2. 21.011036 brief aan ILT verbetermaatregelen - eindversie 29 april 2021.pdf

Inspectie Leefomgeving en Transport T.a.v. de heer ing. R.W. Stammis Postbus 16191 2500 BD 'S-GRAVENHAGE

2500BD16191

Geachte heer Stammis, Op 2 april jl. heeft u het definitieve onderzoeksrapport over de toestand van de cybersecurity en besturing bij Waternet in het kader van de leveringszekerheid en kwaliteit van drinkwater openbaar gemaakt. De bevindingen van het onderzoek en de daarbij geconstateerde tekortkomingen in de waarborging van de drinkwatertaak zijn van dien aard, dat u Waternet onder verscherpt toezicht van de ILT stelt. Uw verzoek In uw brief van 2 april jl. verzoekt u in het licht van dit verscherpte toezicht Waternet het volgende: • het opleveren van een verbeterplan, binnen een maand na dagtekening van uw brief, waarin voor alle in het rapport genoemde tekortkomingen duidelijk is aangegeven hoe en wanneer deze zijn opgelost, inclusief de stappen op weg daarnaartoe; • in een aantal bestuurlijke gesprekken een toelichting te geven op de voortgang, waarbij ook zal worden besproken hoe gaat worden vastgesteld dat de noodzakelijke verbeteringen voldoende zijn gerealiseerd voor opheffing van het verscherpt toezicht. Daarnaast zal de goedkeuring van het Leveringsplan worden besproken; • het toesturen van de onderzoeksopdracht m.b.t. het onderzoek naar de bestuurlijke structuur en uitkomsten van eventuele andere recente of nog uit te voeren audits en onderzoeken. De directie van Waternet onderschrijft uw constatering dat Waternet op onderdelen nog veel te doen heeft.

Waternet neemt de door u geconstateerde tekortkomingen zeer serieus en doet er alles aan om de digitale veiligheid van Waternet op het niveau te brengen die past bij onze organisatie en de zorgplicht die ons is toevertrouwd. Een groot deel van uw bevindingen passen in een breder beeld dat ook uit eerdere onderzoeken naar voren is gekomen. Zoals u ook aangeeft in uw onderzoeksrapport, heeft Waternet inmiddels een aantal stappen gezet ten behoeve van versnelling en verbetering van de digitale veiligheid. Ook is reeds gestart met de voorbereiding van een traject dat zal leiden tot de herijking van de governance van Waternet. De bestuurlijke opdrachtgevers van Waternet hebben reeds eind vorig jaar geconstateerd dat de huidige inrichting van de governance van Waternet niet meer voldoet. Op 23 april jl. hebben wij met u een prettig gesprek gehad over de verwachtingen ten aanzien van onze reactie op uw verzoek. In deze brief geef ik voor de digitale veiligheid van de drinkwaterproductie en de governance aan hoe Waternet met de tekortkomingen aan de slag is (in respectievelijk bijlage 1 en 2). Daarvoor is bijlage D uit uw onderzoeksrapport als vertrekpunt genomen. Per onderdeel is een voorstel geformuleerd t.a.v. de inspanningen die wij willen doen om zo goed mogelijk aan uw

Datum 29 april 2021 Contactpersoon R.R. Kruize roelof.kruize@ waternet.nl Doorkiesnummer 020-608 24 67 Ons kenmerk 21.011036 Onderwerp Verbeterplan Waternet voor oplossen tekortkomingen digitale veiligheid en besturing Waternet

verzoeken tegemoet te komen. Het bevat waar mogelijk concreet geformuleerde resultaten, waar dat nog niet kan is het proces beschreven. Naar aanleiding van opmerkingen in uw brief over de kostendekkendheid van onze drinkwatertarieven geef ik tot slot nog een korte reactie. Aanpak tekortkomingen digitale veiligheid Als het gaat om het op orde brengen van de digitale veiligheid van Waternet, dan is het belangrijk te noemen dat ik per 22 februari 2021 een directeur Informatievoorziening (CIO) ad interim heb aangesteld. Hij werkt in versneld tempo aan de volgende opgaven: • Integrale aansturing en totstandkoming van een nieuwe IV-organisatie. Deze nieuwe IV-organisatie is een combinatie van digitale dienstverlening (Domeinen), informatietechnologie (IT) en Operationele Technologie (OT). • De ontwikkeling van een visie op digitalisering, het strategisch beleid, het beheer van de gemeenschappelijke informatievoorziening van de organisatie en de daarvoor ingezette informatiesystemen. • Data-management, IV-portfoliobeheer, IV-investeringsbeheer en risicobeoordeling. Onder zijn leiding wordt momenteel een Programmaplan Digitalisering en Digitale veiligheid ontwikkeld, ten behoeve van verbeteringen op het gebied van techniek, processen, organisatie(structuur) en cultuur.

Cybersecurity en informatiebeveiliging zijn belangrijke onderdelen van dit plan en dus wordt een aantal tekortkomingen uit het ILT-rapport (die generiek gelden voor Waternet) hierin ook meegenomen. Het Programmaplan is na bestuurlijke goedkeuring door de opdrachtgevers van Waternet begin juni gereed en zal dan ook met de ILT worden gedeeld In bijlage 1 is aangegeven op welke manier de twaalf tekortkomingen uit het onderzoeksrapport met betrekking tot de zorgplicht en meldplicht cybersecurity drinkwaterproductie worden aangepakt en daarmee risico’s worden gemitigeerd. Deze bijlage vormt daarmee het door u gevraagde Verbeterplan Drinkwater. Op dit moment zijn nog geen nieuwe opdrachten verstrekt of resultaten beschikbaar van recent uitgevoerde onderzoeken en audits. Voorstel Waternet Hoewel onze agile werkwijze een driemaandelijkse cyclus kent, is het voorstel dat de directeur Informatievoorziening u maandelijks inzage biedt in voortgang van de uitgevoerde verbetermaatregelen uit het Verbeterplan Drinkwater (bijlage 1). Dit zal plaatsvinden aan de hand van maandrapportages1. Desgewenst wordt u ook geïnformeerd over de totale voortgang en implementatiestatus van de verbeteringen uit het Programmaplan Digitalisering en Digitale Veiligheid.

Aanpak tekortkomingen governance In uw onderzoeksrapport geeft u een tiental tekortkomingen aan ten aanzien van de governance van Waternet (bestuurlijke structuur, aansturing en cultuur). Vergelijkbare tekortkomingen zijn eerder ook door de bestuurlijke opdrachtgevers van Waternet geconstateerd. Daarom is begin 2021 gestart met de voorbereidingen op een grondige herijking van de samenwerking tussen de gemeente Amsterdam en het waterschap AGV via de Stichting Waternet. Het cybersecurity dossier heeft de urgentie van deze herijking versterkt.

