1D 21.008431 brief reactie op concept-rapport ILT + bijlagen.pdf

de Inspectie voor de Leefomgeving en Transport T.a.v. de heer ing. R.W. Stammis Postbus 16191 2500 BD 'S-GRAVENHAGE

2500BD16191

Geachte heer Stammis, Op 12 maart 2021 heeft Waternet uw concept-rapport ontvangen over de toestand van de cybersecurity en besturing bij Waternet in het kader van de leveringszekerheid en kwaliteit van drinkwater. In uw aanbiedingsbrief verzoekt u Waternet het volgende: • het concept onderzoeksrapport te checken op feitelijke onjuistheden; • het concept onderzoeksrapport ook ter verificatie te delen met het stichtingsbestuur; • in een apart document aan te geven welke stappen u, na de FTM-publicaties, heeft genomen om de toestand van de cybersecurity en besturing bij Waternet te verbeteren. Reactie Wij stellen het op prijs dat u ons de gelegenheid biedt om een reactie te geven op dit concept-rapport en de verbeteringen te benoemen, die Waternet sinds 5 februari jl. heeft doorgevoerd en opgestart. Wij hebben het rapport zorgvuldig bestudeerd en alle opmerkingen en tekstsuggesties verwoord in bijlage 1. Met bijlage 2 informeren wij u over de reeds doorgevoerde generieke verbeteringen m.b.t. cybersecurity en besturing van Waternet en verbetermaatregelen specifiek met betrekking tot de procesautomatisering van de drinkwatervoorziening door Waternet. Governance Zoals u ook gevraagd heeft, is zowel het concept-onderzoeksrapport als de reactie daarop gedeeld en besproken met de bestuursleden van het Stichtingsbestuur.

We merken op dat de governance van Waternet al langere tijd een bestuurlijk aandachtspunt is op het vlak van de digitale veiligheid. De governance is complex. Er is het besef dat verbeteringen nodig zijn en de rapportagelijnen robuuster moeten ingericht. De publicaties van Follow the Money vorig jaar heeft dit in een stroomversnelling gebracht. In bijlage 2 lichten we in hoofdstuk 5 het opgestarte evaluatieproces voor de governance in dit verband toe. Rekenkamerrapport rioleringen Relevant hierbij is het ook in dit hoofdstuk aangehaalde onderzoek door de Rekenkamer Metropool Amsterdam naar de governance van de gemeentelijke rioleringstaken. Op basis van de recent voor bestuurlijke wederhoor aangeboden rapportage constateren we dat de Rekenkamer tot vergelijkbare bevindingen en conclusies komt en met u waardevolle bouwstenen voor de evaluatie van de governance inbrengt.

Datum 19 maart 2021 Contactpersoon C. van den Berge kees.van.den.berge@ waternet.nl Mobiel nummer 06-10 28 21 13 Uw kenmerk 507007 Ons kenmerk 21.008431 Onderwerp reactie op het concept-rapport ILT

Algemene opmerkingen Naast de tekstuele opmerkingen en aanvullingen zoals weergegeven in bijlage 1 zijn er twee algemene opmerkingen, die we graag aan u mee willen geven. Het eerste betreft het door u gehanteerde onderzoekskader (a) en de tweede het onderscheid tussen het niveau van procesautomatisering van drinkwater en de overige procesautomatisering en kantoorautomatisering binnen Waternet (b). Gelet op mogelijk vervolg voor de drinkwatersector heb ik hierover op hoofdlijnen met de Vewin afgestemd. Ik licht de punten graag toe. (a) Toegepast onderzoekskader Ontwikkeling kader zorgplicht en besturing U geeft aan dat uw onderzoek gericht is op de vraag of Waternet voldoet aan de Wbni en het Bbni. En dat de reikwijdte van uw onderzoek de cybersecurity van de procesautomatisering van drinkwater betreft. In uw onderzoekskader geeft u tevens het volgende aan: “De zorgplicht zoals omschreven in de Wbni is onvoldoende concreet om duidelijke handvatten te bieden wat daar onder verstaan wordt”. Wij herkennen dit. De discussie hierover met de sector is op dit moment nog in ontwikkeling. In de Ministeriële Regeling (MR) Cybersecurity zijn nadere regels opgenomen rondom de invulling van de zorgplicht uit de Wbni. De MR treedt per 1 juli 2021 in werking.

In artikel 30 van de MR staat dat naleving van de MR kan worden aangetoond door toepassing van een met de MR tenminste gelijkwaardige sectorspecifieke norm. Verreweg de meeste vereisten uit de MR staan in de voor drinkwater sectorspecifieke PA-norm of in het Leveringsplan. De drinkwatersector loopt voorop met de PA-norm waarbij de PA-norm aanvullend is op het Leveringsplan. Dit betreft een ambitieuze norm die de nodige inspanningen vergt om te implementeren. Dit is ook als zodanig aan het Ministerie van IenW en de ILT aangegeven en aan de Tweede Kamer gecommuniceerd (Kamerbrief voor het AO Water van 22 juni 2020). De PA-norm is nadrukkelijk een groeimodel. Begin 2020 vond toetsing op opzet en bestaan plaats. Afgesproken is dat in 2024 naar werking gebeurt. Ook het besturingstoezicht is nog in ontwikkeling. In dat verband noemen wij het overleg met de Vewin op 30 oktober 2020 over het concept kader besturingstoezicht. Toetsing Wij constateren dat u voor uw onderzoekskader en de vraag of Waternet voldoet aan de zorgplicht uit de Wbni een aantal onderwerpen toevoegt, als aanvulling op deze normen en de vanuit zelfregulering en in overleg met ILT ontwikkelde PA-norm. We constateren daarom dat er mede getoetst wordt op normen, die niet of nog niet van toepassing zijn op de drinkwatervoorziening.

Wij zijn van mening dat de afspraak met de drinkwatersector is om te toetsen op de 42 maatregelen in de PA norm, die u ook in uw onderzoek noemt. Volgens afspraak heeft Waternet bij u een verbeterplan ingediend - als onderdeel van het recente Leveringsplan - voor de 8 maatregelen waaraan nog niet volledig maar gedeeltelijk wordt voldaan. Hiermee handelen wij in overeenstemming met de gemaakte afspraken en op dezelfde wijze als de overige drinkwaterbedrijven in Nederland.

Datum 19 maart 2021 Ons kenmerk 21.008431 Pagina 2 van 4

Leveringsplan en verstoringsrisicoanalyse De PA-norm van de drinkwatersector is geen los op zich staande norm. De kritieke maatregelen in de norm zijn aanvullend op de maatregelen die vanuit de Verstorings risicoanalyse (VRA) volgen en in het Leveringsplan staan. Vandaar dat het ook van belang is dat het Leveringsplan wordt betrokken bij het onderzoek. Deze ontbreekt in de opsomming van onderzochte aspecten. In de VRA worden diverse cyberscenario geanalyseerd (moedwillig en niet-moedwillig). In het Leveringsplan worden de te nemen maatregelen opgenomen ten einde op die scenario’s de continuïteit zoveel als mogelijk te borgen. Naast specifieke maatregelen op cyber-scenario’s bevat het Leveringsplan ook het algemene beveiligingsbeleid, het evaluatieprogramma van beveiligingsmaatregelen (de PDCA-cyclus), invulling van de samenwerking met het NCSC (waaronder het melden van incidenten), security awareness, personele beveiligingsmaatregelen etc. Dit zijn allemaal elementen die óók onderdeel zijn van de zorgplicht uit de Wbni. Het bovenstaande toont aan dat het Leveringsplan en de VRA zeker bij het onderzoek betrokken (hadden) moeten worden. Wij zouden het om die reden op prijs stellen als u uw keuze voor het onderzoekskader nader kunt toelichten in uw rapport en dat daar helderheid in wordt verkregen.

