Conceptverslag Commissie Veiligheid Bestuur en Financiën 13 februari 2025
Tekst van het document
Verslag openbare ochtendvergadering commissie Veiligheid, Bestuur en Financiën 5
10
15
Datum Locatie Verslag door
13 februari 2025 Raadszaal, Utrecht mevrouw M. de Mul (Notuleerservice Nederland)
Aanwezigen
De voorzitter Linda Bode, de burgemeester Sharon Dijksma, de wethouder Rachel Streefland, de leden Achraf Ait Daoua (D66), Job van den Broek (CDA), Bina Chirino (CU), Gert Dijkstra (EenUtrecht), Mahaar Fattal (GroenLinks), Stefan Gaillard (Stadsbelang Utrecht), Maarten van Heuven (Partij voor de Dieren), Romi Leever (PvdA), Ruud Maas (Volt), Tess Meerding (VVD), Janouke van Meerveld (Student & Starter), Victor Paalman (Horizon), Margreet Ramaker (VVD), Iskender Şimşek (DENK),Titus Stam (PvdA), Bert van Steeg (CDA), de commissiegriffier, lid van de Rekenkamer Sjoerd Keulen
Verslag commissie Veiligheid, Bestuur en Financiën 20
25
30
1 Opening ..........................................................................................................................................2 2 Vaststellen van de agenda van 13 februari 2025 ...........................................................................2 3 Vaststellen van ingekomen agenderingen .....................................................................................2 3.1 Raadsvoorstel Aanpassing Regeling Risicovolle Projecten ....................................................2 3.2 Raadsvoorstel Gunning externe accountant ...........................................................................2 3.3 Agenderingen ter plaatse op basis van de lijst ingekomen Raadsbrieven ..............................3 4 Verslagen .......................................................................................................................................3 5 Toezeggingen/Moties .....................................................................................................................3 6 Ingekomen stukken ........................................................................................................................4 7 Verslag Adviescommissie Controle en Financiën ..........................................................................4 8 Raadsvoorstel Rekenkamerrapport: de Mens als zwakke schakel
................................................4 Lijst van toezeggingen .................................................................................................................17 9 Raadsvoorstel Zienswijze kadernota 2026 VRU ..........................................................................17 Lijst van toezeggingen .................................................................................................................19
35
1
1 Opening De voorzitter opent de vergadering. Zij heet de mensen thuis, de aanwezigen op de tribune, het college en de commissieleden welkom. Er zijn geen mededelingen.
5
10
2 Vaststellen van de agenda van 13 februari 2025 De voorzitter meldt dat de agenda overvol is, mede door het doorschuiven van agendapunt 12 over het afgelasten van de onderwijsdemonstratie. Daarom stelt zij voor om twee onderwerpen door te schuiven naar 20 maart: 13 Goed werkgeverschap en rechtsgang, en 14 Controlerende mechanismen VTH. Dat betekent wel dat de commissie van vandaag en die van 20 maart nagenoeg volgepland zijn. Aan de commissie wordt gevraagd of zij met het doorschuiven van deze onderwerpen in kan stemmen. Mevrouw Ramaker (VVD) zegt dat zij graag zou zien dat agendapunt 13 wel vandaag wordt besproken. Het is een kort agendapunt, er zijn maar enkele fracties die erover willen spreken.
15
De heer Şimşek (DENK) wijst de VVD erop dat dat agendapunt dan om kwart voor tien ’s avonds zal beginnen, mits er niets uitloopt. Mevrouw Ramaker (VVD) antwoordt dat vergaderdiscipline erg prettig zou zijn. Deze agendering is al in december doorgegeven, en het wordt dan pas in maart besproken.
20
De voorzitter concludeert dat wordt voorgesteld om agendapunt 14 door te schuiven, en agendapunt 13 wel te behandelen. Daar is een meerderheid van de commissieleden voor. Daarmee is de agenda voor vandaag vastgesteld.
3 Vaststellen van ingekomen agenderingen 25
De voorzitter wijst de commissie, naast de ingekomen agenderingen, ook op de lange termijnagenda met daarin de raadsvoorstellen die het vanuit het college de komende tijd kunnen worden verwacht. 3.1 Raadsvoorstel Aanpassing Regeling Risicovolle Projecten De voorzitter meldt dat er wordt voorgesteld om dit te agenderen voor de commissie van 20 maart 2025 voor 45 minuten.
30
Mevrouw Ramaker (VVD) vindt 45 minuten wat veel. Zij geeft aan dat dit voorstel door de raad is gevraagd. Daarover wordt nu een uitgebreid voorstel voorgelegd. Zij adviseert hier 15 minuten voor te reserveren. De heer Stam (PvdA) sluit zich daarbij aan.
35
De voorzitter laat weten dat voor dit onderwerp in de volgende commissievergadering 15 minuten wordt gereserveerd. Eventuele inbreng moet dan wel beperkt zijn. 3.2 Raadsvoorstel Gunning externe accountant De voorzitter meldt dat wordt voorgesteld om dit voorstel als A-punt door te geleiden naar de raad. Daar stemt de commissie mee in. 2
3.3 Agenderingen ter plaatse op basis van de lijst ingekomen Raadsbrieven De voorzitter vraagt of er commissieleden zijn die een RIB of een commissieagendering ter plaatse willen doen op basis van deze lijst. 5
De heer Stam (PvdA) zegt dat er een technische sessie is aangeboden door de Referendumcommissie naar aanleiding van de evaluatie. Dat lijkt de PvdA erg nuttig. De voorzitter informeert of die behoefte ook bij andere fracties leeft. Dat is het geval. Deze sessie kan dus worden georganiseerd. De voorzitter vraagt naar andere agenderingswensen.
10
Mevrouw Ramaker (VVD) stelt een agendering voor over het hoge ziekteverzuim in de gemeentelijke organisatie in relatie tot de groei van de stad. PvdA, D66, CU, CDA, Horizon, Volt en GroenLinks agenderen mee. De voorzitter stelt voor om dit in 90 minuten te behandelen. Dit zou mogelijk op 20 maart kunnen, aangezien een van de onderwerpen toch vandaag wordt behandeld.
15
Mevrouw Ramaker (VVD) laat weten dat zij de aprilvergadering handiger vindt, omdat er nog het een en ander uitgezocht moet worden. Zij zou hier minstens 90 minuten voor willen reserveren, liever 120 minuten. Mevrouw Fattal (GroenLinks) kan zich voorstellen dat de fracties in dat debat allemaal enigszins hetzelfde probleem signaleren. Zij verwacht dat 90 minuten voldoende is.
20
Mevrouw Chirino (ChristenUnie) onderschrijft dat. Zij raadt bovendien een beperkte behandeltijd aan zodat de agendapunten blijven passen en niet meer doorgeschoven hoeft te worden. De voorzitter vraagt de VVD wat hun politieke punt is bij dit onderwerp. Mevrouw Ramaker (VVD) antwoordt dat de vragen die onlangs zijn gesteld over de veegdienst een relatie hebben met dit onderwerp. Zij verwacht dat hierover een debat zal plaatsvinden en adviseert er 120 minuten voor te reserveren. Haar voorkeur gaat uit naar de april-vergadering.
25
De voorzitter vraagt wie er voor een reservering van 120 minuten is. Dat is de meerderheid van de leden. Daarmee wordt dit punt geagendeerd voor de april-vergadering met een tijd van 120 minuten.
4 Verslagen 30
De voorzitter informeert of er opmerkingen zijn over het verslag van 16 januari 2025, en merkt op dat de griffie vooraf geen opmerkingen heeft ontvangen. Er zijn geen opmerkingen. Het verslag wordt vastgesteld.
5 Toezeggingen/Moties 35
40
De voorzitter geeft aan dat de lijst van toezeggingen en de moties die door het college zijn gedaan en de wijze van afdoening. Bij deze lijst is ook een lijst met aangenomen moties gevoegd, met daarop de status van deze moties. Zij informeert naar vragen of opmerkingen over deze lijsten. De heer Stam (PvdA) zegt dat de deadline voor M416 “Coördineer werk, onderdak en zorg voor EU-arbeidsmigranten” op 7 februari 2025 is gesteld. Kan het college daar een update over geven? 3
Wethouder Streefland antwoordt laat weten dat de personele en financiële capaciteit inzet vraagt. Er wordt geprobeerd om hier in Q1 op terug te komen. Zij kondigt een brief aan over MOBW waar dit een klein onderdeel van is. 5
De voorzitter informeert naar verdere vragen over de lijsten. Die zijn er niet. Daarmee zijn deze lijsten vastgesteld.
