2024.05.21 Rekeningencommissie conceptverslag OPENBAAR

Rekeningencommissie 2022-2026 Verslag van de Rekeningencommissie van 21-05-2024 Aanwezig: Mw. Van Pijpen (voorzitter) De leden dhr. Asruf, dhr. Garmy, dhr. Von Gerhardt, dhr. Havelaar, mw. Krom. dhr. Mangal, dhr. Schmit Overige aanwezigen: dhr. Crooijmans, dhr. Breedijk (concerncontroller), dhr. Ceelie (ACAM), dhr. Demirel (ACAM), mw. Diemont (griffie), dhr. Van Hooff (ACAM) en dhr. Scholtes (wethouder) Afwezig: Verslag: dhr. Eijking (Notuleerservice Nederland) 1. Opening De voorzitter opent de vergadering om 20.36 uur en heet de aanwezigen welkom. Vanavond zal er gesproken worden over ICT en informatieveiligheid. De ambtenaren mogen eventueel het woord voeren, maar de wethouder blijft verantwoordelijk blijft en de vergadering is openbaar. 2. Wethouder Scholtes De voorzitter geeft voor het eerste blokje het woord aan de heer Von Gerhardt. Hij zal vragen stellen over de assurancerapportages van de uitbestede diensten, de SaaS-applicaties. De heer Von Gerhardt zal vragen stellen over de assurancerapportages van de uitbestede diensten, de SaaS-applicaties. De Rekeningencommissie heeft geconcludeerd dat meerdere van die rapportages niet ontvangen zijn in 2024, waaronder die van een SaaS-applicaties die betrekking hebben op kritieke processen binnen de gemeente. In het tweede kwartaal van 2024 wordt voor deze applicaties een gapanalyse gemaakt.

Wat is de status van deze analyse? De heer Scholtes antwoordt dat de ACAM het rapport heeft toegelicht en dat de bestuurlijke van het college binnenkort volgt. Wat betreft de software-as-a-servicetoepassingen zijn drie zaken nog niet helemaal op orde. Ten eerste gaat het om de afspraken in de contracten met de leveranciers over het aanleveren van de informatie. Ten tweede moet die informatie daadwerkelijk worden aangeleverd. Dat zijn de insurancerapportages waaruit moet blijken of de applicaties veilig zijn. Ten derde gaat het om de vraag hoe de gemeente omgaat met die applicaties en of daar op centraal niveau voldoende inzicht in bestaat. Die gapanalyse loopt en is nog niet helemaal af. Er wordt eerst gekeken naar de kritische applicaties. Die moeten nog dit jaar op orde gebracht worden. Dat zijn er ongeveer 87. Daarbij moeten die drie zaken uiterlijk in Q3 van dit jaar op orde zijn. Daarna volgt de rest van de applicaties. Bij nieuwe contracten worden de goede afspraken gemaakt. Bij bestaande contracten duurt dit soms langer. De heer Von Gerhardt vraagt of de contracten nu op een andere manier worden afgesloten, zodat de problemen in het vervolg niet meer kunnen plaatsvinden. De heer Scholtes antwoordt dat er expliciet afspraken worden gemaakt om die drie aspecten helder te krijgen.

Bij de 87 kritische applicaties wordt bekeken of die voldoen aan de drie genoemde aspecten en die moeten aan het einde van Q3 op orde zijn. Het zouden er iets meer kunnen worden. Het is niet gezegd dat het bij alle 87 applicaties niet op orde is.