De antwoorden op deze vragen zijn voor Waternet ook belangrijk in relatie tot het besluit d.d. 16 december 2020 van uw Inspectie tot onthouding van de goedkeuring voor het onderdeel cybersecurity uit het Leveringsplan van Waternet d.d. 9 juni 2020. Zonder die antwoorden is het voor Waternet niet helder aan welke normen te voldoen om wel goedkeuring op dit onderdeel te krijgen en tot een goed onderbouwde prioritering in de verbeteracties te komen. Wederzijds begrip voor deze situatie vinden we van belang. Overigens heeft Waternet een pro forma bezwaar tegen het besluit aangetekend. (b) Onderscheid en reikwijdte Digitalisering algemeen versus drinkwatervoorziening U geeft aan dat het onderzoek zich richt op de procesautomatisering van de drinkwatervoorziening. Wij zien echter dat u in het rapport niet alleen uw conclusies baseert op de procesautomatisering van de drinkwatervoorziening, maar ook op de digitalisering van Waternet als geheel. Wij zijn ons ervan bewust dat de algemene staat van de digitale veiligheid bij Waternet onvoldoende is en snel verbeterd moet worden. De rapporten van Accenture, de pentesten en de heer Gorter, die u van ons ontvangen heeft, laten dit ook zien. Echter de beveiliging van de procesautomatisering van drinkwater onderscheidt zich naar onze mening gunstig ten opzichte van het algemene beeld van de digitalisering van Waternet.

Ook Accenture benoemt dit in haar analyse. Scope Centrale vraag van het onderzoek is of Waternet voldoet aan de Wbni en Bbni. De zorgplicht uit de Wbni en Bbni is gericht op beveiliging van die netwerk- en informatiesystemen die van belang zijn voor de verlening van de essentiële dienst. In dit geval is de Procesautomatisering waarmee de drinkwatervoorziening wordt aangestuurd. Indien u het wenselijk acht dat ook andere zaken betrokken worden bij het onderzoek, dient duidelijk te worden vermeld dat dit buiten de scope van de zorgplicht van de Wbni valt en daarmee de centrale onderzoeksvraag.

Datum 19 maart 2021 Ons kenmerk 21.008431 Pagina 3 van 4

Om die reden is het naar onze mening belangrijk om scherp in de gaten te houden welke bevindingen gelden voor de drinkwatervoorziening en welke voor de overige onderdelen van Waternet. Om dit te illustreren met een voorbeeld, noemen wij de risicoanalyses. Bij drinkwater is een uitgebreide Verstoringsrisicoanalyse uitgevoerd (VRA 2019). Deze is met u gedeeld en u heeft hem ook goedgekeurd. Waternetbreed is implementatie van risicomanagement in ontwikkeling en op onderdelen minder robuust dan bij drinkwater het geval is. Een ander voorbeeld is de borging in processen. Ook hierin heeft de drinkwatervoorziening binnen Waternet een voorsprong. Onze drinkwaterprocessen zijn reeds vele jaren gecertificeerd op ISO-normen. Om deze certificering te krijgen en te behouden is er jaarlijks een uitgebreide, externe audit. Uw opmerkingen over een minder goed ontwikkelde Check en Act als onderdeel van de PDCA cyclus herkennen wij wel in zijn algemeenheid maar niet voor de drinkwaterprocessen. Vervolg Wij vragen u voor een juist beeld in de definitieve versie een onderscheid te maken tussen bevindingen die voor de drinkwaterprocessen gelden en die betrekking hebben op andere onderdelen van Waternet. Wij gaan ervan uit dat u uiteindelijk uw conclusies baseert op de bevindingen in relatie tot risico’s voor de kwaliteit en leveringszekerheid van drinkwater.

Wij beseffen dat de voor de drinkwatersector unieke organisatiestructuur van Waternet het voor u mogelijk lastig maakt om dit te beoordelen. We zijn uiteraard graag bereid om in gesprek nader toe te lichten waar in het rapport deze bevindingen alleen de drinkwaterprocessen betreffen en waar Waternet als geheel. We merken op dat onze reactie is gebaseerd op een nog niet volledig concept. We vragen u voor openbaarmaking goed te bezien of dit geen (aanvullende) risico’s oplevert voor de continuïteit van de drinkwatervoorziening, van zowel Waternet als de collega-drinkwaterbedrijven. Er is al veel informatie publiekelijk gemaakt, maar dit betreft nu een officieel onderzoeksrapport vanuit de toezichthouder. Dat kan een andere status geven aan geïdentificeerde kwetsbaarheden. Met deze reactie hopen we bij te dragen aan een goede afronding van het onderzoek als basis voor de nodige verbeteringen. Een nader gesprek op bestuurlijk niveau over het onderzoek en deze reactie zouden we zeer op prijs stellen. Wethouder De Vries heeft de nadrukkelijke wens uitgesproken om met de Minister te spreken voor toezending van het rapport aan de Tweede Kamer. Hoogachtend, mede namens de directie van Waternet,

R.R. Kruize algemeen directeur Bijlage(n) 1. Tekstuele reactie op het concept-rapport 2. Voorgang cybersecurity besturing Waternet

Datum 19 maart 2021 Ons kenmerk 21.008431 Pagina 4 van 4

Bijlage 1: Tekstuele reactie op het concept-rapport In deze bijlage geeft Waternet invulling aan het verzoek om een de check te doen op feitelijke onjuistheden. Per pagina is aangegeven welke tekstuele opmerkingen en aanvullingen wij hebben en/of welke onjuistheden wij constateren. Pagina

Betreffende passage/citaat uit het concept onderzoeksrapport 1.1 Aanleiding

1.

P. 10

2.

P. 11

1.4 Reikwijdte van onderzoek 2e alinea onder cyber security

3.

p. 13

4.

p. 13

2.2 afhankelijkheid PA “In haar verstoringsrisicoanalyse van 2019 onderkent Waternet afzonderlijk gevaren en bedreigingen die haar processen en/of PA zouden kunnen verstoren. Voor de onderkende gevaren is men van mening dat deze geen effect hebben op de waterkwaliteit en waterkwantiteit.” 2.2 afhankelijkheid PA Opsomming onderaan pagina

5.

p. 14

Par. 2.2, 3de bullet

6.

p. 14

2.2 test 15 december 2020, 5de bullet

Tekstuele of inhoudelijke opmerkingen Bij het gesprek op 27 oktober 2020 was ook de directeur Financiën en Control aanwezig. Na de conclusie “.... passend geweest de ILT over dit onderzoek te informeren” graag toe te voegen: “Naderhand heeft de directie gemeld ten tijde van het gesprek niet op de hoogte te zijn geweest van het onderzoeksrapport als zodanig.” “De activiteiten met betrekking tot riolering, waterbeheer en het onderhouden en bedienen van bruggen en sluizen ..”: het onderhouden van bruggen en sluizen is geen taak van Waternet. - De verstoringsrisico analyse (VRA) is als onderdeel van het Leveringsplan bij ILT ter goedkeuring ingediend. VRA is door ILT goedgekeurd. VRA is collegiaal afgestemd met PWN. - Er zijn wel degelijk gevaren die scoren in de matrix: daarom graag aanpassing van de zin ‘ Voor de onderkende gevaren is men van mening dat deze geen effect hebben op de waterkwaliteit en waterkwantiteit’

