Adviesrapport ICT - gemeente Rhenen

Zoals al gestart is met Microsoft 365 inclusief Cloud storage waardoor eenvoudig remote gewerkt kan worden. Daarbij adviseren we om de kern applicaties, zoals Centric, voorrang te geven om ook naar de Cloud te brengen, zodat ook de voordelen van deze applicaties direct terug te vinden zijn voor de gebruikers en het ICT beheer team. Omdat de gemeente Rhenen ook kostenbewust wil zijn, kan er op basis van budgetten een planning gemaakt worden welke applicaties de juiste business case kennen om op korte, middellang, of lange termijn naar de Cloud gebracht te worden, en is daarmee dus veruit de meest flexibele oplossing. Het beheer van de bestaande hardware is eenvoudiger dan wat er nu nodig is, omdat hardware afgeschaald gaat worden, en ondersteund wordt door SLA’s van de leverancier(s). Applicatiebeheer

20

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 verplaatst door de verSaaSing meer en meer naar de betreffende leverancier toe, waardoor ook die elementen minder drukken op de werklast van de bestaande beheerafdeling. Door met de leverancier(s) en hun implementatie team van dit scenario een gedegen architectuur op te zetten, is er ruimte om compliance met NIS2, BIO en andere compliance elementen door de CISO te laten mee ontwerpen en te implementeren, daar waar dit nu onvoldoende zou zijn. Deze architectuur kan vervolgens vertaald worden naar het netwerk- en werkplekconcept ontwerp wat vervolgens uitvoerbaar wordt via het implementatie project. Dit ontwerp hoeft echter niet van nul af aan te starten, want eigenlijk ís alles er al en gaat het meer om modificeren dan volledig opnieuw bouwen. Dit alles leidt ertoe dat de ICT omgeving voor de gemeente Rhenen stabiel draait, flexibel genoeg is om te reageren op toekomstige ontwikkelingen, het de eindgebruikers (zowel medewerkers van de gemeente, als de bewoners) voorziet van een robuust platform om mee te werken (lokaal op het gemeentehuis of remote vanaf een eigen locatie). Daarbij is het kosteneffectief, betaalbaarder dan de huidige situatie (zeker op langer termijn) en kan er over 3-5 jaar opnieuw beoordeeld worden welke architectuurkeuze gemaakt moet worden.

Mogelijk kan er dan zelfs hardware afgestoten of afgeschaald worden omdat er op dat moment een meerderheid reeds in de Cloud draait – afhankelijk van de keuzes die tussen nu en dan worden gemaakt in het opschalen daarvan of het samenwerken met een regionale partner. Ten slotte sluit het aan op alle 5 stromen van het informatiebeleidsplan en kan er een professionalisering worden nagestreefd voor betere aansluiting op wet- en regelgeving zoals AVG, BIO en NIS2 en andere, toekomstige bepalingen (zoals BIO2 die in de maak is). De kosten voor deze combinatie bedragen de investeringen voor de hardware overname eenmalig €1.800, de jaarlijkse hardware en licentiekosten bedragen ca € 262.000. Per belangrijkste applicaties is een overzicht getoond bij de uitwerking van scenario 3 voor een kostenindicatie. Daarnaast moet nog wel rekening gehouden worden met de transformatie projectinvestering van dit combinatie scenario, die op aanvraag van de begeleidende ICT dienstverlener opgeleverd kan worden. Deze kosten zijn daarom voor nu nog niet bekend.

4.2 Aanbevelingen voor de implementatie van het scenario Hieronder volgen nog een aantal aanbevelingen die we vanuit onze ervaring graag meegeven aan het hierboven gegeven advies. Om het optimale scenario te implementeren, raden we aan om de volgende stappen te volgen: ▪ Stel een prioriteitenlijst op van de kernapplicaties die naar de Cloud kunnen worden gemigreerd, zoals bijvoorbeeld Centric, en maak hiervoor een roadmap en een business case. Houd rekening met de afhankelijkheden, de impact en de risico's van elke migratie. ▪ Vergeet de gebruiker niet. Adoptie van het nieuwe scenario zorgt voor een substantiële betere acceptatie en succesvolle implementatie van een nieuwe ICT omgeving. De impact op de organisatie wordt daarmee vele malen gecontroleerder en beter uitvoerbaar. ▪ Voer een compliance scan uit om te bepalen welke eisen er gelden voor de organisatie op het gebied van NIS2 en BIO. Breng de huidige situatie en de gewenste situatie helder in kaart en identificeer de maatregelen die nodig zijn om compliant te worden. Zorg voor een periodieke monitoring en rapportage van de compliance status. 21

