Link naar AB vergadering van 27 februari 2023

continuïteit, in plaats van deskundigheid. Het is aan de organisatie zelf om de frequentie in beeld te brengen.

Tot slot wordt opgemerkt dat de uren van extern ingehuurde medewerkers buiten beschouwing gelaten zijn. RUD Zeeland kiest ervoor om deze verantwoordelijkheid bij de inhuur partij neer te leggen als vereiste bij de inkoop.

2.4

Verbeteracties

Voor de deskundigheidsgebieden waaraan RUD Zeeland nog niet voldoet, kan de organisatie

verbeteracties opstellen. Onderstaande input is vanuit de organisatie aan Libereaux geleverd:

3E Vergunningverlening milieu - Afval

Hier is één persoon op werkzaam. De organisatie is voornemens om hier een extra persoon voor op te leiden.

5C + 5E Toezicht & Handhaving milieu - Procesindustrie + Afval Hier is één persoon op werkzaam. De organisatie is voornemens om hier een extra persoon voor op te leiden.

10 Behandelen j'uridische aspecten afwijkingsbesluiten

Er voldoet nog geen medewerker aan dit deskundigheidsgebied. Er zijn nog geen verbeteracties

opgesteld.

27 Energie en duurzaamheid Eén persoon voldoet aan een gedeelte van de activiteiten binnen dit deskundigheidsgebied.

Momenteel worden activiteiten uitbesteed aan een extern bureau. De tweede helft van 2022 wordt een projectplan gepresenteerd om FTE aan te trekken gericht op dit deskundigheidsgebied.

2.5

Stand van zaken - aantal medewerkers in de 0-meting KC 2.2

Tot dusverre zijn 60 medewerkers volledig getoetst aan de Kwaliteitscriteria. Het VTH-dashboard

blijft dynamisch, hierin worden personeelsmutaties continu bijgehouden. Medewerkers die zich binnen het primaire proces bezighouden met zogeheten 'plustaken', zoals, vuurwerk, Ontgrondingenwet en APV, vallen niet onder één of meerdere deskundigheidsgebieden uit

de KC 2.2. Om die reden maken deze medewerkers geen onderdeel uit van de huidige nulmeting (2021). Dit geldt ook voor medewerkers die buiten het primaire proces vallen. Het gaat hier 9

bijvoorbeeld om coördinerende, beleidsmatige, administratieve en ondersteunende functies. Hoewel deze medewerkers niet onder de KC 2.2 vallen, krijgen zij wel de beschikking over een e-portfolio.

2.6

Opleidingsbehoeften

Op basis van de nulmeting is hieronder in een tabel weergegeven welke opleidingen zouden helpen

om medewerkers nog steviger ‘in het groen’ te tillen. Dit is geen voorwaarde, maar een advies. In het

onderstaande overzicht zijn opleidingen weergegeven die tijdens de nulmeting bij medewerkers getoetst zijn, daarbij aangegeven hoe vaak de opleiding al dan niet is gevolgd.

Binnen de Kwaliteitscriteria wordt onderscheid gemaakt tussen basis- en verdiepingscursussen en specialistische opleidingen. Bij de basiscursussen gaat het vaak om één- of tweedaagse cursussen die worden aangeboden door verschillende aanbieders. Voor deze basiscursussen kan een schatting

aangehouden van €800,00 aan kosten voor de opleiding en 12 uur aan tijdsinvestering. Voor de genoemde verdiepingscursussen en specialistische opleidingen varieert dit.

Zie het opleidingsoverzicht op de volgende pagina.

10

Getoetst

Aangetoond

Basiscursus Awb Basiscursus Omgevingsrecht

34 34

31 32

Niet aangetoond 3 2

Basiscursus Wet Natuurbescherming

32

18

14

Basiscursus Wet milieubeheer

52

46

6

Basiscursus Activiteitenbesluit Basiscursus (Afval)water Basiscursus Wro Basiscursus Bodem / NRB Basiscursus Energie Basiscursus Afval Basiscursus EV / Bevi / Revi Basiscursus Geluid Basiscursus PGS richtlijnen Basiscursus Administratief toezicht Basiscursus Bouwbesluit Basiscursus Erfgoedwet Basiscursus Woningwet Basiscursus Straf(proces)recht Basisopleiding voor BOA’s Permanente her- en bijscholing voor BOA’s Specialistische opleiding Bodem Specialistische opleiding Energieconsulent

23 23 30 23 23 23 23 23 23 11 14 10 10 6 10 10 4 1

22 18 21 19 18 19 16 19 21 10 6 2 3 4 10 10 4 0

1 5 9 4 5 4 7 4 2 1 8 8 7 2 0 0 0 1

Aanvullende opleiding

Bijbehorende deskundigheidsgebieden

Casemanagen, Vergunningverlening / T&H milieu, Juridisch, E&D Casemanagen, Vergunningverlening / T&H milieu, Juridisch, E&D Vergunningverlening / T&H Bouwen en RO, Juridische aspecten, Groen & ecologie (Wabo) Vergunningverlening / T&H Bouwen en RO, Vergunningverlening / T&H milieu, Juridische aspecten, Groen & ecologie (Wabo), E&D Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu, Juridisch, E&D, Geluid Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu Vergunningverlening milieu, T&H milieu T&H milieu Vergunningverlening milieu, Juridische aspecten, Brandveiligheid Juridische aspecten Juridische aspecten Juridische aspecten Handhaving BOA BOA Bodem, bouwstoffen, water, T&H Bodem Energie & Duurzaamheid

10

2.7

Slotconclusie resultaten 0-meting en voortgang

Aan de hand van Comply or Explain, laat RUD Zeeland zien te voldoen aan 23 van de 27 deskundigheidsgebieden.

Op basis van de analyse op de opleidingselementen kan samen met de afdeling HRM een uitvraag

gedaan worden naar de opleidingsmarkt. Omdat er nauwkeurig in beeld is gebracht wie wat nog moet doen, wordt hierop een efficiencyslag verwacht. Ook wordt er gekeken naar een mogelijke

samenwerking met de partners.

Het e-portfolio Ditkanik.nu wordt door de medewerkers bijgehouden; (nieuwe) bewijsstukken en

certificaten worden geüpload en gedeeld met de teammanager. Het vormt de basis voor

ontwikkeling. Ook de medewerkers die niet onder een deskundigheidsgebied van de Kwaliteitscriteria vallen kunnen hun e-portfolio bijhouden en aanvullen. Verder zal de VTH-monitor

onderhouden worden en mutaties doorgevoerd, zodat RUD Zeeland blijvend kan aantonen te

voldoen aan de Kwaliteitscriteria.

3. Ambitie en aanbevelingen De uitkomsten van deze nulmeting geven een positief beeld over de aanwezige deskundigheid binnen RUD Zeeland, afgezet tegen de vigerende VTH-Kwaliteitscriteria. Deze criteria vormen een

integraal onderdeel van de komende Omgevingswet. De rapportage kan RUD Zeeland gebruiken als verantwoording richting het bevoegd gezag en opdrachtgevers.

De organisatie heeft een beheerplan opgesteld om de gegevens ten opzichte van de Kwaliteitscriteria

te kunnen blijven borgen. Hiervoor werkt het nog aan organisatorische randvoorwaarden om de individuele ontwikkelmatrixen onder de aandacht te blijven houden. RUD Zeeland, september 2022

11

Notulen Algemeen Bestuur Datum Tijd Locatie Voorzitter Aanwezigen

05-12-2022 9:00 - 11:00 Abdij Middelburg de heer A.G. van der Maas C Bertijn, G.F.A. Depauw, N. van der Hoest, , A. van Leeuwen, C. Liefting, J. Louws, A. van der Maas, S. Mackintosh, M.L.P. Sijbers, A. Smit, B.L.L. van der Velde, A Witkam en

1

Opening De heer Van der Maas opent de vergadering en heet een ieder welkom. Mevrouw Veldhuizen en de heren Steketee en Van der Voorde zijn met kennisgeving afwezig. Een speciaal welkom voor mevrouw Michielsen. Zij volgt de heer Keller als lid van het dagelijks en algemeen bestuur namens waterschap Scheldestromen. Zij stelt zich kort voor.

2

Ingekomen stukken en mededelingen

2

Vertegenwoordiging vanuit AB n financië e commiss e RUD Zeelan De heer Van der Maas deelt mee dat het DB de heer Mackintosh heeft gevraagd zitting te nemen in de financiële commissie RUD Zeeland. Het AB stemt hiermee in.

