04-ICT visie 2030 maart 2024 CONCEPT versie 09

ICT-visie 2030 Maart 2024 (CONCEPT versie 09) Mark Nuijten & Antoinette van Leeuwen

ICT visie 2030 Gemeente Zeist

1

Inhoudsopgave Managementsamenvatting .................................................................................................................... 3 Inleiding................................................................................................................................................... 4 1.

Technologische en maatschappelijke ontwikkelingen .................................................................. 5

2.

Thema’s ICT visie 2030.................................................................................................................... 7

3.

2.1

Kwaliteit van de dienstverlening ............................................................................................ 7

2.2

Sourcing ................................................................................................................................. 8

2.3

Veiligheid & continuïteit ...................................................................................................... 10

2.4

Collectiviteit & samenwerking ............................................................................................. 11

2.5

Organisatieontwikkeling ...................................................................................................... 13

Tot slot .......................................................................................................................................... 14

Begrippenlijst......................................................................................................................................... 15 Bronverwijzing ....................................................................................................................................... 17

ICT visie 2030 Gemeente Zeist

2

Managementsamenvatting De veranderende maatschappelijke vraag noodzaakt ons kritisch te zijn (en blijven) op onze (werk)processen. Sluiten ze nog in voldoende mate aan op de vragen van onze inwoners en ondernemers? De wereld staat tenslotte niet stil, technologie ontwikkelt zich razendsnel en nieuwe maatschappelijke vraagstukken dienen zich aan (bestaanszekerheid, wonen, veiligheid). Nieuwe technologieën bieden kansen maar brengen ook uitdagingen en (be)dreigingen met zich mee. Technologische vraagstukken zoals de opkomst van Artificial Intelligence (inclusief Chat GPT), Blockchain, Cloudcomputing etc. dwingen ons na te denken hoe wij als gemeente Zeist hiermee om willen gaan. Algoritmes kunnen bijvoorbeeld zaakafhandeling doen versnellen, handig en nuttig, maar brengen door mogelijke onbedoelde effecten ook risico’s met zich mee; risico’s die onze inwoners in problemen kunnen brengen. Het is daarom niet meer dan een intrinsieke taakopdracht om vooraf stil te staan bij de vraag hoe om te gaan met deze complexe vraagstukken. We doen als Zeist al veel goed, maar we mogen en kunnen ons niet permitteren achterover te leunen. We zullen als nabije overheid flexibel moeten zijn en blijven om op een verantwoorde en mensgerichte wijze nieuwe technologieën toe te laten in onze manier van werken.

Kijkend naar onze ICT-omgeving, zien we dat deze zich heeft ontwikkeld tot een complexe omgeving. Daarbij is digitale veiligheid en weerbaarheid een expertise geworden die bijzondere competenties vraagt in een zeer krappe arbeidsmarkt. Het is daarom dat onze interne ICT-organisatie gaat kantelen. We gaan niet (meer) alles zelf doen maar groeien naar een ICT-regie gemeente. Vanuit die koers gaan we in gesprek met de markt over het op een gefaseerde wijze uitbesteden van taakonderdelen. Hierbij hoort ook de constatering dat, hoe ambitieus en uitdagend de ICT-visie 2030 ook is, het de organisatie is die het tempo van realisatie, impact en uitwerking van de visie bepaalt en zorgt voor het succes dat met deze ICT-visie 2030 wordt nagestreefd. Dit voor u liggend visiestuk heeft ten doel u te informeren hoe wij als gemeente Zeist aankijken tegen de maatschappelijke en technologische ontwikkelingen en hoe wij daarop gaan anticiperen. Daarbij maken we ook een vertaalslag naar onze interne organisatie: wat betekent dit, hoe moeten we de vraag vertalen en hoe kunnen we daar op inspelen, en wat is er nodig om deze vragen juist en tijdig van antwoord te voorzien? We kijken vooruit over een periode van 5 jaar vanaf nu. Daarin kan en zal er veel veranderen en zullen nu ingenomen (beleids-) standpunten achterhaald blijken te zijn.

We kijken daarom bewust naar het vraagstuk vanuit de wetenschap en kennis van nu; wat we weten nemen we mee, wat we (nog) niet weten hopen we op te kunnen vangen met een organisatie die flexibel kan schakelen. Daarmee borgen we wendbaarheid en weerbaarheid en daarmee de leveringsgarantie op onze dienstverlening.

