1C 20210331_ILT_Onderzoeksrapport Stichting Waternet.pdf

Onderzoeksrapport Stichting Waternet Onderzoek naar de toestand van de cybersecurity en besturing bij Stichting Waternet in het kader van de leveringszekerheid en kwaliteit van drinkwater

Onderzoeksrapport Stichting Waternet Onderzoek naar de toestand van de cybersecurity en besturing bij Stichting Waternet in het kader van de leveringszekerheid en kwaliteit van drinkwater

Datum

31 m aart 2021

Onderzoeksrapport Waternet | 31 maart 2021

Colofon

Uitge geven door

Inspectie Leefomgeving en Transport Dire ctie Publieke instituties en control Afde ling Toezicht publieke instellingen Vak groep Drinkwater Postbus 16191, 2500 BD Den Haag 088 489 00 00 www.ile nt.nl

Pagina 5 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Inhoud

Colofon—5 Inhoud—7 ●

Samenvatting—9 Stichting Waternet—9

1 1.1 1.2 1.3 1.4 1.5

Inleiding—11 Stichting Waternet—11 Aanleiding—11 Doelstelling en vraagstelling onderzoek—11 Onderzoeksaanpak—11 Reikwijdte van onderzoek—12

2 2.1 2.2 2.3 2.3.1. 2.3.2. 2.3.3. 2.4 2.5

Cybersecurity—13 Inleiding—13 Afhankelijkheid van PA—13 Zorgplicht—14 Status implementatie BIO—15 Status implementatie PA-norm—16 Onderwerpen nader onderzocht—17 Meldplicht—21 C onclusies cybersecurity—22

3 3.1 3.2 3.2.1. 3.2.2. 3.2.3. 3.3 3.3.1. 3.4 3.5 3.6

Besturing en waarborging drinkwatertaak—24 Inleiding—24 Inrichting en functioneren van de bestuurlijke structuur—24 Inrichting van de bestuurlijke structuur—24 Functioneren van de bestuurlijke structuur—26 Conclusies inrichting en functioneren van de bestuurlijke structuur—27 Aansturing en waarborgen drinkwatertaken en IT—29 Werking organisatie nader in beeld—29 C onclusies aansturing drinkwatertaken en IT—31 C ultuur—32 C onclusie cultuur—33

4

Conclusie risico’s kwaliteit en leveringszekerheid drinkwater—34

Bijlage A

Onderzoeksproces—35

Bijlage B

Onderzoekskader cybersecurity—36

Bijlage C

Onderzoekskader besturing en waarborging drinkwater—39

Bijlage D

Overzicht geconstateerde tekortkomingen—41

Onderzoeksrapport Waternet | 31 maart 2021

●

Samenvatting

Stichting Waternet Stichting Waternet is een organisatie die taken uitvoert voor de gehele waterkringloop. In Amsterdam en omgeving levert Stichting Waternet drinkwater en beheert de riolering. In het gebied van Waterschap Amstel Gooi en Vecht beheert Stichting Waternet de waterpeilen en dijken en zorgt voor zuivering van afvalwater. Daarnaast bedient Stichting Waternet bruggen en sluizen. Aanleiding en doel In de media is in september en november 2020 het signaal naar voren gekomen dat de cybersecurity bij Waternet niet op orde zou zijn en dat de besturing bij Waternet verbeteringen ten aanzien van cybersecurity zou belemmeren. Dit signaal, in combinatie met de uitkomst van een bestuurlijk gesprek met Stichting Waternet over dit signaal, was voor de Inspectie Leefomgeving en Transport (ILT) reden om een onderzoek naar de cybersecurity en de besturing bij Waternet in te stellen. Het doel van dit onderzoek is vast te stellen in hoeverre er sprake is van risico’s voor de waarborging van de kwaliteit en leveringszekerheid van drinkwater. De drinkwaterproductie is sterk afhankelijk van geautomatiseerde processen. C ybersecurity is dus van vitaal belang. De ILT heeft de praktijk bij Waternet getoetst aan het wettelijk kader voor de zorgplicht en de meldplicht 1 voor de cybersecurity.

De Drinkwatersector heeft een eigen norm opgesteld voor de procesautomatisering (PA-norm) om invulling te geven aan de zorgplicht. De ILT heeft de onderdelen van deze PA-norm meegenomen in haar onderzoek. Daarnaast heeft het onderzoek tot doel zicht te krijgen of er sprake is van een doeltreffende sturing op cybersecurity en drinkwater. Conclusies cybersecurity en besturing Waternet heeft zowel op bestuurlijk als organisatorisch niveau onvoldoende grip op de cybersecurity. Dit wordt veroorzaakt door tekortkomingen in de uitvoering van wettelijke zorgplicht en meldplicht en in de besturing van de organisatie. De belangrijkste tekortkomingen in de zorgplicht zijn: onvoldoende risicomanagement, onvoldoende evaluatie en verbeterprocessen, en beperkingen in detectie en incident-response. Daarnaast doet de ILT in dit rapport vele constateringen op onderdelen van de PA-norm of meer algemeen op het gebied van cybersecurity bij Waternet. Voor wat betreft de meldplicht is te verwachten dat daadwerkelijke incidenten, die boven de drempelwaarde uitstijgen, volgens de juiste procedure gemeld zullen worden. Waternet heeft nog geen procedure voor het tweede onderdeel van de meldplicht, het melden van IC T-inbreuken die aanzienlijke gevolgen voor de 1

D e Wet Beveiliging N etwerk- en Informatiesystemen (Wbni) is per 9 november 2 018 in werking getreden. D eze wet regelt een zorgplicht (treffen van beveiligingsmaatregelen) en een meldplicht van incidenten. D e M inister van Infrastructuur en Waterstaat is voor de sectoren Vervoer en L evering en distributie van drinkwater aangewezen als bevoegde autoriteit. I n het Besluit beveiliging netwerk- en informatiesystemen (Bbni) worden onder meer de vitale aanbieders aangewezen die onder de reikwijdte van de verplichtingen van de Wbni vallen. D e D rinkwaterbedrijven zijn binnen de Bbni aangewezen als vitale aanbieders.

Pagina 9 van 42

Onderzoeksrapport Waternet | 31 maart 2021

continuïteit van de levering van drinkwater kunnen hebben. Als gevolg daarvan kan het mogelijk langer duren voordat incidenten opgelost zijn en kunnen de gevolgen van incidenten onnodig groter worden. Naast de tekortkomingen in de zorgplicht en meldplicht voor cybersecurity, vormen ook de tekortkomingen in de besturing een risico voor de waarborging van kwaliteit en leveringszekerheid van drinkwater. De ILT constateert dat de besturing niet doeltreffend genoeg is, terwijl dit een belangrijke voorwaarde is voor het waarborgen van de drinkwatertaak en de cybersecurity. Borging van drinkwaterprocessen vindt vooral op operationeel niveau (op de werkvloer) plaats. Op strategisch niveau (hiermee wordt het bestuurlijk niveau bedoeld, waaronder directie en stichtingsbestuur) is waarborging van de drinkwatertaak en de cybersecurity nog niet genoeg aanwezig. In het ontwerp van de bestuurlijke structuur ontbreekt integraal toezicht op de drinkwatertaak. Er is nog geen gestructureerd risicomanagement en evaluatie en bijsturing vinden nog niet genoeg plaats. Risico’s van de tekortkomingen De ILT is van oordeel dat Waternet, ten tijde van het ILT-onderzoek, onvoldoende ‘in control’ is over haar cybersecurity. Hierdoor is een verhoogd risico aanwezig op een cyberincident met mogelijke gevolgen voor de kwaliteit en/of de continuïteit van drinkwater.