Aan de opsomming met mitigerende maatregelen kunnen toegevoegd worden: - Het kunnen leveren van noodwater en nooddrinkwater. - Het operationeel inzetbaar hebben van een crisisorganisatie 24/7. - Het beschikbaar hebben van een team voor ontwikkelen van procesautomatisering. Idem beheer en onderhoud van procesautomatisering (24/7). - Het ontwikkel- en beheer- en onderhoudsteam zijn gescheiden van elkaar en hebben elk eigen verantwoordelijkheden. zie ook Leveringsplan. Er is een jaarlijks vastgesteld oefen- en testprogramma voor crisismanagement procedures en processen. Desgewenst zenden we dat toe. De test heeft inderdaad relatief kort geduurd. In het gesprek met ILT is ook aangegeven dat er voldoende operators beschikbaar zijn, die voldoende opgeleid en getraind zijn om de installatie 'op handbediening' enkele dagen in bedrijf te houden, tot het moment dat de PA het weer overneemt. Er zijn voldoende operators beschikbaar om in de ploegendienst deze werkzaamheden uit te voeren. De grootte van het team en het aantal operators is hierop afgestemd. Daarmee is wel aangetoond, dat de handbediening langere tijd is vol te houden. Aanbod is om dit aan te tonen met een langer durende test.

1

Pagina

Betreffende passage/citaat uit het concept onderzoeksrapport 2.2 conclusie

7.

p. 14

8.

p. 15

Vertrouwen op kwaliteit medewerkers i.p.v. vastleggen

9.

p. 15

Conclusie “Kwaliteit en herhaalbaarheid van werkzaamheden/processen is niet geborgd en de organisatie vertrouwt volledig op de individuele kwaliteiten van medewerkers.” 2.3.2. Status implementatie PAnorm ‘De audit heeft zich alleen gericht op opzet en bestaan. Het is daarmee nu niet duidelijk of de werking en effectiviteit van de maatregelen afdoende is.’ 2.3.2. Status implementatie PAnorm, conclusie “De actuele status van dit verbeterplan en de individuele toestand/implementatiestatus van verbeteringen is niet beschikbaar.” 2.3.2. Status implementatie PAnorm, conclusie (en voetnoot 4) “in het kader van het afwijkende karakter van Waternet ten opzichte van de andere drinkwaterbedrijven”

10. p. 16

11. p. 16

12. p.16

Tekstuele of inhoudelijke opmerkingen De oefening(en) laat/laten zien dat daadwerkelijk voor het geteste onderdeel op handbediening overgegaan kan worden. Technisch gezien is de duur geen criterium.. Om voor langere tijd te bedienen zijn op cruciale plekken lokale regelaars opgenomen. Het systeem terugzetten duurt maximaal 1 week en de organisatie is erop toegerust minimaal die tijd te overbruggen. - Waternet is door Kiwa gecertificeerd voor meerdere normen waaronder ISO9001. De PDCA wordt daarmee voor de betreffende processen aangetoond. De Kiwa is tot een positief oordeel gekomen. De medewerkers van Waternet zijn goed opgeleid en getraind. - De processen van Waternet worden jaarlijks door Kiwa geaudit. De assetmanagement processen zijn beschreven. PA is een ondersteunend proces en wordt niet primair meegenomen bij de Kiwa-audits. In 2020 is globaal wel gevraagd naar het informatiebeheer. Echter, voor PA is er een aparte PA-audit in dezelfde cyclus als het leveringsplan, tevens jaarlijks interne audit. Tekstvoorstel: “Kwaliteit en herhaalbaarheid van werkzaamheden/processen is in het algemeen beperkt geborgd en de organisatie vertrouwt sterk op de individuele kwaliteiten van medewerkers.”

De audit heeft conform de Vewin afspraken plaatsgevonden. Toetsing van de werking volgt later, conform afspraak tussen Vewin, drinkwaterbedrijven en ILT. Tekstvoorstel: “De werking en effectiviteit van de maatregelen volgt later conform afspraken tussen Vewin en ILT.”

In een geaccordeerd interviewverslag d.d. 16 december 2020 geeft ILT aan over actuele status te beschikken.

Het is ons niet duidelijk waarom zou het risicoprofiel groter zijn. De andere diensten die door Waternet geleverd worden zijn geen essentiële diensten. Omgekeerd wordt binnen Waternet de drinkwatertaak als voorbeeld gezien als het gaat om invulling geven aan de Wbni.

2

Pagina 13. p. 17

Betreffende passage/citaat uit het concept onderzoeksrapport Risicoanalyse

Tekstuele of inhoudelijke opmerkingen -

-

-

-

-

14. P. 17

15. P. 18

Verbeter en evaluatie proces ‘bij de uitgevoerde audits is tot op heden in hoofdzaak gekeken naar opzet en bestaan van maatregelen. De beoordeling of de maatregelen doen wat ze moeten doen en daarmee het beoogde effect realiseren (de werking), vindt niet tot nauwelijks plaats;’ Conclusie “Waternet is tot nu toe niet in staat gebleken om verbeteringen systematisch en planmatig te realiseren.”

-

Hier dient onderscheid te worden gemaakt tussen geheel Waternet en de drinkwatertaak. Voor de drinkwatervoorziening is een operationeel risicomanagement (daar is het Leveringsplan op gebaseerd). Voor drinkwater kunnen we risicomanagement aantonen incl. borging van effect/werking. Risico analyses zijn gemaakt. Een half jaar voordat de Leveringsplannen moeten worden ingediend bij ILT moeten de zogenaamde VerstoringsRisico-Analyses (VRA’s) bij ILT ter toetsing worden ingediend. Dit geldt voor alle drinkwaterbedrijven. Waternet heeft de VRA’s tijdig ingediend. De VRA’s van Waternet zijn door ILT goedgekeurd. Daarna is op basis van deze goedkeuring het Leveringsplan door Waternet afgerond en bij ILT ingediend. Wat de cyberrisico’s betreft: de dreigingsscenario’s zijn uitgevoerd op basis van de voorschriften waarbij uitgegaan wordt van verschillende actoren. De kansen en de verschillende dreigingsscenario’s zijn door de Vewin samen met de AIVD bepaald. De VRA-dreigingen zijn volgens de voorgeschreven methodiek en afspraken uitgevoerd. Daarnaast voert Waternet doorlopend risicoanalyses uit. Risicoanalyses worden periodiek uitgevoerd en komen periodiek terug in WOT om voortgang te bewaken, o.a. ook risico top 10. Er is een overzicht van alle risicoanalyses die worden uitgevoerd. Idd ook onderdeel ISO-normen. Inhoudelijk is de VRA samen met PWN doorgenomen.

Daar waar grote verschillen waren kon dat beargumenteerd worden, in een enkel geval is een aanpassing gedaan. Kiwa voert jaarlijks een audit uit en neemt dit onderwerp in de audits mee. “Ten tijde van het onderzoek heeft Waternet een risicomanager a.i. aangesteld (najaar 2020).” Te wijzigen in: “In augustus 2020 heeft Waternet een risicomanager a.i. aangesteld.” Deze wijziging is conform de juiste vermelding op p. 29. Waternet is voor de drinkwatertaak gecertificeerd en laat jaarlijks audits uitvoeren. Eerst toetsing op opzet en bestaan en later op werking is conform de afspraak met Vewin en ILT. De PA audit laat zien waar Waternet staat, er zijn verbeterpunten, hier is een verbeterplan voor opgesteld.

