22-05-24. Raadsinformatiebrief algemeen - Waternet - Svz verscherpt toezicht april 2022

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 24 mei 2022 Water Egbert de Vries Bestuurlijke.Zaken.Amsterdam@waternet.nl

Onderwerp

Verscherpt toezicht ILT op Waternet

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Met deze brief informeert het college u over het volgende. Naar aanleiding van de artikelen van onderzoek platform Follow the Money over de cybersecurity bij Waternet is de Inspectie Leefomgeving en Transport (ILT) eind 2020 een onderzoek gestart. De ILT is de toezichthouder op de drinkwatersector. Op basis van het onderzoek is Waternet in april 2021 door de ILT onder verscherpt toezicht gesteld. De ILT constateerde tekortkomingen in de cybersecurity en besturing bij Waternet. Dit vormt een verhoogd risico voor de leveringszekerheid en kwaliteit van drinkwater. Een jaar na de constatering van de tekortkomingen heeft de ILT d.d. 1 april 2022 de stand van zaken opgemaakt en Waternet en het stichtingsbestuur per brief geïnformeerd over het beeld dat de ILT in de afgelopen periode heeft opgedaan over de ontwikkelingen bij Waternet. De ILT ziet dat een deel van de risico’s inmiddels is gemitigeerd, maar er zijn nog stappen te zetten ten aanzien van de organisatorische inbedding en structurele borging van de verbeteringen alsmede het meten van de effectiviteit van de beheersmaatregelen. Op basis hiervan constateert de ILT dat er nog steeds een verhoogd risico is ten aanzien van de drinkwaterkwaliteit en leveringszekerheid, waardoor het verscherpt toezicht voorlopig wordt voortgezet.

De toezichtvorm en de afschaling worden opnieuw bekeken op het moment dat:  opzet en bestaan van alle cybersecuritybeheersmaatregelen uit het Verbeterplan ILT is gerealiseerd;  de processen aanwezig zijn om de werking aan te kunnen tonen;  en de ILT kennis heeft kunnen nemen van het bestuursvoorstel en implementatieplan voor de bestuurlijke en organisatorische herinrichting. De ILT geeft ook aan dat:  Waternet een ambitieus verbeterprogramma heeft opgestart;  in de afgelopen periode hard is gewerkt om diverse tekortkomingen weg te nemen;  en dat uit de voortgangsrapportages blijkt dat er iedere maand progressie wordt geboekt.

Classificatie: Intern

Gemeente Amsterdam, raadsinformatiebrief

Datum 24 mei 2022 Pagina 2 van 5

Voor de cybersecuritymaatregelen uit het Verbeterplan ILT zijn van de 11 tekortkomingen inmiddels 9 in opzet en bestaan verbeterd. Voor 6 maatregelen geldt dat deze inmiddels ook grotendeels zijn geïmplementeerd. Het is in deze fase onvoldoende mogelijk om de werking van deze maatregelen te toetsen en een continue verbetercyclus aan te tonen. Er is in beeld wat de komende periode nog gedaan moet worden en de verwachting is om eind 2022 volledig te kunnen voldoen aan de Wet Beveiliging Netwerk- en Informatiesystemen. De ILT ziet de volgende aandachtspunten:  Voldoende bemensing (waarbij een oorzaak ligt in krapte op de arbeidsmarkt) en een hoge werkdruk, met als gevolg dat er op onderdelen van het verbeterplan wordt getemporiseerd;  Het blijkt niet mogelijk om tussentijds budget aan te vragen om noodzakelijke werkzaamheden te kunnen doen;  Eventuele wijzigingen in de governance structuur kunnen leiden tot ingrijpende veranderingen waardoor er, naast de huidige activiteiten op basis van het verbeterplan, druk op de organisatie kan ontstaan;  Het hoge aantal interim-medewerkers op sleutelposities ziet de ILT als een aandachtspunt voor de continuïteit en borging van de verbeteringen;  Verandering van samenstelling van de directie en het stichtingsbestuur, met mogelijk consequenties voor dossierkennis op deze niveaus.

Het college herkent zich in de ontwikkelingen en de stand van zaken zoals die in de brief door de ILT is geschetst. Ook Waternet concludeert dat de werking van de cybersecurity maatregelen en de onderzoeksfase naar de governance nu eenmaal tijd in beslag neemt. Hoewel voor de cybersecurity veel maatregelen in opzet en het bestaan zijn gerealiseerd, is voor het aantonen van de werking van de maatregelen en het continue verbeteren een langere periode nodig. Recentelijk is voortgang geboekt op twee belangrijke verbeterpunten, namelijk: • in maart 2022 zijn de noodscenario’s voor uitval van de procesautomatisering bij de grootste drinkwaterlocaties succesvol getest; • en zijn het risicomanagementbeleid en de bedrijfswaardenmatrix door de bestuurders vastgesteld. De komende tijd wordt, congruent aan het absorptievermogen van de organisatie, gewerkt aan de verdere implementatie en professionalisering van het risicomanagement binnen Waternet. Met de ILT is overeengekomen om de frequentie van de maandelijkse voortgangsrapportages en overleggen te verlagen naar 1 keer per kwartaal. Achtergrond Naar aanleiding van de artikelen van onderzoek platform Follow the Money over de cybersecurity bij Waternet is de ILT eind 2020 een onderzoek gestart. Op basis van het onderzoek is Waternet in april 2021 door de ILT onder verscherpt toezicht gesteld.

