10. Raadsvoorstel begroting cyberaanval college 20042021 definitief.pdf

55

e

Î Hof van Onderwerp

Begroting cyberaanval, Verbeterplan ICT-

situatie en bestuurlijke verantwoording

Zaaknummer Datum

23 april 2021

Portefeuillehouder

Ellen

Medewerker

156796

Nauta/

Harry

Scholten

(geanonimiseerd)

Doel

In de raadsbrief van 9 februari 2021 en het raadsvoorstel behorend bij de drie onderzoeksrapporten over de cyberaanval, hebben wij aangekondigd de raad een totaaloverzicht te zullen presenteren in de vorm van een begroting voor alle kosten die

gemaakt zijn en worden, voortkomend uit de cyberaanval die onze gemeentelijke organisatie op 1 december 2020 heeft getroffen. Deze begroting cyberaanval ontvangt u middels dit raadsvoorstel. Onderdeel van het voorstel is een (voorlopig) dekkingsplan. Bij dit raadsvoorstel treft de raad voorts ter kennisname aan ten eerste een nadere bestuurlijke verantwoording vanuit onze verantwoordelijkheid voor informatisering en automatisering. Deze hebben wij toegezegd tijdens het raadsdebat over het Rapport van bevindingen ICT-situatie op 24 maartjl. Ten tweede ontvangt u het Verbeterplan ICTsituatie, waarin wij aangeven hoe wij de aanbevelingen uit de drie genoemde rapporten zullen implementeren. De begroting cyberaanval, de nadere bestuurlijke verantwoording en het Verbeterplan

ICT-situatie kunnen worden gezien als een samenhangend drieluik.

Voorstel

Wij stellen u voor in te stemmen met dit raadsvoorstel, inhoudende: 1. De begroting cyberaanval met dekkingsvoorstel vaststellen en dit besluit formaliseren in de voorstellen voor de komende zomerbrief en de jaarrekening 2020; 2. Kennis nemen van de nadere verantwoording van de portefeuillehouder |&A, zoals beschreven in de “Bestuurlijke verantwoording behorend bij het Rapport van bevindingen ICT-situatie”; 3. Kennis nemen van het Verbeterplan ICT-situatie n.a.v. de aanbevelingen over de cyberaanval; Overwegingen Ramingen d.d. 20 april 2021 De eerste (indicatieve) kostenramingen hebben wij met uw raad gedeeld tijdens de informatiebijeenkomst op 3 februari en het seniorenconvent van 4 maart 2021. De thans voorliggende begroting cyberaanval (zie de tabel in de bijlage) is gebaseerd op de realisatie van uitgaven, aangegane verplichtingen en ramingen over verplichtingen die nog aangegaan moeten worden. Enerzijds gaat dit om kosten in het kader van het

oplossen van de crisis en anderzijds om kosten die voor de wederopbouw van de ITinfrastructuur worden gemaakt. Kort gezegd voorzien wij op dit moment een totaal aan incidentele kosten van ruim 3,9 miljoen euro, waarvan 1.585.000 euro kosten die in de eerste crisisfase zijn gemaakt en 2.325.000 euro aan kosten voor de fase van het project wederopbouw. Daarbij zijn de verwachte structurele kostenstijgingen nog niet betrokken.

Crisiskosten

Onder crisiskosten verstaan wij al die kosten die in de periode december 2020 en de eerste helft van januari 2021 noodzakelijkerwijs gemaakt zijn voor externe ondersteuning bij de oplossing van de crísis, het treffen van tijdelijke voorzieningen en het doen van onderzoek. Voorbeelden van crisiskosten zijn de opdrachten die aan de specialistische