Zie opmerkingen hierboven en zien bijlage 2.

3

Pagina 16. p. 18

Betreffende passage/citaat uit het concept onderzoeksrapport Zonering / kennis van systemen / CMDB ‘De ILT heeft (netwerk)tekeningen aangetroffen, deze zijn echter op detailniveau niet altijd meer upto-date.’

17. p. 20

2.4 meldplicht Conclusie

18. p. 20

2.4 meldplicht Een inbreuk in de ICT/PA die echter niet direct leidt tot continuïteitsproblemen, zal niet leiden tot het opschalen van de crisisorganisatie, waardoor het signaleren van het al of niet moeten uitvoeren van een melding niet door de crisisorganisatie wordt ingevuld.

19. p. 21

2.5 Samenvattende bevindingen en conclusies 3. Besturing en waarborging drinkwatertaak

20. p. 23

21. P. 24

Derde alinea

Tekstuele of inhoudelijke opmerkingen De CMDB voor de drinkwatersystemen is redelijk tot goed op orde (compleet en actueel). Het op orde houden van de CMDB is een taak voor het team dat beheer en onderhoud uitvoert van de pa systemen. Dit is vastgelegd in een Service Level Agreement (SLA). In de SLA zijn naast de benodigde beschikbaarheid, onderwerpen als patchmanagement, configuratie management (cmdb) en het backup proces vastgelegd. Het verantwoordelijk team rapporteert hier periodiek over. Aan de conclusie dient te worden toegevoegd ”Voor de drinkwatertaak voldoet Waternet aan de meldplicht conform de Wbni. en de afspraken die Vewin met ILT heeft gemaakt. “ In het op- en afschalingsschema staan criteria voor ICT/PA opgenomen. Een ICT/PA incident hoeft alleen gemeld te worden bij > 10.000 personen en langer dan 6 uur. Volgens het schema leidt dit tot opschaling. Er is geen meldplicht voor ICT/PA incidenten die niet leiden tot continuïteitsproblemen.

Hierboven vermelde punten werken door in de samenvatting. Wij herkennen uw opmerkingen over de governance van Waternet. Onze reactie op onderdelen in dit hoofdstuk kunt u in deze contact beschouwen. Er is reeds een bestuurlijke evaluatie van de governance gestart (zie bijlage 2). - AGV is ook partij bij alle samenwerkingsovereenkomsten. Er is nog een derde samenwerkingsovereenkomst (uit 2010) mbt uitvoering van binnenwaterbeheer taken in Amsterdam. - De directie is belast met uitvoering van de taken door college van B&W en dagelijks bestuur van AGV opgedragen via de jaarmandaten, zie artikel 4.3.1 van de samenwerkingsovereenkomst 1997. Daarbij is de algemeen directeur eindverantwoordelijk en de overige directieleden zijn medeverantwoordelijk voor uitvoering van deze taken. Voor zover van een dagelijks bestuur van Waternet kan worden gesproken, ligt die rol bij de directie gezamenlijk en is de algemeen directeur niet ‘de dagelijks bestuurder’ - De jaarmandaten worden door college van B&W en dagelijks bestuur van AGV vastgesteld. Verantwoording wordt dus aan deze bestuursorganen afgelegd, niet aan het algemeen bestuur van AGV. Verantwoording aan het college van B&W loopt via de betrokken wethouder.

4

Pagina 22. p. 24

Betreffende passage/citaat uit het concept onderzoeksrapport Vierde alinea

23. p. 24

Alinea 6, tweede bullet

24. p. 25

Verantwoording aan de gemeenteraad via het college van B&W

25. p. 26

Bestuurlijke verantwoordelijkheid en toezicht college van B&W

Tekstuele of inhoudelijke opmerkingen Binnen een gemeente geldt een dualistisch systeem waarbinnen gemeenteraad en college van B&W gescheiden bevoegdheden hebben. Dit geldt ook voor de drinkwater- en rioleringstaak. Uit de tekst ontstaat de indruk dat alle taken in beginsel bij de gemeenteraad liggen. In noot 17 wordt artikel 10:2 Gemeentewet genoemd. Bedoeld zal zijn Algemene wet bestuursrecht. Artikel 10:2 Awb gaat over mandaten. De jaarmandaten regelen de taken van Waternet, niet de bevoegdheden en zijn daarmee niet een mandaat in de zin van artikel 10:1 Awb dat immers om bevoegdheden gaat. Bevoegdheden voor de directie / algemeen directeur van Waternet zijn in aparte mandaatbesluiten van het college van B&W en het DB van AGV geregeld. Wij zien geen tegenstrijdigheid tussen samenwerkingsovereenkomst en statuten, vergelijk artikelen 4.1 en 4.2.1 samenwerkingsovereenkomsten met artikel 5 van de statuten. De directie krijgt taken van het college van B&W en dagelijks bestuur van AGV, maar kan ook taken van het bestuur van Waternet krijgen. Zie ook artikel 4.1 van de samenwerkingsovereenkomsten, waarin is bepaald dat het stichtingsbestuur Waternet bestuurt onverminderd de verantwoordelijkheden van Amsterdam en AGV. De algemeen directeur handelt binnen de kaders van wet- en regelgeving. Concreet binnen de kaders van de Drinkwaterwet en Leveringsplan.

Hieronder vallen drinkwaterveiligheid, doelmatigheid, waarborgen van leveringszekerheid, cyberveiligheid, ed. Afwijkingen indien van toepassing worden gemeld door de algemeen directeur aan de wethouder. Via de reguliere P&C procedures worden de financiële middelen aangevraagd bij het college. De raad van Amsterdam keurt de begrotingen en kredietaanvragen goed. Op bestuurlijk niveau wordt meer besproken dan nu weergegeven. Ter illustratie een lijst met onderwerpen in de huidige bestuursperiode: • Begrotingsonderdeel drinkwater • Jaarrekeningonderdeel drinkwater • Investeringen voor distributie drinkwater • Investeringen voor productie drinkwater • Tariefbepaling en verordeningen drinkwater • Motie schoon water • Medicijn resten in drinkwater • Besparing door waterloze urinoirs • Loodproblematiek • Drinkwater verkenning 2050 • Leveringsplan drinkwater • Zelf factureren niet-bemeterde klanten • Vervangen facturatiesyteem • Garantstelling WRK • Preventief vervangen watermeters • Afhandeling incident bij de VU • Faunabeheer waterleidingduinen

5

Pagina 26. p. 26

27. p. 26 28. p. 27

Betreffende passage/citaat uit het concept onderzoeksrapport 3.2.3. Conclusies inrichting en functioneren van de bestuurlijke structuur Ontwerpfout bestuurlijke structuur

30. p. 28

paragraaf 3.2.3, tweede bullet “… waarbij ten aanzien van de inhoud beperkt regie wordt genomen.” 3.3.1. Werking organisatie nader in beeld ‘De afdelingshoofden worden aangestuurd door de directie als geheel en een individuele directeur stuurt zijn of haar afdelingshoofden enkel op HRzaken aan.’ Kader 1

31. p. 28

Kader 2

32. p. 28

‘Het jaarplan van de afdeling drinkwaterproductie en het prestatieplan 2021 worden op afdelingsniveau besproken’