6 Ingekomen stukken De voorzitter laat weten dat er geen ingekomen stukken zijn.
10
7 Verslag Adviescommissie Controle en Financiën De voorzitter laat weten dat het verslag ter kennisname is toegezonden. Opmerkingen over het verslag kunnen bij de griffie worden gemeld.
15
20
25
30
35
40
8 Raadsvoorstel Rekenkamerrapport: de Mens als zwakke schakel De voorzitter verwelkomt de heer Keulen, lid van de Rekenkamer, en wethouder Streefland. Dit onderwerp wordt besproken omdat de Rekenkamer Utrecht een opvolgingsonderzoek heeft gedaan naar de informatieveiligheid van de gemeente Utrecht, naar aanleiding van een eerder onderzoek in 2021. Het doel van het onderzoek is om de gemeenteraad inzicht te geven in de mate waarin de aanbevelingen naar aanleiding van het rekenkamerrapport zijn opgevolgd. Daarnaast wordt aandacht besteed aan aanvullende onderwerpen die in het eerste onderzoek uit 2021 onderbelicht waren gebleven. Dit voorstel wordt besproken in twee termijnen. Er is 60 minuten voor gereserveerd. Zij geeft de heer Keulen het woord voor een toelichting op het onderzoek. De heer Keulen (Rekenkamer) zegt dat in 2021 voor het eerst onderzoek is gedaan naar de informatieveiligheid van de gemeente Utrecht. Het rapport dat daaruit volgde werd “Zo sterk als de zwakste schakel” genoemd. Er is gekeken naar drie schakels: de mens, de organisatie en de systemen. Er werd gesignaleerd dat er tekortkomingen waren op alle drie de onderdelen. Daarom is er een vervolgonderzoek gedaan. In vergelijking met 2021 is de informatieveiligheid sterk verbeterd. Toen kon er nog van binnenuit in de gemeente worden ingebroken, nu lukt dat niet meer.
Er wordt tweestapsauthenticatie toegepast en alleen met laptops van de gemeente gewerkt. Daarom zijn er nu geen onvolkomenheden in het systeem meer te zien. Er zijn nog een paar kleine zorgen bij de organisatie, maar ook dat is sterk verbeterd. Maar het rapport is niet voor niets “De mens als zwakste schakel” genoemd. De aanbevelingen uit het rapport van 2021 zijn over het algemeen goed opgevolgd. De grote digitale kwetsbaarheden bestaan niet meer, er is nog wel wat oude software in gebruik die niet meer onderhouden wordt. Conclusie 3 en 4 slaan op de mens: zorg dat het bewustzijn onder de medewerkers wordt vergroot en stuur op naleving ervan. Dat is nu decentraal belegd maar soms is centrale aansturing daarop beter. Daar slaan de vier aanbevelingen dan ook op: los de resterende digitale kwetsbaarheden op, check de veiligheid van de gemeentelijke gebouwen, zet in op de cultuurverandering van de medewerkers maar ook van college, raadsleden en leden van de Rekenkamer, en zorg er tenslotte voor dat die naleving centraal wordt opgevolgd. Wethouder Streefland zegt dat duidelijk is dat opvolging van een Rekenkamer-rapport altijd helpt. De tijd van corona heeft op dat vlak veel geleerd. In de raadsbrief als antwoord op het 4
Rekenkamerrapport is aangegeven dat er erg op naleving wordt gelet, zeker gezien de huidige grote geopolitieke veranderingen. De voorzitter geeft het woord aan Horizon voor hun inbreng. 5
10
15
20
De heer Paalman (Horizon) is van mening dat er een redelijk pittig rapport voorligt. Er staan pijnlijke dingen in die in geen enkel bedrijf of overheid zouden mogen gebeuren. Een keten binnen de informatica kan nog zo veilig zijn, maar hij zal knappen bij de zwakste schakel. Het maakt niet uit hoe extreem een systeem digitaal wordt verdedigd, zodra iemand fysieke toegang heeft is het klaar. Dat is het geval in deze gemeente. Medewerkers delen wachtwoorden van onbevoegde websites, steken lukraak onbekende usb-sticks in fysieke systemen en bij netwerkbeheerders hangen post-its met wachtwoorden aan de monitors. Zelfs als er geconstateerd wordt dat er malafide usb-sticks verspreid worden in het stadskantoor, wat de allerhoogste alarmbellen zouden moeten laten rinkelen, lukt het niet om die concrete aanval af te slaan en om alle malafide usbsticks te lokaliseren. De gemeente is zo lek als een mande als het gaat om informatieveiligheid. Het is in het kader van het onderzoek op vijf verschillende dagen gelukt om het stadskantoor te betreden in gesloten onderdelen. Er wordt in het rapport gesproken over de kroonjuwelen. Dat zijn de persoonsgegevens van bewoners. Zij mogen van een eerstelijns overheid verwachten dat daar goed mee wordt omgegaan. Horizon vraagt zich af of de gemeente op dit moment wel te vertrouwen is.
Er kan van uitzonderlijk veel geluk worden gesproken dat geen enkel individu of organisatie het in de afgelopen jaren op de gemeente gemunt heeft. Mevrouw Chirino (ChristenUnie) vindt de uitspraak over de betrouwbaarheid van de gemeente stevig. De gemeente doet daar erg zijn best voor. Ziet Horizon dat ook? De heer Paalman (Horizon) antwoordt dat je ongelooflijk je best kunt doen, maar als dat onvoldoende is dan is dat onvoldoende. Hij meent niet dat de gemeente niet zijn best doet, maar het rapport concludeert dat het mensen lukt om op onbevoegde gedeelten te komen.
25
30
Mevrouw Chirino (ChristenUnie) herkent dat er plekken zijn waar de gemeente dat moet veranderen. Vindt Horizon ook dat er in de tussentijd veel aan is gedaan om vooruitgang te boeken? De heer Paalman (Horizon) leest in het rapport dat het beter gaat op het gebied van systeembeveiliging, maar als iemand fysieke toegang heeft is het klaar. Je kunt enorm je best doen om op het gebied van firewalls beveiliging in te stellen, maar als iemand gewoon naar binnen kan lopen dan heeft die firewall helemaal geen zin. Mevrouw Chirino (ChristenUnie) vraagt of Horizon erkent dat mensenwerk niet perfect is. Er zullen altijd momenten zijn waarop men er toch in kan komen.
35
40
45
De heer Paalman (Horizon) ziet een groot verschil tussen perfect en netwerkbeheerders die post-its met wachtwoorden laten slingeren. Geen enkele organisatie is perfect, maar er kan worden geconstateerd dat het hier helemaal niet goed gaat. Hij vervolgt zijn betoog. Het is een extreem pijnlijke conclusie in een wereld waar spanningen oplopen en de maatschappij verhard. Als overheid ben je een legitiem doelwit voor binnenlandse en buitenlandse actoren. Dat is het risico. Aan de wethouder wordt gevraagd of zij dat beeld deelt. Horizon vindt de reactie van het college op het rapport magertjes. Er wordt zelfs expliciet genoemd dat het opleiden en bewust maken van de zwakste schakel, de mens, een afweging zal blijven of dat de tijdsinvestering wel waard is. Dit zegt het college, waarvan de ambtenaren wachtwoorden op vreemde websites invoeren en met het grootste gemak vreemde usb-sticks in gemeentelijke systemen stoppen. Aan de wethouder wordt gevraagd waarom er een afweging moet worden gemaakt. Dit is toch van de hoogste prioriteit? Mevrouw Ramaker (VVD) vindt dat Horizon hard van leer trekt. Welke oplossingen draagt Horizon dan aan? De heer Paalman (Horizon) antwoordt dat hij die graag van de wethouder wil horen. De oplossingen die nu in de brief worden genoemd zijn onvoldoende. 5
Mevrouw Ramaker (VVD) vindt het te makkelijk om dat bij de wethouder neer te leggen. Horizon is erg kritisch. Is de e-learning een oplossing? De heer Paalman (Horizon) antwoordt dat dat inderdaad een stap is die genoemd wordt door het college. Horizon vraagt zich echter af of dat voldoende is. 5
10
Mevrouw Leever (PvdA) vraagt of Horizon erkent dat de gemeente in moeilijke financiële tijden zit, waarin keuzes moeten worden gemaakt. De heer Paalman (Horizon) antwoordt dat dat inderdaad door het college wordt aangegeven. Financiële afwegingen heb je altijd. Horizon vindt dit echter zodanig belangrijk dat moet worden bekeken wat, binnen de beperkte financiële middelen, toch mogelijk gemaakt kan worden. In het rapport staan harde conclusies over dat het niet goed gaat. Mevrouw Leever (PvdA) zegt dat dat in elk debat wordt gezegd. De keuzes moeten toch worden gemaakt, en de raad kan daar sturing in aangeven. Wat is dan de oplossing volgens Horizon, waar kijkt Horizon ideologisch naar?
