Agendabundel

De richtlijn die de gemeente hanteert, is 48 uur van te voren inplaats van 24 uur. In heel veel steden in Nederland is dat al het geval. Den Haag heeft een langere tijd omdat Den Haag met veel meer demonstraties te maken krijgt. De demonstranten doen zichzelf tekort wanneer zij de 48 uur niet in acht nemen, omdat er dan veel minder voorbereidingstijd is. De WOM verandert niet met deze APV. De heer Van Corler (GroenLinks) vindt dit lastig als het gaat om het karakter van de APV. Burgemeester Dijkstra zet uiteen dat dit veroorzaakt wordt door lokale regelgeving voor het in kennis stellen van de gemeente. Er is een wet en er is grondrecht. Die zijn altijd leidend in de wijze waarop de overheid beoordeelt. De kern voor de burgePagina 15 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021 720

730

740

750

760

meester is dat de organisator zich dient te houden aan de WOM. De WOM is het uitgangspunt en niet de APV. Mevrouw Van Mil (Student & Starter) vindt de vraag relevant wanneer het eindpunt genaderd is; wanneer is corona over? En wat wordt dan opgepakt: een jaar? Hoe ziet de burgemeester dat voor zich? Om te voorkomen dat het doorzeurt. Burgemeester Dijkstra merkt op dat niemand weet wanneer de pandemie voorbij is. Zij vindt het niet wijs om daarover een uitspraak te doen. Volgend jaar zal weer de traditionele APV discussie zijn. Dan moet zij weer langs de raad met haar voorstel; zo vatte zij het voorstel van mevrouw Bijsterbosch op. De heer Sungur (DENK) begrijpt het doel en de bedoeling van dit voorstel. Het gaat er om de mensen zo goed mogelijk te faciliteren. Hij begrijpt niet waarom mensen die op dit moment bij een termijn van 24 uur onaangekondigd ergens staan te demonstreren, opeens bij een termijn van 48 uur wel de stap zouden zetten richting de gemeente voor een kennisgeving. Hij vraagt de toelichting van de burgemeester. Burgemeester Dijkstra antwoordt dat dat niet de doelgroep is waarvan zij verwacht dat die het anders gaat doen. Dit is veel meer bedoeld om in algemene zin voor 48 uur voorbereidingstijd om daarmee beter te kunnen organiseren. De mensen die zich er niet aan houden gaan met deze wijziging niet opeens hun been bijtrekken.

De heer Sungur (DENK) heeft de burgemeester tegelijkertijd ook horen zeggen dat het juist goed gaat met de grote algemene groep en dat die mensen wel tijdig een demonstratie melden. Hij vraagt wat het voorstel nu precies oplost. Burgemeester Dijkstra zet uiteen dat het college aan de voorkant duidelijkheid geeft over de tijd die de gemeente nodig heeft voor een goede voorbereiding. Zij schetst de ontwikkeling als het gaat om het aantal meldingen van demonstraties. Mevrouw Bijsterbosch (D66) verneemt desopgemerkt bevestiging van de burgemeester dat toestemming voor een demonstratie niet vereist is. Zij vervolgt haar betoog met in te gaan op een aantal andere issues. In het licht van woonoverlast zet de burgemeester uiteen dat het gaat om een rechtstreekse vertaling van een wetgeving die in de Utrechtse APV een plek krijgt. Dat gaat over excessieve woonoverlast. Dat heeft niets te maken met geur of rookoverlast. Mevrouw Assen zei dat de gemeente toch altijd moet proberen ontruiming te voorkomen. De burgemeester refereert aan de inbreng van wethouder Van Ooijen hierover en benadrukt dat dit altijd de houding is van de gemeente. Mevrouw Assen (PvdA) licht toe dat het haar fractie vooral gaat om de regie; ook met deze wijziging van de APV blijft de regie liggen bij de gemeente. Burgemeester Dijkstra bevestigt dat daarin niets verandert.

Zij vervolgt haar beantwoording met in te gaan op de inbreng van mevrouw Snippe op het verbod op evenementen in het broedseizoen. Een verbod vindt de burgemeester niet verstandig. Daarmee zou de spreiding van evenementen geweld aan gedaan worden die juist nodig is om ze te kunnen organiseren. Daarmee zou de gemeente in de problemen komen. Zij kan dat voorstel niet overnemen. Mevrouw Snippe (Partij voor de Dieren) vraagt of de burgemeester dan wel bereid is daaraan een limiet te koppelen; aan het aantal evenementen, het aantal mensen en het aantal bezoekers. Burgemeester Dijkstra deelt mee dat het college wel rekening houdt met te verwachten overlast. In kwalitatief opzicht doet het college wat mevrouw Snippe vraagt. Op het thema ondermijning spreekt het de burgemeester aan dat dit wordt ingebracht en dat dit serieus genomen wordt als issue waarover in de raad in de komende tijd Pagina 16 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

770

780

790

800

810

veelvuldiger gesproken zal moeten worden. Zij weet alleen niet of dit voorstel de oplossing is. De burgemeester vraagt ruimte. Zij kondigt de nota aan op het terrein van ondermijning. Die zal voor de zomer de kant van de raad opkomen. De burgemeester zal zeker naar dit type ideeën kijken. Wanneer het bestuur hiervan werk wil maken zal het bestuur met onorthodoxe maatregelen moeten komen. De burgemeester is daarvan zeker voorstander. Zij benadrukt dat de maatregelen wel effectief moeten zijn. Dit soort zaken zal goed gewogen moeten worden op effectiviteit en op proportionaliteit. De burgemeester stelt voor de discussie hierover te vervolgen op het desbetreffende moment maar niet via deze APV. Dit geldt ook voor het thema van de gebedsoproepen. Wanneer op specifieke plekken klachten zijn over geluidsoverlast, is over het algemeen overleg met een religieus genootschap om de betrokkene te overtuigen dat de geluidsversterking een beetje minder sterk moet. De burgemeester wil hierover geen principiële discussie voeren. Zij benadrukt dat in deze stad plek is voor religieuze uitingen. Overlast is altijd aan te pakken. Die aanpak zal altijd proportioneel zijn. Eerder in de stad is aangetoond dat dit zich kan oplossen op een pragmatische manier. Mevrouw Meerding (VVD) vindt het voorstel van de burgemeester goed om later terug te komen op het onderwerp ondermijning.

Ze dankt de burgemeester voor dat voorstel. Als het gaat om de gebedsoproepen was haar specifieke vraag niet om dit op te nemen in de APV. Haar vraag was de impact op de stad te onderzoeken en na te gaan hoeveel mensen daarvan last hebben. Zij hoorde de burgemeester zeggen dat dit zichzelf oplost omdat de gemeente in gesprek gaat met de betrokkenen. Zij voelt als raadslid de behoefte dit meer gestaafd te zien: zijn die mensen daadwerkelijk tevreden en is de overlast afgelopen? Burgemeester Dijkstra attendeert op de antwoorden op schriftelijke vragen. In die antwoorden krijgt mevrouw Meerding voor een deel een antwoord op haar vraag. De vraag is of de raad het al belaste ambtenarenapparaat een nieuw onderzoek moet laten doen. Zij is daarvan geen voorstander. Zij adviseert het gesprek aan te gaan over specifieke plekken waar overlast wordt ervaren. Haar ervaring is dat zich dat dan oplost. De heer Sungur (DENK) geeft voor de volledigheid van het debat mee dat de PVV al bijna een jaar bezig is met een campagne om de klachten actief op te halen bij mensen en die terug te leiden naar het college. Deze mensen zijn actief door de PVV aangespoord om een klacht in te dienen. Burgemeester Dijkstra vervolgt haar beantwoording met in te gaan op de inbreng van mevrouw Streefland. Mevrouw Streefland ging in op het lachgasverbod. Zij benadrukt zich zorgen te maken over lachgas.