2 De heer Von Gerhardt vraagt of voldoende duidelijk is welke risico’s de gemeente op het moment loopt bij het uitblijven van deze rapportages. Wat zijn de risico’s of de gevolgen als het einde van Q3 niet gehaald wordt? De heer Scholtes antwoordt dat de raad eerder gevraagd heeft om de feitelijke risico’s beter in beeld te brengen. Ten aanzien van privacy en de AVG is de gemeente daarmee aan de slag. Dat zal halverwege 2025 in beeld zijn gebracht. Dan wordt het ondergebracht in het risicobeheersysteem. Wat betreft informatiebeveiliging zal het college ergens dit jaar al een beeld hebben. Daar zal dan ook over gerapporteerd worden. Voor de zomer ontvangt de raad de stand van zaken in de Bestuurlijke rapportage informatiebeveiliging. De heer Von Gerhardt merkt op dat er naast de centraal beheerde applicaties ook nog decentraal beheerde applicaties zijn. Heeft de wethouder zicht op deze applicaties en de afspraken die hierover met de leveranciers zijn gemaakt? De heer Scholtes antwoordt dat het nog moeizaam verloopt. Recent krijgt het e-domein deze applicaties in beeld. De heer Crooijmans (ambtenaar) bevestigt dit. Applicaties in het e-domein die de gemeente al in beheer had lopen de acties zoals die net besproken zijn.

Tegelijkertijd, onder andere bij de invoering van de nieuwe werkplek vorig jaar, is duidelijk geworden dat er nogal wat applicaties, bijvoorbeeld in het fysieke domein, in eigen beheer waren. Die worden nu ook allemaal op dat niveau gebracht waar de wethouder over sprak. Dat loopt dus nog wat achter. De heer Von Gerhardt vraagt of bij die decentrale applicaties duidelijk is wat de risico’s zijn of dat dit een blinde vlek is. De heer Scholtes antwoordt dat dit de komende tijd in beeld gebracht zal moeten worden. De heer Von Gerhardt merkt op dat het belangrijk is dat de interne organisaties van de gemeente de rapportages goed kunnen beoordelen. Worden er al stappen gezet om de beoordeling op een structurele manier te borgen in de organisatie? De heer Scholtes antwoordt dat er specialisten zijn die dat specifiek bekijken. De vakgroep Informatiebeveiliging richt zich hierop. De voorzitter concludeert dat er voortgang is, maar dat men er nog lang niet is. Hoe zal de gemeente volgens de wethouder volgend jaar op dit thema zitten? De heer Scholtes wil hier op het einde op terugkomen in zijn algemene bespiegeling. De heer Mangal vraagt of er bij de risico’s ook wordt gekeken of de gemeente in een locked-in komt bij bepaalde leveranciers. Bij een locked-in wordt de gemeente afhankelijk van een leverancier en is het onmogelijk om over te stappen.

De heer Scholtes zou hier graag zijn ambtenaar nog over aan het woord laten. Dit raakt aan de meer politieke discussie over het initiatiefvoorstel-IJmker Amsterdam digitaal onafhankelijk, waar de raad later nog over zal spreken. De heer Schmit merkt op dat volgens de richtlijn informatiebeveiliging overheid moet de gemeente minimaal twee keer per jaar een periodieke controle doen op autorisaties. In 2023 is deze controle op bijna alle applicaties één keer uitgevoerd. Hoe wordt geborgd dat dit in 2024 wel weer twee keer gebeurt? De heer Scholtes antwoordt dat binnen het thema informatiebeveiliging het verbeteren van het autorisatiebeheer een focus moet hebben. De ACAM vraagt hier aandacht voor. Er is het stedelijk proces met de checks die nodig zijn. Er zal voor gezorgd worden dat die checks dit jaar op orde zijn en er zal apart over gerapporteerd worden. De organisatie moet hier de juiste routine in krijgen. De directies hebben de opdracht om die controles uit te voeren. De centrale organisatie zal hierop toezien en de organisaties hierin faciliteren. De afdeling Functioneel beheer helpt hierbij, maar doet ook de controle op de speciale rechten en doet samen met de directie de monitoring op de ongewenste functievermenging, waar de ACAM ook aandacht voor vraagt.