2

Brief waterschap inzake deelna e RUD Zeelan Mevrouw Michielsen geeft een korte toelichting op het verzoek van het waterschap tot uittreding uit de GR RUD Zeeland. De heer Van der Maas spreekt de verwachting uit dat de prettige samenwerking in stand blijft. Mevrouw Sijbers vraagt of door de uittreding ook de stemverhouding wijzigt. De heer Van Leeuwen antwoordt dat GR RUD Zeeland daarop inderdaad aangepast moet worden. Tot eind 2023 blijft het waterschap lid van de GR RUD Zeeland. In die tussenliggende tijd wordt de GR RUD Zeeland aangepast en daarbij ook de wijzigingen vanuit de wet op de Gemeenschappelijke Regelingen meegenomen.

3

Vaststelling agenda Het AB stelt de agenda ongewijzigd vast.

4

Verslag incl. actielijst en besluitenlijst van het algemeen bestuur van 3 oktober 2022 Het AB stelt het verslag en de besluitenlijst ongewijzigd vast. De actie is besproken en wordt aangepast. De heer Van der Velde deelt mee dat de gemeenteraden geïnformeerd zijn over het onderzoek van TwijnstraGudde naar de robuustheid van de milieutaken. Voor de gemeenteraden worden Pagina 1

informatiebijeenkomsten georganiseerd. De heer Liefting informeert naar de stand van zaken van het plan van aanpak asbestcalamiteiten. antwoordt dat het advies van de ondernemingsraad wordt afgewacht. Daarna wordt het plan van aanpak doorgeleid naar het bestuur. 5

Normenkader 2022 .b.v. controle accountant aarrekening 2022 RUD Het AB stelt het Normenkader 2022 conform voorstel vast.

6

Voortgangsrapportage geeft op verzoek van de heer Van der Maas een korte toelichting op de voortgangsrapportage op het gebied van Toezicht en Handhaving. In 2022 is het aantal prioritaire dossiers opnieuw toegenomen. Tijdens inspecties worden meer overtredingen geconstateerd die leiden tot bestuursrechtelijke en strafrechtelijke aanpak en bezwaar en beroepsprocedures. Gemiddeld gezien neemt het aantal prioritaire dossiers jaarlijks met 20% toe. Dit is een zorgelijke ontwikkeling, want de capaciteit van Toezicht en Handhaving is daar niet op ingericht. De heer Liefting is benieuwd of de toename toe te rekenen is aan een bepaalde categorie bedrijven. Hij wil graag weten of hij als wethouder daarin iets kan betekenen om te voorkomen dat een dossier prioritair wordt. antwoordt dat het verschillende categorieën betreft, er kunnen geen specifieke sectoren of branches worden benoemd. Zodra geconstateerd wordt dat een dossier prioritair wordt, wordt ook het bevoegd gezag daarvan op de hoogte gesteld. voegt hieraan toe dat een bestuurlijk gesprek met de directie van het bedrijf van toegevoegde waarde kan zijn. De RUD kan daarbij ondersteuning bieden. De heer Mackintosh vindt een jaarlijkse stijging van 20% iets structureel. Dat vraagt om het anders te organiseren. beaamt dit. In de DVO jaargesprekken zijn de deelnemers gevraagd tijd hiervoor te reserveren.

Het is echter nog niet structureel opgenomen in de DVOþÿs. De heer Van Leeuwen voegt hieraan toe dat elke Omgevingsdienst hier mee te maken heeft. In het rapport van commissie Van Aartsen wordt o.a. om deze reden aandacht gevraagd voor een robuuste Omgevingsdienst die in staat is om dit soort dossiers op te pakken. RUD Zeeland wil dit bij voorkeur borgen in de begroting. De heer Van der Maas stelt voor dit verder te bespreken bij de behandeling van de toekomstvisie begin volgend jaar. Mevrouw Sijbers merkt op dat het aantal prioritaire dossiers is toegenomen, maar dat er een achterstand is in het aantal periodieke controles. Hoe verhoudt zich de 7 begrotingswijziging daarmee en hoe kan zij dit verklaren aan de raad? Substantieel minder controles betekent uiteindelijk budgetverhoging en daarover wil zij haar raad tijdig informeren. De heer Van der Maas antwoordt dat voor nieuwe plannen de raden geconsulteerd worden. De RUD heeft echter meer nodig dan de deelnemers nu beschikbaar hebben voor de RUD. voegt hieraan toe dat de deelnemers maandelijks een rapportage ontvangen. Deze kan gebruikt worden om de raad te informeren. Mevrouw Sijbers vindt dat niet Pagina 2

gewenst, want dan ontbreekt de bestuurlijke visie. De heer Van der Maas zegt dat het niet mogelijk is maandelijks met het AB de rapportages te bespreken en daaruit een visie te verwoorden. Wat hem betreft kunnen de maandelijkse rapportages daarvoor dienen. De heer Louws vraagt waarom aan de begrotingswijziging geen dekkingsvoorstel is toegevoegd. De heer Van Leeuwen antwoordt dat dit een voortgangsrapportage is. In de jaarrapportage wordt een voorstel gedaan hoe de RUD met tekorten dan wel overschotten wil omgaan. voegt hieraan toe dat de RUD stuurt op de uitgaven. Als dit niet leidt tot een overschrijding bij gemeenten, dan is het niet nodig de begrotingswijziging voor zienswijze aan te bieden aan de raden (het AB besloot hier eerder toe). Bijvoorbeeld van de € 10 miljoen kan € 9 miljoen gefactureerd worden. Het verschil is verdisconteerd in de begroting van de gemeenten en komt er niet extra bovenop. De heer Liefting wil dit graag bespreken, want als deelnemer krijg je minder dan wat gevraagd is. De heer Van der Maas stelt voor deze inhoudelijke discussie uit te stellen tot de behandeling van de jaarrekening en de nieuwe voorstellen van de RUD af te wachten. Het tekort is door een aantal zaken veroorzaakt (zie ook pagina 10 van de rapportage). Een aantal nieuwe medewerkers is gestart, deze worden intensief begeleid door medewerkers (ca € 600.000).

Nieuwe medewerkers zijn dus niet direct productief en zittende medewerkers zijn niet volledig productief omdat ze hun nieuwe collegaþÿs begeleiden. Daarnaast heeft de afdeling TH een hoog ziekteverzuim (ca € 100.000). In de COVID-19 periode is relatief weinig verlof opgenomen. In 2022 lijkt dit te zijn gecompenseerd. geeft een korte toelichting op de prestaties van de afdeling Vergunningverlening. Deze afdeling werkt vraaggestuurd en is daarmee niet vergelijkbaar met de afdeling TH. Ook zij heeft een aantal nieuwe medewerkers aangenomen die opgeleid moeten worden. Er is hard gewerkt aan het actualisatie van vergunningen. De heer Van der Hoest vraagt of er mogelijkheden zijn om de structurele toename van de prioritaire dossiers te beperken aan de voorkant. antwoordt dat een groot deel veroorzaakt wordt door overtredingen die niet op tijd ongedaan gemaakt zijn of dat er sprake is van nalatigheid dan wel opzet. Dit leidt in de meeste gevallen tot een strafrecht- of bestuursrechtdossier en dat kost veel tijd. In de toekomst wil de RUD preventief de bedrijven aanschrijven, maar daar heeft de organisatie nu geen capaciteit voor. De heer Van der Maas merkt op dat dit onderdeel betrokken kan worden in de bespreking van de toekomstvisie. In zijn algemeenheid is opzet moeilijk te voorkomen.

De heer Van der Velde voegt hieraan toe dat hij als bestuurder regelmatig in gesprek gaat met zoþÿn bedrijf. Dergelijke gesprekken hebben echt resultaat. Mevrouw Sijbers wil graag weten of inzichtelijk is in hoeveel gevallen sprake is van opzet of vermoedens. Als het gaat om opzet dan is communicatie niet voldoende, maar dan is het stellen van een voorbeeld wellicht een goed alternatief. Zij verwijst naar de mestfraude in Noord-Brabant. Door hierin een voorbeeld te stellen, heeft het effect gehad op het naleefgedrag van andere bedrijven in die branche. Toegezegd wordt dat in de volgende AB vergadering Pagina 3

een presentatie hierover wordt gegeven. De heer Depauw vraagt of risicogericht toezicht kan leiden tot verschuiving in taken waardoor er meer productie geleverd kan worden. Hij merkt op dat de bedrijvenlijst van Hulst niet actueel is. antwoordt dat zij met actualisatie van vergunningen niet de bedrijvenlijst bedoelde, maar het aantal bedrijven waarvan de vergunning op actualiteit is beoordeeld. De heer Van Leeuwen merkt op dat het de wens van de RUD is om de data beter te kunnen analyseren en deze data effectief te gebruiken. Risicogestuurd handhaven is ook een van de aanbevelingen uit het rapport van Van Aartsen. Hij vraagt de heer Depauw wijzigingen in het bedrijvenbestand actief te laten communiceren met de medewerkers van de RUD. De heer Van der Velde is benieuwd wanneer het rapport van de Kwaliteitscriteria 2.2. beschikbaar wordt gesteld. De heer Van Leeuwen antwoordt dat deze rapportage geagendeerd wordt voor het DB van februari 2023. De heer Van der Velde is benieuwd of de RUD een beeld heeft van de risicoþÿs op gebied van milieu, juridisch en financieel die de deelnemers lopen. De heer Van Leeuwen antwoordt dat dit wordt verantwoord in de jaarrekening 2022. Het AB neemt de voortgangsrapportage voor kennisgeving aan. 7

PDC 2022 en Omgevingswet Het AB besluit de vastgestelde PDC 2022 te gaan gebruiken vanaf het moment dat de Omgevingswet van kracht wordt.