ICT visie 2030 Gemeente Zeist

3

Inleiding De ICT-visie 2030 beschrijft de meest relevante ontwikkelingen en keuzes op ICT-gebied van de gemeente Zeist die de verdere ontwikkeling en uitwerking van haar dienstverlening tot 2030 bepalen. We geven dit vorm vanuit de missie en kernwaarden van Zeist: vertrouwen, nabijheid en kracht en dit vertalen we naar het goede doen voor Zeist. In deze ICT-visie 2030 nemen we u aan de hand van een vijftal thema’s mee in de rol- en mate van invloed die wij als gemeente(n) hebben in wat er de komende jaren op ons afkomt. Op welke toekomst moeten we ons voorbereiden? Waar liggen kansen en mogelijkheden voor een nog betrouwbaardere en efficiëntere dienstverlening door slimme inzet van ICT? Maar ook; welke bedreigingen werken mogelijk in op deze zaken en hoe houden wij onze weerbaarheid op niveau met de snelheid van ontstaan van nieuwe dreigingen? En hoe doen we dit als we dit allemaal niet meer zelf kunnen of willen; wie of wat hebben we daarvoor nodig en hoe verhouden wij ons tot deze partijen, welke autonomie en soevereiniteit hebben we te behouden en op welke terreinen? Aan de ICT-visie 2030 liggen enkele strategische beleidstukken ten grondslag. De ICT-visie 2030 is hiermee een verdere uitwerking van keuzes en stappen die Zeist al eerder heeft gezet.

Denk hierbij aan de visie op dienstverlening en de leidende principes die zijn vastgelegd in het Strategische Informatieveiligheidsbeleid, Strategisch Privacy beleid, het Visiedocument Een goed leven in Zeist – ook digitaal en het daarbij behorende beleidsmodel Behoorlijk bestuur met data (Mens Centraal Digitaal; MCD). Dit alles is vertaald naar een strategisch Informatie perspectief, met een overzicht van de belangrijkste ontwikkelingen die wij op ons als gemeente Zeist af zien komen en een beschrijving van de methodiek die wij hanteren om de strategisch Informatiekundige vraagstukken te vertalen en toe te passen op de processen en dienstverlening. De ICT-visie 2030 is tot stand gekomen door middel van interviews met interne stakeholders en een workshop onder leiding van Kees Groeneveld en Herman Timmermans1.

1 https://www.ictleveranciersmanagement.nl/de-auteurs

ICT visie 2030 Gemeente Zeist

4

1.

Technologische en maatschappelijke ontwikkelingen

Nieuwe taken, aangepaste wet- en regelgeving en maatschappelijke en technologische ontwikkelingen stellen steeds hogere eisen aan de ICT-inspanningen van gemeenten. Dat is een toenemende zorg voor wie ervoor verantwoordelijk is. De groeiende kenniskloof en afhankelijkheid van gemeenten ten opzichte van hun ICT-leveranciers vergroten de kwetsbaarheid en beperken de innovatiesnelheid. In dit hoofdstuk schetsen we een aantal relevante ontwikkelingen en keuzes die van invloed zijn op de ontwikkeling en uitwerking van de ICT-visie 2030. We leven in een Informatie- en netwerksamenleving die door technologische en maatschappelijke ontwikkelingen ingrijpend is veranderd, steeds complexer wordt en de manier waarop we leven en werken beïnvloedt. Deze digitale transformatie vindt plaats wanneer we digitale technologieën integreren in onze bedrijfsvoering en dienstverlening. We gebruiken deze ontwikkelingen om continu te innoveren, zowel op harde als zachte aspecten van dienstverlening en bedrijfsvoering. Waarbij we oog hebben voor risico’s en dreigingen, maar vooral kijken naar mogelijkheden om te innoveren, werkprocessen beter te ondersteunen en daarmee onze dienstverlening te verbeteren. Het is aan ons als gemeente Zeist om de juiste balans te vinden in het toepassen van technologieën en het beschermen van publieke waarden.

