RID (385306) AB besluit investeringsvoorstel inzake informatiebeveiliging

AB Besluit Onderwerp Datum Aan

Investeringsvoorstel inzake informatiebeveiliging februari 2022 Algemeen Bestuur

Gevraagd Besluit • • • •

Instemmen met de resultaten van de inventarisatie op het gebied van informatiebeveiliging en de vertaling daarvan in een bestedings- en investeringsvoorstel; Instemmen met het inzetten van € 350.000,- uit het ontstane, incidentele voordeel als investering in implementatie voor informatiebeveiliging; Instemmen met het dekken van de extra, structurele last vanuit monitoring en scanning ad € 135.000 met de stelpost kapitaallasten vanuit begroting 2022; Per 2023 structureel budget beschikbaar stellen voor benodigde ondersteuning en beheer ad € 270.000,en hiermee de totale deelnemersbijdrage op te hogen met € 270.000,-.

Inleiding De wereld om ons heen is de laatste jaren razendsnel veranderd. Zo snel, dat de nieuwe realiteit ons inmiddels heeft ingehaald. Deze veranderingen brengen een andere manier van werken met veel mogelijkheden en voordelen met zich mee, maar ook een toename van onderlinge afhankelijkheden en risico’s op het gebied van informatiebeveiliging. Risico’s die kunnen leiden tot ongewenste situaties, waarin organisaties veel losgeld moeten betalen, hun werk niet kunnen doen, persoonsgegevens op straat komen te liggen of maatschappelijke voorzieningen kunnen uitvallen. Met uw bestuur is daarom bij vaststelling van de kadernota 2023 afgesproken om te inventariseren wat nodig is om de kans op deze risico’s te verkleinen en de informatiebeveiliging bij de RID op het vereiste peil te brengen. Financiële situatie gemeenten Bij deze inventarisatie zijn we ons terdege bewust van de financiële situatie waarin de meeste gemeenten zich bevinden. De afgelopen jaren zagen gemeenten zich geconfronteerd met een toename aan kosten, van het sociale domein en digitaliseringsinvesteringen voor thuiswerken, tot uitgaven op andere beleidsterreinen ten gevolge van Covid19. Gedeeltelijke compensatie door vermindering van de facilitaire kosten was daarbij nauwelijks aan de orde. Met deze wetenschap hebben wij een voorstel opgesteld dat de investeringsvraag aan u zoveel mogelijk kan beperken.

Want hoewel het gaat om significante investeringen, die de grens van 2 miljoen euro ruim overschrijden kan, door onder meer het slim inzetten van vervangingsinvesteringen uit het meerjarig investeringsplan, verreweg het grootste deel gefinancierd worden vanuit bestaande RID-gelden. De toelichting hierop vindt u verder in het voorstel. Ten behoeve van enige context beginnen we echter eerst met een korte terugblik.

Aanleiding De overheid beschikt van oudsher over privacy- en concurrentiegevoelige informatie over en voor inwoners en ondernemers. Integer met deze informatie omgaan en deze goed beveiligen stond daarom altijd al hoog op de

agenda. De enorme vlucht die de digitalisering de laatste jaren heeft genomen zorgde echter voor een toename van kwetsbaarheden en dreigingen in het digitale domein. Een domein waarin door digitale onderlinge afhankelijkheden risico’s over de gemeentegrenzen heen gaan. Risico’s op organisaties die hun werk niet kunnen doen, persoonsgegevens die op straat komen te liggen, mogelijke ontwrichting van de samenleving of grote financiële claims. De crises rondom “Hack Hof van Twente”, “Hack Hogeschool van Arnhem” of zeer recent Log4j maken dit van dichtbij zichtbaar. Om de digitale weerbaarheid en het herstelvermogen te versterken zijn gemeenten overgegaan tot het implementeren van de gezamenlijke Baseline Informatiebeveiliging Overheden (BIO). Digitalisering is inmiddels allang geen ICT-vraagstuk meer, maar vraagt ook bestuurlijke keuzes om brede publieke waarden en privacy van haar burgers te borgen. Met het aanstellen van een staatssecretaris Digitale Zaken bij het ministerie van BZK in 2022 wordt door het huidige kabinet het belang van dit onderwerp ook op landelijk niveau benadrukt. Voor het lokale bestuur heeft de VNG de Agenda Digitale Veiligheid 2020 - 2024 opgesteld, die verbonden is met hun Meerjarenvisie, met de daarin benoemde transities op het gebied van energie, economie en de informatiesamenleving.