1

Deze maandrapportages zullen periodiek met u besproken worden in een overleg met deelname vanuit ILT, Waternet en de gemeente Amsterdam.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 2 van 23

De wijze waarop de herijking van de governance uitgevoerd gaat worden, wordt op dit moment verkend. Zowel AGV als Amsterdam beraden zich afzonderlijk, vanuit hun eigen perspectief en visie op hun taken, op waar de focus op zou moeten liggen. Naar verwachting wordt eind mei door het DB van AGV en het college van Amsterdam een besluit genomen over hoe het gezamenlijke traject van herijking zal plaatsvinden. Uw geconstateerde tekortkomingen met betrekking tot de governance worden in dit traject integraal meegenomen. Dit besluit over deze gezamenlijke aanpak (onderzoeksopdracht) zal met u worden gedeeld. In bijlage 2 is aangegeven op welke manier op dit moment aan de door u geconstateerde tekortkomingen wordt gewerkt. Voor een deel worden deze meegenomen in het traject van de herijking van de governance, waarover eind 2021 besluitvorming over noodzakelijke aanpassingen plaatsvindt. Voor een deel worden per direct een aantal urgente tekortkomingen aangepakt, mede in het licht van verbeterd toezicht op de drinkwatertaak. Voorstel Waternet Ik stel voor dat u, naast inzage in de voortgang m.b.t. de digitale veiligheid van de drinkwaterproductie, ook periodiek geïnformeerd wordt over de voortgang van dit herijkingsproces van de governance van Waternet en de korte termijn maatregelen. Kostendekkendheid drinkwatertarieven In uw brief gaat u apart in op de tariefstelling binnen Waternet.

De ILT is van mening dat de drinkwatertarieven van Waternet niet kostendekkend zijn. Dit is in een gesprek op 1 april jl. met medewerkers van ILT en ACM nader toegelicht. De inzet van de egalisatiereserve als onderdeel van de kostprijsberekening toegestaan is, mits het tarief ook zonder deze reserve kostendekkend is. Het doel van de egalisatiereserve is om tarieffluctuaties over een aantal jaren af te vlakken. Voorstel Waternet Waternet zal in het kader van de begroting 2022 aan de wethouder van Amsterdam voorstellen om mutaties in de egalisatiereserve zodanig te betrekken bij de berekening van het tarief, dat deze kostendekkend is. Daarmee wordt tegemoetgekomen aan de constatering van de ILT. In het kader van deze reactie op uw onderzoeksrapport is het goed om nog te vermelden dat ik (ondergetekende) als algemeen directeur van Waternet namens de directie eindverantwoordelijk ben voor een goede uitvoering van de drinkwatertaak. En daarmee voor de realisatie van het Verbeterplan digitale veiligheid drinkwaterproductie en governance. Ik leg daarover verantwoording af aan de wethouder Water van de gemeente Amsterdam, vanuit zijn rol als toezichthouder op de drinkwatertaak. Voor het deel dat gaat over de governance zorgt de wethouder voor afstemming met het bestuur van AGV. Het Stichtingsbestuur heeft hier geen rol in.

Wel heeft het Stichtingsbestuur een rol in de beoordeling van het functioneren van de algemeen directeur van Waternet. De wethouder van Amsterdam heeft zitting in het Stichtingsbestuur en beoordeelt het functioneren vooral vanuit de gemeentelijke taken, waaronder de drinkwatertaak. Hiervoor zijn KPI’s afgesproken. Vervolg Ik hoop dat ik u met deze brief en de informatie in bijlagen voor nu voldoende inzicht heb gegeven in de manier waarop we met alle tekortkomingen aan de slag zijn. Ik hoor graag of de gekozen aanpak en de voorgestelde informatieverstrekking via maandrapportages en overleggen stroken met uw verwachtingen. Op die manier

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 3 van 23

kunnen we een stevige basis ontwikkelen om adequaat, in het gewenste tempo en met de juiste prioritering aan de verbeteringen ten aanzien van de digitale veiligheid en governance te werken en kan Waternet laten zien hoe de geconstateerde risico’s worden gemitigeerd.

Hoogachtend, mede namens de directie van Waternet,

R.R. Kruize Algemeen directeur Waternet

Bijlagen: 1. Verbeterplan Tekortkomingen zorgplicht en meldplicht cybersecurity drinkwaterproductie 2. Aanpak tekortkomingen governance Waternet

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 4 van 23

Bijlage 1: Verbeterplan ‘Tekortkomingen zorgplicht en meldplicht cybersecurity drinkwaterproductie’

Datum 29 april 2021

Tekortkomingen zorgplicht en meldplicht cybersecurity

Ons kenmerk 21.011036

Tekortkoming 1.

Kader Toelichting

Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid Tekortkoming 2. Kader

Toelichting

Tekortkomingen in testen van noodscenario’s bij uitval PA drinkwater a) Beperkte omvang b) Beperkte scenario’s c) Beperkte tijdsduur d) Geen periodieke testkalender Maatregel handbediening is opgenomen in Leveringsplan 2020-2024 Waternet heeft volgens de ILT maatregelen genomen om de kans en impact van uitval van de PA te beperken. Een belangrijke impact-beperkende maatregel is dat de organisatie bij uitval van de PA kan overschakelen op handbediening. Deze maatregel wordt jaarlijks getest. De door de ILT geobserveerde test was echter maar beperkt. Er is daarmee op dit moment onvoldoende zekerheid dat deze maatregel daadwerkelijk en gedurende een langere periode door Waternet uitgevoerd kan worden. • Ontwerpen van een toepasbare test van noodscenario’s • Oefenen met nieuwe test, die in grootte en duur past bij de voorzienbare risico’s. Drinkwater Q4 2021 ontwerpen nieuwe test. Q1 2022 oefenen met nieuwe test Directeur Assets & Operatie (gemandateerd door de algemeen directeur, die eindverantwoordelijke is). Implementatie BIO (inclusief opzet, bestaan en werking getoetst) De Baseline Informatiebeveiliging is geen verplichting voor drinkwaterbedrijven. Waternet heeft de BIO geïmplementeerd voor de overige gemeentelijke taken en waterschapstaken.