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 ▪ Om het servicemanagement naar een volgend niveau te tillen is het aan te bevelen om een eenvoudige service procesanalyse uit te voeren (neem de inzichten van ITIL hierin mee) om de huidige werkwijze en verbeterpunten in kaart te brengen. Richt daarop een service management proces in dat aansluit bij de nieuwe omgeving. Zorg voor een goede rolverdeling en verantwoordelijkheden tussen de interne en externe partijen. ▪ Stel op basis van al bestaande inzichten, wensen en eisen een Cloud-beleid op dat de visie, de doelstellingen, de richtlijnen en de governance van de Cloud-strategie beschrijft. Betrek hierbij de relevante stakeholders, zoals de bestuurders, de gebruikers, de ICT-afdeling en de leveranciers. Maak duidelijke afspraken over de beveiliging, de beschikbaarheid, de performance, de kosten en de mogelijke innovatie van de clouddiensten. ▪ Richt een effectief leveranciersmanagement in om de relaties met de Cloud leveranciers te beheren en te optimaliseren. Stel een leveranciersstrategie op die de selectiecriteria, de contractvoorwaarden, licentiemodellen, de SLA's, de KPI's en de evaluatiemethoden bevat. Zorg voor een regelmatige communicatie en feedback met de leveranciers en stuur bij waar nodig.

22

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1

5 Bijlagen 5.1 Wet- en regelgeving NIS2 De Europese Unie heeft de NIS2-richtlijn3 aangenomen als een vervolg op de NIS-richtlijn. Deze richt zich op het verbeteren van de cyberbeveiliging en de veerkracht van essentiële diensten in EU-lidstaten. De reikwijdte van de eerste richtlijn wordt uitgebreid door meer sectoren toe te voegen. Op dit moment wordt de NIS2 omgezet naar Nederlandse wetgeving. Ter voorbereiding op deze wetswijziging kunnen de centrale onderwerpen uit NIS2 al wel worden meegenomen in het advies naar de toekomstige ICT omgeving van gemeente Rhenen. Deze richt zich op de volgende kerngebieden: ▪ Zorgplicht: De richtlijn legt een verantwoordelijkheid bij organisaties om zelf het risico te beoordelen. Afhankelijk van deze risicoanalyse nemen zij geschikte maatregelen om de dienstverlening zo goed mogelijk te handhaven en de informatie te beveiligen. Voor de verschillende sectoren die onder NIS2 vallen worden aanvullende eisen gesteld aan de verantwoordelijkheid. Voor de overheid houdt dit in ieder geval de Baseline Informatiebeveiliging Overheid (BIO) 2.0 in. ▪ Meldplicht: De richtlijn bepaalt dat entiteiten incidenten die de dienstverlening van de essentiële entiteit aanzienlijk (kunnen) onderbreken, binnen 24 uur moeten rapporteren aan de toezichthouder.

Dit geldt ook voor cyberincidenten, die bij het Computer Security Incident Response Team (CSIRT) moeten worden gemeld, zodat zij hulp en ondersteuning kunnen bieden. Factoren die een incident meldplichtig maken, zijn onder andere het aantal personen dat hinder ondervindt van de verstoring, de duur van de verstoring, en de eventuele financiële schade. De specifieke waarden waarboven een melding moet plaatsvinden, worden nader geregeld per sector. ▪ Toezicht: Organisaties die onder de richtlijn vallen, moeten toezicht accepteren. De NIS2-richtlijn bepaalt dat een onafhankelijk toezichthouder (geen interbestuurlijk toezicht voor medeoverheden) controleert of ze zich aan de richtlijn houden, zoals de zorg- en meldplicht. Voor de overheid is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder. De RDI gebruikt bestaande verantwoordingsstructuren voor het NIS2-toezicht op de overheid. Zo blijft de administratieve last van het toezicht laag.

Bestuurlijk Convenant Digitale Veiligheid gemeenten. Het Bestuurlijke Convenant Digitale Veiligheid gemeenten4 is in december 2022 getekend door de staatssecretaris van BZK, de minister van J&V en de VNG-voorzitter en burgemeester van Den Haag. De overeenkomst hoort bij het Actieplan Nederlandse Cybersecurity strategie 2022-2028. Een werkgroep van medewerkers van BZK, J&V, VNG en G4 pakt nu de 3 systeemuitdagingen aan (focuspunten in de overeenkomst). Die zijn afgeleid van: ▪ het fysieke veiligheidsstelsel naar het digitale veiligheidsstelsel. ▪ de vraag hoe de bevoegdheden zich in beide domeinen tot elkaar verhouden. ▪ de informatiepositie op digitale veiligheid binnen de eigen gemeente. 3 4

Zie https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/nis2-richtlijn/ Zie https://vng.nl/sites/default/files/2022-12/Convenant_digitale_veiligheid_rijk-gemeenten.pdf

23

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 ▪ structurele financiering om de digitale veiligheid van gemeenten te vergroten. De uitwerking gaat over de taken van gemeenten op het vlak van de digitale veiligheid. Dit in verband met de acties die al zijn ondernomen om de doelstellingen van het convenant te behalen.

