03F Voorjaarsrapportage 2022 SSC DeSom versie 1.0

VOORSTEL aan Dagelijks Bestuur

Datum

21 maart 2022

Nummer Opsteller

Namens MT SSC DeSom, Peter Kuiken.

Onderwerp

Vaststelling Voorjaarsrapportage 2022

Samenvatting

De Voorjaarsrapportage 2022 betreft een bijstelling van de Begroting 2022 als gevolg van actuele inzichten en een status update van de lopende projecten.

Voorstel

Akkoord gaan met de Voorjaarsrapportage 2022 en indien gewenst aan te bieden aan de gemeenteraden met het verzoek hun zienswijzen hierop af te geven.

Interne toetsing

O Juridische gevolgen O Personele gevolgen

Nadere toelichting

Zie hieronder.

X Financiële gevolgen O Item voor de PVT

P.A. Kuiken, directeur SSC DeSom

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 1

BESLUIT van het Dagelijks Bestuur

Datum

13 april 2022

Nummer Voorstel

Akkoord gaan met de Voorjaarsrapportage 2022.

Besluit

Het DB gaat akkoord met de Voorjaarsrapportage 2022. En omdat deze rapportage leidt tot wijziging in de bijdragen van de deelnemers, besluit het DB de Voorjaarsrapportage 2022 naar de gemeenteraden te sturen voor zienswijzen. Het DB verzoekt de directie de Voorjaarsrapportage 2022 ter besluitvorming te agenderen in de eerstvolgende vergadering van het Algemeen Bestuur.

Namens het Dagelijks Bestuur van de gemeenschappelijke regeling SSC DeSom, d.d. 13 april 2022 De voorzitter,

De directeur,

F.R. Streng

P.A. Kuiken

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 2

TOELICHTING De Begroting 2022 van SSC DeSom is op 14 juli 2021 door het Algemeen Bestuur vastgesteld. Het is goed om gedurende het dienstjaar de begroting integraal te beoordelen op basis van actualiteit en wellicht te herzien. In de budgetcyclus van SSC DeSom zijn twee momenten gepland waarbij de vastgestelde begroting integraal wordt beoordeeld op basis van actuele inzichten. In de voorjaarsrapportage wordt met name beoordeeld of uitgangspunten en eventuele aannames bij de begroting aansluiten bij de werkelijkheid. In de najaarsrapportage wordt vooral gekeken hoe de geraamde budgetten zich verhouden tot de werkelijke uitgaven en inkomsten van dat moment. Begroting 2022 is op verzoek van de deelnemers wederom beleidsarm opgesteld. Ook heeft SSC DeSom afgelopen jaren een taakstelling opgelegd gekregen waardoor alle lucht uit de begroting is. Dit betekent dat eventuele afwijkingen en/of tegenvallers vaak niet opgevangen kunnen worden in de lopende begroting. De volgende onderwerpen worden in de Voorjaarsrapportage 2022 aan u voorgelegd: 1 In de Begroting 2022 zijn ontwikkelingen aangekondigd die onafwendbaar zijn en mogelijk leiden die tot extra budgetaanvragen. Op moment van opstellen van de Begroting 2022 waren echter nog geen concrete plannen en ramingen voor handen.

Daarom heeft het bestuur destijds besloten deze ontwikkelingen te agenderen op het moment dat deze ontwikkelingen zich aandienen; 2 Begrotingswijzigingen; 3 Investeringsaanvragen.

Toelichting ad. 1 Ontwikkelingen waarvoor in de Begroting 2022 geen budget is aangevraagd. In de vastgestelde Begroting 2022 zijn de volgende ontwikkelingen op gebied van gemeentelijke informatievoorziening en digitalisering - aangeleverd door de informatiemanagers - aangekondigd:  SAAS ontwikkeling;  Data gestuurd werken;  Common Ground;  Toekomst van de werkplek. Op dit moment zijn bovenstaande ontwikkelingen - zoals het er nu naar uitziet - nog onvoldoende uitgewerkt om de impact op de bedrijfsvoering en budgetten van SSC DeSom te kunnen bepalen. Mogelijk volgt later dit jaar in de Najaarsrapportage 2022 een budgetaanvraag voor deze specifieke ontwikkelingen. Hieronder volgt per ontwikkeling een nadere toelichting. SAAS ontwikkeling Alle applicatieleveranciers streven naar SAAS ontwikkeling, maar we zien dat het tempo van de daadwerkelijke ver-SAAS-ing afgelopen jaren is achtergebleven bij de eerdere verwachtingen. In tegenstelling tot de verwachte afname van de infrastructuur en beheerlast voor SSC DeSom, signaleerden wij afgelopen jaren zelfs een groei. Ook zien we dat na de overstap naar SAAS de oude applicatie en data vaak toch beschikbaar moeten blijven. Door de SAAS ontwikkelingen en de nieuwe koppelvlakken is onze infrastructuur veel complexer geworden en verschuiven de verantwoordelijkheden.