15
De heer Paalman (Horizon) antwoordt dat Horizon kijkt naar een oplossing voor het feit dat het nu niet goed gaat. Hij erkent dat dat lastig is, maar als er in een rapport conclusies worden getrokken moet daar actie op worden ondernomen. Mevrouw Leever (PvdA) zegt dat de hele raad digitale veiligheid belangrijk vindt. Wil Horizon de afweging maken om geld uit de jeugdzorg of armoedebestrijding te halen en in te zetten voor digitale veiligheid?
20
De heer Paalman (Horizon) antwoordt dat hij het lastig vindt om daar nu concreet iets over te zeggen. Het is belangrijk dat de gemeente betrouwbaar is. Daar mag best geld voor beschikbaar worden gesteld, ook als dat ten koste gaat van iets anders. Mevrouw Chirino (ChristenUnie) zegt dat het college alle aanbevelingen overneemt. De Rekenkamer is daar blij mee. Waarom noemt Horizon de reactie van het college dan mager?
25
De heer Paalman (Horizon) antwoordt dat er ook in staat dat het een afweging is of het de tijdinvestering waard is. Mevrouw Chirino (ChristenUnie) verzoekt Horizon te reflecteren op het feit dat het college alle aanbevelingen overneemt.
30
35
De heer Paalman (Horizon) leest inderdaad dat het college de aanbevelingen overneemt, maar ook een zeker behoud gezien de beschikbare tijd en geld. Hij vervolgt met zijn betoog. Aan de wethouder wordt gevraagd of het wel goed gaat op het gebied van IT en informatieveiligheid binnen de gemeente. Het rapport concludeert zaken waar in het bedrijfsleven echt hele ernstige gesprekken over gevoerd zouden worden met de betrokken verantwoordelijken. Worden deze gesprekken ook binnen de gemeente gevoerd, en in hoeverre is er een gevoel van urgentie? Wordt er voldoende gevoeld dat de informatieveiligheid voor een overheid echt niet op orde is? Mevrouw Ramaker (VVD) zegt dat Horizon een vragenlijst op de wethouder afvuurt waarop de wethouder kan antwoorden dat het prima gaat. Zij mist een voorstel van wat er moet gebeuren volgens Horizon.
40
De heer Paalman (Horizon) antwoordt dat als de wethouder zal aangeven dat alles prima is, dan is hij benieuwd waarom het rapport met deze conclusies komt. Mevrouw Ramaker (VVD) zegt dat de antwoorden van het college allemaal in de brief staan. De VVD hoort graag welke keuzes Horizon maakt, en met welke oplossingen zij komen.
45
De heer Paalman (Horizon) antwoordt dat hij d wethouder bevraagt over het rapport. Dat is de controlerende taak van de raad. Op basis van de antwoorden van de wethouder kan Horizon een 6
5
10
voorstel doen. Hij vervolgt zijn betoog. Horizon wil van de wethouder een serieus actieplan voor verbetering zien. In de brief leest hij een e-learning hier, een overweging daar, een wens tot openheid et cetera. Dat is voor Horizon onvoldoende. Kan de wethouder toezeggen dat er spoedig een actieplan wordt opgesteld met specifieke nadruk op de toegang van de fysieke medewerkers in gesloten delen van de overheidsgebouwen? Horizon mist de urgentie over het feit dat de gemeente als overheid lek is. Utrecht is een jonge stad vol met talent. De relatie tussen overheid en IT is al zo broos. Het hoeft maar één keer mis te gaan en het is klaar. Al het vertrouwen dat de bewoners in de gemeente hebben is dan weg. En dat in een tijd waarin Utrecht juist moet laten zien dat ze in deze roerige tijden te allen tijde veilig bij de gemeente zijn. Als het rijk of wie dan ook ze in de steek laat, dan is de gemeente er voor ze. Dat vertrouwen wil Horizon absoluut niet te grabbel gooien. De voorzitter geeft het woord aan het CDA voor hun inbreng.
15
20
25
30
35
De heer Van den Broek (CDA) zegt dat het CDA kritisch is, maar de heel kritische tong van Horizon niet deelt. Het CDA vindt het positief dat er verbeterpunten zijn opgepakt, met name de grote digitale kwetsbaarheden. Wel heeft het CDA wat zorgen over een aantal punten. Cybercriminelen staan er om bekend kwetsbaarheid uit te buiten. Waakzaamheid is belangrijker dan ooit. Landen met een offensief cyberprogramma hebben het gemunt op Nederland. Gemeenten zijn volgens de NCTV mogelijk een interessant doelwit voor dergelijke landen. Het lamleggen van gemeentelijke systemen kan ontzettend ontwrichtend werken, en dat is precies het doel van onze geopolitieke tegenstanders. Het CDA maakt zich zorgen over de legacysoftware. Dat is één van dé manieren die cybercriminelen en andere actoren gebruiken om systemen te comprimeren. Het is zaak dat dat zo snel mogelijk wordt opgepakt. Daarop wordt een toezegging van de wethouder gevraagd. Zoals vaker blijkt is de mens de zwakke schakel. In het rapport staat dat het bewustzijn van medewerkers niet is verbeterd. Dat vindt het CDA een harde conclusie, zeker gezien wat er in de afgelopen jaren is gebeurd. Het veiligheidsbewustzijn is in de hele samenleving in de afgelopen jaren fors toegenomen. Aan de wethouder wordt gevraagd waarom dat niet geldt voor de gemeente Utrecht en zijn medewerkers.
Het CDA roept dan ook op om echt in te zetten op de cultuurverandering die genoemd wordt in het rapport, maar sneller dan nu wordt voorgesteld. Huur desnoods experts in, oud-AIVD’ers, oud-NCTV’ers, mensen met verstand van zaken die de benodigde stappen kunnen zetten. De gevaren zijn er en er moet niet worden gewacht tot het een keer misgaat, want dan gaat het pas echt veel geld kosten. De heer Paalman (Horizon) zegt dat het CDA in het begin van zijn betoog aangaf de hele kritische houding van Horizon niet te delen. Vervolgens worden wel terechte punten ingebracht over het rapport van de NCTV, de geopolitieke situatie en dat de mens de zwakste schakel is. Waarom deelt het CDA de kritische houding van Horizon niet? De heer Van den Broek (CDA) deelt de kritische houding op dat gebied, maar kijkend naar de gehele teneur van het rapport is er ook veel goed gegaan. Het is belangrijk om ook dat te benoemen. Er staan nog wat zaken open, daar is het CDA kritisch op. Maar over de hele linie is het CDA positief.
