Extra bijlage: Voortgangsbrief aanbevelingen rekeningencommissie i-Domein def

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Onderwerp

De leden van de gemeenteraad van Amsterdam 31 mei 2022 ICT en Digitale Stad Touria Meliani CIO Office (bestuurszaken.dii@amsterdam.nl) Voortgang aanbevelingen rekeningencommissie, ACAM en rekenkamer inzake i-domein.

Geachte raadsleden, De ACAM brengt jaarlijks een accountsverslag uit bij het jaarverslag van de gemeente Amsterdam. Daarin zijn aanbevelingen opgenomen. Ook de rekeningencommissie geeft jaarlijks aanbevelingen mee aan het college. Met de raad is afgesproken1 dat bij de bespreking van de najaarsnota en het jaarverslag in de gemeenteraad een monitor van deze aanbevelingen wordt opgenomen. Op 9 juni wordt in de TAR het jaarverslag 2021 besproken. Daarbij ook de monitor of een aanbeveling is afgedaan of niet en of/wanneer een voortgangsbrief of –rapportage naar de raad wordt gezonden. Dit is de voortgangsbrief waarin wij u informeren over de voortgang van de opvolging van de (lopende) aanbevelingen die betrekking hebben op het i-domein. U ontving op 29 oktober 2021, bij de najaarsnota, de laatste voortgangsbrief over de aanbevelingen over het i-domein.

In een aantal aanbevelingen komen vergelijkbare onderwerpen terug. Daarom wordt de voortgang hiervan gebundeld onder een kopje beschreven1. Wij gaan met ACAM in gesprek om af te spreken wanneer de aanbeveling afgehandeld is, omdat een aantal aanbevelingen anders blijvend terugkomen. In de bijlage het overzicht van de aanbevelingen met uitgebreide tekst.

1 In 2018 zijn afspraken gemaakt tussen raad en college over de wijze van rapporteren over de aanbevelingen.

Gemeente Amsterdam, raadsinformatiebrief

Datum 31 mei 2022 Pagina 2 van 7

Het voldoen aan de wet- en regelgeving op gebied van informatiebeveiliging en privacy. 

2018-3, Beheersing IT-landschap en voldoen aan wet- en regelgeving met betrekking tot informatiebeveiliging en privacy wekt zorgen



2019-9, Naleven wet en regelgeving op gebied van informatiebeveiliging en privacy en autorisatiebeheer



2020-12, Voldoen aan wet- en regelgeving voor I(V)-domein/ Het niet voldoen aan wet en regelgeving voor het I(V)-domein is zorgelijk

Het college onderschrijft het belang om continu aandacht te geven aan het voldoen aan wet- en regelgeving op het gebied van gegevensbescherming en informatiebeveiliging. We zien dit als een doorlopend proces, omdat er ontwikkelingen in de organisatie én wetgeving blijven waarover ook de raad structureel geïnformeerd moet worden. Het college informeert u hierover als gemeenteraad jaarlijks bij het verschijnen van de Bestuurlijke Rapportage Informatiebeveiliging en Rapportage van de Functionaris Gegevensbescherming. De eerstvolgende rapportage wordt voor de zomer naar u als raad gestuurd. Informatiebeveiliging Het belang van informatiebeveiliging neemt steeds meer toe. In toenemende mate zien we dat organisaties te maken hebben met criminelen die (ook bij overheidsorganisaties) informatie willen stelen. Als hoofdstad van Nederland zijn we ons zeer bewust van onze verantwoordelijkheid om de informatie waarover wij beschikken te beschermen. Amsterdam blijft werken aan het op peil brengen en houden van onze weerbaarheid. Dit doen we in goede afstemming met zowel landelijke organisaties als andere gemeenten. Ook zorgen we dat de basis goed is ingeregeld en acteren we op actuele signalen. De gemeente Amsterdam blijft werken aan de implementatie van de (landelijke en overheidsbreed geldende) Baseline Informatiebeveiliging (BIO), waarmee in 2021 is gestart.