Dit vraagt om duidelijke demarcatie van de verantwoordelijkheden en nieuwe beheerafspraken. Hierover zijn we met de deelnemers in gesprek op gebied van informatiemanagement, architectuur en informatiebeveiliging. SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 3

Data gestuurd werken SSC DeSom heeft een eigen dataplatform opgezet waarmee rapportages en dashboards ontwikkeld kunnen worden. SSC DeSom gebruikt dit platform nu alleen om te rapporteren aan de deelnemers over de dienstverlening. Omdat Business Intelligence officieel (nog) niet tot onze dienstverlening behoort, beschikken wij helaas niet over de middelen en de medewerkers om dit verder te ontwikkelen en goed te kunnen beheren. Het is aan de deelnemers om hier een tijdpad en kosten aan te verbinden. Aan WerkSaam Westfriesland en SED levert SSC DeSom ook een dataplatform waarmee zij zelf aan de slag kunnen. De verbruikskosten hiervan worden één-op-één doorbelast aan deze organisaties. Het beheeraspect is wel een aandachtspunt. Common Ground SSC DeSom en zijn deelnemers ontwikkelen zelf geen applicaties, dus hiervoor zijn wij sterk afhankelijk van de applicatieleveranciers. Pas als er concrete ontwikkelingen en opdrachten vanuit de deelnemers zijn, kunnen we gezamenlijk onderzoeken wat dit betekent voor onze huidige infrastructuur en voor de dienstverlening van SSC DeSom. Hierbij dienen informatiemanagement, architectuur en informatiebeveiliging betrokken te worden. Toekomst van de werkplek Afgelopen jaren is gezamenlijk met de deelnemers een nieuwe digitale werkplek (DWO) ontwikkeld en deze is gefaseerd in gebruik genomen gedurende de periode 2019-2020.

Het DWO project is in 2021 beëindigd na implementatie van de afgesproken basisfunctionaliteiten. Vanuit de adviescommissie is in mei 2021 aan de informatiemanagers gevraagd om gezamenlijk met SSC DeSom een Roadmap op te stellen voor de eventueel gewenste doorontwikkeling inclusief prioritering en kosten. De inventarisatie hiervoor is uitgevoerd en momenteel wordt door een regionale werkgroep gewerkt aan een advies dat de basis kan vormen voor eventuele vervolgopdrachten en bijbehorende budgetaanvragen.

Toelichting ad. 2 Begrotingswijzigingen. Voortzetting gemeentelijke infrastructuur telefonie incidenteel € 20.000 In verband met het stopzetten van het project GT Connect door de VNG en de lopende juridische procedures, is op verzoek van het Algemeen Bestuur in 2021 door SSC DeSom met de deelnemers een inventarisatie gedaan naar de ambities en behoeften aan telefonie functionaliteiten. Op basis van dat onderzoek en uit kostenoverweging is besloten het huidige telefonie platform maximaal te willen verlengen. Hiervoor is eind 2021 een tweejarig contract met optie voor verlenging afgesloten. De kosten per contractjaar zijn structureel € 20.000 hoger en worden met ingang van Begroting 2023 structureel geregeld. Implementatie GT Print incidenteel € 30.000 In 2019 hebben onze deelnemers besloten dat het nieuwe contract voor onze dienst Printen via een landelijke aanbesteding van de VNG moet lopen. SSC DeSom zal de deelnemers hierbij begeleiden en ondersteunen door middel van een gefaseerd transitieproject per deelnemer. In het kader van deelname aan VNG GT Print is in 2021 via een Europese aanbesteding de vervanging en implementatie van de nieuwe printoplossing voor SSC DeSom aanbesteed (het betreft multifunctional printers inclusief software inrichting en beheer).