Hoeveel groter de kans of impact voor het drinkwater is, laat zich niet eenvoudig kwantificeren. De beveiliging van cybersecurity leunt niet op één maatregel; maatregelen werken aanvullend op elkaar en verhogen als geheel de weerstand tegen cyberaanvallen of verkleinen als geheel de impact. Hoe groot het negatief effect van een of enkele ontbrekende of niet optimaal werkende maatregelen daadwerkelijk is, is niet exact aan te geven. De tekortkomingen in de besturing vormen een oorzaak van de risico’s die op het gebied van cybersecurity en de (overige) voorwaarden voor waarborging van de drinkwatertaak zijn geconstateerd. Dit toont het belang van verbetering van de besturing ten behoeve van waarborging van de drinkwatertaak. Vervolg Waternet heeft inmiddels al een aantal stappen gezet ter verbetering van de tekortkomingen in de uitvoering van de wettelijke zorgplicht en meldplicht. Tevens evalueert Waternet het besturingsmodel. De ILT vindt dit een positieve ontwikkeling, maar benadrukt het belang om zo snel mogelijk voldoende grip te hebben op het uitvoeren van verbeteringen, hier voldoende inzicht in te hebben en indien nodig tijdig bij te sturen. De ILT stelt Waternet de komende periode onder verscherpt toezicht en gaat toezien op de verbetering van de uitvoering van de wettelijke zorgplicht en meldplicht en de besturing.

Pagina 10 van 42

Onderzoeksrapport Waternet | 31 maart 2021

1

Inleiding

1.1

Stichting Waternet Stichting Waternet is een organisatie die taken uitvoert voor de gehele waterkringloop. In Amsterdam en omgeving levert Stichting Waternet drinkwater en beheert de riolering. In het gebied van Waterschap Amstel Gooi en Vecht beheert Stichting Waternet de waterpeilen en dijken en zorgt voor zuivering van afvalwater. Daarnaast bedient Stichting Waternet bruggen en sluizen.

1.2

Aanleiding De ILT houdt toezicht op de leveringszekerheid, kwaliteit en doelmatigheid van de openbare drinkwatervoorziening. De Drinkwaterwet en de Wet beveiliging netwerk- en informatiesystemen zijn daarvoor een belangrijk uitgangspunt. In de media is in september en november 2020 het signaal naar voren gekomen dat de cybersecurity bij Waternet niet op orde zou zijn en dat de besturing bij Waternet verbeteringen ten aanzien van cybersecurity zou belemmeren. Dit signaal, in combinatie met de uitkomst van een bestuurlijk gesprek met Stichting Waternet over dit signaal, was voor de Inspectie Leefomgeving en Transport (ILT) reden om een onderzoek naar de cybersecurity en de besturing bij Waternet in te stellen.

1.3

Doelstelling en vraagstelling onderzoek Het doel van dit onderzoek is vaststellen of er risico’s zijn voor de kwaliteit en leveringszekerheid van drinkwater. Hiervoor is een kader vastgelegd in de Drinkwaterwet (DWW) en het Drinkwaterbesluit (DWB). Het wettelijk kader voor cybersecurity, vastgelegd in de Wet beveiliging netwerk- en informatiesystemen (Wbni), geeft de mogelijkheid te toetsen aan de zorgplicht en de meldplicht. Een ander doel van dit onderzoek is zicht krijgen op de inrichting en het functioneren van de besturing bij Waternet, en daarmee op waarborging van de cybersecurity en de drinkwatertaak. Bij de uitvoering van het onderzoek staan 2 onderzoeksvragen centraal:

1.4

1)

Voldoet Stichting Waternet aan de verplichtingen die de Wet bescherming netwerk- en informatiesystemen stelt?

2)

Hoe is de besturing bij Waternet ingericht? En is een doeltreffende sturing op cybersecurity en drinkwater zichtbaar?

Onderzoeksaanpak De ILT heeft dit onderzoek uitgevoerd in de periode van 24 november 2020 tot 5 februari 2021. Het betreft een kwalitatief onderzoek, op basis van documentenanalyse en interviews. Bij het raadplegen van documenten heeft de inspectie gebruikgemaakt van de Verstoringsrisicoanalyse (VRA) en het Leveringsplan, beleidsplannen, managementrapportages, notulen van diverse overlegvergaderingen, auditrapporten, rapportages van uitgevoerde veiligheidstesten en van de uitkomsten

Pagina 11 van 42

Onderzoeksrapport Waternet | 31 maart 2021

van eerder uitgevoerde externe onderzoeken. In totaal heeft zij 150 documenten ontvangen en bestudeerd. De ILT heeft bij Stichting Waternet gesproken met de onafhankelijk voorzitter en het bestuurslid die tevens Dijkgraaf is bij het Waterschap Amstel, Gooi en Vecht (AGV), 5 directeuren (waaronder de algemeen directeur, secretaris-directeur, directeur financiën en control, directeur dienstverlening en directeur assets en operatie), 5 afdelingshoofden, de chief information security officer (C ISO), de manager PA beheer en ontwikkeling, de security coördinator PA, de systeem architect PA/OT, de IT-manager, de regievoerder digitalisering, de adviseur risicomanagement, een business controller, de kwartiermaker SOC en een extern adviseur die via het stichtingsbestuur is ingehuurd. Bij de gemeente Amsterdam heeft de ILT gesproken met de stedelijk directeur, de C ISO en de bestuursadviseur van de wethouder. 1.5

Reikwijdte van onderzoek Het onderzoek richt zich op de toestand van de cybersecurity, van de procesautomatisering van de drinkwatervoorziening, en op de besturing bij Waternet. Cybersecurity De kwaliteit van de procesautomatisering is een belangrijke voorwaarde voor de kwaliteit en leveringszekerheid van het drinkwater door Waternet. Als er geen of onvoldoende scheiding tussen de procesautomatisering en kantoorautomatisering is aangebracht, dan maken risico’s die dat met zich meebrengt onderdeel uit van de scope van het onderzoek. De volgende zaken vallen buiten de scope van het toezicht van de ILT: activiteiten riolering; waterbeheer; het bedienen van bruggen en sluizen. Het onderzoek richt zich vooral op de inrichting van maatregelen die Waternet heeft getroffen rondom de zorgplicht en meldplicht binnen de Wbni. Het functioneren (de werking) van maatregelen is door de beperkte onderzoektijd slechts incidenteel en exemplarisch onderzocht. In dit onderzoeksrapport zijn wel bevindingen opgenomen over de werking van maatregelen zoals de ILT die tijdens de uitvoering van het onderzoek, in rapporten en interviews, is tegengekomen. Dit geeft echter (voor zover al mogelijk) geen allesomvattend beeld van de werking van alle maatregelen die vallen onder de cyberbeveiliging bij Waternet.

Besturing en waarborging drinkwatertaak Om een beeld te kunnen vormen van de besturing, richt het onderzoek zich op de inrichting en het functioneren van de bestuurlijke structuur van Waternet. Daarbij is gekeken naar de inrichting en het functioneren van de taak- en verantwoordelijkheidsverdeling rondom de drinkwatervoorziening tussen de gemeente Amsterdam, het stichtingsbestuur en de algemeen directeur van Waternet. Ook is gekeken naar de wijze waarop Waternet de drinkwatertaak heeft georganiseerd. In bijlagen B en C staat een toelichting op het in dit onderzoek gehanteerde kader.

Pagina 12 van 42

Onderzoeksrapport Waternet | 31 maart 2021

2

Cybersecurity

2.1

Inleiding Om de toestand van de cybersecurity binnen Waternet te kunnen bepalen en te beoordelen, heeft de ILT een onderzoekskader (bijlage B) opgesteld. De Wbni en de Bbni zijn als vertrekpunt gehanteerd. Deze hebben tot doel de cybersecurity bij de aanbieders van essentiële diensten (AED’s), waaronder de drinkwaterbedrijven, op een voldoende niveau te brengen en te houden. In dit hoofdstuk staat de beantwoording van de eerste onderzoeksvraag centraal: Voldoet Waternet aan de verplichtingen die de Wet bescherming netwerk- en informatiesystemen stelt? De beantwoording van de onderzoeksvraag loopt langs de volgende deelvragen: • In welke mate is Waternet afhankelijk van de procesautomatisering (hierna PA) voor haar leverings- en kwaliteitsverplichtingen ten aanzien van drinkwater? • Voldoet Waternet aan de verplichtingen ten aanzien van de zorgplicht zoals beschreven in de Wbni? Zo nee, welke tekortkomingen doen zich voor? En zijn er op dit moment ongewenste grote risico’s? • Voldoet Waternet aan de verplichtingen ten aanzien van de meldplicht, zoals beschreven in de Wbni? Zo nee, welke tekortkomingen doen zich voor? En zijn er op dit moment ongewenste grote risico’s?

