Adviesrapport ICT - gemeente Rhenen

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

Adviesrapport ICT omgeving en strategie t.b.v. gemeente Rhenen Auteurs: Maurice Zondag, Pascal Smit OGD Versie 1.1

1

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

Inhoud Begrippenlijst ............................................................................................................................................... 3

1 Inleiding ....................................................................................................... 4 1.1

Doel en aanleiding van het rapport .................................................................................................. 4

1.1.1 1.2

Doelstelling en taken ................................................................................................................ 4

Leeswijzer .......................................................................................................................................... 4

2 Huidige situatie........................................................................................... 5 2.1

Beschrijving van de ICT omgeving van de gemeente Rhenen .......................................................... 5

2.2

Knelpunten, uitdagingen en kansen .................................................................................................. 5

Meer inzicht in huidig applicatielandschap ............................................................................................ 5 Beperkte financiële middelen .................................................................................................................. 6 Stappen zetten naar een toekomstbestendige oplossing....................................................................... 6 Mogelijke weerstand vanuit de organisatie ............................................................................................ 6 Grip op de zaak houden .......................................................................................................................... 7 2.3

Wensen en eisen van de gemeente ................................................................................................... 7

2.4

Relevante wet- en regelgeving.......................................................................................................... 8

3 Scenario's .................................................................................................... 9 3.1

Beschrijving van de vier scenario's die de gemeente heeft aangeleverd ......................................... 9

Scenario 1: Lease aanhouden / strategische samenwerking met partner ............................................. 9 Scenario 2: Uitbesteding aan regionale partner ................................................................................... 11 Scenario 3: Overgang naar Cloud oplossing ......................................................................................... 12 Scenario 4: Hardware overnemen en zelf inrichten/onderhouden ........................................................ 17

4 Advies ........................................................................................................ 20 4.1

Aanbeveling op basis van de bevindingen...................................................................................... 20

4.2

Aanbevelingen voor de implementatie van het scenario ............................................................... 21

5 Bijlagen ...................................................................................................... 23 5.1

Wet- en regelgeving ........................................................................................................................ 23

NIS2........................................................................................................................................................ 23 Bestuurlijk Convenant Digitale Veiligheid gemeenten. ......................................................................... 23 Baseline Informatiebeveiliging Overheid .............................................................................................. 24 Aanbestedingswet ................................................................................................................................. 24

2

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

Begrippenlijst On Prem: On premise – IT-infrastructuur waarvan het bezit bij de gemeente ligt, en welke ofwel op een locatie van de gemeente Rhenen aanwezig is of in een door de gemeente Rhenen gefaciliteerde locatie zoals een gehuurd colocatie in een datacentrum. Cloud: IT-Infrastructuur waarvan het bezit bij een externe partij ligt en toegang tot de IT-infrastructuur wordt gehuurd. SaaS: Software as a Service. Software die door een softwareleverancier beheerd wordt in een Cloudomgeving, zoals Microsoft Word via de webbrowser. VerSaaSen: Het migratie traject om van on-prem applicaties naar Cloud applicaties (SaaS) te gaan. Data storage: Data opslag SLA: Service Level Agreement Troubleshooten : Het oplossen van technische problemen. Het proces van probleemoplossing helpt afdelingen ICT-support om technische problemen te identificeren en door te zetten naar de juiste specialisten. Gebruikersinterface: De schermen die een gebruiker ziet bij het werken met een applicatie. De knoppen, menu’s, functies en werking van de applicatie door de gebruiker. Legacy applicatie: Een verouderde applicatie die niet of lastig te upgraden is naar een moderne variant. Remote Desktop Applicatie: Een virtuele PC via de Cloud via een online netwerk platform zoals Citrix of Microsoft Azure Virtual Desktop (AVD).

3

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

1 Inleiding 1.1 Doel en aanleiding van het rapport De gemeente Rhenen heeft momenteel een tussenoplossing voor haar ICT-omgeving, nadat de samenwerking met partnergemeente Veenendaal in 2023 is stopgezet. Deze tussenoplossing omvat de lease van apparatuur voor het opzetten van een eigen ICT-infrastructuur voor een periode van twee jaar. Nu het einde van de beoogde tussenperiode in zicht komt (maart 2025) is het tijd een om een definitief plan uit te werken voor de lange termijn inrichting van de ICT omgeving van Rhenen. De gemeente Rhenen ziet 4 mogelijke scenario’s voor de invulling van de ICT na maart 2025: 1. 2. 3. 4.

Lease aanhouden / strategische samenwerking met IT partner; Uitbesteden aan regionale partner; Overgang naar Cloud; Hardware overkopen en zelf inrichten en onderhouden.

1.1.1 Doelstelling en taken Het doel van deze opdracht is om een gedetailleerd plan uit te werken voor de toekomstige ICTomgeving van gemeente Rhenen, inclusief de vier scenario's en een analyse van de voor- en nadelen van elk scenario. Daarnaast zal er een advies worden gegeven voor de meest passende oplossing, rekening houdend met de specifieke behoeften en vereisten van Rhenen. Ook worden van elk scenario de kosten uitgewerkt en meegenomen in de afweging van voor- en nadelen en het uiteindelijke advies. De adviseur haalt hiervoor input op bij o.a. de ICT-medewerkers, CISO, adviseur informatievoorziening en het management. Hierbij worden in dit document de volgende deliverables gepresenteerd: ▪ Een uitwerking van elk scenario, inclusief de benodigde infrastructuur, software, en operationele processen. ▪ Een vergelijking van de vier scenario's op basis van criteria zoals kosten, flexibiliteit, schaalbaarheid, veiligheid, operationele complexiteit en risico's. ▪ Een duidelijk advies voor gemeente Rhenen, gebaseerd op de analyse van de scenario's en rekening houdend met de specifieke behoeften en vereisten van de gemeente.

1.2 Leeswijzer Deel 1: Een overzicht van het doel en de aanleiding van dit document. Deel 2: Beschrijving van de huidige situatie, na de ontvlechting, de knelpunten, uitdagingen en kansen die dit biedt, en een beschrijving van de wensen van de gemeente voor de gewenste situatie met een referentie naar wet- en regelgeving. Deel 3: Uitwerking van de 4 scenario’s met een analyse van de voor- en nadelen, de kosten en haalbaarheid. Deel 4: Het advies met de aanbevelingen voor de gemeente op basis van de uitgewerkte scenario’s.

4

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

2 Huidige situatie 2.1 Beschrijving van de ICT omgeving van de gemeente Rhenen De gemeente wil graag de grip houden op de eigen ICT omgeving, evenals op kosten, en de flexibiliteit en dienstverlening verhogen. Dat was niet voldoende mogelijk in de ICT omgeving die voor 2022 ingericht was, via de samenwerking met de gemeente Veenendaal. Daarom is besloten een andere weg in te gaan. In juni 2022 is de ontvlechting van gemeente Rhenen begonnen, en in juni 2023 afgerond. Er is een tijdelijke oplossing neergezet, om in 2 jaar tijd een toekomstbestendige oplossing te vinden en te implementeren. Door de ontvlechting met gemeente Veenendaal werd Rhenen wel geconfronteerd met een aantal te maken keuzes, zoals het zelf vormgeven van beleid, inrichten van beheer en het uitwerken van de visie; en dat alles vertalen naar een ICT omgeving die voldoet aan wet- en regelgeving, visie en beleid. Dit heeft best wat moeite gekost, maar de gemeente is goed op weg door het werk van o.a., een IT regisseur, de CISO, de adviseur informatievoorziening en natuurlijk de ICT beheerders zelf. Als gevolg van de keuze om het partnerschap met de gemeente Veenendaal stop te zetten, moest er in 2022 op korte termijn een alternatief gevonden worden om de gehele ICT omgeving zelf op te tuigen. Dit is met behulp van een IT Partner uitgevoerd.