Baseline Informatiebeveiliging Overheid De Baseline Informatiebeveiliging Overheid (BIO)5 geeft aan welke controles uit de NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017 vereist zijn voor informatiebeveiliging. Voor elke controle moet er, afhankelijk van het risico, een manier gekozen worden om het beveiligingsdoel te halen. Zoals te lezen in het voorwoord van de BIO beschrijft deze de invulling van de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017 voor de overheid. Met klem vermeldt zij dat de BIO deze normen niet vervangt. Er zijn drie basisbeveiligingsniveaus (BBN's) die proportioneel zijn aan de te beschermen belangen in combinatie met relevante dreigingen. BBN1 is het minimale niveau, BBN2 is het standaard niveau voor de meeste overheidsinformatie, en BBN3 is voor informatie die bescherming vereist tegen geavanceerde dreigingen. De verschillen tussen de basisbeveiligingsniveaus (BBN's) zijn als volgt: ▪ BBN1: Dit is het minimale niveau van beveiliging en is gericht op de bescherming van informatie die minimaal verwacht mag worden. Het is geschikt voor informatie die minder kritisch is en waarbij de impact van beveiligingsincidenten beperkt is. ▪ BBN2: Dit niveau is het standaardniveau voor de meeste overheidsinformatie.

Het biedt een evenwichtige bescherming voor informatie die als 'normaal' wordt beschouwd en waarbij een gemiddeld niveau van beveiliging vereist is. Dit niveau wordt vaak toegepast op informatie die vertrouwelijk is, maar niet van kritisch belang. ▪ BBN3: Dit is het hoogste niveau en is bedoeld voor informatie die bescherming vereist tegen geavanceerde dreigingen. Dit niveau is van toepassing op zeer vertrouwelijke informatie waarbij de impact van beveiligingsincidenten groot kan zijn, zoals informatie die weerstand moet bieden tegen statelijke actoren of vergelijkbare dreigingen. Elk BBN bestaat uit een aantal controles, een aantal verplichte overheidsmaatregelen, en een verantwoordings- en toezichtregime. De keuze voor een BBN wordt gemaakt door de proceseigenaar en is gebaseerd op risicomanagement. De BIO biedt een BBN-toets om te helpen bij het bepalen van het juiste niveau voor een informatiesysteem. Deze is opgenomen in de Bijlagen.

Aanbestedingswet De Aanbestedingswet 2012 bevat regels en procedures voor aanbestedingen door (semi-)publieke instellingen in Nederland. De wet is bedoeld om het vrij verkeer van goederen, diensten en kapitaal tussen EU-lidstaten te bevorderen en een optimale marktwerking te bereiken. Aanbestedingsregels gelden voor de Rijksoverheid, gemeenten, provincies en waterschappen, publiekrechtelijke instellingen (zoals universiteiten en scholen) en speciale-sectorbedrijven (zoals drinkwaterbedrijven, energiebedrijven en vervoersdiensten als Schiphol en de NS). Overheden moeten zich bij een aanbestedingsprocedure aan de volgende uitgangspunten houden: bedrijven dezelfde kansen geven op opdrachten zonder te letten op het land waar ze vandaan komen (non-discriminatiebeginsel); alle bedrijven die kans maken op een opdracht hetzelfde behandelen (gelijkheidsbeginsel); duidelijke informatie aan ondernemers geven over de aanbesteding

5

Zie https://www.bio-overheid.nl/media/13kduqsi/bio-versie-104zv_def.pdf

24

Adviesrapport ICT omgeving en -strategie t.b.v. gemeente Rhenen | versie 1.1 (transparantiebeginsel); en eisen stellen die in verhouding staan tot de opdracht en de grootte daarvan (proportionaliteitsbeginsel). De Europese Commissie heeft recentelijk nieuwe drempelbedragen voor Europese aanbestedingen gepubliceerd. Als de geraamde waarde van een opdracht gelijk is aan of meer is dan het nieuwe drempelbedrag, moeten decentrale overheden vanaf 1 januari 2024 deze opdracht Europees aanbesteden. De nieuwe drempelbedragen zijn als volgt (niet alleen voor gemeenten): •

Voor klassieke overheidsopdrachten: € 5.538.000,- voor werken; € 143.000,- voor leveringen en diensten gegund door centrale overheidsinstanties en prijsvragen; € 221.000,- voor leveringen en diensten gegund door niet-centrale overheidsinstanties en prijsvragen.

•

Voor concessies: € 5.538.000,- voor werken.

•

Voor overheidsopdrachten in de sectoren water- en energievoorziening, vervoers- en postdiensten: € 443.000 voor leveringen, diensten en prijsvragen; € 5.538.000,- voor werken.

•

Voor defensie en veiligheid: € 443.000,- voor opdrachten voor leveringen en diensten; € 5.538.000,- voor werken.

De drempels voor overheidsopdrachten voor sociale en andere specifieke diensten blijven ongewijzigd op € 750.000,-.

25