2.2

Afhankelijkheid van PA PA zorgt ervoor dat processen volcontinu (7x24x365) functioneren en kostenefficiënt, betrouwbaar en veilig uitgevoerd kunnen worden. Een correct functionerende PA is noodzakelijk om veilig drinkwater te kunnen leveren. Het is noodzakelijk om beheersmaatregelen te treffen die ervoor zorgen dat de PA bij verstoringen blijft functioneren. Wanneer de PA toch uitvalt, dan moeten de gevolgen van de restrisico’s worden beperkt. Het Leveringsplan 2020-2024 2 van Waternet bevat een beschrijving van te nemen maatregelen om de leveringszekerheid en kwaliteit van drinkwater zoveel mogelijk te borgen. Deze maatregelen moeten worden gebaseerd op een Verstoringsrisicoanalyse (VRA). In de VRA van 2019 onderkent Waternet afzonderlijk de gevaren en de bedreigingen die haar processen en/of PA zouden kunnen verstoren. Voor de onderkende gevaren van cybersecurity is Waternet van mening dat deze geen effect hebben op de waterkwaliteit en waterkwantiteit. De kans daarop wordt onwaarschijnlijk tot zeer onwaarschijnlijk ingeschat. Veel gevaren en bedreigingen (inclusief cyberrisico’s) scoren laag 3. De kans is laag en/of het effect is beperkt. Dit heeft te maken met weerstand verhogende maatregelen

2 I n een L everingsplan moet door de drinkwaterorganisatie worden aangegeven op welke wijze aan de uitvoering van de op grond van de voor hem geldende verplichtingen ten aanzien van de leveringszekerheid, de dekking van de toekomstige behoefte aan drinkwater en de levering van nooddrinkwater en noodwater, wordt voldaan (art. 37 DWW). ILT-vergunningverlening beoordeelt het L everingsplan op de wettelijke eisen. I L T-toezicht ziet toe op de uitvoering van het L everingsplan. H et college van B&W van de gemeente A msterdam is in geval van Waternet verantwoordelijk voor het horizontaal toezicht op de Do, Check en Act als het gaat om uitvoering van het Leveringsplan. 3 O p het inschatten van c yberrisico’s wordt in paragraaf 2 .3 nog nader ingegaan.

Pagina 13 van 42

Onderzoeksrapport Waternet | 31 maart 2021

(proactieve en preventieve maatregelen) die Waternet in het drinkwaterproces heeft getroffen. Getroffen weerstands-verhogende of impact verkleinende maatregelen ten aanzien van de PA zijn onder andere: • er is redundantie 4 aanwezig van de meeste installaties op de productielocaties; • aanwezigheid van noodstroomvoorzieningen; • redundantie van netwerkverbindingen; • overname van productie door een andere locatie in geval van uitval; • indien de PA van een installatie uitvalt zal deze installatie blijven produceren met de laatst bekende instellingen 5; en • het op de hand bedienbaar blijven van alle essentiële installaties. Uitval van netwerkcommunicatie of uitval van de PA leiden tot het moeten overgaan op handbediening op locatie. Op 15 december 2020 heeft Waternet een test uitgevoerd - in aanwezigheid van een ILT inspecteur -, met als doel vast te stellen wat er met de PA gebeurt bij uitval van de communicatie/verbinding op één productielocatie/installatie. Daarbij is ook getest of het vervolgens mogelijk is om lokaal de bediening van een installatie over te nemen. Dit bleek inderdaad mogelijk. Het betrof een beperkte test waarbij uitval gedurende korte tijd en in delen werd beproefd.

De ILT heeft ten aanzien van het testen van de essentiële installaties de volgende bevindingen: • er is geen integraal testplan voor het testen van de gehele (PA) infrastructuur; • er is (nog) geen testkalender op basis waarvan de gehele (PA) infrastructuur planmatig wordt getest; • tijdens de uitgevoerde test op 15 december 2020 is één scenario getest: volledige uitval van communicatie. Er zijn ongetwijfeld ook andere scenario’s denkbaar om in het testprogramma op te nemen. Deze scenario’s heeft de ILT niet aangetroffen; • tijdens de test op 15 december 2020 is niet langdurig (enige uren) getest. Waternet toont daarbij niet aan of het mogelijk is de handbediening, voor langere tijd, vol te blijven houden. Conclusie Waternet heeft maatregelen genomen om de kans en impact van uitval van de PA te beperken. Een belangrijke impact-beperkende maatregel is dat de organisatie bij uitval van de PA kan overschakelen op handbediening. Deze maatregel wordt jaarlijks getest. De door de ILT geobserveerde test was echter maar beperkt. Er is daarmee op dit moment onvoldoende zekerheid dat deze maatregel daadwerkelijk en gedurende een langere periode door Waternet uitgevoerd kan worden. 2.3

Zorgplicht Ten tijde van het ILT-onderzoek is er nog geen nadere uitwerking van de zorgplicht beschikbaar. Om toch te kunnen bepalen of Waternet aan de vereisten van de zorgplicht voldoet, is onderzocht wat de status van de implementatie van de normen is, die Waternet voor zichzelf hanteert:

4

T echnische systemen kunnen zowel op c omponent- als s ysteemniveau redundant worden uitgevoerd. D it houdt in dat bepaalde onderdelen dubbel, of nog vaker, aanwezig zijn, zodat het geheel goed blijft func tioneren wanneer een onderdeel uitvalt. 5 Bijvoorbeeld dosering, klepstand, toerental pomp, etc.

Pagina 14 van 42

Onderzoeksrapport Waternet | 31 maart 2021

1) 2)

Status implementatie Baseline Informatiebeveiliging Overheid (hierna BIO) 6 Status implementatie PA-norm

Daarnaast heeft de ILT ervoor gekozen een aantal onderwerpen uit de BIO en PAnorm nader te onderzoeken. Dit zijn onderwerpen die ook terugkomen in de ministeriële regeling die ten tijde van dit onderzoek in voorbereiding was. 2.3.1.

Status implementatie BIO Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO is de vervanger van eerdere baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies. De BIO is een baseline van maatregelen met een beoogd beschermingsniveau tot en met Basis Bescherming Niveau 2 (BBN2) 7. Dit niveau gaat er van uit dat een actor over beperkte middelen, kennis en tijd beschikt om een aanval uit te voeren. Voor bescherming tegen geavanceerde actoren (zoals cybercriminelen en statelijke actoren) zullen, op basis van een adequate risicoanalyse, aanvullende maatregelen getroffen moeten worden. In het C yber Security Beeld Nederland 2020 stelt de NC TV, dat de dreiging in Nederland vooral afkomstig is van statelijke actoren en criminelen. Voor Waternet geldt dus ook, dat naast de BIO, aanvullende maatregelen noodzakelijk zijn. Bovendien geldt dat de BIO niet gericht is op beveiliging van PA, maar op de beveiliging van kantoorautomatisering (KA) 8. Daarom heeft de sector drinkwater zelf aanvullend een PA-norm opgesteld. Voor dit onderzoek is het van belang om te weten in welke mate Waternet aan de BIO voldoet, omdat de toegang tot de PA-drinkwater loopt via de KA. Eventuele kwetsbaarheden in de KA kunnen daarmee impact hebben op de PA-drinkwater. In 2020 zijn er 2 onderzoeken geweest naar de toestand van de BIO-implementatie.

Uit het eerste onderzoek komt naar voren dat Waternet maar ten dele aan de BIO voldoet (45%). Er zijn onder andere tekortkomingen geconstateerd op het vlak van patch- en kwetsbaarhedenmanagement, configuratiemanagement, eigenaarschap van data, systemen en applicaties, classificatie van systemen en data en een standaard maatregel set. Het tweede onderzoek heeft een BIO volwassenheidsscore opgeleverd van gemiddeld 1,54 (op een schaal van 1-5). Daarbij staat een waarde 1 voor initieel/reactief en een waarde 2 voor herhaalbaar/ad-hoc. Dit lage volwassenheidsniveau verklaart (deels) de moeite die de organisatie heeft met implementatie en verbeteringen van maatregelen. Volgens het tweede onderzoek scoort de volwassenheid van de PA-omgeving hoger dan het overall Waternet gemiddelde. De score wordt echter niet nader gekwantificeerd.