De hardware wordt geleased door gemeente Rhenen, de software is vooral in bezit (in licentie) bij de gemeente. Daarmee was de situatie tijdelijk passend, en is er gelegenheid geweest richting de toekomst te gaan werken. De huidige ICT omgeving voldoet op basaal niveau om de dagelijkse praktijk te faciliteren, maar kent ook een aantal aandachtspunten die verbetering nodig hebben. Doordat nu alles in eigen beheer is, ligt er een grote druk bij de medewerkers van het beheerteam die veel tijd kwijt zijn aan troubleshooten en het in de lucht houden van applicaties. Zij kunnen daardoor geen tijd investeren in het verbeteren en zijn alleen bezig met handhaven van de omgeving. Er is te weinig tijd om structurele verbeteringen toe te passen, die ook de hoeveelheid incidenten zouden kunnen verlagen. Naast dat er veel goed en correct functioneert, zijn de verstoringen die plaatsvinden (veelal op applicatieniveau en dan met name vanuit burgerzaken) verstorend in het proces voor niet alleen de beheerders, maar ook de eindgebruikers die de burgers niet voldoende kunnen ondersteunen. Daarnaast is er geen gelegenheid om te werken aan het verbeteren van de compliance voor BIO en NIS2 en dat is noodzakelijk.

Dit alles leidt er toe dat in het nieuwe scenario waar in dit document op geadviseerd wordt, er ruimte ontstaat om wel de juiste beheermiddelen in te kunnen zetten, zodat de werkdruk beter verdeeld wordt, er ruimte is voor continue verbetering en naleving van standaarden.

2.2 Knelpunten, uitdagingen en kansen Meer inzicht in huidig applicatielandschap Er is weinig gedocumenteerd wat betreft de applicaties die gebruikt worden. Tijdens de inventarisatiewerkzaamheden bleken er voor een aantal applicaties vanuit het beheerteam ook al een aanzet te zijn gedaan richting de leverancier met betrekking tot een eventuele verSaaSing, maar ook hier is weinig overzicht over. Een deel van de kosten is met moeite achterhaald uit verschillende systemen.

5

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

Beperkte financiële middelen Het is belangrijk bewust te zijn dat transformatie projecten voor nieuwe ICT omgevingen een bodemloze put kunnen worden wanneer er niet strak op budget en tijdslijnen gestuurd wordt. De middelen zijn beperkt en hebben geen grote overloop mogelijkheid. Dit betekent dat er slim en effectief gestuurd moet worden op de implementatie van de gekozen oplossing, die flexibel, efficiënt, en toch solide moet zijn. Door op deze wijze de toekomstige oplossing aan te gaan, kan er voor een effectieve oplossing gekozen worden die het maximale uit de situatie haalt, zonder dat dit ten koste hoeft te gaan van kwaliteit, toekomstbestendigheid en aansluit op het beleid en de visie. Naast slimme sturing, zijn eventuele implementatiekosten bij een verSaaSingstraject vaak afhankelijk van huidige gebruikspatronen. Hiertoe is het lastig om een sluitende kostenraming te verkrijgen van leveranciers zonder dat zij hier analyse op uitvoeren. Voor verschillende applicaties is het daartoe nodig om bij deze leveranciers een consultancytraject in te gaan waar ook kosten bij gemoeid zijn. Dit kan extra kosten betekenen, waarbij achteraf alsnog kan worden gekozen voor het handhaven van de huidige implementatie.

Kostenbeheersing en -bewustzijn is ook meegenomen in het advies voor welk scenario gekozen kan worden, zodat ook hierin een efficiënt en effectief scenario uit naar voren komt.

Stappen zetten naar een toekomstbestendige oplossing In het verleden zijn een aantal versnelde procedures doorlopen om snel en pragmatisch tot de ontvlechting met Veenendaal te kunnen komen. Er is nu meer tijd beschikbaar om in deze exercitie de volledige stappen uit te voeren richting de toekomstige implementatie van de ICT omgeving. Dit betekent dat er voldoende tijd en andere bronnen beschikbaar gemaakt moeten worden om dit te kunnen waarborgen, maar ook dat de juiste mensen op de juiste plek beschikbaar moeten zijn om het proces correct te kunnen begeleiden. Dit omvat solide projectbeheer met ervaring in de (semi-)overheid en het realiseren van complexe IT-systemen, ondersteund door interne stakeholders zoals de CISO, ITmanagement en adviseurs informatievoorziening, die goed bekend zijn met de gemeentelijke organisatie. Daarnaast moeten voor het gekozen scenario ook de juiste bronnen beschikbaar zijn om deze te kunnen ondersteunen, beheren en service op te kunnen verlenen. Er zijn nu zorgen over de kwetsbaarheid van de huidige situatie. Dit wordt per scenario verduidelijkt zodat dit in het advies en de keuze meegenomen kan worden.

Mogelijke weerstand vanuit de organisatie De ervaring van de gemeente tijdens de ontvlechting is dat een verandering in je ICT omgeving gevolgen gaat hebben hoe de eindgebruiker zijn digitale werkplek ervaart. Dit zal niet anders zijn bij deze transformatie, welk scenario het ook gaat worden. Denk bijvoorbeeld aan een on-prem applicatie verSaaSd wordt en de gebruikersinterface verandert. Een project als dit vraagt geduld en begrip vanuit de organisatie omdat het daardoor kan zijn dat andere wensen moeten wachten, en tijdelijk applicaties niet bereikbaar zijn vanwege de overgang. De uitdaging in elk verandertraject is dus hoe de mensen in de organisatie de verandering gaan omarmen. De belangrijke vragen die hierbij beantwoord moeten worden komen uit gebruikersadoptie methodieken: What’s in it for me? Wat heeft de gebruiker er aan om de verandering te accepteren? Hoe helpt het hem of haar in haar dagelijkse werk? En hoeveel moeite kost het om de verandering te ondergaan? In dat geval zal er meer aandacht aan ‘adoptie’ gegeven moeten worden, als strategisch onderdeel van het veranderproject. Hierdoor kan er doelgericht op de eindgebruikers een aanpak worden vormgegeven die er voor zorgt dat onzekerheden worden weggenomen.

Zij moeten ondersteund worden in wat er verandert in hun dagelijkse werk (denk aan trainingen) en dat vraagt open en heldere communicatie gedurende het veranderproces. Ambassadeurs vanuit de organisatie (zoals leidinggevenden,

6

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 beïnvloeders en bestuurders die het veranderproject actief en zichtbaar toejuichen) vergroten het succes van een veranderproject.

Grip op de zaak houden Een van de grote kansen van de keuze om zelfstandig de ICT omgeving te gaan organiseren, is de mogelijkheid het ook echt te doen zoals de gemeente het wil. Het kan de focus leggen op dat wat belangrijk is, vanuit de visie beschreven wordt, en zelfstandig keuzes kan maken die aansluiten op het economische, maatschappelijke, en politieke klimaat. Daarnaast zorgt deze autonomie voor meer grip op de werkzaamheden, wat de werksfeer van het beheerteam heeft vergroot, omdat zij meer in eigen hand kunnen nemen. Deze ontwikkelingen herkennen wij ook bij andere gemeentes die eenzelfde transitie hebben doorgemaakt. De afgelopen twee jaar hebben aangetoond dat de gemeente het zelf kán doen, al zijn er verbeterpunten. Het beheerteam heeft inhoudelijke kennis en kunde om hun taken uit te kunnen voeren, zij het binnen de grenzen van beschikbare tijd door de eerder genoemde snelle transformatie naar een eigen omgeving. Het te kiezen scenario zal dus moeten voorzien in een efficiëntere werkwijze waar de juiste mensen met de juiste kennis de juiste dingen kunnen doen. Denk hierbij ook aan de eerder genoemde continue verbeteringen die nodig zijn. Er zijn zaken die vanuit de ondersteuning van hard- en software leveranciers worden aangeboden bij hun producten als service contracten.