8

DVO processchema 2024 Het AB heeft het processchema DVO / Jaarplan 2024 ter kennisname aangenomen.

9

Rondvraag De heer Van der Velde deelt mee dat het BOOR op 17 november een positief besluit heeft genomen over de verdere uitwerking van het onderzoek van TwijnstraGudde naar de robuustheid van de uitvoering van de milieutaken. Onder andere is gesproken over de financiering van de RUD en de plustaken i.r.t. de wettelijke taken. De vervolgstap is een voorstel aan het AB van RUD Zeeland. Uiteraard heeft dit gevolgen voor de financiering van de RUD. Hij heeft de staatssecretaris dringend gevraagd eerste duidelijkheid te geven over de financiering van de Omgevingdiensten. Pas als die duidelijkheid er is, kunnen we mogelijk meer ontspannen besluiten nemen over het milieu. De heer Van der Maas merkt op dat als het rijk niet mee wil financieren, de deelnemers van RUD Zeeland een gezamenlijk probleem hebben en dat we gezamenlijk de verantwoordelijkheid moeten nemen. Mevrouw Sijbers zegt dat als het rijk meer taken neerlegt bij gemeenten, dit vergezeld moet worden met de benodigde financiën. Het zou jammer zijn als keuzes alleen vanuit financieel oogpunt genomen worden. Zij verwijst ook naar de nieuwe wet op de Gemeenschappelijke Regelingen en het rapport van de VZG over de vernieuwde werkwijze met GR-en. Daarin zijn duidelijke kaders Pagina 4

aangegeven dat de bestuurlijke drukte beperkt moet worden en dat de raadpleging van de volksvertegenwoordiging ingesteld kan worden. De heer Van der Maas deelt mee dat gesprekken over de vorming van een raadscommissie gaande zijn. Hij heeft er goede hoop op dat daar een goede invulling aan gegeven kan worden en dat dit het draagvlak bij de raden ten aanzien van de RUD zeker kan vergroten. De heer Van der Velde deelt mee dat de financiering belangrijk is, maar hoopt dat de aandacht gevestigd blijft op het milieu. Voorkomen moet worden dat de financiën leidend worden. Hij vraagt de RUD de zaken in de begrotingswijziging meerjarig in beeld te brengen. Hij is verder benieuwd naar het voorstel generieke kosten. De heer Van Leeuwen antwoordt dat dit voorstel begin volgend jaar geagendeerd wordt. De heer Liefting wil het verschil kunnen uitleggen dat enerzijds meer uren zijn besteed aan prioritaire dossiers en anderzijds de reguliere controles niet behaald zijn. Deze onderbouwing heeft hij nodig om het uit te kunnen leggen aan de raad. 10

Sluiting De heer Van der Maas geeft een korte terugblik op het afgelopen jaar. Hij hoop de komende tijd samen te blijven werken om de RUD robuust en gezond te houden. Dat heeft gevolgen voor de financiën. Die discussie wil hij volgend jaar graag voeren in het DB. Hij wenst de AB leden en aanwezigen fijne dagen toe en sluit de vergadering.

Pagina 5

Besluitenlijst Algemeen Bestuur Datum Tijd Locatie Voorzitter Aanwezigen

05-12-2022 9:00 - 11:00 Abdij Middelburg de heer A.G. van der Maas C. Bertijn, G.F.A. Depauw, N. van der Hoest, , A. van Leeuwen, C. Liefting, J. Louws, A. van der Maas, S. Mackintosh, M.L.P. Sijbers, A. Smit, B.L.L. van der Velde, A Witkam en

1

Opening

2

ngekomen stukken en mededelingen

2

Vertegenwoordiging vanuit AB in financ ële commissie RUD Zeeland De heer Van der Maas deelt mee dat het DB de heer Mackintosh heeft gevraagd zitting te nemen in de financiële commissie RUD Zeeland. Het AB stemt hier mee in.

2

Brief waterschap nzake deelname RUD Zeeland De brief van het waterschap neemt het AB voor kennisgeving aan.

3

Vaststelling agenda Het AB stelt de agenda ongewijzigd vast.

4

Verslag incl. actielijst en besluitenlijst van het algemeen bestuur van 3 oktober 2022 Het AB stelt het verslag en de besluitenlijst ongewijzigd vast. De actielijst is besproken en wordt aangepast.

5

Normenkader 2022 t.b.v. controle accountant jaarrekening 2022 RUD Het AB stelt het Normenkader 2022 conform voorstel vast.

6

Voortgangsrapportage Het AB neemt de voortgangsrapportage voor kennisgeving aan.

7

PDC 2022 en Omgevingswet Het AB besluit de vastgestelde PDC 2022 te gaan gebruiken vanaf het moment dat de Omgevingswet van kracht wordt.

8

DVO processchema 2024 Het AB heeft het processchema DVO / Jaarplan 2024 ter kennisname aangenomen.

Pagina 1

9

Rondvraag

10

Sluiting

Pagina 2

9 februari 2023 11:35

Actiepuntenlijst Algemeen Bestuur 5 december 2022 Agendapunt

Verantwoordelijken

Deadline

Status

2.a Vertegenwoordiging vanuit AB in financiële commissie RUD Zeeland 272.

Vertegenwoordiging AB in financiële commissie

• Leeuwen, Anton van • Maas, A. van der

01-12-2022

I Afgehandeld

23-05-2023

Openstaand

Toelichting actiepunt De vacature voor zitting in de financiële commissie wordt door de voorzitter besproken met de directie.

2.c Brief waterschap inzake deelname RUD Zeeland 273.

wijziging GR RUD Zeeland

Toelichting actiepunt De uittreding van het waterschap betekent dat de samenstelling van het DB wijzigt. De Gemeenschappelijke Regeling en het reglement moeten hierop aangepast worden. De uittreding heeft ook gevolgen voor de stemverhouding. In goed overleg tussen waterschap en RUD Zeeland wordt een liquidatieplan voorbereid. Dit plan wordt ter besluitvorming aan het AB bestuur voorgelegd en formeel voor zienswijze aangeboden aan de raden en Provinciale Staten.

274.

vertegenwoordiging waterschap in GR RUD Zeeland

•

Maas, A. van der

28-11-2022

1

Afgehandeld

Toelichting actiepunt Het DB-lid namens het waterschap heeft onlangs zijn functie bij het waterschap neergelegd. Het DB hecht er waarde aan dat het waterschap een vervanger aanwijst. Besluiten die het komende jaar genomen worden, gaan alle deelnemers aan, dus ook het waterschap. De heer Van der Maas bespreekt dit met de dijkgraaf van het waterschap.

9 februari 2023 11:35 9 Rondvraag

307.

Inzichtelijk maken generieke kosten

•

23-12-2022

1 Afgehandeld

Toelichting actiepunt Voorstel generieke kosten 2023 graag z.s.m. agenderen.

Pagina 2

Algemeen Bestuur Dossiernummer

197

Vertrouwelijk

Nee

Vergaderdatum

27 februari 2023

Agendapunt

5

Titel

Voortgang medewerkertevredenheidsonderzoek

Organisatieonderdeel

Staf

Eigenaar

Bijlagen DB AB voorstel voortgang MTO 6 feb 2023.docx

Memo DB AB voortgang MTO 6 feb 2023.docx

Geagendeerd

Vergaderdatum

MT

18 januari 2023

Dagelijks Bestuur

6 februari 2023

Algemeen Bestuur

27 februari 2023

Toelichting In het laatste bestuurlijk overleg met de provincie is gevraagd naar de samenvatting MTO. In voorgestelde memo staat een samenvatting voor het DB en AB over wat we reeds gedaan

hebben nav het MTO. Voorgesteld besluit

DB / AB voorstel

: Voortgang medewerkertevredenheidsonderzoek

Agendapunt: IZISnummer:

Terneuzen, 6 februari 2023 Opsteller :

Portefeuillehouder MT: Staf

Aan het DB van RUD Zeeland, 1.