Exacte planning van de transitie naar deze nieuwe oplossing en de vervanging van de apparatuur is op dit moment nog niet bekend. De deelnemers hebben hun bestellingen eind 2021 doorgegeven aan SSC DeSom en we zijn nu in afwachting van de levertijden van de apparatuur. De kosten van de transitie waren initieel in 2020 geschat op € 30.000 incidenteel. Dit betrof een reservering voor de minimumvariant (alleen vervanging van de apparatuur). Na gunning van de aanbesteding is duidelijk geworden dat deze reservering niet toereikend SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 4

zal zijn voor de hele implementatie, omdat er ook een volledig nieuwe software oplossing geïnstalleerd moet worden. Op basis van deze activiteiten is de transitie nu opnieuw geraamd en deze wordt geschat op € 60.000 totaal. De eerdere reservering van de minimumvariant (€ 30.000 incidenteel) zal wegens verschuiving in de planning bij de bestemming van het Jaarresultaat 2021 worden overgeheveld naar 2022. Inhuur voor wegwerken achterstanden incidenteel € 150.000 Doordat er in december 2021 acuut ingrijpende maatregelen in verband met Apache Log4j dreigingen getroffen moesten worden, zijn er in het reguliere werk (zoals het afdoen van nieuwe meldingen en het uitvoeren van wijzigingsverzoeken en updates) stevige achterstanden ontstaan. Om deze achterstanden in te kunnen halen is voor wat betreft personele bezetting tijdelijke opschaling nodig. Het Dagelijks Bestuur heeft hiervoor in de vergadering van 17 januari 2022 extra budget beschikbaar gesteld en 17 februari 2022 is voorgesteld om een deel van deze kosten te dekken vanuit het Jaarresultaat 2021 (circa € 28.000). Informatiebeveiligingsbudget SSC DeSom incidenteel € 338.000 De Informatie Beveiligingsdienst (IBD) stelt het volgende; als gevolg van de militaire invasie van Rusland in Oekraïne is het digitale dreigingsbeeld onzeker.

De geopolitieke spanningen tussen het Westen en Rusland veranderen snel en de digitale dreigingen worden daarmee onzekerder. Hackersgroeperingen kiezen in dit conflict een zijde waardoor de onvoorspelbaarheid van de digitale dreigingen toeneemt. Door de toenemende sancties vanuit de Westerse wereld wordt ook Nederland een doelwit van de statelijke hackers uit Rusland en de aangesloten hackersgroeperingen. De kans dat gemeenten, binnen het huidige dreigingsbeeld, direct doelwit zijn van cyberaanvallen is niet groot volgens de verwachting van de IBD. Wel is er een verhoogde kans dat gemeenten indirect slachtoffer worden. De impact op de ambtelijke, bestuurlijke en (gemeente)politieke processen kan groot zijn. Wanneer de regio Westfriesland indirect slachtoffer wordt, is het aannemelijk dat een groot deel, zo niet alle processen daardoor niet meer uitgevoerd kunnen worden. De gemeentelijke CISO’s hebben SSC DeSom gevraagd om een drietal maatregelen naar voren te halen. Deze worden kort toegelicht in bijlage 1 bij deze voorjaarsrapportage: - Optimalisatie beheer van kwetsbaarheden; - Automatisch patchmanagement; - Netwerksegmentatie. Deze maatregelen zijn in lijn met het Regionale Meerjarenplan Informatiebeveiliging (RMI) wat wordt opgesteld door de gemeentelijke CISO’s. De komende periode werken zij het RMI (Stip op de horizon) verder uit.

De drie maatregelen zijn een samenvatting van eerdere bevindingen en adviezen als gevolg van de incidenten Microsoft Exchange (d.d. maart 2021) en Apache Log4j (d.d. december 2021). Naast het verzoek van de CISO’s om bovenstaande additionele maatregelen op te nemen in de voorjaarsrapportage heeft SSC DeSom zelf ook additioneel regulier budget voor informatiebeveiliging nodig. Het huidige reguliere informatiebeveiligingsbudget in de begroting van SSC DeSom maakt circa 1% (€ 65.100) van het begrotingstotaal uit. In 2021 leverde dit geen directe problemen op door het kunnen aanwenden van het toen nog beschikbare incidentele budget voor GGI Veilig. Voor 2022 hebben wij echter geen extra middelen meer beschikbaar en schatten we in dat het reguliere budget in de loop van het tweede kwartaal volledig verbruikt zal zijn. Om snel en adequaat te kunnen handelen bij (vermeende) beveiligingsincidenten is het belangrijk dat SSC DeSom direct informatiebeveiligingsbudget beschikbaar heeft om (preventieve) maatregelen te kunnen nemen binnen de eigen organisatie.

