2025-20 Raadsbrief Aanvullende informatie arrest hoger beroep (917192).pdf

Raadsbrief Onderwerp

Aanvullende informatie arrest hoger beroep

Zaaknummer

917192

Datum

8 april 2025

Portefeuillehouder

drs. H.A.M. Nauta-van Moorsel MPM en H.J. Scholten Directie

Team

Doel Ter informatie. Aanleiding Op 18 december 2024 en 8 januari 2025 hebben wij de fractievoorzitters en de raadscommissie Informatieveiligheid bijgepraat over het hoger beroep dat de gemeente instelde tegen het vonnis van de rechtbank Overijssel in de dagvaardingsprocedure tegen onze voormalige ICT-leverancier. Op 25 februari 2025 heeft het gerechtshof Arnhem-Leeuwarden uitspraak gedaan. In navolging van de bijeenkomst van 27 februari 2025 hebben wij u in de raadsbrief van 6 maart 2025 (kenmerk 886618) geïnformeerd over de achtergronden van het hoger beroep en de strekking van het arrest. Tijdens de vergadering van de raadscommissie Informatieveiligheid op 27 maart 2025 hebben de gemeentesecretaris, concerncontroller, manager Regiebureau I&A en CISO een duiding gegeven van het arrest specifiek gericht op informatieveiligheid en contract- en leveranciersmanagement. De raadscommissie heeft het college verzocht om, aanvullend op de hiervoor genoemde brief, een korte toelichting op de inhoudelijke en constructieve bespreking in de raadscommissie op te stellen. Deze treft u in deze aanvullende raadsbrief aan. Inhoudelijke boodschap Welke bestaande inzichten worden bevestigd in het arrest? Direct na de hack zijn in 2021 diverse rapporten verschenen over de achtergronden en oorzaken1. Tevens is een rekenkameronderzoek uitgevoerd 2.

Deze rapporten vormden de basis voor de verantwoording aan de raad. De verkregen inzichten en aanbevelingen hebben medio 2021 geleid tot het door de raad vastgestelde ‘Verbeterprogramma Hack’.

1 Het gaat om de volgende rapporten:

-

Rapportage ‘Incident response en forensisch onderzoek’ - projectnaam 20107-Orly van NFIR d.d. 8 maart 2021; Duidingsrapport met de titel ‘Te goed van vertrouwen?’ van De Winter Information Solutions d.d. 8 maart 2021; Rapport van Bevindingen en de hierin opgenomen conclusies en aanbevelingen van het College van B&W d.d. 9 maart 2021; Notitie Bestuurlijke verantwoording behorend bij ‘Rapport van Bevindingen’ van het College van B&W d.d. 21 april 2021; Addendum bij Notitie Bestuurlijke verantwoording d.d. 21 april 2021 van het College van B&W d.d. 20 mei 2021. 2 Rekenkamerrapport ‘Informatiebeveiliging’ van de Rekenkamercommissie Hof van Twente, 30 mei 2022.

In het Verbeterprogramma Hack zijn langs de lijnen van ‘Techniek’, ‘Organisatie’ en ‘Mensen’ diverse verbeterpunten opgenomen. Deze maatregelen hadden betrekking op verschillende kwetsbaarheden die ook in het voorliggende arrest terugkomen, zoals de netwerkbeveiliging, het wachtwoordbeleid, de back-ups, netwerksegmentatie, security monitoring & detectie en leveranciersmanagement. De raad en later ook de raadscommissie Informatieveiligheid zijn periodiek geïnformeerd over de voortgang van de uitvoering van het Verbeterprogramma. Dit geschiedde via halfjaarlijkse rapportages die ook gebruikt werden om de voortgang in de wederopbouw te verantwoorden naar de Autoriteit persoons (AP). Welke nieuwe/aangescherpte inzichten biedt het arrest? Het arrest biedt aanvullend op de hiervoor genoemde inzichten ook een aantal nieuwe dan wel aangescherpte inzichten. Deze inzichten hebben betrekking op de volgende thema’s: 1. Contracten, uitvoering & monitoring; 2. Inspanningsverplichting leveranciers; 3. GIBIT-voorwaarden. Het Hof stelt dat de gemeente verantwoordelijk is en blijft voor de inhoud en eisen in de contracten alsmede de uitvoering en monitoring van de gemaakte afspraken. Ook stelt het Hof dat de gemeente hiervoor moet beschikken over alle benodigde deskundigheid, beleidsmatig, technisch en juridisch (inkoop en aanbesteding).