Volgens de ILT is het van belang om te weten in welke mate Waternet aan de BIO voldoet, omdat de toegang tot de PA-drinkwater loopt via de KA. Eventuele kwetsbaarheden in de KA kunnen daarmee impact hebben op de PA-drinkwater. Waternet is nog inzicht aan het verkrijgen in de maatregelen die ze nog moet nemen om BIO compliant te worden. Het management is zich ervan bewust dat er nog veel werk moet worden verricht. Een planning voor het bereiken van BIO-compliance is echter niet aangetroffen. Het is evenmin vast te stellen in hoeverre bepaalde verbeteringen al gerealiseerd zijn. Waternet volgt de sectorale afspraken ten aanzien van planningen van audits. Dit geldt ook voor de toetsing aan

Pagina 5 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 3. Kader

de Baseline Informatiebeveiliging Overheid (BIO) en het volwassenheidniveau: BIO (september 2021 – februari 2022) op opzet en bestaan, uitgaande van volwassenheidsniveau 3 en BBN2. BIO (september 2023 – februari 2024) op opzet, bestaan en mogelijk werking, uitgaande van volwassenheidsniveau 4 en BBN2. Vanaf 2021 heeft Waternet de Baseline Informatiebeveiliging Overheid (BIO) geïmplementeerd en worden aanvullende maatregelen getroffen op basis van risicoanalyses. • Aanstelling van een programmamanager binnen Waternet per 19 april 2021 met een specifiek focus op informatiebeveiliging. • De programmamanager is verantwoordelijk voor het opstellen van een programmaplan om Waternet te laten voldoen aan het normenkader dat van toepassing is voor Waternet (oa. BIO en Wbni). • In het programmaplan zal onder meer worden in gegaan op acties en maatregelen om de basisrisico’s (in de techniek) op de korte termijn te voorkomen en te reduceren. Daarnaast zal in het programmaplan een aantal andere sporen worden uiteengezet om de informatiebeveiliging te structureel te verbeteren en te borgen. De bevindingen uit de verschillende security onderzoeken, waaronder de rapporten van Accenture en ILT, worden gebruikt bij het opstellen van het programmaplan.

• Voor het kunnen beheersen van het programma worden ook de adequate instrumenten ingericht, conform het informatiebeveiligingsbeleid Waternet, om goed zicht te kunnen hebben op de informatiebeveiligingsrisico’s en de mate waarin Waternet voldoet aan het vigerende normkader. • De sectorale afspraken ten aanzien van het basisbeveiligingsniveau (BBN) en de mate van volwassenheid zijn belangrijke input voor de doelen in het programmaplan, de noodzakelijke activiteiten en bijbehorende planningen. Programmamanager Informatiebeveiliging. Q2 2021 Programmaplan Verbeteren Digitalisering en Informatiebeveiliging Q2 2021 Start uitvoering programmaplan Directeur Informatievoorziening/CIO Implementatie PA-norm t.b.v. drinkwater (opzet, bestaan en werking) Wbni, Bbni en huidige PA-norm. Rekening houden met verbetervoorstellen dat vanaf 1 juli 2021 Ministeriële regeling beveiliging netwerk- en informatiesystemen IenW en PA-norm van toepassing is.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 6 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity Toelichting

Het Leveringsplan 2020-2024 bevat resultaten van een uitgevoerde audit naar de opzet en het bestaan van de 42 maatregelen in de PA-norm. Uit de audit van 2020 blijkt dat Waternet aan 34 van de 42 maatregelen voldoet. 8 maatregelen voldoen deels. Het betreffen maatregelen op het terrein van: 1. Back-ups (ten tijde van het ILT-onderzoek bleek dit inmiddels opgelost) 2. Event-logging & monitoring 3. Verantwoordelijkheden en procedures, rapportages en opvolging van informatie beveiligingsgebeurtenissen. 4. Continuïteit en zonering Naar aanleiding van deze audit heeft Waternet een verbeterplan opgesteld. Per verbetervoorstel is een planning, een verantwoordelijke en een uitvoerder aangewezen. De actuele status van dit verbeterplan en de individuele toestand/implementatiestatus van verbeteringen was ten tijde van het onderzoek niet beschikbaar. Wel heeft Waternet aangegeven dat nog niet alle verbeterpunten zijn geïmplementeerd.

Verbetervoorstel

Als kader voor het Verbeterplan Drinkwater worden door Waternet de afspraken met de drinkwatersector gehanteerd, zoals het voldoen aan de sectorspecifieke drinkwater PA-norm en de toetsing naar werking, die in 2024 plaatsvindt. Waternet volgt de sectorale afspraken ten aanzien van planningen van audits. Voor de beheersmaatregelen die in opzet en bestaan gereed zijn, zal Waternet de werking tussentijds - indien mogelijk - aantonen. • Realisatie verbetervoorstel naar aanleiding van audit PA drinkwater. Veel van de betreffende maatregelen zijn inmiddels gerealiseerd. Openstaande acties worden tussen Q2 en Q4 2021 gerealiseerd. Gaat om: • Opzetten maandelijkse back-up procedure van ABB systemen. • Inrichten SOC. In Q2 2021 is er (toe)zicht op de digitale veiligheid van de infrastructuur van de kantoorautomatisering en procesautomatisering (drinkwaterproductie) en wordt er gewerkt aan de aansluiting van de Centrale Object Bediening (COB=brugbediening). De aansluiting van de andere belangrijke systemen van de bedrijfsonderdelen (bijvoorbeeld systemen voor afvalwater) volgen na 1 mei 2021, wanneer de basis SOC operationeel is. • Starten met de verbetering van de servicemanagementprocessen door het aanwijzen van proceseigenaren en procesmanagers, het opstellen en implementeren van processen en inrichten van KPI-dashboards en rapportages. Doel is

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 7 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Uitvoering Planning Verantwoordelijkheid Tekortkoming 4. Kader Toelichting

een integraal servicemanagementproces voor IT, domeinen en Procesautomatisering in te richten. Onderdeel van dit plan is incident management. IT Service Management (ITSM) betreft het aansturen van de werkwijze van IT-beheer. Hier worden onder andere de processen incident-, • lifecycle-, change-, configuratie- en patch management in opgenomen. Dit alles zorgt voor een betere control op het beheer van de ICT-middelen. Dit zal uiterlijk voor het einde van 2021 operationeel zijn. • Q2 2021 een nieuw crisisbeheersingsplan. • Calamiteiten draaiboeken Rood 1 en 2 beschikbaar maken. Rood 1 (drinkwater) is vorig jaar geactualiseerd. Rood 2 (ruwwater) wordt in 2021 geactualiseerd. Jaarlijks wordt een grote test/oefening uitgevoerd, samen met collegabedrijf PWN. Daarnaast worden er jaarlijks operationele testen uitgevoerd, hiervan is een lijst gemaakt en beschikbaar gesteld. Afwijkingen worden in een logboek vastgelegd en opgelost. - Toetsing op de 42 criticals wordt vanaf 2021 meegenomen in het auditplan van 2021. Drinkwater en Informatievoorziening Q4 2021 gereed Directeur Assets & Operatie en Directeur Informatievoorziening. Gebreken eventlogging & monitoring PA en IT Binnen de PA drinkwater is een gespecialiseerd Intrusion Detection System (IDS) ingericht. Dit systeem kan onder andere onbedoelde procesmanipulatie, aanvallen en andere ongeregeldheden detecteren.

Er wordt binnen PA drinkwater gelogd op security-gerelateerde gebeurtenissen. Het controleren van deze logging, of opvolging van meldingen vanuit deze IDS-systemen, vindt echter niet volcontinue (24/7) plaats. Het ‘virtuele Security Operations Center (SOC)’, dat deze meldingen afhandelt, is tijdens werkdagen (9ux5) actief. Het betreft een virtueel SOC; geen vaste groep medewerkers. De medewerkers die in het virtuele SOC participeren hebben vooral ook andere taken/prioriteiten. Tijdige opvolging van eventuele alerts kan dus een aandachtspunt zijn. Logging/detectie binnen de KA is ook nog te beperkt ingericht. Hierdoor kunnen ook aanvallen op de PA via de KA mogelijk niet, of te laat worden opgemerkt. Er zijn meerdere documenten over het melden van incidenten aangetroffen. Deze documenten geven echter geen invulling aan het behandelen, analyseren,

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 8 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity oplossen, rapporteren en evalueren van securityincidenten.