3 De heer Schmit vraagt hoe bij de uitgifte van toegangsrechten ongewenste functievermenging gemonitord wordt. De account zag hier beperkte vooruitgang. Deelt de wethouder die mening en welke stappen gaat hij zetten in 2024 om de ongewenste functievermenging te monitoren? De heer Scholtes antwoordt dat hij het aandachtspunt van de accountant deelt. Het stedelijk proces is er. De afdeling Functioneel beheer helpt de directies en controleert ze deels. Er zal apart over gerapporteerd worden. Mevrouw Krom vraagt welke risico’s de gemeente in de tussentijd loopt. De heer Scholtes antwoordt dat dit speelt bij alle directies. Het moet indalen in de organisatie, dus de wethouder vindt het lastig om te zeggen of dit volgend jaar helemaal op orde is. Eind dit jaar heeft hij een beter beeld bij informatiebeveiliging breed in de organisatie. Er komen nog rapportages over. Externe inhuur is nu bijvoorbeeld een risicogroep. Het is een risico als niet goed in beeld is hoe geld overgemaakt wordt en als autorisaties zijn blijven staan. Dit blijft een prioriteit. Mevrouw Krom vraagt of dit betekent dat het systeem klaar is, maar dat het door gedrag komt dat de gemeente nog niet klaar is. De heer Scholtes brengt de raadsbrief over compliancy in herinnering, waarin het ging over verschillende niveaus van compliancy.

Een niveau was de opzet: zijn de beheersmaatregelen er vanuit de stelselverantwoordelijkheid? Het tweede onderdeel is het bestaan: worden die beheersmaatregelen ook geïmplementeerd en toegepast? Dat geldt dus voor decentrale maatregelen bij de verschillende directies. Daar zijn nog stappen te zetten. Het moet vanzelfsprekend worden dat dit in de uitvoering bij de directies gaat gebeuren. Daar is ook expertise vanuit de centrale stad voor nodig. De heer Schmit heeft nog een vraag over het autorisatiebeheer. Er is tot nu toe gespreken over de applicaties die binnen de scope van de jaarrekeningcontrole vallen, maar er zijn nog meer kritische applicaties. Hoe kijkt de wethouder naar het autorisatiebeheer van deze applicaties? De heer Scholtes antwoordt dat dit voor alle applicaties speelt. Wat de wethouder net zei over het stedelijk proces en de directies daarbij helpen, geldt veel breder dan de 25 applicaties. De heer Mangal merkt op dat er een discussie was over het loggen van wie er inlogt. Hoe staat het hiermee en wanneer wordt dat gedaan? De heer Scholtes antwoordt dat de ACAM hier inderdaad aandacht voor hard gevraagd. Er zijn nog steeds applicaties die niet goed loggen welke wijzigingen worden doorgevoerd. Dat moet dit jaar geregeld worden. De heer Schmit komt op zijn vragen over business continuity management. Hier is vorig jaar ook over gesproken.

Er zijn toen aanbevelingen gedaan. Hoe kijkt de wethouder terug op de voortgang van dit onderwerp in 2023? De heer Scholtes antwoordt dat er op dit vlak vorderingen zijn gemaakt. Het gaat niet alleen om digitalisering, maar het speelt breder. Een externe partij heeft in opdracht van de gemeente een startnotitie geschreven ten aanzien van business continuity management. Die ging over de vraag welke aanpak er nodig is en hoe die ingericht kan worden. Dit is meegenomen in de aanpak die in de praktijk verder ontwikkeld wordt. In de organisatie zijn er collega’s die speciaal hiervoor aandacht moeten hebben, zogeheten trekkers. In Q4 van 2023 is een kwartiermaker gestart met een eigen programmateam. Uiteindelijk moet het in de hele organisatie gebeuren. Er is nu voor gekozen om in ieder cluster van de gemeente één directie te kiezen die ermee moet beginnen, de GGD, Verkeer en Openbare Ruimte en Afval en Grondstoffen. In de praktijk wordt met de collega’s samengewerkt aan de BCM-aanpak. Dat wordt een integraal beleidskader genoemd. De heer Garmy zal vragen stellen over compliance, het voldoen aan wet- en regelgeving in het e-domein. Hoe kijkt de wethouder hiernaar in het kader van verschillende wetgeving, de BIO, de AVG, de WPG en de Woo.