Met de technologische ontwikkelingen ontstaan er ethische vraagstukken en dilemma’s. Denk aan de ontwikkelingen met betrekking tot inzet van algoritmes en artificiële intelligentie (AI). Deze ontwikkelingen vereisen inzicht, scherpte en sturing op het waarborgen van de persoonlijke levenssfeer en publieke waarden alsmede alertheid op het bewaken van de menselijke maat. Nederland is het meest digitaal vaardige land2 van Europa, maar er is ook een toenemende kloof3 tussen digitaal vaardige- en niet digitaal vaardige inwoners, waarbij wij vanuit onze kerntaken en verantwoordelijkheden oog moeten houden voor die laatste groep om exclusie door digitalisering voor te zijn. Zeist zal digitale inclusie dus hoog op de agenda moeten houden zodat alle inwoners gebruik kunnen blijven maken van de gemeentelijke dienstverlening en die van de landelijke overheid. Want het vertrouwen in de overheid neemt af en de afstand tot de overheid wordt groter. Waarbij verhoudingen verharden en discussie ontstaat over de betrouwbaarheid van de overheid en de gedeelde informatie. We zien een maatschappij die uitgaat van (veilige) digitale diensten voor toegang tot- en verwerking van informatie, die in principe 24x7 beschikbaar zijn.

Dit stelt potentieel steeds hogere eisen aan beschikbaarheid en continuïteit, wat zich mede vertaalt naar het op orde houden van onderliggende ICT-infrastructuur om zo de bedrijfsvoering en dienstverlening optimaal te kunnen (blijven) faciliteren. Dit is overigens niet los te zien van de forse toename van de impact die cybercriminaliteit heeft op beschikbaarheid, vertrouwelijkheid en integriteit van onze informatie, bedrijfsvoering en dienstverlening. En leidt tot de behoefte en noodzaak om onze digitale weerbaarheid structureel en continu te bewaken en te vergroten. Een andere ontwikkeling is de verschuiving van het kopen, onderhouden en in eigen beheer hebben van infrastructuur en informatiesystemen naar afname als een dienst, waarbij de kosten variëren met de mate van gebruik over de tijd. Geen investeringen en afschrijvingen, maar tarieven op basis van

2 https://www.nederlanddigitaal.nl/actueel/nieuws/2023/11/13/nederlanders-meest-digitaal-vaardige-europeanen 3 https://www.rijksoverheid.nl/documenten/kamerstukken/2021/12/21/kamerbrief-over-voortgang-digitale-inclusie-2021

ICT visie 2030 Gemeente Zeist

5

feitelijk gebruik, doorgaans in een bepaalde variant van Cloud computing4. Deze beweging heeft gevolgen voor de aanwezige competenties binnen de organisatie. De noodzaak tot het in dienst hebben van (schaarse) ervaren ICT-specialisten vervalt, daarvoor in de plaats komt regievoering door middel van leveranciers- en contractmanagement alsmede scherp toezicht op de gegevensverwerking door betrokken derde partijen. En tot slot komen er vanuit (Europese) wetgeving diverse ontwikkelingen op ons af die sturing geven aan hoe we onze ICT inrichten en vormgeven. Denk aan Europese AI wetgeving en Digital Decade (infrastructureel). Als overheid en als gemeente gebruiken we dit als koers en richting om grip te krijgen en handelingsperspectief te bieden bij nieuwe en complexe opgaven. Dit vereist continu toetsen hoe we als gemeente Zeist deze ontwikkelingen willen volgen en vorm geven.

4

Cloud computing is een verzamelterm voor ICT die je als dienst afneemt en waarvan de servers doorgaans niet op eigen locatie staan. Bekende vormen zijn SaaS, IaaS, PaaS.

ICT visie 2030 Gemeente Zeist

6

2.

Thema’s ICT visie 2030

In deze ICT-visie 2030 hebben we actuele technologische en maatschappelijke ontwikkelingen aan de hand van vijf thema's en denklijnen weergegeven, en vervolgens vertaald naar Zeist. Wat betekenen deze ontwikkelingen voor Zeist, voor de ambities die we hebben en daaruit volgend de koers die we inzetten. Welke keuzes en investeringen willen we de komende jaren maken om onze bedrijfsvoering en dienstverlening optimaal te ondersteunen?