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 5. Kader Toelichting

Verbetervoorstel Uitvoering Planning Verantwoordelijkheid Tekortkoming 6.

Conclusie: eventuele aanvallen, of pogingen daartoe, worden mogelijk te laat opgemerkt. Hierdoor is het risico aanwezig, dat aanvallen niet gestopt worden en/of ongemerkt plaatsvinden. Door het ontbreken van voldoende uitgewerkte incident-response processen, is er het risico dat te ad-hoc gewerkt wordt en dat het doen van meldingen, in het kader van de meldplicht, over het hoofd wordt gezien. • Inrichten SOC. In Q2 2021 is er (toe)zicht op de digitale veiligheid van de infrastructuur van de kantoorautomatisering en procesautomatisering (drinkwaterproductie). De aansluiting van de andere belangrijke systemen van de bedrijfsonderdelen (bijvoorbeeld systemen voor afvalwater) volgen na 1 mei 2021, wanneer de basis SOC operationeel is. Dedicated medewerkers SOC zijn onderdeel van de Directie Informatievoorziening. • De centrale firewall wordt 24/7 actief gemonitord vanuit het SOC van de leverancier. Onderzocht zal worden in hoeverre de eigen SOC buiten kantooruren gemonitord kan worden, bijvoorbeeld door samenwerking met andere overheidsorganisaties. Programmamanager SOC Q2 2021 basis SOC operationeel. Q3 2021 onderzoek naar uitbreiding SOC samenwerkingsmogelijkheden SOC’s met andere organisaties. Q3 2021 borgen processen SOC in organisatie. Q4 2021 besluitvorming uitbreiding toezicht.

Directeur Informatievoorziening Gebreken incident response PA en IT Door de nu nog beperkte opsporingsmogelijkheden, in combinatie met een mogelijk niet tijdige afhandeling van incidenten, bestaat het risico dat (pogingen tot) aanvallen te laat (of niet) worden opgemerkt. Door beperkingen in de incident-response procedures bestaat het risico dat het oplossen van incidenten (te) laat start of langer duurt dan noodzakelijk. Waternet is nog onvoldoende toegerust om incidenten tijdig op te sporen en/of af te handelen. Zie 3 en 4. Zie 3 en 4. Zie 3 en 4. Zie 3 en 4. Onvoldoende inrichting & uitvoering risicomanagement inclusief te beperkte risicoanalyse m.b.t. te verwachten dreigingen/actoren t.a.v. cyber

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 9 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity Kader Toelichting

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 7.

PA Norm, Drinkwaterplan, Leveringsplan 2020-2024 en VRA. Het ontbreekt binnen Waternet momenteel aan een ingericht risicomanagementproces. Daar waar cyberrisico’s ingeschat zijn wordt onvoldoende rekening gehouden met de dreiging door geavanceerdere actoren (staten, criminelen); zie ook paragraaf 2.3.1. Er vindt onvoldoende toetsing plaats of de maatregelen uit de PAnorm ook voor Waternet afdoende zijn. De ILT vraagt zich af of door het afwijkende karakter (watercyclus bedrijf) van Waternet ten opzichte van de andere drinkwaterbedrijven het gehanteerde risicoprofiel representatief is. De volledigheid van te onderkennen risico’s, alsmede het effect/werking van genomen maatregelen wordt niet geborgd. Er is daarmee geen aantoonbaar inzicht in de cybersecurityrisico’s voor relevante assets. • In augustus 2020 heeft Waternet een risicomanager a.i. aangesteld. Hij heeft tot taak het risicomanagement organisatie breed in te richten, daarbij rekening houdend met het afwijkende karakter van Waternet als watercyclus bedrijf. • Vooruitlopend aan het opstellen van het Leveringsplan 2020-2024 is een verstoringsrisico analyse (VRA) uitgevoerd. Deze is door ILT goedgekeurd. De VRA vormt de basis voor het Leveringsplan 2020-2024. Cyberrisico’s zijn ingeschat, er is rekening gehouden met de dreiging door geavanceerde actoren. Dit is bij het opstellen van de VRA met de AIVD afgestemd.

Het is noodzakelijk dit structureel te actualiseren. De maatregelen uit de PA Norm zijn hierop afgestemd. De PA Norm is door ILT goedgekeurd. • In Q2 wordt gewerkt aan het formuleren van een risicoprofiel voor digitale veiligheid. Dat is het risiconiveau tot waar risico’s acceptabel worden gevonden, afgewogen tegen de impact op de leveringszekerheid en bedrijfscontinuïteit. Het verschil tussen het ambitieniveau en het risiconiveau bepaalt het benodigd budget en de noodzakelijke inspanning (tempo). Het dreigingsniveau, en wat daarbij voor het bestuur als risico/kans/impact acceptabel of bewust van is, is een bestuurlijke beslissing (relatie met Governance Tekortkoming 3 en 8). Risicomanager Q3 2021 besluitvorming door bestuurlijke opdrachtgevers Q4 2021 risicomanagement borgen in organisatie en onderdeel PDCA-cyclus. Directeur Financiën en Control Gebreken t.a.v. verbeter- en evaluatieprocessen a. ontbrekende rapportages/dashboards

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 10 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity geen samenhang in verbeterprogramma’s, geen goede PDCA cyclus c. geen audits op werking van maatregelen d. verbeteringen (penetratie)testen ad-hoc uitgevoerd. PA en IT; Kwaliteitszorgsysteem Waternet beschikt niet over een (intern controle) proces waarmee de opzet, bestaan en werking/effectiviteit van beheersmaatregelen periodiek worden getoetst. Over de werking van specifieke security-maatregelen of processen wordt niet gerapporteerd. Zo heeft de ILT voor bijvoorbeeld patchmanagement geen periodiek overzicht, van al dan niet doorgevoerde patches aangetroffen. b.

Kader Toelichting

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 8.

