bestuurlijke reactie b_W op rekenkameronderzoek 'De perfecte storm'.pdf

De Rekenkamercommissie Hof van Twente De heer mr. G.H.A.M. Lohuis Postbus 54 7470 AB GOOR

Verzenddatum

Uw brief van

Uw kenmerk

Ons kenmerk

21 juni 2022

30 mei 2022

273935

286105

Bijlage(n)

Behandeld door Dennis Lacroix Onderwerp

Bestuurlijke wederhoor rekenkamerrapport ‘De perfecte storm’

Geachte Rekenkamercommissie, Op 30 mei 2022 hebben wij uw brief ontvangen waarin wij worden geïnformeerd over het concept-rekenkamerrapport ‘De perfecte storm’ over de informatiebeveiliging binnen Hof van Twente. Tevens worden wij in de gelegenheid gesteld uiterlijk 22 juni 2022 onze zienswijzen op het rapport te geven. Hiervan maken wij graag gebruik. Achtergrond Op 1 december 2020 werden wij slachtoffer van een grote cyberaanval. Onze systemen en data werden vernietigd of ontoegankelijk gemaakt. De impact van deze aanval was en is enorm en afgelopen jaar hebben we met ‘man en macht’ gewerkt om onze werkprocessen en ondersteunende systemen technisch en functioneel weer op orde te krijgen. Tevens is een nieuwe Visie op I&A ontwikkeld en vastgesteld door de gemeenteraad. Deze Visie wordt thans geïmplementeerd in de organisatie. Er is inmiddels veel gezegd en geschreven over de achtergronden en oorzaken van de cyberaanval. Het forensisch onderzoeksrapport van NFIR, de rapportage ‘Te goed van Vertrouwen?’ van Brenno de Winter en ons eigen Rapport van Bevindingen, inclusief bestuurlijke duiding, hebben in het voorjaar van 2021 geleid tot verschillende debatten in de gemeenteraad, waarbij bestuurlijk verantwoordelijkheid is genomen en excuses zijn aangeboden. Tevens zijn er talloze gesprekken gevoerd in het college en in de ambtelijke organisatie.

Er is een uitgebreid Verbeterplan opgesteld, waarin de aanbevelingen uit de eerder genoemde rapporten, langs de 3 sporen van Techniek, Organisatie en Mensen, een plek hebben gekregen. In de hiervoor in het leven geroepen ICT-audit commissie wordt een vertegenwoordiging van de raad periodiek geïnformeerd over de stand van zaken van de wederopbouw en de voortgang van het Verbeterplan. GOOR de Höfte 7, 7471 DK

Postbus 54, 7470 AB

info@hofvantwente.nl

www.hofvantwente.nl

0547-85 85 85

Zienswijzen Op verzoek van de gemeenteraad is de Rekenkamercommissie tevens een onderzoek gestart naar de informatiebeveiliging binnen Hof van Twente. Zoals hiervoor aangegeven is er reeds veel gezegd en geschreven over dit thema. Desondanks biedt het voorliggende concept-onderzoeksrapport en de hierin opgenomen conclusies een compact en totaaloverzicht van de context, achtergronden en oorzaken. Uw aanbevelingen en aansporingen zijn in lijn met de eerdere aanbevelingen en inzichten die reeds een plek hebben gekregen in het Verbeterplan. Op onderdelen biedt het rapport hierop waardevolle aanscherpingen en/of aanvullingen. Hiermee willen we u complimenteren. Het biedt het college en de ambtelijke organisatie, maar ongetwijfeld ook de gemeenteraad handvatten om onze informatiebeveiliging structureel op een hoger niveau te brengen en de aandacht voor dit belangrijke thema op alle niveaus te borgen. Betrokkenheid en rolneming Door de cyberaanval is duidelijk dat ICT, digitalisering en informatiebeveiliging op het hoogste niveau meer aandacht verdienen dan ooit daarvoor. Binnen de raad, het college en de ambtelijke organisatie moeten we dit beter borgen in structuren en processen. Tevens moeten we nadenken op welke wijze we de benodigde deskundigheid en sturingsinformatie kunnen ontwikkelen.

