TKN - 22 Water (39) 01 Raadsbrief cybersecurity Waternet 8 december 2020 (002).pdf

Bezoekadres Amstel 1 1011 PN Amsterdam Postbus 202 1000 AE Amsterdam Telefoon 14 020 amsterdam.nl

Retouradres: Waternet, Postbus 94370, 1090 GJ Amsterdam

Aan de leden van de gemeenteraad van Amsterdam

Datum

8 december 2020

Ons kenmerk Uw kenmerk Behandeld door

Dhr. R. Zeegers

Bijlage(n) Onderwerp

Waternet Cybersecurity

Geachte raadsleden, Digitale veiligheid is essentieel voor de uitvoering van vitale functies door Waternet. De drinkwatervoorziening, de riolering en het watersysteembeheer zijn functies waarop we blind vertrouwen in het dagelijks leven. Deze moeten daarom aan hoge standaarden voldoen. Naar aanleiding van de artikelen van het onderzoeksplatform Follow The Money (FTM) over de cyber security bij Waternet is de inspectie voor leefomgeving en transport een onderzoek gestart (de ILT is de toezichthouder op de drinkwatersector). De resultaten van dit onderzoek worden in maart verwacht. Vooruitlopend op die resultaten is het van belang om hier te benoemen dat de minister van IenW tijdens het wetgevingsoverleg water in de Tweede Kamer op 1 december jl. in antwoord op mondelinge vragen heeft gezegd dat de ILT op dit moment geen reden heeft om aan te nemen dat de leveringszekerheid van drinkwater als gevolg van cyber risico's in het geding is. Eerder heb ik u per brief geïnformeerd over het externe onderzoek naar de digitale veiligheid van Waternet dat is ingesteld naar aanleiding van de eerste publicatie van het onderzoeksplatform Follow The Money (FTM). Inmiddels is dit onderzoek van Accenture gereed en heeft besluitvorming plaatsgevonden over de vervolgstappen. Door middel van deze brief informeer ik u daarover.

De rapportage van Accenture is, onder geheimhouding, als bijlage bijgevoegd bij deze brief. Naast het onderzoek door Accenture is tevens de in het tweede artikel van FTM aangehaalde pentest (beveiligingsonderzoek) opnieuw uitgevoerd om te beoordelen hoe de aanbevelingen uit de eerste pentest zijn opgevolgd. Ten slotte heeft het stichtingsbestuur1 een onafhankelijk adviseur aangesteld om de verschillende technisch complexe onderzoeken van onafhankelijke 1

Het stichtingsbestuur van Waternet bestaat uit een onafhankelijk voorzitter, de dijkgraaf van het waterschap AGV en de wethouder van de gemeente Amsterdam met de portefeuille ‘water’.

Een routebeschrijving vindt u op www.amsterdam.nl.

Gemeente Amsterdam

Kenmerk Pagina 2 van 3

bestuurlijke duiding te voorzien en de organisatie en systemen van Waternet aan een eerste verkennend onderzoek te onderwerpen. Deze rapportage is als bijlage bijgevoegd. Hierin wordt ook ingegaan op de resultaten van de pentest. De pentest zelf is niet bijgesloten vanwege de specifieke, technisch-inhoudelijke en bedrijfsvertrouwelijke informatie die daarin te vinden is. Ten slotte zijn de antwoorden op de schriftelijke vragen van het lid Yilmaz parallel aan deze brief aan uw raad verstuurd. Ondanks dat er in de afgelopen jaren verbeteringen zijn doorgevoerd is het beeld dat de cyber security bij Waternet op punten onvoldoende geborgd is en dat de organisatie onvoldoende voortgang maakt ten aanzien van aanbevelingen voor verbetering. Op basis van de resultaten, conclusies en aanbevelingen van de onderzoeken ziet het stichtingsbestuur zich daarom genoodzaakt om in te grijpen in de organisatie. Met deze brief informeer ik u over de belangrijkste bevindingen van de onderzoeken en de consequenties die het stichtingsbestuur daaraan verbindt. Een belangrijke conclusie van Accenture ten aanzien van de primaire processen van Waternet is dat, waar het technisch mogelijk is om onrechtmatig toegang te verkrijgen tot assets, hiervoor zeer specifieke kennis benodigd is van het betreffende systeemlandschap.

