Raadinformatiebrief Waternet

Raadsinformatiebrief

Aan:

Behandeld door

De leden van de gemeenteraad van Amsterdam 5 september 2023 Water Melanie van der Horst Waternet (bestuurlijke.zaken.amsterdam@waternet.nl)

Onderwerp

De staat van de ICT van Waternet m.b.t. Amsterdamse watertaken

Datum Portefeuille(s) Portefeuillehouder(s):

Geachte leden van de gemeenteraad, In de raadsvergadering van 19 juli jongstleden heb ik u op vragen van de raadsleden Alberts (SP) en IJmker (GL) toegezegd u nader te informeren over de staat van de ICT van Waternet met betrekking tot de Amsterdamse watertaken. In deze brief informeer ik u achtereenvolgens over de ontwikkelingen en de aanpak en vorderingen ten aanzien van 1) digitale veiligheid en digitalisering in het algemeen van Waternet en 2) specifiek over de ICT van de Amsterdamse watertaken, zoals onder andere voor de drinkwaterfacturatie. (1) Integrale digitaliseringsaanpak 1.1 Verbeterplan Toen de Inspectie voor leefomgeving en Transport (ILT) op 2 april 2021 Waternet onder verscherpt toezicht heeft geplaatst vanwege kwetsbaarheden in de digitale veiligheid van Waternet is een bestuurlijk afstemmingsoverleg digitalisering in het leven geroepen. Ik nam daarin deel als wethouder Water samen met de portefeuillehouder ICT vanuit het Dagelijks Bestuur van het Waterschap Amstel, Gooi en Vecht. Daarnaast nam ook onze gemeentelijke Chief Information Security Officer (CISO) hier aan deel. In dit overleg zijn alle maatregelen afgestemd om de digitale veiligheid weer op orde te brengen. Inmiddels is het overleg opgeheven omdat de betreffende maatregelen uitgevoerd zijn en de ILT het verscherpt toezicht op 1 januari 2023 heeft opgeheven.

Sindsdien wordt op verzoek van mij in het Stichtingsbestuur periodiek gerapporteerd over de ontwikkelingen met betrekking tot digitale veiligheid. In opdracht van het bestuurlijk overleg is voor de integrale digitaliseringsaanpak van Waternet voor de langere termijn is het “Verbeterplan Informatievoorziening en digitale veiligheid en weerbaarheid Waternet” (hierna genoemd: het Verbeterplan IV) opgesteld. Dit Verbeterplan is toegelicht tijdens de Technische Sessie ‘Cybersecurity’ van 22 juni 2021 door de toenmalig CIO a.i. van Waternet. Hier zijn vragen van commissieleden beantwoord. Het Verbeterplan IV heeft gelopen van juni 2021 tot en met het maart 2023. Het Verbeterplan IV was bedoeld om de geconstateerde digitale kwetsbaarheid te verminderen en te voldoen aan de eisen op het gebied van digitale veiligheid. Het Verbeterplan IV richt zich hierbij op het realiseren van noodzakelijke verbeteringen op het gebied van techniek, processen,

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 september 2023 Pagina 2 van 5

organisatie(structuur) en cultuur. Het Verbeterplan IV legt het fundament voor de toekomst en faciliteert de organisatie hierbij dusdanig dat na afronding van het Verbeterplan IV Waternet in control is op digitalisering en digitale veiligheid. In het Verbeterplan IV is de beoogde eindsituatie gedefinieerd met bijbehorende programmadoelen. De doelen van het Verbeterplan IV waren: 1. Sturing en beheersing op informatievoorziening en digitale veiligheid en weerbaarheid ingericht op verschillende niveaus (bestuurlijk, tactisch en operationeel); 2. Cybersecurity in de basis structureel op orde; 3. Bewustzijn ten aanzien van cybersecurity binnen heel Waternet structureel geborgd; 4. Fundament voor een professionele, gezonde en wendbare directie Informatievoorziening; 5. In control op de levenscyclus van alle informatievoorziening-systemen. De verbeteringen van het Verbeterplan IV zijn bijna allemaal doorgevoerd en zijn intern en extern gevalideerd (zie 1.2 Verbeteringen getoetst). Daarmee zijn de doelen behaald. Een aantal restpunten is overgedragen aan de staande organisatie en worden nu verder doorgevoerd.

