Informatienota stand van zaken ICT ontvlechting

Informatienota college/raad Datum Behandelaar Zaaknummer Portefeuillehouder Besluitvormend orgaan Publicatieniveau Onderwerp

: : : : : : :

17 augustus 2023 Babet Veldhuizen 1104910 drs. J.A. van der Pas College Rhenen Openbaar Informatienota ICT Ontvlechting

Kennisnemen van: Het college besluit; kennis te nemen van de Stand van zaken ICT-ontvlechting gemeente Rhenen met Veenendaal en opbouw van de eigen ICT-omgeving en -beveiliging

Aanleiding/voorgeschiedenis De gemeente Rhenen en de gemeente Veenendaal hebben vanaf 2013 een samenwerking op het gebied van ICT. Kort gezegd houdt dit in dat de gemeente Veenendaal onze ICT-voorzieningen beheert. Deze samenwerking is jaren goed geweest maar werd in de loop der jaren steeds complexer. Veenendaal koos vaker een andere richting, die steeds minder aansloot bij de visie van Rhenen. Rhenen heeft daarom besloten de DVO ICT-Dienstverlening met Veenendaal te beëindigen. In eerste instantie zou deze DVO per 1 januari 2023 stop gezet worden. Door verschillende omstandigheden (voornamelijk problemen rondom capaciteit en de levering van ICTapparatuur/infrastructuur) is dit echter uitgesteld tot 1 juli 2023. De uitgebreide argumentatie voor dit uitstel is terug te vinden in de informatienota van 15 november 2022 (zaaknummer 958826). Toelichting op de inhoud Middels deze informatienota brengen wij u op de hoogte van de voortgang van de ontvlechting en het opzetten van de ICT-omgeving en de ICT-beveiliging voor de gemeente Rhenen. Terugblik: De ICT ontvlechting Sinds 1 juli 2023 is de gemeente Rhenen verantwoordelijk voor de eigen ICT-voorziening en uitvoering. Dit is goed nieuws, want dit betekent dat de deadline voor de ontvlechting op 1 juli gehaald is.

Om te komen tot deze zelfstandige ICT-voorziening voor de gemeente Rhenen per 1 juli 2023 zijn de volgende werkzaamheden uitgevoerd: 1. Keuze voor leverancier: de gemeente heeft Telindus gekozen als leverancier en monitoring van de hardware. a) De hardware wordt niet aangeschaft, maar geleased. Dit doet Rhenen omdat we na afronding van de ontvlechting het cloud-beleid willen opstellen. Daarvoor nu de investering doen voor hier keuzes in zijn gemaakt vinden wij onverstandig. Zelf nu hardware aanschaffen is met deze onduidelijkheid te duur (afschrijving).

b) Telindus monitort onze hardware (servers). Dit doen ze voor meer gemeenten (o.a. Amsterdam, Hilversum en Maastricht) waardoor efficiënt optreden bij bijvoorbeeld updates, incidenten en onderbrekingen op de apparatuur regulier werk voor ze is. 2. Nieuwe systemen en eigen beheer: door het afronden van de ontvlechting voeren we ons eigen beheer over de ICT-omgeving (met monitoring van Telindus, zoals hierboven vermeld) en hebben we ook enkele nieuwe systemen aangeschaft. a) We beschikken over een nieuw helpdesksysteem; Zendesk. Ook voor het reserveren van vergaderruimtes is een nieuw systeem aangeschaft: GoBright. Beide systemen zijn in juni live gebracht en worden door de gehele organisatie gebruikt. b) We zijn als gemeente Rhenen uit de glasvezelverbindingen met de gemeente Veenendaal gehaald. Glasvezelbedrijf Trent heeft voor de gemeente Rhenen redundante glasvezelverbindingen naar het datacentrum BIT in Ede gelegd. Om geen problemen te krijgen met de (digitale) bereikbaarheid zijn deze werkzaamheden in het weekend uitgevoerd. c) Op het gebied van informatiebeveiliging is de firewall geïnstalleerd. Daarnaast is er een extra beveiligingsmaatregel geconfigureerd door de installatie van een reverse proxy. Deze proxy helpt de prestatie, schaalbaarheid en beveiliging van de gemeente te verbeteren.