29. p. 28

Tekstuele of inhoudelijke opmerkingen De verdeling van de toezichtstaken tussen gemeente- en stichtingsbestuur is als volgt: - Het gemeentebestuur van Amsterdam heeft de verantwoordelijkheid voor en zeggenschap over de werkzaamheden van Waternet m.b.t. de drinkwatertaken volledig behouden, zie artikel 1.2 samenwerkingsovereenkomst 2005. - Het interne toezicht op uitvoering van wettelijke verplichtingen m.b.t. drinkwatertaken, rust daarom bij de gemeente. Dit geldt ook voor cyberveiligheid in relatie tot de drinkwatervoorziening., . - Het bestuur van Waternet ziet toe op de algemene gang zaken en op vervulling van taken die het bestuur aan de directie heeft opgedragen (zie artikel 4.2.1 samenwerkingsovereenkomst en artikel 5, lid 2 statuten). Dit ziet echter niet op specifieke verplichtingen m.b.t. drinkwater. Het bestuur richt zich bij het vervullen van zijn taak vooral op de samenwerking tussen Amsterdam en AGV. Zie opmerking bij p. 24, zesde alinea, tweede bullet. De algemeen directeur herkent de formulering “beperkt regie” niet, ook niet vanuit het geaccordeerde interviewverslag. De verantwoordelijk directeur stuurt niet alleen op HRverantwoordelijkheid, maar integraal op functioneren en presteren van het afdelingshoofd.

‘De wekelijkse lijn- en Matrixoverleggen bestaan al langere tijd en zijn kort na de invoering van de nieuwe directiestructuur van start gegaan. Het zijn overleggen van de directeur A&O met alle afdelingshoofden die werkzaam zijn in de assetmanagementprocessen. Daarnaast heeft de directeur geregeld bilateraal overleg met al deze afdelingshoofden. Prestatieplan is onderwerp van gesprek tussen directeur en afdelingshoofden en daarnaast 3 keer per jaar in stuurgesprekken met verantwoordelijk directeur, afdelingshoofd en CFO. Afwijkingen van planning en prognoses komen aan de orde in bila’s en stuurgesprekken. Het jaarplan is het prestatieplan en dat wordt ook met de directie besproken en door de directie vastgesteld.

6

Pagina 33. p. 28

34. p. 28

35. p. 28 36. p. 29

37. p. 29

Betreffende passage/citaat uit het concept onderzoeksrapport ‘Het Leveringsplan en Drinkwaterplan worden één maal in de vier jaar in de directie besproken. De ILT zou verwachten dat na bespreking in de planfase de uitvoering, de monitoring en de bijsturing ook aan de directietafel aan de orde komen.’ ‘Binnen Waternet is een crisisorganisatie ingericht ten behoeve van het afhandelen van incidenten binnen het gehele proces bij drinkwater. Het afdelingshoofd productie drinkwater geeft leiding aan het operationeel team in de interne crisisorganisatie van Waternet, waarin ook PA-beheer deelneemt.’ Voetnoot 24 ‘Knelpunten in personele capaciteit bij de procesautomatisering van drinkwatertaken worden overigens niet aan de directie (of het stichtingsbestuur) gerapporteerd’ 3.4 Conclusies aansturing drinkwatertaken en IT ‘De combinatie van het functioneel directiemodel waarbij de afstand tussen het strategisch en operationeel niveau als te groot wordt ervaren -, beperkte verantwoordingsinformatie, ontbreken van risicomanagement, een niet goed werkende PDCA-cyclus en een beperkte regierol van de algemeen directeur, maakt de besturing en daarmee de borging van de drinkwatertaak kwetsbaar. ‘

Tekstuele of inhoudelijke opmerkingen Het afgelopen jaar zijn Leveringsplan, Toekomstverkenning Drinkwater 3 keer besproken aan de directietafel. Kort na de zomer is de wethouder middels een memo geïnformeerd over de ontwikkelingen op gebied van drinkwater in de komende jaren. Voorafgaand aan het leveringsplan wordt de VRA apart geagendeerd in de directie.

Het afdelingshoofd productie drinkwater is 1 van de vier operationeel leiders (OL’s). De OL's geven leiding aan het operationeel team crisisorganisatie van Waternet, waaraan ook PA en IT deelnemen.

Deze opsomming is niet compleet, het gaat om alle afdelingen in het assetmanagementproces. Het knelpunt is opgenomen in het prestatieplan (=jaarplan van een afdeling), onder risico's. Daarbij komt het onder de aandacht van de directie. Dit is dan ook bekend bij de verantwoordelijk directeur en wordt ook al stapsgewijs opgehoogd. Overigens is het personele knelpunt van deze formatie niet bij de drinkwatertaak, maar bij andere taken (AW, COB). - Risicomanagement is voor de drinkwatertaak ingericht en wordt voor de rest van de organisatie en processen op een hoger niveau gebracht. Ook de constatering van een beperkte regierol van de algemeen directeur wordt niet herkend. - Kiwa beoordeelt in de vorm van een externe audit jaarlijks de processen ook op PDCA. Tekortkomingen worden opgepakt door Waternet. Na overleg tussen Waternet en ILT heeft Kiwa in 2020 ook Drinkwaterbesluit art 15 beoordeeld.

7

Pagina

39. p. 29

Betreffende passage/citaat uit het concept onderzoeksrapport 3.4 conclusies aansturing drinkwatertaken en IT ‘Ten aanzien van de samenwerking in de uitvoering op de werkvloer is het beeld positiever. De afdelingen productie drinkwater, distributie drinkwater, en onderhoud leidingwerken werken met elkaar samen in de vorm van een matrixstructuur.’ Voetnoot 25

40. p. 29

Voetnoot 26

41. p. 30

‘Concreet is zichtbaar dat er twee externe publicaties nodig waren voor de directie en het stichtingsbestuur om in actie te komen.’

38. p. 29

Tekstuele of inhoudelijke opmerkingen Hier ontbreken een aantal afdelingen. Tekstvoorstel: “Alle afdelingen in het assetmanagementproces …”

Het gaat hier waarschijnlijk over het jaarplan van de afdeling Productie Drinkwater. PA werkzaamheden vallen onder de directeur Assets en operatie. Wij merken op dat o.l.v. de CISO al een verbeterprogramma en acties waren opgepakt, gestart of afgerond. FTM heeft meer urgentie en versnelling gebracht. Tot het opstarten van een SOC is door de directie besloten enige tijd voordat de FTM publicaties zijn verschenen.

8

Bijlage 2: Overzicht voortgang digitale veiligheid en besturing Waternet In deze bijlage is aangegeven welke generieke verbetermaatregelen sinds eind 2020 in gang gezet zijn en welke resultaten reeds zijn bereikt op het gebied van cybersecurity (hoofdstukken 1 t/m 5). Tevens is aangegeven welke verbeteringen specifiek ten aanzien van de procesautomatisering van drinkwater zijn en worden doorgevoerd (hoofdstuk 6).

Inhoud 1.

In beeld brengen en mitigeren van risico’s voor digitale veiligheid op de korte termijn ................ 2

Prioritering en uitvoering door taskforce .................................................................................................... 2 Prioritering urgente risico’s eerste kwartaal ............................................................................................... 2 Concrete verbeteringen ............................................................................................................................... 2 Inrichting Security Operations Center ......................................................................................................... 3 IT Service Management ............................................................................................................................... 3 Roadmap voor noodzakelijke maatregelen 2021 ........................................................................................ 3 Voortgangsrapportages .............................................................................................................................. 3 Extra menskracht......................................................................................................................................... 4 2.