Op vijf locaties in de stad is een verbod uitgevaardigd op het in bezit hebben van lachgas. Landelijk wordt gewerkt aan een algemeen verbod. Dat zou wat haar betreft de beste maatregel zijn. Daarmee is onduidelijkheid te voorkomen. Zij zou zeker geen tegenstander zijn om lachgas voor Utrecht te verbieden. Zij stelt voor het debat op een ander moment uitgebreider te voeren. De heer Van Corler stelde een belangrijk punt aan de orde met een nieuw voorstel rondom het liggen of slapen op openbare plaatsen. Ook hier geldt weer de proportionaliteit in de handhaving. Zelfs de hulpverlener vindt het niet verstandig om mensen aan te moedigen buiten te slapen. De regel in de APV maakt nog niet dat de overheid iedereen slapend op een bankje gaat wegjagen. Ook in dat opzicht geldt proporPagina 17 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

820

830

840

850

860

tionaliteit. Zij is geen voorstander van een wijziging in de APV waarmee slapen in de openbare ruimte wordt aangemoedigd. De heer Van Corler (GroenLinks) licht toe dat het zijn bedoeling niet is om mensen aan te moedigen te slapen in openbare ruimte. Hij kan zich voorstellen dat partijen elkaar vinden als het gaat om de praktische uitvoering en om wat het bestuur ermee wil. Hij zal nagaan hoe hiermee verder te gaan. Burgemeester Dijkstra gaat in op de inbreng van mevrouw Bijsterbosch over alcoholverbod en willekeur. Zij wil willekeur graag voorkomen. Om die reden schreef zij vrij precies in het voorstel op waarover het gaat. Zij benadrukt dat overlast een serieus te nemen onderwerp is. De overheid moet mogelijkheden niet nalaten om overlast te voorkomen. Wat haar betreft moet er wel ruimte zijn die recht doet aan een grootstedelijke omgeving. Ook hier vinden partijen elkaar in de praktijk als het gaat om de vraag waar wel en waar niet in te grijpen, denkt de burgemeester. Mevrouw Bijsterbosch (D66) vraagt waar de overlast in zit. In de alcohol? Of in het achterlaten van afval? Of in het maken van lawaai. Zij krijgt daarop graag nog een reactie. Burgemeester Dijkstra zet uiteen dat de ervaring leert dat mensen met flink wat alcohol op, op al die andere punten doorgaans niet meer zo precies zijn. Die hebben erg veel met elkaar te maken.

Ingaand op de inbreng van de heer Van Steeg over de capaciteit van de handhaving, maakt de burgemeester geen bezwaar tegen vergroting van de capaciteit van handhaving. Tegelijkertijd beseft ook de burgemeester dat de gemeente de euro's die er zijn maar één keer kan uitgeven. Het college en de raad zullen die overweging samen moeten maken. In dat opzicht attendeert de burgemeester op de begrotingsbespreking. De heer Van Steeg (CDA) adviseert de burgemeester in het vervolg scherper te analyseren en te formuleren. Dat maakt een afweging voor de raad gemakkelijker. Burgemeester Dijkstra is het daarmee eens. Per definitie zijn wijzigingen in de APV niet zonder consequenties voor de handhaving. Soms maken bepaalde wijzigingen de handhaving wel eenduidiger en dat daarmee de handhaving vergemakkelijkt wordt. Niet voor elke wijziging zijn meer fte’s nodig. De burgemeester is het ermee eens dat het zinvol kan zijn om dit soort zaken beter en scherper vanuit de organisatie in beeld te brengen. Zij zou een benadering inclusief kosten consequenties een gezond uitgangspunt vinden. Richting mevrouw Assen geeft de burgemeester aan haar principiële punt te begrijpen. Zij respecteert dat. Het college doet nu wat eerder is aangekondigd. De heer Sungur en anderen gingen in, op zichtbare uitingen van verboden organisaties. Het voorstel van de burgemeester is dit te schrappen.

De wetgeving is hierbij de onderlegger. Die hangt op dit moment nog bij de Eerste Kamer. Zo ontbreekt nog de basis voor deze regel. Met het schrappen van dit artikel, voorkomt de burgemeester veel discussie. Dan komt dit onderwerp later weer terug. Mevrouw Assen (PvdA) vindt dat dit niet hoeft te betekenen dat dit onderwerp opgenomen moet worden in de APV op deze manier. Daarmee wordt de indruk gewekt als kan Utrecht nooit meer kiezen voor de tippelzone. Burgemeester Dijkstra herhaalt dat dit een discussie is die met één van haar wethouders wordt gevoerd. Zij heeft begrepen dat dit op deze manier wel nodig is om tot sluiting te kunnen overgaan. Dat besluit is gevallen. Dit is nodig.

Pagina 18 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

De voorzitter stelt de gemiste vragen aan de orde. Mevrouw Snippe (Partij voor de Dieren) vraagt of de burgemeester bereid is in de APV op te nemen dat er geen vuurwerkshow wordt georganiseerd in het broedseizoen en geen vuurwerkshows in parken, natuurgebieden en dierenverblijven. 870

880

Mevrouw Bijsterbosch (D66) had nog een vraag open staan over de kennisgevingstermijn bij demonstraties en de gemaakte vergelijking met Amsterdam die wél 24 uur aanhoudt. De beantwoording Burgemeester Dijkstra licht toe dat de bevoegdheid om te handhaven van de provincie is. Die bevoegdheid is landelijk geregeld. Die bevoegdheid kan niet via een APV worden overgeheveld naar de gemeente. Voor evenementen is het de vraag of aanvullende lokale regels gesteld kunnen worden en of die regels voldoende grondslag zouden kunnen bieden om vuurwerk bij een evenement te verbieden als er op grond van het vuurwerkbesluit toestemming is verleend en daar ook geen overtreding van de wet op de natuurbescherming wordt verwacht. Daar wordt steeds op getoetst. Met toestemming heeft de provincie getoetst op natuur en milieu en op veiligheid. Deze discussie zou gevoerd moeten worden in de Staten. Mevrouw Bijsterbosch nam Amsterdam als voorbeeld. Amsterdam heeft 18.000 ambtenaren. Daarmee geeft zij het verschil in grootte aan tussen de organisaties. Alle andere grote steden hebben termijnen van 48 of meer uur. Amsterdam is een gunstige uitzondering. Zij vermoedt dat Amsterdam meer ruimte heeft om hierop heel flexibel te zijn, op zowel de capaciteit van de politie als die van het gemeentelijk apparaat.

890

De voorzitter concludeert dat hiermee het eind van de eerste termijn is bereikt. Hij stelt de tweede termijn aan de orde en de eventuele resterende vragen in de commissie aan de burgemeester. Hij vraagt aandacht te hebben voor de behandeltijd in de raad.

900

De commissie Mevrouw Meerding (VVD) dankt de burgemeester voor haar beantwoording. Zij denkt dat er een aantal onderwerpen zijn waarop in de raad een meerderheid zal zijn om iets van een verandering aan te brengen in het voorstel. Zij noemt in dat verband het voederverbod en de termijn voor het melden van manifestaties. De VVD zou willen meedoen aan een voorstel voor een andere invulling. Burgemeester en de VVD zijn het niet helemaal eens op het punt van de gebedsoproepen. Haar fractie zal zich toeleggen op het in beeld brengen van de overlast. Voor nu zal zij hiermee niets doen. Zij denkt aan een uur voor de behandeltijd. De heer Nagtegaal (PVV) overweegt amendementen op het voederverbod en de gebedsoproepen. Hij denkt aan 60 minuten voor de behandeltijd.

910

De heer Van Steeg (CDA) merkt op dat bij een wijzigingsvoorstel de behandeltijd over de 60 minuten heen kan gaan.