40
45
50
De heer Paalman (Horizon) zegt dat men best positief kan zijn over de hele linie, maar als er één schakel knapt is de hele linie weg. Waar is het gevoel van urgentie? De heer Van den Broek (CDA) antwoordt dat het gevoel van urgentie er zeker is. Daarom besteedt hij een groot deel van zijn inbreng aan dezelfde punten die Horizon benoemde. Tegelijkertijd is er de Rekenkamer als onafhankelijk onderzoeksinstituut best positief over de genomen maatregelen door de gemeente. Het CDA heeft het uitgangspunt dat er veel goed gaat, waarbij nog wat kritische punten zijn die nog open staan. Hij vervolgt zijn betoog. Aan de wethouder wordt gevraagd om te bevestigen dat volop wordt ingezet op de cultuurverandering. Tenslotte kaart het CDA de raad zelf aan. In het rapport staat dat de raad nog wel eens moeilijk doet als het gaat om veiligheidsmaatregelen. De raad wordt opgeroepen om zelf bewust te zijn van veiligheidsrisico’s en mee te gaan met de adviezen die de gemeentelijke organisatie meegeeft. De voorzitter heeft het woord aan Volt voor hun inbreng. 7
5
10
15
De heer Maas (Volt) dankt de Rekenkamer voor het rapport. De raad is daarmee erg geholpen. Het is fijn dat uit het rapport blijkt dat er veel is verbeterd sinds 2021. Men noemt een aantal mogelijke verbeteringen. Eén daarvan is het bewustzijn, ook bij de raad. Op 29 augustus ontving de raad een mail van een ambtenaar die opriep tot het volgen van de e-learning. Volt gelooft niet dat veel raadsleden dat gedaan hebben. Aan de wethouder wordt gevraagd om de raad daartoe aan te sporen. Een andere opvallende conclusie is de ontbrekende centrale aansturing. Vanmorgen werd in de adviescommissie een mooie presentatie over de versterking van de financiële functie gegeven. Daarbij zat een complete werkwijze voor het verbeteren van de centrale aansturing. Aan de wethouder wordt gevraagd om daar eens naar te kijken. De heer Dijkstra (EenUtrecht) deelt de mening van Volt over het onderzoek. Het bespaart erg veel tijd. Voor wat betreft de centrale aansturing is EenUtrecht van mening dat dat maar een klein stukje is. Het gaat vooral om cultuurverandering bij de medewerkers. De heer Maas (Volt) is het met EenUtrecht eens dat het delegeren van verantwoordelijkheid op allerlei niveaus ontzettend belangrijk is. Maar daar moet wel een gedachte en een escalatieladder achter zitten. Dat ontbreekt hier. Bewustwording is daar een onderdeel van.
De heer Dijkstra (EenUtrecht) stelt als oplossing voor om te gaan naar een centrale visie. Dan hoeft er minder op gestuurd te worden. Is dat niet een betere beweging dat aanbevolen kan worden richting het college?
20
25
30
De heer Maas (Volt) zegt dat het vooral in taal zit of het visie of sturing wordt genoemd. Het gaat om bewustzijn van medewerkers rondom cyberveiligheid, maar ook het aanspreken van een onbekend persoon die door het stadhuis loopt. Dat moet in het DNA van medewerkers en van raadsleden zitten. Daar is sturing of visie voor nodig. De heer Dijkstra (EenUtrecht) zegt dat taal juist alles uitmaakt. Hoe het wordt gebracht kan het grote verschil maken in of medewerkers denken “dit moet ik ook doen”. Ziet Volt ook dat taal het grote verschil kan maken om de zwakke menselijke schakel te zien als een kracht die benut kan worden? De heer Maas (Volt) antwoordt dat het hier gaat om de kracht van mensen. Vanmorgen werd getoond hoe bevlogen ambtenaren bezig zijn met het verbeteren van de financiële functie. Hij is ervan overtuigd dat dat ook op andere vlakken gebeurt. Daar zit de vraag van Volt dus niet. De vraag zit in wanneer kan worden geëscaleerd, wanneer is de grens bereikt van wat er nog wordt geaccepteerd, hoe wordt daar op gestuurd. Hij vervolgt zijn betoog. Over het verbeteren van die centrale aansturing staat in de collegereactie wel dat het gebeurt met een PDCA-cyclus. Volt is benieuwd hoe dat vormgegeven wordt. Wat verandert er met die PDCA-cyclus? Wat zijn concrete maatregelen op dit gebied?
35
De voorzitter geeft het woord aan Student & Starter voor hun bijdrage.
40
Mevrouw Van Meerveld (Student & Starter) dankt de Rekenkamer voor het rapport. Zij sluiten zich bij Volt aan voor de vraag wat de wethouder kan doen om de raads- en commissieleden aan te moedigen de e-learning te volgen. Die speelt een belangrijke rol in de cultuurverandering. Het is positief dat het nu ook aan raadsleden en ondersteunende medewerkers wordt aangeboden. Wat nog meer van unieke waarde zou kunnen zijn is de mogelijkheid tot het volgen van een opfriscursus. Het risico bestaat namelijk dat de opgedane kennis weer wegzakt na verloop van tijd. Aan de wethouder wordt gevraagd welke stappen gezet kunnen worden om een periodieke opfrismoment in te bouwen zodat de kennis uit de e-module actueel blijft. De voorzitter geeft het woord aan GroenLinks voor hun bijdrage.
45
50
Mevrouw Fattal (GroenLinks) bedankt de Rekenkamer, niet alleen voor dit onderzoek maar ook het vorige. Ook dank aan het college voor de vele stappen die in de afgelopen jaren zijn gezet. We mogen trots zijn op de gigantische vooruitgang die is geboekt. Het is goed dat de aanbevelingen worden omarmt en uitgevoerd. Uit het onderzoek blijkt dat de mens de zwakste schakel is. De aanbeveling om het gesprek aan te gaan met mensen die op kantoor niet herkend worden schuurt met de uitgangspunten dat het stadskantoor en het stadhuis juist plekken moeten 8
zijn van de stad, een soort huiskamer van de mensen. Hoe kunnen die doelen met elkaar worden verenigd?
5
10
De heer Van den Broek (CDA) zegt dat dat in principe al het geval is, omdat het stadhuis een openbare ruimte heeft waar iedereen mag komen, en een afgesloten deel waar alleen bevoegden mogen komen. Mevrouw Fattal (GroenLinks) beaamt dit. Tegelijk loopt het werk soms in elkaar over. Op het fractieplein worden vaak groepen gezien die niet bekend zijn. Dat is logisch, want raadseden gaan vaak in gesprek met bewoners en belangengroepen. Het is moeilijk om de juiste toon te vinden om mensen aan te spreken met “waarom ben jij hier” en tegelijk verwelkomend te zijn. Zij vervolgt haar betoog. In de corporate wereld wordt een toegangspas veelal zichtbaar gedragen op de kleding. Dat is een makkelijke manier om te herkennen of iemand hier hoort of niet. Hebben de Rekenkamer en het college overwogen om het op die manier te doen en daarmee een stukje onveiligheid uit het sociaal contact te halen? De voorzitter geeft het woord aan de PvdA voor hun bijdrage.
15
20
Mevrouw Leever (PvdA) bedankt de Rekenkamer voor het rapport en sluit zich aan bij de mooie woorden die er al over zijn gezegd. Digitale veiligheid is een belangrijk onderwerp, zeker in tijden waarin er veel op technologisch vlak gebeurt. De PvdA kijkt uit naar het plan van aanpak dat zal komen en is benieuwd hoe de digitale veiligheid de komende jaren een plek gaat krijgen. Op dit moment heerst financiële schaarste. Kan de wethouder daar iets meer informatie over geven, kijkend naar de Voorjaarsnota die eraan komt? De PvdA stelt voor om de e-learnings verplicht te stellen voor medewerkers, en als voorwaarde om in het systeem te kunnen. Verder is een onderzoek naar de gevaren van het gebruik van AI aan te raden, om de medewerkers in te lichten over de gevaren ervan. De voorzitter geeft het woord aan D66 voor hun bijdrage.
25
30
35
40
De heer Ait Daoua (D66) begint eveneens met het bedanken van de Rekenkamer en is blij dat het college de aanbevelingen overneemt. D66 heeft wel een aantal zorgen. In 202 werd de gemeente Hof van Twente het doelwit van een cyberaanval. Dat kostte hen 4,2 miljoen. Meer geluk had de gemeente Lochem waar in 2019 werd ontdekt dat cybercriminelen stelselmatig toegang hadden tot de ICT-systemen. Het had niet veel gescheeld of inwoners hadden hun toilet niet meer kunnen doorspoelen omdat de rioolgemalen stil konden komen te liggen. Of Lochem had maandenlang geen uitkeringen kunnen betalen, aldus de burgemeester. De echte slachtoffers van cyberaanvallen op de gemeente zijn de inwoners. D66 is geschrokken van het feit dat er verouderde software in gebruik is binnen de gemeente. Dat vormt een groot risico. Ook minder snuggere hackers kunne gebruik maken van deze kwetsbaarheden. Bij DeepSeek of ChatGPT wordt stap voor stap uitgelegd welke kwetsbaarheden of welke manier kunnen worden uitgebuit. D66 begrijpt niet waarom er onderscheid gemaakt in het vervangen van oude software, bijvoorbeeld 1 à 2 maanden bij hoog risico, 6 maanden bij middenrisico en best effort bij laag risico. D66 adviseert om de software zo snel mogelijk te vervangen bij systemen die dagelijks worden gebruikt, en de stekker uit systemen te halen waar dat niet mogelijk is.
