Plasterk: geen versnelde invoering ENSIA

Gemeenten moeten zich per 1 juli 2017 verplicht via het ENSIA-project verantwoorden over de kwaliteit van hun informatieveiligheid. ENSIA moet uiteindelijk de kwaliteit van gemeentelijke informatieveiligheid vergroten. PvdA-Kamerlid Astrid Oosenbrug vindt dat vanwege de vele datalekken te laat en hoopt op een versnelde invoering. Dat is volgens minister Plasterk echter geen mogelijkheid.

Verantwoording over informatieveiligheid

ENSIA staat voor Eenduidige Normatiek Single Information Audit. Het is een systematische verantwoording van de informatieveiligheid van een aantal basisadministraties die gemeenten gebruiken zoals de BRP, BGT en de BAG, maar ook Suwi en DigiD. Met ENSIA kunnen gemeenten in één keer slim verantwoording afleggen over informatieveiligheid van hun gemeente. Het bestuur kan daardoor beter sturen en de gemeenteraad te woord staan.  
 

Veel datalekken
Oosenbrug wilde na berichtgeving over de grote hoeveelheid datalekken bij gemeenten tot nu toe en de moeizame voorbereiding op nieuwe privacywetgeving weten of de minister het met haar eens is dat juli 2017 te laat is voor ENSIA. ‘Versnelde invoering is niet mogelijk doordat de gemeenten hiervoor klaar moeten zijn, het instrument ook ontwikkeld dient te zijn en de afspraken met de IT-auditors gemaakt moeten zijn’, schrijft Plasterk. Hij vindt juli 2017 een realistische datum.
 

Besluitvorming op lokaal niveau
De minister schrijft daarnaast dat besluitvorming over informatieveiligheid bij gemeenten het beste op lokaal niveau kan plaatsvinden. ‘Ik acht het op voorhand niet noodzakelijk om budgetten voor gemeenten af te zonderen of te oormerken. Een dergelijke maatregel verplicht gemeenten om een ontvangen budget voor informatieveiligheid aan dat doel te besteden. Informatieveiligheid behoeft een integrale inbedding in de organisatie - een benadering die verder strekt dan ICT. Het gaat om organisatie, processen, fysieke maatregelen en ICT.’ Volgens Plasterk worden gemeenten ook nu in staat gesteld om met informatiesystemen te kunnen voldoen aan de Baseline Informatie Beveiliging (BIG).