Pagina 19 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

Hij kondigt een voorstel aan op het gebied van lachgas. Hij is heel benieuwd hoe de andere raadsleden dit bezien. Mevrouw Bijsterbosch (D66) kijkt met interesse uit naar voorstellen op het gebied van het voederverbod om dat mogelijk specifieker te maken. Haar fractie denkt nog even na over de kennisgevingstermijn en haar fractie overweegt een amendement op het alcoholverbod. Zij verwacht dat er nog een strekt ter vervanging aankomt. Zij vraagt wanneer zij die strekt ter vervanging kan verwachten. 920

De heer Van Corler (GroenLinks) sluit zich aan bij de vraag over de strekt ter vervanging. Hij is benieuwd te vernemen of de gedachtegang die is gewisseld over de kennisgeving, geleid heeft tot een wijzigingsvoorstel. Dan nog blijft de mogelijkheid open dat GroenLinks er niet in meegaat en dat zijn fractie een eigen amendement indient. Hij kan zich voorstellen dat het gesprek in de raad een uur en misschien wel langer zal duren. De heer Nagtegaal (PVV) heeft het concept-amendement toegegestuurd naar zijn collega's in de commissie. 930

Mevrouw Assen (PvdA) kijkt uit naar de strekt ter vervanging en zij ziet ook uit naar het voorstel van de heer Van Corler. Zij had iets anders begrepen over de tippelzone in de APV. Haar fractie zal dat nog een keer checken. Mogelijk dient haar fractie op dat punt ook een amendement in. Mevrouw Van Mil (Student & Starter) denkt aan de manifestaties en de tippelzone.

940

950

Burgemeester Dijkstra bevestigt dat de raad haar voorstel voor een strekt ter vervanging kan verwachten in de loop van volgende week. Die strekt ter vervanging geldt in ieder geval voor punt b. Zij wil zelf ook een voorstel doen rondom de demonstraties en de kennisgeving in de geest van de suggestie van mevrouw Bijsterbosch. Wanneer de commissie het prima vindt wanneer ze dit opneemt in het gewijzigde voorstel, zal ze dat doen. Zij is ook bereid op dat punt het amendement af te wachten. Zij biedt dat aan als schot voor de boeg. Mevrouw Bijsterbosch (D66) kijkt uit naar het schot voor de boeg. Mevrouw Snippe (Partij voor de Dieren) vraagt of in de strekt ter vervanging iets duidelijker op te nemen is dat ook dierenweides onder de openbare ruimte vallen. Burgemeester Dijkstra zal daar naar kijken. De voorzitter concludeert dat hiermee het einde is bereikt van de behandeling. Hij neemt afscheid van de heer Marcel Kiewik, commissiegriffier. Hij heeft in de afgelopen 16 jaar als commissiegriffier het werk gedaan. Hij dankt hem daarvoor namens de hele raad. Hij heeft begrepen dat Marcel nog even blijft maar niet als commissiegriffier. Marcel Kiewik dankt de voorzitter voor zijn vriendelijke woorden en hij spreekt zijn appreciatie uit voor de aandacht die de raad hieraan besteedt. Hij zegt “Het waren 16 fantastische jaren”. Hij heeft vijf burgemeesters voorbij zien komen.

Hij zal nog een jaar bij de griffie blijven. Pagina 20 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

960

De voorzitter schorst de vergadering om 12.43 uur tot 14.00 uur. Middagvergadering 5. Raadsvoorstel Rekenkameronderzoek “Zo sterk als de zwakste schakel. Een onderzoek naar de informatieveiligheid in de gemeente Utrecht”.

980

Beleidsveld: Personeel en Organisatie - wethouder Voortman Uit het rapport van de rekenkamer blijkt dat de beveiliging van informatie van de gemeente Utrecht niet op orde is. Dit betekent dat de gevoelige informatie en persoonsgegevens van de gemeente mogelijk toegankelijk zijn voor onbevoegden. Voor het onderzoek heeft de rekenkamer gebruik gemaakt van een extern bureau om de informatiebeveiliging te testen. Het externe bureau is er niet in geslaagd om via het internet binnen te dringen, maar kon zich wel fysiek toegang verschaffen en zo op de computersystemen van de gemeente geraken. De geconstateerde problemen bevinden zich op het beleid, de techniek, maar ook het gedrag van gemeentelijke medewerkers. De rekenkamer heeft acht aanbevelingen opgesteld om de informatieveiligheid op orde te brengen en stelt de raad voor om het college te verzoeken om de aanbevelingen op te volgen. In de bestuurlijke die de gruwelen die al wil nu in omzet andere op het rapport heeft het college al aangegeven hier uitvoering aan te willen geven. Aanvullende agendering J. Zwinkels (CDA): Uit het rapport van de rekenkamer blijkt dat de beveiliging van de informatie van de gemeente totaal niet op orde is. De rekenkamer kwalificeert de interne situatie als “ernstig”.

Mogelijk zijn er, in aanvulling op de aanbevelingen van de rekenkamer, nog meer acties te bedenken die de situatie structureel kunnen verbeteren. De agenderende fractie wil de gelegenheid aangrijpen om dit aan te dragen.

990

De voorzitter leidt de bespreking van dit agendapunt in met te refereren aan de annotatie bij de agenda (zie boven). De bespreking zal plaatsvinden in twee termijnen. De Rekenkamer stelde acht aanbevelingen op om de informatieveiligheid van de gemeentelijke organisatie op orde te stellen. De Rekenkamer stelt de raad voor het college te verzoeken de aanbevelingen op te volgen. In bestuurlijke reactie op het rapport heeft het college al aangegeven daaraan uitvoering te zullen geven. Er is al een technische bijeenkomst geweest waarin de Rekenkamer bevraagd is op de technische totstandkoming van het rapport. In deze commissie zal over dit agendapunt in twee termijnen worden gesproken.

970

De Rekenkamer De heer Van Keulen licht het rapport toe. Hij licht toe dat gekeken is naar (1) de organisatie, (2) bij de opzet van het beleid die op zich goed is maar in werking niet goed functioneert inclusief het aspect mens en (3) met de hulp van een extern bureau is de techniek onderzocht.

1000

De commissie Mevrouw Zwinkels (CDA) vindt de uitkomsten schokkend. De basis is haars inziens totaal niet op orde. De situatie wordt als ernstig betiteld in het rapport. Problemen zijn sinds 2017 nog steeds niet opgelost. De BghU werkt met de BIO-1. Dat is een richtlijn die zij in het stuk vindt ontbreken. In hoeverre voldoet de gemeente daaraan? Ze noemt enkele mankementen. Zij is geschrokken van het aantal fishingmails. Voorlichtingscampagnes zijn gestopt. Zij verwacht dat de risico's al langer bekend zijn. Software is verouderd. De laptops voldoen niet aan de veiligheidseisen. Er worden geen meldingen gemaakt van fishingmails. Dat baart haar zorgen. Zij vindt de cultuur niet op orde in de gemeentelijke organisatie.

Pagina 21 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021 1010

1020

1030

1040

1050

Haar fractie verwacht een stevige aanpak van het college om verandering te brengen in de huidige situatie. Wat haar betreft zou de gemeente haar partners up todate software aanschaffen. Zij vraagt het college een centraal programma op te zetten om hulplijnen aan boord te krijgen en alles vanzelfsprekender te maken. Ook doet zij de suggestie te kijken naar nieuwe ontwikkelingen, zoals spoofing. Haar fractie is ook benieuwd naar het vervolgonderzoek over een jaar. Zij vraagt of de gemeente kan toezeggen een actuele benchmark op te nemen. Mevrouw Dekker (D66) sluit zich aan bij de schrik als gevolg van de aanbevelingen en de uitkomsten. Van belang is, zeker in coronattijd, ervoor te zorgen dat de werkomgeving en informatieveiligheid goed op orde zijn. Zij noemt de interne risico's in het rapport van de Rekenkamer. Zij vindt het goed dat het college alle aanbevelingen gaat overnemen. Zij gaat in op vier onderwerpen: (1) De uitvoering van het beleid voor gegevensbescherming. Afgesproken is te gaan werken met privacy by design en openhouden wat kan, en gesloten houden wanneer het moet. Zij vraagt wat daarvan terecht gekomen is. Zij vraagt hoe het mogelijk is dat de uitvoering van het beleid zo mager is. Waarom zijn 24 van de 60 gevonden risico's nog open? Hoe gaat de wethouder dit oplossen en wanneer? Dat laatste vindt zij het meest belangrijk.