Deze transities zijn ook alleen te realiseren met een goed functionerende én veilige informatievoorziening.

Veilige informatievoorziening vanuit de RID Om de bovengenoemde veilige informatievoorziening te realiseren, is in 2021 door het Nationaal Cyber Security Centrum (NCSC) een handreiking opgesteld met 8 basismaatregelen die elke organisatie zou moeten treffen op het gebied van informatiebeveiliging. De afgelopen jaren is door de RID al fors geïnvesteerd in digitale weerbaarheid. Er zijn niet alleen grote stappen gezet op het gebied van informatieveiligheidsbeleid, disaster recovery en backup-restore, maar ook op het beveiligen van mobiele werkplekken en het gedeeltelijk implementeren van netwerksegmentatie. In vergelijking met gemeenten van dezelfde grootte, zitten de RIDdeelnemers op een iets hoger niveau van informatiebeveiliging. En hoewel dat goed nieuws lijkt, betekent het in de praktijk niks anders dan dat de meeste lokale overheden kampen met eenzelfde technologische achterstand. Een schrikbeeld uit de praktijk waar verregaande technologische achterstand uiteindelijk toe kan leiden vormt de Belastingdienst, waar onder meer een Btw-verlaging op fruit niet ingevoerd kan worden door de verouderde systemen. Zover is het gelukkig bij de RID-gemeenten nog niet, maar extra stappen en een versnelling zijn wel nodig om de vereiste inhaalslag te maken op de basis van huidige informatiebeveiliging.

Dit voorstel betreft de belangrijkste onderwerpen met het hoogste risico op het gebied van informatiebeveiliging waarop vanuit de RID geïnvesteerd moet worden ten behoeve van het collectief. Met deze investeringen komt aan de RID-kant een oplossing voor: 1. de RID-problemen die in de Log4j crisis naar boven kwamen; 2. het RID-deel van Actielijst 2021-2022 obv prioriteiten advies IST; 3. de benodigde 37 maatregelen vanuit IBD “Handreiking malware”, voor de RID vertaald door het IST; 4. de bevindingen uit de pentesten; 5. de benodigde 8 basismaatregelen van het NCSC.

Input informatiebeveiliging vanuit het GDO “Dit voorstel is gericht op de investeringen die nodig zijn voor de doorontwikkeling en uitvoering aan RID-zijde. Hiervoor is echter ook de nodige inzet nodig van de deelnemende organisaties. Het eerder in alle deelnemende organisaties vastgestelde Informatiebeveiligingsbeleid is uitgewerkt in een uitvoeringsplan waarin prioriteiten worden benoemd en voorzien van de benodigde capaciteit en middelen. Zaken als een bewustwordingsprogramma of het organiseren en houden van digitale brandoefeningen moeten immers door de organisaties zelf én gezamenlijk worden opgepakt. Maar ook de bewaking op de uitvoering van het uitvoeringsplan en de doorontwikkeling daarvan hoort tot de primaire verantwoordelijkheid van de deelnemende organisaties. Daarmee vraagt besluitvorming over deze aanpak en bijbehorende middelen om een andere bestuurlijke route; namelijk separate besluitvorming door de afzonderlijke colleges. Dat betekent dat er voor dit gedeelte een gezamenlijk voorstel van de deelnemende organisaties aan de individuele colleges en het bestuur van het RDWI wordt voorgelegd.”

Advies Information Security Team

“Dit investeringsvoorstel is opgesteld met inbreng en goedkeuring van het Information Security Team, het onafhankelijke orgaan van uw organisaties op het gebied van informatieveiligheid. Zij zien deze investeringen als noodzakelijk en daarmee positief, omdat dit bijdraagt aan het voldoen van de BIO baseline. Daaraan voldoen is het hoogst haalbare. Vanuit informatiebeveiligingsoogpunt wordt de BIO gezien als een basislijn; dus pas wanneer zowel de RID als de deelnemers álles doen wat de BIO voorschrijft op het gebied van proces, mens en techniek hebben we als collectief bereikt wat we minimaal moeten doen op het gebied van informatiebeveiliging. Het IST onderschrijft de gerealiseerde oplossingen op de 5 thema’s zoals hierboven omschreven. Met deze investeringen zet de RID dus de noodzakelijke stap in het verder beveiligen van de bedrijfsvoering. Als IST adviseren wij zondermeer vergelijkbare stappen vanuit de businesskant te zetten. Toekomstige (human) (pen)testen en toetsen bij de RID en de deelnemers moeten vaststellen of met de opzet, het bestaan en de werking van maatregelen de basis op orde is gebracht en de Baseline daadwerkelijk wordt bereikt.”