Het Verbeterplan IV is geborgd binnen Waternet doordat bij aanvang gekozen is voor een faciliterende programmaanpak, waarbij er geen nieuwe organisatie naast de bestaande organisatie is opgetuigd, maar bewust is gekozen om de bestaande organisatie te versterken, uit te breiden en te verbeteren. Dit heeft onder andere geresulteerd in de start van een nieuwe directie Informatievoorziening & ICT per 1 juni 2023. Op dit moment wordt een implementatieplan uitgevoerd om de nieuwe directie te bemensen en verder te ontwikkelen, zodat Waternet de Amsterdamse watertaken kan uitvoeren met informatievoorziening die betrouwbaar, veilig, efficiënt en effectief is. 1.2 Verbeteringen getoetst Om onder andere de betrouwbaarheid en veiligheid van de informatievoorziening van Waternet te toetsen, worden jaarlijks verschillende onderzoeken en audits uitgevoerd. Zo toetst de Inspectie voor de Leefomgeving en Transport (ILT) jaarlijks op het functioneren van de cybersecurity op grond van de Wet beveiliging netwerk- en Informatiesystemen (Wbni) en wordt de betrouwbaarheid van de informatievoorziening van Waternet jaarlijks getoetst met de systeemgerichte controle benadering door de externe accountant (ACAM).

Informatieveiligheid De Inspectie Leefomgeving en Transport (ILT) heeft in april 2021 Waternet onder verscherpt toezicht gesteld naar aanleiding van geconstateerde tekortkomingen ten aanzien van de cybersecurity en besturing bij Waternet, die een verhoogd risico vormden voor de leveringszekerheid en kwaliteit van drinkwater. De ILT heeft in de periode april 2021 tot en met december 2022 vastgesteld dat Waternet de nodige stappen heeft gezet om de cyberorganisatie en de daarmee samenhangende processen naar een hoger niveau te tillen. De open communicatie van Waternet heeft de ILT gesterkt in het vertrouwen dat Waternet goed omgaat met het continu verbeteren van de cybersecurity. De ILT heeft het verscherpte toezicht op Waternet per 1 januari 2023 beëindigd en bepaald dat Waternet vanaf die datum weer onder het normale toezichtregime valt. Dit heb ik u destijds ook laten weten.

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 september 2023 Pagina 3 van 5

Bij de laatste toets op het functioneren van de cybersecurity van medio 2023 heeft de ILT geconstateerd dat Waternet nog niet volledig voldoet aan eisen van de zorgplicht op het thema ‘Detectie en respons’ zoals beschreven in de Wbni. Tegelijkertijd heeft ILT geconstateerd dat Waternet de afgelopen periode hard heeft gewerkt om haar cybersecurity te verbeteren en in control te komen en het vertrouwen uitgesproken dat de nu benoemde noodzakelijke verbeteringen met behulp van het Information Security Management System (ISMS) en de aanvullende structuren uitgevoerd zullen gaan worden. Het verbeteren van de cybersecurity is tenslotte geen eenmalige activiteit maar een doorlopend proces. Bij de volgende cybersecurity inspectie medio 2024 zal de ILT formeel toetsen of de tekortkomingen en verbeterpunten afdoende opgelost zijn door Waternet. Betrouwbaarheid In de managementbrief en het verslag van de accountant over 2021, heeft de accountant stilgestaan bij technologische ontwikkelingen bij de Stichting Waternet. Volgens de accountant tonen de ontwikkelingen aan dat het belang van de IT-omgeving voor de jaarrekeningcontrole stijgt. Om dat goed te regelen, is het nodig de algemene IT beheeromgeving goed te beheersen en met regelmaat te toetsen.

