Managementletter Gemeente Oss

Onze verwachting

Risico inschatting

Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.

Opstellen testplan en Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze aanpak elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers)

Testen en documenteren

Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.

Gebruikers acceptatie

Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.

36

NIS2 als uitdaging voor uw gemeente? De implementatie van NIS2 vraagt aandacht Onderwerp NIS2 als relevante ontwikkeling De nieuwe Network and Information Systems Directive (NIS2-richtlijn) heeft belangrijke implicaties voor gemeenten als het gaat om toezicht op informatiebeveiliging. Lokale overheidsinstanties vallen nu ook onder de NIS2. Tegelijkertijd is de uitwerking van de NIS2 nog niet geheel helder. Denk hierbij aan vragen rondom de toepasselijkheid van de richtlijn op de Nederlandse gemeenten en wijze waarop dit zich verhoudt met bestaande structureren als de BIO (Baseline Informatiebeveiliging Overheid) en bijvoorbeeld ENSIA (de jaarlijks terugkerende audit ten behoeve van de collegeverklaring over Suwinet en DigiD).

Welke impact heeft de NIS2 op gemeenten in het algemeen? Gezien het feit dat gemeenten nu al een zorgplicht (BIO), een meldplicht (Informatiebeveiligingsdienst, IBD) en toezicht (Eenduidige Normatiek Single Information Audit, ENSIA) hebben zal de impact van NIS2 voor gemeenten afhankelijk zijn van de mate waarin nu al gedocumenteerd voldaan wordt aan de BIO. De VNG zet zich onder andere in om gemeenten het zo makkelijk mogelijk te maken en heeft de impact van de wetgeving opgenomen in een overzichtelijke rapportage. Wat kunt u doen? Informatiebeveiliging is een proces wat continu aandacht blijft vragen. Daarom adviseren wij om door te blijven gaan met de cyclus van plannen, uitvoeren, controleren en bijstellen rondom de complete BIO. De BIO is een set van richtlijnen en best practices die specifiek is ontwikkeld voor de Nederlandse overheid. Door aandacht te geven aan de BIO kan in grote lijnen al een belangrijke stap gezet kan worden ter voorbereiding van de NIS2-richtlijn. Daarnaast adviseren wij de ontwikkelingen te blijven volgen en te anticiperen op de impact daarvan. Wij hebben in gesprekken met de gemeente Oss begrepen dat de urgentie en relevantie van de nieuwe regelgeving bekend is en dat de gemeente Oss de impact van de nieuwe regelgeving onderzoekt.

37

38