2.1

Kwaliteit van de dienstverlening

In lijn met de maatschappelijke ontwikkeling zal gemeente Zeist haar dienstverlening naar inwoners en ondernemers de komende jaren steeds meer leveren volgens het principe ‘digitaal tenzij’. Om dit mogelijk te maken is de gemeente Zeist bezig met een digitale transformatie, waarbij de afhankelijkheid van ICT zijn weerslag heeft op de dienstverlening. Deze transformatie zal in de periode tot 2030 mogelijk versneld verder gaan. Verdergaande standaardisering en transparantie van werkprocessen zijn hiervoor rand voorwaardelijk. Om de dienstverlening kwalitatief verder te verbeteren heeft Zeist al maatregelen genomen. Deze omvatten niet alleen het op orde brengen van de basis maar ook het verder ontwikkelen en organiseren van kennis en capaciteit op ICT-gebied en het verder professionaliseren en flexibiliseren van de gemeentelijke (online) dienstverlening. Beeld 2030 •

•

• •

In 2030 worden alle processen volledig via digitale weg ondersteund, inwoners en bedrijven van Zeist kunnen tijd- en plaats onafhankelijk zaken doen met gemeente Zeist en hebben via een persoonlijk portaal actueel inzicht in de stand van zaken. We sturen actief op digitale diensten en ondersteunen dit vanuit de organisatie via fysieke loketten op diverse plekken in de gemeente voor diegenen die moeite hebben de digitale diensten te gebruiken. We bieden hulp - zonder het over te nemen - en zetten zo in op het verkleinen van de groep niet digitaal vaardigen. Zo dragen we bij aan de toename van digitale geletterdheid. Daar waar digitalisering leidt tot mogelijke exclusie of vergroting van de afstand tot ons als lokale overheid en daarmee het vertrouwen, bieden we maatwerk. Ons uitgangspunt is; digitaal waar het bijdraagt aan het goede leven in Zeist. Wij bieden passende dienstverlening voor inwoners die niet digitaal vaardig zijn. Bij het merendeel van de standaard processen in de dienstverlening komt er, mede door geavanceerde authenticatie en digitale identiteit, geen ambtenaar meer aan te pas. Er wordt continu gemonitord op trendbreuken en steekproefsgewijs controles uitgevoerd.

De weg naar die toekomst De gemeente Zeist streeft ernaar om de kwaliteit van de dienstverlening aan inwoners en ondernemers, maar ook aan de eigen medewerkers, in de komende jaren verder te ontwikkelen zodat zij past bij de vragen en behoeften van 2030. Die verbetering kan alleen worden gerealiseerd vanuit een stabiele en betrouwbare ICT-Infrastructuur, in combinatie met een weloverwogen keuze voor toepassingen die de werkprocessen van de gemeente optimaal ondersteunen en faciliteren. En waarbij we gebruik maken van generieke voorzieningen. Hierbij worden infrastructuur en toepassingen zodanig gekozen en ingericht dat medewerkers met eigen middelen, plaats- en tijdonafhankelijk hun taken kunnen uitvoeren.

ICT visie 2030 Gemeente Zeist

7

Dit geldt ook voor inwoners en ondernemers die contact zoeken met de gemeente. Ook voor hen geldt dat de gemeente een goed uitgewerkt aantal kanalen biedt waarlangs de interactie met de gemeente verloopt en waar de betreffende (externe) gebruiker inzage heeft in zijn/haar data die door de gemeente wordt beheerd en verwerkt. Tevens kunnen op deze manier (digitaal) verzoeken worden ingediend, mutaties worden geïnitieerd en de status van lopende dossiers worden gevolgd. De noodzaak tot actueel inzicht in samenhang is groter dan ooit, mede door de toenemende complexiteit van het ICT-landschap met al zijn applicaties en diensten. Tegelijkertijd blijft een stabiele ICT-omgeving die veilig, betrouwbaar en transparant is, rand voorwaardelijk voor de dienstverlening. Hier zit een stevige opgave om vanuit een vastgestelde IT-architectuur te werken. Dit helpt ons bij het inzichtelijk maken van afhankelijkheden en geeft richting voor toekomstige wensen en eisen die aan ons gesteld worden. Door het werken onder architectuur (WOA), hebben we (in)zicht op welke processen, systemen, applicaties en verbindingen er zijn en hoe deze zich tot elkaar verhouden. Dit hebben we nodig om bij wijzigingen of verstoringen snel te kunnen beoordelen wat de impact en optimalisatie mogelijkheden zijn, en ernaar te handelen. En we kunnen op deze wijze in bredere zin risicomanagement toepassen.