bureaus NFIR en Ontrack zijn verstrekt voor het forensisch onderzoek en zogeheten ‘incident response werkzaamheden’ respectievelijk onderzoek naar ‘datarecovery’. Maar ook de communicatiekosten, advocaatkosten ed. scharen wij onder de noemer crisiskosten. Met het beëindigen van de crisisstructuur medio januari 2021 is de fase van (acute) crisisaanpak afgerond en overgegaan in de projectfase. Projectkosten wederopbouw Naast de crisiskosten staan de uitgaven die noodzakelijk zijn in het kader van de (blijvende) wederopbouw van de IT-infrastructuur. Dit betreffen de uitgaven die vanaf medio januari 2021 gedaan worden vanuit het (herstel-) programma “de Nieuwe werkelijkheid” onder leiding van de externe programmaleider. De verplichtingen die in dat kader zijn en worden aangegaan betreffen directe ICT-uitgaven voor hardware en

software, maar ook ondersteuning, advisering en overige menskracht. Herstelkosten

versus

Nieuwe

ICT-kosten

In beide fases (crisisfase en projectfase) onderscheiden we enerzijds herstelkosten en anderzijds nieuwe ICT-kosten. Herstelkosten hebben een tijdelijk karakter, bijvoorbeeld waar dit de tijdelijke inhuur van expertise betreft. Voor Nieuwe ICT-kosten geldt daarentegen, dat die in beginsel blijvende waarde hebben. Nieuwe ICT-kosten in de crisisfase zijn bijvoorbeeld de kosten van een groot aantal nieuwe lap-tops voor medewerkers, die met spoed in gebruik zijn genomen en de komende jaren in gebruik zullen blijven. Vervangingsinvesteringen

Investeringen die in het kader van het herstelproject worden gedaan hebben in meer of mindere mate ook het karakter van vervangingsinvesteringen. Dat wil zeggen dat de cyberaanval aanleiding vormt om investeringen die al gepland waren naar voren te halen. Onmiskenbaar beïnvloedt dit gegeven de vraag welke kosten nog wel en welke redelijkerwijs niet meer aan de cyberaanval kunnen worden toegerekend. Programma de Nieuwe werkelijkheid Onder leiding van de externe programmaleider is in de afgelopen weken gestart met de programmatische aanpak van de wederopbouw van de ICT-infrastructuur, de inrichting van de bedrijfskritische processen en de reconstructie van data. Het doel van het programma is als volgt geformuleerd: “Herstel van de ICT-infrastructuur van de gemeente Hof van Twente en reconstructie van data, zodat de bedrijfsvoering is hersteld en dat het

beheer van deze omgeving geborgd is”. Met het programma wordt (mede) uitvoering gegeven aan een groot deel van de acties die staan benoemd in het Verbeterplan, dat de raad ter kennisname bij dit raadsvoorstel aantreft. Visie de Nieuwe werkelijkheid De scope van het programma de Nieuwe werkelijkheid betreft: Herstel, korte termijn: 2021, namelijk het herstel van dienstverlening door de hiervoor benodigde systemen en gegevens in de meest brede zin op orde te brengen. Alle (kritische) bedrijfsprocessen dienen te worden opgestart en ingericht. Opbouw, middellange termijn: 2022 e.v., namelijk het ontwikkelen van een visie op basis waarvan eind 2021 een gefundeerd bestuurlijk besluit kan worden genomen over de wijze waarop wij I&A op middellange termijn vorm en inhoud willen geven in onze organisatie. ‘Lessons learned', namelijk het ontwikkelen van inzicht in ‘lessons learned'’, het betrekken

van deze lessen bij de gekozen oplossingen en het in- en extern actief en transparant uitdragen hiervan.

Integratie Agenda digitalisering

Met betrekking tot de Agenda digitalisering wordt met name de opbouw van de genoemde pijlers als leidraad meegenomen in de realisatie van het programma de Nieuwe werkelijkheid, namelijk integrale digitale dienstverlening en bedrijfsvoering, informatiegestuurde organisatie en informatieveiligheid. Uitgangspunt is dat te realiseren producten vanuit de agenda digitalisering in verhouding dienen te staan met de beschikbare middelen en dienen te passen binnen de tijdskaders van dit programma. Indien dit niet het geval is zal ervoor worden gekozen om die aspecten in een later stadium te realiseren.

Met name in de pijler informatie-gestuurd werken (bijvoorbeeld het werken met prestatieindicatoren) en digitale dienstverlening (bijvoorbeeld de uitrol van de persoonlijke internetpagina) verwachten wij onze ambities te moeten bijstellen.