De Active Directory, waarin alle medewerkers met bijbehorende rechten staan vermeld, is gekopieerd en wordt momenteel verder ingericht. d) We hebben de telefooncentrale met Veenendaal gesplitst en momenteel de beschikking over onze eigen telefoonlijn. De werking van de telefonie is voor de medewerkers nagenoeg hetzelfde gebleven. e) We hebben diverse licenties (weer) in eigen beheer gekregen. Ook de servers met de daarop draaiende applicaties zijn gemigreerd naar de nieuwe ICT-omgeving in het datacentrum BIT in Ede. Daarmee is dit onderdeel ook in eigen beheer gekomen. f) Tot slot zijn er door een externe partij pentesten uitgevoerd om de veiligheid van de nieuwe ICT omgeving te toetsen. Een serie is vooraf aan de ontvlechting uitgevoerd, de andere serie korte tijd na de ontvlechting. Op basis van de uitkomsten van deze testen is een verbeterplan opgesteld wat door ICT de komende periode opgepakt wordt om risico’s zoveel mogelijk te beperken. We zijn nu volledig gescheiden van Veenendaal. In eerste instantie is er een virtuele scheiding gerealiseerd en als laatste actie is de fysieke verbinding tussen de patchkasten van Veenendaal en Rhenen in het datacentrum BIT verwijderd. In de laatste stuurgroep hebben de gemeenten elkaar bedankt voor de fijne samenwerking en de wens uitgesproken om in het vervolg in positieve zin in contact met elkaar te blijven. 3.

Versterken team ICT: het in huis halen van de ICT brengt extra verantwoordelijkheden met zich mee welke eerst bij Veenendaal belegd waren. Het is belangrijk team ICT hierin te faciliteren, ondersteunen en voor te bereiden op deze nieuwe taken. Om dit te bereiken zijn de volgende acties opgezet: a) Inzet aanvullende capaciteit voor team ICT met een systeembeheerder gespecialiseerd in security. b) Start coördinator ICT voor de inrichting van een professionele inrichting van o.a. change management, incident management, contract management en risico management. c) Inrichting van crisisorganisatie. Hier zijn met alle betrokkenen werk- en procesafspraken over gemaakt. Deze worden komende periode nog verder verbeterd en uitgewerkt tot een uitgebreidere en verbeterde versie. Financiën

Wij nemen u graag mee in het totale kostenplaatje van de ontvlechting voor 2023. Eenmalige kosten Het totaal van eenmalige kosten komt uit op € 201.598,00. Hierin zitten bijvoorbeeld implementatie- en migratiekosten van applicaties en benodigde acties voor het opbouwen van de technische infrastructuur. Hiervan kan naar verwachting circa € 100.000 opgevangen worden binnen de begrotingspost voor informatisering en automatisering. Aanvullend hierop is er een bedrag van € 88.071,75 in rekening gebracht door Veenendaal voor de kosten die zij gemaakt hebben. Over de verdeling van deze kosten zijn wij nog in gesprek met de gemeente Veenendaal. Uiterlijk einde van het jaar verwachten we dat de financiële kostenverdeling duidelijk is. Naar verwachting krijgen wij o.b.v. van de eenmalige kosten en de rekening vanuit Veenendaal te maken met een tekort. Wij zullen u over de laatste stand van zaken informeren bij de eerstvolgende rapportage uit de planning en control cyclus. Structurele kosten | Infrastructuur In aanloop naar de ontvlechting is er voor gekozen om de nieuwe ICT-omgeving niet zelf op te bouwen, maar de apparatuur te leasen en te laten hosten door een externe partij. Het totaal aan jaarlijkse kosten, incl. leasekosten, onderhoudskosten, benodigde software en huurkosten voor plaatsing komt uit op een totaal van € 159.133,14.

Als wij dit afzetten tegen de huidige DVO-kosten met Veenendaal zijn deze kosten tegen elkaar weg te strepen. De jaarlijkse DVO kosten van Veenendaal waren een stuk lager (€ 90.630,28) maar daarentegen waren er jaarlijks meerwerkfacturen voor automatiseringsoplossingen of de inhuur van personeel. Het totaal aan meerwerk voor bijvoorbeeld 2022 kwam uit op € 99.926,92. Dit geeft het volgende overzicht op jaarbasis: Huidige kosten ICT infrastructuur Rhenen Kosten DVO Veenendaal 2022 Meerwerkfacturen Veenendaal 2022

€ 159.133,14 € 90.630,28 € 99.926,92

Verschil (-/-)

€ 31.424,06

Structurele kosten | Licenties Tot slot is het belangrijk om de structurele licentiekosten te benoemen. Deze werden al door Rhenen betaald, maar liepen ten tijde van de DVO via Veenendaal. Voor deze licenties is nu een nieuw contract afgesloten op naam van de gemeente Rhenen. Het gaat hierbij om het volgende: Structurele applicatie kosten Structurele licentie kosten systeem

€ 42.282,30 € 31.227,12

Door het wegvallen van het gezamenlijke inkoop/schaalvoordeel en de inflatiepercentages bij leveranciers vallen deze kosten gemiddeld genomen hoger uit als voor de ontvlechting. Dit is echter wel binnen de begroting op te vangen. Een blik vooruit Met het afronden van de ICT-ontvlechting is er voor Rhenen ruimte om weer vooruit te kijken en plannen te maken voor een verdere ontwikkeling van de ICT-omgeving en het applicatielandschap. Hierbij ligt de focus in eerste instantie op onderstaande onderdelen: • •