Deze diensten kunnen werk overnemen wat nu ongewenst bij het beheer team ligt, en maakt het daardoor mogelijk om effectiever de juiste mensen in te zetten. Dit is wat op dit moment in een aantal gevallen ook al bewust is geïnitieerd, zoals bij de Firewall oplossing. Het helpt om de juiste kennis in te huren en deze dus niet altijd zelf te hoeven opdoen. Ook is het prettig om achtervang te hebben. De service dienstverlening van ICT leveranciers zitten vooral op het vlak van onderhoud, backup, applicatiebeheer e.d. en daar zit precies de zwakke schakel in de huidige omgeving. Ook landelijke initiatieven zoals Common Ground van de VNG en handreikingen en applicaties van de IBD worden in de gaten gehouden en indien wenselijk geïmplementeerd. Ten slotte wordt zo veel mogelijk geleerd van andere gemeenten en gekeken of dat past bij de wensen van Rhenen. Grip willen houden betekent niet alles zelf willen of moeten doen.

2.3 Wensen en eisen van de gemeente In het Informatiebeleidsplan gemeente Rhenen 2024-2028 wordt de visie en strategie geschetst voor de ontwikkeling van de informatievoorziening binnen de gemeente voor de komende vier jaar. Het richt zich op het professionaliseren van de informatievoorziening en de transitie naar een regie- en datagedreven organisatie. De gemeente Rhenen wil met dit plan waarde leveren voor zowel de inwoner als de organisatie op een duurzame manier. De scenario’s die worden uitgewerkt in dit document zullen hier dan ook op gebaseerd worden, en dan met name in het tijdskader van 4 jaar: 2024-2028. Een grotere tijdspanne heeft ook weinig zin wegens de vele veranderingen die zich binnen en vooral buiten de organisatie in vier jaar kunnen voordoen. De visie wordt gerealiseerd via vijf sporen:

7

1.

Professioneel informatiemanagement: Dit onderdeel benadrukt het belang van een passend applicatielandschap dat het dagelijkse werk binnen de gemeente ondersteunt, met een volledige regie op wijzigingen en een centrale besluitvorming over aanpassingen. Het streeft naar een informatievoorziening die volledig in beeld is, met grip op zowel structurele als incidentele ICTuitgaven, en voldoet aan wet- en regelgeving zonder hierin voorop te lopen. De gemeente Rhenen volgt ICT-ontwikkelingen en experimenteert waar nieuwe technieken waarde toevoegen.

2.

Digitale dienstverlening: Dit spoor richt zich op een dienstverlening die digitaal, toegankelijk, eenvoudig en eigentijds is, met een focus op bruikbaarheid, betrouwbaarheid en

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

3.

4.

5.

beschikbaarheid voor zowel inwoners als medewerkers. Het streeft naar het minimaliseren van storingen en het oplossen daarvan binnen een vastgestelde termijn. Informatieveiligheid en informatiebeheer: De gemeente Rhenen zet zich in voor verantwoordelijk, zorgvuldig en efficiënt omgaan met gegevens en informatie. Het voldoet aan de privacywetgeving (AVG) en informatieveiligheid (BIO), met een 'nee, tenzij'-beleid voor toegangsbeveiliging en een focus op bewustwording en digitale vaardigheden om de kans op datalekken te verkleinen. Datagedreven werken: Dit onderdeel omvat het gebruik van data bij het sturen van beleid, het monitoren van de uitvoering en het verantwoorden van resultaten. Het benadrukt dat datagedreven werken een bijdrage moet leveren aan maatschappelijke doelstellingen of een slag in effectiviteit of efficiëntie. Hybride (samen)werken: Dit spoor promoot integrale en projectmatige samenwerking, digitaal en onafhankelijk van tijd, apparaat of plaats. Het benadrukt het gebruik van de Microsoft suite voor samenwerking en het aanbieden van passende apparaten die Hybride samenwerken ondersteunen.

Deze onderdelen vormen samen de basis voor een toekomstbestendige en professionele informatievoorziening binnen de gemeente Rhenen. Samen met de eerder genoemde kansen en mogelijkheden die keuzes kunnen brengen, zal de uitwerking van de scenario’s hier rekening mee houden. Er wordt geanalyseerd in hoeverre de scenario’s aansluiten op de bovengenoemde sporen, de inrichting, het beheer, en de verdeling van diensten rondom de ICT omgeving naar daar waar de kennis en kunde ligt.

2.4 Relevante wet- en regelgeving De gemeente heeft een grote verantwoordelijkheid voor de beveiliging van data van haar burgers en ondernemers, en ICT-systemen. Wetten en regels spelen daarbij een grote rol en deze worden vanuit overheid voor een groot deel gereguleerd via de volgende 4 onderdelen: •

NIS2 Het verbeteren van de cyberbeveiliging en de veerkracht van essentiële diensten in EU-lidstaten • Bestuurlijk Convenant Digitale Veiligheid gemeenten Beschrijving van taken van gemeente op het gebied van digitale veiligheid • BIO De Baseline Informatiebeveiliging Overheid (BIO) geeft aan welke controles uit de NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017 vereist zijn voor informatiebeveiliging. ▪ Aanbestedingswet De Aanbestedingswet 2012 bevat regels en procedures voor aanbestedingen door (semi-) publieke instellingen in Nederland. In de bijlagen staan deze 4 onderdelen in het kort beschreven.

8

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

3 Scenario's 3.1 Beschrijving van de vier scenario's die de gemeente heeft aangeleverd Er zijn een 4-tal scenario’s voorgesteld door de gemeente Rhenen, die in dit onderzoek gevolgd worden. Indien tijdens dit onderzoek nog valide nieuwe scenario’s boven komen drijven, kunnen die er aan toegevoegd worden. De 4 scenario’s zijn: ▪ ▪ ▪ ▪

Lease aanhouden / strategische samenwerking met IT partner Uitbesteding aan regionale partner Overgang naar Cloud Apparatuur overkopen en zelf inrichten en onderhouden.

Hieronder volgt een uitdieping van deze vier scenario's, waarbij aspecten als de voordelen en nadelen, haalbaarheid en risico’s, kosten en baten, en een onderlinge evaluatie worden besproken.

Scenario 1: Lease aanhouden / strategische samenwerking met partner Beschrijving Het idee achter dit scenario is het continueren van de huidige situatie. Het voortzetten (vernieuwen) van het leasecontract voor de hardware en het operationele hardware beheer hiervan. Voordelen • Eenvoudige oplossing ▪ Infrastructuur is grotendeels ontzorgd • Veel grip op systeembeheer en continuïteit Nadelen • Relatief duur • Afhankelijkheid van de partner voor infra beheer • Sluit niet aan op visie voor innovatie en toekomstige ontwikkelingen • Rigide afspraak voor meerdere jaren, dus weinig flexibiliteit om te reageren op de wereld. Deze oplossing is een van de meest eenvoudige oplossingen en kan het snelste worden doorgevoerd. Het contract met de dienstenleverancier wat nu bestaat kan als voorbeeld dienen voor het vervolg, wat als aanbesteding natuurlijk in de markt gezet moet worden. Het contract voor de lease van de hardware kan verlengd worden. Ook garantie- en licentiecontracten die nodig zijn voor deze oplossing kunnen nog enkele jaren verlengd worden. De infrastructurele kant van de hardware is grotendeels ontzorgd, denk hierbij aan incident management zoals wanneer ad hoc een datadrager gewisseld moet worden, of andere hardware direct vervangen moet worden.