Agenda digitalisering De gemeenteraad heeft bij de vaststelling van de programmabegroting 2020 met behulp van de reserve Vitens incidentele middelen gealloceerd (1,3 miljoen euro) voor de Agenda digitalisering. Aanleiding voor deze agenda waren de Strategische visie op I&A uit 2016 en de constatering (mede o.b.v. benchmark) dat een extra impuls gewenst was op het gebied van “de basis op orde”, “vooruitstrevende dienstverlening” en “efficiënte en effectieve bedrijfsvoering”. Landelijke en maatschappelijke ontwikkelingen vragen immers om steeds meer inspanning op het gebied van informatietechnologie. De agenda digitalisering kent 3 pijlers: digitale dienstverlening, data-/informatiegestuurde overheid en informatieveiligheid. Voor de dienstverlening (pijler 1) is het doel dat deze maximaal digitaal, geïntegreerd, geautomatiseerd en klantgericht moet zijn ingericht. Met data-gestuurd werken (pijler 2) wordt beoogd de kwaliteit van de beleidsvorming en de doelmatigheid van de organisatie te verhogen en beter inzicht te bieden op basis van beleidsindicatoren. Het doel van

vergroting informatieveiligheid (pijler 3) is om de beschikbaarheid, integriteit en vertrouwelijkheid van gemeentelijke informatie te borgen. Projecten en activiteiten die in 2020 zijn gestart of uitgevoerd vanuit de drie pijlers van de Agenda digitalisering zijn: Pilot digitale dienstverlening, invoering Persoonlijke internetpagina (digitale zaakcommunicatie met burgers/organisaties), Portaal werk en inkomen (digitaal loket voor cliënten), maar ook de Pilot QlikSense Zorgdomein, de Monitor gezonde verbinding, de gebouwenbeheermodule of de koppeling van ons zaaksysteem met backoffices van werk en

inkomen, jeugd en belastingen zijn vanuit de Agenda digitalisering opgepakt.

Begroting cyberaanval In de bijlage bij dit raadsvoorstel treft uw raad een specificatie aan van de Begroting cyberaanval op basis van de hierboven beschreven uitgangspunten, namelijk verdeeld over de twee fases (crisisfase en projectfase) en de twee categorieën (herstelkosten en

nieuwe ICT-kosten). Samengevat leidt dit tot het volgende beeld van het totaal. BEGROTING

KOSTEN

CYBERAANVAL TOTAAL

FASE

CRISIS

€1.585.000

FASE

PROJECT

D.D. 20 APRIL

2021

HERSTELKOSTEN

_ NIEUWE

ICT KOSTEN

€ 940.000

€645.000

)

€1.787.000

€537.000

€3.910.000

€2.727.000

€1.182.000

Figuur 1: Samenvatting begroting cyberaanval, gebaseerd op realisaties en ramingen. Zie ook de specificatie in de

bijlage.

Budgetrecht van de raad: crisiskosten De raad wordt gevraagd met dit raadsvoorstel instemming te geven aan de uitgaven die de gemeente heeft gedaan in de crisisfase en nog dient te doen in het kader van het

treffen van wederopbouwmaatregelen. Dat de crisiskosten zijn gemaakt en hiervoor contractuele verplichtingen moesten worden aangegaan spreekt voor zich. De grote tijdsdruk maakte dat het college in het belang van de gemeente in het algemeen en het belang van de continuïteit van de bedrijfsvoering hiervoor geen voorafgaande besluitvorming door de raad kon laten plaatsvinden. Budgetrecht van de raad: wederopbouwkosten In zekere zin geldt de urgentie van handelen ook voor de wederopbouw. De inschakeling van het ICT-adviesbureau Biz-way, de start van het noodzakelijke programma “de nieuwe Werkelijkheid” onder leiding van een extern programmaleider, maar ook de onderhandelingen die met onder meer Centric zijn gevoerd in de afgelopen periode en de druk op het proces van datarecovery vragen om een continue, stapsgewijze voortgang in