De ILT constateerde tekortkomingen in de cybersecurity en besturing bij Waternet. Dit vormt een verhoogd risico voor de leveringszekerheid en kwaliteit van drinkwater.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 24 mei 2022 Pagina 3 van 5

De ILT heeft de praktijk bij Waternet getoetst aan het wettelijk kader voor de zorgplicht en de meldplicht voor de cybersecurity. Het wettelijk kader hiervoor is vastgelegd in de Drinkwaterwet en het -besluit en in de Wet Beveiliging Netwerk- en Informatiesystemen. Verbeterplannen Binnen een maand na de constatering van de tekortkomingen heeft Waternet een verbeterplan opgeleverd aan de ILT (hierna genoemd: Verbeterplan ILT) waarin is aangegeven hoe en wanneer de tekortkomingen op het gebied van cybersecurity en besturing zijn opgelost, inclusief de stappen daarnaartoe. Voor de integrale digitaliseringsaanpak van Waternet voor de langere termijn is het ‘Verbeterplan Informatievoorziening en digitale veiligheid en weerbaarheid Waternet’ (hierna genoemd: Verbeterplan IV) op 6 juli 2021 goedgekeurd door het college van B&W. De maatregelen in het Verbeterplan IV zijn bedoeld om de geconstateerde digitale kwetsbaarheid te verminderen en te voldoen aan de eisen op het gebied van digitale veiligheid en is gericht op het realiseren van noodzakelijke verbeteringen op het gebied van techniek, processen, organisatie(structuur) en cultuur. Verbeterplan IV In het Verbeterplan IV is de beoogde eindsituatie gedefinieerd met bijbehorende programmadoelen.

Aan de hand van deze doelen en de bevindingen uit de verschillende cybersecurity- en informatiebeveiligingsonderzoeken, waaronder Accenture, Gorter en de ILT, zijn vijf sporen gedefinieerd om deze programmadoelen te bereiken. Deze sporen zijn: 1. Versterken cybersecurity- en architectuurfunctie; 2. Verhogen digitale veiligheid en weerbaarheid; 3. Verhogen cybersecurity bewustzijn en kennis; 4. Bedrijfsvoering informatievoorziening op orde op basis van privacy en security by design; 5. Fundament voor een toekomstvaste directie Informatievoorziening (incl. cultuur). Het Verbeterplan IV legt het fundament voor de toekomst en faciliteert de organisatie hierbij dusdanig dat na afronding van het Verbeterplan IV de organisatie in control is op digitalisering en digitale veiligheid. De belangrijkste maatregelen die tussen juli 2021 en april 2022 zijn gerealiseerd zijn onder andere: - Herziening informatiebeveiligingsorganisatie (Spoor 1). - Inrichting architectuurboard (Spoor 1): De gemeente Amsterdam en het waterschap Amstel Gooi en Vecht (hierna genoemd: waterschap AGV) hebben kaders vastgesteld ten aanzien van digitalisering en digitale veiligheid. Deze kaders zijn richtinggevend voor de architectuur van Waternet. De architectuurboard bewaakt dat ontwikkeltrajecten op gebied van informatievoorziening binnen deze kaders worden uitgevoerd.

- Security Operations Center (Spoor 2): Het Security Operations Center (SOC) voert de monitoring van kwetsbaarheden uit zodat het afwijkingen kan detecteren, die kunnen duiden op een cybersecurity incident. - Invoering en borging identiteit- en toegangsbeheer (Spoor 2): Identiteit- en toegangsbeheer zorgt voor toekenning, wijziging en intrekken van toegang tot systemen en informatie, zodat medewerkers, robotapplicaties en ketenpartners alleen toegang hebben tot systemen en informatie waar ze recht op hebben.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

-

-

Datum 24 mei 2022 Pagina 4 van 5

Verhogen cybersecurity bewustzijn en kennis (Spoor 3): Doelstelling van het stappenplan ‘Verhogen bewustzijn cybersecurity’ is het aantoonbaar vergroten van bewustzijn cybersecurity Waternet-breed zodat medewerkers, directie en bestuurders alert zijn en hun gedrag aantoonbaar geen of minder snel een gevaar vormt voor de cybersecurity van Waternet. Stappenplan Cultuurverandering (Spoor 5): Dit stappenplan richt zich op gedragskenmerken, die gekoppeld zijn aan de problematiek.