Vooruitblik Om bestuurlijke transparantie te kunnen geven, moeten we de vraag kunnen beantwoorden of we na deze investeringen klaar zijn. Het antwoord hierop is tweeledig. Enerzijds brengt de RID de ICT-omgeving op een toekomstbestendig niveau voor het nieuwe werken in alle RID-organisaties. Anderzijds gebiedt de eerlijkheid echter ook de bestuurlijke realiteit te schetsen dat volledige informatieveiligheid een utopie is. Het is geen statisch gegeven; informatiebeveiliging is een continu proces. De grenzen tussen de digitale en de fysieke wereld verdwijnen en digitale processen zijn onmisbaar voor het functioneren van de samenleving. Wonen, werken, reizen, betalen: we leven op een digitale infrastructuur. En net als bij wegen of het spoor moet ook de digitale infrastructuur op orde zijn én blijven. Uit de ICT Benchmark Gemeenten 2021 bleek dat de gemiddelde ICT-kosten per gemeente in 2020 al gestegen waren met ruim 8%. De digitale mogelijkheden en daarmee de vereisten aan o.a. licenties en informatiebeveiliging blijven groeien en vanuit M&I-partners wordt dan ook verwacht dat de ICT-kosten ook de komende jaren blijven stijgen. De BIO schrijft bovendien niet alleen normen voor op het gebied van techniek, maar ook op het gebied van mens en proces. De RID-kant is tenslotte maar een deel van het verhaal.

Zonder capaciteit of benodigde inzet bij de RID-deelnemers wordt het vereiste basisniveau informatiebeveiliging op het totaal niet bereikt. Daarom wordt in een parallel spoor vanuit uw organisaties door het GDO separaat inzichtelijk gemaakt wat bij hen nodig is om ook aan de huidige vereisten te voldoen.

Wat vragen we aan u In het verleden is € 2.500.000,-, voor onder meer grootschalige netwerkvervanging, gereserveerd in een meerjarig investeringsplan (MIP)en daarmee al opgenomen als kapitaallasten in de begroting. Door de coronapandemie en andere ontwikkelingen is de uitvoering van deze investeringen uitgesteld. Met een vooruitziende bestuurlijke blik is door uw AB gekozen om een extra stelpost op te nemen in de kapitaallasten in de begroting 2022 en van het moment gebruik te maken om eerst een grondige analyse te maken wat er in de nieuwe realiteit nodig is om te voldoen aan de veiligheidsvoorschriften. Door dit meerjarige investeringsplan nog niet in 2021 in uitvoering te brengen, bracht dit een incidenteel financieel voordeel in 2022 met zich mee. Door een deel van dit voordeel en de beschikbare investeringsgelden uit het MIP nu in te zetten kan verreweg het grootste deel van de benodigde investeringen gefinancierd worden vanuit bestaande RID-gelden. Alleen de benodigde ondersteuning van alle veranderingen en het beheer van zowel de security activiteiten als de aangepaste en nieuw te realiseren ICT-voorzieningen, kunnen we niet opvangen met de huidige bezetting. Hiervoor is extra inzet van ca 3,3 fte nodig, waarvan 1 fte al incidenteel was ingeboekt voor 2022 met de vraag of deze structureel ingevuld zou moeten worden.

En voor dat deel van de benodigde investering wenden we ons tot u. Wij verwachten op basis van de huidige schalen en lastige arbeidsmarkt dat wij voor deze 3,3 fte een structurele investering vragen van € 270.000,-. Hiervoor is geen dekking binnen de begroting van de RID. In het onderstaande overzicht ziet u de financiële weergave van het totaal aan investeringen. Daaronder vindt u de vertaling van de vraag om extra capaciteit aan u tot op deelnemersniveau doorgerekend. Om een aanvullend beeld te geven achter deze cijfers treft u daaronder meer informatie aan over de inzet van deze investeringen.

