsjaar 2020
Norm

RMC 13

GBD 14

BZ 15

Omschrijving norm

9.2.5
18.1.4
7.2.2

SUWItaken 12
40
38
37

1
0
0

0
0
2

9
7
7

Beoordeling van toegangsrechten van gebruikers

12.4.1
12.4.2
6.1.2
10.1.1

33
26
22
22

0
0
0
0

0
1
0
0

4
4
1
1

9.2.6
9.2.2
9.2.1
12.1.1
5.1.2
5.1.1
6.1.1

18
16
15
14
13
11
8

1
0
0
0
1
0
0

0
0
0
0
1
1
0

5
2
2
1
2
4
1

Privacy en bescherming van persoonsgegevens
Bewustzijn, opleiding en training ten aanzien van
de informatiebeveiliging
Gebeurtenissen registreren
Beschermen van informatie in logbestanden
Scheiding van taken
Beleid inzake het gebruik van cryptografische
maatregelen
Toegangsrechten intrekken of aanpassen
Gebruikers toegang verlenen
Registratie en afmelden van gebruikers
Gedocumenteerde bedieningsprocedures
Beoordeling van het informatiebeveiligingsbeleid
Beleidsregels voor informatiebeveiliging
Rollen en verantwoordelijkheden bij
informatiebeveiliging

12 Het gaat hier om de uitvoering van de Participatiewet. Deeltaken, zoals de toetsing van aanvragen en sociale recherche,

zijn soms bij verschillende organisaties belegd.

13 RMC staat voor Regionale Meld- en Coördinatiepunten Vroegtijdige Schoolverlaters. Zij gebruiken Suwinet voor taken die

niet in de SUWI-wetgeving zijn geregeld. Dat wordt in deze context een niet-SUWI-taak genoemd.

14 BD staat voor Gemeentelijke Belastingdeurwaarders. Zij gebruiken Suwinet ook voor niet-SUWI-taken.
15 BZ staat voor Afdelingen Burgerzaken. Zij gebruiken Suwinet ook voor niet-SUWI-taken.

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 8 van 9

Totaal

313

3 16

5

50

Bevindingen van normen bij andere afnemers
Onderstaande tabel geeft per norm aan hoe vaak daarvan afgeweken is bij het gebruik van de GeVS
voor taken bij andere afnemers. De norm waarbij de meeste afwijkingen zijn geconstateerd staat
bovenaan.
Tabel 5: afwijking per norm bij andere afnemers in verantwoordingsjaar 2020
Norm

# afwijkingen

12.4.1
5.1.1
18.1.4
5.1.2
6.1.1
6.1.2
7.2.2
9.2.1
9.2.2
9.2.5
9.2.6
10.1.1
12.1.1
12.4.2

3
2
2
1
1
1
1
1
1
1
1
1
1
1

Totaal

18

Omschrijving norm
Gebeurtenissen registreren
Beleidsregels voor informatiebeveiliging
Privacy en bescherming van persoonsgegevens
Beoordeling van het informatiebeveiligingsbeleid
Rollen en verantwoordelijkheden bij informatiebeveiliging
Scheiding van taken
Bewustzijn, opleiding en training ten aanzien van de informatiebeveiliging
Registratie en afmelden van gebruikers
Gebruikers toegang verlenen
Beoordeling van toegangsrechten van gebruikers
Toegangsrechten intrekken of aanpassen
Beleid inzake het gebruik van cryptografische beheersmaatregelen
Gedocumenteerde bedieningsprocedures
Beschermen van informatie in logbestanden

Onrechtmatig gebruik Suwinet bij gemeenten
Voor het gebruik van Suwinet is een wettelijke grondslag noodzakelijk. Voor de hierboven
beschreven SUWI- en niet-SUWI-taken is die er ook. In tabel 6 staat het verloop van het aantal
gemeenten dat heeft gemeld dat Suwinet ook gebruikt wordt voor taken waarvoor geen wettelijke
grondslag bestaat. Het gaat daarbij vooral om de inzet van Suwinet bij taken rondom
schuldhulpverlening en jeugdzorg. Deze gemeente is namens de minister van SZW schriftelijk
verzocht dit gebruik te beëindigen.
Tabel 6: verloop aantal meldingen gebruik Suwinet zonder wettelijke grondslag
2018

2019

2020

13

1

6

16 Het aantal bevindingen is hier laag, net als in de volgende kolom, omdat er maar een beperkt aantal gemeenten hiervoor

Suwinet gebruikt.

Totaalrapportage informatiebeveiliging 2020 voor Stand van de uitvoering (003) - 9 van 9