Gevraagde beslissing / besluit Kennis te nemen van de Memo MT DB AB voortgang MTO 6 februari 2023 Deze memo na het kennisnemen aan het algemeen bestuur aan te bieden.

Bijlage: - Memo MT DB AB voortgang MTO 6 ebruar 2023 2.

Effect van het besluit Middels bijgevoegde memo wordt het bestuur op de hoogte gebracht van de voortgang van de acties welke lopen naar aanleiding van het medewerkertevredenheidsonderzoek. Omwille van de afspraken met de medewerkers en de gedetailleerdheid wordt de samenvatting niet verder verspreid.

3. Samenvatting In het laatste bestuurlijk overleg met de provincie is gevraagd naar de samenvatting MTO.

Door het uitvoeren van het MTO is inzicht gekregen in de tevredenheid van de medewerkers over het werken bij RUD Zeeland. Om een nog hogere tevredenheid te bereiken zijn n.a.v. de geconstateerde verbeterpunten diverse acties opgepakt. De memo geeft een samenvatting van het tijdspad en de actuele stand van zaken. 4.

Uitvoering en communicatie a. Aanpak In de memo wordt een samenvatting gegeven van de voortgang van de acties welke naar aanleiding van het onderzoek zijn opgestart. b. Planning De memo kan na kennisneming geagendeerd worden voor het AB van 27 februari 2023. c. Communicatie Het betreft een memo gericht aan het DB en AB. De OR is eveneens op de hoogte gebracht van deze memo.

5.

Risico's, kosten, baten en dekking (restant budget) a. Risico's Wanneer het bestuur niet op de hoogte wordt gebracht, zijn zij niet op de hoogte van wat er wordt ondernomen n.a.v. het MTO.

b. Organisatorisch (wat betekent dit voor de organisatie) -

c.

Juridisch -

d.

Financiën -

e.

Indicatie urenbesteding -

f.

Overige consequenties

M MO Voortgang medewerkertevredenheidsonderzoek

Van : Aan : Datum :

Dage ijks bestuur RUD Zeeland 6 ebruari 2023

Onderwerp :

Voortgang medewerkertevredenheidsonderzoek

Naar aanleiding van het medewerkertevredenheidsonderzoek heeft het MT een plan van aanpak vastgesteld met daarin oplosrichtingen. Hieronder volgt een opsomming van welke zaken sindsdien opgestart zijn en wat er nog op de planning staat. Even ter herinnering. Wat was ook weer de uitkomst, oftewel wat vond 96% ook weer? De verbeterpunten waren: + Samenwerking en omgang met de deelnemers + Communicatie + Visie en doelen + Werkdruk In september 2021 heeft het dagelijks bestuur een presentatie gehad over de uitkomsten van het onderzoek. Daarna is in februari 2022 een memo besproken in het dagelijks bestuur die deze memo in

maart aan het algemeen bestuur heeft aangeboden. Het algemeen bestuur heeft kennis genomen van de memo. In november 2022 is door het MT een vervolg plan van aanpak vastgesteld met daarin de verdere concretisering van de oplosrichtingen.

Wat is er reeds concreet gebeurd? Op basis van de uitkomsten en speerpunten van het MTO zijn er gerichte acties ondernomen. Inmiddels is er een relatiebeheerder werkzaam welke zich bezighoudt met sec de contacten met de provincie. De ervaringen welke hiermee worden opgedaan kunnen ook gebruikt worden voor verdere intensivering van de samenwerking met de gemeenten. Het MT gaat periodiek langs bij de deelnemers om daar fysiek overleg te houden. Tevens wordt dan ruimte ingepland om zonder agenda in gesprek te gaan met de betreffende deelnemer. De eerste ervaringen hiermee zijn positief. Het bestuur scoorde matig ten aanzien van sturing van de organisatie. Dit behoeft nog nadere uitwerking. In januari 2022 zijn we gestart met een maandelijks verzenden van een interne nieuwsbrief. Hierin worden zowel interessante werk gerelateerde onderwerpen opgenomen als ook wat luchtigere zaken zoals hobbyþÿs van collegaþÿs. De toekomstvisie is in november 2022 intern uitgebreid besproken met daarbij de mogelijkheid voor de medewerkers tot inspraak. We hopen hier mee te bereiken dat men daadwerkelijk ook het gevoel heeft dat men concreet mee kan denken over onze toekomst. Ook wordt wekelijks per e-mail teruggekoppeld wat er besloten en besproken is in het MT. Daarnaast zijn en worden de vastgestelde doelstellingen per team gepresenteerd door de kwaliteitsmedewerker.

Met deze acties worden de visie en doelen meer duidelijk dan voorheen.

De ervaren werkdruk gaat specifiek verder in kaart worden gebracht. Er wordt gekeken of er meer ruimte kan worden gevonden in de huidige planningen. Dit in samenhang met de Risico Inventarisatie &

Evaluatie (RI&E). Bijvoorbeeld meer tijd reserveren voor ad hoc zaken of processen slimmer inrichten. Door Berenschot is een onderzoek uitgevoerd naar inrichting van de organisatie. De aanbevelingen hieruit hebben ook raakvlakken met de ervaren werkdruk en bieden een aantal oplosrichtingen. De taakverdeling tussen de afdelingshoofden en teamaccounthouders wordt bijvoorbeeld opnieuw bekeken.

Tot slot is communicatie een veel voorkomend onderwerp in medewerkertevredenheidsonderzoeken, zo ook bij ons. In een interne nieuwsbrief zijn de afspraken over agendabeheer, terugbellen, ccadresseren, enzovoorts nogmaals onder de aandacht gebracht. Hiermee zijn de afspraken weer opgefrist en wordt zowel de interne als de externe communicatie verbeterd. Met het uitvoeren van bovenstaande acties wordt hard gewerkt aan het verhogen van de tevredenheid van de medewerkers.

Ondernemingsraad Naast bovenstaande acties is de OR ook bezig met de uitkomsten van het MTO. Zij hebben bij elke team informatie opgehaald en zijn daarmee aan de slag gegaan. Dit volgt uiteraard een separaat en onafhankelijk spoor.

Algemeen Bestuur Dossiernummer

198

Vertrouwelijk

Nee

Vergaderdatum

27 februari 2023

Agendapunt

6

Titel

Onderzoek cyberveiligheid bij RUD Zeeland in opdracht van rekenkamer Zeeland

Organisatieonderdeel

Staf

Eigenaar

Bijlagen

Voorstel 23 feb 2023 onderzoek naar cyberveiligheid door rekenkamer.docx Brief AB RUD Zeeland start onderzoek cyberveiligheid.pdf

Startnotitie cyberveiligheid 3.pdf Geagendeerd

Vergaderdatum

MT

18 januari 2023

Dagelijks Bestuur

6 februari 2023

Algemeen Bestuur

27 februari 2023

Toelichting In opdracht van de rekenkamer gaat een ethical hacker in februari 2023 proberen in te

breken bij RUD Zeeland. Voorgesteld besluit

Kennis te nemen van het onderzoek cyberveiligheid door de rekenkamer Zeeland

Voorstel AB : Onderzoek cyberveiligheid bij RUD Zeeland in opdracht rekenkamer Zeeland

Agendapunt: IZISnummer: Portefeuillehouder MT: Afd. hfd. S af OR kwestie: DB / AB voorstel: AB

Terneuzen, 27 ebruari 2023 Opste ler :

Aan het AB van RUD Zeeland, 1.

Gevraagde beslissing / besluit Kennis te nemen van het onderzoek cyberveiligheid door de rekenkamer Zeeland

Bijlagen: - Br ef aan algemeen bestuur RUD Zeeland, start onderzoek cyberveiligheid Startnotitie cyberveiligheid 3 2.

Effect van het besluit Het bestuur wordt op de hoogte gebracht van het onderzoek.

Het onderzoek van de rekenkamer brengt onder andere verkennend in beeld in welke mate de RUD Zeeland werkt conform de BIO (Baseline Informatiebeveiliging Overheid) 3. Argumenten of Overwegingen De rekenkamer Zeeland is gestart met een onderzoek naar cyberveiligheid van het door de

provincie Zeeland gevoerde bestuur. Cybe veiligheid is het streven naar het voorkomen van schade door verstoring, uitval of misbruik van ICT en, indien er toch schade is ontstaan, het herstellen hiervan. Een onderdeel van dit onderzoek gaat over de veiligheid van provinciale informatie die door de

RUD Zeeland in beheer is.

4.