6 E en gedeelte van de cybersecurity beheersmaatregelen binnen Waternet is generiek en behelzen zowel de generieke ICT/kantoorautomatisering (KA) alsook de procesautomatisering (PA). D enk bijvoorbeeld aan de taken en verantwoordelijkheden van de CISO, security beleid of risicomanagement. D at rechtvaardigt een bredere blik op de organisatie en dus ook op relevante onderwerpen uit de BIO. 7 Bron: www.bio- overheid.nl 8 D e BIO is bedoelt voor I nformatie T echnologie (IT), waar de kantoorautomatisering (KA) onder valt, en is gericht op het beschermen van de vertrouwelijkheid van informatie. Binnen de O perationele T echnologie (O T), waar de procesautomatisering (PA) onder valt, ligt de nadruk op de beschermen van letsel aan mens en omgeving.

Pagina 15 van 42

Onderzoeksrapport Waternet | 31 maart 2021

In meerdere interviews die de ILT heeft gehouden, blijkt dat er erg op individuele kwaliteit van medewerkers wordt vertrouwd. De vastlegging van IC T, PA en security werkprocessen is beperkt. Conclusie De lage volwassenheids-score duidt op een zeer reactieve organisatie. Kwaliteit en herhaalbaarheid van werkzaamheden/processen is in het algemeen beperkt geborgd. De organisatie vertrouwt sterk op de individuele kwaliteiten van medewerkers. Waternet vindt zelf dat zij, als organisatie behorende tot de vitale infrastructuur, minimaal gemiddeld een 3 (gedefinieerd/proactief) zou moeten behalen. Waternet heeft zelf inzicht in de maatregelen die ze nog moet nemen om BIOcompliant te worden. Het management is zich ervan bewust dat er nog veel werk moet worden verricht. Een planning voor het bereiken van BIO-compliance is echter niet aangetroffen. Het is evenmin vast te stellen in hoeverre bepaalde verbeteringen al gerealiseerd zijn. NB: De plicht om te voldoen aan de BIG (de voorganger van de BIO) en vervolgens de BIO, dateert (al) uit 2013. Het voldoen aan de BIO betekent nog niet dat de informatiebeveiliging op orde is, omdat de BIO slechts een baseline betreft. Aanvullende beheersmaatregelen, zoals bijvoorbeeld de PA-norm, zullen op basis van een risicoanalyse moeten worden vastgesteld. 2.3.2.

Status implementatie PA-norm De PA-norm is een door de drinkwatersector zelf opgesteld. Het doel is om de beveiliging van de PA te verhogen. De maatregelen zijn gericht op het voorkomen van ongewenste toegang tot de PA of het snel detecteren van ongewenste toegang. Het Leveringsplan 2020-2024 bevat resultaten van een uitgevoerde audit naar de opzet en het bestaan van de 42 maatregelen in de PA-norm. Uit de audit van 2020 blijkt dat Waternet aan 34 van de 42 maatregelen voldoet. 8 maatregelen voldoen deels. Het betreffen maatregelen op het terrein van: 1) 2) 3) 4)

Back-ups (ten tijde van het ILT-onderzoek bleek dit inmiddels opgelost) Event-logging & monitoring Verantwoordelijkheden en procedures, rapportages en opvolging van informatie beveiligingsgebeurtenissen. C ontinuïteit en zonering

Naar aanleiding van deze audit heeft Waternet een verbeterplan opgesteld. Per verbetervoorstel is een planning, een verantwoordelijke en een uitvoerder aangewezen. De actuele status van dit verbeterplan en de individuele toestand/implementatiestatus van verbeteringen was ten tijde van het onderzoek niet beschikbaar. Wel heeft Waternet aangegeven dat nog niet alle verbeterpunten zijn geïmplementeerd. Als reden hiervoor wordt aangegeven dat dit, onder meer, te maken heeft met de hectiek die ontstond na een aantal media-publicaties. De ILT vraagt zich af of door het afwijkende karakter 9 van Waternet ten opzichte van de andere drinkwaterbedrijven het gehanteerde risicoprofiel representatief is. 9 Waternet heeft als enige uit de sector naast drinkwater ook taken op het vlak van waterbeheer, waterzuivering en objectbediening. Waternet is daarmee mogelijk een aantrekkelijker doelwit dan andere

Pagina 16 van 42

Onderzoeksrapport Waternet | 31 maart 2021

De audit heeft zich, in overeenstemming met de afspraken van de sector voor de invoering van de PA-norm, alleen gericht op de opzet en het bestaan. Het is daarmee nu niet duidelijk of de werking en de effectiviteit van de maatregelen afdoende is 10. Conclusie Een heel groot deel van de maatregelen uit de PA-norm heeft Waternet geïmplementeerd. Hierdoor is bijvoorbeeld de kans op ongeautoriseerde toegang tot de PA verkleind. Echter, een deel van de nog niet opgeloste, geconstateerde tekortkomingen zijn relatief zwaar. Want zij kunnen leiden tot het niet, of te laat, detecteren van ongewenste acties of aanvallen op de systemen binnen de PA. Daarnaast leiden de beperkingen ten aanzien van incidentmanagement er mogelijk toe, dat kwetsbaarheden niet of onvoldoende worden verholpen. NB: Waternet heeft bovenstaande onderkend. Er is een kwartiermaker aangesteld, die een Security Operations C enter (SOC ) aan het opzetten is. Een SOC kan de benoemde tekortkomingen aanpakken. 2.3.3.

Onderwerpen nader onderzocht De ILT heeft een aantal onderwerpen uit de BIO en PA-norm nader onderzocht. Dit zijn onderwerpen die ook terugkomen in de ministeriële regeling die ten tijde van dit onderzoek in voorbereiding was. Het betreft de volgende onderwerpen: • • • • • • • •

Risicoanalyse; Verbeter- en evaluatie proces; Lifecycle management; Zonering / kennis van systemen / C MDB; Patchmanagement; Derden-Overeenkomsten; Logische toegangsbeveiliging; Logging/monitoring & response.

Risicoanalyse Het ontbreekt binnen Waternet momenteel aan een ingericht risicomanagementproces (conform een erkende standaard of industry recommended practice). Daar waar cyberrisico’s ingeschat zijn wordt onvoldoende rekening gehouden met de dreiging door geavanceerdere actoren (staten, criminelen); zie ook paragraaf 2.3.1. Er vindt onvoldoende toetsing plaats of de maatregelen uit de PA-norm ook voor Waternet afdoende zijn 11. In augustus 2020 heeft Waternet een risicomanager a.i. aangesteld. Hij heeft tot taak het risicomanagement organisatie breed in te richten.

drinkwaterbedrijven. Bovendien beschikt Waternet over minder productielocaties dan andere drinkwaterbedrijven. D e impact van de verstoring van 1 van die productielocaties, kan daardoor een grotere impact hebben, dan een verstoring bij een drinkwaterbedrijf met meerdere productielocaties. D aarnaast s peelt schaalgrootte en de locatie mogelijk een rol. Waternet bedient met haar drinkwatervoorziening een metropool en is daardoor mogelijk aantrekkelijker voor een aanval dan een ander drinkwaterbedrijf. 10 O m de werking te kunnen beoordelen zullen de maatregelen ook enige tijd actief moeten zijn gewet. 11 V anwege het reeds eerder benoemde, c omplexere profiel van Waternet ten opzichte van de rest van de drinkwatersector.

Pagina 17 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Conclusie De volledigheid van te onderkennen risico’s, alsmede het effect/werking van genomen maatregelen wordt niet geborgd. Er is daarmee geen aantoonbaar inzicht in de cybersecurityrisico’s voor relevante assets. Verbeter- en evaluatie proces Waternet beschikt niet over een (intern controle) proces waarmee de opzet, bestaan en werking/effectiviteit van beheersmaatregelen periodiek worden getoetst. Dit openbaart zich op meerdere gebieden: •

• •

•

•

penetratietesten worden ad-hoc uitgevoerd. Aan de uitvoering liggen geen planning of andere systematiek ten grondslag. Eventuele ontdekte securityproblemen worden (vooral) ad-hoc opgelost. Deze worden niet gebruikt om van te leren of structurele verbeteringen door te voeren; technische bevindingen uit penetratietesten worden onvoldoende vertaald naar bedrijfsrisico’s. Dit heeft tot gevolg dat prioriteitstelling niet adequaat verloopt; bij de uitgevoerde audits is tot op heden in hoofdzaak gekeken naar opzet en bestaan van maatregelen. De beoordeling of de maatregelen doen wat ze moeten doen, en daarmee het beoogde effect realiseren (de werking), vindt niet tot nauwelijks plaats; het ontbreekt aan samenhangende verbeterprogramma’s met een planmatige aanpak. Er is ten tijde van het onderzoek geen overzicht/dashboard van verbetertrajecten, of de status ervan aangetroffen. De sturing op verbeteringen is onduidelijk en gefragmenteerd; er vindt geen structurele rapportage van de verbetercyclus plaats. Daardoor worden problemen niet zichtbaar gemaakt voor het management.