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 5

Tevens is dit budget noodzakelijk om snel en adequaat maatregelen te kunnen blijven nemen in geval van security bevindingen die vallen buiten de hierboven door de CISO’s aangeven prioriteiten. De benodigde extra kosten voor noodzakelijke reguliere informatiebeveiligingsmaatregelen door SSC DeSom zijn voor 2022 ingeschat op ongeveer € 65.000. Deze bestaan uit: - Budget voor inhuren securityconsult bij calamiteiten en beveiligingsincidenten (bijvoorbeeld inhuur forensisch onderzoekbureau); - Budget voor preventieve maatregelen (uitvoeren pentesten en volwassenheidschecks); - Specifieke scholing en certificeringstrajecten; - Op peil houden awareness medewerkers van SSC DeSom. Op basis van budgettaire offertes zijn de volgende kosten per maatregel inzichtelijk gemaakt. Tijdens de inkoopfase worden de werkelijke kosten duidelijk en bij eventuele afwijkingen zal in de najaarsrapportage additionele financiering gevraagd moeten worden. De huidige benodigde (geschatte) kosten staan aangegeven in de tabel hieronder: Wensen gemeentelijke CISO’s Optimalisatie beheer van kwetsbaarheden Automatisch patchmanagement Netwerksegmentatie Benodigd budget SSC DeSom Additioneel informatiebeveiligingsbudget Totaal

Prio 1 2 3

Incidentele kosten € 121.000 € 106.000 € 46.000

-

€ 65.000 € 338.000

De kosten bestaan uit de implementatie van de betreffende maatregelen (projectmanagement, consultancy en specialisten voor inrichting) en licentiekosten. Deze licentiekosten dienen waarschijnlijk direct vanaf het begin van het contract al voldaan te worden. Daarnaast zijn ook kosten begroot voor het onderhoud en beheer van de additionele maatregelen die voortkomen uit bovenstaande projecten. Betreffende kosten zijn in samenspraak met de gemeentelijke CISO’s en een afvaardiging van het Informatiemanagement opgesteld. De maatregelen zullen op een projectmatige wijze worden aangepakt en steeds worden afgestemd met de CISO’s van de deelnemers. In totaal worden er in deze voorjaarsrapportage € 338.000 aan additionele kosten opgenomen om extra invulling te kunnen geven aan het bestrijden van de cyberdreigingen en het verder professionaliseren van de informatiebeveiliging.

Toelichting ad. 3 Investeringsaanvragen. Project Vervanging on-premise infrastructuur aanvullend krediet € 215.000 In de Begroting 2022 van SSC DeSom was al aangekondigd dat er voor 2022 een investering werd voorzien van circa € 350.000. Invulling daarvan had nog niet plaats gevonden. Naar nu blijkt is daarvan € 215.000 nodig. Dit benodigde krediet van € 215.000 wordt gefinancierd met het aantrekken van een langlopende lening met een looptijd van 5 jaar met jaarlijkse aflossing. Conform de Begroting 2022 gaan we uit van een rentepercentage van 0%. De jaarlijkse afschrijvingslasten van het krediet bedragen € 43.000 en zullen met ingang van dienstjaar 2023 in de begroting worden opgenomen.

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 6

Project Vervanging on-premise infrastructuur Overschrijding krediet vervangingsinvesteringen per 31 december 2021 Laatste oplevering Tender 1 Infrastructuur Tender 2 Oracle / Fase 2 Tender 2 Oracle / Fase 3 Tender 2 Oracle / Verrekening Microsoft Vouchers Totaal

