Toezegging informatiebeveiliging bij drie departementen

Tweede Kamer der Staten-Generaal2Vergaderjaar 2016–2017 34 550 VIIVaststelling van de begrotingsstaten van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII) voor het jaar 2017 Nr. 50 HERDRUK1 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES Aan de Voorzitter van de Tweede Kamer der Staten-Generaal Den Haag, 7 juli 2017 In het verantwoordingsdebat met uw Kamer van 31 mei 2017 (Hande-lingen II 2016/17, nr. 81, items 3 en 6) heeft de Minister van Financiën toegezegd om ten aanzien van de ministeries van Defensie, Economische Zaken en Volksgezondheid, Welzijn en Sport, specifiek aan te geven hoe het overleg met de Algemene Rekenkamer is verlopen en welk vervolg zij geven aan het oordeel van de Algemene Rekenkamer over de informatie-beveiliging. In deze brief kom ik, mede namens mijn collega-ministers van VWS, EZ en Defensie, die toezegging na. De president van de Algemene Rekenkamer zei op verantwoordingsdag in uw Kamer (Handelingen II 2016/17, nr. 76, item 3) dat het oplossen van een probleem begint met het te onderkennen. In dit verband zei hij verder: «Helaas blijkt uit de reactie van de ministers van VWS, EZ, maar ook Defensie dat zij zich niet herkenden in de uitkomst van ons onderzoek.» Ik wil benadrukken dat de betreffende ministers het belang van informa-tiebeveiliging onderkennen. Ook zijn de ministeries hard aan het werk met de verbetermogelijkheden die de Algemene Rekenkamer heeft aange-dragen. De discussie ten aanzien van de uitkomst van het onderzoek betrof verschillende zienswijzen rond dossiervorming op centraal niveau bij departementen waarbij de sturing op informatiebeveiliging volgens een decentraal verantwoordingsmodel is ingericht. Deze werkwijze is in lijn met het Voorschrift Informatiebeveiliging Rijksdienst (VIR) en de Baseline Informatiebeveiliging Rijksdienst (BIR). Samen met de Audit-dienst Rijk en de Algemene Rekenkamer werk ik nu aan een set met heldere afspraken ten aanzien van de benodigde dossiervorming. 1Herdruk i.v.m. correctie in het opschrift kst-34550-VII-50ISSN 0921 - 7371’s-Gravenhage 2017Tweede Kamer, vergaderjaar 2016–2017, 34 550 VII, nr. 501 Hieronder wordt voor de drie ministeries aangegeven welke activiteiten zij verrichten om de informatiebeveiliging verder te verbeteren. Ministerie van VWS Het Ministerie van VWS is het met de Algemene Rekenkamer eens dat het van groot belang is om het management voor informatiebeveiliging zo ingericht te hebben dat elk onderdeel van het VWS-concern, alsook VWS op centraal niveau, in staat is om gedurende het jaar de actuele stand van de informatiebeveiliging in het concern te beoordelen en (bij) te sturen op (rest)risico’s, waar dat noodzakelijk is. Het concernbrede inzicht in systemen en de genomen maatregelen zal in 2017 verder worden verbeterd met de concernbrede implementatie van een informatiema-nagementsysteem (Information Security Management System, ISMS). Met dit managementsysteem zal VWS de informatiebeveiliging beter kunnen sturen. Daarbij zullen ook de maatregelen voor de door de Algemene Rekenkamer onderzochte bedrijfskritische systemen in 2017 versterkte aandacht krijgen. Via risicosturing wordt de noodzakelijkheid en de volgorde van maatregelen bepaald. Daarnaast neemt VWS naar aanleiding van de resultaten en inzichten uit de Planning&Control cyclus 2016 in 2017 nog een aantal aanvullende maatregelen om de informatie-beveiliging verder te versterken. Ministerie van EZ Op verzoek van het Ministerie van EZ heeft de Algemene Rekenkamer op 23 juni jl. een addendum verstrekt waarin de onderbouwing van het oordeel nader is toegelicht. Medio juli vindt hierover overleg plaats tussen EZ, de Algemene Rekenkamer en de Auditdienst Rijk. De actiepunten naar aanleiding van dit addendum worden door EZ opgenomen in het interne informatiebeveiligingsjaarplan van 2017. EZ erkent dat informatiebevei-liging een cruciaal thema is voor de bedrijfsvoering. Het departement werkt eraan om dit thema steviger te verankeren binnen de organisatie. De toenemende digitalisering vraagt dit ook van EZ. De verbeterpunten die zijn beschreven door de Algemene Rekenkamer en de Auditdienst Rijk helpen EZ deze positie van informatiebeveiliging nader te verstevigen en uit te bouwen. Bij EZ zijn de hoofden van dienst zelf verantwoordelijk voor informatiebeveiliging. Maandelijks vindt er overleg plaats tussen het CIO-office en de IB-coördinatoren van de verschillende diensten. Belangrijke signalen naar aanleiding van dit overleg worden door de pSG/CIO nader behandeld met het betreffende hoofd van dienst. Ministerie van Defensie De aanbevelingen van de Algemene Rekenkamer spitsen zich bij het Ministerie van Defensie toe op de werking van het managementsysteem waarmee de informatiebeveiliging wordt gestuurd, waaronder ook de dossiervorming bij kritieke systemen. In een gesprek met de Algemene Rekenkamer op 21 juni jl. is de aanpak van Defensie voor het oplossen van de onvolkomenheid besproken. Hierbij zijn geen verschillen van inzicht gebleken. De voortgang van de verbeteringen zal in het najaar wederom met de Algemene Rekenkamer worden besproken. De CIO Rijk zal in zijn halfjaarlijkse gesprekken met de departementale CIO’s aandacht besteden aan de onvolkomenheden en de verbeteringen monitoren die de ministeries in gang zetten. De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.H.A. PlasterkTweede Kamer, vergaderjaar 2016–2017, 34 550 VII, nr. 502