De aanstelling en van een Chief Information Officer (CIO)................................................................... 4 Selectieproces CIO ....................................................................................................................................... 4 Opdracht CIO ............................................................................................................................................... 4

3.

De integrale digitaliseringsaanpak voor de langere termijn................................................................. 4 Digitaliseringsstrategie ............................................................................................................................... 4 Risicoprofiel ................................................................................................................................................. 5 Aanvullende audit IT-systemen ................................................................................................................... 5 Programmatische aanpak ........................................................................................................................... 5 Afstemming CISO Amsterdam en mandaat CISO Waternet ........................................................................ 5 Vergroten veiligheidsbewustzijn ................................................................................................................. 5 Budget ......................................................................................................................................................... 6

4.

Bestuurlijke betrokkenheid digitale veiligheid en digitalisering .......................................................... 6 Digitalisering als verantwoordelijkheid afzonderlijke besturen .................................................................. 6 Periodieke bestuurlijke terugkoppeling en prioriteitstelling ....................................................................... 6

5.

Evaluatie van de governance van Waternet ......................................................................................... 6 Opdracht en ontwikkeling procesontwerp herijking governance................................................................ 6 Rekenkameronderzoek rioleringstaken ....................................................................................................... 7

6.

Voortgang maatregelen drinkwater ...................................................................................................... 7

1. In beeld brengen en mitigeren van risico’s voor digitale veiligheid op de korte termijn Prioritering en uitvoering door taskforce Begin december is een interne taskforce ingesteld, bestaande uit diverse experts op het gebied van kantoorautomatisering, procesautomatisering, IT-infrastructuur en de inhoudelijk betrokkenen van de digitaliseringsopgave, tijdelijk aangestuurd door de directeur Dienstverlening van Waternet. Deze taskforce kreeg de opdracht om op basis van alle conclusies en aanbevelingen uit recente onderzoeken en adviezen1 te bepalen wat met voorrang aangepakt moet worden.

Alle bevindingen zijn opgenomen in een digitaal systeem (zie verder onder Rapportages). De organisatie kan elk moment informatie raadplegen over de laatste stand van zaken ten aanzien van de opvolging van de bevindingen. Er kunnen selecties van bevinden worden gemaakt op grond van de BIO en de NIST Cybersecurity Framework. Op deze manier kunnen verschillende voortgangsrapportages worden gemaakt, die: • real time inzage geven in de voortgang van alle acties; • en inzicht geven in de impact op de digitale weerbaarheid. Prioritering urgente risico’s eerste kwartaal De bovengenoemde taskforce heeft op basis van alle beschikbare informatie een lijst opgesteld met alle noodzakelijke (proces)verbeteringen. Aan de hand van drie criteria is bepaald wat de meest urgente risico’s zijn die op korte termijn (eerste kwartaal 2021) aangepakt moeten en kunnen worden. Deze criteria zijn: • de bedrijfscontinuïteit (assets) • digitale veiligheid (kans op hacken) • datalekken (bescherming datasets)

Voor bestuurlijke betrokkenheid van AGV is er een wekelijks portefeuillehouders overleg Digitalisering en Digitale Veiligheid, met de portefeuillehouder digitalisering, dijkgraaf, voorzitter taskforce, secretaris AGV. Tijdens dit informatieve overleg worden actualiteiten besproken en met name de voortgang van het aanpakken van urgente risico’s digitale veiligheid. Concrete verbeteringen Sinds december 2020 is al een aantal ‘quick wins’ in de vorm van geïmplementeerde verbeteringen gerealiseerd: • Op de kantoorautomatisering zijn diverse verbeteringen aangebracht om de omgeving robuuster te maken. • De Windows 7 machines zijn uitgefaseerd, de servers hebben geen ongelimiteerde toegang meer tot het internet, de eisen van de wachtwoorden zijn aangescherpt en de procedure voor het uitvoeren van de security updates voor Microsoft wordt strikt nageleefd. • Daarnaast is gestart met het implementeren van een centrale toegangsbeveiliging voor alle ITsystemen. • Met de berichtgevingen van Follow the Money is de inrichting van het SOC versneld.

1

Onderzoek Accenture, eerder uitgevoerde en recente penetratietesten (pentesten), het advies van de heer Gorter (onafhankelijk adviseur van het Stichtingsbestuur voor dit onderwerp), aangevuld met bestaande plannen, rapportages en opgaven ten aanzien van privacy en security binnen Waternet.

Inrichting Security Operations Center Een andere belangrijke ontwikkeling is de totstandkoming van een Security Operations Center (SOC): • De voorbereidingen voor een SOC zijn in december 2019 gestart. • In augustus 2020 is de kwartiermaker SOC van start gegaan. • Met de berichtgevingen van Follow the Money is de inrichting van het (virtuele) SOC versneld. Het resultaat hiervan is dat er op dit moment al meer (toe)zicht is op de digitale veiligheid van de infrastructuur van de kantoorautomatisering en procesautomatisering (drinkwaterproductie) dan bij de publicatie van het eerste artikel het geval was. • De aansluiting van de andere belangrijke systemen van de bedrijfsonderdelen (bijvoorbeeld systemen voor afvalwater, maar ook kantoorautomatisering) op het SOC is ingepland. De afhandeling van de bevindingen van het SOC is in de lijn belegd. IT Service Management Er is gestart, conform de recente aanbevelingen, met het integraal inrichten van servicemanagementprocessen. IT Service Management (ITSM) betreft het procesmatig aansturen van de werkwijze van IT-beheer. Hier worden onder andere de processen incident-, lifecycle-, change-, configuratie- en patch management in opgenomen. Dit alles zorgt voor een betere controle op het beheer van de standaard beheerprocessen.

Roadmap voor noodzakelijke maatregelen 2021 Voor het resterende deel van de lijst met noodzakelijke verbeteringen is bepaald welke minder urgent maar wel van belang zijn om aan het eind van dit jaar Waternetbreed de digitale weerbaarheid te hebben verhoogd. Deze verbetermaatregelen zijn vertaald in een roadmap voor 2021. Vertrekpunt voor deze roadmap is de Baseline Informatiebeveiliging Overheid (BIO). Uitgaande van een BIO score van gemiddeld 3 is voor het bepalen van alle noodzakelijke acties gekeken naar: • Wat er noodzakelijk is in het kader van de lopende bedrijfsvoering; • Wat er gedaan moet worden om te voldoen aan wet- en regelgeving op het gebied van security, privacy en archivering; • Wat er gedaan moet worden om compliant te zijn met betrekking tot overige wet- en regelgeving; • Welke digitaliseringsontwikkelingen daarbovenop noodzakelijk zijn; • Wat overige wensen zijn. De noodzakelijke acties zijn vertaald in benodigd budget, capaciteit en planning en opgenomen in een integrale roadmap voor 2021. De aanpak van urgente risico’s zoals in de vorige paragraaf beschreven, is hier ook onderdeel van. Voortgangsrapportages Over de voortgang van de digitale transformatie, inclusief de opgaven voor de digitale veiligheid, wordt sinds 2018 elk half jaar gerapporteerd aan het Stichtingsbestuur.