De BIO is in de plaats gekomen van een eerdere norm die alleen voor gemeenten van toepassing was. We hebben daarom in de afgelopen jaren al veel maatregelen geïmplementeerd. De gemeente Amsterdam heeft 4 jaar nodig voor de volledige implementatie van de BIO, omdat dit al onze organisatieonderdelen (55 directies), zeer veel processen en alle informatiesystemen raakt. Deze termijn is in lijn met vergelijkbare overheidsorganisaties. Zoals in onze vorige brief2 uitgebreid is toegelicht, hebben we bij de meest risicovolle directies beheersmaatregelen toegepast. Eind dit jaar ligt er een verbeterplan voor alle directies van de gemeentelijke organisatie, dit volgt op een intensieve scan van de processen en informatiesystemen op basis van de BIO. Voor de implementatie van de BIO wordt gewerkt aan:  Implementeren van beveiligde telefoons, laptops en tablets. Dit betekent dat alle ambtenaren op hun apparaten mobiel device management en tweefactor-authenticatie toepassen. Eind 2021 is dit traject afgerond. Ook bestuurders en raadsleden worden hiermee uitgerust.

2

8-12-2021 Commissie Kunst, Diversiteit en Democratisering, agendapunt 4. Microsoft Word Raadsinformatiebrief opvolging aanbevelingen ICT en i-domein_DEF.docx

2

Gemeente Amsterdam, raadsinformatiebrief











Datum 31 mei 2022 Pagina 3 van 7

Implementatie van het “cloud competence Center” (CCC). In 2022 bundelen we in het CCC alle kennis en hulpmiddelen die we nodig hebben voor een veilige overgang naar de cloud. Toepassingen worden ontwikkeld op basis van security/privacy by design. Overhevelen van de hosting van applicaties van het eigen datacenter naar een externe, gecertificeerde hosting partij. Dit wordt gedaan om daarmee de kwaliteit en beveiliging van de ICT-infrastructuur beter te kunnen borgen. Dit traject loopt en wordt in 2022 afgerond. Implementeren van een nieuwe, veilige digitale werkomgeving voor alle medewerkers. Hiermee is de veiligheid van de dagelijkse werkzaamheden beter geborgd en wordt ook het veilig uitwisselen van gegevens binnen de gemeente en met externe partijen geborgd. De implementatie is begin 2022 gestart en wordt naar verwachting eind 2022 afgerond. Jaarlijks toetsen we de veiligheid van de ICT-infrastructuur en applicaties. Bij de ICTinfrastructuur wordt getoetst of we weerbaar zijn tegen aanvallen van buiten. Daarbij houden we rekening met de toegenomen dreigingen. Bij de applicaties wordt de beveiliging getoetst vóór de ingebruikname en bij grote wijzigingen van toepassingen. Het opzetten van een “ecosysteem digitale veiligheid” met een groot aantal organisaties in de stad en de regio.

Organisaties werken steeds meer in ketens samen, risico’s stoppen niet bij de grenzen van de organisaties. Op initiatief van de gemeenten Amsterdam en de UvA gaan hierin organisaties samenwerken om kennis en ervaring op het gebied van informatiebeveiliging te delen bijvoorbeeld bij het omgaan met kwetsbaarheden in software. Ook gaat worden samengewerkt bij incidentafhandeling en crisismanagement.

Het weerbaar houden van de organisatie en ICT-infrastructuur is noodzakelijk om gewapend te zijn tegen nieuwe dreigingen. Amsterdam beschikt over een security operations center dat dag en nacht waakt over de digitale veiligheid. In 2021 is Amsterdam als een van de eerste gemeenten aangesloten op het Nationaal Detectie Netwerk van de Rijksoverheid. Dit netwerk was tot dan toe alleen toegankelijk voor organisaties van de Rijksoverheid. Hiermee komt informatie over nieuwe dreigingen eerder beschikbaar, zodat tijdig maatregelen kunnen worden genomen. Ook kan Amsterdam hiermee relevante informatie leveren aan het Nationaal Cyber Security Center (NCSC). Bij het incident inzake Log4j in december 2021 is Amsterdam er succesvol in geslaagd om de risico’s tijdig te mitigeren. Gegevensbescherming De gegevensbescherming (privacy) moet voldoen aan de Algemene Verordening Gegevensbescherming (AVG) en aanverwante wet- en regelgeving. De gemeente voldoet nog niet volledig aan de wet- en regelgeving. Het op orde brengen van systemen, procedures en protocollen om de Gegevensbescherming op orde te krijgen heeft veel aandacht in de organisatie. Daar waar het ingeregeld kan worden, wordt dit gedaan. Tegelijkertijd blijft het voldoen van AVG ook verbonden met menselijk handelen (bv.

