jaarstukken 2021 GGD deel 1.pdf
Een raadslid stelde op 9 juni 2022 schriftelijke vragen aan het college van burgemeester en wethouders van Waterland.
Brief van het college
Deze brief is niet in losse vragen en antwoorden uit te lezen. Hieronder staat de tekst; het origineel staat via de link.
BEANTWOORDING RAADSVRAGEN
Nummer Onderwerp Portefeuillehouder Datum
: 111-373 : Jaarstukken 2021 GGD : A.A. van Nieuwkerk : 31 mei 2022
Vragen van de fractie van WaterlandNatuurlijk aan het college van burgemeester en wethouders (ingezonden op 20 mei 2022) en beantwoording daarvan door het college van burgemeester en wethouders.
Pagina 42 Informatiebeveiliging “In 2021 is er een CISO (corporate information security officer) aangesteld, mede op instigatie van minister Hugo de Jonge. Door de toenemende druk van cyberaanvallen op de GGD (en) bleek het noodzakelijk om onze informatiebeveiliging op orde te brengen.” Vraag 1 De fractie van WaterlandNatuurlijk heeft een jaar geleden al vragen gesteld over de informatiebeveiliging van de GGD Zaanstreek-Waterland. Wat is de uitleg waarom, pas op instigatie van een buitenstaander, toenmalig minister de Jonge, een CISO is aangesteld en waarom is er al niet veel eerder een CISO aangesteld?
NB: de “C” staat voor Chief, niet voor Corporate.
Antwoord 1 Het maken van financiële ruimte voor het aantrekken van een CISO is onderdeel van het onderzoek naar de bedrijfsvoering binnen GGD 3.0. Doordat er sprake van datadiefstal bij een aantal GGD-en heeft minister de Jonge middelen vrijgemaakt zodat GGD-en CISO’s konden aantrekken.
“Door corona is de GGD nog meer in trek bij criminelen. Er is elke week wel ergens een cyberaanval.
De GGD is in nauw contact met het SOC van GGD GHOR Nederland. Het ontbreekt echter aan een 24/7 organisatie. Hierdoor kan er niet altijd op tijd gereageerd worden.” Vraag 2 Bij veel (semi)overheidsinstanties is er sprake van 24/7 netwerkmonitoring (SOC) om cybercrime te voorkomen. Waarom is dat bij GGD Zaanstreek-Waterland niet het geval?
Antwoord 2 Er is een 24 uurs monitoring bij een externe partij. Binnen de GGD is vanwege beperkte middelen geen 24/7 capaciteit beschikbaar.
Vraag 3 Gaat deze GGD deze veiligheidsmaatregel op korte termijn wél optuigen?
Antwoord 3 Zie antwoord 2.
Pagina 43 Normering “In 2021 is er een start gemaakt met een gap analyse van de NEN 7510 (gegevensverwerking in de Zorg) en de BIO. Dit geeft inzicht in het gat dat er is tussen de wettelijke verplichtingen met betrekking tot informatiebeveiliging en de praktijk van de GGD.” Vraag 4 De norm NEN 7510 bestaat al sinds januari 2018 en certificering voor deze norm is verplicht per 1 januari 2022. Waarom wordt hier 4 jaar later nog niet aan voldaan door deze GGD?
Antwoord 4 Door bezuinigingen is er binnen de gemeenschappelijke regeling geen geld en personeel om aan de certificering te voldoen.
Vraag 5 Een gap analyse duurt over het algemeen niet langer dan een paar maanden. Wat zijn de (voorlopige) resultaten hiervan? Wanneer kan de raad deze resultaten verwachten?
Antwoord 5 De resultaten zijn bekend. De eventuele implicaties hiervan worden meegenomen in het project GGD 3.0.
Pagina 72 Claim Datadiefstal “Op 8 februari 2022 heeft de GGD Zaanstreek-Waterland, net als het Ministerie van Volksgezondheid, Welzijn en Sport, GGD GHOR Nederland, de overige GGD-en, de 25 veiligheidsregio’s en enkele gemeentes, een brief van Stichting Initiatieven Collectieve Acties Massaschade (ICAM) ontvangen. In deze brief stelt Stichting ICAM de Staat der Nederlanden aansprakelijk voor de datadiefstal bij GGD-en begin 2021 en legt een claim van € 3 miljard neer. Het vervolgproces zal primair worden opgepakt door het Ministerie van VWS en GGD GHOR Nederland. We constateren dat, naar aanleiding van landelijk gemaakte afspraken, tevens getracht wordt claims te beleggen bij de afzonderlijke GGD. Wat dit in de toekomst gaat betekenen is volkomen onduidelijk daar dit geen verantwoordelijkheid is van de GGD.
Het afwikkelen van deze claim zal echter wel tijd en energie van medewerkers van GGD Zaanstreek-Waterland vragen.” Vraag 6 Het simpele feit dat het Rijk het vervolgproces bij deze datadiefstal primair oppakt, ontslaat GGD Zaanstreek-Waterland niet zomaar van aansprakelijkheid. Omgerekend naar de omvang van de GGD Zaanstreek-Waterland, welk deel van €3 miljard zou voor rekening komen van de gemeente Waterland?
Antwoord 6 De claims zijn geen verantwoordelijkheid van de GGD.
Vraag 7 Volgens de AVG is de verwerkingsverantwoordelijke aansprakelijk voor eventuele schade. GGD ZaWa is de verwerkingsverantwoordelijke in dit geval. Waarom stelt de GGD Zaanstreek-Waterland zo hard dat deze diefstal van persoonsgegevens en de daaropvolgende claim van ICAM geen verantwoordelijkheid is van deze GGD? Is hier al professioneel juridisch advies over ingewonnen?
Antwoord 7 De datalekken betroffen gaten in landelijke IT-systemen, wat maakt de verantwoordelijkheid ook bij de overkoepelende organisaties ligt. Er wordt op landelijk niveau in iedere stap nauw samengewerkt met juridische experts.
Vraag 8 Waarom denkt deze GGD dat het ICAM niet zal lukken om claims neer te leggen bij afzonderlijke GGD’s? Is hier al professioneel juridisch advies over ingewonnen?
Antwoord 8 Zie antwoord 7.
Vraag 9 Omgerekend naar de omvang van de GGD Zaanstreek-Waterland, hoeveel uren van medewerkers zal het minimaal kosten om deze claim af te wikkelen?
Antwoord 9 Dat is niet te zeggen. Op dit moment heeft de GGD te maken met het afwikkelen van het bij de claim neergelegde WOB verzoek. Dit vraagt veel uren van de bedrijfsjurist. Het is afhankelijk van het vervolg hoeveel uren dit vraagt.
Bron: raadsinformatie van de gemeente Waterland (Open Raadsinformatie). De vragen en antwoorden zijn automatisch uit de brief gelezen; het origineel is leidend.