Over de werking van specifieke security-maatregelen of processen wordt niet gerapporteerd. Zo heeft de ILT voor bijvoorbeeld patchmanagement 12 geen periodiek overzicht, van al dan niet doorgevoerde patches aangetroffen (zie tevens verderop). Het risicomanagement is niet voldoende ontwikkeld. Er is ook geen informatie over de werking/effectiviteit van maatregelen beschikbaar. Hierdoor is er ook onvoldoende overzicht van eventuele risico’s en noodzakelijke verbeteringen op centraal niveau. Conclusies Voor het doorvoeren van verbeteringen wordt vaak gewerkt volgens de PDC Acyclus 13. Bij Waternet zijn de C heck en Act stappen minder goed ontwikkeld. Daarom zal procesverbetering worden afgeremd: na implementatie wordt dan onvoldoende getoetst of de implementatie effectief is en/of de gehanteerde norm (bijv. kritieke prestatie-indicatoren 14 (kpi’s)) realistisch is. Doordat bovendien een integraal beeld op cybersecurity ontbreekt, lijkt ook de koppeling tussen Plan en Do te ontbreken. Waternet is tot nu toe beperkt in staat gebleken om verbeteringen systematisch en planmatig te realiseren. Een generiek proces voor het oppakken en monitoren (dashboards) van verbeteringen is niet aangetroffen.

12 P atchmanagement is het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende s oftwarecomponenten van) een computersysteem. 13 U it de Plan-Do-Check-Act c yclus volgens William Edwards D eming (1950). 14 M et kritieke prestatie-indicatoren kunnen prestaties worden gemeten.

Pagina 18 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Mogelijke input voor verbeterprocessen, bijvoorbeeld de resultaten van penetratietesten, worden niet als zodanig gebruikt. Daardoor wordt de effectiviteit van maatregelen mogelijk niet voldoende bijgestuurd. Lifecycle management Lifecycle management is nog onvoldoende ingevoerd vooral in het KA-domein; Waternet heeft daar een (te) groot aantal applicaties in bedrijf. Deze applicaties zijn ook vaak verouderd. Bij de proceseigenaren is een beperkt besef van de levensduur van applicatieondersteuning. Voor de eventueel verouderde en niet meer ondersteunde applicaties betekent dat ook dat kwetsbaarheden mogelijk niet meer kunnen worden gemitigeerd 15 en dat er onevenredig veel capaciteit en geld aan onderhoud moet worden besteed. Conclusie Door het nog in bedrijf hebben van niet meer door leverancier ondersteunde applicaties en/of systemen kunnen kwetsbaarheden niet meer worden verholpen. Eventuele kwetsbare systemen/applicaties, bijvoorbeeld binnen de KA kunnen dan mogelijk ook dienen als ‘springplank’ voor een aanval op andere systemen 16. Zonering / kennis van systemen / CMDB Waternet hanteert een zonering en scheiding van netwerken en systemen. Zo zijn de KA en PA van elkaar gescheiden. In het geval van een relevante aanvalsdreiging, kan de PA drinkwater worden losgekoppeld van de andere netwerken. Deze PA kan dan in ‘eilandbedrijf’ functioneren.

Binnen de PA is aanvullende scheiding/zonering aangebracht. Daarbij zijn de verschillende functionaliteiten waaronder drinkwater, objectbediening en afvalwater ook van elkaar gescheiden. Een deel van de netwerkscheiding binnen de PA-beheer is virtueel/logisch uitgevoerd. Dit geeft beperkingen in de mogelijkheden om gecontroleerd netwerk uitval-scenario’s te kunnen testen 17. Het ontbreekt aan een volledig en compleet assetoverzicht. Bijvoorbeeld vastgelegd in een C onfiguratie Management DataBase (C MDB) en classificatie. De ILT heeft (netwerk)tekeningen aangetroffen. Deze zijn echter op detailniveau niet altijd meer up-to-date. Conclusie Op dit moment is er afdoende scheiding tussen de PA (drinkwater) en de overige PA en KA. Daardoor hoeft het compromitteren (in gevaar brengen) van een specifieke zone niet direct een dreiging voor een andere zone in te houden. Anders gezegd: eventuele security problemen binnen de KA zijn geen directe dreiging voor de PA drinkwater. NB. Met de toenemende digitalisering is het de vraag of deze strikte scheiding gehandhaafd kan blijven en of de organisatie zich voldoende bewust is van de eventuele risico’s die hieraan vastzitten. 15

V oorkomen of reduceren van de negatieve gevolgen van kwetsbaarheden. D e I LT heeft geen onderzoek gedaan of er binnen de PA kwetsbare s ystemen aanwezig waren. Bij een virtuele scheiding lopen er meerdere (logische) netwerken over dezelfde fysieke verbinding en apparatuur. Bij het testen van een netwerkuitval-scenario in een fysieke omgeving kan een fysieke verbinding worden losgekoppeld om te zien wat er gebeurt. Bij het loskoppelen van een fysieke verbinding in een virtuele scheiding valt er meer uit dan het netwerk dat men wil testen; namelijk alle virtuele netwerken die van deze verbinding gebruikmaken. I n dat geval is er mogelijk niet alleen sprake van uitval van de PA-drinkwater, maar wellicht ook van PA-waterzuivering of PA-peilbeheer.

16 17

Pagina 19 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Patchmanagement Waternet heeft voor de PA drinkwater patchmanagement ingericht. Waternet scant daarnaast ook periodiek de eigen omgeving op mogelijke kwetsbaarheden en/of gemiste patches. Eventuele omissies worden op operationeel niveau (de werkvloer) verholpen. Er wordt echter geen managementrapportage gegenereerd die inzicht geeft in de algehele patch-/kwetsbaarhedenstatus; en die mogelijk input kan vormen voor een verbeterproces. Conclusie In de praktijk lijkt patchmanagement op orde. Eventuele omissies met betrekking tot missende patches worden ad-hoc opgelost. Er wordt hierover niet gerapporteerd. Daardoor kunnen eventuele tekortkomingen van het patchmanagementproces niet gedetecteerd en bijgestuurd worden. Derden-Overeenkomsten Daar waar werkzaamheden door derden worden uitgevoerd, vindt dit altijd onder begeleiding van, en met toestemming van Waternet-medewerkers plaats. Waternet neemt bij het verlenen van opdrachten de cybersecurity(-eisen) onvoldoende mee (nieuwbouw, vervanging, onderhoud). Daardoor voldoen systemen/projecten bij oplevering niet altijd aan de security-eisen. Conclusie Er is onvoldoende borging in het meenemen van security-eisen bij werkzaamheden door derden. Daardoor doet het risico zich voor dat er systemen in gebruik zijn die niet aan alle security-eisen voldoen.

Logische toegangsbeveiliging Waternet hanteert 1-factor authenticatie (gebruikersnaam en wachtwoord) voor toegang tot de PA-omgeving. Toegang tot de PA verloopt altijd vanuit de KA via de demilitarized zone 18 (DMZ). Tijdens twee recente onderzoeken/testen is gepoogd om vanuit de KA ongeautoriseerd toegang te verkrijgen tot (systemen binnen) de PA. Dit is in beide gevallen niet geslaagd. Hierbij maken we wel de kanttekening dat deze testen maar beperkt 19 waren. Waternet hanteert processen voor het toekennen en evalueren van toegangsrechten. Dit proces verloopt echter (grotendeels) handmatig. Hierdoor is een risico op vervuiling van de rechten aanwezig. Hierdoor behouden exmedewerkers, of mensen die een andere functie gaan bekleden, onbedoeld rechten. Conclusie Het ‘hacken’ van gebruikers binnen de KA leidt niet direct, en zeker niet eenvoudig, tot toegang tot de PA. De ILT merkt hierbij wel op dat nooit kan worden uitgesloten dat een zeer ‘skilled’ aanvaller, met veel tijd en middelen, wel een succesvolle ‘hack’ zou kunnen uitvoeren. Logging/monitoring & response Binnen de PA drinkwater is een gespecialiseerd Intrusion Detection System (IDS) ingericht. Dit systeem kan onder andere onbedoelde procesmanipulatie, aanvallen en andere ongeregeldheden detecteren. Er wordt binnen PA drinkwater gelogd op security-gerelateerde gebeurtenissen.