Neem het risico niet, want anders riskeert de gemeente een situatie zoals bij de gemeente Hof van Twente of Lochem. De heer Paalman (Horizon) benoemt dat de heer Ait Daoua werkzaam is in de IT. Deelt D66 de conclusie dat als in de afgelopen jaren een groepering of individu het op de gemeente Utrecht had gemunt, dat dat waarschijnlijk was gelukt?
45
De heer Ait Daoua (D66) deelt die conclusie. Kwetsbaarheden zijn online gewoon te vinden. De heer Paalman (Horizon) vraagt of D66 het grote gevoel van urgentie deelt met Horizon.
50
De heer Ait Daoua (D66) deelt dat inderdaad. Hij vervolgt zijn betoog. Het is een no-brainer dat die software zo snel mogelijk wordt vervangen. Hij vraagt om een toezegging dat de systemen die draaien op die verouderde software niet meer worden gebruikt totdat er een oplossing voor is. Voor wat betreft de zwakste schakel vraagt D66 9
aan de wethouder waarom er niet meer wordt gedaan aan training, naast de e-learning. Daarmee wordt bijvoorbeeld gedoeld op phishing. Er zouden proactief phishingmails gestuurd kunnen worden binnen de organisatie. Aan de ambtenaren die er op klikken kan vervolgens een training worden aangeboden. 5
Mevrouw Ramaker (VVD) vraagt hoe D66 het vindt om die phishingmails ook naar de raads- en commissieleden te sturen, zodat ook zij bewust getraind worden. De heer Ait Daoua (D66) antwoordt dat raadsleden niet kunnen worden overgeslagen. Dat deelt D66 dan ook.
10
Mevrouw Ramaker (VVD) vraagt of er geld beschikbaar is om de raads- en commissieleden goed bewust te laten zijn van digitale veiligheid. De heer Ait Daoua (D66) antwoordt dat dat een vraag is voor het college. Hij heeft die vraag zelf ook gesteld, maar nog geen antwoord ontvangen. Voor D66 is het belangrijk dat er geld voor wordt vrijgemaakt. Het is geen keuze, het gaat om veiligheid. De kosten voor het versturen van phishingmails en het voorzien in een training zijn lager dan 4,2 miljoen.
15
Mevrouw Chirino (ChristenUnie) vraagt of D66 bij de Voorjaarsnota met een voorstel zal komen voor hoe dit kan worden gefinancierd.
20
De heer Ait Daoua (D66) antwoordt dat dat wellicht zal gebeuren, afhankelijk van de beantwoording van de vragen door het college. Hij vervolgt zijn betoog. Daarnaast is het niet wenselijk dat afdelingen zelf kunnen bepalen hoe serieus zij informatieveiligheid nemen. Aan het college wordt een centraal stappenplan met een tijdlijn gevraagd, waarin de centrale aansturing wordt uitgelegd en hoe handhaving wordt geregeld. Verder vraagt D66 wie wie verantwoordelijk houdt in het landschap zoals dat er nu is. De voorzitter geeft het woord aan de VVD voor hun inbreng.
25
30
35
Mevrouw Ramaker (VVD) dankt de Rekenkamer voor de waardevolle rapportage. Niet alleen de medewerkers maar ook de raad moet zich bewust zijn van het ontvangen en delen van informatie. De VVD is blij dat er maatregelen genomen zijn om de veiligheid om bij gegevens te komen is verbeterd. De bewustwording onder de medewerkers en de raadsleden hoe via telefonisch contact en via mail informatie kan worden gegeven moet echt hoger. Het is jammer dat de e-learning en het volgen daarvan afhankelijk is van hoe de leidinggevende erin zit. Dat vindt de VVD te mager. Aan de wethouder wordt gevraagd of dat niet wat automatischer ingesteld kan worden. Aan de Rekenkamer wordt gevraagd hoe het beveiligen van documenten die persoonlijke gegevens bevatten werkt in relatie tot extern aanbesteden. Heeft de Rekenkamer daar ook onderzoek naar gedaan? Zo ja, wat zijn de bevindingen? Zo nee, in hoeverre is het een risico? Verwijzend naar de titel “Mens als zwakste schakel” vraagt de VVD hoe ervoor kan worden gewaakt dat de gemeente Utrecht de zwakste schakel is bij het uitbreken van crises of in een oorlogssituatie. Is de gemeente hierop voorbereid qua ICT en veiligheid? De voorzitter geeft het woord aan de CU voor hun inbreng.
40
45
Mevrouw Chirino (ChristenUnie) dankt de Rekenkamer voor het rapport. De CU steunt het raadsvoorstel en is blij met de aanbevelingen. Het is goed te zien dat er zoveel verbeteringen zijn doorgevoerd sinds het vorige onderzoek. Dank daarvoor aan het college. Het is goed om te zien dat alle aanbevelingen worden overgenomen. De CU kijkt uit naar het plan van aanpak. Zij stellen een aantal verhelderende vragen aan de wethouder. Zo gaat het college niet in op een deel van conclusie 3, over maatwerk op e-learning. Dat sluit niet altijd aan op alle organisatieonderdelen. Kan de wethouder toezeggen dat daar iets mee wordt gedaan en dat dit wordt overgenomen als onderdeel van aanbeveling 2? De CU sluit zich aan bij wat er is gezegd over de e-learning voor raadsleden. De CU zou graag horen dat het verplicht wordt. Verder sluit de CU zich aan bij de oproep van GroenLinks als het gaat om het aanspreken van mensen. Zij zouden graag een positieve cultuurverandering zien die zich uit in het begroeten van mensen, zodat het een open en transparante omgeving blijft waarin contact gemaakt wordt met elkaar. 10
De voorzitter geeft het woord aan de fractie van DENK. De heer Şimşek (DENK) sluit zich aan bij de opmerkingen over e-learning. Hij geeft aan dat het bij het rijk beleid is dat iedereen zichtbaar zijn rijkspas draagt. Kan de wethouder dat meenemen in het plan van aanpak? 5
De voorzitter informeert of andere fracties een bijdrage willen leveren. Dat is niet het geval. Zij schorst de vergadering. - Schorsing – De voorzitter heropent de vergadering. Zij geeft het woord aan Rekenkamer voor de beantwoording van de vragen.
10
15
20
De heer Keulen (Rekenkamer) dankt voor alle complimenten voor het rapport van de Rekenkamer. Hij benadrukt dat het zowel in 2021 als nu niet is gelukt om de gemeente van buitenaf te hacken. Er werd een beeld geschetst dat de beveiliging zo lek is als een mandje, maar van buitenaf was het veilig en is het nog steeds veilig. Op de vraag van GroenLinks over het enerzijds een huiskamer zijn en anderzijds mensen aanspreken antwoordt de heer Keulen dat het in het rapport gaat over de ruimtes die niet toegankelijk zijn voor het publiek. Dat kan worden opgelost door het te compartimenteren. Dat gebeurt al gedeeltelijk. Hoe verder je in de kern komt en hoe veiliger de gegevens moeten blijven, hoe meer mensen je zou moeten aanspreken. Daarbij is een aantal dingen die kunnen helpen. Een duidelijke badge waarop is vermeld dat iemand bezoeker is bijvoorbeeld. Voor medewerkers zou het altijd zichtbaar dragen van een badge met naam en functie erop helpen. Op de vraag van de VVD of bij aanbestedingen ook wordt gekeken naar toegang tot persoonsgegevens antwoordt de heer Keulen dat daar geen onderzoek naar is gedaan. De heer Paalman (Horizon) vraagt wat de definitie van hacken is.
25
De heer Keulen (Rekenkamer) antwoordt dat hij de definitie niet exact kan geven. Hij kan wel toelichten dat pogingen om mogelijke kwetsbaarheden te exploiteren van buitenaf niet zijn gelukt. Dat lukt in 2021 wel van binnen, maar dat is deze keer ook niet gelukt. Mevrouw Ramaker (VVD) vraagt naar gegevens die bewaard worden bij externe organisaties. De heer Keulen (Rekenkamer) antwoordt dat het onderzoek daar niet over ging. De voorzitter geeft het woord aan de wethouder voor het beantwoorden van de vragen.