2.2

Sourcing

In de afgelopen twee decennia is, mede door sterke digitalisering, de afhankelijkheid van ICT explosief toegenomen. Zonder ICT zijn dienstverlening en bedrijfsvoering simpelweg onuitvoerbaar geworden. De veelvoud aan softwareoplossingen, de complexe infrastructuur die daarvoor benodigd is, de samenhang hiertussen alsmede de verhoogde eisen met betrekking tot beschikbaarheid en informatieveiligheid maakt dat we dit als gemeente niet meer zelf kunnen en (moeten) willen organiseren en beheren. Dit vereist dat we keuzes maken in wat we nog wel zelf doen en wat niet en waar we wel of niet eigenaar van (willen) zijn. Beeld 2030 •

•

•

•

De IT-infrastructuur van gemeente Zeist wordt volledig als een ‘dienst’ afgenomen. Er is een grote mate van volwassenheid in het voeren van strategisch leveranciersmanagement waarbij de daarvoor benodigde (regie)rollen sterk in de organisatie zijn verankerd. Aan de hand van vooraf gedefinieerde KPI’s en normen houden we grip op de kwaliteit van geleverde diensten. We zijn en blijven kritisch op waar wij lokaal het verschil willen maken of zelf de uitvoering willen blijven doen, bijvoorbeeld omwille van het snel kunnen inspelen op behoeften uit de omgeving. We sturen op kwaliteit van- en toegang tot data (beschikbaarheid, integriteit, vertrouwelijkheid) in onze applicaties volgens de principes van Common Ground (scheiding van data en systemen). Door een actuele IT-architectuur volgens de landelijke GEMMA principes zijn we in staat de impact van veranderingen op de organisatie snel in beeld te hebben. We gebruiken waar mogelijk bronsystemen die via API’s benaderd worden. Alle applicaties worden als SaaS afgenomen waarbij de koppelingen tussen applicaties via een centrale API gateway verlopen. Brondata is ondergebracht in het generieke landelijke gemeentelijke datacenter en is real- time te bevragen via het GGI netwerk.

De weg naar die toekomst Mede onder invloed van de eerder genoemde ICT-ontwikkelingen is de vraag ‘wat kunnen en willen we nog zelf doen’ zeer relevant. Voorafgaand aan deze vraag zitten de taken en ICT visie 2030 Gemeente Zeist

8

verantwoordelijkheden die je als organisatie omwille van (met name) wetgeving niet kunt uitbesteden. De insteek is dat generieke en gestandaardiseerde ICT-onderdelen in principe uitbesteed worden. Op deze onderdelen is weinig onderscheidend vermogen te behalen en deze diensten zijn kwalitatief en met hoge mate van betrouwbaarheid door derden uit te voeren. Tegelijk zijn er ook ICT-onderdelen die we nu uit principe niet willen uitbesteden; denk hierbij aan gebruikersondersteuning vanuit de gedachte van nabijheid en kennis van de organisatie. Dus je wil alleen iets in huis houden en niet naar de markt brengen, als het iets toevoegt, lokaal of anderszins. Het zijn van een ICT-regiegemeente brengt uitdagingen en risico’s met zich mee. Condities blijven veranderen en vereisen continu scherpte in de regievoering en het maken van de juiste afwegingen om in control te zijn en te blijven. Een belangrijke voorwaardelijkheid in het uitbesteden van ICT is het organiseren van professioneel leveranciers- en risicomanagement. Op basis van risicoanalyses bepalen we de wenselijkheid tot leveranciersmanagement en de inrichting daarvan. Aan de hand van vooraf gedefinieerde KPI’s en normen houden we grip op de kwaliteit van geleverde diensten.

Dit vereist dat we inzicht hebben in de status van onze ICT-infrastructuur, gebruikte toepassingen, onderlinge afhankelijkheden en daarbij betrokken (markt)partijen. De gemeente Zeist is zich ervan bewust dat zij voor realisatie van haar ICT-inspanningen voor een belangrijk deel gebruik moet (gaan) maken van externe partijen. De strategie op sourcing wordt bepaald aan de hand van criteria die de continuïteit van de bedrijfsvoering goed borgt. Sinds 2019 werken we in Zeist met cloud computing in de vorm van on-premise managed ‘IAAS’ 5, deze keuze is voortgekomen uit de vaststelling dat wij met onze omvang zelf onvoldoende kennis en capaciteit kunnen leveren om garanties te kunnen geven op continuïteit, veiligheid en beschikbaarheid. Daarbij is er in dit model weinig lokaal verschil te maken op de ICT-functies die uitbesteed worden en is het als een generieke en gestandaardiseerde dienst beschikbaar in de markt. We gaan uit van steeds verdere uitbesteding van generieke onderdelen van de infrastructuur en in die ontwikkeling hebben we oog te houden voor de gewenste mate van nabijheid en mogelijkheid tot regie op informatieverwerking.