Uitvoering en communicatie a.Aanpak Zie bijlagen. Pentest is een afkorting van ' penetration testing Bij een pentest kruipen onderzoekers in de huid van een hacker. Ze proberen op allerlei manieren en met alle mogelijke middelen toegang te krijgen tot de geteste IT-omgeving. Op die manier leggen ze zwakke plekken bloot van een website, applicatie of de gehele IT-infrastructuur. De test wordt uitgevoerd onder toeziend oog van gemeente Terneuzen en kwaliteitsmedewerker van RUD Zeeland. Een geheimhoudingsovereenkomst en een vrijwaringsovereenkomst zijn door de betrokken partijen ondertekend.

Kon document Brief AB RUD Zeeland start onderzoek cyberveiligheid.pdf niet opnemen in de bundel

b.

Planning De pentest vindt medio februari 2023 op kantoor in Terneuzen plaats. De CISO van Gemeente Terneuzen is deze dag ook aanwezig. c. Communicatie In de bijgevoegde startnotitie staat in hoofdstuk 10 beschreven hoe en wanneer er wordt gecommuniceerd. Het bestuur van de rekenkamer stelt uiteindelijk een persbericht vast wat verstuurd wordt aan de reguliere perscontacten. De woordvoering over het onderzoek wordt uitgevoerd door de voorzitter van de Rekenkamer. d. Interne communicatie (deze tekst wordt opgenomen in de terugkoppeling naar de collega's). De rekenkamer Zeeland is gestart met een onderzoek naar cyberveiligheid van het door de Provincie Zeeland gevoerde bestuur. Een onderdeel van dit onderzoek gaat over de veiligheid van provinciale informatie die door de RUD Zeeland in beheer is. In februari 2023 zal een zogenaamde pentest worden uitgevoerd door een 'ethical hacker'. De medewerkers zullen daar vrijwel niets van merken. e. Route en planning verdere besluitvorming: OR, Deelnemersoverleg, begeleidingscommissie, DB, AB De stukken worden aangeboden aan het DB en AB.

5.

Risico's, kosten, baten en dekking (restant budget) a. Risico's: (kosten-baten) Er zijn geen risico's te verwachten. b. Organisatorisch (wat betekent dit voor de organisatie) -

c.

Juridisch -

d.

Financiën Er zijn geen directe financiële gevolgen. Mogelijk zijn er naar aanleiding van de uitkomst van het onderzoek wel financiële gevolgen. Indicatie urenbesteding De pentest wordt in 1 dag uitgevoerd door een ethical hacker. Hij wordt deze dag begeleid door de kwaliteitsmedewerker en CISO van gemeente Terneuzen. Overige consequenties

e.

f.

REKENKAMER ZEELAND

Startnotitie Onderzoek

Better safe than sorry! Onderzoek naar decyberveiligheidvan provinciale diensten

en gegevensopslag

Versie

status

t.b.v.

Datum

Versie 3 - definitief

0.1

concept

Bespreken rekenkamerbestuur

15/07/2022

29 november 2022

0.8

concept

Afstemmen portefeuillehouder

7/09/2022

0.9

concept

Afstemmen rekenkamerbestuur

8/09/2022

1

concept

Afstemmen GS-organisatie

15/09/2022

2

concept

Klankborden met Programmaraad

4/11/2022

3

definitief

Definitieve versie vaststellen door bestuur Rekenkamer

25/11/2022

Toesturen Gedeputeerde Staten en Provinciale Staten

REKENKAMER ZEELAND

Colofon De rekenkamer Zeeland voert onafhankelijk onderzoek uit naar de doeltreffendheid, doelmatigheid en rechtmatigheid van het door de Provincie Zeeland gevoerde beleid. Daarmee versterkt de rekenkamer de kaderstellende en controlerende rol van Provinciale Staten. Het vergt voor Provinciale Staten veel tijd en deskundigheid om (beleids)onderzoek uit te voeren. Daarom ondersteunt de rekenkamer hier­ bij met als doel om de rol van Provinciale Staten binnen het dualisme op Provinciaal niveau te verster­ ken. De rekenkamer Zeeland is een onafhankelijk instituut en bestaat uit een bestuur, een ambtelijk secretaris en medewerkers. De bestuursleden van de rekenkamer Zeeland zijn: mevrouw mr. G.A.A. van Rijswijk - van Mook, de heer drs. H.J.W. Verdellen en mevrouw T. Groenendijk-de Vos MA. Portefeuillehouder van het onder­ zoek naar cyberveiligheid is de heer drs. H.J.W. Verdellen.

Deze startnotitie is geschreven door een onderzoeksteam bestaande uit: de heer ing. M.L.M. Dobbelaer MSc (projectleider) en de heer drs. A. Maas (secretaris rekenkamer Zeeland).

REKENKAMER ZEELAND Inhoudsopgave

1.

Inleiding

2.

Waarom dit onderzoek?4

3.

Doelstelling

4

4.

Focus en reikwijdte

4

5.

Vraagstelling

6

5.

Onderzoeksmethode

8

6.

Normenkader

8

7. Opzet eindrapportage

11

8. Organisatie

11

9. Planning

12

10. Communicatie

12

11. Slotopmerking

13

4

REKENKAMER ZEELAND 1. Inleiding In het onderzoeksprogramma 2022 van de rekenkamer Zeeland is het voornemen opgenomen om een onderzoek te doen naar cyberveiligheid. In deze startnotitie is dit voornemen uitgewerkt tot een plan van aanpak. We bedoelen met cyberveiligheid het volgende. Definitie cyberveiligheid

Cyberveiligheid is het streven naar het voorkomen van schade door verstoring, uitval of misbruik van ICT en, indien er toch schade is ontstaan, het herstellen hiervan.1

2. Waarom dit onderzoek? Provinciale Staten zijn als kadersteller en controleur van het dagelijks bestuur medeverantwoordelijk voor een goede en stabiele dienstverlening en gegevensbescherming. Een cyberaanval brengt de con­ tinuïteit van de werkzaamheden van de Provincie Zeeland en het geheim houden van gegevens in ge­ vaar. Goed cyberveiligheidsbeleid is daarom cruciaal in deze tijd waarin cyberaanvallen helaas veel voorkomen en dat blijft actueel. Digitale processen vormen het zenuwstelsel van het Provinciaal be­ stuur, haar dienstverlening en opslag van gegevens in het kader daarvan. In de corona pandemie nam het digitaal werken sterk toe en dat effect is deels blijvend, ook nu de pandemie wat minder op de voorgrond staat. Bovendien is de cyberdreiging vanwege geopolitieke spanningen opgelopen. Recent werd bijvoorbeeld nog de Vlissingse woningcorporatie L’Escaut gehackt door een criminele organisatie met Russische banden.2 In het cyberveiligheidswerkveld is het over het algemeen niet de vraag óf je kwetsbaar bent, maar wanneer je geraakt wordt door een aanval. Adequaat cyberveiligheidsbeleid richt zich zowel op crisis­ management als er een aanval is geweest (warme kant) als weerbaarheidsmaatregelen om voldoende weerbaar te zijn tegen een aanval (koude kant).

3. Doelstelling Met dit onderzoek wil de rekenkamer het volgende bereiken. Doelstelling onderzoek Bijdragen aan de kaderstellende en controlerende rol van Provinciale Staten waar het gaat om de cy­ berveiligheid van Provinciale diensten en gegevensbeheer, door inzicht te geven in welke mate Gede­ puteerde Staten, provinciale organisatie en een aantal verbonden partijen adequaat uitvoering geven aan cyberveiligheidsbeleid en verantwoording daarover. 4. Focus en reikwijdte

Baseline informatie overheid De focus in het onderzoek ligt op de implementatie van de Baseline Informatie Overheid. De Baseline Informatie Overheid (BIO) is een gemeenschappelijk normenkader dat gebaseerd is op de ISO 27001/2 als internationale actuele standaard op het gebied van informatieveiligheid.3 In het Interprovinciaal Overleg is besloten dat alle Provincies voldoen aan het BIO per 1 januari 2023. De BIO concretiseert een aantal normen naar concrete maatregelen die verplicht door alle bestuursla­ gen moeten worden nageleefd. In de BIO zijn basisveiligheidsniveaus opgenomen gebaseerd op gene­ rieke schades en dreigingen voor de overheid. Per veiligheidsniveau zijn in de BIO opgenomen welke

1

Deze definitie is ontleend aan het Nationaal Cyber Security Centrum: www.ncsc.nl

2 L’Escaut en andere woningcorporaties gehackt door criminele groepering met Russische banden | Walcheren | pzc.nl 3 Staatscourant 2020, 7857 | Overheid.nl > Officiële bekendmakingen (officielebekendmakingen.nl)

REKENKAMER ZEELAND beheersmaatregelen uit de ISO 27001/2 van toepassing zijn. Bij alle beheersmaatregelen dient op basis van individuele risicoafweging bepaald te worden hoe er aan de beveiligingsdoelstelling kan worden voldaan.

