01042022 brief beeld ILT ontwikkelingen Waternet aan directie

St

> Retouradres

Stichting Waternet T.a.v. Directie Postbus 94370 1090 GJ Amsterdam

ILT Publieke Instellingen Bedrijven Utrecht Contactpersoon M.A. Webbers - van der Veen Senior Inspecteur M +31(0)6-50159117 marianne.webbers@ILenT.nl Ons kenmerk 507007/2022/1

Datum Betreft

1 april 2022 Beeld ontwikkelingen Waternet en stand van zaken verscherpt toezicht

Geachte directie, Met deze brief informeert de Inspectie Leefomgeving en Transport (ILT) u over het beeld dat de ILT in de afgelopen periode heeft opgedaan, tijdens het verscherpt toezicht dat in april 2021 is ingesteld. Dit werd ingesteld naar aanleiding van de geconstateerde tekortkomingen ten aanzien van de cybersecurity en besturing bij Waternet, die een verhoogd risico vormen voor de leveringszekerheid en kwaliteit van drinkwater 1. De ILT monitort de voortgang van verbeteringen aan de hand van verbeterplannen, voortgangsrapportages en periodieke gesprekken met de directie en het stichtingsbestuur van Waternet. In juni 2021 verwachtte de ILT dat een afschaling van het toezicht in het eerste kwartaal van 2022 zou plaatsvinden. Conclusie Op basis van het gevormde beeld vanuit de monitoring in de afgelopen periode, constateert de ILT dat er nog een verhoogd risico aanwezig is ten aanzien van het drinkwater. Om die reden wordt het verscherpt toezicht voorlopig nog voortgezet.

Op het moment dat de cybersecuritybeheersmaatregelen uit het verbeterplan zijn geïmplementeerd (opzet en bestaan), de processen aanwezig zijn om de werking aan te kunnen tonen, en de ILT kennis heeft kunnen nemen van het bestuursvoorstel en implementatieplan voor de bestuurlijke en organisatorische herinrichting (verwacht medio 2022), is het moment aangebroken om de toezichtvorm opnieuw te bekijken en afschaling van het toezicht af te wegen. Algemeen beeld In de afgelopen periode heeft Waternet hard gewerkt om diverse tekortkomingen weg te nemen. Waternet heeft een ambitieus verbeterprogramma opgestart en uit de voortgangsrapportages blijkt dat er iedere maand progressie wordt geboekt. Tegelijkertijd wordt ook door de ILT geconstateerd dat er nog veel moet gebeuren, zowel voor het volledig in control komen op de cybersecurity als voor het verbeteren van doeltreffendheid van besturing. In de komende tijd worden nog belangrijke stappen gezet ten aanzien van de (cybersecurity)beheersmaatregelen en het aantonen van de werking (effectiviteit) hiervan. Ten aanzien van de besturing vindt er op dit moment nog onderzoek plaats dat uitmondt in een

1

https://www.ilent.nl/documenten/rapporten/2021/4/2/onderzoeksrapport-stichting-waternet Pagina 1 van 3

bestuursvoorstel en implementatieplan voor de bestuurlijke en organisatorische herinrichting. Beeld van ontwikkelingen op hoofdlijnen Vanwege het belang van vertrouwelijkheid is het onderstaande beeld op hoofdlijnen beschreven. Een gedetailleerd beeld van de status van tekortkomingen wordt door de ILT mondeling gepresenteerd aan de directie van Waternet.

ILT Publieke instellingen Bedrijven Datum 1 april 2022 Ons kenmerk 507007/2022/1

Beeld cybersecurity Met de uitvoering van het verbeterplan Informatievoorziening en digitale veiligheid en weerbaarheid, heeft Waternet inmiddels meer grip op de cybersecurity gekregen. Het bestuurlijk eigenaarschap van cybersecurity is versterkt met een maandelijks overleg tussen bestuur en CIO. Sinds oktober 2021 is er weer een (interim) CISO 2 aangesteld. Vanuit het gevormde CISO-office heeft hij een belangrijke taak in het 2de lijns risicomanagement, waar controls worden ingericht om de effectiviteit van maatregelen te kunnen meten. Van de 11 3 initiële tekortkomingen in beheersmaatregelen zijn er inmiddels 9 in opzet verbeterd 4. Voor 6 maatregelen geldt dat deze inmiddels ook grotendeels zijn geïmplementeerd. Het is in deze fase nog niet mogelijk om de werking van deze maatregelen te toetsen en een continue verbetercyclus aan te tonen. Waternet heeft in beeld wat er de komende periode nog gedaan moet worden en verwacht eind 2022 volledig te kunnen voldoen aan de Wet Beveiliging Netwerken Informatiesystemen (WBNI). Het toetsen van de werking van cybersecuritymaatregelen is op dit moment nog een aandachtspunt. De controls voor het aantonen van bestaan en werking van cybersecuritymaatregelen zijn nog niet volledig ingericht. Daarmee ontbreekt het nu nog aan een continue verbetercyclus (Plan-Do-Check-Act) op de beheersmaatregelen.

