1C 20210331_ILT_Onderzoeksrapport Stichting Waternet.pdf

De directie bespreekt in de vierjaarlijkse cyclus het Leverings- en Drinkwaterplan. De ILT verwacht dat na bespreking in de planfase, ook de uitvoering, de monitoring en de bijsturing van deze plannen aan de orde komen aan de directietafel. De directie geeft aan dat het jaarplan/prestatieplan van de afdeling drinkwaterproductie met haar wordt besproken en door haar wordt vastgesteld. De stand van zaken over de uitvoering van de drinkwatertaak wordt op hoofdlijnen aan de directie gerapporteerd. Afwijkingen van planning en prognoses komen aan de orde in bilateraal overleg. De directierapportage 32 bevat in hoofdzaak financiële informatie, vrijwel geen informatie over behaalde prestatiedoelen, knelpunten of over de werking van risicobeheer. De toelichtingen over drinkwater zijn erg algemeen. Doordat de informatievoorziening beperkt is, bestaat het risico dat niet of niet tijdig door de directie op ontbrekende onderwerpen kan worden bijgestuurd. De afdelingen die betrokken zijn bij de uitvoering van de drinkwatertaak, 33 werken met elkaar samen in de vorm van een ‘matrixstructuur’. In interviews wordt aangegeven dat deze structuur als voorbeeld wordt gezien voor de overige onderdelen van de organisatie die een primair proces uitvoeren. In deze structuur vervult het afdelingshoofd Productie Drinkwater de rol van waardeketenregisseur, die supervisie voert over de drinkwaterketen.

Binnen Waternet is een crisisorganisatie ingericht voor de afhandeling van incidenten binnen het gehele proces van drinkwater. Het afdelingshoofd productie drinkwater is één van de vier operationeel leiders die leiding geven aan het operationeel team crisisorganisatie, waaraan ook PA-beheer en IT-beheer deelnemen. In 2019 heeft Waternet van twee verschillende onderzoeksbureaus de aanbeveling gekregen om duidelijkheid aan te brengen in rollen en verantwoordelijkheden, zowel in de bestuurlijke structuur als in de Waternet organisatie. De directie herkent op dat moment het signaal dat de organisatie nog te veel onduidelijkheid ervaart als het gaat om verantwoordelijkheden en besluitvorming en geeft aan dat dit in de komende maanden verder vorm krijgt binnen Waternet en binnen het digitaliseringsprogramma. In 2020 is een uitwerking hiervan echter niet opgesteld bij Waternet.

De directie neemt voltallig deel in een stuurgroep data en digitalisering. Onder deze stuurgroep functioneren een aantal regiegroepen voor de domeinen: klant, 32 Bron: directierapportage januari t/m oktober 2020, met daarin bijvoorbeeld informatie over verwachte over- of onderschrijdingen van de begroting. 33 H ieronder zijn alle afdelingen in het assetmanagementproces betrokken.

Pagina 30 van 42

Onderzoeksrapport Waternet | 31 maart 2021

medewerkers en assets. Deze regiegroepen hebben tot taak gebruikerswensen vanuit de organisatie te bespreken en hiervoor digitale oplossingen te realiseren. Twee directeuren zijn voorzitter van de regiegroepen. De directie ontvangt daarnaast ook informatie van de C ISO, over de voortgang op het gebied van cyberveiligheid en over kritische aandachtspunten waar verantwoordelijke actoren op moeten handelen. Daarmee mag worden verwacht dat de directie, voor wat betreft de digitalisering, over een goede informatiepositie beschikt. In interviews geven enkele directieleden aan dat evaluatie en bijsturing op basis van deze informatie niet genoeg plaatsvindt. Knelpunten in personele capaciteit bij de PA van de drinkwatervoorziening, komen wel bij de directie op tafel, maar worden niet aan het stichtingsbestuur gerapporteerd. 34 Afdelingen die IT-gerelateerde werkzaamheden uitvoeren, vallen onder aansturing van meerdere directeuren 35. Over deze verdeelde aansturing wordt eind 2020 door een extern adviseur 36 geconstateerd, dat dit leidt tot te weinig centraal inzicht in het beheer en onderhoud van de digitale processen. Er is meer centrale aansturing nodig. In interviews met directeuren wordt deze analyse onderschreven. Waternet heeft nog geen organisatiebreed risicomanagement-systeem ingericht. Waternet heeft in augustus 2020 een extern adviseur risicomanagement aangesteld.

