Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2008–2009

26 448

Structuur van de uitvoering werk en inkomen
(SUWI)

Nr. 402

BRIEF VAN DE STAATSSECRETARIS VAN SOCIALE ZAKEN EN
WERKGELEGENHEID
Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 4 juni 2009
Hierbij informeer ik u over de uitkomsten van een door mijn voorganger
geïnitieerd onderzoek naar de informatiebeveiliging binnen de Suwi-keten
bij met name gemeenten. Het onderzoek is uitgevoerd door de inspectie
werk en inkomen (IWI).1
IWI is van oordeel dat de informatiebeveiliging van Suwi-net in de Suwiketen niet op orde is. De gemeenten vormen daarbij de zwakste schakel.
Onderstaand volgt een nadere toelichting op het oordeel van IWI, inclusief
daarbij de door mij te ondernemen en ondernomen acties.
Binnen het Suwi-keten worden tussen de Suwi-partijen (UWV, SVB en
gemeenten) gegevens uitgewisseld op een daartoe door de minister van
SZW aangewezen (gesloten) netwerk (Suwi-net). Het planmatig zorgdragen voor de beveiliging van Suwi-net op basis van een beveiligingsplan is daarbij wettelijk voorgeschreven (art. 6.4 regeling Suwi). UWV en
SVB zijn verplicht zich jaarlijks over de beveiliging van hun aandeel op
Suwi-net aan de minister van SZW verantwoorden. Gemeenten hebben
wel dezelfde verplichting tot beveiliging, maar kennen, zoals u weet, een
andere bestuurlijke verantwoordingsplicht.

Ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer.

Het niveau van informatiebeveiliging binnen de keten van werk en
inkomen wordt jaarlijks beoordeeld en aan SZW gemeld. De ZBO’s
hebben daarbij zoals gezegd een verantwoordingsplicht aan de minister.
Als zodanig maakt hun informatie beveiliging integraal onderdeel uit van
de jaarplancyclus en is goed zicht op de stand van zaken bij de ZBO’s. Zij
dragen naar tevredenheid zorg voor de beveiliging van hun aandeel op
Suwi-net. Het voldoen aan art. 6.4. regeling Suwi bij de gemeenten werd
daarbij in de regel steekproefsgewijs vastgesteld. Toen bij herhaling
bekend werd dat gemeenten in gebreke waren, is door SZW, BKWI en
Divosa/CP-ICT het nodige gedaan om gemeenten te stimuleren alsnog te
voldoen aan hun wettelijke plicht. Zo zijn onder andere voorbeeldplannen
en handleidingen beschikbaar gesteld en eenvoudig te downloaden van

KST131838
0809tkkst26448-402
ISSN 0921 - 7371
Sdu Uitgevers
’s-Gravenhage 2009

Tweede Kamer, vergaderjaar 2008–2009, 26 448, nr. 402

1

1

de BKWI-site. Ook is inzichtelijk gemaakt wie waar wanneer welke gegevens heeft geraadpleegd middels zgn. log-files. Deze log-files zijn bij BKWI
op te vragen en worden ook maandelijks toegestuurd aan betrokken
partijen (naar uit het onderzoek van IWI blijkt, vormen de log-files een
goed instrument om te controleren op onrechtmatig gebruik van Suwinet. Ook blijkt dat daar maar sporadisch gebruik van wordt gemaakt).
Daarnaast draagt Divosa/CP-ICT zorg voor bewustwording en training.
Een en ander heeft geleid tot een zekere voortgang over de jaren.
Momenteel, zo blijkt uit het rapport, beschikt slechts 78% van de
gemeenten over een beveiligingsplan. Dit moet 100% zijn. Zeker nu integrale e-dienstverlening in opkomst is. Partijen moeten er in dat licht
immers op kunnen vertrouwen dat correct omgegaan wordt met door hen
aangeleverde gegevens. Ik zal daarom de colleges van B&W van de ingebreke zijnde gemeenten als zodanig aanschrijven. In die brief zal ik het
nationale belang van een goed (werkend) beveiligingsplan onder de
aandacht brengen en het college een termijn van vier maanden gunnen
waarbinnen een door de gemeenteraad geaccordeerd beveiligingsplan bij
mij moet zijn ingediend. Daarbij zal ik opmerken dat, indien blijkt dat een
gemeente na verloop van de door mij gestelde termijn nog steeds in
gebreke is, ik over zal gaan tot aanwending van de aanwijzingsbevoegdheid op grond van artikel 10–3 wet Suwi. Daarbij kan gedacht
worden aan inzet van externen om de beveiliging goed in te regelen bij de
gemeente op kosten van die betreffende gemeente.
Geen eisen worden gesteld op basis van wet ten aanzien van de vorm of
kwalitatieve invulling van het beveiligingsplan. Het is aan betrokken
(SUWI-) partijen onderling daar, in acht nemende de algemene
beveiligingskaders en uitgangspunten, normen over af te spreken. Dit
heeft geresulteerd in een kwalitatief hoogstaande Verantwoordingsrichtlijn voor de EDP-audit van de beveiliging Suwi-net.
IWI constateert op basis van de normen zoals door de Suwi-partijen gezamenlijk geformuleerd in de Verantwoordingsrichtlijn dat vrijwel geen
enkel plan van gemeenten voldoet aan de normen. Daarbij dient opgemerkt te worden dat, hoewel het in de rede ligt dat een beveiligingsplan
voor wat betreft de kwaliteit voldoet aan de normen uit de Verantwoordingsrichtlijn, ervaring leert dat bij toepassing van een dergelijk normenkader in redelijkheid en billijkheid rekening moet worden gehouden met
de omvang van de gemeentelijke organisatie. Momenteel wordt in die zin
gewerkt aan een gemeentelijke variant op het bestaande normenkader. De
regio-coaches van Divosa/CP-ICT zullen de uitkomsten van deze ontwikkeling onder de aandacht brengen van de gemeenten. Ook zullen zij de
ingebreke zijnde gemeenten ondersteunen bij het uitvoering gegeven aan
art 6.4 regeling Suwi.
Ik heb, op basis van voorgaande, goede verwachting dat alle in gebreke
zijnde gemeenten binnen afzienbare termijn de beveiliging voor Suwi-net
op orde zullen hebben.
De staatssecretaris van Sociale Zaken en Werkgelegenheid,
J. Klijnsma

Tweede Kamer, vergaderjaar 2008–2009, 26 448, nr. 402

2