Interventieprotocol Suwinet ENSIA
Vastgesteld door de Staatssecretaris van Sociale Zaken en Werkgelegenheid op 23 april 2018
Reikwijdte
Dit protocol beschrijft de wijze waarop door de minister van SZW gehandeld zal worden bij het niet
voldoen aan de verantwoordingsplicht of het niet naleven van het normenkader t.a.v. Suwinet door
gemeenten. Het protocol heeft tevens werking op UWV en SVB, waarvoor hetzelfde juridische
kader geldt, inclusief aanwijzingsbevoegdheid. De verantwoording over de Suwi-normen door UWV
en SVB valt echter samen met de reguliere P&C-cyclus, waardoor er geen aparte procedure hoeft
te worden opgesteld. Eventuele interventies zullen dan ook via de instrumenten uit de P&C-cyclus
vorm krijgen, zoals de dechargebrief n.a.v. het jaarverslag.
Interventieladder:
1. Attentiebrief
2. Ambtelijk overleg
3. Voornemen tot aanwijzing
4. Aanwijzing
5. Onderzoek inspectie
6. Zelf in de zaak voorzien
7. Afsluiten Suwinet
Toelichting
1. Attentiebrief
De verantwoording is in eerste instantie gericht aan de gemeenteraad, het horizontale c.q.
primaire toezicht. Het ligt zodoende voor de hand om deze toezichthouder eerst zelf actie te
laten ondernemen indien de verantwoording ontoereikend blijkt. Indien direct opgeschaald zou
worden naar het niveau van de verticale toezichthouder, krijgt de horizontale toezichthouder
immers niet de kans zijn rol en verantwoordelijkheid te nemen. Het is daarnaast echter wel
wenselijk om duidelijk te maken dat de verticale toezichthouder het niet voldoen aan alle
normen heeft opgemerkt. Dit is om haar rol te kunnen pakken indien de horizontale
toezichthouder, de gemeenteraad, niet in staat is de normnaleving te herstellen. Hiertoe wordt
een generieke brief verzonden met de strekking dat niet aan de normen voldaan wordt en
verwacht wordt dat de gemeente in het daaropvolgende jaar voldoet aan de Suwinormen.
2. Ambtelijk overleg
Mocht in het verantwoordingsjaar volgend op de niet toereikende verantwoording blijken dat
wederom de normen niet nageleefd worden, dan volgt ambtelijk overleg tussen de
desbetreffende gemeente en SZW. Dit overleg kan face-to-face en telefonisch plaatsvinden.
Hierin worden afspraken gemaakt over de wijze waarop normnaleving wordt hersteld en welke
maatregelen zijn genomen om herhaling te voorkomen. Indien nodig kan aan de gemeente een
door een auditor gecertificeerd plan van aanpak gevraagd worden. Daarin wordt de
maatregelen waarmee normnaleving hersteld wordt omschreven en van een oordeel door een
auditor voorzien over de mate waarin de te treffen maatregelen effectief zijn om normnaleving
te herstellen.
3. Vooraankondiging tot aanwijzing
Als eerdere interventies geen effect hebben gehad, ontvangt de desbetreffende gemeente een
voornemen tot aanwijzing. Hierin krijgt de gemeente, afhankelijk van de norm die niet
nageleefd worden, een hersteltermijn van 4 tot 12 weken. Als normherstel heeft
plaatsgevonden, bevestigt het college van burgermeester en wethouders dit middels een door
het college ondertekende verklaring aan de Minister van SZW. Dit is dus een aanvullende c.q.
alternatieve collegeverklaring. Een audit hierop is niet vereist. Indien nodig kan aan de
gemeente een door een auditor gecertificeerd plan van aanpak gevraagd worden. Daarin
worden de maatregelen waarmee normnaleving hersteld wordt omschreven en van een oordeel
door een auditor voorzien over de mate waarin de te treffen maatregelen effectief zijn om
normnaleving te herstellen.
1