Begin 2021 wordt gestart met het opstellen van een risicoprofiel en met een afweging van prioritering van risico’s en maatregelen. 3.4

Conclusies aansturing drinkwatertaken en IT •

Een combinatie van factoren maakt de besturing en daarmee de borging van de drinkwatertaak kwetsbaar: het functioneel directiemodel - waarbij de afstand tussen het strategisch en operationeel niveau (de werkvloer) als te groot wordt ervaren, beperkte verantwoordingsinformatie, nog geen gestructureerd risicomanagement voor de gehele organisatie, een niet goed werkende PDC A-verbetercyclus en een (relatief ) beperkte regierol van de algemeen directeur.

•

Ten aanzien van de samenwerking, in de uitvoering op de werkvloer, is het beeld positiever. Alle afdelingen in het assetmanagementproces werken met elkaar samen in de vorm van een ‘matrixstructuur’. In interviews wordt aangegeven dat deze structuur, waarbij het afdelingshoofd Productie Drinkwater de rol van waardeketenregisseur vervult, als goed voorbeeld wordt gezien voor de overige onderdelen van de organisatie die een primair proces uitvoeren.

•

De uitvoering van de drinkwatertaak, is in sterke mate afhankelijk van IT (incl. PA). Zowel in de sturing van de drinkwatertaak als de IT-organisatie zijn

34 I n het jaarplan/prestatieplan 2020 van de afdeling productie drinkwater worden vier belangrijke aandachtspunten genoemd, waaronder het beheer en veiligheid van procesautomatisering op orde brengen en houden. A ls knelpunt in dit plan voor de productie van drinkwater wordt genoemd dat er onvoldoende kwantiteit en kwaliteit van personeel is bij de afdeling Techniek. 35 T ot medio februari 2021 vielen IT (incl. PA) werkzaamheden onder de directeur assets en operatie (de proc esautomatisering), onder de directeur dienstverlening (de kantoorautomatisering), onder de directeur s trategie (het programma digitalisering) en onder de directeur financiën & c ontrol (de CISO) 36 M emo van extern adviseur aan het Stichtingsbestuur | 24-11-2020 | Versie 2 .5 | Vertrouwelijk

Pagina 31 van 42

Onderzoeksrapport Waternet | 31 maart 2021

kwetsbaarheden geconstateerd. Belangrijke voorwaarden voor waarborging van de drinkwatertaak zijn daardoor niet voldoende aanwezig. Recente ontwikkelingen: Waternet heeft in december 2021 besloten dat vanaf februari 2021 de afdelingen, programma’s en regiegroepen die IT-taken uitvoeren (PA, KA, programma regievoering digitalisering, en de regiegroepen digitalisering) onder een nieuw aan te stellen CIO komen te vallen. Tot december 2020 had de CISO geen bevoegdheid om in stuurgroep data en digitalisering besluiten af te dwingen. Uit de ontvangen informatie blijkt, dat deze bevoegdheid inmiddels aan de CISO toegekend. Begin 2021 is een interventieteam opgericht, met als doel in de eerste drie maanden van 2021 op een rij te zetten wat er moet gebeuren op basis van de verbeterpunten uit beschikbare ITrapporten. De ILT vindt dit een positieve ontwikkeling, maar benadrukt het belang om ook op de langere termijn voldoende grip te hebben op het uitvoeren van verbeteringen. Om hier voldoende inzicht in te hebben en tijdig bij te sturen indien nodig.