Eind is 2022 is door ACAM een systeemgerichte controleaanpak uitgevoerd op de IT beheerprocessen (opzet en bestaan) Waternet breed en voor een aantal relevante applicaties, te weten voor de financiële administratie, drinkwaterfacturatie en belastinginning, personeelsbetalingen. De IT beheerprocessen en de applicaties zijn in opzet en bestaan getoetst aan de hand van de zogenaamde de General IT-Controls (GITC). General IT Controls zijn de beheersmaatregelen die een organisatie heeft getroffen om ervoor te zorgen dat de IT-systemen betrouwbaar en integer zijn. Naar de situatie per laatste kwartaal van 2022 komt volgens ACAM het beeld naar voren, voor zowel Waternet brede processen als voor de relevante applicaties: 1. De opzet en het bestaan van de processen veelal op orde is; 2. GITC (zowel voor Waternet brede processen als voor de applicaties) verdient op enkele specifieke onderdelen de aandacht; 3. Bevindingen en aanbevelingen (aandachtspunten van punt 2) sluiten grotendeels aan met eerdere externe audits; 4. De basis is aanwezig om voor de toekomst op onderdelen ook te toetsen op effectieve werking (aanwezigheid van GITC over bepaalde periode). Door de realisatie van de maatregelen van het Verbeterplan IV zijn de Waternet brede processen in opzet en bestaan verbeterd.

De borging van de maatregelen van het Verbeterplan IV met behulp van sluitende plan-do-check-act cycli, maken het mogelijk de werking van de processen van de General IT-Controls over een langere periode aan te tonen. In het laatste kwartaal van 2023 zal de accountant (ACAM) dan ook de volgende systeemgerichte controle aanpak uitvoeren op de IT beheerprocessen en controleren of de aanbevelingen van 2022 zijn opgevolgd.

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 september 2023 Pagina 4 van 5

2) Specifieke ICT voor Amsterdamse watertaken 2.1 Drinkwaterfacturatie Waternet levert drinkwater aan circa 1.4 miljoen mensen. Er worden per maand 250.000 facturen opgemaakt. Ik heb u afgelopen jaar weleens moeten melden over fouten bij de drinkwaterfacturatie en -inning. De laatste keer dat ik dat deed was begin augustus 2022. Als er een fout wordt ontdekt wordt dit zo snel mogelijk hersteld met minimale overlast en goede informatievoorziening voor de drinkwaterklant.1 Daarnaast wordt op mijn verzoek elk Stichtingsbestuur een voortgang van de verbeteringen op specifiek dit proces geagendeerd en besproken. Met de systeemgerichte controle aanpak heeft de accountant voor de IT beheerprocessen van drinkwaterfacturatie eind 2022 geconstateerd dat ‘incident management’ en ‘problem management’ voldoen aan de vereisten van de General IT-Controls. Ten aanzien van ‘access management’ en ‘change management’ heeft de accountant een aantal aanbevelingen gedaan om de IT beheerprocessen te verbeteren. Deze gingen met name over toegangsrechten en het uitvoeren van periodieke controles op de actualiteit van autorisaties. De aanbevelingen zijn inmiddels doorgevoerd in de beheerprocessen en de periodieke controles worden uitgevoerd.

Het systeem voor de drinkwaterfacturatie wordt elke drie weken voorzien van nieuwe updates zodat de veiligheid is gewaarborgd en de nieuwste functionaliteiten kunnen worden gebruikt om de drinkwaterklanten beter te bedienen. Zeer recent is techniek opgeleverd om klanten in te kunnen schrijven die vergeten waren dit zelf te doen, beter bekend als ‘slapende klanten’. De techniek maakt het mogelijk om enerzijds een totale factuur aan te bieden voor de volledig in te halen periode, en anderzijds bestaat er een technische oplossing om de klant met achterstand een handelingsperspectief te bieden door in gedeelten te kunnen laten betalen. Er rest nu nog een klein deel van de drinkwaterklanten die nog achterstanden hebben door uitgestelde facturatie. Er zijn nog technische aanvullingen op het systeem nodig om een drinkwaterfactuur op te kunnen maken voor deze selecte groep klanten (4%). Deze klanten worden in de komende maanden aangeschreven. Ook voor deze klanten is het mogelijk om in termijnen deze achterstand in te halen. 2.2 Digitaal Samenwerkingsplatform leidingen (DSP) Waternet wenst als netbeheerder de workflow aansluitleidingen voor haar klanten via het digitaal samenwerkplatform (mijnaansluiting.nl) af te handelen. De werkzaamheden zijn er op gericht om vanaf 1 januari 2024 een basis voorziening te hebben.