Voor het doorvoeren van verbeteringen wordt vaak gewerkt volgens de PDCA-cyclus. Bij Waternet zijn de Check en Act stappen minder goed ontwikkeld. Daarom zal procesverbetering worden afgeremd: na implementatie wordt dan onvoldoende getoetst of de implementatie effectief is en/of de gehanteerde norm (bijv. kritieke prestatie-indicatoren (kpi’s)) realistisch is. Doordat bovendien een integraal beeld op cybersecurity ontbreekt, lijkt ook de koppeling tussen Plan en Do te ontbreken. Waternet is tot nu toe beperkt in staat gebleken om verbeteringen systematisch en planmatig te realiseren. Een generiek proces voor het oppakken en monitoren (dashboards) van verbeteringen is niet aangetroffen. • Opzetten van een continue prestatie dialoog binnen de organisatie aan de hand een PDCA-cyclus. Problemen/afwijkingen naar voren brengen en met elkaar acties bedenken en uitvoeren. PDCA-cyclus wordt Waternet breed aangepakt. Jaarlijks zullen verschillende plannen worden opgesteld, zoals het opstellen jaarlijks auditplan voor Waternet. • Drinkwater werkt conform ISO 9001 en elk jaar vindt een externe audit plaats. De PDCA-cyclus wordt hierbij getoetst. Het genoemde programmaplan in het verbetervoorstel van tekortkoming 2 zal een integraal beeld opleveren van de cybersecurity met de bijbehorende acties en toetsen.

• Voortgang en bijsturing wordt via een dashboard voor verschillende niveaus inzichtelijk gebracht, zoals voor directie Waternet en bestuur van opdrachtgevers (Relatie met Governance Tekortkoming 3 en 9). Control Q2 2021 opstellen auditplan Q2 2021 Plan van aanpak PDCA-cyclus Q4 2021 gereed Q1 2022 borgen PDCA-cyclus in organisatie Directeur Informatievoorziening en Directeur Financiën en Control Gebreken patchmanagement

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 11 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Kader Toelichting

Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid Tekortkoming 9. Kader Toelichting

PA Waternet heeft voor de PA drinkwater patchmanagement ingericht. Waternet scant daarnaast ook periodiek de eigen omgeving op mogelijke kwetsbaarheden en/of gemiste patches. Eventuele omissies worden op operationeel niveau (de werkvloer) verholpen. Er wordt echter geen managementrapportage gegenereerd die inzicht geeft in de algehele patch-/kwetsbaarhedenstatus; en die mogelijk input kan vormen voor een verbeterproces. Conclusie: In de praktijk lijkt patchmanagement op orde. Eventuele omissies met betrekking tot missende patches worden ad-hoc opgelost. Er wordt hierover niet gerapporteerd. Daardoor kunnen eventuele tekortkomingen van het patchmanagementproces niet gedetecteerd en bijgestuurd worden. • ILT heeft in het najaar van 2020 een onderzoek gedaan naar patchmanagement bij de 10 drinkwaterbedrijven in Nederland. Het eindrapport waarin het beeld van de sector wordt weergegeven is nog niet verspreid door ILT. Waternet zou graag zsm het specifieke Waternet rapport ontvangen en op basis hiervan verbeteringen doorvoeren. • Rapportage patchmanagementproces opzetten en borgen in organisatie. Patchmanagement maakt onderdeel uit van het integrale servicemanagementproces: IT Service Management (ITSM). Zie verbetervoorstel tekortkoming 12. Patchmanagement voor AP wordt opgenomen in ITSM.

Afdeling PA Q2 2021 in opzet gereed Q3 2021 operationeel Afdelingshoofd PA Gebreken werkzaamheden derden

Daar waar werkzaamheden door derden worden uitgevoerd, vindt dit altijd onder begeleiding van en met toestemming van Waternet-medewerkers plaats. Waternet neemt bij het verlenen van opdrachten de cybersecurity(eisen) onvoldoende mee (nieuwbouw, vervanging, onderhoud). Daardoor voldoen systemen/projecten bij oplevering niet altijd aan de security-eisen. In de gehouden interviews is bijvoorbeeld aangegeven dat in vernieuwings- /aanpassingstrajecten van de PA bij de aanbesteding het voldoen aan security eisen/hardening niet was meegenomen maar dat deze aanpassingen in een later stadium als apart traject moesten worden doorgevoerd.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 12 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 10. Kader Toelichting

Verbetervoorstel Uitvoering Planning

Conclusie: er is onvoldoende borging in het meenemen van security-eisen bij werkzaamheden door derden. Daardoor doet het risico zich voor dat er systemen in gebruik zijn die niet aan alle security-eisen voldoen. • Inrichten van architectuurboard, in dit beslissingsorgaan wordt getoetst of voorstellen en opdrachten voldoen aan de cybersecurity kaders. • Vaststellen van aangepaste Aansluit - en leveringsvoorwaarden waar (nieuwe) kaders in zijn meegenomen. • Opzetten van een transparant toetsingskader. Toetsing borgen in het ontwerp- en inkoopproces. Wordt nader uitgewerkt o.b.v. toelichting ILT Q2 2021 Inrichting Architectuurboard, met voorlopige kaders O3 2021 Toetsingskaders Q4 2021 Aangepast aansluit- en leveringsvoorwaarden Q1 2022 Architectenboard met definitieve toetsingskaders Q1 2022 Nieuw ontwerp en inkoopproces Directeur Informatievoorziening Verbeterpunten logische toegangsbeveiliging PA en IT Waternet hanteert 1-factor authenticatie (gebruikersnaam en wachtwoord) voor toegang tot de PA-omgeving. Toegang tot de PA verloopt altijd vanuit de KA via de demilitarized zone 18 (DMZ). Tijdens twee recente onderzoeken/testen is gepoogd om vanuit de KA ongeautoriseerd toegang te verkrijgen tot (systemen binnen) de PA. Dit is in beide gevallen niet geslaagd. Hierbij maken we wel de kanttekening dat deze testen maar beperkt waren.

Waternet hanteert processen voor het toekennen en evalueren van toegangsrechten. Dit proces verloopt echter (grotendeels) handmatig. Hierdoor is een risico op vervuiling van de rechten aanwezig. Hierdoor behouden ex-medewerkers, of mensen die een andere functie gaan bekleden, onbedoeld rechten. Conclusie: Het ‘hacken’ van gebruikers binnen de KA leidt niet direct, en zeker niet eenvoudig, tot toegang tot de PA. De ILT merkt hierbij wel op dat nooit kan worden uitgesloten dat een zeer ‘skilled’ aanvaller, met veel tijd en middelen, wel een succesvolle ‘hack’ zou kunnen uitvoeren. Implementeren van een centrale toegangsbeveiliging voor alle IT-systemen, ook twee-weg authenticatie voor PA. Afdelingen PA en IT Q1 2021 start implementatie IT Q2 2021 implementatie gereed IT Q2 2021 start implementatie PA

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 13 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Verantwoordelijkheid Tekortkoming 11. Kader Toelichting

Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid Tekortkoming 12 Kader Toelichting

Q3 2021 gereed implementatie PA Directeur Informatievoorziening Gebreken meldplicht; meldingen naar NCSC Artikel 10 Wbni Het ontbreken van procedures voor de meldplicht, in geval van ICT-inbreuken aan het NCSC vindt de ILT ongewenst. Waternet meldt daardoor mogelijk niet of te laat waardoor het niet tijdig ondersteuning krijgt vanuit het NCSC . Als gevolg daarvan duurt het langer om incidenten op te lossen en kunnen de gevolgen van incidenten onnodig groter worden. De meldplicht omvat twee soorten meldingen: 1. De Wbni verplicht de AED een incident met aanzienlijke gevolgen voor de continuïteit van de door hem verleende dienst bij de sectorale toezichthouder (in dit geval ILT, via DCC) te melden. 2. De Wbni verplicht de AED een inbreuk op de beveiliging van netwerk- en informatiesystemen, die aanzienlijke gevolgen kan hebben voor de continuïteit van de door hem verleende dienst, bij het NCSC te melden. Incidenten vallende onder de 2de categorie kunnen zowel betrekking hebben op incidenten die zich direct in de PAdrinkwater voordoen, als incidenten die zich binnen de KA voordoen en invloed kunnen hebben op de PA-drinkwater. Al deze incidenten zullen dus gemeld moeten worden. • Inrichten melden van incidenten en inbreuken op basis van de Wbni • Nadere afspraken met Vewin (d.d.13 april 2021) voor PA als KA.