We kiezen vooralsnog niet voor ‘public cloud IAAS’ maar zoeken invulling met ‘private cloud IAAS’ om ‘control’ en soevereiniteit te behouden en niet afhankelijk te zijn van leveranciers waarbij publieke waarden (nog) niet optimaal geborgd kunnen worden. Onderdeel van het in control zijn is dat onze data en informatie binnen Nederland blijft. Tegelijk leggen we de verantwoordelijkheid voor beschikbaarheid, continuïteit en veiligheid voor de uitbestede functionaliteit bij voorkeur onder bij een marktpartij. Als we kijken naar de ontwikkelingen in de markt van software leveranciers van afgelopen jaren, dan is de verwachting dat in 2030 nagenoeg alle bedrijfskritische applicaties als een ‘dienst’ afgenomen worden (SaaS6), waarmee de totale footprint- en afhankelijkheid alsmede noodzaak van het hebben van een eigen datacenter verder wordt teruggebracht.

5 IAAS staat voor ‘Infrastructure as a service’. Het technisch beheer en beschikbaarheid van de onderliggende infrastructuur

ligt daarbij bij een derde partij via een contract/SLA, wij zijn vooral gebruiker van die infrastructuur en betalen naar rato op basis van maandelijks gebruik. Zie ook begrippenlijst in dit document. 6 SaaS staat voor ‘Software as a service’. Via licenties verkrijg je gebruiksrecht van de software, maar heb je zelf geen infrastructuur te leveren om de software op te laten werken (servers etc.). Eisen rondom beschikbaarheid en o.a. veiligheid liggen via contracten bij de leverancier.

ICT visie 2030 Gemeente Zeist

9

De periode 2025-2030 beschouwen we dan ook als een fase waarin we data (veelal via applicaties) geheel niet meer in eigen of gehuurde datacenters onderbrengen, maar in die van de leveranciers van de software. Let wel; deze beweging ontslaat ons niet van onze feitelijke juridische verantwoordelijkheid aangaande beveiliging en borging van integriteit van deze data. Dat kunnen we dan ook niet uitbesteden. Dit vergt nieuwe rollen in onze organisatie, die stevig regie voeren en toezicht houden op de dataverwerking door de diverse leveranciers gedurende de gehele contractperiode.

2.3

Veiligheid & continuïteit

We zien, mede door de verdere digitalisering en technologische ontwikkelingen, een toename van (cyber)dreigingen met impact op de bedrijfsvoering en daarmee ook op onze dienstverlening als ook de dienstverlening van onze ketenpartners. De dreigingen hebben betrekking op de beschikbaarheid (continuïteit), Integriteit en vertrouwelijkheid van de informatie en informatieverwerking en dat vereist dat we inzetten op een state-of-the-art infrastructuur, regie op processen en daarbij behorende data en dus dat we inzetten op digitaal vaardige en weerbare medewerkers, ketenpartners en inwoners. Gemeente Zeist geeft het vraagstuk van digitale veiligheid niet alleen vorm vanuit wetgeving en normen maar vooral vanuit de gedachte wat we er als gemeente mee willen bereiken. Het verhogen van de digitale weerbaarheid van de organisatie, onze inwoners en ketenpartners en het zijn van een betrouwbare overheid die de persoonlijke levenssfeer van inwoners en bedrijven beschermt. Beeld 2030 • • • •

Zeist biedt veilige en betrouwbare dienstverlening. Zeist is voorbereid op (cyber)dreigingen en investeert in het verhogen van de digitale weerbaarheid van haar medewerkers en inwoners. We maken de juiste keuzes, mede op basis van risicomanagement, bij de inzet van nieuwe technologieën. Datasoevereiniteit is een voorwaarde voor (verwerking van) persoonsgegevens, bij gelijke geschiktheid van applicaties prevaleert dataopslag binnen de EU te allen tijde.

