Datum

Postbus 58285, 1040 HG Amsterdam

9 juni 2021
Ons kenmerk

Aan de minister van Sociale Zaken en Werkgelegenheid
De heer drs. W. Koolmees
Postbus 90801
2509 LV DEN HAAG

SBK/102594/RS
Pagina

1 van 2
Bijlagen

2

Onderwerp

Totaalrapportage Informatiebeveiliging Gezamenlijke elektronische Voorzieningen Suwi 2019

Geachte heer Koolmees,
Met deze brief bied ik, namens de ketenpartners in het Ketenoverleg GeVS de Totaalrapportage
Informatiebeveiliging Gezamenlijke elektronische Voorzieningen Suwi (GeVS) 2019 aan. Deze gaat
vergezeld van een inhoudelijke waardering in de vorm van conclusies en aanbevelingen,
geformuleerd door de Domeingroep Privacy & Beveiliging zoals deze ressorteert onder het
Ketenoverleg. De rapportage die wij normaal gesproken aan de staatssecretaris aanbieden, schetst
de stand van zaken van de informatiebeveiliging van de GeVS over 2019. Hieronder reageren wij
daarop.
Uit de rapportage blijkt dat er grote vooruitgang is geboekt en dat partijen waar nodig hard aan de
slag zijn gegaan met verbetermaatregelen. De totaalrapportage laat voor gemeenten en andere
afnemers een beeld zien dat steeds meer in lijn komt met de beveiligingsvereisten. Voor
gemeenten geldt dat met ingang van 2017 een nieuwe verantwoordingssystematiek is ingevoerd
(Eenduidige Normatiek Single Information Audit; ENSIA).
De afgelopen jaren is bij gemeenten veel aandacht besteed aan de bewustwording om de GeVS
veilig en zorgvuldig te gebruiken. VNG heeft het onderwerp opgenomen in nieuwsbrieven, een
handleiding over de zelfevaluatie en verantwoording gemaakt, en het onderwerp besproken tijdens
regiobijeenkomsten. Een aantal gemeenten heeft naar aanleiding van de vorige totaalrapportage
zelf contact opgenomen met de VNG om de punten die naar voren zijn gekomen te verbeteren.
De rapportage laat zien dat er door gemeenten grote stappen zijn gezet en dat het niveau van
informatiebeveiliging van de GeVS is verbeterd. Op alle normen is een afname van het aantal
bevindingen zichtbaar. Er zijn nog wel enkele punten die om actie vragen.
Bevindingen gemeenten
Met deze totaalrapportage is voor het derde jaar een volledig beeld geschetst van de mate waarin
is voldaan aan de door SZW geformuleerde normen voor afnemers van de GeVS. Over 2019
dienden 355 gemeenten verantwoording af te leggen. 99% van de gemeenten heeft
tijdig de verantwoording ingeleverd. Er zijn grote verbeteringen waar te nemen op het
gebied van informatiebeveiliging ten opzichte van vorig jaar.
Het valt op dat 82% (291) van de gemeenten voldoet aan het normenkader. Dit is een enorme
stijging ten opzichte van 2017 (46% | 173) en 2018 (79% | 273).
Verder valt op dat het totale aantal bevindingen bij het uitvoeren van de SUWI-taken is
teruggelopen van 646 (2017) naar 266 (2018) naar 233 (2019). De gemeenten hebben deze
uitdaging goed opgepakt en hebben veiligheid hoog in het vaandel staan.
Actie gemeenten (VNG)
Er is een grote stijging is te zien van gemeenten die volledig voldoen aan het normenkader.
Hiervoor spreken wij onze waardering uit naar deze gemeenten. Onze verwachting is dat andere
gemeenten ook snel zullen voldoen. De primaire verantwoordelijkheid om de verbeteringen door te

Pagina 2 van 2

voeren ligt bij de gemeenten zelf. De VNG ondersteunt gemeenten hierbij door het verstrekken van
informatie en het geven van ondersteuning op maat als een gemeente daar behoefte aan heeft. Op
deze manier draagt VNG bij aan het behalen van de stijgende lijn om volledig te voldoen aan het
normenkader.
VNG is actief in gesprek met de betrokken partijen om het groeipad van ENSIA-verantwoording
verder vorm te gegeven voor een eenduidige verantwoording, zodat de resultaten van gemeenten,
SVB en UWV ook beter te vergelijken zijn.
Bevindingen andere afnemers
Voor de andere 7 afnemers (SVB, UWV, IND, DUO, CAK, iSZW en dienst Justis) geldt in grote lijnen
de volgende procedure: bestuurders overleggen een in-control-verklaring, waarin bevindingen per
norm zijn opgenomen, met daarbij een assurance-rapport.
Eén van de afnemers heeft hiervoor uitstel gekregen, de anderen hebben zich tijdig volgens de
Verantwoordingsrichtlijn 2011, de Verantwoordingsrichtlijn 2019 of het UWV Auditreglement
verantwoord.
Drie van de zeven afnemers meldden geen bevindingen. Voor de drie afnemers met bevindingen
geldt dat door de verschillen in gehanteerde verantwoordingssystematiek de uitkomsten lastig te
vergelijken zijn. Ook zijn er grote verschillen in het gebruik (i.c. aantal opvragingen) dat de
afnemers van de GeVS maken.
Actie andere afnemers
Aan bevindingen zal aandacht besteed worden in de bij de afnemers gebruikelijke planning &
control-cyclus.
In de samenwerking tussen ketenpartners en SZW als stelselverantwoordelijke zetten partijen zich
voortdurend in om de informatiebeveiliging en daarmee o.a. de borging van de privacy op een nog
hoger peil te brengen. Met de totaalrapportage heeft de keten een instrument in handen om
proactief te acteren op basis van bevindingen uit de rapportage. Inmiddels is het voor veel
wettelijke taken noodzakelijk om (persoons-)gegevens te verwerken. Dit geldt in het bijzonder
voor het domein van Werk en Inkomen, waarbij ook sprake is van bijzondere persoonsgegevens en
kwetsbare doelgroepen. Het spreekt daarom voor zich dat informatiebeveiliging blijvend aandacht
van de ketenpartners heeft.
Hoogachtend,

Nathalie van Berkel
Lid Raad van Bestuur tevens voorzitter Ketenoverleg GeVS

Bijlagen:
- Totaalrapportage informatiebeveiliging GeVS 2019
- Conclusies en aanbevelingen van de Domeingroep Privacy & Beveiliging