Programmamanager SOC Q2 2021 worden meldingen verwerkt op basis van Wbni en nadere afspraken. Directeur Informatievoorziening Verbeterpunten asset & lifecyclemanagement IT Lifecycle management is nog onvoldoende ingevoerd vooral in het KA-domein; Waternet heeft daar een (te) groot aantal applicaties in bedrijf. Deze applicaties zijn ook vaak verouderd. Bij de proceseigenaren is een beperkt besef van de levensduur van applicatieondersteuning. Voor de eventueel verouderde en niet meer ondersteunde applicaties betekent dat ook dat kwetsbaarheden mogelijk niet meer kunnen worden gemitigeerd en dat er onevenredig veel capaciteit en geld aan onderhoud moet worden besteed. Door het nog in bedrijf hebben van niet meer door leverancier ondersteunde applicaties en/of systemen

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 14 van 23

Tekortkomingen zorgplicht en meldplicht cybersecurity

Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid

kunnen kwetsbaarheden niet meer worden verholpen. Eventuele kwetsbare systemen/applicaties, bijvoorbeeld binnen de KA kunnen dan mogelijk ook dienen als ‘springplank’ voor een aanval op andere systemen • Het integraal inrichten van servicemanagementprocessen. IT Service Management (ITSM) betreft het aansturen van de werkwijze van IT-beheer. Hier worden onder andere de processen incident-, lifecycle-, change-, configuratie- en patch management in opgenomen. • Afdeling domeinen in samenwerking met de architecten een roadmap opstellen om vast te stellen welke applicaties uitgefaseerd moeten en op welke termijn. Dit alles zorgt voor een betere control op het beheer van de ICT middelen. Afdeling IT, PA en Domeinen Q2 2021 in opzet gereed Q4 2021 volledig operationeel Directeur Informatievoorziening

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 15 van 23

Bijlage 2: Aanpak ‘Tekortkomingen Governance Waternet’

Tekortkomingen bestuur, aansturing en cultuur Tekortkoming 1 Kader Toelichting

Verbetervoorstel

Op bestuurlijk niveau geen integraal beeld van de wijze waarop de drinkwatertaak wordt geborgd. Good governance, Drinkwaterwet Er is geen integraal toezicht. Op bestuurlijk niveau is er geen centrale aansturing van de drinkwatertaak: - bedrijfsvoering komt op tafel bij het stichtingsbestuur; - beleidsrealisatie drinkwatertaak ligt bij college van B&W en de gemeenteraad. Verbeteringen op twee niveaus: 1. Op korte termijn (per direct) een aantal knelpunten in de bestaande governance oplossen. 2. Voor de langere termijn een grondige evaluatie van de governance uitvoeren en structurele wijzigingen in de governance implementeren. Per direct Wijzigen bestuurlijke besluitvormingsroute: • Het Stichtingsbestuur bekrachtigt slechts nog besluiten op het gebied van bedrijfsvoering die reeds door het bestuur van Amsterdam en AGV genomen zijn. Dat betekent dat het Stichtingsbestuur geen zelfstandige besluiten meer neemt en de integrale besluitvorming over de drinkwatertaak volledig bij de gemeente Amsterdam ligt. . • Besluitvorming over (het integrale toezicht op) de drinkwatertaak van Amsterdam, loopt altijd via wethouder, college van B&W, en de Raad van Amsterdam. • Opbouw van de ambtelijk opdrachtgeversrol bij de gemeente Amsterdam; ingezet voor verbetering van de opdrachtgevers-opdrachtnemersrelatie op ambtelijk niveau en daarmee toezicht op o.a. de uitvoering van de drinkwatertaken.

Langere termijn 2021 De opdrachtgevers van Waternet hebben het initiatief genomen tot een grondige herijking van de governance van Waternet: • Op bestuurlijk niveau ontmoeten Amsterdam en AGV elkaar nu in het Stichtingsbestuur, waar keuzes en toezicht op de bedrijfsvoering plaatsvindt. De vraag is of dit ook in de toekomst de wenselijke vorm van samenwerking is. • Deze evaluatie staat in het perspectief van nieuwe maatschappelijke opgaven die raken aan de watertaken van de beide opdrachtgevers en bredere ontwikkelingen in het openbaar bestuur en aan fiscaal-juridische aspecten.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 16 van 23

Tekortkomingen bestuur, aansturing en cultuur •

Uitvoering Planning

Ook de constatering dat er onvoldoende bestuurlijk toezicht plaatsvindt op de uitvoering van de drinkwatertaak is een belangrijk element. • Daarnaast groeit de behoefte aan kaders vanuit de bestuurlijk opdrachtgevers op onderwerpen die tot nu toe werden geduid als uitvoeringszaken, zoals digitalisering, personeelsbeleid en inkoopbeleid. De behoefte aan kaderstelling geldt zeker ook voor de aanpak van maatschappelijke opgaven (zoals energietransitie, circulaire economie, klimaatadaptatie, bodemdaling en droogte). • Er wordt onderzocht wat vanuit de verschillende behoeften t.a.v. de besturing van de watertaken de betekenis daarvan kan zijn voor de vorm en inrichting van zowel de samenwerking als de bestuurlijke besluitvormingsroutes aan de afzonderlijke bestuurstafels. Ambtelijke top gemeente Amsterdam i.s.m. waterschap Amstel, Gooi en Vecht en Waternet. Per direct andere route van besluitvorming Q2: Besluitvorming over gezamenlijk herijkingstraject eind mei/begin juni (op 19 mei vindt hierover een commissievergadering van het Algemeen Bestuur van AGV plaats en op 20 mei wordt het onderwerp digitale veiligheid en governance besproken in de Raad van Amsterdam).