Nog te betalen € 42.000 € 75.000 € 52.500 € 52.500 € -7.000 € 215.000

Daarnaast is er ook een financiële meevaller door de verkoop in 2022 van de oude hardware. Deze opbrengst wordt op circa € 35.000 ingeschat. In 2019 is een krediet verstrekt voor vervanging van de verouderde afgeschreven on-premise infrastructuur uit 2014 door een nieuwe moderne Hybride Cloud Infrastructuur. Door uitstel en alle vertragingen hebben we te maken met het verschuiven van investeringen in 2021 waardoor er in 2022 additioneel krediet nodig is. De aanvraag voor een aanvullend krediet wordt veroorzaakt door meerdere factoren:  Ten eerste door het uitstel in 2019 van de Europese aanbesteding voor vervanging van de infrastructuur. Omdat deze oude infrastructuur langer in gebruik moest blijven en op bepaalde punten echt niet meer voldeed, heeft SSC DeSom in 2019 en begin 2020 noodgedwongen nog een aantal investeringen in de oude infrastructuur moeten doen. Dit betrof destijds onder andere investeringen in firewalls (in verband met beveiliging) en storage capaciteit (in verband met onverwachte explosieve datagroei bij de deelnemers). Deze investeringen zijn destijds deels ten laste van het krediet voor de vervanging van de nieuwe infrastructuur gegaan. Door allerlei oorzaken (waarvan de Coronapandemie er één is) is de Europese aanbesteding voor de vervanging van de infrastructuur pas halverwege 2020 succesvol afgerond.

Door de gunning van deze aanbesteding aan de geselecteerde leverancier zijn per die datum ook de hiermee samenhangende (financiële) verplichtingen gestart.  Een tweede belangrijke reden voor de overschrijding van het krediet betreft de opgelopen vertraging door uitstel van de datacentermigratie in 2021 in verband met de Coronapandemie en de verschuivingen van de andere deelprojecten. Dit heeft geleid tot extra implementatiekosten, want hierdoor moesten er gedurende de uitvoering van het project veel extra maatregelen getroffen worden om gefaseerd over te kunnen gaan en toch continuïteit voor alle deelnemers te kunnen borgen.  Een derde oorzaak betreft de aannames uit 2019 onder andere met betrekking tot verwachte krimp van de infrastructuur door ver-SAAS-ing en ingeschatte hoeveelheid benodigde componenten. Deze aannames bleken veel te positief te zijn geweest. Tijdens de aanbesteding in 2019 is uitgegaan van geschatte aantallen naar de kennis van dat moment. Bij de definitieve bestellingen en uitvoering bleken die schattingen te laag te zijn geweest. Het achterblijvende tempo van ver-SAAS-ing bij onze deelnemers en leveranciers is nog steeds een actueel probleem. De werkelijke aantallen waren ten tijde van het moeten bestellen significant hoger dan de eerdere inschattingen.

We zijn ook geconfronteerd met diverse onverwachte situaties en tegenvallers tijdens de uitvoering (lokale wijzigingen, technische problemen, effecten van de Coronapandemie) waardoor ad hoc extra investeringen en/of maatregelen nodig bleken. De laatste opleveringen en eindacceptatie staan in 2022 gepland. De huidige kredietaanvraag van € 215.000 valt binnen de marge van de circa € 350.000 die in de Begroting 2022 was aangekondigd voor te verwachten aanvullend krediet. Hierbij wordt nog geen rekening gehouden met eventueel toekomstige benodigde investeringen voor de VDI/Citrix werkplek en/of benodigde extra storage uitbreiding in verband met de datagroei. SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 7

Krediet apparatuur personeel SSC DeSom krediet € 75.000 SSC DeSom heeft vanuit de methodiek van beleidsarm begroten geen financiële reserves voor haar eigen bedrijfsvoering. Dit betekent dat voor afgeschreven devices (laptops, telefoons, etc.) van het personeel van SSC DeSom geen structureel (investerings-/vervangings-)budget begroot is. Vanwege het intensive gebruik en steeds korter lopende supportcontracten (onder andere voor het installeren van beveiligingsupdates) van de leveranciers worden de devices in gemiddeld drie jaar afgeschreven. Wel gebruiken we de eerdergenoemde devices (vanwege de hiervoor geschetste reden) zo lang mogelijk. Pas bij defect of als er geen updates meer mogelijk zijn, vervangen we de desbetreffende devices. Daarom vragen we voor de komende drie jaar voor de aanschaf van dit soort apparatuur bovengenoemd krediet aan waarvan de jaarlijkse afschrijvingslasten voor een bedrag van € 25.000 met ingang van dienstjaar 2023 in de begroting worden opgenomen. Financiële gevolgen Voorjaarsrapportage 2022 In totaal is in deze voorjaarsrapportage sprake van een bijraming van incidenteel budget ad. € 538.000. Daarnaast is er een financiële meevaller in 2022 door de verkoop van oude hardware van circa € 35.000 en een overheveling van circa € 28.000 vanuit het Jaarresultaat 2021 voor inhuur van personeel.