Gericht op de verschillende rollen en verantwoordelijkheden, niet alleen nu, maar ook in de toekomst. Want de aandacht voor dit onderwerp moet op alle niveaus worden vastgehouden. Het college is overtuigd van het belang hiervan. Samen met de gemeenteraad en samen met de ambtelijke organisatie is het college aan het werk om de verbeteringen door te voeren. ICT bedrijfsvoering Op initiatief van het college heeft de gemeenteraad op 5 oktober 2021 unaniem de Visie Regievoering I&A vastgesteld. Deze Visie geeft aan op welke wijze onze gemeente in de toekomst vorm en inhoud wil geven aan I&A en is in lijn met de aanbevelingen in uw rapport. Dit visiedocument biedt tevens de kaders voor de organisatie in het algemeen en nieuwe I&A regieorganisatie in het bijzonder. Hiervoor is inmiddels een organisatieplan opgesteld. Het plan is inmiddels vastgesteld door het college en is voorgelegd aan de diverse medezeggenschapsorganen. Wij streven ernaar voor het zomerreces te starten met de implementatie van het plan. Tegenspraak en audit Wij onderstrepen het belang van het organiseren van tegenspraak en het uitvoeren van risico-inventarisaties, o.a. door audits.

Bij de aansturing van het Programma De Nieuwe Werkelijkheid laten wij ons bijvoorbeeld adviseren door een onafhankelijke ICT deskundige en bij de decharge van het programma eisen wij een auditrapport waaruit blijkt dat de technische aanbevelingen uit het Verbeterplan ook feitelijk zijn voorbereid en geïmplementeerd. Deze manier van werken is naar onze mening een voorbeeld van onze nieuwe standaard. Een standaard waarin wij onszelf en onze collega’s door ‘checks-andbalances’, het organiseren van tegenspraak en de ontwikkeling van deskundigheid aan de bestuurs- en directietafel structureel scherp houden. Chief Information & Security Officer (CISO) In lijn met uw aansporing hebben we begin 2022 besloten om samen met een buurgemeente een full time CISO aan te trekken. De werving en selectie loopt momenteel. Tevens wordt de CISO voorzien van een eigen budget. Echter, ten aanzien van de positionering is voor ons niet duidelijk welk probleem precies wordt opgelost met uw voorstel om deze niet langer onder de concernstaf te positioneren, maar rechtstreeks onder de gemeentesecretaris. Wij voorzien dat dit tot een toename van de beheersrisico’s zou leiden. De huidige positionering is namelijk conform de adviezen van de IBD en borgt de onafhankelijkheid van deze rol in lijn met de landelijke denkbeelden hierover.

-2-

Wij zetten daarbij de lijn vanuit eerdere jaren voort en hebben periodieke overleggen met de portefeuillehouder en gemeentesecretaris georganiseerd, ditmaal inclusief dashboards. Van belang hierbij is dat de CISO de uitdrukkelijke bevoegdheid heeft om in voorkomende gevallen te escaleren naar de gemeentesecretaris als algemeen directeur, het college én de gemeenteraad. Dit biedt ons inziens voldoende waarborgen voor een adequate invulling. Feiten Tot slot vragen wij uw aandacht voor het feit dat een aantal tijdens de ambtelijke wederhoor ingebrachte zienswijzen niet is doorgevoerd. Dan gaat het bijvoorbeeld over het feit dat de gemeenteraad tijdens de officiële raadsvergadering van 14 december tijdens het agendapunt ‘Actieve informatieplicht college/terugkoppeling Gemeenschappelijke Regelingen’ door de portefeuillehouder is geïnformeerd over de LOG4Jkwetsbaarheden. Of het feit dat de in het verleden gemaakte keuze om de CISO geen apart budget te geven er nimmer toe heeft geleid dat voorstellen van de CISO niet zijn uitgevoerd.

Andere feitelijke onjuistheden zijn, dat de gemeente al vanaf 2017 (en dus niet pas vanaf 2020) met een eigen programma Informatieveiligheid werkt van waaruit acties en projecten rondom informatiebeveiliging worden gecoördineerd door de CISO, en dat de pentest uit 2020 niet de eerste was, omdat we ook in 2017 al een externe pentest hebben laten uitvoeren. Daarnaast constateren wij dat feiten en – politieke - meningen in een aantal gevallen door elkaar lopen in het voorliggende rapport. Zeker in een onderzoek naar een gevoelig onderwerp als informatiebeveiliging en een ingrijpende gebeurtenis als de cyberaanval vraagt dat naar onze mening meer aandacht. Slot Samenvattend constateert het college dat met dit gedegen Rekenkamerrapport een goede aanscherping van reeds gepubliceerde rapporten is gegeven. De opgenomen aanbevelingen en aansporingen betreffen de rollen en taken van alle gremia binnen de gemeente, de raad, het college en de organisatie en geven duidelijke richting aan alle actoren. In de voorliggende zienswijze geven wij nog een aantal concrete punten van aandacht mee. Wij zien uit naar een gesprek met de Commissie en de gemeenteraad over uw rapport.

Met vriendelijke groet, burgemeester en wethouders van Hof van Twente de secretaris, de burgemeester,

drs. D. Lacroix

drs. H.A.M. Nauta-van Moorsel MPM

-3-