Welke voortgang is er bereikt? De heer Scholtes antwoordt dat hij niet veel over de Woo zal zeggen, want hier is de burgemeester de stelselverantwoordelijke voor. In het algemeen heeft de gemeente op het vlak van compliancy nog werk

4 te doen. Dit geldt voor alle wetten die de heer Garmy noemde. Met betrekking tot informatiebeveiliging zijn er een aantal stappen gezet. Sinds 2020 werkt de gemeente met de BIO, de Baseline informatiebeveiliging. De gemeente heeft steeds beter in beeld hoe de directies ervoor staan. Autorisatiebeheer is nog steeds een belangrijke focus. De feitelijke risico’s zijn nu goed in beeld. Met de directies wordt hier al naar gekeken. De gemeente is hier al volwassen mee bezig. Er worden ook Pentests uitgevoerd met ethische hackers uitgevoerd om de beveiliging te testen. Ten aanzien van de AVG is er veel werk verricht, maar valt er nog een grote stap te zetten. Ook hier is de beweging zichtbaar van decentraal naar een meer centrale verantwoordelijkheid. Er is een nieuwe functionaris gegevensbescherming. Die is onafhankelijker gepositioneerd in de gemeente. Het aantal privacy-officers is gegroeid. Er een ‘baseline privacy Amsterdam’ opgesteld. Daarmee kan een nulmeting uitgevoerd worden bij alle directies. Vervolgens zal bij alle directies bekeken worden wat er verbeterd kan worden. Hier is een langere tijdlijn voor dan voor informatiebeveiliging. Medio 2025 denkt de wethouder de feitelijke risico’s goed in beeld te hebben. Dan volgen de plannen van aanpak voor alle directies. Er zijn al stappen gezet. Het proces voor datalekken is aangepast.

Er is een piketdienst, waardoor meldingen sneller gedaan kunnen worden en de gemeente vaker op tijd meldingen kan doen bij de Autoriteit Persoonsgegevens. De gemeente probeert ook op allerlei andere manieren op een praktische manier collega’s te helpen om aan wetgeving te voldoen. De baseline privacy is per proces een verdiepingsslag ten opzichte van de AVG. Met betrekking tot de Wet Politiegegevens heeft de gemeente onlangs interne audits gedaan als hercontroles. Die zijn naar de AP gestuurd en er is een goed gesprek over gevoerd. Ook hier geldt dat er sinds de vorige audit een opgaande lijn te zien is, maar dat men er nog niet is. De wethouder was na de audit bijvoorbeeld niet tevreden over wat er gedaan wordt met betrekking tot leerplicht en de andere boa bevoegdheden. Er is een verbeterplan opgesteld richting de externe audit in 2025. Er is een privacy-officer vrijgemaakt die zijn aandacht specifiek richt op het voldoen aan de Wpg. Er wordt ook samengewerkt met andere steden. Er bestaat een normenkader. De AP vindt dit het juiste kader. Zo kan goed gecheckt worden waar precies aan voldaan moet worden. De wethouder heeft er vertrouwen in dat de externe audit tot een beter resultaat zal leiden. De heer Garmy vraagt of de gemeente de nieuwe wet- en regelgeving goed in de gaten heeft en wat de impact hiervan kan zijn op de organisatie.

Kan dit tijdelijk geïmplementeerd worden of wordt er vertraging opgelopen? De heer Scholtes antwoordt dat hij niet durft te zeggen dat er geen vertraging zal zijn, maar er wordt zeker gekeken naar nieuwe wetgeving. In de Voorjaarsnota stelde het college voor om geld vrij te maken voor capaciteit die zich bezighoudt met nieuwe wetgeving. De gemeente loopt al vooruit op Europese wetgeving rondom kunstmatige intelligentie. De heer Asruf merkt op dat de wethouder eerder al zei dat de bestuurlijke rapportage informatiebeveiliging voor de zomer naar de raad komt. Het viel de accountant op dat in het jaarverslag niet wordt ingegaan op de actuele staat van de informatiebeveiliging en dat er geen vooruitblik is. In hoeverre kan de wethouder hier al op ingaan en kan hij al een inkijkje geven in de bestuurlijke rapportage? De heer Scholtes antwoordt dat hij de vraag begrijpt, maar nu niet meer paraat heeft dan wat hij net al gezegd heeft over informatiebeveiliging. In de bestuurlijke rapportage zal hier uitgebreid op ingegaan worden. De heer Asruf vraagt of de wethouder verwacht dat er voor 2024 wel voldaan zal worden aan de normen voor informatiebeveiliging. De heer Scholtes antwoordt dat de gemeente dit jaar in ieder geval de feitelijke risico’s goed in beeld zal hebben. Vervolgens kan er dus gewerkt worden aan verbetering.