Het controleren van deze logging, of opvolging van meldingen vanuit deze IDS-systemen, vindt echter niet volcontinue 18

D it is een netwerksegment dat zich tussen twee netwerken bevindt. Beperkt in tijdsduur en gebruikte technieken. H et valt niet uit te sluiten dat een aanvaller met veel meer tijd en de mogelijkheid om alle technieken (bijvoorbeeld s ocial engineering) in te zetten wel kan slagen. 19

Pagina 20 van 42

Onderzoeksrapport Waternet | 31 maart 2021

(24/7) plaats. Het ‘virtuele Security Operations C enter (SOC )’, dat deze meldingen afhandelt, is tijdens werkdagen (9ux5) actief. Het betreft een virtueel SOC ; geen vaste groep medewerkers. De medewerkers die in het virtuele SOC participeren hebben vooral ook andere taken/prioriteiten. Tijdige opvolging van eventuele alerts kan dus een aandachtspunt zijn. Logging/detectie binnen de KA is ook nog te beperkt ingericht. Hierdoor kunnen ook aanvallen op de PA via de KA mogelijk niet, of te laat worden opgemerkt. Er zijn meerdere documenten over het melden van incidenten aangetroffen. Deze documenten geven echter geen invulling aan het behandelen, analyseren, oplossen, rapporteren en evalueren van security-incidenten. Conclusie Eventuele aanvallen, of pogingen daartoe, worden mogelijk te laat opgemerkt. Hierdoor is het risico aanwezig, dat aanvallen niet gestopt worden en/of ongemerkt plaatsvinden. Door het ontbreken van voldoende uitgewerkte incident-response processen, is er het risico dat te ad-hoc gewerkt wordt en dat het doen van meldingen, in het kader van de meldplicht, over het hoofd wordt gezien. NB: Waternet heeft het gemis van bovenstaande punten onderkend. Waternet is bezig dit te verbeteren door het opzetten van een SOC . 2.4

Meldplicht Melden incident met aanzienlijke gevolgen voor continuïteit levering drinkwater Incidenten met aanzienlijke gevolgen voor de continuïteit van de levering van drinkwater leiden tot het (getrapt) opschalen van de Waternet-crisisorganisatie (NB: dat betreft dus niet alleen cyberincidenten). De ‘leider operationeel team’ van de crisisorganisatie is ook verantwoordelijk voor het doen van de melding naar de toezichthouder. Geïnterviewden spreken de verwachting uit dat hiermee meldingen in categorie ‘incidenten met aanzienlijke gevolgen’ van de Wbni zijn afgedekt. Geïnterviewden geven aan dat er ten aanzien van dit deel van de meldplicht, niet formeel en expliciet, processen zijn geregeld of vastgelegd. Externe onderzoeken 20 bevestigen dat incident-managementprocessen nog niet (afdoende) zijn ingericht. Bij een deel van de geïnterviewden is de drempelwaarde waarvoor een melding moet worden gedaan niet bekend. Melden inbreuk die aanzienlijke gevolgen kan hebben voor continuïteit levering drinkwater Een inbreuk in de IC T/PA die aanzienlijke gevolgen kan hebben voor de continuïteit van de levering van drinkwater, zal niet leiden tot het opschalen van de crisisorganisatie. Hierdoor wordt het signaleren van het al of niet moeten uitvoeren van een melding, niet door de crisisorganisatie ingevuld.

C ybersecurity gerelateerde IC T/PA incidenten zullen via de security- organisatie (ISO/C ISO) worden afgehandeld. Een eventuele melding zal hierbij ad-hoc worden gedaan. Conclusie Het is te verwachten dat daadwerkelijke incidenten, die boven de drempelwaarde uitstijgen, via het Departementaal C oördinatiecentrum C risisbeheersing (DC C) van

20

Bijvoorbeeld de onderzoeken naar BIO-implementatie en PA-norm.

Pagina 21 van 42

Onderzoeksrapport Waternet | 31 maart 2021

het ministerie van Infrastructuur en Waterstaat bij de ILT gemeld zullen worden via de procedures binnen de dan actieve crisisorganisatie. Door het ontbreken van formele procedures is het aannemelijk dat een inbreuk op de beveiliging, die aanzienlijke gevolgen kan hebben voor de continuïteit van drinkwater, niet gemeld zal worden. Procedures voor incident-management, en het eventueel moeten melden van inbreuken bij het Nationaal C yber Security C entrum (hierna NC SC ), zijn niet opgesteld. 2.5

Conclusies cybersecurity Hieronder staan de meest zwaarwegende bevindingen (tekortkomingen). Deze tekortkomingen maken dat de ILT van oordeel is dat Waternet, ten tijde van het ILT-onderzoek, onvoldoende ‘in control’ is over haar cybersecurity. Tekortkomingen zorgplicht Risicomanagement Waternet heeft risicomanagement onvoldoende ingericht. Daarmee is er onvoldoende zicht op: • daadwerkelijke (cyber)risico’s, • of er passende maatregelen zijn getroffen, • of er voldoende maatregelen zijn getroffen en • of eventuele restrisico’s 21 bewust geaccepteerd zijn. Waternet schat veel cyber-gerelateerde risico’s laag in (lage kans of lage impact 22). Zo houdt zij ook onvoldoende rekening met dreiging door geavanceerde actoren 23. Daarmee is er onvoldoende zekerheid dat er afdoende maatregelen getroffen zijn. Evaluatie/verbeterprocessen Door het ontbreken van een structurele en periodieke toetsing op bestaan en werking/effectiviteit van maatregelen, ontbreekt het aan inzicht of maatregelen afdoende zijn. Daarnaast ontbreekt hierdoor ook belangrijke input voor risicomanagement. Door het ontbreken van structurele (management)rapportages/dashboards over cybersecurity, ontbreekt het aan noodzakelijk inzicht. Door tekortkomingen in de PDC A-cyclus worden eventuele verbeteringen ad-hoc doorgevoerd. Daardoor vindt er onvoldoende sturing op voortgang en resultaat plaats.

Detectie & incident response Door de nu nog beperkte opsporingsmogelijkheden, in combinatie met een mogelijk niet tijdige afhandeling van incidenten, bestaat het risico dat (pogingen tot) aanvallen te laat (of niet) worden opgemerkt. Door beperkingen in de incident-response procedures bestaat het risico dat het oplossen van incidenten (te) laat start of langer duurt dan noodzakelijk. Waternet is nog onvoldoende toegerust om incidenten tijdig op te sporen en/of af te handelen.

21 E en restrisico is een risico dat overblijft na het treffen van beheersmaatregelen en bewust geaccepteerd wordt. Bijvoorbeeld omdat de impact verlaagd is tot een acceptabel niveau. 22 I nschatting op basis van getroffen beheersmaatregelen 23 D aders met veel kennis, tijd, motivatie en/of geld zoals statelijke actoren, c riminelen etc.

Pagina 22 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Tekortkoming meldplicht Het ontbreken van procedures voor de meldplicht, in geval van IC T-inbreuken aan het NC SC vindt de ILT ongewenst. Waternet meldt daardoor mogelijk niet of te laat waardoor het niet tijdig ondersteuning krijgt vanuit het NC SC . Als gevolg daarvan duurt het langer om incidenten op te lossen en kunnen de gevolgen van incidenten onnodig groter worden.

Pagina 23 van 42

Onderzoeksrapport Waternet | 31 maart 2021

3

Besturing en waarborging drinkwatertaak

3.1

Inleiding In dit hoofdstuk wordt de tweede onderzoeksvraag beantwoord: Hoe is de besturing bij Waternet ingericht? En is een doeltreffende sturing op cybersecurity en drinkwater zichtbaar? In bijlage C is het gehanteerde kader opgenomen.