Dit laatste vooruitlopend op definitieve besluitvorming inzake voorstel Resultaatbestemming 2021. Een overzicht van de voorgestelde begrotingswijzigingen treft u verderop in deze voorjaarsrapportage aan. De gevolgen van de begrotingswijzigingen voor de bijdrage zijn als volgt (bedragen x € 1): Gemeente Drechterland Enkhuizen Stede Broec Opmeer Medemblik Koggenland Totaal

Inwoners per 1 januari 2021 19.835 18.632 21.749 12.005 45.178 22.938 140.337

Incidentele mutaties 67.100 63.100 73.600 40.600 153.000 77.600 475.000

Structurele mutaties -

Aanpassing Bijdrage 2022 67.100 63.100 73.600 40.600 153.000 77.600 475.000

In dit overzicht is een eventuele bijdrage van WerkSaam Westfriesland nog niet opgenomen. Het bestuur van SSC DeSom zal hierover eerst overleg met de directie van WerkSaam Westfriesland moeten voeren. In 2022 is weer een evaluatiemoment tussen beide organisaties gepland over de bijdrage van WerkSaam Westfriesland aan SSC DeSom.

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 8

RISICOPARAGRAAF

Ontwikkeling gemeentelijke infrastructuur & security In de Kaderbrief 2023 heeft SSC DeSom additionele budgetaanvragen voor informatiebeveiliging en het verhogen van de digitale weerbaarheid aangekondigd. Dit omdat er in verband met het verhoogde dreigingsniveau structureel meer en geavanceerdere maatregelen getroffen zullen moeten worden om de continuïteit en informatieveiligheid te kunnen borgen. Inmiddels zijn we ingehaald door de tijd, want eind 2021 is de noodzaak hiervan al gebleken tijdens de Apache Log4j dreigingen en de nasleep daarvan. En recent door de situatie in Oekraïne is deze noodzaak helaas alleen nog maar verder toegenomen. Zoals bij Toelichting ad. 2 beschreven willen we in 2022 starten met het nemen van enkele extra maatregelen, maar wij kunnen niet uitsluiten dat er in 2022 ontwikkelingen voordoen waardoor er meer aanvullend budget voor beveiliging nodig zal zijn. Het dreigingsniveau, maar ook de eisen vanuit landelijke wet- en regelgeving kunnen immers vrij abrupt wijzigen. Mocht dit aan de orde zijn dan wordt dit voorgelegd aan het bestuur. Nieuw Oracle beheercontract De transitie van het database beheercontract en de migratie naar de nieuwe database infrastructuur is momenteel in volle gang.

Het streven is om deze in het eerste kwartaal van 2022 af te ronden, mocht dit niet lukken dan dreigen er extra kosten in verband met huur tijdelijke omgeving en extra licentiekosten. Vanwege de uitloop van het project is het contract met de oude beheerpartij flexibel verlengd en volgt een geleidelijke transitie naar de nieuwe beheerpartij. Wat dit exact gaat betekenen voor de Oracle beheerkosten in 2022 is nog niet duidelijk. Wel is inmiddels bekend dat het nieuwe beheercontract dat is aanbesteed, zoals verwacht duurder uitkomt dan het huidige contract, dat nog steeds is gebaseerd op een prijsniveau van 2014. Daarnaast worden in het nieuwe beheercontract, naast de Oracle databases, ook alle andere database typen ondergebracht. Indien nodig volgt in de najaarsrapportage een aanvraag voor een aanvullend structureel budget. Implementatie nieuw salarisadministratie en personeelssysteem De gemeente Medemblik heeft in 2021 aangegeven de lopende dienstverleningsovereenkomst voor de ondersteuning bij de personeels- en salarisadministratie niet te willen verlengen met SSC DeSom. Dit heeft tot gevolg gehad dat in 2021 SSC DeSom ad hoc een marktverkenning moest doen om een leverancier te vinden die deze dienstverlening voor SSC DeSom kan gaan uitvoeren. Recent heeft SSC DeSom hiervoor opdracht verstrekt en het benodigde transitieproject is voor de komende maanden ingepland.

