Concept verslag MLW 04.03.2020

Is het een onafhankelijk onderzoek, dat de leiding vrijpleitte van alle verantwoordelijkheden? Hoe kon de wethouder ermee akkoord gaan? Welke stappen heeft de directeur van Waternet ondernomen om duidelijk te maken dat Accenture niet de juiste partij was, voordat er publiek geld aan werd besteed? Wat was de rol van de dijkgraaf? Heeft het stichtingsbestuur zitten slapen? Waarom moesten er met publiek geld twee onderzoeken worden ingesteld, die beide niet onafhankelijk kunnen worden genoemd? De verhoudingen bij Waternet zijn slecht, nadat er jacht is gemaakt op de klokkenluiders die het drinkwater probeerden te beschermen tegen hackers. Verschillende inlichtingendiensten waarschuwen tegen hackers van andere staten. Er zijn verschillen tussen beide onderzoeken. Accenture gaat in op de cybersecurity van de essentiële processystemen, maar het andere onderzoek doet dat niet. Waarom ontbreekt dat deel in het onderzoek van de dijkgraaf en het stichtingsbestuur? Accenture legt de verantwoordelijkheid terecht bij de leiding, het stichtingsbestuur en de gemeente. Men gaat ten onrechte niet uit van security by design maar van security by obscurity. Dat uitgangspunt gaat in tegen de digitale agenda van de gemeente zelf. De slappe beveiliging valt de directeur aan te merken. Er is geen contingency plan bij Waternet, geen handelingsprocedure als het misgaat.

Waarom niet? Waarom heeft de gemeente haar verantwoordelijkheid niet genomen? Spreekt de wethouder zijn vertrouwen uit in de directie? De heer MIEDEMA geeft aan dat verschillende organisaties de digitale veiligheid niet altijd op orde hebben. De publicaties van Follow the Money zijn zorgelijk. In december 2020 is aangegeven dat er wordt ingegrepen in de organisatie van Waternet. Hoe staat het daarmee? Wanneer komt het ILT-onderzoek? Kunnen de rapportages van Waternet worden gedeeld met de commissie, al dan niet vertrouwelijk? Hoe verhoudt deze discussie over ICT zich tot het bredere gesprek over de governance bij Waternet? Mevrouw IJMKER vindt het een zorgelijk bericht over Waternet. Het is goed dat de signalen serieus worden genomen, maar lastig dat er veel tijd nodig is voor de nodige verbeteringen. Ook is het zorgelijk dat de berichten via een derde partij bekend worden in plaats van uit het college, op basis van eigen inzicht en het stedelijke kader voor informatiebeveiliging. Waarom geldt dat niet voor Waternet? Mevrouw MARTTIN vindt schoon drinkwater van levensbelang voor iedereen. Dat bepaalt ook het belang van cybersecurity, ook bij Waternet. Wat is er tot nu toe gebeurd om het drinkwater veilig te stellen? Spreekster vraagt naar de plannen voor de toekomst en om de toezegging dat de wethouder de commissie op de hoogte van de voortgang zal blijven houden.

18

Gemeente Amsterdam Raadscommissie voor Verkeer, Vervoer, Luchtkwaliteit en Water

MLW

Concept Raadscommissieverslag, donderdag 4 maart 2021

Beantwoording Wethouder DE VRIES stelt vast dat er sprake is van een zorgelijke situatie bij de beveiliging van Waternet, al herkent hij zich niet in het betoog van de heer Mangal. Hij kan niet citeren uit het vertrouwelijke rapport van Accenture omdat het informatie bevat over specifieke veiligheidsaspecten. De raad is over Waternet geïnformeerd in de zomer 2020, maar het blijft zorgelijk dat het nieuws door een andere partij dan de gemeente naar buiten is gebracht. De informatiebeveiliging van de overheid moet op orde zijn en bij Waternet moeten daarom acties worden ondernomen en is er prioritering vastgesteld. Ook op directieniveau is versteviging ingezet voor het onderwerp digitalisering. Die zat bij Waternet bij verschillende afdelingen die niet aan elkaar waren gelinkt. Nu is een chief information officer benoemd en aan het werk gegaan. De brief daarover komt binnenkort naar de raad. Waternet is een stichting voor het waterschap en de gemeente. Er wordt nog eens goed naar de governance gekeken. Het waterschap heeft er een aparte commissie voor ingesteld. Het ILT-onderzoek is eind maart-begin april 2021 klaar. In het onderzoek van Accenture lag de nadruk op de veiligheid, terwijl het stichtingsbestuur gedegen onderzoek liet doen naar de organisatie van Waternet. Dat laatste rapport wordt nog met de raad gedeeld.

Het is raadzaam het stedelijke kader informatiebeveiliging ook bij Waternet te gebruiken, maar daarbij moet men wel samenwerken met het bestuur van het waterschap. Spreker wil komen tot goede samenwerking met zijn collega-bestuurder van het waterschap. Ook daarover volgt meer informatie in de toegezegde brief. De heer MANGAL wijst erop dat de gemeente medebestuurder van Waternet is. Is er nog vertrouwen in de directie? Er zou nog onafhankelijk onderzoek plaatsvinden op verzoek van het ministerie. Ook is er nog geen contingency plan bij Waternet. Komt dat terug in de brief? Wie is verantwoordelijk voor de cybersecurity bij Waternet, juridisch gezien? Wethouder DE VRIES geeft aan dat het stichtingsbestuur juridisch verantwoordelijk is. Dat bestaat uit de dijkgraaf, de wethouder van Amsterdam en een onafhankelijk voorzitter. Op het gesprek met de directie gaat spreker niet in, in het kader van goed personeelsbeleid. Het ILT-onderzoek is het onafhankelijke onderzoek, ingesteld door het ministerie. De VOORZITTER stelt vast dat het stuk voldoende is besproken. 11. Beantwoording schriftelijke gladheidsbestrijding

vragen

van

het

lid

Vroege

(D66)

inzake

Dit agendapunt is gevoegd behandeld met de punt 8 (zie boven). De VOORZITTER dankt de aanwezigen voor hun bijdrage en sluit de commissievergadering om 13.15 uur.

19