3.5

Cultuur In de eerste media-publicatie werd aan de orde gesteld dat er binnen Waternet ‘(…) een bedrijfscultuur heerst waarbij waarschuwingen van veiligheid officers structureel worden genegeerd en veiligheid ondergeschikt is gemaakt aan gebruiksgemak en ingesleten gewoontes (…) Bij de security-afdeling zou een angstcultuur zijn ontstaan. Kritiek wordt niet gewaardeerd en als je tegen bepaalde managers in gaat, volgen er represailles (…) 37’. Vanwege dit signaal heeft de ILT ervoor gekozen het onderwerp cultuur mee te nemen in het onderzoek. Met name in de interviews. Er is dus geen sprake van een diepgaand cultuuronderzoek. Wel van een beeld dat redelijk consistent terug kwam in de interviews. Dat beeld houdt in, dat personeel ervaart, dat aanspreekbaarheid en openheid meer aandacht nodig hebben. Het blijkt binnen Waternet een gewoonte om, in geval van problemen, niet direct een leidinggevende te benaderen. Als reden hiervoor wordt een cultuur van vakmanschap genoemd; men lost problemen graag zelf op. Ook wordt een cultuur genoemd van polderen (lang met elkaar spreken zonder snel een besluit te nemen) en situaties te rooskleurig inschatten. In interviews komen termen naar voren als: ‘men ziet vooral de halfvolle kant van het glas’, ‘medewerkers minder taakvolwassen dan gedacht’, ‘familiecultuur’ en een ‘impliciete cultuur’.

Het expliciet aanspreken op situaties en consequenties lijkt men ongemakkelijk te vinden. C oncreet is zichtbaar dat er twee externe publicaties nodig waren, voor de directie en het stichtingsbestuur, om meer urgentie en versnelling in de door de C ISO in gang gezette verbeteringen te brengen en verbeteringen in de aansturing vanuit de directie op te starten. Daarnaast komt in interviews naar voren dat er in de organisatie sprake is van ‘eilandvorming’. Dit vanwege grote verschillen in taakgebieden en fusies in het verleden en dat samenwerking met andere afdelingen, of teams hierdoor niet altijd vanzelf gaat. Eén van de doelstellingen die Waternet met de invoering van het functioneel directiemodel voor ogen had, was meer samenwerking en het voorkomen van eilandvorming. Dat doel lijkt nog niet bereikt.

37

Bron: D igitale beveiliging Waternet zo ‘lek als een mandje’, Follow the Money, 20 s eptember 2020

Pagina 32 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Uit de interviews, op strategisch, tactisch en operationeel niveau, blijkt dat mensen het geschetste beeld van een angstcultuur niet herkennen. 3.6

Conclusie cultuur Met betrekking tot de cultuur constateert de ILT een aantal aandachtspunten. Binnen Waternet lijkt het de gewoonte om niet expliciet te bespreken welke problemen aan de orde zijn. Daardoor is een risico aanwezig dat men te lang met problemen blijft rondlopen en problemen niet tijdig worden opgepakt. Dat aanspreekbaarheid en openheid meer aandacht nodig hebben wordt door betrokkenen op alle niveaus erkend: operationeel, tactisch en strategisch. In het volgende hoofdstuk volgt een samenvattende conclusie.