Hiervoor wordt een managementsysteem ingericht, waarmee Waternet verwacht eind juni 2022 een volledige PDCA-cyclus voor de cybersecuritymaatregelen te hebben doorlopen 5. De hoge werkdruk binnen de afdelingen ICT/PA vraagt aandacht om de voortgang van de verbeteringen niet te laten vertragen. De ILT ziet dat een deel van de risico’s inmiddels is gemitigeerd, maar er zijn nog stappen te zetten ten aanzien van de organisatorische inbedding en structurele borging van de verbeteringen alsmede het meten van de effectiviteit van de beheersmaatregelen. Op basis hiervan constateert de ILT dat er nog steeds een verhoogd risico is ten aanzien van de drinkwaterkwaliteit en leveringszekerheid. Beeld besturing Aan de hand van het generiek verbeterplan wordt gewerkt aan verbetering van randvoorwaarden die nodig zijn voor een doeltreffende besturing, die nodig is voor een duurzame veiligstelling van de drinkwatervoorziening. De tekortkomingen zijn

Chief Information Security Officer Initieel heeft de ILT 12 tekortkomingen geïdentificeerd. In de praktijk zijn deze geclusterd tot 11 omdat 2 constateringen samengevoegd zijn en opgelost worden door de implementatie van een Security Operations Centre (SOC) 4 Dit wil zeggen dat de beheersmaatregelen beschreven/gedefinieerd zijn. 5 Gebaseerd op de planning voor het ISMS in het verbeterplan IV. 2

3

Pagina 2 van 3

gedeeltelijk opgepakt in het verbeterplan IV 6. Er is een governance traject ingericht voor onder meer het aanpassen van de bestuurlijke structuur. Van de geconstateerde tekortkomingen is bij een deel verbetering zichtbaar, een voorbeeld hiervan is een vastgesteld beleid voor risicomanagement. Hiermee is een basis aanwezig voor verdere verbetering van onder meer bestuurlijke informatievoorziening, evaluatie en bijsturing (de zogenaamde PDCA-cyclus).

ILT Publieke instellingen Bedrijven Datum 1 april 2022 Ons kenmerk 507007/2022/1

In december 2021 heeft u het principebesluit genomen voor het oprichten van een Naamloze Vennootschap (N.V.) voor de drinkwatertaak. Op dit moment vindt onderzoek plaats naar de bestuurlijke en organisatorische inrichting daarvan. De cultuurtransitie voor de organisatie, waaronder het elkaar aanspreken en het doorbreken van leemlagen, is mede onderdeel van dit onderzoek. Naar verwachting zijn het bestuursvoorstel en het implementatieplan in juli 2022 gereed. De ILT gaat na of met deze uitwerking de bestuurlijke tekortkomingen in voldoende mate worden opgelost. Daarnaast beoordeelt de ILT of de nieuwe constructie statutair voldoet aan de drinkwaterwet. Tot slot vraagt de ILT uw aandacht voor de volgende aandachtspunten: • Voldoende bemensing (waarbij een oorzaak ligt in krapte op de arbeidsmarkt) en een hoge werkdruk, met als gevolg dat er op onderdelen van het verbeterplan wordt getemporiseerd; • Het blijkt niet mogelijk om tussentijds budget aan te vragen om noodzakelijke werkzaamheden te kunnen doen; • De inrichting van de N.V.

en de werkorganisatie kunnen leiden tot ingrijpende veranderingen waardoor er, naast de huidige activiteiten op basis van het verbeterplan, druk op de organisatie kan ontstaan; • Het hoge aantal interim-medewerkers op sleutelposities ziet de ILT als een aandachtspunt voor de continuïteit en borging van de verbeteringen; • Verandering van samenstelling van de directie en het stichtingsbestuur, met mogelijk consequenties voor dossierkennis op deze niveaus. Voor nadere informatie naar aanleiding van deze brief kunt u contact met mij opnemen. Hoogachtend, DE MINISTER VAN INFRASTRUCTUUR EN WATERSTAAT, namens deze, DE INSPECTEUR ILT/Directie Publieke instituties en Control

Ir. S.A.A. Backx Afdelingshoofd Toezicht Publieke Instellingen 6

Op het gebied van doeltreffendheid van besturing als randvoorwaarde voor de drinkwatervoorziening, heeft de ILT 10 tekortkomingen geïdentificeerd. Twee hiervan hebben overlap met tekortkomingen op het gebied van cybersecurity: de verbeter- en evaluatieprocessen en het risicomanagement. Pagina 3 van 3