Het is nog onduidelijk of de éénmalige kosten van de transitie in de begroting van SSC DeSom opgevangen kunnen worden. Een en ander is ook mede afhankelijk van de kosten die gemeente Medemblik nog gaat indienen bij SSC DeSom. Indien nodig volgt in de najaarsrapportage een aanvraag voor een aanvullend incidenteel budget. Implementatie Windows11 / Server2022 Recent heeft Microsoft nieuwe versies van zijn besturingssystemen uitgebracht en de gevolgen hiervan voor onze werkplekken en servers zullen eerst goed getest moeten worden. Daarom start SSC DeSom binnenkort een pilot om te onderzoeken wat de impact hiervan is om zo een schatting te kunnen maken van de eventuele transitiekosten. De kosten van deze pilot worden gedekt vanuit het onderhoudsbudget. Indien nodig volgt in de najaarsrapportage een aanvraag voor een aanvullend incidenteel budget. VNG GT Connect / ATOS Voor de ontwikkeling van de gemeentelijke infrastructuur telefonie en vervanging van onze huidige telefonie oplossing, is door de deelnemers in 2018 gekozen voor een gezamenlijke deelname aan de landelijke aanbesteding GT Connect via de VNG. Voor SSC DeSom was dit project pas in 2022 gepland en er was nog geen budget toegekend. In december 2020 heeft de VNG de raamovereenkomst met ATOS echter wegens non-conformiteit éénzijdig beëindigd waarna ATOS een kort geding is gestart.

Ondanks dat SSC DeSom nog niet was gestart met dit project en nog geen nadere overeenkomst had gesloten met ATOS, betekent dit wel SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 9

een zeker risico voor SSC DeSom en haar deelnemers. In 2021 is in het kort geding uitspraak gedaan en is ATOS in het ongelijk gesteld waarna ATOS een bodemprocedure heeft gestart. Op dit moment is nog niet duidelijk wat de exacte impact hiervan voor SSC DeSom en haar deelnemers zal zijn. Verschuiving planning projecten Er lopen overal veel parallelle trajecten met vaak grote afhankelijkheden. Ook spelen er veel externe ontwikkelingen waar we helaas zelf geen invloed op hebben. Daarbij komt dat SSC DeSom natuurlijk voor de eigen planning ook afhankelijk is van de deelnemers. En we zien dat bijvoorbeeld de VNG trajecten nooit lopen zoals vooraf was gepland. Door al deze factoren verschuiven helaas ook onze planningen. Dit heeft meestal ook financiële consequenties. SSC DeSom doet echter haar uiterste best om voor de eigen projecten toch binnen de geraamde kosten te blijven. Meestal lukt dat ook door slim combineren en schuiven van resources. Afgelopen jaren hebben we daarom ook projectbudgetten moeten doorschuiven, omdat geplande activiteiten verschoven. Dit geldt ook voor de overheveling van geraamde incidentele uitgaven van 2021 naar 2022.

Het Algemeen Bestuur heeft, vooruitlopend op de bestemming van het Jaarresultaat 2021 waarover pas medio 2022 wordt beslist, alvast ingestemd dat voor een aantal projecten die ononderbroken voortgang behoeven, in het eerste halfjaar van 2022 uitgaven mogen worden gedaan. Dit in verband met verschoven planningen en rechtmatigheid. Financiële taakstelling In de Begroting 2022 zijn voor de opgelegde financiële taakstelling reeds ombuigingen van 2,3% opgenomen. Dit is tot stand gekomen door echt alle lucht uit de begroting te persen. Dit brengt wel het risico met zich mee dat eventuele onvoorziene tegenvallers niet binnen de huidige begroting kunnen worden opgevangen.

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 10

Totaaloverzicht budgetten 2022 (bedragen x € 1): Product

Begroting 2022 na NJR 2021

Incidentele mutaties VJR 2022

Structurele mutaties VJR 2022

Bijgestelde Begroting 2022

Lasten Infrastructuur en werkplekken Afschrijvingen Licenties Audits inzake licenties Verbruikskosten cloud Onderhoud Rente

814.300 1.209.600 27.400 207.500 211.500 10.000

Organisatiekosten Salarissen Personeelsgerelateerde budgetten Inhuur derden Informatiebeveiliging Overige bedrijfskosten

3.116.200 78.700 130.900 65.100 118.400

Inkoop diensten bij gemeenten Huur kantoorruimte Huur- en energie serverruimten Bijdrage ondersteunende diensten