Met de dienstenleverancier wordt voor zowel het opslagsysteem als voor de servers een servicecontract afgesloten waarbij garantie op de hardware afgekocht wordt. Hierin wordt de doorlooptijd van incidenten ook vastgelegd. Al heeft dit natuurlijk altijd een prijs.

9

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 Voor de rest van de beheertaken is er veel grip te houden, want het is immers in eigen beheer wat door het eigen ICT beheer team wordt uitgevoerd. Zij kennen de omgeving goed, en kunnen daar eenvoudig op doorpakken. Het nadeel echter, is dat alles tegen een prijs komt. Uitgaande van de huidige kosten van de lease (ca. € 68.000,- per jaar) is dat erg hoog. Ter illustratie, vergelijkbare nieuwe hardware zou ongeveer het dubbele hiervan kosten, maar een operationele afschrijving van 6 tot 7 jaar hebben. Men kan dus spreken van een verdrievoudiging van de kosten. Ook zijn er andere operationele kosten zoals die van het datacentrum (ca. € 10.000,- per jaar). Dat omvat natuurlijk meer elementen zoals ook de beheerkosten en running kosten en marge voor de leverancier. Op de wijze waarop de leverancier zijn beheer doet is geen invloed op uit te oefenen, want dat is de dienst die de leverancier zelf aanbiedt. Al met al is het nadeel van het uitbesteden van dit onderdeel, dat ook veel grip en controle uit handen gegeven wordt. Aan de andere kant word je ook ontzorgd op dat onderdeel. Haalbaarheid en risico’s De haalbaarheid is eenvoudig en vraagt geen lange doorlooptijd. De belangrijkste factor hierin is de snelheid van het uitvoeren van een aanbesteding en het komen tot een besluit.

Feitelijk verandert er niets. Omdat het een voortzetting van de huidige opzet betekent, is er geen migratie bij gemoeid waar risico’s uit voort zouden kunnen vloeien. Qua beheer ontstaan er geen nieuwe risico’s. De hardware en inrichting heeft zich afgelopen 2 jaar bewezen voldoende te zijn, en lijkt ook de komende jaren voldoende te zijn voor de wensen van de gemeente. Het hardware contract ligt natuurlijk vast voor zijn doorlooptijd dus het afschalen van hardware is lastig, opschalen kan eventueel wel makkelijker (in of buiten het lease contract). Het is dus minder flexibel inzetbaar richting toekomst, maar met de kennis van nu lijkt dit niet een groot risico te vormen. De risico’s zitten vooral op het gebied van de Service Level Agreement. Wat staat hierin afgedekt? Binnen welke kaders worden calamiteiten, storingen, of incidenten afgehandeld? Deze voorwaarden kunnen in dit stadium opnieuw beoordeeld worden of de huidige situatie nog steeds aansluit bij de wens van de toekomst. Het is in elk geval nuttig gebleken dat er diensten uit te besteden zijn aan de ICT partner waardoor de continuïteit van prestatie van de hardware niet ter discussie staat. Kosten en baten Dit scenario brengt grotendeels dezelfde kosten met zich mee als waar de gemeente nu mee bekend is. Onderstaande opsomming is geen compleet kostenplaatje, en omvat alleen de kosten die binnen scope zijn.

De kernkosten zijn om en nabij: ▪ Lease van de hardware (ca €68.000 per jaar) • Kosten datacentrum (€10.000 per jaar). De kosten hiervan zijn sterk afhankelijk van wijzigende kosten voor stroom. De huur van de ruimte zelf ligt op €360 euro. In Juni gaf de gemeente aan dat de kosten op de laatste factuur bijna €870 euro waren. De stroomprijzen zijn na de prijsschok in 2023 nog steeds niet terug op het oude niveau maar lijken inmiddels wel gestabiliseerd te zijn. • Kosten ondersteuningscontract: €28.000 per jaar • Ondersteuningskosten hardware o Netapp: €11.000 per jaar. o Cisco switches & servers: €4.500 per jaar. • Licentiekosten hardware o Cisco Switches: €800 per jaar. ▪ Licentiekosten voor applicaties. De applicaties die binnen scope zijn kosten totaal: ▪ On-Prem: €197.000 ▪ SaaS: €9.000 (gaat specifiek om Key2Begraven)

10

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 •

VMWare: €10.000, begint vanaf 2027. Er bestaat eventueel een optie om te besparen op deze kosten door over te stappen op Hyper-V. Dit product heeft wel minder geavanceerde functies.

Totale kosten (incl. licenties, excl. VMWare 2027): € 328.000 per jaar.

Scenario 2: Uitbesteding aan regionale partner Beschrijving Dit scenario is een bekend model waar gemeente Rhenen al ervaring mee heeft. Het onderbrengen van de ICT omgeving bij een partner-gemeente of uitvoeringsorganisatie. Dit moet aansluiten op de wensen en behoeften van gemeente Rhenen. Ondanks dat gemeente Rhenen zicht heeft ontvlochten van gemeente Veenendaal, wil dat niet zeggen dat zij niet open staan voor een andere partner, zolang de voorwaarden maar concreet zijn en opgevolgd kunnen worden. Voordelen ▪ Volledig ontzorgen van infra - en beheer omgeving ▪ Kennis over ICT voor gemeentes geborgd ▪ Schaalvoordeel waarop meegelift kan worden bij de partner Nadelen • Geen grip of controle over de ICT omgeving • Afhankelijkheid van de partner voor infra beheer • Beperkte mogelijkheid om beleid te vertalen naar uitvoer • Haalbaarheid laag voor het vinden van een partner, lange doorlooptijd verwacht Ondanks de keuze van gemeente Rhenen om zich los te koppelen van de afhankelijkheid rondom de ICT van een andere gemeente, wil het niet zeggen dat er geen mogelijkheid bestaat dit toch weer aan te gaan met een gemeentelijke partner. Het is immers een volledig ontzorgde oplossing, waarbij praktisch alle ‘lasten’ bij de partner gemeente komt te liggen. Deze kennen ook de behoeften van een ICT omgeving van een gemeente.

Bovendien kan door schaalvoordeel kostenbesparingen voor alle partijen opleveren, die in een solo oplossing niet haalbaar zouden zijn. Echter, het werken vanuit een eigen Informatiebeleidsplan en -visie wordt dan ook beperkt. Met name op het gebied van een ‘volledige regie op wijzigingen en een centrale besluitvorming over aanpassingen’ en de expliciete keuze voor bijvoorbeeld Hybride (samen)werken, zoals dit in het informatiebeleidsplan wordt beschreven. Indien dit niet wordt ondersteund door de partner, kunnen dit soort randvoorwaarden dan niet worden ingevuld. Dus of er moet een partner gevonden worden die dezelfde visie nastreeft, of de eigen visie moet losgelaten worden. Indien de keuze op dit scenario valt, zal in elk geval goed onderzocht moeten worden welke specifieke randvoorwaarden opgesteld moeten worden zodat er voldaan kan worden aan het informatiebeleidsplan, de visie op ICT en de uitvoer van het ICT landschap (zowel hardware als applicaties). Denk hierbij aan vragen en requirements zoals: • • • •

11

Welke facetten worden opgenomen in beheer bij de partnergemeente? Welke rollen worden zelf -, en welke door de partner gemeente vervuld (denk aan dagelijkse operationele serviceverlening naar gebruikers, beheer en werkplekondersteuning)? Waar ligt het omslagpunt van eigen service/beheer naar de partnergemeente in strategische en tactische keuzes (zoals backup beleid, update beleid, Cloud migraties e.d.)? Hoeveel invloed en keuze is er bij ingebruikname van applicaties die wel of niet ondersteund kunnen worden door de partnergemeente?