Financiële Investering De financiële vertaling van de benodigde investeringen is te verdelen in 4 onderdelen. Te weten: 1. Grootschalige netwerkvervanging; 2. Scanning en monitoring;

3. Incidentele eenmalige kosten voor implementatie; 4. Ondersteuning en Beheer

Financiële verantwoording via P&C-cyclus De onderstaande bedragen betreffen voor een deel inschattingen. Financiële verantwoording vindt uiteraard plaats via de reguliere P&C-documenten. Daarnaast mag u van ons verwachten dat we op regelmatige basis ook inhoudelijk gaan rapporteren over dit programma.

Planning

tekort

Deelnemersbijdrage

450.000 55.000 0 0 505.000

Dekking incidenteel voordeel 2022

dekking RID begroting

450.000 190.000 350.000 270.000 1.260.000

kosten per jaar voor uitvoering investering in IBV

dekking Stelpost kapitaallasten

kosten

De hoogste prioriteit ligt bij de bevindingen uit de pentest. Deze worden, samen met scanning en monitoring dit jaar nog opgepakt. De grootschalige netwerkvervanging wordt stapsgewijs de komende 2 jaar uitgevoerd. Haalbaarheid van deze planning hangt in hoge mate af van voldoende beschikbaarheid aan de kant van de deelnemers.

0 135.000 0 0 135.000

0 0 350.000 0 350.000

0 0 0 270.000 270.000

0 0 0 270.000 270.000

dekking 1. Grootschalige investering (investering 2,5 miljoen) 2. Scan- en monitoring tool 3. Eenmalige kosten 4. Ondersteuning en beheer

Gevolgen per deelnemer door ophoging deelnemersbijdrage:

Baarn Bunnik De Bilt Soest Utrechtse Heuvelrug Wijk bij Duurstede RSD

deelnemersbijdrage 33.000 24.000 41.000 63.000 55.000 26.000 28.000 270.000

Toelichting op de 4 investeringsonderdelen: 1. Grootschalige netwerkvervanging 1a: Netwerkinfrastructuur De RID heeft te maken met verschillende realiteiten. Het huidige netwerk is bijvoorbeeld gebaseerd op de realiteit in 2017; één werkplek met een thinclient en een vaste telefoon. De huidige realiteit is dat de behoeften de afgelopen 2 jaar drastisch gewijzigd en veel omvangrijker zijn geworden. Door deze veranderde behoefte neemt de complexiteit van de netwerkinfrastructuur toe en daarmee de vraag om aanvullende kennis en maatregelen om de informatieveiligheid te kunnen blijven waarborgen. De afgelopen maanden zijn de nieuwe en toekomstige behoeften in beeld gebracht en zijn de eisen aan de nieuwe netwerkinfrastructuur door het architectuurteam uitgewerkt. De belangrijkste aspecten in de nieuwe architectuur zijn ondermeer: • Toename van verschillende soorten eindgebruikersapparatuur, zowel door de RID beheerd als nietbeheerd door de RID.

Daarbij is een belangrijke verschuiving te zien van het gebruik van laptops, tablet en mobiele telefoons; • Toename van het aantal (soorten) ‘IoT’-apparaten; • Toename van het aantal (logische) draadloze netwerken voor verschillende doeleinden (waaronder intern, govroam, publicroam, facilitair); • (Grote) toename van de hoeveelheid ‘streaming’-verkeer ten behoeve van onder andere digitaal videobellen en -vergaderen, het houden/volgen van webinars, etc.; • Toenemende behoefte aan compartimentering/zonering voor het afschermen van apparatuur/toepassingen ten opzichte van andere apparatuur/toepassingen; • Toenemend gebruik van applicaties via het internet (SaaS-diensten); • Toenemende eisen aan (het afdwingen en afhandelen van) gecontroleerde toegang tot het netwerk. Aanpassing aan de netwerkinfrastructuur kan gedeeltelijk worden gecombineerd met de noodzakelijke vervanging van afgeschreven netwerkcomponenten. Gezien de grote omvang en impact van deze veranderingen is een programma noodzakelijk waarbij werkzaamheden worden onderverdeeld in 4 separate projecten: 1. Netwerk infra - Network access. Scope: Wifi en bedrade netwerk infrastructuur op locatie bij de deelnemers. 2. Netwerk infra - Ondersteunende netwerkdiensten Scope: beheer en monitoring netwerkcomponenten. 3. Netwerk infra - Network access Scope: Wifi en bedrade netwerk infrastructuur op locatie bij de deelnemers. 4.