Mevrouw Zwinkels (CDA) noemt het interview van de medewerkers waarin als verklaring voor de bestaande situatie gegeven werd dat de medewerkers eerst aan de slag moesten met het privacygedeelte van het beleid op de gegevensbescherming voordat ze de beveiliging konden oppakken. Zij vraagt hoe mevrouw Dekker daarover denkt. Mevrouw Dekker (D66) vindt dat ook strijdig klinken. Zij vervolgt haar inbreng. Zij gaat ervan uit dat privacy by design de standaard manier van werken is aan het begin van ieder IT-project. Zij krijgt daarvan graag een bevestiging. (2) De bewustwording bij de organisatie. Zij vindt het goed dat het college een nieuwe bewustwordingscampagne aan het voorbereiden is. Zij betreurt het dat het vorige zomaar is gestopt. D66 geeft mee dat ook de raad deel uitmaakt van het bewustwordingsprogramma, bij het installeren van nieuwe raadsleden en fractie medewerkers. Haar fractie vond dat en tijdelijke externen, een groot gemis bij het inwerkprogramma. Zij krijgt hierop graag een toezegging. In het bewustwordingsprogramma wil haar fractie aandacht voor de risico’s van fishing mails, waarvan melding gemaakt moet worden. Zij vraagt ook aandacht voor het gebruik van wachtwoorden, en passwordmanagers en hoe om te gaan met geheime stukken. Dat is vooral aan de orde bij raadsleden. (3) Het valt haar fractie op dat er slechts 2000 uitgedeelde laptops zijn.

Een groot deel daarvan is niet up-to-date. D66 zou willen dat iedereen zijn werk goed kan doen. De mensen op het stadskantoor hebben behoefte aan apparatuur dat voldoet aan alle beveiligingstandaarden. Haar fractie vindt het wonderlijk dat dat niet de gewoonste zaak van de wereld is anno 2021. Zij zou willen zien hoeveel het zou kosten om iedereen die het nodig heeft te voorzien van een goed device voor zijn of haar werk, inclusief de juiste toegankelijkheid. Zij krijgt graag een toezegging van de wethouder met betrekking tot de financiële gevolgen daarvan in een brief naar de raad en/of mee te nemen in een Plan van Aanpak.

Pagina 22 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1060

1070

1080

1090

1100

Mevrouw De Boer (GroenLinks) vraagt hoe D66 aankijkt tegen de eigen keuze van raadsleden om eigen devices te hebben. Mevrouw Dekker (D66) is voorstander van een device van het werk, een laptop van de gemeentelijke organisatie. (4) Mevrouw Dekker maakt een punt van het open karakter van het stadhuis, het stadskantoor. Haar fractie begrijpt het advies van de Rekenkamer om de beveiliging met sociale controle op te schroeven. D66 wil zijn werk veilig kunnen doen, maar de openheid ook behouden. Zij krijgt hierop graag de reactie van de wethouder. De heer Nagtegaal (PVV) brengt in dat de gemeente een organisatie is met gevoelige stukken. Zijn fractie zou willen dat de eerste etage op het stadhuis open blijft. Het is eenvoudig om met iemand mee te lopen door het poortje heen in het stadskantoor. In dat opzicht moet wat hem betreft het open karakter minder. Mevrouw Streefland (ChristenUnie) begrijpt de stevige visie van D66 over veiligheid. Zij staat daar ook achter. Er is ook fysieke onveiligheid geconstateerd. Zij vraagt de reactie van D66 “op het ene zo stevig, en op het andere teveel als los zand”. Mevrouw Dekker (D66) vindt het wel meevallen met teveel los zand. Zij vindt wel dat de raadzaal op de begane grond opener kan. Het huis van de burgers moet toegankelijk zijn. Een deel van de oplossing zou volgens haar ook kunnen zitten bij de bewustwordingscampagne.

Veel te gemakkelijk kunnen mensen naar de tweede etage lopen en in het stadskantoor kunnen mensen veel te gemakkelijk meelopen. Zij bevestigt dat de sociale controle is op te schroeven. Met een bewustwordingscampagne is haars inziens een heel eind te komen. Mevrouw Streefland (ChristenUnie) vindt het lastig dat boven de zesde andere bedrijven gevestigd zijn. Dat maakt het diffuus en complex. Zij vraagt of mevrouw Dekker het met haar eens is dat het stadsbestuur wellicht iets strikter zou moeten zijn omdat de gemeente de ruimte niet alleen gebruikt en een en ander moeilijk te monitoren is. Mevrouw Dekker (D66) vindt dit een lastig probleem. De andere optie zou zijn het helemaal dicht te gooien. Zij wil als raadslid van de stad ook gemakkelijk kunnen afspreken met bewoners, burgers, met bedrijven op die zesde etage, omdat het in het stadhuis ook niet altijd kan. Het is ook op afspraak open te maken, zo dat een pasje niet per se noodzakelijk is. Misschien is dat een goede tussenoplossing. Hiermee rondt zij haar inbreng af. Mevrouw De Boer (GroenLinks) dankt de Rekenkamer voor dit interessante en belangrijke onderzoek. De informatie bij de gemeente gaat over ons allemaal. Wanneer die informatie in verkeerde handen komt door een inbraak, kan dat hele ernstige gevolgen hebben voor inwoners van Utrecht. Haar fractie is ook geschrokken van de uitkomsten van het onderzoek.

De beveiliging van de gegevens is allesbehalve waterdicht. De gemeente is lang bezig met de plannen om informatie te beveiligen, maar de uitvoering van die plannen lopen achter. Er is een hele structuur opgetuigd: vakgroep, stuurgroep, regiegroep, de taskforce. En functionarissen met ingewikkelde namen moeten in de gaten houden dat het allemaal goed gaat. Toch loopt de gemeentelijke organisatie nog steeds achter de feiten aan. De gemeente zegt dat dit komt door te weinig geld en mensen. GroenLinks denkt dat het vooral komt doordat de organisatie het niet belangrijk genoeg vindt. Daarom heeft haar fractie ook zorgen over de toekomst. De Pagina 23 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1110

1120

Rekenkamer geeft goede tips over wat er moet gebeuren. De Rekenkamer vraagt om een plan van de gemeente om dat te gaan uitvoeren. Zij vraagt wat de Rekenkamer denkt wat er moet gebeuren om ervoor te zorgen dat dat het niet bij een voornemen blijft en hoe de wethouder daarvoor denkt te gaan zorgen. Sommige zaken hebben veel risico's omdat ze relatief simpel op te lossen lijken, zoals het verwijderen van oude ongebruikte computerprogramma's. Zij vraagt of de wethouder kan beloven dat in het plan in concrete stappen wordt aangegeven welk probleem op welk moment door wie moet zijn opgelost. Voor haar fractie moet vooral snel ingezet worden op bewustwording. Bij veel gemeenten en organisaties zijn online cursussen waarin medewerkers leren wat ze moeten doen. Dit moet een vast onderdeel worden van het werk. Utrecht hoeft het wiel niet zelf uit te vinden, maar moet wat haar betreft wel snel aan de slag. Een van de aanbevelingen van de Rekenkamer gaat over de beveiliging van gemeentelijke gebouwen. GroenLinks wil niet dat mensen overal door een scanner moeten om binnen te komen. Haar fractie vindt het belangrijk dat in bepaalde delen van het stadhuis én het Stadskantoor iedereen welkom is en blijft en zich welkom voelt. Daarom vindt haar fractie het belangrijk dat medewerkers getraind worden in veilig omgaan met informatie.

Papieren informatie en zeker dossiers over mensen horen achter slot en grendel. Alleen de medewerkers die dat voor hun werk nodig hebben, mogen daartoe toegang krijgen. Waarom is dat op dit moment niet het geval? Zij vraagt de wethouder hoe en wanneer zij denkt een nieuw plan te hebben om de achterstand in de uitvoering van de oude plannen in te lopen. Zij complimenteert de rekenkamer voor de publiekssamenvatting in begrijpelijke taal. Ze heeft geprobeerd in haar bijdrage dat voorbeeld te volgen.