30
35
40
45
Wethouder Streefland laat weten dat ze het verhaal van Horizon heel zwartgallig vindt. Zij wil wat nuance aanbrengen, maar geeft ook aan dat de gemeente elke dag doelwit is van digitale aanvallen. Tot nu toe is de gemeente ervan gevrijwaard. Er is een cyberroom waarin precies kan worden gezien welke systemen er zijn. Dat wil niet zeggen dat hierop kan worden verslapt. Voor wat betreft de fysieke toegang geeft de wethouder aan dat men niet zomaar binnen kan komen en inprikken. Bij het Stadskantoor wordt het inderdaad moeilijker gemaakt om binnen te komen. Eenmaal binnen worden bronmaatregelen getroffen zoals compartimentering, zodat informatie minder makkelijk ontvreemd kan worden. Het Rekenkamer heeft aangetoond dat men niet fysiek aan vertrouwelijke informatie kan komen. Over de aangetroffen post-its met wachtwoorden zegt de wethouder dat dat een post-it met tekst was. Er is niet getest of dat een wachtwoord was. Er zijn dus wat nuances te geven, maar dat wil niet zeggen dat er geen hoge alertheidsgraad noodzakelijk is. Zeker gezien de huidige geopolitieke situatie of in een situatie van oorlog. Dat betekent ook dat het college daarnaar moet handelen. Zij hebben onlangs een meeting op het ministerie van Defensie gehad die heeft aangegeven dat men niet naïef moet zijn, en dat de situatie snel kan veranderen.
Zij zegt toe dat ze de burgemeester aan zal sporen om de raad mee te nemen in wat dat betekent. De heer Paalman (Horizon) vindt het tekenend dat een netwerkbeheerder een wachtwoord op een papiertje krabbelt dat gevonden kan worden door een mogelijk malafide actor. Wat zegt dat over de organisatie? 11
5
10
15
20
25
30
35
40
45
50
55
Wethouder Streefland antwoordt dat het goed is om de feitelijkheden ernaast te leggen. Er is een tekstblok aangetroffen met daarop een tekst die doorgestreept was, waarvan de aanname is gedaan dat dit wachtwoorden zijn van de netwerkbeheerders. Dat is echter niet gevraagd of getest. Zij vervolgt met de beantwoording van de vragen. Op de vraag van Horizon antwoordt zij dat de bestuurlijke reactie voortdurend een afweging van belangen is. Alles is risicogebaseerd en besloten aangepakt. Geen enkele organisatie kan zich volledig wapenen tegen alle cyberdreigingen. Het risico op impact en mogelijke wereldwijde aanval wordt aanzienlijk verlaagd door de risicogebaseerde aanpak die wordt gehanteerd. Dat houdt in dat de maatregelen worden afgestemd op de meest kritieke risico’s, rekening houdend met de beschikbare middelen en personele capaciteit. In het plan van aanpak dat binnen zes weken wordt aangeleverd zal hierover worden opgenomen hoe dat wordt gedaan. Zoals het Rekenkamerrapport aangeeft worden gesprekken gevoerd over informatieveiligheid en wordt er een risicomanagementproces ingericht. Via dat proces wordt er geclassificeerd op belangrijkheid, beschikbaarheid, integriteit en vertrouwelijkheid, waarna risico’s geïdentificeerd worden. Dit is een continu proces dat door de IPM-medewerkers dagelijks wordt gedaan.
Voor wat betreft de opvolging geeft de wethouder aan dat alleen analyseren en detecteren niet voldoende is. Dat vraagt om opvolging. Daar moet de gemeente veel beter in worden. Gegevensbescherming maakt onderdeel uit van de e-learning. In januari is de communicatiecampagne “Sta stil, denk na, doe slim” gestart. Op de intranetpagina en hier en daar in het pand wordt hier veelvuldig aandacht voor gevraagd. Fysiek is inmiddels gestart met het uitvoeren van maatregelen op het Stadskantoor. Daarna wordt gekeken naar andere locaties. Verbetering nu wordt structureel onderdeel van de aanpak, waaronder ook verbetering van de bewustwording van medewerkers. Het Stadskantoor heeft een open karakter, tot en met de zesde verdieping is het vrij toegankelijk. Er wordt bekeken hoe er achter de poortjes kan worden beveiligd en hoe er kan worden gecompartimenteerd. De wethouder geeft aan dat het college voornemens is om de directie te verzoeken om ervoor te zorgen dat de tag van de medewerkers zichtbaar omgehangen wordt. De heer Paalman (Horizon) vraagt of het een idee is om naast de fysieke toegangscontrole op het Stadskantoor dat ook op een digitale manier te doen, zodat het niet meer kan gebeuren dat iemand een malafide usb-stick inplugt. Wethouder Streefland antwoordt dat er al geen gebruik meer kan worden gemaakt van usbsticks. Dat is al aangepast.
Ook het gebruik van DeepSeek is niet toegestaan, evenals thuis printen. Tweetrapsverificatie wordt daar waar het kan direct toegepast. Zij vervolgt met de beantwoording van de vragen van het CDA. De waakzaamheid op cybercriminaliteit is dagelijkse kost. Het gebruik van verouderde legacysoftware is onvermijdelijk binnen een complexe IT-omgeving omdat software vaak vele afhankelijkheden heeft. Bovendien zijn de middelen niet onbeperkt waardoor er risicogebaseerde keuzes gemaakt moeten worden. Tegelijkertijd erkent het college de risico’s en wordt ervoor gezorgd dat verouderde software veilig en beheersbaar blijft. Dat gebeurt onder andere door transitie naar de cloud, goed leveranciersmanagement, periodieke scans op technische kwetsbaarheden, het doorlopend monitoren van de hele IT-omgeving op cyberdreigingen en het toepassen van aanvullende beveiligingen om het risico op eventuele cyberaanvallen te verkleinen. Het helemaal afsluiten van software omdat het verouderd is kan niet altijd. De wethouder laat weten dat de e-learning inmiddels verplicht is gesteld. Dat heeft wel onderhoud nodig. Het doorlopen van de hele e-learning duurt twee uur, maar het kan ook in delen worden gedaan. Er komt een nieuwe e-learning waarbij wordt gekeken welke informatie top-of-mind is. Deze e-learning zal op maat worden gemaakt.
Sommige afdelingen werken bijna nooit digitaal, bijvoorbeeld de groenvoorziening, maar ook zij moeten compliant zijn. Voor hen kan het in een lesachtige vorm worden georganiseerd. Omdat het niet meer nice-to-have maar need-to-have wordt was akkoord van de COR nodig. Die is verkregen. Er zullen meer activiteiten aankomen, waarbij het te maken heeft met de centrale aansturing. Bovendien is het verplicht stellen uiteindelijk goedkoper dan werken met allerlei verleidingstactieken. Het creëren van bewustzijn is een cultuurding. De heer Maas (Volt) vraagt of de e-learning ook verplicht wordt gesteld voor de raadsleden.
12
Wethouder Streefland antwoordt dat dat ook voor de raadsleden zal gelden. Uiteindelijk zal de verplichting zo werken dat de computer op slot gaat als men de e-learning niet doet. De heer Maas (Volt) laat weten dat het antwoord hem geruststelt. 5
10
De heer Van Heuven (Partij voor de Dieren) begrijpt deze stap, maar vraagt zich ook af hoe dit zich verhoudt tot het feit dat de raadsleden gekozen zijn. Aan hen kunnen geen verplichtingen worden opgedragen. Welke juridische basis ligt er onder deze stap? De Partij voor de Dieren is er niet tegen, maar wil graag weten of het kan. Wethouder Streefland antwoordt dat dat goed uitgezocht zal worden. De raads- en commissieleden werken op de beveiligde omgeving van de gemeente met de devices die daarbij horen. Als de visie met elkaar wordt omarmd, dat we dit moeten doen om compliant en cyberveilig te zijn, dan hoopt de wethouder, los van de juridische grond, dat dat niet leidt tot het niet hoeven doen. De heer Van Heuven (Partij voor de Dieren) vraagt of ook de opfriscursus kan worden gedaan, zodat niet aan iedereen een grote e-learning wordt opgedrongen.