De BIO beoogt zo de beveiliging van informatie(systemen) bij alle bestuurslagen en bestuursorganen van de overheid te bevorderen, zodat alle onderdelen erop kunnen vertrouwen dat onderling uitge­ wisselde gegevens, in lijn met wet- en regelgeving, passend beveiligd zijn. Het doel is continuïteit in de bedrijfsprocessen door waarborgen van juiste en tijdige informatie. Daarmee is de BIO ook van toe­ passing op besturings- en meetprocessen voor zover deze binnen een bestuursorgaan gebruikt wor­ den.4

Provinciale organisatie Het onderzoek beschrijft hoe het met de implementatie van het BIO gesteld is binnen de provinciale organisatie. Het onderzoek is op dit terrein algemeen verkennend van aard en beschrijft aan de hand van reeds beschikbare monitoring en evaluatie informatie de stand van zaken. Daarnaast worden de resultaten van zogeheten pentesten die in opdracht van Gedeputeerde Staten in het najaar van 2022 worden uitgevoerd betrokken bij het rekenkameronderzoek (zie kader).

PENTEST Pentest is een afkorting van 'penetration tes­ ting'. Bij een pentest kruipen onderzoekers in de huid van een hacker. Ze proberen op allerlei ma­ nieren en met alle mogelijke middelen toegang te krijgen tot de geteste IT-omgeving. Op die manier leggen ze zwakke plekken bloot van een website, applicatie of de gehele IT-infrastruc­ tuur. Na afloop van de pentest kunnen met ge­ richte maatregelen kwetsbaarheden zo goed mogelijk verholpen worden.

De provinciale organisatie bevindt zich momen­ teel in een extern certificeringstraject voor ISO 270001/2. Daarin wordt voor de complete orga­ nisatie al door een derde partij geanalyseerd op beheersmaatregelniveau of de informatiebevei­ liging voldoet aan de standaard die daarvoor geldt. Ook betrekt de rekenkamer de resultaten van interne audits die periodiek uitgevoerd wor­ den bij haar onderzoek. Het rekenkameronderzoek gaat niet per be­ heersmaatregel uit de BIO opnieuw controleren of er al dan niet wordt voldaan aan de gestelde eisen als dat al onderzocht is in het kader van een recent ander traject.

Leveranciersmanagement

Voor een burger maakt het niet uit vanaf welke ICT-systemen provinciale informatie wordt gebruikt en/of is opgeslagen. Als die systemen buiten de provinciale organisatie zijn gelegen, dan is het een kwestie van leveranciersmanagement om als Provincie ook binnen de mogelijkheden die er zijn - te sturen op een goed cyberveiligheidsniveau. Dit leveranciersmanagement valt binnen de scope van het onderzoek en is onderdeel van de BIO. Het kan bij leveranciersmanagement gaan om het outsourcen van ICT. Ook het beheer op het uitvoeren van provinciale taken door derde organisaties, waarbij er informatie uitwisseling van provinciale gegevens is of gegevensopslag door derde organisaties plaats­ vindt, is een vorm van leveranciersmanagement. Het onderzoek brengt in beeld wat het beleid van de Provincie is op het gebied van leveranciersma­ nagement, of er in de praktijk conform dat beleid wordt gewerkt en of het toezicht op de uitvoering intern bij de provincie adequaat is.

Verbonden partijen Verbonden partijen vormen een speciale categorie organisaties voor de Provincie. Verbonden partijen zijn publiekrechtelijke (gemeenschappelijke regelingen) of privaatrechtelijke rechtspersonen (vereni­ gingen, stichtingen, BV’s en NV’s), waarin de Provincie Zeeland én een bestuurlijk én een financieel 4 bio-versie-104zv def.pdf (bio-overheid.nl)

REKENKAMER ZEELAND belang heeft. Verbonden partijen is een speciale categorie. Gedeputeerde Staten kunnen naast afspra­ ken in overeenkomsten, ook invloed uitoefenen op risico’s in relatie tot veiligheidsaspecten via de aandeelhoudersrol (bij privaatrechtelijke verbonden partijen) of de rol die er is in het dagelijks en/of het algemeen bestuur van een gemeenschappelijke regeling (bij publiekrechtelijke verbonden par­ tijen).5 Verbonden partijen kunnen leverancier zijn in het kader van de BIO. Dat is afhankelijk van het feit of zij provinciale gegevens gebruiken of beheren. Privaatrechtelijke verbonden partijen

Ter illustratie kiezen we ervoor om een tweetal privaatrechtelijke verbonden partijen onderdeel te laten uitmaken van het onderzoek. De privaatrechtelijke verbonden partijen waar de rekenkamer onderzoek naar doet zijn de Westerscheldeferry BV en de NV. Westerscheldetunnel. Bij deze organisaties is de Provincie 100% aandeel­ houder. Publiekrechtelijke verbonden partijen

Het onderzoek richt zich op de RUD Zeeland. Er wordt in beeld gebracht hoe cyberveiligheid van pro­ vinciale informatie is geborgd in het kader van verlengd lokaal bestuur in deze gemeenschappelijke regeling. Het onderzoek brengt verkennend in beeld wat in de praktijk de stand van zaken is bij de RUD Zeeland op het gebied van Cyberveiligheid. Hierbij wordt zoveel mogelijk gebruik gemaakt van reeds beschikbare onderzoeksinformatie, zoals interne en externe audits, alsmede pentesten. We zullen zelf ook ter indicatie een pentest uitvoeren ter controle.

Provinciale Staten De focus van het onderzoek ligt tot slot ook op de cyberveiligheid van specifiek aan Provinciale Staten gekoppelde activiteiten. De cyberveiligheid wordt bezien door een mystery guest die fysiek onderzoek heeft gedaan op een Statendag (zie kader). Ook beschouwt het onderzoek de rol die Provinciale Staten hebben tot het onderwerp en hoe deze wordt ingevuld. Mystery guest

Een mystery guest probeert fysiek binnen te komen en kan bijvoorbeeld achter een computer te gaan zitten zonder dat iemand dit opmerkt. Een mystery guest is vrijgesteld om alle mogelijkheden van onderzoeken om zich toegang te verschaffen op fysiek en technisch vlak.

5. Vraagstelling Centrale vraag:

Streeft de Provincie Zeeland er voldoende naar dat ICT gebruikt voor provinciale dienstverlening en/of gegevensgebruik en opslag beveiligd is tegen schade door verstoring, uitval of misbruik en deze te kun­ nen herstellen als dat toch gebeurt en zijn Provinciale Staten daarbij voldoende in positie gebracht?

Deelvragen: De centrale vraag valt uiteen in de volgende deelvragen gezien de focus die is aangebracht in het vorige hoofdstuk. Thema provinciale organisatie

5 Voor een meer uitvoerige beschrijving van de rol van Gedeputeerde en Provinciale Staten wordt verwezen naar het hoofdstuk over verbonden partijen in de rapportage van het onderzoek naar externe inhuur en uitbesteding.

REKENKAMER ZEELAND De onderstaande onderzoeksvragen worden kwalitatief beantwoord door zoveel mogelijk gebruik te maken van reeds beschikbare resultaten uit onderzoeken die recent zijn of worden uitgevoerd in op­ dracht van de Provincie, zoals interne audits, het ISO 270001/2 certificeringstraject, pentesten, pfishingonderzoek en inzet van mystery guests in het recente verleden (2 jaar). Deze informatie wordt aangevuld met informatie uit interviews mocht informatie op onderdelen ontbreken in de reeds be­ schikbare documentatie. 1.

Wat is de stand van zaken met betrekking tot de opzet en uitvoering van het beleidskader op het gebied van cyberveiligheid binnen de provinciale organisatie en hoe verhoudt zich dat tot de Ba­ seline Informatie Overheid?

Thema leveranciersmanagement

De onderstaande onderzoekvragen worden kwalitatief beantwoord. Om vraag 2c te beantwoorden worden een aantal cases onderzocht op basis van een selecte steekproef uit het totaaloverzicht aan leveranciers die diensten uitvoeren en/of gegevens opslaan voor de Provincie. De aard en totale om­ vang van de selecte steekproef is nog nader te bepalen. 2.

Wat is de stand van zaken met betrekking tot cyberveiligheid in leverancierrelaties (inkoop en nietinkoop gerelateerd), het beheer daarvan en hoe verhoudt zich dat tot de BIO?

a.

b. c.

Waar dienen leveranciers die diensten voor de Provincie uitvoeren en/of gegevens opslaan aan te voldoen conform het provinciale beleid op het gebied van Cyberveiligheid en wat is daarbij het beheerskader? (BIO Hoofdstuk 15.2) Hoe houdt de provinciale organisatie intern toezicht op de monitoring en beoordeling in het kader van cyberveiligheid bij leveranciers? Wat blijkt specifiek uit een selecte steekproef (deelwaarneming) in een aantal casussen over monitoring, beoordeling en het auditen van dienstverlening van leveranciers om het overeengekomen niveau van informatiebeveiliging en dienstverlening in leveranciersovereenkomsten te handhaven?