Maar het arrest biedt ook duidelijkheid over het principiële inzicht dat op de leverancier van ICT-diensten geen zorgplicht maar uitsluitend een inspanningsverplichting rust. Zelfs niet wanneer er voor specifieke verplichtingen garanties zijn afgesproken. Een ander inzicht is dat contractuele verplichtingen altijd expliciet moeten worden vastgelegd op basis van aanbestedingsdocumenten, contracten en aanvullende schriftelijke afspraken. Verwijzingen naar toepasselijke algemene GIBIT-voorwaarden van de VNG (Gemeentelijke Inkoop bij IT Toolbox) en hierin opgenomen verwijzingen naar de BIO (Baseline Informatiebeveiliging Overheid) leiden er niet toe dat een leverancier hier rechtstreeks aan gebonden is. Hoe gaan we om met deze inzichten? Het arrest bevestigt duidelijk dat de gemeente gedurende de looptijd van een ICT-dienstverleningscontract actief een meer professionele opdrachtgeversrol moet vervullen. De eerdergenoemde onderzoeksrapporten uit 2021 wezen hier ook op. De professionalisering van het opdrachtgeverschap vormde daarom één van de actiepunten uit het Verbeterprogramma Hack. In oktober 2021 heeft uw raad de Visie regievoering I&A vastgesteld. Deze visie vormt de basis voor de inrichting van het Regiebureau I&A. Tevens is vorig jaar het nieuwe cluster Inkoop binnen het team Beleid & Advies van start gegaan.

Belangrijke doelstelling voor beide organisatie-onderdelen is de versterking en borging van de hiervoor genoemde deskundigheid. Daarnaast is een cultuurverandering ingezet. Afgelopen jaren hebben we op dit onderdeel grote stappen gezet. Dat neemt niet weg dat er steeds meer en hogere eisen worden gesteld aan de gemeente in de rol van opdrachtgever en contract- en leveranciersmanager. Het voorliggende arrest bevestigt dit. Tegen deze achtergrond is het van belang dat wij kritisch onze kwalitatieve en kwantitatieve inzet blijven monitoren. Bij de evaluatie van het Regiebureau die medio 2025 staat gepland zullen wij hier expliciet aandacht aan besteden. De raadscommissie Informatieveiligheid wordt hier actief bij betrokken en volgt de ontwikkeling van het Regiebureau op de voet. Daarnaast voeren wij, aanvullend op de wettelijk verplichte ENSIA audit, periodiek in- en externe audits uit. In 2023-2024 hebben wij in dat kader een omvangrijke externe audit laten uitvoeren naar onze ICT-infrastructuur en informatiebeveiliging door bureau JoanKnecht uit Eindhoven. De uitkomsten van deze toetsingen worden vervolgens weer planmatig geïmplementeerd. De raad is hier via de raadscommissie Informatieveiligheid enkele malen door de CISO over geïnformeerd. De rapportage van de CISO ligt voor de leden van de raadscommissie ter inzage bij de griffie.

2

Het arrest van het Hof onderstreept het belang van regelmatige externe toetsingen. In ons jaarprogramma Informatieveiligheid & privacy zullen wij periodiek externe onderzoeken zoals deze audit blijven opnemen. Deze manier van werken leidt tot een continue proces van planmatig verbeteren. Dit is essentieel om de ontwikkelingen op dit gebied bij te houden. Digitale weerbaarheid is groter dan ‘Hof van Twente’. In dat kader leidt het arrest tot de vraag in hoeverre wij als gemeente in de nabije toekomst in staat blijven onze digitale systemen adequaat en veilig te kunnen blijven inrichten en beheren. Dit geldt niet alleen voor Hof van Twente maar voor gemeenten in het algemeen. Langs de lijnen van kwaliteit, continuïteit en kosten denken we na over alternatieve modellen. Schaalvergroting door bijvoorbeeld gemeentelijke samenwerking maar ook fundamentele nieuwe vormen moeten worden verkend. Vanuit onze ervaringen en inzichten leveren wij een actieve bijdrage aan deze zoektocht op lokaal, regionaal én landelijk niveau. In gesprekken met verschillende ministeries, in VNG verband en regionaal zien wij dat er in toenemende mate aandacht is voor deze problematiek. Wij blijven ons hiervoor actief inzetten. Dat was namelijk ook een belangrijke reden om hoger beroep in te stellen. Welke kosten zijn gemaakt? De impact van de hack was groot, ook financieel.

De financiële gevolgen zijn verwerkt in een begroting cyberaanval met een totaalbedrag van € 4,2 mln., waarover in 2022 finale besluitvorming heeft plaatsgevonden. Hierin is tevens een post voor de juridische kosten van € 290.000 opgenomen. In de 2e Berap van 2023 is aanvullend budget opgenomen van € 205.000. Deze post is onder meer gebruikt voor de juridische afwikkeling van de overeenkomst met onze toenmalige ICT-leverancier. De kosten van de voorliggende juridische procedure maken hier onderdeel van uit. De kosten voor de advocaat bedragen in dit kader € 100.000. De totale juridische kosten komen op € 532.000. Als gevolg van het voorliggende arrest is sprake van een overschrijding van € 37.000, met name door de vergoeding van de proceskosten. Deze kosten worden meegenomen in de 1e Berap van 2025. Conclusie Met deze aanvullende raadsbrief hebben wij, in navolging van de bespreking in de raadscommissie van 27 maart 2025, geprobeerd de inzichten uit het arrest nader in perspectief te plaatsen. Tijdens de raadsvergadering van 22 april 2025 geven wij hierop graag een toelichting.

Burgemeester en wethouders van Hof van Twente, de secretaris, de burgemeester,

drs. D. Lacroix

drs. H.A.M. Nauta-van Moorsel MPM

3