15
Wethouder Streefland antwoordt dat deze e-learning er nu is . Het is heel uitgebreid want het gaat over meer dan alleen cyberveiligheid. Het is belangrijk om die te doen. Het college is bezig met de aanbesteding voor een nieuwe e-learning. Het kan zijn dat die er wat anders uit gaat zien. De heer Ait Daoua (D66) vraagt waarom systemen met oude software niet gelijk vervangen of uitgeschakeld kunnen worden.
20
25
Wethouder Streefland antwoordt dat ze daar later op terugkomt. Ze vervolgt met de beantwoording van de vragen. Op het gebied van bewustzijn meldt zij dat gegevensbescherming onderdeel is geworden van de onboarding van nieuwe medewerkers naar aanleiding van het rapport uit 2021. Mensen worden sneller aangesproken. Het zit aan de voorkant, het zit ter plekke, er worden campagnes gevoerd, e-learnings aangeboden om veel meer te doen aan bewustwording. Maar w zijn er nog niet. De heer Van den Broek (CDA) benoemt dat de bewustwording onderdeel is geworden van de onboarding naar aanleiding van het rapport uit 2021. In het recente rapport staat dat er geen enkele verandering is waargenomen in de cultuur dan heeft dat toch geen enkele zin gehad? Wat gaat er gebeuren om dat wel zinvol te maken?
30
35
40
45
Wethouder Streefland antwoordt dat ze het niet zo scherp wil stellen. De systemen zijn anders geworden, er wordt niet meer met bring-your-own-device gewerkt, er is tweestapsverificatie nodig, er moet worden gewerkt via Teams, er mag geen gebruik worden gemaakt van DeepSeek of ChatGPT. Er zijn allerlei manieren waarop aan bewustwording wordt gedaan. Het Rekenkamerrapport geeft verder aan dat ervoor moet worden gezorgd dat de zesduizend medewerkers niet meer aan workarounds kunnen doen. Er moet heel alert worden gereageerd op nieuwe cyberaanvallen. Dat er aan de voorkant gelet wordt op allerlei AI-instrumenten en dat aan de voorkant dichtbouwt. Er wordt op allerlei mogelijke lekken geanticipeerd. Het gebruik van usbsticks kan niet meer, thuis printen wordt verboden, kopiëren van het een naar het ander kan ook niet meer. Er wordt het zekere aan gedaan maar de wethouder begrijpt ook dat het niet helemaal waterdicht is. Zij vervolgt met de beantwoording van de vragen over centrale aansturing. Mede op verzoek van de accountant wordt daar goed naar gekeken. De organisatie zal meer centraal gestuurd gaan worden, want als het heel laag wordt belegd is de sturing moeilijker. De heer Maas (Volt) herkent het dilemma tussen centrale aansturing en de mensen die verantwoording moeten nemen voor hun eigen handelen.
Bij de aanpak die geleverd is voor de financiële functie is daar juist heel veel aandacht voor. Er is aandacht voor het ontwikkelen van menselijke vaardigheden om het delen van verantwoordelijkheid met zijn allen te gaan doen. Hij neemt oprecht aan dat daar veel aandacht voor zal komen. Dat was ook niet de intentie van wat hij wilde zeggen daarover. 13
5
10
15
20
25
30
Wethouder Streefland antwoordt dat ze dat deelt op organisatieniveau en visie. Dit wordt in het plan van aanpak opgenomen. De concerndirectie moet er nog wel over besluiten. De beweging van sommige afdelingen naar meer centraal aansturing is er een die bij de hervormingen gaat horen. In het plan van aanpak wordt er op teruggekomen. Zij vervolgt met haar beantwoording. Op de vraag van Student & Starter rondom e-learning noemde de wethouder al dat er een nieuwe aanbesteding gaande is. Verder is er periodiek en wanneer nodig communicatie en aandacht voor specifieke onderwerpen via het intranet, posters enzovoorts. Dat wordt op maat gedaan omdat niet alle medewerkers met dezelfde systemen werken. Op de vraag van GroenLinks over openheid en gastvrijheid antwoordt de wethouder dat contact tussen burger en medewerkers wordt gestimuleerd in het publiekstoegankelijke gebied. Met het kiezen van het maatregelenpakket is rekening gehouden met de balans tussen open en gesloten. Het aanspreken van onbekenden en bewustwording daarover is structureel onderdeel van de onboarding van nieuwe medewerkers. Het aanspreken kan juist op een heel gastvrije manier. De bodes en de beveiligers worden daarin getraind. Op dit moment wordt gewerkt aan een voorstel voor het verplicht dragen van persoonsherkenbare toegangspasjes. Eerder heeft de directieraad al uitgesproken dit wenselijk te vinden.
De wethouder hoopt in het plan van aanpak te kunnen aangeven dat het zal worden uitgevoerd. Op de PvdA-vraag over de digitale veiligheid in de toekomst antwoordt de wethouder dat het antwoord op het Rekenkamerrapport verwoord wordt in het plan van aanpak. E-learning is inmiddels verplicht. Er wordt onderzoek gedaan naar de gevaren van het gebruik van AI, inclusief welke vormen van AI wel en niet gebruikt mag worden. Zo wordt er wel gebruik gemaakt van Microsoft Copilot. Dat is nog wel in een testfase. Op de D66-vraag over de verouderde software antwoordt de wethouder dat het gebruik daarvan onvermijdelijk is binnen een complexe IT-omgeving omdat software vaak vele afhankelijkheden heeft. De middelen zijn niet onbeperkt waardoor er risicogebaseerde keuzes moeten worden gemaakt. De gemeentelijke processen zijn sterk afhankelijk van deze software, waardoor deze niet zonder meer en zomaar kunnen worden vervangen. Relevant is de inrichting van het security operations center. Daar werken negen mensen die continu bezig zijn met het in kaart brengen van de risico’s en aanvallen en dreigingen monitoren. De heer Paalman (Horizon) vraagt of het niet heel duur is om die verouderde systemen te blijven ondersteunen.
35
40
45
50
55
Wethouder Streefland antwoordt dat iets nieuws soms nog niet beschikbaar is. Het is soms een afweging in timing, belangen, financieel of wanneer er een licentie afloopt. In de tussentijd moeten allerlei mitigerende maatregelen worden genomen. Het kan dus niet altijd gewoon dichtgezet worden. Zij snapt dat dat de wens is, maar er moet worden gekeken wat dat betekent voor het uitbetalen van salarissen of d bijstandsuitkeringen. Aan dat soort processen moet worden gedacht. De heer Van den Broek (CDA) vraagt zich af of dit niet de verkeerde zuinigheid is. Als het fysiek niet kan omdat er geen alternatief beschikbaar is, dan is daar begrip voor. Maar om daar vanuit financiële redenen mee te wachten vindt CDA geen goed idee. Als het mis gaat gaat de gemeente voor miljoenen euro’s het schip in. Wethouder Streefland antwoordt dat verouderde software geïsoleerd kan staan, hoeft geen gevoelige informatie te verwerken of toegang tot interne systemen te bieden. Het is niet zo dat het allemaal dreigingsniveau 1 is. Er is veel alertheid op dreigingen en risico’s, maar het is altijd een belangenafweging wanneer iets wordt vervangen. Zij zegt toe dat hier extra aandacht aan wordt besteed in het plan van aanpak. Zij vervolgt met de beantwoording van de vragen. Phishingmails worden inderdaad verstuurd, enkele keren per jaar.
Daarbij worden ook nieuwe dingen gedaan, want phishing gebeurt niet alleen per mail maar soms ook telefonisch. Voor at betreft de e-learning meldt de wethouder nogmaals dat die verplicht is. Ze zal extra alert zijn op de deelname van de commissie- en raadsleden. Of men is voorbereid op het uitbreken van crises antwoordt de wethouder dat dat niet helemaal het geval is. De ontwikkelingen hebben wel de aandacht en de alertheid is verhoogd. Er worden trainingen gevolgd voor het geval er door een cyberaanval geen baliewerkzaamheden meer kunnen worden gedaan. De wethouder zal dat verder met de burgemeester opnemen. 14
De heer Paalman (Horizon) geeft mee dat er heel veel diensten bij Microsoft zijn ondergebracht. Zeker nu Donald Trump president is van de Verenigde Staten moet daar aandacht voor zijn.
