20250528 Rekeningencommissie conceptverslag openbaar deel 1 (wh Scholtes)

Rekeningencommissie 2022-2026 Verslag van de Rekeningencommissie van 28-05-2025 Openbaar gedeelte; gesprek met wethouder Scholtes Aanwezig: mw. IJmker (voorzi er), dhr. Asruf (PvdA), dhr. Schmit (D66), dhr. Von Gerhardt (VVD), iets later, dhr. Garmy (Volt) en dhr. Havelaar (CDA). Afwezig: mw. Krom (Par j voor de Dieren) en dhr. Mangal (DENK) Overige aanwezigen: dhr. Van Hooff, dhr. Demirel en dhr. Ceelie (ACAM); wethouder dhr. Scholtes; mw. Diemont en dhr. Miedema (griffie) Verslag: mw. Fortuin – van Herk (Notuleerservice Nederland)

De voorzi er opent het eerste openbare gedeelte van deze vergadering om 12:30 uur en heet allen welkom. Van de vergadering wordt een verslag gemaakt. Er zullen door de commissie apoli eke vragen worden gesteld aan wethouder Scholtes over de Jaarrekening. Aan wethouder Scholtes wordt als eerste gevraagd wat hij – terugkijkend op het afgelopen jaar – als posi ef hee ervaren en wat beter kan. De heer Scholtes gee aan dat hij tevreden is over het business-con nuïteitsmanagement: daar is goede vooruitgang geboekt. Er is een startno e opgesteld en een kwar ermaker aangesteld. Men is aan de slag gegaan bij drie direc es. DMC is op orde. Daar is een plan en vinden crisisoefeningen plaats. Ook bij de ontruiming van het datacenter was een posi eve ontwikkeling zichtbaar. Wat betre het autorisa ebeheer stelt hij dat de voortgang tamelijk traag is. De periodieke controles zijn nu op orde, ook per kwartaal, maar dit deel van de aanbeveling is pas succesvol afgerond als de controles aantoonbaar een aantal malen zijn uitgevoerd. Er is een login app gepland en monitoring van ongewenste func evermenging; dit is nog niet op orde en wordt nu opgestart. Wat betre compliance, AI en informa ebeveiliging betre hee men te maken met elkaar snel opvolgende ontwikkelingen. O.a.

op basis van de nieuwe cyberbeveiligingswet zullen er waarschijnlijk eind 2025 / begin 2026 nieuwe, strengere eisen gesteld worden aan overheden. Het proces rond algoritmes loopt. In het Plan van Aanpak Algoritmes is beschreven dat eind 2026 alle impactvolle en hoogrisicoalgoritmes en IT-systemen moeten zijn opgespoord en dat hierop maatregelen zijn genomen. Eén punt is nog kri sch: de aanpak met betrekking tot de staatsapplica es, de twin g applica es binnen de scope van de ACAM en de assurancerapportages. Voor zes en applica es is de rapportage al opgevraagd en over de assurancerapportages volgt nog een gesprek met de leveranciers. Voor vier applica es is dit nog niet geregeld; dit moet op korte termijn op orde zijn. Men is daarbij a ankelijk van de leveranciers. Die rapportages hee men soms niet. Bij nieuwe orders voor applica es is de assurancerapportage onderdeel van de inkoopvoorwaarden; voor oude orders blij dit een punt. Voor alle in totaal 212 applica es moet dit geregeld worden. Er is begonnen met de ca. 55 bedrijfskri sche applica es. Hij is nog niet tevreden over de voortgang op dit punt. De voorzi er had begrepen dat het om vier applica es zou gaan. De reden voor het ontbreken van een assurancerapportage kan divers zijn, bijvoorbeeld de rela e met de leverancier of het feit dat die rapportage er gewoon niet is. Zij vraagt de heer Scholtes om een toelich ng.

De heer Scholtes weet niet precies hoe het bij deze vier leveranciers zit. Men hee die rapportages niet. Leveranciers vinden het opstellen hiervan soms ingewikkeld.

2 De heer Garmy gee aan dat één van de opmerkingen van de ACAM de AVG betre . Dit onderwerp is al vaker aan de orde gekomen, net als andere relevante wetgevingstrajecten. Hij vraagt hoe de implementa e verloopt en hoe de gemeente aan deze wet- en regelgeving gaat voldoen. De heer Scholtes antwoordt dat medio 2025 alle risico’s in beeld moeten zijn. Dan moet er voor alle direc es een GAP-analyse zijn gemaakt volgens de baseline privacy Amsterdam. Dat proces ligt op schema, maar er is nog veel werk te doen. Bewustwording speelt ook een rol, net als het wennen aan alle taken en rollen. Ook de beperkte capaciteit en exper se hee invloed. Er is een onderzoek gestart naar de hele privacyketen binnen de gemeente. Er is een nieuwe, ona ankelijke func onaris Gegevensbescherming. De vraag is wat een logische capaciteit is; een benchmark kan hier inzicht in geven. Eind 2024 is de baseline privacy Amsterdam van 45 direc es door de privacy officers ingevuld. Inmiddels hee een aantal directeuren deze baseline privacy ondertekend. De verwach ng is dat de uitvoering hiervan op schema start. Daarna wordt er gestart met een meerjarig Plan van Aanpak om per direc e de risico’s te mi geren. De voorzi er vraagt of het vooral gaat om de AVG en privacyrisico’s. Er is nog andere wet- en regelgeving waaraan voldaan moet worden.