1130

1140

1150

De heer De Pagter (VVD) kan zich aansluiten bij de complimenten die mevrouw De Boer uitsprak. Ook hij vindt het goed dat het onderzoek is uitgevoerd. De VVD is blij dat het college alle aanbevelingen overneemt. Hij verwacht dat het college hierop stevig gaat inzetten in de komende jaren. Dit moet echt beter dan in de afgelopen tijd. De VVD sluit zich op dat punt aan bij de andere fracties die dit aan de orde stelden. Uit het onderzoek blijkt hoe belangrijk de menselijke factor is als het gaat om de informatieveiligheid. Op meerdere terreinen is dat het geval. Hij vindt dat de 16% van de medewerkers die dezelfde wachtwoorden voor verschillende portalen gebruiken omlaag moet. Dat risico is slechts op twee manieren te beperken en beide moet wat hem betreft: (1) Een groter bewustzijn rond fishing. De Rekenkamer gaf daarvoor een aanzet. En (2) ervoor zorgen dat medewerkers voor verschillende portalen verschillende wachtwoorden gebruiken. Hij doet de suggestie medewerkers elke twee maanden een net-mail te sturen, deel uitmakend van een bewustzijnscampagne. Mevrouw Zwinkels (CDA) vraagt of de heer De Pagter het met haar eens is ook te gaan monitoren met de vraag of ze de fishing mail hebben ontvangen. De heer De Pagter (VVD) antwoordt bevestigend. Dat mensen die die mail ontvangen die ook gaan melden. Dat is een belangrijk aspect hieraan.

Hij vraagt de wethouder daarop te reflecteren. Hij vraagt of het mogelijk is medewerkers te verplichten passwordmanagers te gebruiken. Pagina 24 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1160

1170

1180

1190

Mevrouw Van Ophem (Student & Starter) dankt de Rekenkamer voor het uitvoeren van het onderzoek. Dit onderwerp wordt steeds belangrijker in de samenleving. Duidelijk is geworden dat de gegevensbescherming vele malen beter kan. Extern is het systeem wel voldoende beveiligd, maar intern levert het systeem de nodige problemen op. De zwakste schakel blijkt de menselijke factor te zijn. Zij refereert aan de desbetreffende inbreng van de VVD. Haar fractie kan zich vinden in de aanbevelingen van de Rekenkamer aan het College. Zij doet een aantal extra suggesties. Zij stelt een gedeelde verantwoordelijkheid voor, bijvoorbeeld door het aanscherpen van de veiligheidsnormen: wat te doen bij fishing, wat te doen bij een indringer op de werklocatie? Zo wordt de informatieveiligheid gezamenlijk bereikt. Zij stelt voor een tweemaandelijkse cursus te geven aan alle nieuwe werknemers, zowel in- als extern. Daarbij kan aandacht worden geschonken aan de melding van verdachte activiteiten. In het verlengde daarvan is het belangrijk dat de gemeente haar werknemers informatie blijft geven over wat te doen en waar wat te melden. Andere partijen gaven dat ook al aan. De kracht zit in de herhaling. Zij veronderstelt dat de wethouder bekend is met de BHV. Haar fractie stelt voor die cursus door te trekken naar de informatieveiligheid in de vorm van een heuse IHV. (Een informatie hulpverleners keuze).

Dan moet ook een IHV-er aangesteld worden. Zij wil de wethouder verder meegeven thuiswerk te blijven door ontwikkelen. In het afgelopen jaar leverde dat de gemeente mogelijkheden op en legde dit ook risico’s bloot. Student & Starter ziet graag dat die risico's in de komende tijd worden aangepakt zo dat thuiswerk ook in de toekomst mogelijk blijft. Tot slot wil zij het belang benadrukken van een veilige achtergrond: blijf het personeel informeren en bijscholen. Dat is goedkoper dan het aanschaffen van ingewikkelde pasjes, toegangsystemen in het stadskantoor. Student & Starter wil dat het stadskantoor en het stadhuis toegankelijk blijven. Hiermee rondt zij haar bijdrage af. Mevrouw De Boer (GroenLinks) denkt na over het plan voor die IHV. Zij vindt dat op zich creatief. Zij vraagt zich af of dat nog meer functionarissen gaat helpen. Zij refereert aan haar bijdrage in dat opzicht. Mevrouw Van Ophem (Student & Starter) doet de suggestie van een centraal jaarlijks examen zo dat kennis en vaardigheden bijgehouden blijven worden. De heer Spil (Stadsbelang Utrecht) heeft begrepen dat de achterstand in beveiliging van de gemeenlijke organisatie te maken heeft met een gebrek aan beveiligingsbewustzijn van medewerkers en een gebrek aan integraal gestuurd werken. Het college en de organisatie onderkennen dat en nemen de aanbevelingen over en hebben de verbeteringen in gang gezet.

Zijn fractie vraagt hoeveel middelen en menskracht het college in 2020 heeft geïnvesteerd in de organisatie. Hoe komt het dat dat te maken heeft met achterstand. Hij krijgt graag de reflectie hierop van het college. Hij vindt het goed te zien dat van buitenaf de beveiliging goed is. Zijn fractie mist in het rapport een gedeelte over de centrale aansturing. Updates van harde software kan niet altijd worden uitgevoerd, en dat de wachtwoorden niet veilig zijn, en dat sommige kwetsbaarheden al meer dan drie jaar bekend zijn en dat er geen consensus is over een oplossing dat kennelijk niets is gebeurd om een oplossing te bereiken.

Pagina 25 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021 1200

1210

1220

1230

1240

De heer Spil somt de functionarissen op die te maken hebben met de beveiliging van informatie. Al die medewerkers zouden een centraal beleid, en een centrale aansturing moeten hebben. Het lijkt er op naar het inzicht van zijn fractie dat de centrale regie ontbreekt. Hij mist in het rapport een deel over de verantwoordelijkheden van de verschillende betrokken functionarissen. Het college wil met een centraal programma het informatiebewustzijn intensiveren en heeft daarmee een begin gemaakt; dat moet begin 2021 geïmplementeerd worden. Hij vraagt of de gemeente daarbij ook gekeken heeft naar ervaring daarmee in andere organisaties. Wat heeft op dat terrein de VNG te bieden? Wat kan de gemeente daarvan leren? De heer Spil stelt vervolgens twee onderwerpen aan de orde: veilig thuiswerken noemt hij als eerste. Hij pleit voor een gemeentelijke laptop voor alle medewerkers. Daarom werken de medewerkers niet met een VWM. Hij noemt enkele maatregelen die thuishoren bij een veilige organisatie. Onder meer tweetraps identificatie. Mogelijk moet de raad eerst het plan van aanpak afwachten. Hij verwacht praktische stappen om tot een veilige werkomgeving te komen. Ten tweede noemt hij benchmarking. Hij ziet dat gemeenten zich vooral vergelijken met gemeenten. Zijn fractie wil graag voorstellen dat Utrecht een benchmark doet met andere organisaties, zoals de Universiteit Utrecht.

Mogelijk kan de gemeente Utrecht veel leren van die organisatie. Hij vraagt daarvoor aandacht. Hij verneemt graag van het college of het een toezegging kan doen dat een benchmark zal plaatsvinden met een niet-gemeentelijke organisatie. Mevrouw De Vries (Partij voor de Dieren) complimenteert de Rekenkamer. Ook haar fractie is erg geschrokken. Zij heeft er kennis van genomen dat het college zich herkent in de resultaten en zich schaart achter de aanpak van de problemen en de aanbevelingen grotendeels overneemt. Zij haalt een aantal zaken aan die te maken hebben met de veiligheid, al eerder genoemd zoals het meelopen met mensen naar binnen in het stadskantoor of in het stadhuis en toegang krijgen tot gegevens waartoe ze geen toegang zouden mogen krijgen. Ook haar fractie stipt het evenwicht aan tussen toegankelijkheid en veiligheid. Wat haar fractie betreft zouden de bodes effectiever in te zetten zijn. Zij heeft de indruk dat niet altijd goed zicht is op wie het gebouw binnenkomt. Zij pleit voor poortjes waar slechts één persoon naar binnen kan per opening. Ook haar fractie vindt de bewustwordingscampagne heel belangrijk. September 2020 stelde het college de financiering beschikbaar voor een bewustwordingsprogramma. De eerste uitvoering start voor de zomer van 2021. Wat haar fractie betreft had dat sneller gekund.