Thema Verbonden partijen

De onderstaande onderzoeksvraag wordt kwalitatief beantwoord door zoveel mogelijk gebruik te ma­ ken van reeds beschikbare resultaten uit onderzoeken die recent zijn of worden uitgevoerd in opdracht van de Provincie, zoals interne audits, het ISO 270001/2 certificeringstraject, pentesten, pfishingonderzoek en inzet van mystery guests in het recente verleden (2 jaar). Deze informatie wordt aangevuld met informatie uit interviews mocht informatie op onderdelen ontbreken in de reeds beschikbare documen­ tatie. Met inzet van een pentest beoogt de rekenkamer het inzicht te vergroten. 3.

Wat is de stand van zaken met betrekking tot cyberveiligheid bij de verbonden partijen RUD Zeeland, NV. Westerscheldetunnel en Westerscheldeferry BV in relatie tot het provinciale beleid en hoe verhoudt zich dat tot door de Provincie Zeeland gestelde kaders?

Thema provinciale Staten

4.

Hoe zijn Provinciale Staten in positie gebracht met betrekking tot kaderstelling en controle op het gebied van cyberveiligheid van dienstverlening en gegevensbeheer en hoe cyberveilig is de provin­ ciale organisatie specifiek op een Statendag? a. Wat is er in de begroting en jaarstukken opgenomen over cyberveiligheid? b. Hoe worden Provinciale Staten anderszins geïnformeerd? c. Wat blijkt specifiek over de cyberveiligheid van de Provincie op een Statendag uit onder­ zoek door een mystery guest?

REKENKAMER ZEELAND 5. Onderzoeksmethode Om de vraagstelling te beantwoorden, wordt gekozen voor een combinatie van documentenanalyse, interviews en het uitvoeren van pentest(en) en onderzoek met inzet van een mystery guest. De pentest en mystery guest worden uitgevoerd door een externe partij, het overige deel van het onderzoek voert de rekenkamer uit in eigen beheer, met ondersteuning van een externe partij op inhoud. Bij het onderzoek maakt de rekenkamer nadrukkelijk gebruik van gegevens die al aanwezig zijn bij de organisaties die worden onderzocht, zoals audits, pentesten en overige evaluaties en onderzoek. Het onderzoek is opgedeeld in 3 fasen.

Fase 1. Verkrijgen van overzicht Het onderzoek begint met verkennende gesprekken. Daarmee wordt geïnventariseerd welke beleidsen werkdocumenten (bijvoorbeeld afwegingskaders en protocollen) er van toepassing zijn op het on­ derwerp en welke mensen/actoren er betrokken zijn bij het onderwerp.

Fase 2. Verkrijgen van inzicht In deze fase wordt er verdieping aangebracht in het onderzoek. De beleids- en werkdocumenten die in fase 1 in beeld zijn gebracht worden geanalyseerd. Ook worden interviews gehouden met relevante betrokken personen en wordt de pentest uitgevoerd. De pentesten worden uitgevoerd.

Fase 3. Oordeelsvorming en sturing In deze fase worden de bevindingen langs de meetlat van een normenkader gelegd. Dit normenkader is gebaseerd op wetgeving, beleid van de Provincie Zeeland en algemene beginselen van behoorlijk bestuur. De toets aan het normenkader geeft input voor sturingsaspecten die er mogelijk zijn om het beleid van de Provincie en de uitvoering daarvan verder te verbeteren.

6. Normenkader De Baseline Informatie Overheid vormt het normenkader voor dit onderzoek. Zie bio-versie104zv def.pdf (bio-overheid.nl). De normen zijn als volgt:

Deelvraag 1. ICT Provinciale organisatie Deelonderwerpen

Normen

1a. Informatieveiligheidsbeleid

• •

1b. Doelen en Budget

• •

Er zijn beleidsregels vastgesteld door de directie die ten minste voldoen aan de in de BIO genoemde pun­ ten. (BIO 5.1.1) Het beleid is gepubliceerd en gecommuniceerd aan medewerkers en relevante externe partijen. (BIO 5.1.1) De Provincie heeft doelen gesteld om cyberveiligheid te borgen Er is beredeneerd vanuit de doelstelling onderbouwd een apart budget beschikbaar gesteld voor cyberveiligheid.

REKENKAMER ZEELAND 1c. Interne organisatie

•

• 1d. Mobiele apparatuur en telewerken

•

•

Alle rollen en verantwoordelijkheden bij informatie­ beveiliging zijn gedefinieerd en toegewezen. (BIO 6.1.1) Er worden passende contacten met relevante over­ heidsinstanties onderhouden. (BIO 6.1.3)

Er zijn beleid en ondersteunende beveiligingsmaat­ regelen vastgesteld om de risico’s die het gebruik van mobiele apparatuur met zich meebrengen te be­ heren. (BIO 6.2.1) Beleid en ondersteunende beveiligingsmaatregelen zijn geïmplementeerd ter beveiliging van informatie die vanaf telewerklocaties wordt benaderd, ver­ werkt of opgeslagen. (BIO 6.2.2)

1e. Veilig personeel

•

Er wordt gewaarborgd dat medewerkers en contrac­ tanten hun verantwoordelijkheden begrijpen en ge­ schikt zijn voor de rollen waarvoor zij in aanmerking komen (screening en tijdens dienstverband) (BIOhoofdstuk 7)

1f. Beheer van bedrijfsmiddelen

•

De bedrijfsmiddelen van de organisatie zijn geïdenti­ ficeerd en er zijn passende verantwoordelijkheden ter bescherming gedefinieerd. (BIO-hoofdstuk 8)

1g. Informatieclassificatie

•

Er is bewerkstelligd dat informatie een passend be­ schermingsniveau krijgt dat in overeenstemming is met het belang ervan voor de organisatie.

1h. Toegangsbeveiliging

•

Er is beleid voor toegangsbeveiliging vastgesteld, ge­ documenteerd en beoordeeld. (BIO 9.1.1) Toegang voor bevoegde gebruikers wordt bewerk­ stelligd, onbevoegde toegang tot systemen en dien­ sten wordt voorkomen. (BIO-hoofdstuk 9.2 t/m 9.4)

•

1i. Cryptografie

•

Ter bescherming van informatie is er beleid voor het gebruik van cryptografische beheersmaatregelen ontwikkeld en geïmplementeerd conform het BIO. (BIO-hoofdstuk 10)

1j. Bescherming tegen malware

•

Beheersmaatregelen ter bescherming van malware zijn geïmplementeerd en gebruikers zijn daarover voorgelicht. (BIO-hoofdstuk 12.2)

1k. Informatiebeveiliginggebeurtenissen en - incidenten

•

Gebeurtenissen worden vastgelegd en bewijs wordt verzameld. (BIO Hoofdstuk 12.4) De aanpak is bewerkstelligd voor het beheer van informatiebeveiligingsincidenten, met inbegrip van communicatie over beveiligingsgebeurtenissen en

•

REKENKAMER ZEELAND zwakke plekken in de beveiliging. (BIO-hoofdstuk 16.1) 1l. Beheer van technische kwetsbaarhe­ den

•

•

Informatie over technische kwetsbaarheden van ge­ bruikte informatiesystemen worden tijdig verkregen, geëvalueerd en passende maatregelen genomen om het risico dat ermee samenhangt aan te pakken. (BIO 12.6) Er zijn regels vastgesteld en geïmplementeerd voor het door gebruikers installeren van software. (BIO 12.6)

1m. Beheer van netwerkbeveiliging

•

De bescherming van informatie in netwerken en de ondersteunende informatie verwerkende faciliteiten zijn gewaarborgd. (BIO Hoofdstuk 13.1)

1n. Beveiliging informatietransport

•

Ter bescherming van informatietransport zijn for­ mele beleidsregels, procedures en beheersmaatre­ gelen voor transport van kracht. (BIO-hoofdstuk 13.2)

1o. Continuïteitsbeheer

•

De continuïteit van informatieveiligheid bij ongun­ stige situaties zoals bijvoorbeeld een crisis of een ramp is ingebed in de organisatie (BIO-hoofdstuk 17.1)

1p. Informatiebeveiligingsbeoordelingen

•

Er is een information security management system (ISMS) waarmee aantoonbaar de gehele Plan-DoCheck act-cyclus op gestructureerde wijze wordt af­ gedekt. Er een vastgesteld auditplan waarin jaarlijks keuzes worden gemaakt voor welke systemen welke soort beveiligingsaudits worden uitgevoerd. Er wordt in de P&C gerapporteerd over informatie­ beveiliging, resulterend in een jaarlijks af te geven In Control Verklaring over de informatiebeveiliging Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en ri­ sico's ten aanzien van de feitelijke veiligheid, bij­ voorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of penetratietesten?