4. Aanwijzing
Gemeenten die de normnaleving na het voornemen tot aanwijzing niet hersteld hebben,
worden door de Minister aangewezen. Zij ontvangen een aanwijzing om tot normherstel te
komen. Deze gemeenten krijgen, afhankelijk van de norm overtreding, 4 tot 12 weken de tijd
normnaleving te herstellen. Als normherstel heeft plaatsgevonden, bevestigt het college van
burgemeester en wethouders dit middels een door het college ondertekende verklaring aan de
Minister van SWZ. Deze verklaring is voorzien van een getrouw beeldverklaring door een EDPauditor.
5. Zelf in de zaak voorzien
Indien een gemeente na de aanwijzing nog steeds niet aan de normen voldoet, volgt de stap
waarin de Minister zelf in de zaak gaat voorzien. Dit omvat het aanstellen van een externe
consultant die op kosten van de gemeente voor normherstel zal zorgen. Hij onderneemt de
benodigde acties om de gemeente aan alle Suwinormen te laten voldoen. Deze interventie
eindigt pas als de gemeente heeft aangetoond middels een college verklaring met audit dat aan
alle Suwinormen wordt voldaan.
6. Onderzoek Inspectie SZW
In alle gevallen en in elke fase kan de Minister besluiten een onderzoek door de inspectie SZW
te starten bij een individuele gemeente, samenwerkingsverband of het stelsel.
7. Afsluiting Suwinet
Het afsluiten van Suwinet kan aan de orde zijn indien het vermoeden bestaat dat door ernstige
miststanden en het niet voldoen aan de Suwi normen de privacy van een grote groep
Nederlanders in gevaar is, bijvoorbeeld door een grote kans op datalekken. Ook kan afsluiting
noodzakelijk zijn indien een gemeente zich blijft verzetten en weigert aan de normen te
voldoen. Afsluiting is echter een ‘ultimum remedium’ dat niet alleen bestraffende werkt voor de
gemeente, maar ook burgers en andere overheidsorganisaties ernstig hindert.
Samenwerkingsverbanden
Voor de uitvoering van onder andere de participatiewet maken gemeenten gebruik van
samenwerkingsverbanden met andere gemeenten. Daarbij wordt ook gebruik gemaakt van de
Suwinet toegang van de deelnemende gemeenten. Hierbij kan sprake zijn van verregaande
verantwoordelijkheidsoverdracht van gemeenten aan het samenwerkingsverband. Echter, Colleges
van Burgemeester en wethouders blijven zelf individueel verantwoordelijk voor de verantwoording
over de Suwinormen, deze verantwoordelijkheid wordt niet overgedragen als bepaalde
medebewindstaken in gezamenlijkheid worden uitgevoerd. Conform de artikelen 5.22 en 6.4 van
de regeling SUWI moet het college rapporteren over de beveiliging van de gegevensuitwisselingen
die plaatsvinden in het kader van de gezamenlijke elektronische voorzieningen SUWI aan de
gemeenteraad en daarnaast door tussenkomst van BKWI, aan het Ministerie van SZW.
De interventieladder richt zich daar waar mogelijk op de individuele gemeenten in het
samenwerkingsverband. Echter, door de verwevenheid van gemeenten in een
samenwerkingsverband, zullen de interventies die direct op de organisatie gericht zijn het gehele
samenwerkingsverband raken. In de praktijk zal dit zelden op problemen stuiten aangezien uit
inspectieonderzoek blijkt dat samenwerkingsverbanden in de zelfde mate aan de Suwi-normen
voldoen.
Gemeentelijke herindelingen
Indien er sprake is van een gemeentelijke herindeling, worden de betrokken gemeenten vrijgesteld
van de verantwoording over de Suwinormen over het jaar voorafgaand aan de herindeling. De
nieuwe gemeente hoeft derhalve geen verantwoording af te leggen over de gemeenten waaruit zij
is samengesteld. Bijvoorbeeld, gemeente X en gemeente Y gaan per 1-1-2018 op in gemeente Z.
Gemeente Z wordt dan voor 2017 vrijgesteld van de verantwoordingsplicht over Suwinet.
Voor de nieuwe gemeente geldt vervolgens de normale verantwoordingsplicht vanaf het jaar van
oprichting. Gemeente Z bijvoorbeeld dient derhalve over 2018 verantwoording af te leggen. Om
daarbij te voorkomen dat eventuele nalevingstekorten door de vrijstelling van de
verantwoordingsplicht langer voortduren, wordt bij niet naleving van de nieuwe gemeente in het
2

eerste verantwoordingsjaar de eerste stap in het interventieprotocol overgeslagen en volgt direct
een ambtelijk gesprek.

3

Toelichting Interventieprotocol
In 2013 signaleerde de inspectie ernstige tekortkomingen in de beveiliging van SUWInet bij
gemeenten. Aangespoord en ondersteund door de VNG hebben gemeenten de beveiliging van
SUWInet verbeterd. Om alle gemeenten daar toe te zetten heeft de staatssecretaris van SZW in
2015 het ‘Escalatieprotocol afsluiten SUWInet’ opgesteld. In 2016 heeft de staatssecretaris dit
protocol toegepast en de gemeenten die nog niet aan de zeven belangrijkste normen voldeden een
aankondiging tot een aanwijzing gestuurd. Betrokken gemeenten hebben vervolgens de beveiliging
verder verbeterd. 1
Van belang is dat gemeenten hun verantwoordelijkheid voor de beveiliging van SUWInet
structureel invullen. Een belangrijke waarborg hierbij is de jaarlijkse verantwoording over de
beveiliging van SUWInet zoals vastgelegd in de Regeling SUWI. Hierbij is de gemeenteraad de
eerst aangewezen partij om de informatiebeveiliging te controleren. Met ingang van het
verantwoordingsjaar 2017 voorziet ENSIA (Eenduidige Normatiek Single Information Audit) hierbij
in een werkwijze die de administratieve lasten voor gemeenten bij het afleggen van
verantwoording over de informatiebeveiliging voor meerdere registraties en voorzieningen
reduceert. Onder de reikwijdte van ENSIA vallen de basisregistraties personen, gebouwen en
adressen, het aanvraag- en uitgifte proces van reisdocumenten, het gebruik van DigiD voor
identificatie en authenticatie van burgers en het gebruik van gegevens op het terrein werk en
inkomen via SUWInet. De toepassing van ENSIA vormt de aanleiding om het escalatieprotocol te
herijken en de voorliggende versie te publiceren.
Wijzigingen t.o.v. de vorige versie van het protocol:
•
De naam is gewijzigd in ‘Interventieprotocol Suwinet’, daarmee ligt er minder nadruk op het
‘afsluiten’ (laatste ultieme stap).
•
Het interventieprotocol is nader uitgewerkt. Vertrekpunt is dat bij tekortkomingen die specifiek
zijn voor een individuele gemeente, de gemeenteraad als eerste aan zet is. De ernst van
tekortkomingen, de mate waarin tekortkomingen bij meer gemeenten voorkomen en het tempo
waarin tekortkomingen worden weggenomen zijn criteria op basis waarvan SZW het protocol
gericht kan toepassen.
•
UWV en SVB vallen ook onder het protocol waarbij wordt opgemerkt dat in de praktijk dit via
de bestaande planning & control cyclus wordt ingevuld.
•
Toegelicht is hoe samenwerkingsverbanden en gemeentelijke herindelingen zich tot het
protocol verhouden.

1

Zie Kamerstuk 26448, nr 589, 11 april 2017
4