Mevrouw De Boer (GroenLinks) hoorde andere partijen ook inbreng leveren op de poortjes en ervoor zorgen dat mensen niet achter anderen aan kunnen lopen. Een van de voorbeelden was dat er een bezoekerspas was aangevraagd en dat er dan alsnog door de poortjes te lopen is. Zij vraagt of het niet veel meer zit in ervoor zorgen dat wanneer iemand binnenkomt, die persoon niet bij informatie kan. Dat heeft alles te maken met het bewustzijn van medewerkers. Zij noemt enkele condities die daarmee te maken hebben. Pagina 26 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1250

1260

1270

1280

Mevrouw De Vries (Partij voor de Dieren) vindt dat hier sprake is van “en en”. Op alle vlakken moet gekeken worden hoe het beter kan. Zij benadrukt het belang van de bewustwordingscampagne. Mevrouw De Boer (GroenLinks) vraagt of de Partij voor de Dieren dan eigenlijk zegt dat niemand meer een bezoekerspas moet krijgen. Mevrouw De Vries (Partij voor de Dieren) antwoordt dat ze dat absoluut niet zo bedoelt. Zij vervolgt haar bijdrage in haar termijn. Zij vraagt naar de stand van zaken als het gaat om de plannen voor de verbetering van de situatie. Kan de wethouder bevestigen dat expliciet aandacht wordt besteed aan tijdelijke en externe medewerkers, zoals al eerder in bijdragen voorbij kwam. Zoals andere fracties stipt zij de thuiswerksituatie aan. Niemand weet hoe lang de coronacrisis zal duren. Bovendien is het thuiswerk enigszins genormaliseerd. De voordelen ervan worden ingezien. Veel medewerkers werken met eigen apparatuur. De gemeente heeft geen goed zicht op de veiligheid wat dat betreft. Zij vraagt of het college daarvoor een goed Plan van Aanpak heeft. Zo nee, wanneer zal zij dat Plan van Aanpak wel hebben? Zij vraagt of de raad dan ook wordt geïnformeerd. Zij heeft er kennis van genomen dat de plannen gemaakt zijn om de algemene informatieveiligheid van de gemeentelijke organisatie te verbeteren. Zij heeft ook kunnen lezen dat dit op schema achterloopt.

Ook andere fracties stipten dit aan. Bovendien verwacht het college pas in het eerste kwartaal van 2022 achterstanden te hebben bijgewerkt. Ook dat kan sneller wat haar betreft. Zij vraagt de wethouder of zij kan toezeggen daar meer vaart achter te zetten. Zij kijkt uit naar het vervolgonderzoek dat de Rekenkamer over een jaar zal gaan doen. Zij hoopt dat er dan veel verbeteringen te zien zijn. Mevrouw Streefland (ChristenUnie) vindt dat gestreefd moet worden naar een duurzame bewustwording. De plannen zouden moeten leiden tot veel meer acties dan tot nog toe. Zoals een heftruckchauffeur ieder jaar een veiligheidscertificaat moet halen, zou dat in dit geval bij dit onderwerp ook als voorwaarde gesteld kunnen worden. Zij geeft dit mee als advies. Zij is benieuwd hoe de wethouder dit ziet. Zij is blij met het onderzoek dat in het vooruitzicht is gesteld. Het mooiste zou zijn wanneer de gemeente dat onderzoek zelf doet, en dan ook veel structureler dan zoals het nu is geagendeerd. Als het gaat om openheid versus gastvrijheid merkt zij op dat de bodes te ver weg zijn geplaatst. Zij deelt dit met de Partij voor de Dieren. Die zou de rol kunnen hebben die dichterbij is. Zij zou de bodes zichtbaarder willen maken. Zij vermoedt dat dat de organisatie in eerste instantie al heel erg gaat helpen. Zij brengt dit in als aanbeveling.

Voor het overige is mevrouw Streefland benieuwd naar wat er besloten gaat worden als het gaat om de zesde verdieping. Zij vraagt de reactie van de wethouder als het gaat om een mogelijk extra vraagstuk daar.

1290

De heer Schipper (SP) merkt op dat dit onderzoek aantoont hoe belangrijk de Rekenkamer is. Hij sluit zich aan bij de al gegeven complimenten. Er moet voor gezorgd worden dat mensen die niet thuishoren bij fysieke informatie daar ook niet bij kunnen komen. Hij kan zich een heel eind aansluiten bij de inbreng

Pagina 27 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1300

1310

van mevrouw De Boer over wat zij heeft gezegd over bewustwording. Sommige zaken moeten echt achter slot en grendel blijven. Hij schaart zich achter de suggestie van de heer De Pagter over de netfishingmail. Hij schaart zich achter de jaarlijkse terugkomdagen om de bewustwording in het leerproces te borgen. Hij refereert aan de vragen die mevrouw Zwinkels heeft gesteld over nieuw opkomende fenomenen. Ook hij is benieuwd naar het antwoord van het college. De heer Van der Zweth (PvdA) dankt het college voor het onderzoek van de Rekenkamer. Hij vindt het goed dat dit onderzoek is gedaan. Het onderzoek maakt duidelijk waar de zwakke schakels zitten. Zijn fractie heeft vragen over thuiswerk en het gebruik van eigen apparatuur. De vraag is of een grote organisatie dat moet willen. Medewerkers zouden een laptop moeten hebben van hun werkgever. Hij merkt op dat telefoons niet meegenomen zijn in het onderzoek. Hij spreekt daar de Rekenkamer en de wethouder op aan. Hij vraagt of daarmee het bestuur niet veel informatie mist. Het college geeft aan dat het de aanbevelingen overneemt en ermee aan de slag zal gaan. Hij vraagt de wethouder wat zij als prioriteit ziet. Hij rondt hiermee zijn bijdrage af. De voorzitter schorst de vergadering voor 10 minuten en heropent die om 14.53 uur.

1320

1330

1340

De beantwoording Wethouder Voortman dankt de commissie voor de vragen en de Rekenkamer voor het rapport. Het college herkent de bevindingen in het onderzoek. Verschillende fracties vroegen haar of ze ervan geschrokken is. Zij is geschrokken als het gaat om de technische interne kwetsbaarheden. Gezien de verbetervoorstellen beschouwt zij het rapport van de Rekenkamer als een bevestiging van de eigen analyse van het college en als een steun in de rug om de juiste dingen te gaan doen. In die zin helpt het rapport het college. De wethouder is het ook heel erg eens met de woorden van de heer Van Keulen in zijn introductie: dat dit nooit afkomt. Dit moet het bestuur blijven doen. Zij zal de vragen beantwoorden in vier blokken: (1) hoe te verbeteren en hoe ervoor te zorgen dat de zaken wel goed gegaan, (2) bewustwording, (3) De balans veiligheid/openheid en (4) overige vragen. Ad (1) de vraag werd gesteld hoe herhaling te voorkomen. Zij refereert aan de inbreng van mevrouw Zwinkels, mevrouw De Boer, de heer De Pagter. De wethouder noemt in dit verband de extra middelen om achterstanden in te lopen. Regelmatig zal vastgesteld moeten worden of de middelen en de capaciteit afdoende zijn. Zij bevestigt dat het niet bij plannen moet blijven. De toezegging die gevraagd is over wie wat wanneer, wil de wethouder verwerken in de road map.