Netwerk infra - Remote client access Scope: Citrix netscalers t.b.v. toegang voor thuiswerken. Hierbij behoort fasering tot de mogelijkheden, waarbij de prioriteit ligt bij de onderdelen 1 en 2 (“Network access” en “Ondersteunende netwerkdiensten”). Hierdoor kan niet alleen de capaciteitsvraag richting beheer worden gedoseerd maar is het tevens mogelijk om de investering te verdelen over 2 jaren.

1b: Server infra - netwerksegmentatie Onderdeel van life-cycle management op de infrastructuur betreft het vervangen van verouderde server OS (operating systems) door nieuwere versies. Hierin wordt tevens de implementatie van netwerksegmentering uitgevoerd. Wanneer een server wordt voorzien van een nieuw OS, wordt deze opnieuw geïnstalleerd en in een apart netwerksegment geplaatst. Op deze manier is inmiddels gedeeltelijke netwerk segmentering toegepast. De resterende werkzaamheden rondom netwerksegmentatie zijn als belangrijke bevinding uit de pentest gekomen. Gezien het belang hiervan gaan we de resterende implementatie van netwerksegmentatie versnellen. Belangrijke voorwaarde in het kunnen verkorten van de doorlooptijd is dat er ook aan de kant van de deelnemers voldoende capaciteit beschikbaar is om oude applicaties zoals Beaufort, Corsa en Verseon te migreren en updates van de diverse applicaties te coördineren en te testen.

1c: Disaster en recovery In het geval van een calamiteit binnen de ICT-infrastructuur is het van groot belang (en in sommige gevallen wettelijk verplicht) om de infrastructuur weer snel operationeel te hebben en de dienstverlening te kunnen hervatten. Hiervoor heeft de RID diverse voorzieningen aangebracht. Zo hebben de RID-deelnemers de mogelijkheid om uit te wijken tussen 2 datacenters en worden er dagelijks back-ups gemaakt die op meerdere locaties (ook offline) worden bewaard. De hardware die nodig is om uit te kunnen wijken in het geval van een calamiteit is inmiddels end-of-live en moet in 2022 vervangen worden. Bij deze vervanging gaan we uit van een 1 op 1 vervanging van de huidige uitwijkomgeving, bestaande uit 5 servers. Dit biedt net als nu capaciteit voor het uitwijken van alle kernapplicaties (binnen het datacenter van de RID) en 70 Citrix gebruikers. Investeringskosten grootschalige netwerkvervanging De grootschalige netwerkvervanging was gepland in 2021. Door de coronapandemie en alle eerdergenoemde ontwikkelingen is besloten om dit uit te stellen en een grondige analyse te maken wat er op dit moment nodig is om te voldoen aan de veiligheidsvoorschriften en de ontstane hybride situatie (Citrix en MS365). Dit heeft geleid tot een investeringsvoorstel van 2,5 miljoen die gedekt kan worden met het aanwezige budget voor vervangingsinvesteringen.

Omgerekend per jaar betekent dit ca. € 450.000,- passend binnen de huidige begroting.

2. Scanning en monitoring Cyber Threat Monitoring en Control (CMC) Cyber Threat Monitoring en Control heeft tot doel de infrastructuur te bewaken en te controleren op misbruik en kwaadaardig netwerkverkeer. Sinds de implementatie van CMC in 2018 is het gevraagde niveau van gewenste controle zoals bekend fors toegenomen. Het gebruik van SaaS en Cloud oplossingen (denk aan o.a. Office365) stellen eisen aan CMC waar met de huidige oplossing niet in kan worden voorzien. Uitbreiding van de dienst is dan ook noodzakelijk om de volledige omgeving onder CMC te brengen en daarmee het risico op binnendringen en misbruik van onze infrastructuur te beperken. Dit blijkt ook uit de bevindingen van de pentest. Doen we dit niet dan bewaken we de voordeur maar hebben we geen zicht op de ramen. Vulnerability scanning Door de inzet van vulnerability scanning wordt inzicht verkregen in kwetsbaarheden binnen de ICTinfrastructuur. Dit inzicht is noodzakelijk om snel te kunnen reageren op nieuwe kwetsbaarheden. Een recent voorbeeld hiervan is de Log4j kwetsbaarheid. De RID heeft naar aanleiding van de Log4j crisis in december 2021 het besluit genomen om de benodigde vulnerability scanner aan te schaffen. De inzet van deze vulnerability scanning is daarna geen overbodige luxe maar harde noodzaak gebleken.