Pagina 33 van 42

Onderzoeksrapport Waternet | 31 maart 2021

4

Conclusie risico’s kwaliteit en leveringszekerheid drinkwater

In dit hoofdstuk komen de conclusies uit het onderzoek naar de cybersecurity (zie paragraaf 2.5) en uit het onderzoek naar besturing (zie paragraaf 3.2, 3.4 en 3.6) samen, om daarmee een samenhangend beeld te geven van de risico’s die de ILT constateert in de waarborging van de kwaliteit en leveringszekerheid van drinkwater door Waternet. Risico’s tekortkomingen in zorgplicht en meldplicht cybersecurity Door de geconstateerde tekortkomingen ten aanzien van de zorg- en meldplicht zal zowel de kans als de impact van een eventueel cyberincident, met mogelijke gevolgen voor de kwaliteit en/of de continuïteit van drinkwater, groter zijn dan in een situatie waarin volledig aan de Wbni wordt voldaan. Hoeveel groter die kans of impact is, laat zich niet kwantificeren. Door de gehanteerde ‘defense in depth’ aanpak leunt de beveiliging niet op één maatregel. Er geldt dat maatregelen aanvullend op elkaar werken en als geheel de weerstand tegen cyberaanvallen verhogen. Het negatief effect van ontbrekende of niet optimaal werkende maatregelen is daarmee niet aan te geven. Waternet geeft ook aan dat bij incidenten, die leiden tot uitval van de PA drinkwater, de impact beperkt wordt door diverse redundantiemaatregelen en daarnaast ook terug te kunnen vallen op handbediening.

Echter omdat de maatregel handbediening niet grootschalig is getest én omdat er geen testprogramma is voor crisismanagement, is de ILT van oordeel dat er momenteel onvoldoende zekerheid is dat die maatregel bij grootschalige uitval toegepast kan worden. Daarmee zijn de risico’s voor kwaliteit en continuïteit voor levering van drinkwater momenteel met onvoldoende zekerheid beheerst. Risico’s tekortkomingen in de besturing De ILT constateert kwetsbaarheden in de besturing, de besturing is niet genoeg doeltreffend. Dit vormt een ongewenst risico voor waarborging van de drinkwatertaak. In het ontwerp van de bestuurlijke structuur ontbreekt integraal toezicht op de drinkwatertaak. In de uitvoering ontbreekt effectieve aansturing op waarborging van de drinkwatertaak. Er is geen integrale informatievoorziening op bestuurlijk niveau. Evaluatie en bijsturing vinden onvoldoende plaats. Op directie en bestuurlijk niveau is er nog geen integrale inschatting en afweging van risico’s gemaakt. Deze kwetsbaarheden vormen een risico voor de waarborging van kwaliteit en leveringszekerheid van drinkwater. Ze zijn een grondoorzaak van de tekortkomingen die op het gebied van cybersecurity zijn geconstateerd. In bijlage D staat een samenvattend overzicht van de geconstateerde tekortkomingen op het gebied van cybersecurity en besturing.

Naar aanleiding van dit onderzoeksrapport maakt de ILT met Waternet afspraken om tot verbetering te komen en ziet toe op de realisatie van deze verbetering.

Pagina 34 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Bijlage A

Onderzoeksproces

Onderzoeksfasering Het onderzoek is in een aantal fasen uitgevoerd:

Initiatie   

Risicosignalering; Verkennend gesprek; Aankondigen onderzoek.

Vooronderzoek  

Informeren directie Waternet over de onderzoeksopzet; Uitvoeren documentanalyse. Bij het onderzoek is gebruik gemaakt van beleidsdocumenten, voortgangsrapportages, verslagen van overleggen, uitgevoerde onderzoeken door derden, etc.

Veldwerk  

Houden interviews, verzorgen verslagging en validatie door geïnterviewden; Opvragen aanvullende documenten waar nodig en uitvoeren documentanalyse.

Analyse 

Verwerken en analyseren uitkomsten documentonderzoek en interviews.