209.000 111.400 44.300

209.000 111.400 44.300

Inkoop diensten bij derden Huur verbindingen Externe dienstverleningscontracten

226.500 143.600

226.500 143.600

Onvoorzien

10.000

10.000

Totaal lasten

6.734.400

538.000

Baten Vaste bijdrage deelnemers Bijdrage WerkSaam Westfriesland Diverse incidentele baten

6.077.200 647.500 -

475.000

Totaal baten

6.724.700

538.000

Baten en lasten diverse dienstverlening

50.000

3.116.200 78.700 280.900 403.100 118.400

150.000 338.000

-

7.272.400

6.552.200 647.500 63.000

63.000 -

7.262.700

-

Totaal saldo van baten en lasten

-9.700

Mutatie reserves

9.700

Geraamd resultaat

-

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

814.300 1.209.600 27.400 207.500 261.500 10.000

-

-

-9.700 9.700

-

-

-

pagina 11

Bijlage 1 Toelichting bij informatiebeveiligingsbudget SSC DeSom Beheer van kwetsbaarheden: BIO: 12.6.1 De BIO vereist dat informatie over technische kwetsbaarheden in informatiesystemen tijdig worden verkregen en de blootstelling van de organisatie aan dergelijke kwetsbaarheden worden geëvalueerd en passende maatregelen worden genomen (12.6.1). Door de verdergaande digitalisering en adoptie van platformdiensten worden ketens steeds complexer. Het enkel vertrouwen op leveranciers en de IBD voor het melden van kwetsbaarheden is niet meer voldoende. Inmiddels zijn regionaal circa 2.200 systemen (werkplekken en servers) aanwezig en meer dan 50.000 afzonderlijke software-installaties. Om in control te zijn van kwetsbaarheden, en hier tijdig en adequaat op te reageren, is een Vulnerability Asset Management (VAM) oplossing nodig. Handmatig is een onmogelijke taak geworden in de Hybride Cloud Infrastructuur. Deze VAM-oplossing zorgt ervoor dat kwetsbaarheden automatisch worden gedetecteerd en geeft aan welke risico score hieraan gegeven is. Daarbij worden ook mitigerende maatregelen genoemd. Met een VAM-oplossing wordt het ook mogelijk om de frontend van platformdiensten te scannen op kwetsbaarheden. Automatich patchmanagement: BIO: 12.6.1 Wanneer een kwetsbaarheid is gevonden en geclassificeerd vereist de BIO dat deze binnen een week is gepatched (12.6.1).

Door de verdergaande digitalisering en adoptie van platformdiensten worden ketens steeds complexer. Het handmatig patchen is inmiddels een onnoemelijke taak geworden. Inmiddels zijn regionaal circa 2.200 systemen (werkplekken en servers) aanwezig en meer dan 50.000 afzonderlijke software-installaties. Voor Patchmanagement zal ingezet worden op automatisering. Het installeren van patches gaat vaak via standaard stappen. Hierdoor wordt het mogelijk om een patch automatisch te installeren na goedkeuring. Voor automatisch Patchmanagement dient een verdiepend onderzoek plaats te vinden. Onderzocht dient te worden welke oplossing het beste past in de context van een Hybride Cloud Infrastructuur. De kosten zijn hierdoor nog onzeker. Netwerksegmentatie: BIO: 13.1, 13.2.3 De impact van cybercriminaliteit wordt steeds groter. De onderbreking van de dienstverlening aan burgers als gevolg van een aanval wordt steeds langer en kostbaarder. De directe schade kan oplopen tot boven de 15 miljoen euro. Daarnaast komen nog indirecte kosten, zoals personeelskosten, zijn hier niet in meegenomen. Door het meer segmenteren van het netwerk worden de gevolgen van een aanval ingeperkt. Segmenteren betekent dat het netwerk wordt opgedeeld in meerdere zones, segmentatie van onder andere de Microsoft tenants vallen buiten scope.

Het verkeer tussen zones wordt gecontroleerd en enkel geaccepteerd verkeer wordt toegestaan. Hiermee wordt voorkomen dat een ransomware aanval zich door het gehele netwerk verspreid. Concreet betekent dit dat niet alle gemeenten worden gegijzeld maar slechts enkele systemen.

SSC DeSom Voorjaarsrapportage 2022 versie 1.0

pagina 12