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 • • •

Hoe waarborgt de partnergemeente continuïteit van de verleende dienst en welke processen zijn hiervoor in werking? Welke impact heeft deze samenwerking op de dagelijkse bedrijfsvoerings processen en de servicemanagement processen? Waar kan worden meegelift op de schaalvoordelen en hoe groot zijn deze?

Dit zijn zaken die per situatie (mogelijke partner) anders kunnen zijn en kunnen dus niet generiek beantwoord worden, maar zullen in de afspraken met een mogelijke partnergemeente afgestemd moeten worden. D Daarbij gaat er wel altijd een stuk autonomie en eigen grip op de ICT omgeving verloren en wordt het risico gelopen dat ervaringen uit het verleden opnieuw zich voordoen. De overstap naar een alternatief, of doorgroei naar eigen behoefte is dan ook groot en complex (zoals de ervaring heeft geleerd bij de ontvlechting van gemeente Veenendaal). Er zal dus verder uitgebreid onderzoek gedaan moeten worden welke specifieke eisen gemeente Rhenen stelt aan zo’n partner voordat de zoektocht naar een partnergemeente gestart kan worden en er tot overeenstemming gekomen kan worden. Haalbaarheid en Risico’s Gezien bovenstaande argumentatie lijkt dit scenario op het termijn van dit adviesdocument niet heel haalbaar, om zowel op korte termijn te realiseren (ingaande per maart 2025) en dat het kan voldoen aan de opgestelde visie, richtlijnen, wensen en eisen. Er is weinig grip op strategische keuzes voor wat betreft de architectuur van de ICT omgeving en in hoeverre deze compliant is aan wet- en regelgeving, security, dataprotectie en -beleid (waar staat de data).

Het risico bestaat dat er een stap terug in de tijd wordt gezet die juist bewust achter is gelaten bij de ontvlechting met Veenendaal als dit niet goed uitgezocht wordt. Het is goed om nu gesprekken te starten met regionale gemeenten (bijv. Foodvalley) om vanaf 2029 eventueel voor dit toekomstscenario te gaan. Kosten en baten Voordat de kosten en baten inzichtelijk te maken zijn zal eerst duidelijkheid moeten komen in de requirements en eisen die gesteld worden aan zo’n partner. Pas bij het aangaan van gesprekken met potentiële partners kan er over de business case gesproken worden. We kunnen wel leunen op de voorgeschiedenis zoals deze voor de ontvlechting was. De kosten die in 2022 hiervoor betaald werden aan de gemeente Veenendaal bedroeg € 227.000. Daar zaten niet alle licenties in, want Rhenen had zelf ook licenties in beheer. Het geeft echter een indicatie van de uitbestedingskosten in dit scenario, maar dit kan 3 jaar na dato natuurlijk een andere som opleveren.

Scenario 3: Overgang naar Cloud oplossing Beschrijving In dit scenario kijken we naar de overgang van on-prem naar de Cloud. Bij het naar de Cloud brengen maken we een onderscheid tussen het Platform en het Applicatielandschap. Het Cloud platform zorgt voor het kunnen laten landen van applicaties en de opslag van data (storage). Er zijn diverse aanbieders, waarvan de meest bekende Microsoft (Azure), Amazon (AWS), en Google (GCP) zijn.

12

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 Applicaties die door de applicatieleverancier worden beheerd, worden ook wel SaaS applicaties genoemd (Software As A Service). Niet alle applicaties worden als SaaS-dienst aangeboden, maar veel inmiddels wel, en de ontwikkelingen in de markt laten zien dat dit in de toekomst alleen maar zal toenemen. 1 Voordelen ▪ Lage beheerlast voor SaaS applicaties, regulier voor legacy applicaties ▪ Veel grip en controle voor uitvoer van eigen beleid en strategie in dit netwerk binnen de kaders van het gekozen product. ▪ Gefaseerde overgang van legacy naar Cloud • Architectuur is volledig nieuw op te bouwen binnen alle requirements en compliance • Contracten zelf te beheren • Afhankelijk wat er SaaS zit: werkplezier ICT Team (betere afstemming van de juiste mensen op de juiste plek) • Flexibel in schaalbaarheid en doorgroei • Hoge veiligheidsstandaard vanuit leveranciers • Af te stemmen op compliance regel- en wetgeving binnen de kaders die daarin geboden worden door de leverancier • Altijd de laatste versie van de software ▪ Duidelijke scheidslijn technisch - en functioneel beheer ▪ Klaar voor de toekomst Nadelen ▪ Hoge kapitaalinvestering in licenties, migratie en werkplektransformatie project ▪ Kosten vaak pas duidelijk na consultatietraject leverancier ▪ Hogere inzet eigen bronnen voor strategie, beheer, en

transformatie ▪ Afhankelijkheid van (internationale) bedrijven voor hosting en facilitering van (beheer) tooling. ▪ Herontwerp nodig van datagedreven werken voor rapportages en inzichten in data uit Cloud applicaties ▪ Minder grip in versiebeheer van de applicatie door automatische updates ▪ Leveranciers zijn niet altijd gewend aan bijzondere wensen van overheidsklanten ▪ Complexe omgeving met een hoge drempel voor gebruikers (volledig nieuw werkplekconcept) ▪ Overgang naar regieorganisatie en functies binnen team ICT kost tijd. ▪ Specialistische kennis (transformatie en beheer) over RDP en virtuele netwerken is nu onvoldoende aanwezig binnen de gemeente ▪ Niet alles kán in de Cloud wegens wet- en regelgeving of omdat applicatie lokaal móeten draaien. Dat impliceert alsnog fysieke hardware on-prem, incl. beheerlast, onderhoud en service. De Cloud oplossing kent veel voordelen, die aansluiten op de wens van de gemeente. Het is schaalbaar, kosteneffectief (te maken), veilig, compliant (te maken), en toekomstbestendig, en het volgt de trend in

Er zijn ook mogelijkheden om een niet-SaaS applicatie alsnog in de Cloud te plaatsen, maar dit zal verder uitgewerkt moeten worden in de architectuur van de ICT omgeving wanneer hiervoor behoefte bestaat. Dit is met name interessant wanneer het grootste deel van de applicaties als SaaS-dienst wordt afgenomen en er nog maar een handvol on-prem servers nodig zijn. Dit zou daarom een logisch vervolg van dit scenario kunnen zijn wanneer na 2028 de huidige hardware vervangen moet worden. In de huidige situatie is dit echter niet interessant, omdat er voor dit scenario ervan uit wordt gegaan dat de leverancier de applicatie (op termijn) als SaaS aanbiedt. Hoeveel dat er zijn is nu nog niet concreet te maken en vraagt verdere analyse bij uitvoer van dit scenario. 1

13

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 kantoorautomatisering wereldwijd om de werkplek volledig in de Cloud te hanteren. Het kent echter ook nadelen en risico's. Haalbaarheid en Risico’s Dit scenario is inhoudelijk beoordeeld door de IT partner in hun Cloud Assessment, waarbij de conclusie was dat een volledige overstap naar de Cloud voor de gemeente op dit moment een te grote stap is, die afgeraden wordt om in een keer te nemen. Het betekent een grote impact op de organisatie. Het brengt hoge kosten en een lange doorlooptijd met zich mee voor deze complete transformatie van zowel het platform als alle applicaties, en legt een grote beheers last neer die nu (nog niet) ingevuld kan worden door het huidige beheerteam. Om alle onderdelen daarin nu te begeleiden naar de Cloud is een enorme onderneming, en heeft een grote impact op de eindgebruikers, de dienstverlening van de gemeente en de algehele bedrijfsvoering. Uit deze assessment blijkt ook dat niet alle onderdelen gegarandeerd naar een Cloud oplossing te kunnen migreren. Er zijn applicaties en hardware actief (RAAS) die vereisen om lokaal on-prem te draaien, zoals de vingerprint scan voor het uitgeven van paspoorten. Ook is de gemeente altijd verantwoordelijk voor de eigen data, en kan daartoe extra eisen stellen waar een leverancier mogelijk (nog) geen ondersteuning voor biedt.