Rapportage  

Bespreken en voorleggen concept rapportage; Afspraken over vervolgtoezicht

Pagina 35 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Bijlage B

Onderzoekskader cybersecurity

Deze bijlage gaat nader in op het gebruikte toetsingskader ten behoeve van de op cybersecurity gerichte onderzoeksvragen. Wbni en Bbni Per 9 november 2018 is de Wet beveiliging netwerk- en informatiesystemen (Wbni) van kracht. De Wbni is de vertaling van de Europese Netwerk- en Informatiebeveiliging Richtlijn, de NIB-Richtlijn. Deze richtlijn heeft tot doel Europa digitaal veiliger te maken door de digitale weerbaarheid te vergroten en de gevolgen van cyberincidenten te verkleinen. Alle Europese lidstaten nemen daarom in nationale wetgeving verplichtingen op rond cybersecurity en de continuïteit van dienstverlening. De Wbni streeft ernaar de digitale weerbaarheid van Nederland, en in het bijzonder van:  Vitale aanbieders, bestaande uit aanbieders van een essentiële diensten (AED’s) en Andere aangewezen vitale aanbieders (AVA’s);  Rijksoverheid;  Digitale dienstverleners, te vergroten. In de Bbni zijn de drinkwaterbedrijven aangewezen als aanbieder van een essentiële dienst (een AED). De bevoegde autoriteiten zijn belast met de handhaving (toezicht en sancties) van de Wbni en het Bbni. Door de Minister van Infrastructuur en Waterstaat, de bevoegde autoriteit voor onder andere de drinkwaterbedrijven, is de ILT als de toezichthoudende dienst aangewezen. De Wbni stelt aan de AED een zorgplicht en een meldplicht.

Vereisten zorgplicht De zorgplicht richt zich op het beheersen van risico’s en het voorkomen van incidenten en het beperken van de gevolgen van incidenten. Artikel 7 (risico’s beheersen) van de Wbni verplicht de AED passende en evenredige technische en organisatorische maatregelen te nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. De maatregelen moeten, gezien de stand van de techniek, zorgen voor een niveau van beveiliging dat is afgestemd op de risico's die zich voordoen. Artikel 8 (incidenten voorkomen en gevolgen van incidenten beperken) van de Wbni verplicht de AED passende maatregelen te nemen om incidenten die de beveiliging van de voor de verlening van de betrokken dienst gebruikte netwerk- en informatiesystemen aantasten, te voorkomen en de gevolgen van dergelijke incidenten zo veel mogelijk te beperken, teneinde de continuïteit van die dienst te waarborgen. De zorgplicht zoals omschreven in de Wbni is onvoldoende concreet om duidelijke handvatten te bieden wat daar onder verstaan wordt. Op dit moment is er wel een Ministeriele Regeling (MR) in voorbereiding die meer handvatten gaat bieden wat er onder de zorgplicht verwacht wordt. Om toch al een kader te hebben voor het door de ILT uitgevoerde onderzoek is er een pragmatische aanpak gekozen.

Pagina 36 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Hierbij is gekeken naar (de toestand van) de door Waternet gehanteerde normenkaders. Dat zijn er 2: 1) De Baseline Informatiebeveiliging Overheid (BIO) 38 2) Een door de drinkwatersector zelf opgestelde Proces Automatiseringsnorm (PAnorm) Daarnaast heeft de ILT ervoor gekozen een aantal onderwerpen uit de BIO en PAnorm nader te onderzoeken. Dit zijn onderwerpen die ook terugkomen in de ministeriële regeling die ten tijde van dit onderzoek in voorbereiding was. Bij het bepalen van de onderwerpen, heeft de ILT gebruikgemaakt van de elementen die onderdeel uitmaken van een C yber Security Management System (C SMS): A) Risico Analyse, het identificeren, classificeren en onderzoeken van risico’s passend bij de organisatie; B) Security policies/procedures die het C SMS ondersteunen, inbedding in de organisatie, bewustwording, juiste scoping van het C SMS; C ) Keuze van passende securitymaatregelen die de risico’s geïdentificeerd in de risico analyse afdoende mitigeren.

