Vragen van het lid Van Toorenburg (CDA) aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties over het bericht «Hoeder privacy: gemeente laks met veiligheid data» (ingezonden 18 maart 2014).

Antwoord van Minister Plasterk (Binnenlandse Zaken en Koninkrijksrelaties) (ontvangen 7 april 2014)

Vraag 1

Hebt u kennisgenomen van het bericht «Hoeder privacy: gemeente laks met veiligheid data»?¹

Antwoord 1

Ja.

Vraag 2

Is het waar dat twee op de vijf gemeenten nog gebruik maken van computers die draaien op Windows XP, ook als Microsoft geen updates meer levert vanaf 8 april a.s.?

Antwoord 2

Er zijn gemeenten die nog gebruik maken van computersystemen die voorzien zijn van Windows XP,Office 2003 en Exchange na 8 april aanstaande. Dit aantal vermindert, omdat de uitfasering van Windows XP bij gemeenten gaande is. De Informatiebeveiligingsdienst (IBD) heeft gemeenten geïnformeerd over de migratie van Windows XP en wijst gemeenten op de eigen verantwoordelijkheid passend invulling te geven aan de adviezen die zij samen met het NCSC uitbrengt.

Vraag 3

Deelt u de zorgen van het College bescherming persoonsgegevens (Cbp) over de beveiliging van gegevens van burgers, te meer nu gemeenten steeds meer privacygevoelige gegevens in beheer krijgen door de decentralisatie van taken in het sociaal domein?

Antwoord 3

De zorgen van het College bescherming persoonsgegevens (Cbp) begrijp ik. Belangrijke zorgtaken worden naar gemeenten overgeheveld. Daarbij is informatieveiligheid een zeer belangrijk aandachtspunt. Dit kabinet hecht aan het belang van informatieveiligheid bij gemeenten.

De bescherming van persoonsgegevens heb ik hoog in het vaandel. Burgers moeten er te allen tijde op kunnen vertrouwen dat er zorgvuldig wordt omgegaan met persoonsgegevens. Om bestuurders en topmanagers in het openbaar bestuur hiervan te doordringen, mede in het licht van de decentralisaties in het sociaal domein en mijn ambitie om in 2017 zoveel mogelijk zaken met de overheid digitaal te regelen, heb ik de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID) ingesteld per 13 februari 2013 (vergaderjaar 2012 – 2013, Kamerstuk 26 643, nr. 269).

In het kader van de discussie over Privacy heeft het Cbp gesuggereerd om een Privacy Impact Assessment (PIA) uit te voeren met betrekking tot de decentralisaties. In mijn brief aan de Kamer van 10 februari jl. (vergaderjaar 2013 – 2014, Kamerstuk 33 750 VII, nr. 45) heb ik aangegeven dat een PIA over het sociale domein mijns inziens het beste uitgevoerd kan worden op de gemeentelijke praktijk. De decentralisatiewetten bieden immers juist de ruimte aan gemeenten om dat domein zelf vorm te geven. Op dit moment wordt voor die gemeentelijke praktijk een beperkt aantal modellen ontwikkeld betreffende de wijze waarop gemeenten hun uitvoering organiseren. Het lijkt mij goed om wanneer deze wat meer concreet zijn, een PIA uit te (laten) voeren op deze modellen. Ik zal hierin het voortouw nemen.

Op dit moment legt een interdepartementale werkgroep, in samenwerking met de Vereniging Nederlandse Gemeenten (VNG) de laatste hand aan een beleidsvisie op gegevensuitwisseling en privacy in het kader van de decentralisaties. Ik verwacht de visie dit voorjaar naar uw Kamer te kunnen sturen.

Vraag 4

Welke maatregelen neemt u om te voorkomen dat de overheden in het algemeen, en gemeenten in het bijzonder, afhankelijk zijn van een softwareleverancier als Microsoft?

Antwoord 4

Autonome overheidsorganisaties, zoals de gemeenten, zijn zelf verantwoordelijk voor de wijze waarop zij passend invulling geven aan hun ICT- beleid, alsook voor afspraken die zij maken met leveranciers van hun soft- en hardware. Groepen gemeenten maken soms gezamenlijk afspraken met leveranciers (de zogeheten gebruikersverenigingen).

Vraag 5

Deelt u de stelling van de Informatiebeveiligingsdienst voor gemeenten (IBD), dat gemeenten actief bezig zijn met de beveiliging van hun systemen? Zo ja, op grond waarvan? Zo nee, welke maatregelen neemt u om te bevorderen dat gemeenten meer prioriteit geven aan de beveiliging van hun systemen?

Antwoord 5

Ja, zowel de IBD, de VNG (en ook in samenwerking met gemeentelijke organisaties als VDP, NVVB, VGS, VIAG, et cetera) als de Taskforce BID werken er sinds begin vorig jaar samen naartoe informatieveiligheid bij gemeenten naar een hoger plan te tillen.

De IBD is begin vorig jaar opgericht door en voor gemeenten. De IBD is er voor alle gemeenten en richt zich op bewustwording en concrete ondersteuning om gemeenten te helpen hun informatieveiligheid naar een hoger plan te tillen. DeVNG heeft de Resolutie «Informatieveiligheid, randvoorwaarde voor de professionele gemeente» opgesteld en aan haar leden voorgelegd tijdens de Buitengewone Algemene Ledenvergadering eind vorig jaar. Uitkomst is dat deze Resolutie met bijna 95% van de stemmen is aangenomen. In grote lijnen betekent deze resolutie dat iedere gemeente zich heeft gecommitteerd aan de afspraak informatieveiligheidsbeleid vast te stellen aan de hand van een zogeheten basisnormenkader voor informatieveiligheid: de Baseline Informatiebeveiliging Gemeenten (BIG). Samen met de Taskforce BID wordt uitwerking gegeven aan de implementatie van de Resolutie van de VNG en de Taskforce adresseert het belang van informatieveiligheid aan de bestuurlijke tafels in het openbaar bestuur.

---

1 De Volkskrant, 15 maart 2014.