Hierdoor lijkt dit scenario ‘volledig naar de Cloud’ niet haalbaar. Echter, een van de belangrijkste eigenschappen van ‘naar de Cloud gaan’, is dat het flexibel op te bouwen is waardoor er wel snel de voordelen van in te zetten zijn. Het is een ontwikkeling die in de ICT markt op vele plekken te zien zijn, waarbij het voor kleinschalige organisaties tegenwoordig makkelijker is om zelf het heft in handen te nemen en de ICT omgeving naar eigen inzicht, via de Cloud, in te richten. Waar vroeger de architectuur, inrichting, beheer en uitvoer extreem complex kon worden wanneer er stringente eisen aan ten grondslag lagen, maken steeds meer organisaties zelfstandig deze stap. Er kan immers op veel vlakken met de dienstverlenende leveranciers afspraken worden gemaakt over beheer, veiligheid, compliance en additionele ondersteuning (1e, 2e lijns support). Ook dat versterkt deze trend om deze stap te kunnen maken. De flexibiliteit achter deze oplossing is de mogelijkheid om onderdelen op te knippen en gesegmenteerd naar de Cloud te brengen. Er kan gestart worden met onderdelen die een sterke business case hebben en direct voordeel halen uit de Cloud toepassing. Daardoor kan bijvoorbeeld on-prem hardware gradueel afgeschaald worden, en de gebruikers krijgt de tijd om te wennen aan de transitie naar meer Cloud oplossingen in het werk.

Ook het kunnen waarborgen van de dienstverlening zelf kan op deze manier schaalbaar ingezet worden. De eigen ICT beheer medewerkers kunnen vervolgens meegroeien met de transitie in hun kennis en ervaring. Het applicatiebeheer wordt veelal grotendeels ook bij de applicatieleverancier belegd, i.p.v. dat dit door eigen ICT medewerkers moet worden uitgevoerd. Zij kunnen nog steeds een 2e of 3e lijns support verlenen en als intermediair optreden tussen de key-users en de service dienstverlener, zodat hiermee ook het risico van ‘eenmanszaken in het beheerteam’ effectief gemitigeerd worden. Zij houden hierdoor capaciteit over om hun tijd aan de zaken te besteden waar zij hun meerwaarde voor de gemeente kunnen inzetten, zoals monitoring, optimalisaties, compliance ontwikkelingen, en leveranciersmanagement (afhankelijk van het takenpakket wat wordt afgestemd). Dit scenario met gesegmenteerde aanpak vraagt wel om een strategische aanpak, zodat de juiste onderdelen op het juiste moment verSaaSd kunnen worden en het resultaat geoptimaliseerd wordt. De impact van een implementatie van bijvoorbeeld Azure als Cloud platform is een substantiële verandering voor de beheer omgeving, een applicatie naar de Cloud brengen is vooral een hoge impact voor de eindgebruiker.

Doordat er veel grip en controle over beheer, inrichting en architectuur bestaat in dit scenario, is daarmee wel de inzet van eigen resources voor de uitvoer nodig (denk aan Cloud-, netwerk-, en mogelijk key users 14

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 voor 1e lijns applicatiebeheer). Ook moet rekening worden gehouden met wijzigende rollen binnen het beheerteam. Het beheerteam zal zich verhoudingsgewijs meer met leveranciersmanagement bezig moeten houden en heeft daar mogelijk ondersteuning in nodig. Een kernvraag die bij dit scenario gesteld moet worden, is: In hoeverre leunen de processen van de gemeente op de basisfunctionaliteiten van applicatie, databases, netwerken e.d. of zijn zij autonoom gedefinieerd vanuit de visie en strategie? Het antwoord hierop bepaalt de impact en keuze van leverancier(s) en soorten oplossingen. Voordat er dus een specifieke keuze gemaakt kan worden welke leveranciers gekozen worden voor de Cloud oplossing, zal dus duidelijk moeten zijn welke bedrijfsprocessen hierdoor geraakt worden en hoe zich dat vertaalt naar de architectuur van de omgeving. Ten slotte: omdat dit alternatieve scenario een gedeeltelijke Cloud en gedeeltelijk on-prem oplossing is, zal scenario 1 of 4 als aanvullend scenario moeten gelden om te zorgen dat het on-prem gedeelte afgedekt wordt. Vooral voor applicaties zullen de kosten gradueel verschuiven naar de SaaS omgeving. Hierbij moet er rekening mee gehouden worden dat de kosten voor de applicatie stijgen terwijl de kosten voor de on-prem omgeving een tijd lang gelijk kunnen blijven.

Pas als genoeg applicaties zijn verhuisd naar de Cloud kan bijvoorbeeld een server worden uitgezet en hoeven de daarbij behorende diensten- en ondersteuningscontracten niet langer verlengd worden. Dit alles natuurlijk afhankelijk van de benodigde investering in de on-prem hard- en software (zie kosten onderdeel in scenario 1 en 4). Optimaliseren beheersorganisatie Cloud & On prem De beheerorganisatie moet gereed zijn om zowel Cloud als on-prem aan te kunnen. Dat betekent dat zij kennis, ervaring, rechten, en bronnen moeten hebben om dit optimaal uit te kunnen voeren. Het beheerteam zoals dit nu bestaat en functioneert, heeft mogelijk aanvullende training nodig voor de nieuwe beheertaken binnen de cloudapplicaties die zij dan beheren. De bestaande bronnen kunnen daarbij ook beter verdeeld worden in de taken die nodig zijn dan nu het geval is. Van taken die nu nog bij dit team liggen moet beoordeeld worden of deze verplaatst kunnen worden naar de verSaaSde applicatie en diens service dienstverlening (applicatiebeheer). Op basis van de beschikbare bronnen, zowel in FTE, als in kennis en ervaring, kan besloten worden hoe de werkverdeling ten uitvoer gebracht kan worden. Geografische en datarisico’s De gemeente is altijd verantwoordelijk voor de eigen data, en kan daartoe extra eisen stellen waar een leverancier mogelijk (nog) geen ondersteuning voor biedt.

Het vraagt extra aandacht voor wat er in de Cloud gebeurt met de data, waar het opgeslagen is en welke instanties toegang hebben tot de data. Hierover zijn verschillende (Europese) richtlijnen van kracht, die zowel binnen BIO als NIS2 worden aangehaald, en vanuit de gemeente extra duiding verwachten, wanneer er met (grote) tech bedrijven als Centric, Microsoft, Amazon of anderen samenwerkingsverbanden en/of licentieovereenkomsten worden gesloten. Service Level Agreements Ook in dit scenario zitten er risico’s op het gebied van de Service Level Agreement. Wat staat hierin afgedekt? Binnen welke kaders worden calamiteiten, storingen, of incidenten afgehandeld? Deze voorwaarden kunnen in dit stadium opnieuw beoordeeld worden of de huidige situatie nog steeds aansluit bij de wens van de toekomst en aangepast worden bij noodzaak daarvan. Licensering Oracle Vrijwel alle applicaties bij gemeente Rhenen die op een database steunen gebruiken een Oracle database. De licensering voor Oracle wordt afgekocht via Centric Melodies licenties. Deze licenties zijn conditioneel aan het gebruik van Centric applicaties en mogen niet gebruikt worden als er geen Centric applicaties in de on-prem omgeving gebruikt worden.