Deze maatregelen kunnen worden ingedeeld in de volgende groepen; personele security, netwerkzonering/segmentering, Access-control (authenticatie, autorisatie, administratie); D) Implementatie van de security maatregelen; worden de juiste maatregelen geselecteerd, worden de maatregelen planmatig/projectmatig geïmplementeerd, wordt patch- & change- management toegepast, back-up & restore, life-cycle management toegepast, Incident-Response ingericht (inclusief monitoring & detectie); E) Monitoren (en verbeteren/evalueren) van het C SMS (en de maatregelen. Worden er periodiek audits uitgevoerd die toetsen op aanwezigheid en juiste werking en effectiviteit van (technische) maatregelen, policies & procedures. Zijn /worden de risico’s nog steeds afdoende gemitigeerd. Deze elementen heeft de ILT vertaalt naar de volgende nader te onderzoeken onderwerpen: • Risicoanalyse; • Verbeter- en evaluatie proces; • Lifecycle management; • Zonering / kennis van systemen / C MDB; • Patchmanagement; • Derden-Overeenkomsten; • Logische toegangsbeveiliging; • Logging/monitoring & response. Vereisten meldplicht De meldplicht omvat twee soorten meldingen: 1.

De Wbni verplicht de AED een incident met aanzienlijke gevolgen voor de continuïteit van de door hem verleende dienst bij de sectorale toezichthouder (in dit geval ILT, via DC C ) te melden.

38 E en gedeelte van de cybersecurity beheersmaatregelen binnen Waternet is generiek en behelzen zowel de generieke ICT/kantoorautomatisering (KA) alsook de procesautomatisering (PA). D enk bijvoorbeeld aan de taken en verantwoordelijkheden van de CISO, s ecurity beleid of ris icomanagement. D at rechtvaardigt een bredere blik op de organisatie en dus ook op relevante onderwerpen uit de BIO.

Pagina 37 van 42

Onderzoeksrapport Waternet | 31 maart 2021

2.

De Wbni verplicht de AED een inbreuk op de beveiliging van netwerk- en informatiesystemen, die aanzienlijke gevolgen kan hebben voor de continuïteit van de door hem verleende dienst, bij het NC SC te melden.

Voor wat verstaan wordt onder een incident met aanzienlijke gevolgen is door de minister een (vertrouwelijke) drempelwaarde vastgesteld.

Pagina 38 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Bijlage C

Onderzoekskader besturing en waarborging drinkwater

Vereisten drinkwaterwet (DWW) en Drinkwaterbesluit (DWB) De DWW en het DWB geven wettelijke vereisten voor de openbare drinkwatervoorziening. Een hiervan is het wettelijk vereiste om de leveringszekerheid en kwaliteit van drinkwater te waarborgen (art. 7, 8 en 32 DWW) en zorg te dragen voor een doelmatige drinkwatervoorziening (onder meer art. 3 en 11 en DWW). Op basis van dat vereiste draagt een eigenaar verantwoordelijkheid voor het waarborgen van de drinkwatertaak. Het voldoen aan de zorgplicht en meldplicht voor het borgen van de cybersecurity (zie bijlage B) wordt beschouwd als voorwaarde voor het waarborgen van de drinkwatertaak. Aanvullend op dit wettelijk vereiste staat in art. 7 DWW dat de eigenaar van een drinkwaterbedrijf concreet tot taak heeft (betreft geen uitputtend overzicht):  het tot stand brengen en in stand houden van een duurzame en doelmatige openbare drinkwatervoorziening;  het tot stand brengen en in stand houden van de infrastructuur die noodzakelijk is voor de productie en distributie van drinkwater;  het borgen van de kwaliteit en duurzaamheid van het productie- en distributieproces en het geleverde drinkwater.