het nemen van besluiten over de wederopbouw. Het is hierdoor onvermijdelijk dat het proces niet kan wachten op voorafgaande besluitvorming door de raad. De situatie laat zich dan ook meer karakteriseren als een autonome ontwikkeling dan als het maken van vrije keuzes in nieuw beleid. Budgetrecht van de raad: structurele kosten I8A na 2021 Op de ervaring dat het proces niet kan wachten op voorafgaande besluitvorming door de raad zien wij twee uitzonderingen, namelijk de (structurele) uitgaven voor informatisering en automatisering (I&A) na 2021 en de keuzes voor dekkingsmaatregelen van alle huidige uitgaven. Over deze twee onderwerpen kunnen wij met de raad in gesprek met het oog op de komende zomerbrief en programmabegroting 2022.

Voor wat betreft de (structurele) uitgaven voor I&A na 2021 kunnen wij nu nog geen uitspraken doen. E.e.a. is sterk afhankelijk van de visie die eind dit jaar zal worden uitgebracht en de vraag met welke externe partijen we een structurele samenwerking denken aan te zullen gaan. Tegelijkertijd weten we echter, dat de keuzes voor 2021 ev. niet geheel vrij zijn. De maatregelen die nu getroffen worden zullen in meer of mindere mate structurele effecten hebben en dus van invloed zijn op de uitgaven en benodigde budgetten na 2021.

Dekkingsvoorstel Uitgaande van de huidige begroting cyberaanval (d.d. 20 april 2021) geven wij onderstaand een voorstel voor een dekkingsplan, waarbij wij zo goed mogelijk recht

proberen te doen aan de doelstellingen die verbonden zijn aan de bestedingsdoelen van de bestaande budgetten en aan de beleidsmatige ambities die raad en college hebben vastgelegd. Maar daarbij sluiten we ook aan bij de adviezen en aanbevelingen die volgen uit de 3 onderzoeksrapporten die in het kader van de cyberaanval zijn uitgebracht. Tijdens de informatieve raad van 3 februari jl. hebben wij aangegeven welke mogelijke vormen van dekking er bestaan, waaruit een keuze zal moeten worden gemaakt. Deze dekkingsmogelijkheden bestaan uit incidentele middelen, met name de egalisatiereserve I&A en het budget voor de Agenda digitalisering. Maar ook kan worden gekeken naar de jaarlijkse budgetten voor I&A en de jaarlijkse storting in de egalisatiereserve I&A. Deze theoretische inventarisatie leidt tot de volgende mogelijkheden. In de laatste kolom is hieraan ons (voorlopige) dekkingsvoorstel toegevoegd.

EES Budget Agenda

E

l

G EE

Bedrag

Bedrag

_ Dekkings-

structureel

incidenteel

_ voorstel

Digitalisering (resterend) € 960.000)

€ 500.000

'Begroting automatisering * € 1.300.000]

€500.000

‘Saldo egalisatiereserve 18A + eenmalige gelden €240.000

€240.000

Storting in egalisatiereserve 8A € 228.000)

€ 228.000

Tijdelijke uitname uit risico-deel Algemene Reserve

(ten koste van de weerstandscapaciteit, gevolg: ratio = 0,76) Uitname uit vrij besteedbare deel Algemene Reserve

€5.119.000/

€ 1.242.000

€1.200.000

_ €1.200.000

PM

PM

Schadevergoeding van derden (uitkering claims)

[TOTAAL

€ 3.910.000

* N.B. Het jaarljkse budget voor automatiseringsuitgaven van € 1.300.000 wordt nagenoeg volledig ingezet ter dekking van doorlopende verplichtingen zoals licenties voor softwarepakketten. Voor onderdelen waarvoor dit mogelijk is dienen bestaande contracten (vroegtijdig) te worden beëindigd om dit budget vri te spelen. Dit dekkingsmiddel ís daarom niet zonder meer inzetbaar.

