Datum

Postbus 58285, 1040 HG Amsterdam

21 november 2023
Ons kenmerk

Aan de minister van Sociale Zaken en Werkgelegenheid
Postbus 90801
2509 LV DEN HAAG

Pagina

1 van 2
Bijlage(n)

2

Onderwerp

Totaalrapportage Informatiebeveiliging Gezamenlijke elektronische Voorzieningen SUWI

Geachte minister,
Hierbij ontvangt u de Totaalrapportage Informatiebeveiliging Gezamenlijke elektronische
Voorzieningen SUWI (GeVS) over het rapportagejaar 2022. De rapportage verschaft inzicht in de
mate waarin de organisaties die de GeVS gebruiken, voldoen aan de normen voor veilige omgang
met de voorzieningen. Het betreft 14 normen uit de Baseline Informatiebeveiliging Overheid (BIO).
Onderstaand treft u de bestuurlijke reactie namens de drie verantwoordelijke partijen in het
Ketenoverleg, waarbij eveneens de bevindingen zijn betrokken van de domeingroep Privacy &
Beveiliging GeVS.
De respons ligt dit jaar met ruim 99% bij gemeenten en 86% bij de niet-gemeentelijke
organisaties1 voor die laatste groep lager dan vorig jaar. Desondanks geeft de rapportage o.i. een
representatief beeld. In totaal hebben 339 van de 341 organisaties zich verantwoord. Door o.a.
gemeentelijke herindeling is het totaal aantal organisaties gedaald van 359 in 2021 naar 341 in
2022.
Voor de gemeenten geldt dan dat een groter percentage (78,6%) aan alle normen voldoet waar
het de opzet en het bestaan ervan betreft. Over 2021 lag dat percentage op 71,6%. Er is daarmee
weer sprake van een verbetering.
Voor de niet-gemeentelijke organisaties geldt dat geen van de organisaties voldoet aan alle
normen. Dit percentage lag over 2022 op 28,6%. Daarmee is er sprake van een verdere
verslechtering. Kanttekening hierbij is dat de niet-gemeentelijke organisaties zich naast de opzet
en het bestaan ook verantwoorden over de werking van de beveiligingsmaatregelen.
Positief punt in de rapportage is de aanhoudende daling van het aantal meldingen van
onrechtmatig gebruik van 2 over 2021 naar geen enkele over 2022.
Verbetering gemeenten
Het aantal gemeenten dat aan alle normen voldoet is ten opzichte van 2021 weer licht gestegen.
2020 was het jaar van de overgang op een ander normenkader hetgeen leidde tot een kortstondige
daling. 2022 is het derde jaar waarin verantwoord wordt op basis van de BIO-normen en dat toont
aanhoudende verbetering bij de gemeenten.
Punt van aandacht voor gemeenten blijft de verantwoording over gebruik van de GeVS voor nietSUWI taken. Ook daarover moeten een aantal gemeenten zich verantwoorden maar 44 gemeenten
hebben zich er niet over verantwoord.
Verder geldt voor de gemeenten dat de mogelijkheid van de toets op werking van de
beveiligingsmaatregelen wordt onderzocht in het kader van de Eenduidige Normatiek Single
Information Audit (ENSIA).

1

UWV, SVB, DUO, CAK, IND, Dienst Justis en de Arbeidsinspectie (Inspectie SZW)

Pagina

2 van 2

Verslechtering niet-gemeentelijke organisaties
Over 2022 zien we helaas verdere verslechtering in de compliancy bij deze groep gebruikers. Het
totaal aantal bevindingen is gestegen van 25 in 2021 naar 43 in 2022. De geconstateerde
verslechtering vraagt uw attentie.
Gegeven het geringe aantal niet-gemeentelijke organisaties (in vergelijking met de gemeenten)
constateren we verhoudingsgewijs een groot aantal afwijkingen van de norm. We merken hierbij
wel op dat de niet-gemeentelijke organisaties zich over zowel opzet, bestaan als werking van de
maatregelen verantwoorden. Dat laat onverlet dat het grootste deel van die organisaties meerjarig
niet voldoet aan alle normen. Dit vergt o.i. uw nadrukkelijke aandacht en wij verzoeken u derhalve
om als stelselverantwoordelijke alle niet-gemeentelijke organisatie erop aan te spreken en
daarnaast de werking van het interventieprotocol te verbreden zodat het ook deze organisaties
omvat.
Waardering
Tot slot vinden wij het passend om onze waardering uit te spreken voor alle gemeenten die
(blijvend) aan alle normen voldoen.
Hoogachtend,

Lid Raad van Bestuur UWV tevens voorzitter Ketenoverleg

Bijlage(n)
- Totaalrapportage Informatiebeveiliging GeVS
- Aanbevelingen Domeingroep Privacy en Beveiliging