Hiermee voldoet Waternet aan de standaard van de netbeheerders voor het aansluiten van Drink- en Afvalwater, voldoet ze aan de afspraken met Stichting Mijnaansluting.nl vanuit haar rol als netbeheerder en brengt ze het interne proces op orde. DSP is een universele ‘digitale stekker’ tussen klant en netbeheerder en netbeheerder en aannemer. De klanten kunnen op één website al hun aansluitingen aanvragen en 1 De onterechte aanmaningen waar AT5 onlangs over berichtte betrof Waterschapsbelasting. De verantwoordelijk

portefeuillehouder van Amstel, Gooi en Vecht heeft zijn algemeen bestuur daarover geïnformeerd. Dit betrof een menselijke fout en heeft dus geen relatie met het digitale systeem. Het proces is aangepast om iets dergelijks in de toekomst te voorkomen.

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 september 2023 Pagina 5 van 5

de systemen kunnen op uniforme wijze communiceren met de aannemers. Dit verlaagt de administratieve last in het proces en maakt het mogelijk om met weinig kosten te wisselen van aannemer na een nieuwe aanbesteding. De verdere inrichting van de processen loopt door in 2024. 2.3 Technische installaties in beeld krijgen Op basis van feitelijke data is het mogelijk tijdig de juiste besluiten te kunnen nemen ten aanzien van instandhouding, vernieuwing en verbetering van de technische installaties (assets) die gebruikt worden voor de Amsterdamse watertaken (riolering, persleidingen, gemalen, drinkwaterinstallaties). Het doel is om uiterlijk in 2027 100% van de assetsinformatie digitaal beschikbaar te hebben voor het gebruik van technische installaties. De komende jaren wordt voorrang gegeven aan het in beeld brengen van de assetinformatie van kritische technische installaties, zodat voor deze installaties de juiste besluiten kunnen worden genomen en een veilige, efficiënte, effectieve bedrijfsvoering gerealiseerd kan worden. 2.4 Leidingwerk digitaal ontwerpen en reviseren In 2023 is de transitie voor het digitaal kunnen ontwerpen van leidingwerken (Afvalwater- en Drinkwater) binnen Waternet grotendeels afgerond.

Met de implementatie van nieuwe ontwerpfunctionaliteit en een digitale projectenomgeving, waarin met partners zoals Ingenieursbureau Amsterdam en aannemers wordt samengewerkt, is een nieuw proces van kracht. Doordat hiermee achterstanden in revisieverwerking worden voorkomen komen de kosten, risico’s en prestaties van de leidingnetten beter in beeld. Toezichthouders kunnen op locatie vanuit het werk (“vanuit de sleuf”) ontworpen leidingen digitaal “in gebruik” stellen waarmee Waternet conform de Wet Informatie Uitwisseling Boven en Ondergrondse Netwerken (WIBON) de ligging gegevens integraal aan het Kadaster levert. Hiermee worden graafschades na ingebruikname voorkomen. Inzicht Met bovenstaand inzicht in de staat van de ICT van Waternet voor de Amsterdamse watertaken, hoop ik dat u een beeld heeft gekregen van de generieke en specifieke ICT van Waternet. Het verbeteren van de informatievoorziening en cybersecurity is een doorlopend proces. Er zal blijvend geïnvesteerd (en geprioriteerd moeten worden in een betrouwbare en veilige informatievoorziening, die ook effectief en efficiënt is. Door de jaarlijkse audits en onderzoeken blijft de organisatie zich continu verbeteren en houd ik als verantwoordelijk bestuurder goed zicht op de staat van de ICT voor de Amsterdamse watertaken. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Melanie van der Horst Wethouder Water