5
Wethouder Streefland antwoordt dat altijd de afweging wordt gemaakt of we het zelf kunnen, maar zijn niet de middelen voor. Het is een hels dilemma tussen het overdragen aan big tech of het zelf doen. Dit wordt verder besproken in het IT-debat. Zij vervolgt met de beantwoording van de vraag van DENK. De gemeente gaat naar het zichtbaar dragen van een pas. De voorzitter informeert naar onbeantwoorde vragen. Mevrouw Ramaker (VVD) vraagt naar het extern beleggen van privacygevoelige informatie.
10
Wethouder Streefland antwoordt dat er strikte voorwaarden zijn voor het werken met externe leveranciers. Heel veel informatie mag niet worden gedeeld volgens de privacyverordening. De voorzitter informeert opnieuw naar gemiste vragen. Die zijn er niet. Zij informeert of er fracties zijn die gebruik willen maken van de tweede termijn.
15
20
De heer Paalman (Horizon) vraagt naar de alertheid waar de wethouder het over heeft. Op 12 juni werd een usb-stick met malware gevonden. Hij vraagt naar wat er precies gebeurde. Was er een vermoeden dat het een usb-stick van een onderzoeksbureau was of gingen alle alarmbellen af? Wat was de reactie toen er een zeer concrete en fysieke cyberaanval op de gemeente was? Mevrouw Chirino (ChristenUnie) zegt dat er snelle veranderingen plaatsvinden op dit gebied. Kan in het plan van aanpak worden opgenomen dat hier over een paar jaar opnieuw naar wordt gekeken, zodat de raad ook weer kan controleren? Mevrouw Ramaker (VVD) vraagt of de wethouder kan zeggen of geborgd wordt dat er geen misbruik wordt gemaakt van de privacygevoelige informatie bij de gemeentelijke belastingdienst. De voorzitter geeft het woord aan de wethouder voor een reactie.
25
30
Wethouder Streefland antwoordt dat ze het gedetailleerde antwoord op de vraag van Horizon schuldig moet blijven. Op dit moment kunnen usb-sticks nergens meer ingestoken worden. In het plan van aanpak zal een reflectie op de toekomst worden meegenomen: kan de gemeente die controle zelf doen of is daarvoor de Rekenkamer nodig. De heer Paalman (Horizon) zegt dat het niet om dit ene specifieke geval gaat, maar wat men doet als er een hele concrete cyberaanval gaande is. Uit het Rekenkamerrapport concludeert Horizon dat dat eigenlijk onvoldoende was. Wethouder Streefland antwoordt dat er elke dag cyberaanvallen zijn. Tot nu zijn die niet geslaagd. We proberen er alles aan te doen om dat tegen te gaan, maar de wethouder kan niet beloven dat het niet zou kunnen gebeuren. Zij staat open voor allerlei aanbevelingen.
35
De heer Ait Daoua (D66) vraagt een overzicht van de verouderde systemen die niet vervangen kunnen worden en waarvoor geen updates beschikbaar zijn, maar nog wel gebruikt worden. Niet bij naam. Welke mitigerende maatregelen worden daarvoor getroffen? Komt er uiteindelijk wel een plan om die te laten vervangen, en hoeveel gaat dat kosten? Mevrouw Ramaker (VVD) geeft aan dat ze dit een heel technische vraagt vindt. Zij vraagt zich af wat D66 daarmee in dit debat wil bereiken.
40
De voorzitter laat het aan de wethouder of ze hier kort op wil reageren. Wethouder Streefland gaat niet in detail antwoorden. Zij bekijkt wat er in het plan van aanpak openlijk over vermeld kan worden. Ook de mensen die hier naar binnen willen kunnen namelijk meekijken. Zij geeft verder aan dat de gemeente zeer alert is op privacygevoelige informatie. Er is een heel 15
programma over gegevensbescherming in het Programma Informatie op Orde. Zij kan niet in detail antwoord geven op de vraag hoe de belastingdienst dat doet. De voorzitter concludeert dat alle vragen zijn beantwoord. Zij vraagt hoe de commissie het voorstel wil doorgeleiden naar de raad. 5
10
De heer Paalman (Horizon) zegt dat het wat overlap heeft met het IT-debat dat nog gevoerd gaat worden. Horizon komt mogelijk met een voorstel, maar het kan ook dat ze dat pas na het IT-debat doen. Mevrouw Ramaker (VVD) merkt op dat, behalve de mens, ook derden een zwakke schakel kunnen zijn. Zij denkt over een voorstel na, vraagt misschien nog wat technisch na en komt er op terug. De heer Van den Broek (CDA) zegt dat zij eveneens wat technische zaken gaan uitzoeken, en waarschijnlijk wel een voorstel zullen doen. De voorzitter stelt vast dat het een B-punt wordt. Zij stelt voor hier 15 minuten voor te reserveren. Daar is de commissie het mee eens.
15
Mevrouw Chirino (ChristenUnie) geeft aan dat de ChristenUnie niet zelf wil agenderen. Aangezien enkele fracties nog wat willen uitzoeken of willen wachten tot het IT-debat, is het dan niet beter om de behandeling uit te stellen tot de raad erna? De heer Maas (Volt) stelt voor om hierover te spreken als het plan van aanpak gereed is. De heer Paalman (Horizon) vraagt wanneer het plan van aanpak verwacht wordt.
20
25
Wethouder Streefland antwoordt dat dat over zes weken wordt aangeleverd. De voorzitter stelt voor om het twee raden door te schuiven zodat eerst het plan van aanpak kan worden besproken. Zij verneemt dat eerst het voorstel moet worden aangenomen, dan gaat de zes weken-termijn in voor het plan van aanpak. Dat betekent dat het voorstel eerst moet worden aangenomen in de volgende raadsvergadering. Zij vraagt hoe dit geagendeerd moet worden. Zij kan zich voorstellen dat het een A-punt is, en dat het plan van aanpak in de commissie erna wordt besproken en mogelijk als B-punt naar de raad daarna gaat. De heer Paalman (Horizon) vraagt of het plan van aanpak voor het IT-debat komt. De voorzitter geeft aan dat dat aan de commissie is.
30
Mevrouw Ramaker (VVD) vraagt om een herhaling van de planning. De voorzitter zegt dat het raadsvoorstel dat nu voorligt als A-punt doorgaat naar de volgende raad. Een aantal fracties heeft gezegd dat ze iets mee willen geven. Dat doen zij nadat het plan van aanpak is aangeboden. Daarover zal de commissie in debat gaan. Eventuele moties en amendementen worden dan aan de raad daarna meegegeven.
35
40
Mevrouw Ramaker (VVD) zegt dat ze er een B-punt van wil maken omdat ze met een motie of amendement wil komen. Daar heeft ze wel iets meer tijd voor nodig. De eerstvolgende raad is volgende week. Dat is te snel. De voorzitter stelt voor om het naar de raad na de van volgende week door te geleiden. Daarna gaat de termijn van zes weken lopen voor aanlevering van het plan van aanpak. Dat kan vervolgens in de commissie worden besproken. De heer Maas (Volt) vindt het buitengewoon jammer om het plan van aanpak uit te stellen.
16
De heer Paalman (Horizon) vraagt om een toezegging van de wethouder dat het plan van aanpak binnen zes weken komt, ook als het raadsvoorstel nog niet is goedgekeurd.
5
Wethouder Streefland antwoordt dat het helpt om aan hoe werkt het met de Rekenkamer te doen. Voor de hygiëne is dat heel fijn. Zij biedt snelle ambtelijke ondersteuning aan voor de vragen van de VVD. De voorzitter inventariseert wat de steun is voor behandeling van dit voorstel in de volgende raad. Een meerderheid is voor het doorschuiven van dit onderwerp naar de raad na die van volgende week.
10
Lijst van toezeggingen 1. De raad wordt meegenomen in de ontwikkelingen en de maatregelen ten aanzien van het internationaal dreigingsbeeld rondom de cyberaanvallen. De voorzitter vraagt wanneer het college dit naar de raad brengt.
15
Wethouder Streefland antwoordt dat het over het internationaal speelveld en veiligheid in brede zin gaat. Daar zou de burgemeester de raad op een ander moment over informeren. Cyberveiligheid hoort daarbij. Zij bespreekt dit in het college en komt er op terug. 2. In het plan van aanpak wordt ingegaan op het vervangen van legacysoftware en de training in bewustwording van medewerkers omtrent dit thema. De voorzitter beëindigt daarmee dit onderwerp.