De aangeschafte scanningtool legde namelijk niet alleen risico’s rond Log4j bloot, maar liet met name een kwetsbaar patroon zien aan achterstallig onderhoud op het applicatielandschap van de deelnemende organisaties. Om in dezelfde analogie te blijven; er bleken zich honderden applicaties (ramen) buiten het zicht (dus niet binnen het datacenter) van de RID te bevinden. Het ontbreken van functioneel beheer en lifecycle management op applicaties bij de deelnemende organisaties, heeft tot gevolg dat er een groot aantal applicaties zijn die niet meer ondersteund worden door de leverancier, die niet overweg kunnen met actuele server versies/componenten of die niet zijn bijgewerkt naar de meest recente versie. Dit leidt tot grote aantallen kwetsbaarheden in onze infrastructuur. Op deze applicaties is dus extra aandacht voor patchmanagement en lifecyclemanagement noodzakelijk. Investeringskosten scanning en monitoring Een eerste uitvraag leert ons dat de kosten voor een juiste oplossing ca. € 190.000 structureel per jaar gaat kosten. De precieze kosten zullen moeten blijken uit een aanbesteding die wij gedurende 2022 gaan uitvoeren. De RID heeft vanaf 2018 ca. € 55.000 in de begroting beschikbaar voor een CMC- tool. Dit betekent voor de huidige benodigde CMC-tool een tekort van ca. € 135.000.

Wij stellen voor om hiervoor de stelpost kapitaallasten aan te wenden zoals deze in de begroting 2022 is vastgesteld.

3. Eenmalige kosten voor implementatie Voor alle onderdelen hebben we een inschatting gemaakt van de eenmalige implementatiekosten. Alles bij elkaar opgeteld schatten we in dat de eenmalige kosten voor implementatie van alle investeringen vanuit dit plan € 350.000,- bedragen. In 2022 hebben wij een incidenteel voordeel van € 420.000,- (onder andere door uitgestelde investeringen). Wij stellen voor om de eenmalige implementatiekosten te dekken uit dit incidentele voordeel. Mocht onze inschatting van de implementatiekosten aan de hoge kant zijn geweest, wordt het restant van het incidentele voordeel hoger. Over dit restant van het incidentele voordeel wordt uiteraard gerapporteerd middels de reguliere P&C documenten, inclusief een voorstel voor besteding hiervan.

4. Ondersteuning en Beheer Zoals vermeld is de wereld veranderd. Dit vraagt veel aan investeren in de hard- en softwarekant. Maar dat is uiteraard niet voldoende. Want zonder aanwezige menskracht voor de ondersteuning en het beheer is het aanschaffen van bijvoorbeeld een monitoring tool een desinvestering. De deelnemers mogen verwachten dat de RID hen structureel blijft voeden met rapportages en analyses over geconstateerde kwetsbaarheden in hun organisatie, en daarmee een impuls geven aan hun patchmanagement. Zowel op hardware niveau (het patchen van hardwarecomponenten) als op softwareniveau (het patchen van applicaties en componenten) is de frequentie waarmee updates worden uitgebracht de afgelopen 2 jaar fors toegenomen. En gezien de hoeveelheid kwetsbaarheden die maandelijks worden gevonden met behulp van de aangeschafte scanner, zal deze benodigde frequentie ook toe blijven nemen. Met alle gevolgen van dien voor de benodigde inzet. En ook de toegenomen complexiteit van de nieuwe netwerkinfrastructuur vraagt om aanvullende kennis en onderhoud om de informatieveiligheid te kunnen blijven waarborgen. Tijdelijke inzet structureel invullen Daarnaast heeft het thuiswerken en digitaal vergaderen sinds 2 jaar een enorme vlucht genomen en vraagt de overheid ons hiervoor om extra beveiliging en ondersteuning.

De toegenomen ondersteuningsvraag aan de RID ten gevolge van dit nieuwe werken vraagt om structurele inzet maar deze was vooralsnog tijdelijk ingevuld. In dit investeringsvoorstel is de structureel benodigde extra ondersteuning voor het nieuwe werken opgenomen. Investeringskosten ondersteuning en beheer De totaal benodigde extra inzet op ondersteuning en beheer komt hiermee op 3,3 fte. Wij verwachten op basis van de huidige schalen en lastige markt dat wij hiervoor een structurele investering vragen van € 270.000,-.