Schadeclaims

Zoals bij de raad bekend is, zijn wij sinds december 2020 in gesprek met (de advocaten van) onze ICT-leverancier. Inmiddels hebben wij in de vorm van aansprakelijkstelling juridische stappen ondernomen in de richting van deze ICT-leverancier. Aanleiding hiervoor vormen de uitkomsten van juridisch onderzoek. Uit dit onderzoek blijkt namelijk dat er voldoende basis is en voldoende aanknopingspunten zijn om te bewijzen dat de

leverancier wanprestatie heeft gepleegd en dus toerekenbaar tekort is geschoten in de nakoming van de contractuele verplichtingen. In reactie op onze aansprakelijkstelling jegens onze ICT-leverancier, is door de burgemeester een aansprakelijkstelling ontvangen van de ICT-leverancier. Deze stelt reputatieschade te lijden doordat de gemeente in de afgelopen periode openlijk heeft gecommuniceerd over de cyberaanval die ons heeft getroffen. Onze inspanningen zijn er primair op gericht om over het juridisch dossier in contact met de advocaat en verzekeraar van het betrokken bedrijf een minnelijke schikking te treffen met deze ICT-leverancier. Indien dit op een realistisch niveau haalbaar blijkt, dan zullen

de op deze wijze verkregen inkomsten in mindering worden gebracht op deze begroting. Voorziening instellen

Met onze accountant (geanonimiseerd) N is tijdens de auditcommissie op 18 februari 2021 oriënterend gesproken over de vraag of het gewenst of noodzakelijk is om in boekhoudkundig

opzicht over te gaan tot de vorming van een voorziening. In overleg met

flkomen (geanonimiseerd)

wij tot de volgende inzichten op dit punt.

Volgens de regels uit het Besluit begroting en verantwoording provincies en gemeenten (BBV) dient naar aanleiding van de cyberaanval een voorziening te worden ingesteld naar

de stand van 1 december 2020. Aangezien het incident zich in 2020 heeft voorgedaan, dienen alle lasten voor herstel, met uitzondering van de reguliere interne kosten en met uitzondering van de kosten die verband houden met (reguliere) vervanging van systemen, te worden gedekt uit een hiertoe door de raad in te stellen voorziening.

Concreet betekent dit dat de crisiskosten en een deel van de projectkosten ten laste dienen te worden gebracht van deze voorziening en in de te zijner tijd op te stellen jaarrekening 2020 tot uiting moeten komen. Vervangingsinvesteringen voor de aanschaf van nieuwe hardware en (eventueel) software dienen daarentegen te worden geactiveerd op basis van de te verwachten gebruiksduur. Voor uiteenlopende uitgaven, waaronder

inhuur geldt, dat in overleg met de accountant een verdeling dient te worden bepaald voor het aandeel dat ten laste moet komen van enerzijds de te treffen voorziening in de jaarrekening 2020 en anderzijds de jaarrekening 2021.

Na overleg met accountant (geanonimiseerd) e en de uitwerking die dit vraagt, wordt de verdere besluitvorming op een later moment geformaliseerd. De doorrekening en dekking worden meegenomen in de komende zomerbrief. De daadwerkelijke instelling en voeding van de voorziening is een onderdeel van de jaarrekening 2020. Risico’s

Er zijn verschillende risico's verbonden aan dit voorstel, die voornamelijk voortkomen uit de aannames en onzekerheden betreffende de werkelijke kosten van het programma de

Nieuwe werkelijkheid. Daar staat tegenover dat in de begroting nog geen rekening is gehouden met inkomsten die mogelijk voort kunnen komen uit de schadeverhaalacties. Deze zullen worden toegevoegd aan de voorziening, dan wel in mindering worden gebracht op de onttrekking aan de Algemene reserve zoals voorzien in het voorlopige dekkingsplan. Vervolg proces Zomerbrief