3.2

Inrichting en functioneren van de bestuurlijke structuur In deze paragraaf wordt ingegaan op de inrichting van de bestuurlijke structuur van Stichting Waternet en op de wijze waarop de bestuurlijke structuur in het kader van de leveringszekerheid en kwaliteit van drinkwater functioneert. De eerste subparagraaf (3.2.1.) bevat de bevindingen met betrekking tot de inrichting van de bestuurlijke structuur. De tweede subparagraaf (3.2.2.) bevat de bevindingen en conclusies met betrekking tot het functioneren van de bestuurlijke structuur. De derde paragraaf (3.3.3.) bevat de conclusies.

3.2.1.

Inrichting van de bestuurlijke structuur In onderstaande figuur is de mandatering en verantwoording tussen het Stichtingsbestuur Waternet, het Waterschap AGV en de gemeente Amsterdam schematisch weergegeven.

Figuur: Structuur stichting en mandatering-verantwoording (bron: Stichting Waternet)

Het college van B&W van de gemeente Amsterdam heeft de algemeen directeur van Waternet gemandateerd voor de uitvoering van de drinkwatertaak. De

Pagina 24 van 42

Onderzoeksrapport Waternet | 31 maart 2021

verantwoordelijkheid en bevoegdheid voor beslissingen over de drinkwatertaak ligt bij het college van B&W van de gemeente Amsterdam. Waternet is voor wat betreft de drinkwatertaak te zien als een uitvoeringsorganisatie van de gemeente Amsterdam. De gemeente Amsterdam is eigenaar van alle installaties voor de drinkwatervoorziening. Vanuit Waternet wordt voor de drinkwatertaak beleid voorbereid voor de gemeente Amsterdam. De algemeen directeur is volgens de statuten, het directiereglement 24 en de samenwerkingsovereenkomst 25 tussen de gemeente en Waternet, eindverantwoordelijk voor de voorbereiding en uitvoering van de aan de directie opgedragen taken. De algemeen directeur vervult niet een rol van dagelijks bestuurder bij Waternet 26. De algemeen directeur legt over het uitvoeren van de drinkwatertaken verantwoording af aan het college van B&W. De gemeenteraad controleert het college van B&W op de drinkwatertaak die onder verantwoordelijkheid van het college van B&W door Waternet wordt uitgevoerd. De gemeenteraad heeft volgens de figuur op de vorige pagina het toezicht belegd bij het college van B&W, maar is bevoegd het college van B&W te controleren. Het extern toezicht op de uitvoering van de drinkwatertaak ligt bij de ILT.

De verdeling van de bevoegdheden tussen de algemeen directeur, het stichtingsbestuur, de gemeente Amsterdam en het Waterschap AGV zijn nader uitgewerkt in statuten, het directiereglement en de samenwerkingsovereenkomst. In de bepalingen uit de statuten en uit de samenwerkingsovereenkomst inclusief toelichtingen die daarover zijn ontvangen, valt het volgende op: •

De bestuurlijke verantwoordelijkheid voor beleidsrealisatie van de drinkwatertaak en de bevoegdheid om besluiten te nemen over de drinkwatertaak, ligt bij het college van B&W. De drinkwatertaak (beleidsrealisatie) wordt alleen op het niveau van het college van B&W besproken. Dat gebeurt niet in het stichtingsbestuur. In interviews is toegelicht dat er geen vermenging van verantwoordelijkheden mag plaatsvinden. De bedrijfsvoering wordt alleen op het niveau van het stichtingsbestuur besproken. Besluitvorming over de bedrijfsvoering kan namelijk alleen in gezamenlijkheid met het waterschap worden bepaald. Hierdoor is er geen bestuurstafel waarop bedrijfsvoeringaspecten en de drinkwatertaak in hun samenhang worden besproken.

•

Het toezicht op de interne organisatie 27 van Waternet is belegd bij het stichtingsbestuur. Het stichtingsbestuur heeft volgens de samenwerkingsovereenkomst een verantwoordelijkheid om toezicht te houden op afspraken uit de samenwerkingsovereenkomst en de algemene gang van zaken bij Waternet. Er is geen nadere uitwerking aanwezig over de wijze waarop het stichtingsbestuur hier invulling aan geeft. Volgens de statuten heeft het stichtingsbestuur de bevoegdheid om de stichting te besturen. Dit wekt de indruk dat het stichtingsbestuur volledig verantwoordelijk zou zijn voor het bestuur. De bevoegdheid voor beslissingen over de drinkwatertaak ligt echter

24

Bron: Statuten 2010, D irectiereglement 2020. Samenwerkingsovereenkomsten gemeente Amsterdam, Waterschap AGV en Stichting Waternet (1997, 2 0 05 en 2010, de s amenwerkingsovereenkomst uit 2005 betreft de drinkwatertaak). 26 D oor de algemeen directeur is toegelicht dat voor zover van een dagelijks bestuur van Waternet kan worden gesproken, die rol ligt bij de gezamenlijke directie bestaande uit zes directeuren. 27 U it interviews blijkt dat met interne organisatie de bedrijfsvoering wordt bedoeld, wat hier onder valt is niet gedocumenteerd maar wel in interviews toegelicht. 25

Pagina 25 van 42

Onderzoeksrapport Waternet | 31 maart 2021

niet bij het stichtingsbestuur maar bij het college van B&W. Dit geeft onduidelijkheid over de precieze verantwoordelijkheid van het stichtingsbestuur. •

Taken die vanuit het stichtingsbestuur aan de algemeen directeur zijn opgedragen zijn niet nader uitgewerkt. Met uitzondering van het benoemen, schorsen en ontslaan van directieleden.

De bedrijfsvoering en het primaire proces (uitvoering van de drinkwatertaak) raken elkaar bij het treffen van beveiligingsmaatregelen binnen de PA. Die maatregelen moeten bijdragen aan de leveringszekerheid en de kwaliteit van het drinkwater. Ook de IT en de inrichting en werking van risicomanagement zijn van belang, om zicht te hebben op de uitvoering en waarborging van de drinkwatertaak. 3.2.2.

Functioneren van de bestuurlijke structuur Verantwoording aan het stichtingsbestuur De algemeen directeur legt verantwoording af over de bedrijfsvoering aan het stichtingsbestuur. Dit doet hij onder andere door 3 keer per jaar een bestuursrapportage toe te sturen. Het stichtingsbestuur komt 4 keer per jaar tijdens vergaderingen bij elkaar. Vertragingen in de voorgang van de digitalisering, 28 worden door de algemeen directeur aan het stichtingsbestuur gemeld. De ILT ziet een reflectie op de oorzaken en de gevolgen van de vertraging en het treffen van corrigerende maatregelen niet terug. Diverse personen geven in de interviews met de ILT aan, dat in de informatievoorziening over de voortgang van de digitalisering en de cyberveiligheid een goede duiding ontbreekt. Een toelichting op knelpunten, die ontstaan als gevolg van het niet tijdig realiseren van geplande verbeteringen, geeft de organisatie niet. C oncrete informatie over de kwaliteit en ontwikkeling van de PA van de drinkwatervoorziening heeft de ILT in deze rapportages niet aangetroffen. Informatie over de werking van risicomanagement (zowel organisatiebreed als specifiek op drinkwater) ontbreekt in de verantwoording. Toezicht door het stichtingsbestuur Uit notulen van de afgelopen jaren blijkt dat het stichtingsbestuur slechts een beperkt aantal kritische vragen stelt over de ontvangen rapportages.