Verantwoordelijkheid Tekortkoming 2 Kader Toelichting

Verbetervoorstel

Q4: bestuurlijke besluitvorming over structurele verbeteringen in bestaande governance structuur 2022: wanneer noodzakelijk in de loop van 2022 de structurele wijzigingen in de governance structuur van Waternet uitwerken en implementeren. Bestuur gemeente Amsterdam Toezicht op de waarborging van de drinkwatertaak is niet centraal belegd Good governance. Drinkwaterwet Toezicht op de drinkwatertaak is via het Stichtingsbestuur onvoldoende gewaarborgd. Het bestuur van Amsterdam (het College en de Raad) is vooral betrokken bij kredietsaanvragen en tariefvaststelling in relatie tot drinkwater. Alle overige aspecten lopen via het Stichtingsbestuur. Deze situatie moet en kan per direct worden verbeterd. • Het Stichtingsbestuur bekrachtigt slechts nog besluiten op het gebied van bedrijfsvoering die reeds door het bestuur van Amsterdam en AGV genomen zijn. Dat betekent dat het Stichtingsbestuur geen zelfstandige besluiten meer neemt en de integrale besluitvorming over de drinkwatertaak volledig bij de gemeente Amsterdam ligt. Bestuurlijk: besluitvorming

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 17 van 23

Tekortkomingen bestuur, aansturing en cultuur

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 3 Kader Toelichting

Verbetervoorstel

Uitvoering Planning

over (het integrale toezicht op) de drinkwatertaak van Amsterdam, loopt altijd via wethouder, college van B&W, en de Raad van Amsterdam. • Ambtelijk: Opbouw van de ambtelijk opdrachtgeversrol bij en door de gemeente Amsterdam; deze wordt ingezet voor verbetering van de opdrachtgevers-opdrachtnemersrelatie op ambtelijk niveau en daarmee toezicht op o.a. de uitvoering van de drinkwatertaken. Ambtelijke top gemeente Amsterdam en in samenspraak met de leden van het Stichtingsbestuur. Per direct andere besluitvormingsroute, versterking van de relatie opdrachtgever-opdrachtnemer is op dit moment binnen de gemeente Amsterdam in ontwikkeling. Bestuur gemeente Amsterdam Bestuurlijke verantwoording en de interne informatievoorziening aan de directie is niet volledig Good governance. Drinkwaterwet Een combinatie van factoren maakt de besturing en daarmee de borging van de drinkwatertaak kwetsbaar: het functioneel directiemodel - waarbij de afstand tussen het strategisch en operationeel niveau (de werkvloer) als te groot wordt ervaren beperkte verantwoordingsinformatie nog geen gestructureerd risicomanagement voor de gehele organisatie een niet goed werkende PDCA-verbetercyclus een (relatief) beperkte regierol van de algemeen directeur • De algemeen directeur van Waternet is verantwoordelijk voor de uitvoering van de drinkwatertaak.

De directeur Assets & Operatie is op directieniveau gemandateerd om deze uit te voeren. De algemeen directeur is eindverantwoordelijk en ziet periodiek toe op dat deze gemandateerde uitvoering goed verloopt.De functionele directiestructuur, het risicomanagement en de PDCA-cyclus worden grondig geëvalueerd en aangepast. • Risicomanagement wordt door de risicomanager breed uitgerold binnen Waternet . Zie ook het verbetervoorstel bij tekortkoming 7 voor digitale veiligheid Directie Waternet i.s.m. ambtelijke top gemeente Amsterdam Q2: start evaluatie directiestructuur. Q3: verbeteringen risicomanagement en PDCA-cyclus uitwerken. Q4: implementatie noodzakelijke wijzigingen, gelijktijdig met de besluiten over de wijzigingen in de bestaande governancestructuur.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 18 van 23

Tekortkomingen bestuur, aansturing en cultuur

Verantwoordelijkheid Tekortkoming 4

Kader Toelichting Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid Tekortkoming 5

Kader Toelichting

Verbetervoorstel

2022: wanneer de uitwerking van structurele wijzigingen in de governancestructuur aan de orde is, zal de directiestructuur hierbij worden betrokken. Directie Waternet Toezicht op het feit of de leveringszekerheid en drinkwaterveiligheid mogelijk in gevaar komt, vindt op bestuurlijk en strategisch niveau niet of nauwelijks plaats Good governance. Drinkwaterwet •

Besluitvorming over (het integrale toezicht op) de drinkwatertaak van Amsterdam, loopt altijd via wethouder, college van B&W, en de Raad van Amsterdam. • Ontwikkelen van een nieuwe rapportagevorm ten behoeve van de periodieke rapportage aan het bestuur van Amsterdam, inclusief de bijbehorende risicoanalyse. Hiertoe zal verkend worden hoe andere drinkwaterbedrijven (zoals PWN en Dunea) hun rapportages hebben vormgegeven. • Opbouw van de ambtelijk opdrachtgeversrol bij de gemeente Amsterdam; ingezet voor verbetering van de opdrachtgevers-opdrachtnemersrelatie op ambtelijk niveau en daarmee toezicht op o.a. de uitvoering van de drinkwatertaken. • De algemeen directeur van Waternet is verantwoordelijk voor de uitvoering van de drinkwatertaak. De directeur Assets & Operatie is op directieniveau gemandateerd om deze uit te voeren. De algemeen directeur is eindverantwoordelijk en ziet periodiek toe op dat deze gemandateerde uitvoering goed verloopt. Ambtelijke top gemeente Amsterdam i.s.m. directie Waternet Per direct. Bestuur gemeente Amsterdam Het stichtingsbestuur stelt zich wel kritisch op ten opzichte van de ontvangen rapportages, maar opvolging op de kritische vraagstelling ontbreekt Good governance. Drinkwaterwet Uit notulen van de afgelopen jaren blijkt dat het stichtingsbestuur een beperkt aantal vragen stelt over de ontvangen rapportages.

Deze vragen hebben onder meer betrekking op het niet tijdig realiseren van verbeteringen in de digitalisering. Er is geen informatie aangetroffen over de opvolging van de gestelde vragen. Toezicht op de drinkwatertaak vindt niet plaats door het stichtingsbestuur. • Het Stichtingsbestuur bekrachtigt slechts nog besluiten op het gebied van bedrijfsvoering die door het bestuur van Amsterdam en AGV reeds genomen zijn. Dat betekent dat het Stichtingsbestuur geen

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 19 van 23

Tekortkomingen bestuur, aansturing en cultuur

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 6 Kader Toelichting

Verbetervoorstel

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 7 Kader Toelichting

zelfstandige besluiten meer neemt en de integrale besluitvorming over de drinkwatertaak volledig bij de gemeente Amsterdam ligt. Bestuurlijk: besluitvorming over (het integrale toezicht op) de drinkwatertaak van Amsterdam, loopt altijd via wethouder, college van B&W, en de Raad van Amsterdam. • De voortgangsrapportages aan het bestuur van Amsterdam en AGV zullen worden uitgebreid, en het toezicht op de realisatie van verbeteringen wordt geïntensiveerd. Bestuurlijke opdrachtgevers Waternet i.s.m. ambtelijke top gemeente Amsterdam en directie Waternet Per direct Q2: start bestuurlijk verbetertraject Q4 (eind 2021): bestuurlijke besluitvorming over structurele verbeteringen in bestaande governance structuur. Wanneer noodzakelijk in de loop van 2022 structurele wijzigingen in de governance structuur van Waternet uitwerken en implementeren. Bestuurlijke opdrachtgevers en Stichtingsbestuur Waternet In de organisatie wordt de afstand tussen het strategisch en operationeel niveau als te groot ervaren Interne sturing en verdeling van rollen en verantwoordelijkheden In 2018 is een functionele directiestructuur ingevoerd. Afdelingshoofden zijn integraal verantwoordelijk voor personeel, planning en budget. Binnen afdelingen hebben teamleiders een belangrijke rol in de aansturing van medewerkers.