Mochten de Centric applicaties allemaal gemigreerd zijn naar SaaS, dan moeten niet-gemigreerde applicaties die op Oracle leunen ofwel ook gemigreerd zijn, of de database gemigreerd hebben naar Microsoft SQL Server met de daarbij additioneel behorende investering. 15

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 Kosten en baten De kosten worden opgedeeld in de huidige on-prem en potentiële Cloud kosten. On-prem onderdelen zijn afhankelijk of scenario 1 of 4 wordt gekozen en dus refereren naar betreffende scenario’s. De verSaaSing verschuift de kosten van applicaties. Waar nu hardware nodig is en licentiekosten berekend worden, wordt in een SaaS versie normaliter een vast bedrag – meestal per gebruiker en/of per hoeveelheid data – betaald welke de door de leverancier gemaakte kosten en de softwarelicentie dekt. Het is voor veel leveranciers lastig om een kostenindicatie te geven zonder een consultatieproject. Sommige kosten hieronder zijn dus indicaties op basis van soortgelijke klanten. Een deel van de applicaties bij de gemeente zijn buiten scope van dit project. Dit zijn de applicaties die nu al in de cloud staan, maar ook een aantal die on prem staan. De belangrijkste hiervan zijn Coda en het zaaksysteem. Voor Coda moet een vervanging komen, eventueel Coda in SaaS. Voor het zaaksysteem wordt nu Decos als naslag en Mozard als actief product gebruikt. Deze gebruiken gezamenlijk net iets meer dan 1/3e van de capaciteit van een fysieke server. De hoeveelheid gebruik van een fysieke server is gebaseerd op de hoeveelheid werkgeheugen die de virtuele servers waar de applicatie op staat toegewezen hebben.

In het geval van gedeelde virtuele servers is het werkgeheugen gedeeld op basis van de hoeveelheid applicaties op die server. Kosten per applicatie: • JCC suite: ▪ On-Prem: €13.000 en ongeveer 20% van een server. ▪ SaaS: €20.000. • Centric: ▪ On-Prem: €55.000 en ongeveer 30% van een server. ▪ SaaS: Om een correcte schatting te verkrijgen is een langdurig consultatietraject bij Centric nodig. Door Centric geschatte kosten zijn jaarlijks €100.000 en eenmalig €330.000 • Cognos: ▪ On-Prem: €4.000 en ongeveer 12% van een server. Cognos wordt gebruikt voor de Centric suite. ▪ SaaS: Dit product wordt vanuit Centric aangeleverd, en wordt gebruikt voor hun systemen. Bij een verSaaSing van de Centric software wordt ook dit product in de SaaS variant aangeboden. Gezien het benodigde consultatietraject schatten we nu deze kosten op €7.000 • Corsa: ▪ On-Prem: €20.000 en ongeveer 10% van een server. ▪ SaaS: Hier is een scopingstraject voor nodig. Dit scopingstraject is kosteloos. Wel gaat BCT over op een cloud-only strategie waarbij een on-prem optie niet langer ondersteund wordt. Maandelijkse basiskosten: €1100 + €0,65 per GB. Met 350 GB komt dat neer op ca €16.000. Extra kosten voor Rhenen-specifieke eisen worden in het scopingstraject bepaald. • Equitrac & Autostore – Deze diensten zijn op dit moment niet als SaaS-optie af te nemen.

• ARCGis & NedBrowser – Deze diensten horen bij elkaar en draaien ook op dezelfde server: ▪ On-Prem: €36.000 en ongeveer 5% van een server. ▪ SaaS: De kosten hiervan zijn onbekend. De leverancier vereist een consultatieproject alvorens hier een offerte van kan worden afgegeven. • FileCap: ▪ On-Prem: €2.500 en ongeveer 1% van een server. ▪ SaaS: €3.000 • Liquit: ▪ On-Prem: €15.000 en ongeveer 3% van een server ▪ SaaS: €15.000 • Xential: ▪ On-Prem: €11.000 en ongeveer 12% van een server 16

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 ▪ SaaS: €15.000 Op dit moment wordt ongeveer 70% van de geheugencapaciteit van server gebruikt. Er is altijd extra capaciteit nodig voor het geval dat een fysieke server tijdelijk uit productie moet worden genomen. Dit is nu mogelijk. Zodra het totale geheugengebruik onder 50% zakt, kan eventueel een server uitgezet worden. Bij de SaaS oplossing blijven ook altijd on-prem gedeeltes actief, dus die kosten zullen niet helemaal verdwijnen. Totaalkosten SaaS: > €273.0002 per jaar (let op voetnoot)

Scenario 4: Hardware overnemen en zelf inrichten/onderhouden Beschrijving Dit 4e en laatste scenario is op veel fronten gelijk aan scenario 1, op het verschil van juridisch eigendom na. In dit scenario kijken we namelijk naar de mogelijkheid om de hardware die nu geleased wordt, over te nemen en zelf te blijven onderhouden, aangevuld met al dan niet bestaande service contracten. Dit impliceert dat alles één op één overgenomen wordt, en er dus geen verdere verSaaSing vanuit de gemeente geïnitieerd wordt en het platform vanuit eigen beweging niet naar de Cloud gaat. Wel biedt het de mogelijkheid later in de tijd applicaties alsnog te verSaaSen (omdat de leverancier dat traject start, of omdat het de gemeente voordeel oplevert).

Voordelen • Vergelijkbaar met scenario 1 • Eenvoudige oplossing • Veel grip op systeembeheer en continuïteit • Veel goedkoper dan scenario 1 Nadelen • Hoge vervangingsinvestering na economische levensduur • Scherpe budgettering en afschrijvingsmodel voor voldoende cashflow • Data storage, backup, beheer en management allemaal lokaal • Niet ontzorgd, dus álles zelf doen (buiten wat in service contract is afgesproken) • Minder flexibel in gebruik voor eindgebruikers (complexere wijze om remote te werken bv.) • Kwetsbaarder • Sluit niet aan op visie voor innovatie en toekomstige ontwikkeling Dit scenario lijkt zoals gezegd op scenario 1 waarbij het lease contract wordt verlengd. Dit scenario gaat echter een stap verder en de gemeente Rhenen wordt eigenaar van de hardware. Dit betekent dat er een initiële investering gedaan moet worden om de hardware over te kunnen nemen, maar dat betaalt zich terug in de totale doorlooptijd kosten. De lease kosten komen immers elke termijn weer opnieuw naar voren, en zijn 100% kosten, er zit geen investering in eigendom in. Dat in tegenstelling tot dit scenario waarin de hardware kosten eenmalig gemaakt worden (investering in activa) en daarna de gehele looptijd van de economische levensduur van de hardware geen additionele kosten kent.

Door dit administratief correct te verwerken betekent dit een slimmere cashflow, waarbij de reservering voor vervangingsinvestering financiële voordelen met zich mee kan brengen. Doordat het in eigen beheer is, en eenvoudig te beheren is, kan er flexibeler geopereerd worden op situaties of toekomstige ontwikkelingen. Het beheer van deze hardware is van een niveau dat het huidige Deze kosten zijn niet volledig, omdat leveranciers van o.a. ARCGis & NedBrowser hier een consultancy offerte moeten maken. Andere kosten kunnen geschat zijn wegens ontbrekende gegevens vanuit de leverancier. 2

17

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 beheerteam dat eenvoudig eigen kan maken, al zal hier mogelijk aanvullende kennis vergaard moeten worden. Er zijn echter wel bronnen (tijd en geld) voor nodig om het te beheren, en neemt daarmee tijd weg die het team ook aan andere taken zou kunnen besteden. Taken zoals gebruikersondersteuning en service desk, monitoring en het optimaliseren van de omgeving n.a.v. resultaten uit incidenten en monitoring. Een belangrijke tijdsbesteding van het team zit nu op functioneel applicatiebeheertaken waardoor veel van eerder genoemde werkzaamheden nu ook niet plaats kunnen vinden maar die wel gewenst zijn. Het verplaatsen van deze applicatiebeheerderstaken naar derden (intern of extern) en het inrichten van service processen zou een mitigerende maatregel kunnen zijn hiervoor. Het hardware service contract kan tevens in stand blijven (of hernieuwd, afhankelijk van de gedetailleerde afspraken) zodat zaken als hardware incidenten (bv een HDD die ad hoc vervangen moet worden) alsnog onder het service contract vallen en direct door de betreffende ICT partner verholpen wordt. Dit komt als het ware neer op het afkopen van extra garantie. Deze kosten zijn gelijk aan scenario 1.