De weg naar die toekomst Het waarborgen van de continuïteit van onze ICT-inspanningen is essentieel voor de realisatie van de dienstverlening door de gemeente aan inwoners, ondernemers en eigen medewerkers. De gemeente Zeist streeft naar een robuuste infrastructuur die bestand is tegen externe en interne bedreigingen, technische storingen en andere risico’s. De maatregelen die in dit verband genomen moeten worden gaan uit van een voortdurend actuele risico-inventarisatie en risicoafweging. De noodzaak tot het goed organiseren van informatiebeveiliging is en blijft van groot strategisch belang. We kunnen dit niet 24 uur per dag op eigen kracht; we hebben zowel preventief (voorkomen) als reactief (mitigeren) een serieuze opgave om hier steeds weer nieuwe passende maatregelen voor in te zetten. We dienen blijvend te investeren in maatregelen om te ‘weten wat er speelt’ en het aan ons verbinden van hulptroepen (e.g. IBD-CERT en VRU) op het moment ‘dat er wat speelt’.

ICT visie 2030 Gemeente Zeist

10

Hackers en andere kwaadwillende beperken zich niet door kantoortijden. Dus willen we 24x7x365 weten wat er speelt en als er iets speelt of als daar vermoeden van is dit zo snel mogelijk detecteren en mitigeren om een crisis te voorkomen. De complexiteit en snelheid van bedreigingen blijft toenemen en vergt daardoor het continu monitoren en testen van: • Informatie-uitwisseling tussen de infrastructuur componenten • Nieuwe bekend geworden kwetsbaarheden in relatie met onze infrastructuur • Gedrag van personen/accounts die toegang hebben tot informatie • Verstoringen en dreigingen (input vanuit IBD & NCSC) • Onze infrastructuur en applicaties op kwetsbaarheden We kunnen dit onmogelijk zelf en dus vereist dit dat we, als er sprake is van een verstoring dit, naast de samenwerking die er ligt met onder andere de Informatie Beveiligings Dienst (IBD) en National Cyber Security Center (NCSC), extern organiseren. Beveiliging en beschermingsmaatregelen worden zodanig vormgegeven dat zij onder alle omstandigheden effectief zijn en toegepast kunnen worden door de eigen medewerkers. Deze maatregelen worden niet alleen vastgelegd maar waar mogelijk en noodzakelijk ook in periodieke oefeningen en simulatiesessies toegepast. Op basis van deze praktijkuitvoeringen worden de maatregelen nader geëvalueerd en waar nodig bijgesteld.

Bij het gebruik van faciliteiten en diensten van externe partijen, moeten ook deze partijen betrokken worden bij de te nemen beheersmaatregelen. Ook hier geldt dat periodieke toetsing en toepassing in oefen- en simulatiesessies en terugkerende (zelf)audits essentieel zijn om de betrouwbaarheid en effectiviteit van de getroffen maatregelen te garanderen. De gemeente Zeist beschikt over een grote hoeveelheid data, waarvan zij eigenaar, bronhouder of verantwoordelijke verwerker is. Binnen de mogelijkheden van de geldende wet- en regelgeving streeft de gemeente er naar om deze data zoveel mogelijk te gebruiken voor het genereren van informatie, waarmee niet alleen besluitvorming gericht wordt ondersteund, maar ook de kwaliteit van de dienstverlening continu wordt verbeterd. Veel data staat in fysieke zin op externe servers die wij niet zelf beheren. De gemeente Zeist blijft eigenaar van de betreffende data en zal nadrukkelijk moeten bedingen dat zij eigenaar is en blijft van de verrijkte data. Daarnaast gaat het eigenaarschap ook over zogenaamde metadata, die verbonden zijn met de data van de gemeente Zeist (die elders worden beheerd en/of verwerkt). Bij iedere (nieuwe) verwerking van gegevens of wijziging van verwerking, in het bijzonder persoonsgegevens, toetsen we actief op soevereiniteit van de verwerking.

Het afwegingskader dat we toepassen mag geen ruimte geven voor interpretatie; in dit proces speelt data(risico)classificatie een belangrijke rol.

2.4

Collectiviteit & samenwerking

Om de verdere ontwikkeling van de ICT-inspanningen succesvol te laten verlopen is samenwerking met andere gemeenten, overheidsinstanties, bestaande samenwerkingsverbanden, marktpartijen en maatschappelijke organisaties noodzakelijk. Samenwerkingen zijn echter niet per definitie succesvol. Er is geen blauwdruk voor samenwerkingen, we kijken daarom voortdurend wat in het voordeel is van Zeist.