De heer Asruf vraagt wat de verbeterplannen zijn om te voldoen aan de voorwaarden in de ENSIA, de Eenduidige Normatiek Single Information Audit. De gemeente voldoet hier momenteel niet aan.

5 De heer Scholtes antwoordt dat hij dit niet heel goed paraat heeft. Hij weet dat er een verbeterplan is en dat het college er vertrouwen in heeft dat het volgend jaar is opgelost. Het gaat erom dat gegevens in de verschillende basisregistraties moeten kloppen en consistent moeten zijn. De wethouder gaat ervan uit dat het volgend jaar is opgelost. De heer Asruf vraagt of dit punt ook terugkomt in de bestuurlijke rapportage. De heer Scholtes antwoordt dat hier weer een aparte rapportage over komt. Hij meent dat deze vrij snel komt. De heer Havelaar vraagt op welke manier het gedrag van medewerkers hierin meegenomen wordt. Vertrouwelijke documenten worden soms bijvoorbeeld uit praktische overwegingen naar privémailadressen gestuurd. De heer Crooijmans antwoordt dat dit een belangrijk onderwerp is. Bij de invoering van de nieuwe werkplekken wordt het beter mogelijk om hier grip op te krijgen. Inmiddels is het programma Digitaal samenwerken gestart. Daarin worden bepaalde documenten, waartoe niet iedereen toegang heeft, beter in een beheerde omgeving geplaatst. Daarmee wordt het ook makkelijker om zorgvuldig te zijn. Het is echter een project van de lange adem, want het gaat over het gedrag van ongeveer 20.000 medewerkers. De heer Havelaar vraagt of er zicht is op de mate van gebruik van privédrives en privémails. De heer Crooijmans heeft dat zicht niet.

Hij verwacht dat het gebruik zal afnemen bij de invoering van de nieuwe werkplek, omdat het opslaan en gebruik van documenten in de beveiligde omgeving eenvoudiger wordt. De voorzitter is aangeland bij de algemene vragen. Ze vraagt de wethouder hoe hij terugkijkt op het afgelopen jaar, hoe hij kijkt naar de onderwerpen die in de audit van de accountant aan de orde zijn gekomen en of hij zelf nog opmerkingen heeft over iets dat niet aan de orde is geweest. De heer Scholtes antwoordt dat hij mede door de raad, de ACAM, de Rekeningencommissie en de CPA meer aandacht heeft voor compliancy dan hij verwacht had toen hij aantrad als wethouder. Toen hij werd geïnstalleerd sprak hij over de maatschappelijke toepassingen van digitalisering. Al vrij snel is zijn focus verschoven naar het op orde krijgen van de basis. Dit is werk dat continu aandacht vraagt. Binnen de Agenda digitale stad is op orde krijgen van de basis een van de drie pijlers. Dit gaat samen met de centralisering van toezicht en het formuleren van beleid om te voldoen aan alle wetgeving. De wethouder is gemotiveerd om volgend jaar een positiever beeld te kunnen geven. Op de BIO zijn goede vorderingen gemaakt. Hopelijk kan volgend jaar hetzelfde gezegd worden over de AVG en de WPG. Achter de schermen vindt veel werk plaats.

De wethouder hoeft in ieder geval niet overtuigd te worden van de noodzaak om hier volop bestuurlijke aandacht aan te geven. 3. Sluiting De voorzitter bedankt de aanwezigen en sluit de vergadering om 21.15 uur.