Toelichting begrip ‘eigenaar’ bij Waternet Stichting Waternet is een gekwalificeerd rechtspersoon, aan welke het in 2005 door de toenmalige minister is toegestaan dat de uitvoering van de drinkwatertaak door de gemeente Amsterdam aan Waternet wordt gemandateerd 39. Het college van B&W is verantwoordelijk voor de realisatie van de drinkwatertaak en bevoegd om beslissingen met betrekking tot drinkwater te nemen, het stichtingsbestuur heeft deze bevoegdheid niet. De gemeente Amsterdam is te beschouwen als eigenaar van de drinkwatertaak, de gemeenteraad heeft een controlerende rol. Kaders voor intern toezicht In de parlementaire geschiedenis bij de DWW is vermeld wat er van een RvC als intern toezichthoudend orgaan bij een drinkwaterbedrijf wordt verwacht: het houden van toezicht op het bestuur en het geven van adviezen, het benoemen van bestuurders, het goedkeuren van belangrijke voorstellen en besluiten van het bestuur, en waar nodig ingrijpen in het besturingsproces. In de DWW wordt in algemene zin uitgegaan dat drinkwaterbedrijven een vennootschappelijke rechtspersoon zijn. Waarin publiekrechtelijke bestuursorganen aandeelhouder zijn en via die weg invloed uitoefenen op een drinkwaterbedrijf, zoals het benoemen van leden van een RvC . Waternet is een verbonden partij van de gemeente Amsterdam en heeft geen RvC .

Desondanks verwacht de ILT dat voor een goede waarborging van de drinkwatertaak, de intern toezichthoudende taken op een 39 I n de parlementaire geschiedenis is beschreven dat in de regio Amsterdam in 2005 het eerste waterketenbedrijf in Nederland, Waternet, is opgericht. D e verantwoordelijk Minister ondersteunde destijds de wens om te komen tot waterketenbedrijven, waarin drinkwatervoorziening, riolering en afvalwaterzuivering in één bedrijf worden geïntegreerd, zoals verwoord in de Rijksvisie waterketen. V oor wat betreft de rechtsvorm van Waternet bleek er bij de betrokken overheden een grote voorkeur voor een s tichting was; dit mede vanwege het feit dat riolering en afvalwaterzuivering reeds enige jaren in deze vorm s amenwerkten. D it heeft ertoe geleid om ook het gemeentelijke drinkwaterbedrijf in deze rechtsvorm onder te brengen.

Pagina 39 van 42

Onderzoeksrapport Waternet | 31 maart 2021

vergelijkbare wijze zichtbaar zijn in de bestuurlijke structuur bij Waternet en dat hierbij algemeen aanvaardbare principes voor goed bestuur worden toegepast. Kaders voor besturing Naast wettelijke kaders maakt de ILT gebruik van principes in de Nederlandse C orporate Governance C ode 40 en de C ode voor publieke dienstverleners 41. Omdat drinkwaterbedrijven een vitale functie hebben verwacht de ILT dat deze organisaties vanuit het waarborgen van hun publieke taak streven naar een goede besturing en basisprincipes uit deze code ter harte nemen. Kaders voor besturing zijn onder meer vindbaar in: • Drinkwaterwet: onder andere art. 8 en 32, waarborgen kwaliteit en leveringszekerheid drinkwater, dit is een wettelijke verantwoordelijkheid voor drinkwaterbedrijven en uitvoerders van drinkwatertaken. De ILT verwacht dat de drinkwatervoorziening op operationeel, tactisch, strategisch en bestuurlijk niveau voldoende wordt gewaarborgd. • Nederlandse C orporate governance code: onder andere principe 1.2 en 1.4 (risicobeheersing), 2.4 (besluitvorming), 2.4.7 (waarborgen informatievoorziening) en 2.5.1 (cultuur). • C ode goed bestuur publieke dienstverleners: onder andere principe 3.7 (zorg dragen voor goede informatievoorziening), principe 4 (zorg dragen voor toetsen van prestaties en functioneren van bestuur) en principe 5 (risicomanagement en interne beheersing).