Dat zal een meerjarig plan worden zodat ook de raad kan zien wat daarop gedaan wordt en hij daar goed op kan sturen. Ook werd gevraagd om een benchmark. Mevrouw Zwinkels vroeg een benchmark met andere gemeenten en de heer Spil van Stadsbelang Utrecht sprak over een benchmark met andere bedrijven. De wethouder zet uiteen dat het college de gemeente vergelijkt met andere gemeenten. Dat doet Utrecht vooral in G4-verband. Pagina 28 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1350

1360

1370

1380

De informatieveiligheidsdienst van het Rijk bezorgt in dat kader gemeentebrede beveiligingsbeelden die te gebruiken zijn. In het beleid zijn benchmarks mee te nemen zodat een en ander goed te vergelijken is. Als het gaat om de samenwerking met andere bedrijven, bestaat binnen Utrecht samenwerking met partners in de stad op het vlak van gegevensbescherming, zoals de Rabobank, Prorail, NS, de Provincie, en zij meent zich te herinneren dat de gemeente ook contact heeft met de universiteit. Zij overweegt dat het goed is om contact op te nemen met de universiteit voor het delen van kennis. Zij zegt daarop toe in het Plan van Aanpak als gevolg van het Rekenkameronderzoek mee te nemen wat het college hierop doet, zo dat de raad kan zien hoe de gemeente zich vergelijkt met andere gemeenten en met bedrijven. Zij bevestigt dat het goed is om van elkaar te kunnen leren. De wethouder antwoordt ontkennend op de vraag van de Partij voor de Dieren of op het programma te versnellen is, naar eerder dan begin 2022. In de roadmap wordt ook gewerkt aan acties. Met de huidige capaciteit zal de versnelling niet mogelijk zijn. Dit vraagt veel van de organisatie. Het college doet dit zo snel mogelijk maar dit moet ook zorgvuldig gebeuren. Mevrouw Zwinkels (CDA) heeft behoefte aan een klein beetje reflectie van de wethouder.

Haar indruk is een andere dan wat de wethouder nu zegt op basis van wat zij aan informatie heeft gekregen. Er zijn achterstanden opgelopen vanaf 2017. Wat gaat de gemeentelijke organisatie doen om die in te halen, en zij parafraseert hiermee de woorden van mevrouw Streefland. Wethouder Voortman herhaalt in dit licht haar schrik over de technische interne kwetsbaarheden. Dat moet worden verbeterd. Vorig jaar zijn middelen beschikbaar gesteld. Dan moet er nu een concreet plan komen over wat de gemeente in de komende tijd precies gaat doen om het goed op orde te krijgen. Zij vervolgt haar beantwoording met in te gaan op de inbreng van mevrouw Dekker over het uitdelen van laptops. Het college had een vrijer beleid waarbij iedereen zijn eigen device kon meebrengen. De vraag is of de gemeentelijke organisatie dat moet blijven willen. De wethouder wil toe naar dat iedereen een laptop krijgt van de gemeente. Hiermee is het college al bezig. Zij zal hierop terugkomen bij de Voorjaarsnota. Zij kan dan in het Plan van Aanpak uitgebreider aangeven wat dat behelst. Zij zegt dit toe. Mevrouw Dekker (D66) dankt de wethouder voor de toezegging. Zij sprak over tools of devices. Het hoeven wat haar betreft niet per se laptops te zijn. Zij vraagt of in het kostenplaatje ook telefoons worden betrokken. Mevrouw Zwinkels (CDA) begrijpt het risico van eigen devices. Dat is niet het enige.

15% van de gemeentelijke laptops voldoet aan de veiligheidseisen. Dat is een ontzettend laag percentage. Zij vraagt de reflectie van de wethouder. Wethouder Voortman antwoordt met toe te lichten dat het gaat om oude laptops. Momenteel wordt uitgewerkt aan hoe ervoor te zorgen dat het allemaal in orde komt. Mevrouw Zwinkels (CDA) merkt op dat die 15% voldoet. Daaruit concludeert zij dat er 85% oude laptops zijn. Wethouder Voortman antwoordt bevestigend. Zij vervolgt haar beantwoording. Mevrouw Dekker sprak over vergadertools; binnen Werken3.0 wordt de werkstrategie omgebogen van een PDI-gerichte strategie naar een Bedrijfsportaalstrategie. Die vergadertools kunnen dan veilig worden aangeboden

Pagina 29 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021 1390

1400

1410

1420

1430

vanuit het bedrijfsportaal waarbinnen bepaalde maatregelen te nemen zijn. Dat levert geen problemen op voor de infrastructuur van de gemeente. Richting de heer Spil bevestigt de wethouder dat alle lap tops beveiligd worden door de gemeente. Mevrouw Zwinkels vroeg over of het achterhaald is om alleen daar waar het zakelijk relevant is maatregelen te nemen. De wethouder benadrukt dat maatregelen altijd in verhouding moeten staan tot de risico’s die ze afdekken. Het beleid dat gevoerd wordt, is afgeleid van de businesscase. Daarbij gaat het niet alleen om geld. De middelen zijn schaars dus moet het college nagaan wat te doen is en wat het meest dringend is. Zij zal dat aangeven in de roadmap. De heer Van der Zweth vroeg welke prioriteit de wethouder ziet. Zij zet bewustwording met stip op no. 1. Daar moet een campagne voor komen. Zij bevestigt dat die campagne blijvend moet zijn. Dat blijvende is nodig voor nieuwe medewerkers en om te voorkomen dat informatie wegzakt. Zij bevestigt en zegt toe de raad daarin mee te nemen, zoals mevrouw Dekker zei. Verschillende raadsleden spraken over fishing mail als structureel onderdeel van de bewustwordingscampagne. De wethouder antwoordt bevestigend. Het college deed dit al een keer. Dit stond ook in het Rekenkameronderzoek. De frequentie moet wel stroken met de effectiviteit.

Mevrouw Streefland (ChristenUnie) vraagt aandacht voor het leerproces na de fishing mail. Het is van belang dat er over gesproken wordt. Wethouder Voortman bevestigt dat het ook om de nazorg gaat. Mevrouw De Boer (GroenLinks) is benieuwd te vernemen wat de wethouder verstaat onder een campagne. Het gaat GroenLinks echt om een doorlopende scholing van medewerkers. Wethouder Voortman is het daarmee eens. Het is een continu proces. Het gaat ook om het aantal keren in de tijd. Dat betekent niet dat steeds precies hetzelfde gedaan wordt. De heer Spil (Stadsbelang Utrecht) merkt op dat teveel deelaspecten van beveiliging aandacht krijgen. Een duidelijke programmaverantwoordelijke lijkt zijn fractie heel belangrijk met voldoende bevoegdheden om te bewerkstelligen dat een centraal meersporenbeleid op al die onderdelen gevoerd gaat worden en zal blijven worden in de toekomst. Hij verneemt graag van het college of het college daarin een toezegging kan doen. Wethouder Voortman antwoordt dat zij binnen het college de verantwoordelijke is; binnen de organisatie functioneert de chief digital information officer. Die functionaris is de centraal verantwoordelijke in de organisatie. Per organisatieonderdeel zal specifieke training nodig zijn. Mevrouw Dekker vroeg naar hoe om te gaan met geheime informatie. Dit is een bijzonder soort informatie.

Het college neemt dat mee in de bewustwordingscampagne(s). Werk3.0 gaat gevoelige informatie automatisch beter beveiligen. Heel veel suggesties zijn gedaan vanuit de fracties. Zij noemt onder meer als voorbeeld het verplicht stellen van de wachtwoordmanager. De wethouder wil daarop terugkomen in het Plan van Aanpak. De heer Spil (Stadsbelang Utrecht) merkt op dat in deze bijeenkomst veel voorstellen voor functionarissen gedaan zijn. Zijn fractie zou graag meer vernemen over het definiëren van hun rol en bevoegdheden. Hij pleit voor het afdwingen van centrale sturing. Pagina 30 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1440

1450

1460

1470

1480

Wethouder Voortman merkt op dat het college onder verantwoordelijkheid van de SISOW in 2019 en 2020 zelf onderzoeken heeft gedaan. Die worden ook ondersteund door de Rekenkamer. Er is geen sprake van lijdzaam toezien, maar wel dat het college de mensen en de middelen nodig had. Het college beschikt nu over die middelen en over die mensen en bovendien beschikt het college over het Rekenkamerrapport. Het college denkt daarmee voldoende in handen te hebben om in de komende tijd stevige verbeteringen door te laten voeren. Zij had in de suggesties niet begrepen dat het ging om nieuwe functionarissen. In dat opzicht is zij het eens met de desbetreffende inbreng van de heer Spil. Het is niet de bedoeling nieuwe functies toe te voegen. De wethouder vervolgt met in te gaan op de verhouding veiligheid en openheid. Zij voelt dat dilemma in de commissie. Het zal nodig zijn om in de komende tijd te onderzoeken wat hierin acceptabel is en wat niet. Mevrouw Streefland sprak over het Stadskantoor en noemde het gegeven dat ook derden in het gebouw van het Stadskantoor huizen. Ook met hen zal het college in overleg moeten. De wethouder begrijpt het belang dat de raad hecht aan openheid. Zij merkt op dat dit geen gemakkelijk vraagstuk is. Ook hier speelt bewustwording een belangrijke rol.