Incidenten Los van bovenstaande structurele verbeteringen heeft Waternet – net als andere organisaties – eind 2021 te maken gehad met de kwetsbaarheid Apache Log4J. Waternet heeft meteen na de eerste meldingen van het Nationaal Cyber Security Center (NCSC) een crisisorganisatie ingericht. Waternet heeft de adviezen van het NCSC opgevolgd en heeft compenserende maatregelen genomen op een mogelijke aanval om risico’s zoveel mogelijk te mitigeren. De kwetsbaarheid heeft een aantal nieuwe inzichten opgeleverd, waarmee Waternet de cyberweerbaarheid verder kan vergroten. Mede door dit incident is een vertraging opgetreden van de realisatie van alle maatregelen in het Verbeterplan IV. De activiteiten van het Verbeterplan IV lopen nu door tot einde eerste kwartaal 2023. Onderzoeken en audits In 2021 zijn veel onderzoeken geweest en maatregelen genomen om de governance en de cybersecurity te verbeteren. Daarover is maandelijks aan de ILT gerapporteerd en zijn er maandelijks voortgangsgesprekken geweest met de ILT, de gemeente Amsterdam en het Stichtingsbestuur. Ook zijn er over een aantal onderwerpen zoals risicomanagement, het beoefenen van noodscenario’s en het meldingenproces, verdiepende sessies geweest. Een van de uitgevoerde onderzoeken in 2021 betreft een uitgebreid onafhankelijk onderzoek naar alle ICT-systemen en -processen van Waternet.

Over dit onderzoek is de raad op 3 december 2020 geïnformeerd en het betreft een vervolg op het eerdere onderzoek van Accenture. Het betreffende onderzoek is eind 2021 door Secura uitgevoerd aan de hand van 20 vragen, die met het bestuur van waterschap AGV zijn afgestemd. Secura geeft als algemene conclusie aan dat Waternet het afgelopen jaar goede stappen heeft gezet met het verbeteren en inrichten van de securityprocessen en -organisatie. Uiteindelijk zal dit in sterke mate bijdragen aan de digitale weerbaarheid en veiligheid van de Waternet organisatie. Secura heeft verder aangegeven dat Waternet met het Verbeterplan IV, de juiste activiteiten zijn gestart of zijn ingepland. Waternet moet er vooral voor zorgen dat doorgegaan wordt met de maatregelen die in het Verbeterplan IV zijn opgenomen. Verder is het volgens Secura van belang dat vanuit bestuur, directie en leidinggevenden gestuurd wordt op risicobereidheid, kaders, prioriteit en capaciteit. Een ander recent onderzoek betreft een audit naar procesvolwassenheid op basis van de Baseline Informatiebeveiliging Overheid (BIO). Verdonck, Klooster & Associates (VKA) heeft begin 2022 als onafhankelijke auditor de volwassenheid ten aanzien van de informatieveiligheid van waterschap AGV bepaald. Op de onderdelen informatiebeveiliging van de BIO is Waternet het afgelopen jaar in procesvolwassenheid gestegen.

Deze stijging is volgens VKA vooral ingegeven door de grote

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 24 mei 2022 Pagina 5 van 5

managementaandacht en de inzet van resources op het Verbeterplan IV. VKA adviseert de initiatieven en de lijn van het Verbeterplan IV voort te zetten. Bestuurlijke afstemming Samen met de verantwoordelijk bestuurder van het waterschap AGV wordt maandelijks in het 'Bestuurlijk Afstemmingsoverleg Amsterdam-AGV Digitalisering en digitale veiligheid’ de voortgang van het Verbeterplan IV en de organisatie van de digitalisering besproken. Daar wordt ook de bestuurlijke besluitvorming over digitalisering en digitale veiligheid gecoördineerd. Er is ondersteuning door de CISO (Chief Information Security Officer) van Amsterdam, die kritisch meekijkt. De samenwerking tussen Amsterdam, AGV en Waternet verloopt goed. Verbeterplan ILT Het Verbeterplan ILT richt zich op de tekortkomingen in de governance en de cybersecurity van Waternet. Het doel is om te voldoen aan de eisen voor de zorgplicht en de meldplicht en daarmee het risico voor de leveringszekerheid en kwaliteit van het drinkwater te verminderen. Het wettelijk kader hiervoor is vastgelegd in de Drinkwaterwet en het -besluit en in de Wet beveiliging netwerken informatiesystemen. Over het governance traject wordt de gemeenteraad apart geïnformeerd.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Egbert J. de Vries, Wethouder Verkeer, Vervoer, Water en Luchtkwaliteit

Bijlagen 1. Brief ILT d.d. 1 april 2022 ‘Beeld ontwikkelingen Waternet en stand van zaken verscherpt toezicht’

Een routebeschrijving vindt u op amsterdam.nl