Ook is de vraag, gezien de genoemde beperkte capaciteit, of hier sprake kan zijn van een risico als er alleen maar meer wordt gevraagd. De heer Scholtes gee aan dat dit al jd een worsteling is. Het onderzoek ging met name over de privacyketen. De voorzi er vraagt of er voorbeelden zijn van maatregelen, zoals voor CBW. Er zijn allerlei verplich ngen, met name voortvloeiend uit de nieuwe AI-wet. De heer Scholtes noemt de Europese richtlijn …2, de BIO2 en de nieuwe cyberbeveiligingswet. Daar is al een programma voor opgezet, maar deze wet moet nog door de Tweede en de Eerste Kamer worden aangenomen. De verwach ng is dat dit in het eerste kwartaal van 2026 zal gebeuren. Er is een programmaplan opgezet voor de gemeente Amsterdam. In dit programma krijgen de resterende punten uit de BIO2 ook een plek. De voorzi er vraagt of er ook een Plan van Aanpak komt voor AI. De heer Scholtes gee aan dat dit in de nieuwe AI-agenda zal worden geadresseerd. Met de commissie FKD zal gecheckt worden of deze voldoet aan de verwach ngen van de RC. Wat betre AIgele erdheid kan hij melden dat er ook een algoritme hoog risico komt. Dit loopt via het college. De voorzi er vraagt naar het beheerskader en het programmaplan: zijn dit papieren maatregelen? De vraag is hoe cultuur en gedrag beoordeeld worden in rela e tot het e-domein en of de maatregelen werken zoals deze bedoeld zijn.

De heer Scholtes verwijst naar de brief over compliancy. Het is op centraal niveau globaal op orde, maar het kan nog scherper en beter. Op decentraal niveau gaat het vooral over bewustwording en cultuur. Daar is nog een aantal stappen te ze en, met name op het gebied van AVG en privacy. Het is nog een zoektocht. Het is een belangrijk aandachtspunt voor de volgende keer, net als AI. De voorzi er vraagt of er voorbeelden zijn van maatregelen. De heer Scholtes is van mening dat maatregelen bij cultuurverandering beperkt effect hebben. Het gaat om blijvende aandacht en collega’s informeren. AI gaat ook over e-learning en het meenemen van collega’s op een zo laagdrempelig mogelijke manier, bij de bewustwording van de risico’s van AI. Er worden allerlei rapportages meegenomen, zoals het Jaarverslag van FG en SISO. Er kunnen gesprekken worden aangegaan over bewustwording. Hij hee een stelselverantwoordelijkheid, maar de direc es en de collega’s hebben binnen de eigen direc e ook verantwoordelijkheid. Daar worden deze rapportages en de inbreng van RC ook voor gebruikt. De heer Asruf hoort de wethouder zaken noemen als laagdrempelig aanbieden en het personeel informeren. De vraag van de voorzi er ging over maatregelen.

Hij meent nu te horen dat het antwoord daarop ‘nee’ is; klopt dat? De heer Scholtes gee aan dat als met maatregelen het aanbieden van e-learning en scholing wordt bedoeld, dit zeker nodig is. Als het gaat om maatregelen die met processen te maken hebben, zoals

3 het inregelen van de juiste checks & balances, is dat zeker mogelijk. Er zijn quality assurance criteria, als eerste hulpmiddel. Er kan waar nodig door een direc e hulp gevraagd worden bij het e-domein. Dit soort maatregelen is er. Veel collega’s zijn van goede wil. Soms is er specifieke kennis en ervaring nodig; daar wordt men bij geholpen. De voorzi er vraagt of dit vooral reac ef gebeurt of ook proac ef. De heer Scholtes antwoordt dat ook proac ef wordt gehandeld. Vanuit het e-domein wordt ac ef hulp aangeboden. Ook worden de meer ethische afwegingen gemaakt. Daarvoor zijn ethische bijsluitersessies gehouden. Digitalisering houdt ook in dat men weet waar men mee bezig is. Afwegingen van waarden, wenselijkheid en propor onaliteit dienen een plek in de organisa e te krijgen. De voorzi er verwijst naar bestaande protocollen. Het quality assurance protocol werd ongeveer een jaar geleden opgesteld. Ze vraagt of dit in de organisa e is geïmplementeerd en wordt toegepast. De heer Scholtes verwijst in dit verband naar de privacyfunc e Zijn beeld is dat er nog gewerkt moet worden aan bewustwording. Er wordt door de privacy officers en de security officers bijgehouden of de quality assurance criteria worden toegepast. Het gaat best wel goed. De protocollen zijn zoveel mogelijk laagdrempelig opgesteld. De voorzi er vat samen: het wordt toegepast en er komt informa e uit.