De IT-opgave is echter breder dan onder de noemer van de digitale transformatie tot nu toe is gevat. En waar tot voor kort vooral gerapporteerd werd over de voortgang van in gang gezette acties, is en wordt nu gewerkt aan: • Real time inzage in de voortgang van alle acties; • Inzicht in de impact op de digitale weerbaarheid.

Met name het tweede punt is bestuurlijk relevant omdat hiermee inzage gegeven wordt in wat alle procesverbeteringen en investeringen concreet opleveren voor de verkleining van risico’s ten aanzien van de primaire taken van Waternet en zijn klanten. Het risicoprofiel - dat nog bepaald moet worden - zal daarvoor het referentiekader vormen. Met de verbeterde voortgangsrapportages zullen zowel het Stichtingsbestuur als de besturen van de gemeente Amsterdam en het waterschap Amstel, Gooi en Vecht (AGV) geïnformeerd worden over de voortgang. Extra menskracht Op een aantal punten was het op korte termijn noodzakelijk om te investeren in extra menskracht: • Er is een portfoliomanager ad interim aangewezen om alle noodzakelijke acties versneld en in samenhang op te pakken; • Er is een nieuwe Operations Security Officer (OSO) aangesteld om erop toe te zien dat de juiste maatregelen in het kader van BIO worden uitgevoerd op operationeel niveau; • Er is een security architect aangesteld voor het opstellen en uitvoeren van één aanpak voor informatiebeveiliging op de IT-infrastructuur. 2. De aanstelling van een Chief Information Officer (CIO) Selectieproces CIO In december 2020 is direct gestart met de werving van een Chief Information Officer (CIO) ad interim, als toevoeging aan het directieteam van Waternet.

In afstemming met het Stichtingsbestuur en de CIO van Amsterdam is een profiel opgesteld en heeft er werving plaatsgevonden met ondersteuning van bureau Chasse. In de selectiecommissie had naast de algemeen en de financieel directeur van Waternet ook de CIO van Amsterdam en de strategisch adviseur digitalisering vanuit het Stichtingsbestuur zitting. De voorkeurskandidaat is voor goedkeuring aan de leden van het Stichtingsbestuur voorgelegd, alsmede aan de OR van Waternet. De heer Ravensbergen, werkzaam bij I-Interim Rijk, is op 22 februari 2021 als CIO ad interim op detacheringsbasis bij Waternet gestart. Hij maakt onderdeel uit van het directieteam. Zijn contract loopt tot en met het einde van dit jaar. Omdat dit een structurele functie betreft, zal tijdig gestart worden met de werving van een permanente opvolger. Opdracht CIO De opdracht aan de nieuwe CIO is op hoofdlijnen de volgende. Hij wordt verantwoordelijk voor: • De integrale aansturing en totstandkoming van een nieuwe IT-organisatie. Deze nieuwe IT-organisatie is een combinatie van digitale dienstverlening, informatietechnologie (IT) en Operationele Technologie (OT). • De visie op digitalisering, het strategisch beleid, het beheer van de gemeenschappelijke informatievoorziening van de organisatie en de daarvoor ingezette informatiesystemen.

• Data-management, IT-portfoliobeheer, IT-investeringsbeheer en risicobeoordeling. 3. De integrale digitaliseringsaanpak voor de langere termijn Digitaliseringsstrategie In navolging van de huidige aanpak voor digitalisering (2018-2020), is voor de komende periode (2021) een nieuwe digitaliseringsstrategie voorzien. Dit is onderdeel van het takenpakket van de nieuwe CIO. Deze strategie stond eerder gepland voor het einde van vorig jaar, maar toen lag noodgedwongen de

prioriteit bij specifiek de digitale veiligheid. Risicoprofiel Op dit moment wordt gewerkt aan het formuleren van een risicoprofiel. Dat is het ambitieniveau tot waar risico’s acceptabel worden gevonden, afgewogen tegen de impact op de bedrijfscontinuïteit. Het niveau bepaalt het benodigd budget en de noodzakelijke inspanning (tempo). De bepaling van het risicoprofiel is dus een bestuurlijke beslissing. In overleg met zowel de gemeente Amsterdam als het waterschap AGV zal hierover in de komende maanden besluitvorming plaatsvinden. Deze bestuurlijke kaders vormen het vertrekpunt en referentie voor de op te stellen strategie. De strategie zelf en het bijbehorende budget en dekkingsvoorstel zullen medio 2021 ter vaststelling worden voorgelegd aan de gemeenteraad van Amsterdam en het algemeen bestuur van AGV. Aanvullende audit IT-systemen Zoals in december reeds is aangekondigd door het Stichtingsbestuur, zal er een aanvullende audit op de IT-systemen plaatsvinden. De onderzoeksvraag is door de strategisch adviseur digitalisering van het Stichtingsbestuur uitgewerkt. Op dit moment wordt het aantal te onderzoeken netwerken en systemen geïnventariseerd, zodat marktpartijen een aanbieding kunnen doen. Begin april 2021 moet dit leiden tot een keuze voor een partij die de audit zal uitvoeren. De audit zelf zal naar verwachting in april en mei 2021 plaatsvinden.

Medio juni 2021 volgt vervolgens de rapportage en presentatie aan het Stichtingsbestuur. Programmatische aanpak In de tweede helft van dit jaar zal de CIO een uitvoeringsprogramma opstellen voor de realisatie van een integrale IT-organisatie en werkwijze voor de komende jaren op basis van de hier bovengenoemde strategie. Onderdeel daarvan is een kalender met audits en de vertaling van de uitkomsten van eerdere en nog uit te voeren aanvullende audits op IT-systemen. Ook het in beeld brengen en houden van risico’s hebben in dit programma een plek. Hierdoor wordt voor de besturen ook beter inzichtelijk welke keuzes gemaakt moeten worden. Afstemming CISO Amsterdam en mandaat CISO Waternet De CISO van de gemeente Amsterdam ziet toe op de stappen die Waternet zet. Daartoe vindt tweewekelijks overleg plaats met de CISO’s van Waternet en Amsterdam. In dit overleg wordt de voortgang van de aanpak van de urgente risico’s besproken. Ook zorgt dit overleg voor meer afstemming over de lopende bedrijfsvoering. In de brief van 3 december schreef het Stichtingsbestuur tot de conclusie te zijn gekomen dat een dwingender mandaat van de CISO van Waternet met rapportageverplichting naar de bestuurlijk opdrachtgevers noodzakelijk is. De nieuwe CIO zal een voorstel doen hoe dit kan worden vormgegeven.