het verwijderen van gegevens van sollicitanten uit een mailbox) in de organisatie, daarom is er ook veel aandacht voor gedrag. Zie het kopje ‘bewustzijn en gedrag in de organisatie’ op pagina 6 van deze brief. Sinds de vorige brief zijn dan ook diverse vervolgstappen gezet. De Functionaris Gegevensbescherming (FG) heeft onderzoek laten doen naar de stand van zaken met betrekking tot de Data Protection Impact Assessments (DPIA’s). Dit zijn wettelijk voorschreven risicoanalyses. 3

Gemeente Amsterdam, raadsinformatiebrief

Datum 31 mei 2022 Pagina 4 van 7

Het onderzoek is afgerond. Daaruit blijkt dat de gemeente nog niet voor al haar risicovolle verwerkingen een DPIA heeft uitgevoerd. Uit een steekproef onder de uitgevoerde DPIA’s, is gebleken dat aan de helft van de vastgestelde maatregelen nog geen (volledige) uitvoering is gegeven. Gezien de diversiteit aan risico-analyses (DPIA, BIO, DTIA, AIIA) raadt de FG de organisatie aan, in lijn met een aanbeveling uit het ACAM-rapport, met name de DPIA en de BIO analysetools te stroomlijnen en op elkaar af te stemmen. De organisatie is met zowel de ACAM als de FG aanbevelingen aan de slag gegaan. De verbeteringen worden in 2022 doorgevoerd. Het op orde brengen en houden vergt continue aandacht in de organisatie. De FG houdt toezicht op het de uitvoering van de aanbevelingen uit het rapport en rapporteert hierover in haar jaarlijkse verslag. In 2021 zijn de aanvullende bepalingen voor de standaard verwerkersovereenkomst van de VNG aangepast. Er zijn extra eisen betreffende de beveiliging van persoonsgegevens opgenomen. Dit is een aanscherping van het bestaande gegevensbeschermingsbeleid en in overeenstemming met de AVG. In 2021 is er extra ingezet op de actualisatie van het verwerkingsregister waarin we al onze verwerkingen van persoonsgegevens moeten bijhouden. De directies hebben hun verwerkingen in het register gecontroleerd en bijgewerkt.

Dit register is een verplichting vanuit de AVG, actueel houden is een continue proces. Eind 2022 wordt het register openbaargemaakt. Daarvoor worden de registraties voor een tweede keer gecontroleerd op volledigheid en actualiteit. In het verwerkingenregister is per proces de bewaartermijn vastgesteld voor de verwerking van persoonsgegevens op grond van de Archiefwet en de gemeentelijke selectielijst. Inzichtelijk is daarbij gemaakt in welke processen de bewaartermijnen worden nageleefd door vernietigingsprotocollen. In het geval er geen actueel vernietigingsprotocol wordt nageleefd, is voor gevoelige verwerkingen (bijzondere en strafrechtelijke gegevens, en binnenkort ook voor overige gevoelige gegevens, zoals financiële gegevens) inzichtelijk of er een vervangingstraject loopt, waarbij de systemen worden vernieuwd en geschoond. Voor die systemen waarbij dit nog niet het geval is, wordt samen met de staat van informatiebeheer binnen de gemeente een meerjarenplan opgesteld om de informatiehuishouding op grond van de Archiefwet op orde te brengen. Dit is het grootste knelpunt als het gaat om voldoen aan de wet- en regelgeving inzake gegevensbescherming. Maatregelen inzake verbonden partijen Partijen die in opdracht van de gemeente werken, moeten ook voldoen aan wet- en regelgeving.

De gemeente is verantwoordelijk dat uitbestede diensten volgens de wet- en regelgeving wordt gedaan, partijen hebben daarin eigen verantwoordelijkheid om daaraan te voldoen. Daarom wordt ook gewerkt aan:  Herzien van de afspraken met leveranciers van ICT-diensten, zodat informatiebeveiliging en privacy hierin nog beter is meegenomen. Hiervoor zijn basis stelregels opgesteld.  In 2021 is in het deelnemingenbeleid van de gemeente Amsterdam toegevoegd dat een verbonden partij moet voldoen aan kwaliteitsaspecten als het gaat om dataverwerking. Het gaat om vele partners en voordat al deze partners vertrouwd zijn met de Amsterdamse kwaliteitsaspecten kan enige jaren duren. 4

Gemeente Amsterdam, raadsinformatiebrief



Datum 31 mei 2022 Pagina 5 van 7

Er is in 2020 een nieuwe verwerkersovereenkomst vastgesteld waarin scherpe eisen worden gesteld aan leveranciers van SaaS-diensten (hierop hebben ACAM en Rekeningencommissie eerder aangedrongen) en hierop wordt al geacteerd.