Daarnaast kunnen zij ook een aanvullende support en diensten bieden op het eigen beheerteam, zodat ook het risico van het ‘eenmanschap per kennisgebied’ gemitigeerd wordt door het onder te verdelen bij een derde organisatie. Een nadeel wat dit op zichzelf staande scenario met zich meebrengt, is dat er dus geen verSaaSing plaats vindt of het netwerk platform naar de Cloud gebracht wordt. Dit betekent dat data opslag en applicaties allemaal on-prem draaien en dus lastiger beschikbaar te maken zijn voor remote toegang, zoals thuiswerkers of samenwerkende partijen. Daar zijn wel oplossingen voor te creëren, maar maken het extra bewerkelijk, hebben een hogere mate van beveiligingsbeheer nodig en kosten beheerbronnen. Ook het voldoen aan compliance vanuit wet- en regelgeving is complex omdat dit volledig zelf opgezet moet worden en er niet of weinig op derden geleund kan worden bij de uitvoer daarvan. Daarnaast bestaat het risico van vermenigvuldiging van bestanden doordat ze niet (remote) gedeeld worden, maar als losse bijlagen via mail verzonden worden, in plaats van de applicatie zelf zoals in het zaaksysteem. Dit is uiterst inefficiënt en sluit niet aan bij de wereldwijde trend om dit effectiever en efficiënter te doen via Cloud oplossingen (delen i.p.v. mailen), en is dus niet toekomstgericht.

Haalbaarheid en Risico’s Dit is eenvoudig haalbaar om in de praktijk door te voeren, en gaat vooral over financiële, administratieve en contractuele afspraken. Het vergt een primaire investering om nu direct de kosten van de over te nemen hardware te kunnen dragen, maar is op administratief accounting niveau mogelijk interessanter. Die investering is nu overigens vele malen lager dan na het aflopen van dit afschrijvingstermijn omdat de hardware inmiddels al 2 jaar oud is. De gemiddelde economische levensduur van vergelijkbare hardware is tussen de 5 en 7 jaar, dus dat impliceert dat deze hardware nog zo’n 3 tot 5 jaar mee kan voor het vervangen dient te worden. Daarna wordt dat termijn dus (financieel gezien) langer en zal meegenomen moeten worden in de begroting voor over 3 tot 5 jaar. De jaarlijkse reservering (afschrijving) is deze eerste periode dus boekwaarde technisch hoger dan de volgende golf van investering van nieuwe hardware. Mocht dit scenario met scenario 3 worden gecombineerd is het mogelijk dat er na de afschrijvingsperiode ook minder dure hardware hoeft te worden gekocht om te voorzien in de eisen van de omgeving van dat moment (afhankelijk van de mate van verSaaSing van het applicatielandschap). Als ander risico geldt hier dezelfde als in scenario 1, de inhoud van het Service Level Agreement.

Kosten en baten Dit scenario brengt grotendeels dezelfde kosten met zich mee als waar de gemeente nu mee bekend is. Onderstaande opsomming is geen compleet kostenplaatje, en omvat alleen de kosten die binnen scope zijn. De kernkosten zijn omme nabij:

18

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 •

▪ ▪ ▪ ▪

Aankoop van de hardware bedraagt in maart 2025: €1.800. Dit is de restwaarde van de hardware volgens de financieringsmaatschappij en geldt als overname prijs. • Kosten datacentrum (€10.000 per jaar). De kosten hiervan zijn sterk afhankelijk van wijzigende kosten voor stroom. De huur van de ruimte zelf ligt op €360 euro. In Juni gaf de gemeente aan dat de kosten op de laatste factuur bijna €870 euro waren. De stroomprijzen zijn na de prijsschok in 2023 nog steeds niet terug op het oude niveau maar lijken inmiddels wel gestabiliseerd te zijn. • Kosten ondersteuningscontract: €28.000 per jaar • Ondersteuningskosten hardware o Netapp: €11.000 per jaar. o Cisco switches & servers: €4.500 per jaar. • Licentiekosten hardware o Cisco Switches: €800 per jaar. Licentiekosten voor applicaties. De applicaties die binnen scope zijn kosten totaal: On-Prem: €197.000 VMWare: €10.000, begint vanaf 2027. Er bestaat eventueel een optie om te besparen op deze kosten door over te stappen op Hyper-V. Dit product heeft wel minder geavanceerde functies. SaaS: €8.700 (gaat specifiek om Key2Begraven)

Totale kosten (incl. licenties, excl. VMWare 2027): € 261.800 per jaar.

19

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

4 Advies 4.1 Aanbeveling op basis van de bevindingen Wanneer alle scenario’s op een rijtje worden gezet, vallen een aantal zaken direct in het oog. Op basis van de gewenste situatie en de eigenschappen waar de gemeente Rhenen naar op zoek is, vallen scenario 1 en 2 op dit moment het minst gunstig uit. Scenario 1 is eenvoudig, maar een dure oplossing. Er worden alleen kosten gemaakt zonder verdere investering, en er ontstaat geen eigendom. Het is 2 jaar terug een behulpzaam middel geweest, maar op langere termijn is en blijft dit een financieringsmodel wat toentertijd paste in de wens. Maar om dit te blijven handhaven staat een stevige prijs. Scenario 2 vraagt veel tijd voor onderzoek om alle requirements scherp te krijgen die aansluiten bij het informatiebeleidsplan, vervolgens een geschikte partnergemeente te vinden, daarmee te onderhandelen, en tot een overeenstemming te komen. De inschatting is dat dit niet op tijd georganiseerd kan worden, en waarbij de uitkomst mogelijk niet voldoet aan de gestelde wensen en eisen van de gemeente. Vanuit die overwegingen, en de genoemde voordelen, adviseren wij met twee scenario’s door te gaan en deze op hun kracht te combineren: Scenario 3 en 4.

Scenario 3 heeft als sterke eigenschappen dat het aansluit bij het informatiebeleidsplan, toekomstgericht is, efficiëntie creëert voor de eindgebruikers en flexibel kan worden opgeschaald naar waar de markt en de gemeentelijke visie zich ontwikkelt. De Cloud Assessment concludeerde dat volledige Cloud niet wenselijk is en dat onderschrijven wij. Een volledige Cloud omgeving multipliceert de kosten ten opzichte van wat de gemeente nu heeft omdat de on-prem servers eenvoudigweg gemigreerd worden naar de Cloud. Een park virtuele Cloud-servers is echter duurder dan een park virtuele on-prem servers in scenario 4. Echter, door dit scenario te combineren met de sterke kwaliteiten van scenario 4, kan de hardware in eigendom en in eigen beheer genomen worden tegen een zeer lage initiële investering, aangevuld met SLA’s met de IT-dienstverlener(s) die zorgen voor continuïteit daar waar het zelf niet gewaarborgd kan worden. Daar waar scenario 4 in tekort schiet wordt dit opgelost door de verSaaSing en Cloud oplossingen uit scenario 3. Daar waar de zwaktepunten liggen van scenario 3 helpt nummer 4 bij het eenvoudig en beheersbaar houden en is het kostentechnisch interessant. Op deze manier ontstaat een ‘best of both worlds’ concept. Eigen hardware, met datgene naar de Cloud brengen waar het voordeel direct te halen is.