Vergroten veiligheidsbewustzijn Een belangrijk element uit de brief van 3 december is het vergroten van het veiligheidsbewustzijn binnen Waternet. Waar dit bewustzijn voor de fysieke beveiliging van onder andere assets goed ontwikkeld is, is dat voor digitale veiligheid nog niet op het gewenste niveau. Het veiligheids-bewustzijn moet organisatiebreed op een hoger peil gebracht worden. Sinds enkele jaren wordt hier ook al meer aandacht aan besteed binnen Waternet. Zo zijn periodieke onlinecursussen over digitale veiligheid en veilig thuiswerken voor alle Waternetmedewerkers verplicht. Dat is echter niet genoeg. Het gaat ook om de dagelijkse praktische handelingen, zoals het goed afsluiten van computers, clean desk policy en zorgvuldig omgaan

met devices en wachtwoorden. Monitoring is belangrijk. Het meten van vorderingen op dit gebied zal integraal onderdeel uitmaken van komende audits met betrekking tot de digitale veiligheid. Ten aanzien van houding en gedrag wordt gewerkt aan het eerder escaleren van gesignaleerde tekortkomingen, het bespreken van dilemma’s, het organiseren en stimuleren van tegenspraak en het eerder signaleren dat er sprake is van een bestuurlijke dimensie. Ook wordt nog sterker ingezet op het bewustzijn dat aandacht voor digitalisering een integraal onderdeel is van de primaire processen. De CISO is in de afgelopen weken aanwezig bij het wekelijks overleg tussen directieleden, afdelingshoofden en strategische programmamanagers om een toelichting te kunnen geven op de voortgang met betrekking tot digitale veiligheid. Inmiddels heeft ruim 85% van alle medewerkers de training gevolgd. Ook is een fishing email naar ruim 2500 medewerkers gestuurd, bij wijze van test op de alertheid. Op 9 februari is een digitale lezing voor alle Waternetters georganiseerd. Onderzoeksjournalist Anthony van der Meer heeft laten zien hoe makkelijk het is je persoonsgegevens te stelen en wat oplichters met je gegevens doen. Ook geeft hij tips, zodat je weet hoe je zorgvuldig met je gegevens kan omgaan. Budget Voor de versnelling in het verhogen van de digitale veiligheid bij Waternet is extra budget nodig.

Dit betreft een budgetverhoging in het gemeentelijke programma Riool en drinkwater. In de Voorjaarsnota’s 2021 van de gemeente Amsterdam en waterschap AGV zal hiervoor een globale raming worden opgenomen, die voor de begroting 2022 verder zal worden uitgewerkt. 4. Bestuurlijke betrokkenheid digitale veiligheid en digitalisering Digitalisering als verantwoordelijkheid afzonderlijke besturen Het besef dat digitalisering tot de primaire taken van Waternet behoort en geen onderdeel van de bedrijfsvoering (meer) is, is in de afgelopen maanden zowel ambtelijk als bestuurlijk toegenomen. De consequentie daarvan is dat besluitvorming daarover niet in het Stichtingsbestuur maar in de afzonderlijke besturen van de beide opdrachtgevers dient plaats te vinden. Daartoe zal ook een herijking van de besturing van Waternet gaan plaatsvinden, waarvoor nu de voorbereidingen worden getroffen (zie ook onderdeel 5). Periodieke bestuurlijke terugkoppeling en prioriteitstelling Op bestuurlijk niveau wordt periodiek een project portfolio overleg gepland. Aan dit overleg nemen de wethouder van Amsterdam, nieuwe CIO van Waternet, de CISO’s van Waternet en Amsterdam, de portefeuillehouder digitalisering van waterschap AGV en de strategisch adviseur van het Stichtingsbestuur. In dit maandelijkse overleg geeft Waternet updates over de lopende (reparatie) acties.

Ook wordt in dit overleg de resource allocatie (mensen en middelen), financiering en prioriteitstelling (risico gebaseerd) bepaald van lopende en nieuwe projecten. 5. Evaluatie van de governance van Waternet Opdracht en ontwikkeling procesontwerp herijking governance Op dit moment is prof. dr. Marcel Boogers (hoogleraar Innovatie en regionale overheden aan de Universiteit Twente, tevens als adviseur verbonden aan bureau Necker van Naem) in opdracht van bhet waterschap AGV gestart met een verkenning hoe het proces van herijking van de governance van

Waternet2 er uit zou kunnen zien. Het totale proces bevat ook de evaluatie van de drie aspecten die genoemd zijn in de brief van het Stichtingsbestuur van 3 december 2020: 1. de aansturings- en verantwoordingsrelaties tussen de gemeente Amsterdam en het waterschap AGV enerzijds en Waternet anderzijds; 2. de organisatie- en directiestructuur van Waternet; 3. de organisatiecultuur van Waternet. Het streven is dat dit herijkingsproces een gezamenlijk proces van de gemeente Amsterdam en het waterschap AGV wordt. Hiervoor heeft de heer Boogers in januari en februari verschillende gesprekken gevoerd met betrokkenen vanuit de gemeente Amsterdam en waterschap AGV. Op basis van deze gesprekken is een advies voor de evaluatieopdracht en de procesarchitectuur in de maak dat besproken zal worden met de bestuurlijke opdrachtgevers. De eerste bevindingen en een voorstel voor aanpak zijn gedeeld in de commissievergadering van het AB van AGV op 10 maart jl. Gesprekken over hoe AGV en hoe Amsterdam dit traject willen uitvoeren, zijn nog gaande. De heer Mager namens het waterschap AGV (lid dagelijks bestuur) en de heer De Vries (wethouder water) namens de gemeente Amsterdam zijn gezamenlijk bestuurlijk trekker van dit proces. Hiervoor zal in de komende periode regulier bestuurlijk overleg plaatsvinden.

Rekenkameronderzoek rioleringstaken De Rekenkamer van de gemeente Amsterdam heeft onderzoek gedaan naar de uitvoering en de governance van de gemeentelijke rioleringstaken. Riolering heeft een belangrijke rol in de samenleving. Het aanleggen, beheren en onderhouden van het rioolstelsel betreft een omvangrijke en uitdagende taak voor de gemeente. In dit rekenkameronderzoek staan twee vragen centraal: 1. In hoeverre worden de rioleringstaken adequaat uitgevoerd. 2. In hoeverre is de wijze waarop de gemeente de rioleringstaken heeft ingericht en aanstuurt adequaat. Dit onderzoek loopt nog en bevindt zich in de afrondingsfase. Het college van B&W van Amsterdam zal nog conform de werkwijze van de rekenkamer een reactie op de conclusies en aanbevelingen opstellen, welke als bijlage bij het bestuurlijk rapport zal worden gevoegd. Wanneer het onderzoek is afgerond zullen de conclusies en aanbevelingen meegenomen worden in de herijking en evaluatie van de governance van Waternet. Datzelfde geldt overigens ook voor de voor de governance relevante uitkomsten van het onderzoek van de ILT naar de digitale veiligheid van Waternet in relatie tot de drinkwatertaken. Na 5 februari in gang gezet of gerealiseerd: Het concept-rapport is door Waternet beoordeeld op feitelijke onjuistheden. Deze reactie is via de ambtelijk lijn aan de gemeente Amsterdam aangeboden. Op 18 maart jl.

is het eindrapport ontvangen, hierop zal een bestuurlijke reactie worden geformuleerd. 6. Voortgang maatregelen drinkwater Drinkwater maatregelen Specifiek voor drinkwater zijn de volgende maatregelen uitgevoerd: • Op dit moment wordt gewerkt aan de uitvoering van verbeterpunten uit het verbeterplan dat naar aanleiding van de PA-audit (uitgevoerd april 2020) is opgesteld. De eenvoudig op te lossen punten zijn 2

Ook wel het Waternet 3.0 traject genoemd.

• •

inmiddels grotendeels opgelost. Twee qua omvang grotere punten vallen onder de hierboven genoemde punten ‘Inrichting Security Operations Center (SOC)’ en ‘IT Service Management’ en zijn Waternet-breed opgepakt. Bij de inrichting van het SOC is prioriteit gegeven aan de digitale veiligheid van de procesautomatisering van drinkwater en wordt er reeds gemonitord op digitale dreigingen. De procedure voor de Wbni-meldplicht is formeel vastgesteld en geborgd in de relevante documenten (o.a. in het opschalingsschema).