Deze vragen hebben onder meer betrekking op het niet tijdig realiseren van verbeteringen in de digitalisering. Er is geen informatie aangetroffen over de opvolging van de gestelde vragen. Toezicht op de drinkwatertaak vindt niet plaats door het stichtingsbestuur. De waarborging van drinkwater door middel van veilige PA krijgt vanuit het stichtingsbestuur géén aandacht; de drinkwatertaak valt als bestuurlijk thema onder toezicht van het college van B&W. Verantwoording aan de gemeenteraad via het college van B&W De algemeen directeur legt verantwoording af over de uitvoering van de drinkwatertaak aan het college van B&W. Vervolgens legt het college van B&W hierover verantwoording af aan de gemeenteraad. Deze verantwoording bestaat uit de financiële resultaten en enkele kritieke prestatie-indicatoren 29. 28

Bron: notulen overleg s tichtingsbestuur, 5 februari 2020. Kpi’s bij drinkwater waarover het c ollege van B&W verantwoordingsinformatie geeft aan de gemeenteraad, zijn: voldoen aan wettelijke kwaliteitsnorm, aantal geplande ondermaatse leveringsminuten, 29

Pagina 26 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Onderwerpen zoals drinkwaterveiligheid, doelmatigheid, waarborgen van leveringszekerheid, cyberveiligheid, en de voortgang van de verbeteringen in de beleidsuitvoering, ontbreken in de verantwoording. Ook legt de algemeen directeur geen verantwoording af over de werkwijze en de resultaten van het toezicht door het stichtingsbestuur. Daardoor kan de gemeenteraad haar controlerende rol niet goed uitvoeren. Bestuurlijke verantwoordelijkheid en toezicht college van B&W Uit het onderzoek blijkt dat het toezicht van het college van B&W op de uitvoering van de drinkwatertaak zich beperkt tot de beleidsrealisatie en thema’s zoals loodproblematiek en medicijnresten in drinkwater. Wat betreft de uitvoering van de drinkwatertaak is er vooral betrokkenheid bij financiële onderwerpen (onder andere onderdelen voor de gemeentelijke begroting en jaarrekening, investeringen voor drinkwater en tariefbepaling) en een aantal kritieke prestatie-indicatoren zoals het aantal aansluitingen en klanttevredenheid. De ILT heeft niet waargenomen dat het college van B&W om meer informatie vraagt, bijvoorbeeld over de inrichting van risicomanagement. Toezicht op de leveringszekerheid en de drinkwaterveiligheid, vindt op bestuurlijk niveau niet of nauwelijks plaats. Het college van B&W zag tot voor kort het belang van cyberveiligheid voor de drinkwatervoorziening niet als bestuurlijk thema.

Maar als onderdeel van bedrijfsvoering belegd bij het stichtingsbestuur. Het college van B&W pakt hierbij haar rol als toezichthouder beperkt op. 3.2.3.

Conclusies inrichting en functioneren van de bestuurlijke structuur •

Er is geen integraal toezicht. Op bestuurlijk niveau is er geen centrale aansturing van de drinkwatertaak: bedrijfsvoering komt op tafel bij het stichtingsbestuur; beleidsrealisatie drinkwatertaak ligt bij college van B&W en de gemeenteraad. Hierdoor is er op geen van de bestuurlijke niveaus (college van B&W en het stichtingsbestuur) een integraal beeld van de wijze waarop het bestuur de drinkwatertaak borgt. Een risico hiervan is dat er niet voldoende inzicht beschikbaar is en dat belangrijke risico’s gemist worden. Het college van B&W onderkende tot voor kort niet dat cyberveiligheid van groot belang is voor de drinkwatervoorziening. Het college van B&W zag dit als onderdeel van bedrijfsvoering, niet als essentieel beleidsonderwerp voor de drinkwatervoorziening en dus ook niet als een bestuurlijk thema. Ook het stichtingsbestuur had geen aandacht voor de waarborging van de drinkwatertaak door middel van cyberveiligheid en veilige PA. Aan het stichtingsbestuur is geen rol toebedeeld om toezicht te houden op de drinkwatertaak. Het toezicht op de waarborging van de drinkwatertaak is niet centraal belegd. De ILT ziet dit als een ontwerpfout in de bestuurlijke structuur.

•

In de statuten en de samenwerkingsovereenkomst staan tegenstrijdigheden over de verantwoordelijkheid van het stichtingsbestuur. Hierdoor is onduidelijk wat de verantwoordelijkheid van het stichtingsbestuur is.

•

De verantwoording aan het college van B&W en het stichtingsbestuur is niet volledig. Toezicht op de waarborging van de drinkwatertaak kan daardoor onvoldoende inhoudelijk plaatsvinden. Onderwerpen als de voortgang van de

aantal m3 drinkwater, aantal aansluitingen, klanttevredenheid (bron: jaarrekening 2019 gemeente A msterdam).

Pagina 27 van 42

Onderzoeksrapport Waternet | 31 maart 2021

beleidsuitvoering, drinkwaterveiligheid, leveringszekerheid en cyberveiligheid moeten duidelijker in de verantwoording naar voren komen. Monitoring, evaluatie en bijsturing moeten een prominente plek innemen in de verantwoording. •

Zowel het college van B&W als het stichtingsbestuur geven beperkt uitvoering aan hun taken als het gaat om drinkwater: Het college van B&W is opdrachtgever en bestuurlijk verantwoordelijk voor de drinkwatertaak. Uit het onderzoek blijkt dat het college van B&W beperkt verantwoording ontvangt en vraagt over de drinkwatertaak. Het betreft voornamelijk financiële gegevens. Er vindt niet of nauwelijks toezicht plaats op leveringszekerheid en drinkwaterveiligheid. Daardoor kan de gemeenteraad haar controlerende rol niet goed uitvoeren. Het stichtingsbestuur stelt zich wel kritisch op ten opzichte van de ontvangen rapportages. Ook is zichtbaar dat vragen worden gesteld over het niet op tijd realiseren van verbeteringen in de digitalisering. Maar opvolging op de kritische vraagstelling ontbreekt. De ILT is van mening, dat het stellen van een aantal kritische vragen alleen, onvoldoende invulling is van de toezichtstaak.

Pagina 28 van 42

Onderzoeksrapport Waternet | 31 maart 2021

3.3

Aansturing en waarborgen drinkwatertaken en IT Bij Waternet is in 2018 gekozen voor een functioneel directiemodel. Het uitgangspunt bij dit directiemodel is het tegengaan van verkokering in de organisatie 30. De directie, bestaande uit zes directeuren (inclusief de algemeen directeur), stuurt de organisatie gezamenlijk aan. Een overzicht van directeuren en afdelingen is in onderstaand schema opgenomen. De operationele drinkwatertaken vallen onder de Directie Assets en Operatie, waaronder ook de andere uitvoerende taken van Waternet vallen.

Figuur: Schematisch overzicht directie en afdelingen Waternet

3.3.1.

Werking organisatie nader in beeld De directie functioneert collegiaal; bij besluitvorming wordt naar eenstemmigheid gestreefd. De eindverantwoordelijkheid van de algemeen directeur houdt in dat hij hiervan kan afwijken 31. De algemeen directeur ziet zijn rol als eindverantwoordelijke vooral als een bevoegdheid om voorstellen in de directie af te wijzen of te laten aanpassen. De ILT beschouwt dit als (relatief) beperkt regie nemen ten aanzien van de inhoud. De afdelingshoofden worden aangestuurd door de directie als geheel. Een individuele directeur stuurt zijn of haar afdelingshoofden op hun functioneren en presteren aan. In een deel van de interviews is aangegeven dat met dit model een grotere afstand tussen het strategische, tactische en operationele niveau is ontstaan. Hierdoor is het risico aanwezig dat op strategisch niveau niet genoeg inzicht is in datgene wat op

30

Bron: brief van algemeen directeur aan het s tichtingsbestuur van 19 juni 2 018, waarin is aangegeven dat een tot dan gehanteerde vaste indeling in s ectoren verkokering in de hand werkt en werken over s ectorgrenzen belemmert. D e s ectorgrenzen worden nu losgelaten, er wordt gekozen voor een hybride organisatie met uniforme aansturing vanuit portefeuilles, de genoemde verwachting is dat dit integraliteit en uniform procesgericht werken bevordert. 31 Bron: directiereglement, december 2020.

Pagina 29 van 42

Onderzoeksrapport Waternet | 31 maart 2021

operationeel niveau (de werkvloer), bij de uitvoering van de drinkwatertaken, plaatsvindt. Sinds de invoering van het directiemodel in 2018 voert de directeur Assets en Operatie wekelijks lijn- en matrix-overleggen met alle afdelingshoofden die werkzaam zijn in de assetmanagementprocessen. De algemeen directeur heeft op 27 november 2020 in een brief aan het stichtingsbestuur aangegeven dat beleid vanuit de directie onvoldoende door het middenkader wordt geïmplementeerd en dat de hiërarchische aansturing dichter naar het operationele proces moet worden gebracht.