•

• •

Deelvraag 2. Leveranciersmanagement

REKENKAMER ZEELAND Deelonderwerpen

Normen

2a. Beleidskader

•

Het beleidskader van de Provincie streeft naar het waarborgen van bedrijfsmiddelen van de organisatie in leveranciersrelaties conform de BIO a. Eisen bij offerteaanvragen stellen b. Beheersmaatregelen op basis van risicoafweging c. Afsluiten van verwerkersovereenkomsten persoonsgegevens

2b. intern toezicht

•

De provinciale organisatie houdt intern toezicht op de monitoring, be­ oordeling en het beheer van leveranciersovereenkomsten

2c. Implementatie BIO

•

Beveiligingsaspecten bij leveranciers worden in de praktijk gesteld, gemonitord, beoordeeld en waar nodig geaudit om het overeengeko­ men niveau van cyberveiligheid te handhaven.

Deelvraag 3. Verbonden partijen

Deelonderwerpen

Normen

3. Stand van zaken

De verbonden partijen voldoen aan de door de Provincie Zeeland gestelde kaders op het terrein van cyberveiligheid.

Deelvraag 4. Positie Provinciale Staten Deelonderwerpen

Normen

5a. Sturing PS

•

Provinciale Staten sturen op cyberveiligheid in de P&C cyclus.

5b. Verantwoording

•

Provinciale Staten ontvangen tijdig en voldoende informatie

5c. Praktijk

•

De beveiliging op Statendagen is adequaat blijkt uit onderzoek van een mystery guest.

7. Opzet eindrapportage De rekenkamer staat een beknopte bestuurlijke nota voor ogen met de kern van de analyse (beant­ woorden centrale vraag en toets aan het normenkader), inclusief de conclusies en aanbevelingen. Een uitgebreider rapport (nota van bevindingen) wordt opgesteld als technisch achtergronddocument. In de nota van bevindingen worden de deelvragen beantwoord. Dit document maakt geen onderdeel uit van de publicatie, maar is wel opvraagbaar. 8. Organisatie

REKENKAMER ZEELAND Portefeuillehouder:

drs. H.J.W. Verdellen

(Projectleider-onderzoeker),

Projectteam: (secretaris-onderzoeker)

De rekenkamer voert het onderzoek in eigen beheer uit. Voor de uit te voeren pentest(en) wordt externe expertise ingehuurd. Het bedrijf dat deze opdracht zal uitvoeren is DONGIT uit leiden. Tevens wordt een externe partij gevraagd om een review te geven op de onderzoeksaanpak, nota van bevindingen en bestuurlijke nota. Deze partij is 2-Control uit Breda.

9. Pl a n n in g

Wanneer

Wat

Wie

11-2022

• •

vaststellen definitieve startnotitie besluit tot toesturen definitieve startnotitie GS en PS.

bestuur rekenkamer

Nov 22-feb 23

•

interviews/documentenanalyse/pentest/mystery guest Opstellen nota van bevindingen

onderzoeksteam

• Maart 2023

• • •

afronden nota van bevindingen verzoek tot ambtelijk wederhoor Afstemmen bevindingen met pro grammaraad

bestuur rekenkamer

April 2023

• •

vaststellen Bestuurlijke nota besluit tot toesturen bestuurlijke nota aan GS en DB RUD Zeeland voor bestuurlijk commentaar

bestuur rekenkamer en Programmaraad bestuur rekenkamer

Mei 2023

•

publicatie en externe communicatie

Bestuur rekenkamer

Juni 2023

•

beantwoorden vragen in Commissie Bestuur

portefeuillehouder rekenkamer

10. Co mmu n ic a t e Op een aantal momenten communiceren wij over het onderzoek. Deze paragraaf geeft hiervan een overzicht.

Startnotitie -

Ter afstemming ontvangt de Programmaraad een conceptversie van de Startnotitie. De portefeuillehouder van het onderzoek namens de rekenkamer heeft een startgesprek met de verantwoordelijke gedeputeerde(n) namens Gedeputeerde Staten.

REKENKAMER ZEELAND -

De rekenkamer stuurt de definitieve startnotitie ter kennisname aan Gedeputeerde en Provin­ ciale Staten

Nota van bevindingen -

De ambtelijke organisatie van de Provincie Zeeland en RUD Zeeland ontvangen de concept nota van bevindingen voor ambtelijk wederhoor en worden geïnformeerd over wijzigingen als gevolg daarvan.

Eindrapport (bestuurlijke nota) -

De rekenkamer betrekt de programmaraad bij de analyse van de bevindingen. Het Dagelijks Bestuur van de RUD Zeeland en Gedeputeerde Staten worden in de gelegenheid gesteld om bestuurlijk commentaar te geven op de bestuurlijke nota.

Publicatie -

Gedeputeerde Staten en Provinciale Staten ontvangen de definitieve bestuurlijke nota. De definitieve bestuurlijke nota wordt tevens toegestuurd aan de betrokken verbonden par­ tijen: NV Westerscheldetunnel, Westerscheldeferry BV en RUD Zeeland De bestuurlijke nota wordt verstuurd aan alle geïnterviewde personen.

Persbericht en woordvoering Het bestuur van de rekenkamer Zeeland stelt een persbericht vast. Het persbericht wordt verstuurd aan de reguliere perscontacten. De woordvoering over het onderzoek naar de pers geschiedt door de voorzitter van de rekenkamer Zeeland, mevrouw mr. G.A.A. van Rijswijk - van Mook.

11. Slotopmerking

Deze startnotitie is opgesteld op basis van een globale verkenning van het onderwerp. Op basis van het verzamelde onderzoeksmateriaal kan de aanpak gedurende het onderzoek worden bijgesteld. Als deze bijstelling naar ons oordeel tot majeure aanpassingen van de opzet leidt, zal dit door ons worden gecommuniceerd.

Algemeen Bestuur Dossiernummer

186

Vertrouwelijk

Nee

Vergaderdatum

27 februari 2023

Agendapunt

7

Titel

Plan generieke taken 2023

Organisatieonderdeel

Staf

Eigenaar

Bijlagen

voorstel AB Generieke taken 2023 def.pdf Geagendeerd

Vergaderdatum

MT

7 december 2022

Dagelijks Bestuur

6 februari 2023

Algemeen Bestuur

27 februari 2023

Voorgesteld besluit

AB voorstel: Inzet Generieke taken 2023

Agendapunt: IZISnummer: Portefeuillehouder MT: Directeur

Terneuzen, Opsteller:

Aan het algemeen bestuur van RUD Zeeland, 1.

Gevraagde beslissing / besluit - Kennis te nemen van de verdeling van de voorgestelde inzet op generieke taken voor 2023.

2.

Effect van het besluit Bij aanvang van het jaar is de planning bekend van de generieke uren, welke via de afgesproken verdeling als voorschot in rekening gebracht zullen worden.

3.

Argumenten of Overwegingen

Generieke taken zijn taken die we uitvoeren ten behoeve van alle deelnemers ter ondersteuning van de basis- en plustaken. Hierbij kan gedacht worden aan inzet van de beleidsmedewerkers toezicht en handhaving, deelname aan werkgroepen, piketcoördinatie, relatiebeheer, het volgen van landelijke ontwikkelingen en de milieuklachtenlijn. Op 6 december 2021 heeft het algemeen bestuur om ten aanzien van de generieke taken besloten om: 1. Jaarlijks, vanaf begrotingsjaar 2023, vooraf een plan inzet generieke taken ter vaststelling voorleggen aan het algemeen bestuur. En in de bestuursrapportage en jaarrekening over de realisatie van het plan rapporteren; 2. De begrote generieke kosten, vanaf begrotingsjaar 2023, te verdelen onder de deelnemers op basis van de onderlinge verhouding directe uren zoals opgenomen in de vastgestelde begroting 2022 en deze kosten vervolgens maandelijks via voorschot in rekening brengen. 3. De werkelijk gemaakte generieke kosten, vanaf begrotingsjaar 2023, vast te stellen op basis van de onderlinge verhouding directe uren zoals opgenomen in de vastgestelde begroting 2022 en de werkelijke kosten na afloop van het jaar te verrekenen met het onder punt b betaalde voorschot; Plan 2023 inzet generieke taken Het plan 2023 bestaat uit een drietal onderdelen t.w 1. Jaarlijkse terugkerende (structurele) activiteiten (geraamde inzet 6,9 fte); 2.