Actualiseren informatiebeleidsplan Verdere professionalisering ICT & security

• • •

Ontwikkelen portfoliomanagement Voorbereiding aanbesteding nieuwe zaaksysteem Versterken digitale dienstverlening

Conclusie Tot slot blikken wij graag met u terug naar de overwegingen en constateringen die de aanleiding zijn geweest voor het besluit tot ontvlechting. De volgende uitgangspunten waren bij de besluitvorming in 2022 leidend. Per punt is benoemd welke verbetering, oplossing of volgende stap de ontvlechting heeft opgeleverd. 1. Door zelf regie te voeren op de ICT-voorzieningen die nodig zijn voor Rhenen verbeteren we onze dienstverlening naar inwoners, bedrijven en instellingen en de interne organisatie. Samen met onze externe partners zijn wij in staat ICT voorziening naar het gewenste resultaat te brengen. Doordat Rhenen niet meer afhankelijk is van de gemeente Veenendaal, is er nu een direct mandaat om de ICT-omgeving en informatieveiligheid naar een nieuw niveau te brengen. Dit omvat o.a. de uitbreiding van het team, maar ook het uitrollen van de laptops en hybride werken, het ontwikkelen van cloud-beleid en het upgraden van verschillende applicaties naar de cloud. 2. Door zelf regie te voeren op onze ICT-voorziening krijgen we grip op de kosten De afgelopen jaren had Rhenen geen tot weinig invloed op prijsverhogingen vanuit Veenendaal. Ook werden er jaarlijks meerwerkfacturen verstuurd, waarop we vooraf nietkonden anticiperen laat staan sturen. Nu heeft Rhenen de kosten (meer) in eigen hand.

Met externe (commerciële) partijen zijn vaste prijsafspraken gemaakt: je betaalt alleen voor wat je afneemt. Aanvullende wensen vragen om aanvullende investeringen. Dit vraagt om gerichte keuzes van Rhenen over hoe het budget te besteden maar er is geen onduidelijkheid meer over de kosten of sprake van gedwongen investeringen. Ook hebben we zo meer invloed op de afname van licenties en de inzet van applicaties. 3. Door de overeenkomst met Veenendaal zijn we minder flexibel en wordt Rhenen geremd in strategische keuzes die ze wil maken. a. Rhenen wil eigen keuzes maken m.b.t. welke applicaties in de cloud gaan draaien (opereren). In samenspraak met onze externe partners is dit nu mogelijk. b. Rhenen bepaalt nu de eigen prioritering en planning van projecten en is hierin niet meer afhankelijk van de planning of prioritering vanuit Veenendaal. Dit is positief voor de (externe en interne) dienstverlening binnen de gemeente Rhenen. De gewenste en geplande projecten staan nu eerder bovenaan de lijst. Tegelijkertijd vraagt dit om een professionele inrichting van het portfoliomanagement binnen de gemeenten Rhenen. Hier wordt nu door team ICT aan gewerkt. 4. Rhenen is goed in staat om de ICT-voorzieningen volledig zelf te gaan beheren; hiervoor hebben we de geschikte collega’s bij ICT. Dit scheelt tijd en beperkt kosten op de langere termijn. a.

Omdat Rhenen ten tijde van de DVO al een groot deel van de ICT-voorzieningen zelf in beheer had, zijn deze taken goed geborgd. Doordat de ICT-collega’s van Rhenen nu geen onderdeel meer uitmaken van de DVO, zijn deze collega’s volledig inzetbaar voor Rhenen. Dit geeft rust en focus en maakt ons flexibel en adaptief. Aandachtspunt blijft wel de kwetsbaarheid van team ICT bij uitval van één van de teamleden. Op dit moment is er sprake van een duidelijke scheiding van taken en is een groot deel van het werk niet van elkaar over te nemen bij langdurige afwezigheid. Samen met externe partijen wordt op dit moment bekeken hoe we dit risico zo veel mogelijk kunnen beperken. b. Om de ICT-omgeving toekomstbestendig en beheersbaar te houden is een verdere professionalisering en uitbreiding van het team wel noodzakelijk. Dit wordt mede mogelijk gemaakt door de inzet van een ICT-coördinator en de vacature ruimte voor een systeembeheerder gespecialiseerd in security. Ook vraagt dit een aanpassing in de huidige werkwijze van het team. Hier worden op dit moment samen met de ICT-coördinator en CISO stappen ingezet.

5. Het werken met externe (commerciële) partijen levert snelheid, een betere beveiliging en flexibiliteit op. Bovendien is een gemeente geen ICT-dienstverlener. De samenwerking met commerciële partijen biedt nieuwe kansen voor Rhenen en geeft flexibiliteit. Externe partijen hebben een grote schaalbaarheid en zijn doordoor sneller in staat om ontwikkelingen te implementeren in de dienstverlening. Ook zijn dit soort partijen minder kwetsbaar voor uitval en werkdruk door de schaalgrootte van de organisatie.