Duiding bij het wettelijke begrip waarborging drinkwatertaak Om nadere duiding te geven aan het wettelijke vereiste om de leveringszekerheid en kwaliteit van drinkwater te waarborgen, maakt de ILT mede gebruik van algemene kaders voor goed bestuur. Het uitgangspunt is dat een doeltreffende besturing nodig is om de drinkwatertaak te kunnen waarborgen. Voor een doeltreffende besturing is nodig: het evalueren van bestuur en intern toezicht, een onafhankelijk werkende tegenkracht (intern toezicht), ruimte voor een kritische reflectie, duidelijkheid over verantwoordelijkheden, een goed werkend risicomanagement en een goede informatievoorziening op basis waarvan effectieve evaluatie en bijsturing plaatsvindt.

40 D eze code is wettelijk verplicht voor beursgenoteerde bedrijven met als doel de belangen te beschermen van aandeelhouders en andere belanghebbenden. Bron: https://www.rijksoverheid.nl/onderwerpen/corporate-governance/corporate-governance-code 41 Bron: C ode G oed Bestuur Publieke Dienstverleners 2015_Definitief (publiekverantwoorden.nl)

Pagina 40 van 42

Onderzoeksrapport Waternet | 31 maart 2021

Bijlage D

Overzicht geconstateerde tekortkomingen

Tekortkomingen zorgplicht en meldplicht cybersecurity 1)

Tekortkomingen in testen van noodscenario’s bij uitval PA drinkwater a) Beperkte omvang b) Beperkte scenario’s c) Beperkte tijdsduur d) Geen periodieke testkalender 2) Implementatie BIO (incl opzet, bestaan en werking getoetst) 3) Implementatie PA-norm t.b.v. drinkwater (opzet, bestaan en werking) 4) Gebreken eventlogging & monitoring 5) Gebreken incident response 6) Onvoldoende inrichting & uitvoering risicomanagement inclusief te beperkte risicoanalyse m.b.t. te verwachten dreigingen/actoren t.a.v. cyber 7) Gebreken t.a.v. verbeter- en evaluatieprocessen a) ontbrekende rapportages/dashboards b) geen samenhang in verbeterprogramma’s, geen goede PDC A cyclus c) geen audits op werking van maatregelen d) (penetratie)testen ad-hoc uitgevoerd. Verbeteringen worden ad-hoc doorgevoerd 8) Gebreken patchmanagement 9) Gebreken werkzaamheden derden 10) Verbeterpunten logische toegangsbeveiliging 11) Gebreken meldplicht; meldingen naar NC SC 12) Verbeterpunten asset & lifecyclemanagement Tekortkomingen en kwetsbaarheden in de besturing Bestuurlijke structuur: 1) Op bestuurlijk niveau geen integraal beeld van de wijze waarop de drinkwatertaak wordt geborgd. 2) Toezicht op de waarborging van de drinkwatertaak is niet centraal belegd. 3) Bestuurlijke verantwoording en de interne informatievoorziening aan de directie is niet volledig.

4) Toezicht op het feit of de leveringszekerheid en drinkwaterveiligheid mogelijk in gevaar komt, vindt op bestuurlijk en strategisch niveau niet of nauwelijks plaats. 5) Het stichtingsbestuur stelt zich wel kritisch op ten opzichte van de ontvangen rapportages, maar opvolging op de kritische vraagstelling ontbreekt. Aansturing: 6) In de organisatie wordt de afstand tussen het strategisch en operationeel niveau als te groot ervaren. 7) Beperkte regie en aansturing op strategisch en bestuurlijk niveau. 8) Onvoldoende integrale inrichting en uitvoering van risicomanagement. 9) Een niet goed werkende PDC A-cyclus en informatievoorziening. C ultuur: 10) Aanspreekbaarheid en openheid verdienen meer aandacht.

Pagina 41 van 42

Dit is een uitgave van de Inspectie Leefomgeving en Transport Postbus 16191 | 2500 BD Den Haag 088 489 00 00 www.ilent.nl @inspectieLenT Maart 2021