Mevrouw Zwinkels (CDA) vraagt waar het gaat knellen op het stadskantoor als het gaat om de gewenste openheid. Is de afspraak te maken dat bezoekers begeleid worden door een medewerker van de gemeente? Wethouder Voortman antwoordt bevestigend in die zin dat het onderwerpen zijn waarover het bestuur moet spreken. De vraag is of het bestuur het wel gewenst vindt dat mensen alleen nog maar onder begeleiding binnen kunnen komen. De wethouder gaat in op losstaande vragen. Mevrouw Zwinkels vroeg naar spoofing. Het college neemt al passende maatregelen tegen verschillende manieren van spoofing. Gevraagd is of de gemeentelijke organisatie voldoet aan de voorwaarden vanuit de BIO. De organisatie beantwoordt aan de NCA-rapportage. Dit komt in het jaarverslag Gegevensbescherming. Dat zal voor de zomer naar de raad gestuurd worden. De wethouder bevestigt met betrekking tot de vraag van mevrouw Dekker met betrekking tot De uitvoering van het beleid gegevensbescherming Privacy by Design dat bij nieuwe ontwikkelingen standaard een DPA wordt uitgevoerd. Daarbij wordt het principe privacy bij design getoetst. De Partij voor de Dieren, D66 en Student & Starter stipten thuiswerken aan met de vraag wat de gemeente kan doen om de thuiswerkplek van de medewerker beter te beveiligen. De wethouder is daarop al ingegaan.

Binnenkort zal een belangrijke stap gezet worden in de verbetering van de beveiliging. Het plan voor thuiswerken wordt momenteel uitgewerkt. Zij zal daarop terugkomen bij het plan van aanpak. De verschillende onderdelen werken samen in een vakgroep. Eerder is al gesignaleerd dat extra capaciteit gevraagd is. Dat loopt de gemeente momenteel in. Wanneer de 64 gevonden risico’s opgelost worden? De wethouder zet uiteen dat vier penetratietesten gedaan zijn door de Rekenkamer waarvan twee risico's hebben opgeleverd: de interne pentest leverde de meest ernstige risico’s op. Het college eist een grondige renovatie. De externe pentest heeft een aantal risikco’s laten zien die minder erg zijn en die in het reguliere proces opgelost moeten worden. Van die groep kwetsbaarheden was de meerderheid op 1 april opgelost. Risico's worden verlaagd, Pagina 31 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

1490

1500

1510

nog niet opgelost. De grootste risico’s worden nu eerst opgelost met verzachtende maatregelen tot dat te renoveren is. Alle risico's die niet verbonden zijn aan de cliencewerkplek zijn opgelost of in een vergaand stadium van behandeling. De wethouder stelt voor in het plan van aanpak de stand van zaken op te nemen. De wethouder zet uiteen dat momenteel een plan gemaakt wordt en de eerste onderdelen daarvan al worden uitgevoerd. Het college zal in het plan van aanpak een concrete tijdlijn noemen waarop de raad kan toezien. Met alle lagen van de organisatie wordt op dit moment gesproken over het beperken van risico's. Alle delen van de organisatie dragen bij aan het realiseren van deze aanpak. De Rekenkamer De heer Van Keulen bevestigt richting de heer Van der Zweth dat de telefoons niet meegenomen zijn. Geprobeerd is een behapbaar onderzoek te maken. Het voornemen is de telefoons mee nemen in het vervolgonderzoek. Uitgezocht wordt wat de meest nuttige termijn is. Mevrouw De Boer vroeg naar het belang van bewustwording. De heer Van Keulen refereert aan de inbreng uit de commissie hierover. De verwachting is dat in de bewustwording in de komende tijd een hele duidelijke verbetering te zien zal zijn.

Gemiste vragen en zaken die de commissieleden willen terugbrengen Mevrouw Zwinkels (CDA) had gevraagd naar de toekomstige ontwikkelingen en wat in dat opzicht van het college te verwachten is. Zij had gevraagd naar de partners in de keten, in relatie tot oudere software om daarover afspraken te maken met leveranciers. En zij vroeg er naar of op korte termijn hulplijnen komen. De heer De Pagter (VVD) had het antwoord gemist op de vraag naar de passwordmanager.

1520

1530

Wethouder Voortman meent ingegaan te zijn op de vragen naar de passwordmanager onder het kopje bewustwording en merkt op dat veel suggesties gedaan zijn om de bewustwording te bevorderen. Zij zal kijken naar de suggesties. Zij antwoordt mevrouw Zwinkels met op te merken dat de gemeente Utrecht al een hulplijn heeft voor medewerkers. De wethouder wil terugkomen over de partners in de keten bij het plan van aanpak. Als het gaat om toekomstige ontwikkelingen, zullen die er altijd zijn. Mogelijk doelt mevrouw Zwinkels op iets waarvan zij weet dat er aankomt. Mevrouw Zwinkels (CDA) had spoofing als een van de voorbeelden gegeven. Zij kan zich voorstellen dat cyber security ontwikkeld moet worden omdat de aanvallen ook geavanceerder worden. Om die reden had zij deze vraag gesteld. Zij wil wel graag weten wat een hulplijn is. Misschien kan dat ambtelijk beantwoord worden. Wethouder Voortman antwoordt dat de hulplijn een gemeentelijke servicedesk is waar medewerkers terechtkunnen met hun zorgen over de informatieveiligheid. Zij is ingegaan op spoofing. Het is waar dat de aanvallen steeds geavanceerder worden. Dat betekent dat de ontwikkeling van de verdediging nooit klaar is.

Pagina 32 van 58

Griffie Gemeenteraad Utrecht Verslag van de openbare digitale en fysieke vergadering van de Commissie Mens & Samenleving op 29 april 2021

Tweede termijn

1540

1550

1560

1570

1580

Mevrouw De Boer (GroenLinks) gaat in op het antwoord van de wethouder op de vraag over open of gesloten. In het presidium zullen partijen met elkaar in gesprek moeten. Zij is het daarover niet eens. Dit gaat de hele raad aan en zou thuishoren wat haar betreft in deze commissie. Zij vraagt de wethouder of zij in de uitwerking van alle plannen ook dit wil meenemen en met een voorstel bij de raad terug zal komen. Daaraan gekoppeld de vraag of zij iets moet amenderen op punt 4. Of kan zij ervan uitgaan dat de wethouder niet allerlei maatregelen gaat nemen zonder de raad daarin eerst te kennen? Wethouder Voortman is bezig met het presidium als het gaat om de balans tussen open en gesloten. Zij neemt zich voor daarmee verder te gaan. Uiteraard neemt het college geen besluit zonder de raad daarin te betrekken zeker wanneer het gaat om zaken die de raad zelf aangaan. Zij oppert dat het handig is hierover onderling overleg te voeren. Mevrouw De Boer (GroenLinks) zet uiteen dat de opdracht van het college over de veiligheid van personen gaat, en niet over informatieveiligheid. Dit debat wordt gevoerd vanuit informatieveiligheid. Zij vindt dat de mensen die daarover praten daarover mee moeten kunnen beslissen. Zij ziet dan liever dat onderdeel in de commissie dan de overige onderdelen. Wethouder Voortman repliceert dat het allemaal met elkaar te maken heeft.