Per direct: operationele sturing door de directeur Assets & Operatie, de directeur Dienstverlening en de directeur IV (CIO) op de uitvoering. Q2: start evaluatie directiestructuur en aanpassing van de huidige directiestructuur (functionele directie). Q4 (eind 2021): implementatie noodzakelijke wijzigingen, gelijktijdig met de besluiten over de wijzigingen in de bestaande governance structuur. 2022: wanneer de uitwerking van structurele wijzigingen in de governancestructuur aan de orde is, zal de directiestructuur hierbij worden betrokken. Directie Waternet Q2 en Q3: beperkte aanpassingen 2022: Na afloop van bestuurlijk evaluatie governance sturingsmodel mogelijke verdergaand aanpassen Directie Waternet Beperkte regie en aansturing op strategisch en bestuurlijk niveau

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 20 van 23

Tekortkomingen bestuur, aansturing en cultuur Verbetervoorstel

•

•

•

•

•

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 8 Kader Toelichting

Verbetervoorstel

Het Stichtingsbestuur bekrachtigt slechts nog besluiten op het gebied van bedrijfsvoering die door het bestuur van Amsterdam en AGV reeds genomen zijn. Dat betekent dat het Stichtingsbestuur geen zelfstandige besluiten meer neemt. Besluitvorming over (het integrale toezicht op) de drinkwatertaak van Amsterdam, loopt altijd via wethouder, college van B&W, en de Raad van Amsterdam. Op bestuurlijk niveau wordt vanaf april 2021 maandelijks een portfolio overleg Digitalisering en Digitale Veiligheid georganiseerd met de opdrachtgevers van de Stichting Waternet, de gemeente Amsterdam en Waterschap AGV. Het Stichtingsbestuur zal daar waar besluitvorming aan de orde is, dit vervolgens bekrachtigen in haar vergadering. Op voordracht van de afzonderlijke opdrachtgevers, en in afstemming met gewenste route DB-AB van het Waterschap cq. het College B&W en de gemeenteraad Amsterdam. Tijdens dit portfolio overleg wordt de voortgang en organisatie van digitalisering met de verantwoordelijk bestuurders besproken, bestuurlijke besluitvorming gecoördineerd en vindt afstemming op onderliggende onderwerpen plaats. Op deze manier kunnen de opdrachtgevers gezamenlijk sturen op prioriteiten op basis van risico’s, toegevoegde waarde en kosten.

Deelnemers van dit overleg zijn de wethouder van Amsterdam, de portefeuillehouder digitalisering van het waterschap, de algemeen directeur en de directeur Informatievoorziening van Waternet, de CISO’s van Waternet en Amsterdam.

CIO Q 2: start Eind 2021 implementatie noodzakelijke structurele wijzigingen, gelijktijdig met de besluiten over de wijzigingen in de bestaande governance structuur. 2022: wanneer de uitwerking van structurele wijzigingen in de governancestructuur aan de orde is, zullen de voorgestelde wijzigingen hierbij worden betrokken. Bestuurlijke opdrachtgevers en Directie Waternet Onvoldoende integrale inrichting en uitvoering van risicomanagement Good governance Delen van de organisatie kennen (een vorm van) risicomanagement, andere onderdelen niet of minder. Daarmee ontbreekt een integrale inrichting van het risicomanagement in de hele organisatie • Het risicomanagement zoals omschreven in het Leveringsplan en de VRA verbreden naar de gehele organisatie van Waternet. Recent is het beleid m.b.t.

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 21 van 23

Tekortkomingen bestuur, aansturing en cultuur

Uitvoering Planning

Verantwoordelijkheid Tekortkoming 9 Kader Toelichting Verbetervoorstel

Uitvoering Planning Verantwoordelijkheid Tekortkoming 10 Kader Toelichting

Verbetervoorstel

risicomanagement binnen Waternet vastgesteld. De risicomanager zal dit beleid verder implementeren. • Verbeteringen risicomanagement uitwerken en uitvoeren • Ontwikkeling en implementeren van een risicoprofiel en prioriteringsmatrix • Uitwerken van mogelijke risico’s bij de realisatie van dit verbeterplan, zoals capaciteitsproblemen door een tekort aan PA-specialisten (veel organisaties zijn bezig de veiligheid van de PA op orde aan het brengen). Relatie cybersecurity Tekortkoming 6. Risicomanager Waternet Q2: start, uitwerking prioriteitenmatrix (bedrijfswaardenmatrix) Q3: verbeteringen risicomanagement uitwerken, oplevering risicoprofiel en prioriteringsmatrix. Q4: implementatie noodzakelijke wijzigingen, gelijktijdig met de besluiten over de wijzigingen in de bestaande governance structuur. Directie Waternet Een niet goed werkende PDCA-cyclus en informatievoorziening Good governance Versnelling van verbeteringen ten aanzien van de organisatiebrede toepassing van de PDCA-cyclus(zie ook verbetervoorstel tekortkoming 7 voor digitale veiligheid) Directie Waternet, Corporate Control, afdeling Finance & Control Q3: uitwerken Q4: gereed Directie Waternet Aanspreekbaarheid en openheid verdienen meer aandacht Good governance Uit het ILT onderzoek ontstaat het beeld dat aanspreekbaarheid en openheid meer aandacht nodig hebben.

Het blijkt binnen Waternet een gewoonte om, in geval van problemen, niet direct een leidinggevende te benaderen. Ook wordt een cultuur genoemd van polderen (lang met elkaar spreken zonder snel een besluit te nemen) en situaties door gedrevenheid te optimistisch in te schatten. Het expliciet aanspreken op situaties en consequenties lijkt men ongemakkelijk te vinden. Er lopen diverse initiatieven om de transparantie, tegenspraak, eigenaarschap en bewustwording (o.a. met betrekking tot digitale veiligheid) te stimuleren. De directie is met hulp van externe begeleiding een intensief traject gestart om bewustwording van gewoonten te vergroten en geconstateerde patronen te doorbreken op verschillende niveaus (directie, management, medewerkers, interactie

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 22 van 23

Tekortkomingen bestuur, aansturing en cultuur

Uitvoering Planning Verantwoordelijkheid

met bestuur). In het licht van de herijking van de governance is de aandacht hiervoor geïntensiveerd. Directie Waternet Q2: start. Doorlopende actie Directie Waternet

Datum 29 april 2021 Ons kenmerk 21.011036 Pagina 23 van 23