De vraag is wat er met die informa e wordt gedaan en wie daar toezicht op houdt. De heer Scholtes antwoordt dat dit de privacy officers zijn. Er zal nog gesproken worden over Jet Amsterdam en gekeken worden naar de risico’s. Het risico-accepta eformulier wordt in het algemene risicosysteem bijgehouden; hierover wordt gerapporteerd. Er zijn privacy officers en security officers bij betrokken. De voorzi er vraagt naar de assurance rapportages. Het gaat om 212 applica es, waarvan er 55 bedrijfskri sch zijn. Daar zijn nog geen rapportages voor. Wat is hier het risico? De heer Scholtes antwoordt dat het voor nieuwe applica es al geregeld is, maar voor de oude nog niet. Hij hoopt dat dit volgend jaar op orde is. Wat het risico betre : er is geen objec ef en expliciet inzicht in de effec viteit en kwaliteit van de interne beheersmaatregelen en de beveiliging van die applica es. Dat wil niet zeggen dat het niet op orde is, maar er is geen objec ef gecheckt beeld. De voorzi er vraagt naar de planning. De heer Scholtes gee aan dat die er zeker komt, maar hij kan er niets over zeggen. De heer Asruf vraagt hoe de wethouder kijkt naar de voortgang in het e-domein. De heer Scholtes antwoordt dat er goede vorderingen zijn gemaakt bij DMC. Er speelt heel veel rond dit thema, ook landelijk.

Het rijk en de Veiligheidsregio adviseren om de weerbaarheid te vergroten, op basis van een scenario van 72 uur stroomuitval. De Veiligheidsregio is een programma Weerbaarheid gestart. Hij ziet het als zijn taak om de e-domeinfactor goed hierin vertegenwoordigd te laten zijn. Binnen de gemeente zal een coördinerend programma Weerbaarheid worden opgezet om hier vorm aan te geven. De voorzi er merkt op dat er binnenkort een Jaarverslag FG komt. Er is geconstateerd dat de voortgang bij het monitoren van rechten en het autorisa ebeheer verbeterd zou moeten worden. Ze vraagt of hier vooruitgang te verwachten is. De heer Scholtes gee aan dat dit recent op orde is gekomen. Ieder kwartaal wordt er gemonitord. Voor logins en ongewenste func evermenging moet dit nog geregeld worden. Een beperkte groep kan dat; de rest volgt. In de rapportage informa ebeveiliging zal Amsterdam als poten eel doelwit genoemd worden. Er zijn steeds meer bedreigingen en risico’s. Daarom is er nieuwe regelgeving. In het verslag zal staan dat er concrete stappen zijn gezet. Het BIO-programma staat bij alle direc es op het programma, maar de voortgang verschilt per direc e. Qua risicomanagement zijn nog stappen te ze en. Zoals ervoor zorgen dat het gemeentelijk risicomanagementsysteem beter toepasbaar is voor het e-domein. Het is voor 2025 een belangrijk aandachtspunt.

Wat betre de voortgang van informa ebeveiliging: in de rapportage zal dit een belangrijk aandachtspunt zijn.

4 De voorzi er hoort de wethouder zeggen dat de risico’s van het e-domein niet al jd passen in het gemeentelijk risicomanagementsysteem. Dat vindt zij opmerkelijk. Zij vraagt of de wethouder dit kan toelichten. De heer Scholtes verwijst naar DMC, dat een stedelijk risicomanagementbeleid hee . Voor het edomein kan dat specifieker worden ingevuld. Het risicomanagement is wel onderwerp van gesprek. Het beleid op het e-domein kan worden aangescherpt. Dat is een opgave voor 2025. De voorzi er informeert of er nog vragen zijn en of de wethouder nog iets hee toe te voegen. De heer Scholtes noemt de aanbeveling van ACAM wat betre hos ng. Het plan is van eigen hos ng naar outsourcing te gaan. Er komt een volledig beeld van de applica e en de fysiek loca e daarvan, en ook van de digitale autonomie, waarna een besluit kan worden genomen. Er zal in ieder geval een bewuste keuze gemaakt worden. De voorzi er dankt de heer Scholtes voor zijn komst en sluit dit eerste openbare deel van de vergadering om 13.01 uur.