Dit raadsvoorstel tot vaststelling van de Begroting cyberaanval vormt een principebesluit in het kader van het budgetrecht van de raad. In de komende zomerbrief zullen wij de financiële verwerking hiervan plaats laten vinden. Daarbij zullen wij trachten inzicht te geven in de stelposten die nu nog opgenomen zijn in de begroting cyberaanval. Dit geldt

in ieder geval voor de stelpost voor de uitgaven die gedaan moeten worden om extra personele capaciteit in te zetten die verband houdt met de reconstructie van data binnen de verschillende afdelingen en met het (door de crisis) ontstane lagere niveau van efficiency in de huidige werkwijze bij verschillende dienstverleningsprocessen. Overleg met provincie Overijssel Wij hebben op 28 januari jl. bestuurlijk overleg gevoerd met de Commissaris van de Koning en de gedeputeerde Financiën. In vervolg daarop hebben Gedeputeerde Staten van de provincie ons met het oog op het financieel toezicht schriftelijk bericht, begrip te hebben voor de situatie waarin wij verkeren en ondersteuning te willen bieden bij de wederopbouw. Dat het onbekend is wanneer de gemeente in staat zal zijn de jaarstukken 2020 op te stellen zien zij als een (onvermijdelijk) gegeven. Dit is (vooralsnog) niet van

invloed op het financieel toezicht. Door de provincie Overijssel wordt een stuk ambtelijke ondersteuning geboden bij ons cluster financiën. Wij zijn hier erkentelijk voor en spreken de hoop uit de komende periode ook in andere opzichten op ondersteuning te kunnen rekenen. Overleg met ministerie van BZK Bij de minister van Binnenlandse zaken en koninkrijksrelaties hebben wij schriftelijk verzocht om uitstel van de wettelijke verplichtingen, zowel om de jaarstukken 2020 in te dienen als om diverse andere verantwoordingen te overleggen. Wij hebben bij brieven van 9 maart en 1 april 2021 een reactie op dit verzoek ontvangen. Samengevat komen deze erop neer, dat over sommige verantwoordingen afspraken kunnen worden gemaakt met BZK en CBS, maar dat er twee deadlines blijven bestaan.

Deadlines voor indiening verantwoordingen Ten eerste dient het ministerie van BZK uiterlijk op 15 augustus 2021 een brief van onze accountant te ontvangen over de controle op de specifieke uitkeringen en de ingevulde SISA-bijlage. Ten tweede dienen uiterlijk op 1 oktober de reeksen jaarcijfers voor de (zogeheten) Iv3 te worden aangeleverd en alle jaarstukken bij het CBS inclusief accountantscontrole.

Bestuurlijk overleg Wij zullen op basis van de ontwikkeling in de komende periode en in overleg met de accountant bezien of de hiervoor genoemde (uitgestelde) deadlines in praktijk voor ons haalbaar zijn. Daarover treden wij nog bestuurlijk in overleg met het ministerie van BZK. Daarbij zullen wij ook pleiten voor een financiële tegemoetkoming. Wij zijn er namelijk van overtuigd, dat het uitzonderlijke karakter van de cyberaanval en de desastreuze gevolgen die deze voor onze organisatie heeft gehad, hiertoe in redelijkheid aanleiding geven. Tot slot

Met de begroting cyberaanval leggen we een financiële basis voor het wederopbouw-

project “de Nieuwe werkelijkheid”, dat momenteel in volle gang is. Naast de vernieuwing van de technische ICT-infrastructuur geven we ook nieuwe impulsen aan onze bestuurlijke verantwoordelijkheid door het bestaande instrumentarium van sturing, controle en verantwoording aan te vullen en te verstevigen. Met de acties uit het Verbeterplan ICT-situatie borgen we dat de noodzakelijke acties binnen onze organisatie worden uitgevoerd. Ambtelijk en bestuurlijk vragen deze om inzet van ons allemaal; ieder vanuit onze eigen rol.

Burgemeester en wethouders van Hof van Twente, de secretaris,

(geanonimiseerd) n drs.

D.

Lacroix

de burggmeester,

(geanonimiseerd) . Nauta-van

Moorsel

MPM

Bijlagen: 1. Begroting cyberaanval behorend bij raadsvoorstel d.d. 20 april 2021 2. Notitie bestuurlijke verantwoording behorend bij Rapport van bevindingen ICT-situatie 3. Verbeterplan ICT-situatie