Bewustzijn en gedrag in de organisatie De gemeentelijke organisatie heeft vele werknemers die in meer of mindere mate met informatie en gegevens werken. Het voldoen aan wet- en regelgeving betekent dat elke individuele werknemer zich moet houden aan dit kader. Het is een belangrijke stap om te voldoen aan wet- en regelgeving om hierop te investeren. Daarom is de bewustwordingscampagne ‘Weet wat je deelt’ in 2021 voortgezet. Blijvende aandacht in de organisatie is belangrijk, omdat het gaat om structurele gedragsveranderingen. Dit doen we via diverse activiteiten: beschikbaar stellen van informatie, verplichte e-learnings voor medewerkers, opleidingen op het gebied van digitale vaardigheden. Noodzaak om blijvend te vernieuwen 

2019-8, Ontwikkelingen in ICT Infrastructuur en I-domein

De ACAM onderschrijft de noodzaak van de in de bestuursopdracht i-domein opgenomen pijler “modern ICT- en datafundament” en stelt dat het noodzakelijk is om de ICT-infrastructuur en dienstverlening blijvend te vernieuwen om te voldoen aan de eisen en de continuïteit van de dienstverlening te borgen. In 2021 is de eindrapportage van de Bestuursopdracht i-domein toegezonden aan de raad. In de Bestuursopdracht is besloten om het i-Domein te hervormen tot één organisatie binnen de gemeente, die zich wendbaar zal organiseren zodat sneller kan worden ingespeeld op veranderende wensen en mogelijkheden. Daarbij zal voortaan de maatschappelijke opgaven centraal staan en niet de interne gemeentelijke organisatiestructuur. De noodzaak om blijvend te vernieuwen is duidelijk en wordt elke dag gevoeld en toegepast. Via een separate voortgangsrapportage Bestuursopdracht I-Domein wordt u apart geïnformeerd over de resultaten, deze ontvangt u in de zomer van 2022. Hieronder een korte toelichting van de activiteiten inzake de pijler “modern ICT- en datafundament”:  We hebben in 2021 gewerkt aan de inrichting van een sterke regie-organisatie die zorgt dat de leveranciers de gemaakte afspraken nakomen en erop toeziet dat er wordt voldaan aan wet- en regelgeving. Daarom hebben we de samenwerking met onze strategisch partner KPN vernieuwd, onder andere door het sluiten van een nieuwe overeenkomst.

Deze leverancier levert het platform en de capaciteit leveren waarmee Amsterdam de overgang naar de cloud kan maken.  In het kader van die transitie hebben we in 2021 verder gebouwd aan het fundament van de digitalisering, de infrastructuur. In 2021 hebben we daarom ons cloudplatform gelanceerd. Hierbij nemen we de gehele infrastructuur af als een dienst van een externe leveranciers. Het belangrijkste voordeel daarvan is dat de infrastructuur in de cloud niet verouderd, maar continu wordt bijgewerkt door de leverancier.  Daarnaast zetten we in op gemeenschappelijke en generieke voorzieningen, waarmee we in één keer een oplossing realiseren voor de gehele organisatie. Zo hebben we 5

Gemeente Amsterdam, raadsinformatiebrief



 

Datum 31 mei 2022 Pagina 6 van 7

bijvoorbeeld in 2021 gewerkt aan de vernieuwing van de generieke voorziening Identity & Access Management (IAM). Die voorziening gebruiken we om ervoor te zorgen dat de juiste personen toegang krijgen tot applicaties en gegevens (en dat er geen ongeoorloofde toegang is). Een ander onderdeel van de transitie is het versterken van de datafunctie en dataorganisatie. We willen ervoor zorgen dat de gehele organisatie een goede dataorganisatie wordt en dus een sterke datafunctie heeft. We hebben in 2021 in kaart gebracht hoe we de nieuwe data-organisatie gaan inrichten en zijn op sommige onderdelen al ‘virtueel’ gaan werken met de nieuwe organisatie. Daarnaast hebben we gewerkt aan het wegwerken van achterstallig onderhoud in de bestaande infrastructuur van de informatievoorziening. Zoals al aangegeven zijn we gestart met het Implementeren van een nieuwe, veilige digitale werkomgeving voor alle medewerkers.