Aanvullend onderzoek wordt op korte termijn uitgevoerd om dit in meer detail te valideren. Daarnaast wordt vooruitlopend op een uitgebreide audit op alle ICT systemen en processen een overzicht gemaakt van alle reeds uitgevoerde beveiligingsonderzoeken en penetratietesten, de bevindingen, de aard, urgentie en duiding van de daaruit voortkomende risico’s en de planning om deze bevindingen op te lossen. Met het opstellen van deze aanpak is inmiddels begonnen. De CISO van de gemeente Amsterdam wordt daar intensief bij betrokken. Daarover zijn afspraken gemaakt. Uiteraard wordt uw raad op de hoogte gesteld van relevante bevindingen en ontwikkelingen. Op het gebied van cybersecurity en informatiebeveiliging moet Waternet flinke verbeterstappen maken, zowel op de korte als op de langere termijn. Het management van Waternet moet integraal sturen op informatieveiligheid, waarbij status, voortgang en risico’s op tafel moeten komen. Herstructurering van de IT-organisatie is daarvoor noodzakelijk. Binnen de directie van Waternet zal op de kortst mogelijke termijn een directeur IT / Chief Information Officer (CIO) worden aangesteld die verantwoordelijk is voor de integrale aansturing van de IT-organisatie en die direct rapporteert aan het stichtingsbestuur. Als eerste zal de CIO een plan van aanpak produceren en ter goedkeuring aan het stichtingsbestuur voorleggen.

In het plan van aanpak zal worden beschreven hoe Waternet op het gebied van IT een toekomstbestendige organisatie wordt die voldoet aan alle normen en voorschriften. Tevens wordt de positie van de Chief information security officer (CISO) van Waternet verstevigd middels een dwingender mandaat en rapportage verplichting. Hierbij wordt zowel aansluiting gezocht bij de manier waarop de gemeente Amsterdam informatieveiligheid inricht als bij de afspraken die gelden tussen waterschappen en in de drinkwatersector. Eind jaren negentig hebben de gemeente Amsterdam en het waterschap AGV de voorloper van de stichting Waternet opgericht. In 2006 is daar de drinkwatertaak aan toegevoegd en heeft de stichting zijn huidige naam gekregen. Daarmee is een innovatieve watercyclus organisatie ontstaan dat door de jaren heen zijn primaire taken goed heeft uitgevoerd. Desondanks toont de huidige situatie aan dat een grondige externe evaluatie van de in het verleden gekozen

Gemeente Amsterdam

Kenmerk Pagina 3 van 3

aansturings-, verantwoordingsrelaties richting gemeente Amsterdam en waterschap AGV noodzakelijk is. In samenhang met deze evaluatie worden ook de organisatiecultuur en de organisatie- en directiestructuur van Waternet tegen het licht gehouden, en waar nodig gewijzigd. Beide onderzoeken zullen in opdracht van de gemeente Amsterdam en het Waterschap AGV uitgevoerd worden, in nauwe samenwerking met de directie van Waternet. Hierbij zullen ook de overige aanbevelingen uit de onderzoeken worden meegenomen. Dit moet leiden tot bestuurlijke besluitvorming en implementatie in de tweede helft van 2021. Zoals gezegd wordt uw raad in de tussenliggende tijd uiteraard op de hoogte gesteld van relevante bevindingen en ontwikkelingen. Ik vertrouw erop u hiermee voorlopig voldoende te hebben geïnformeerd, Met vriendelijke groet,

Sharon A.M. Dijksma Wethouder Verkeer en Vervoer, Water en Luchtkwaliteit