Risicomanagement en business continuity management inrichten 

2020-11, Risicomanagement I-domein, Business Continuity Management

ACAM heeft het college aanbevolen om door te gaan op de ingeslagen weg van het inrichten van het risicomanagement en het Business Continuity Management in het i-domein. Het college heeft deze activiteiten vervolgd. In 2021 is het risicomanagement voor het I-domein ingericht in lijn met het risicomanagement(proces) van de gemeente als geheel. Organisatieonderdelen rapporteren vanaf 2022 ook over hun I-risico’s met betrekking tot beveiliging, informatiebeheer en gegevensbescherming via de P&C-documenten. Het stedelijke risicomanagement systeem wordt vernieuwd, zodat compliance en risicomanagement optimaal worden ondersteund. Dit veranderproces duurt geheel 2022. In 2o21 is gestart met het implementeren van Business Continuity Management binnen de gemeentelijke organisatie om de veerkracht te vergroten in geval van incidenten en crises. Het college heeft in 2021 een Business Continuity Manager (BCM) aangesteld. Dit is een functionaris die zich bezighoudt met het borgen van de continuïteit van onze bedrijfsprocessen. Helaas heeft dit nog niet het gewenste effect. Binnen de reorganisatie i-domein wordt een structurele invulling van de functie van BCM gerealiseerd. Op dit moment loopt daarvoor de werving. Autorisatiebeheer 

2020-13, Stedelijke IV-werkproces autorisatiebeheer

De inrichting van het autorisatiebeheer wordt meegenomen in de projecten voor realisatie van een nieuwe digitale werkomgeving (ADW) en nieuwe toegangsvoorzieningen (IAM). In 2021 is het stedelijke autorisatiebeheer-proces volledig herzien. De implementatie hiervan loopt door tot eind 2022. De verantwoordelijkheid hiervoor is op één plek in de organisatie belegd, zodat een uniform en eenduidig proces kan worden geborgd. Het toetsen en opschonen van autorisaties in alle informatiesystemen vindt vanaf 2022 jaarlijks plaats.

6

Gemeente Amsterdam, raadsinformatiebrief

Datum 31 mei 2022 Pagina 7 van 7

Het inzicht in SaaS-oplossingen 

2020-14, Cloud-strategie, inzicht in SaaS oplossingen/ Inzicht in SaaS-toepassingen nog steeds beperkt, actie op korte termijn noodzakelijk.

Het college werkt aan beter inzicht in de risico´s en verhoging van de kwaliteit van de beheersing in het I-domein en heeft aangegeven dat zij deze aanbeveling opvolgt. De gemeente maakt al jaren gebruik van Software-as-a-Service(SaaS) toepassingen, waarbij de leverancier zowel de servers als de applicaties beheert en de gemeente die als een dienst afneemt. Hiervoor zijn er uitgebreide overeenkomsten afgesloten met de leveranciers, waarin de eisen waaraan de leverancier zich moet houden zijn opgenomen. ACAM heeft geconstateerd dat er onvoldoende inzicht is in het gebruik van SaaS-toepassingen, de risico’s en de mate waarin we de risico’s beheersen. Het college maakt dit integraal inzichtelijk, zodat er vanuit het i-domein effectief gestuurd kan worden. Eind 2021 is ingestemd met de reorganisatie van het i-domein, waarbij zowel het functioneel beheer als het leveranciersmanagement bij één directie komt te liggen, zodat hierop samen met de contracteigenaren integraal gestuurd kan worden. Daarnaast is inmiddels is in kaart gebracht welke SaaS-applicaties worden gebruikt en loopt een traject om alle informatie hierover te bundelen. In 2022 wordt de volgende stap gezet in kwaliteitssturing en beheersing op een hoger niveau te brengen. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd over de voortgang van deze aanbevelingen.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Touria Meliani Wethouder ICT en Digitale Stad

Bijlagen: 1. Aanbevelingen Accountsrapport 2018, 2019, 2020 inzake informatievoorziening 2. Verslag Rekeningencommissie 2018, 2019, 2020 inzake informatievoorziening 7