ICT visie 2030 Gemeente Zeist

11

Beeld 2030 •

•

•

Collectiviteit maakt ons sterker naar de markt, vergroot onze kennis en geeft nieuwe perspectieven op uitdagingen. We zoeken actief de samenwerking met andere gemeenten van gelijke omvang en sluiten actief aan bij platformen en initiatieven van de VNG. We hebben een actieve houding, via landelijke platformen, naar andere lokale overheden om hier kansen te benutten. We leggen verbanden en vertalen dit naar mogelijke samenwerkingen en initiëren die ook. We hebben een open maar realistische houding. Ook checken we of wij het aankunnen qua omvang versus onze slagvaardigheid als middelgrote gemeente. We wachten niet af en nemen zelf initiatief waar we mogelijkheden zien om op basis van technologische innovatie onze doelen te verwezenlijken.

De weg naar die toekomst Samenwerkingen komen niet vanzelf tot stand; het is veelal een combinatie van personen, onderwerp, moment en plaats (gelegenheidscoalities). Het vereist een open blik, herkennen van kansen en in beginsel een onbaatzuchtige houding zonder beperkingen vooraf. We blijven actief om ons heen kijken naar potentiële samenwerkingen op ICT-gebied, waarbij we kritisch zijn op mogelijke opbrengst en bijdrage aan de ontwikkeling van ons als gemeente of onze samenwerkingspartners met een eerste focus op verbinden en delen van kennis. We initiëren en nemen het initiatief in samenwerkingen via de landelijke (VNG) platformen. We doen dit door bestuurlijke vertegenwoordiging in VNG-commissies te intensiveren. En door participatie in landelijke vakverenigingen, platformen, klankbordgroepen en VNG-initiatieven. Waarbij we als gemeenten gezamenlijk inkopen en exploiteren. Ondersteund door bestaande en toekomstige producten vanuit GT, GGI, GEMMA GGU en aanverwante architectuur principes zoals Common Ground. Onze deelname aan M50 (platform voor de middelgrote gemeenten) biedt potentie om tot samenwerking te komen op het ICT-domein. We hebben er belang bij dat ICT daar op de agenda komt, niet zozeer voor lokale initiatieven maar juist om gezamenlijk lobby te voeren richting de landelijke politiek op thema’s die ons raken.

Daarnaast; ook al is ICT vanuit haar aard in beginsel niet persé regio gebonden, bestaande regionale initiatieven zijn mogelijk vruchtbaar voor intensivering van samenwerking op ICT gebied, hierbij denken we aan de ZOU gemeenten of de RID. Naast samenwerking met overheid gelieerde partijen en vakverenigingen zoeken we ook actief naar samenwerking met marktpartijen. Hier hebben we collectiviteit voor nodig. Uit ervaring weten we dat daadwerkelijk samen organiseren succesvoller is naarmate hetgeen dat onder handen is concreet is en een grote mate van standaardisering in zich heeft. Dit, samen met de wetenschap dat gemeenten grotendeels gelijke en generieke diensten leveren met veelal dezelfde (bron)systemen en een selecte groep softwareleveranciers, biedt kansen op het gebied van samenwerking. Los daarvan bieden samenwerkingen mogelijkheden tot het verdelen van taken om grote onderwerpen aan te kunnen, gedeelde verantwoordelijkheid op te behalen resultaten, onderlinge waarneming, aanvullingen op eigen kennis, frisse visies op onderwerpen en marktvolume. En niet in de laatste plaats een gezamenlijke vuist tegen monopolistisch gedrag van leveranciers.

ICT visie 2030 Gemeente Zeist

12

2.5

Organisatieontwikkeling

De eerder geschetste ontwikkeling leidt tot een verandering van gemeente Zeist naar een professionele digitale dienstenorganisatie. Hierbij dient aandacht te worden besteed, naast een technische invulling, aan de menselijke en ethische aspecten en de sociale en emotionele kanten van de impact die de transitie naar een regieorganisatie kan hebben. Om de ambities te realiseren dient de organisatie gereed te zijn om deze vorm te kunnen geven. Dit vereist een andere invulling van functies, rollen en taken en heeft daarmee impact op het gemeente brede personeelsbeleid. In een regie organisatie zit je zelf niet meer aan de knoppen; de focus verschuift naar het vanuit architectuur benaderen van vraagstukken, het voeren van regie, verbindingen en netwerken (samenwerken), digitaal vaardige professionele medewerkers en op voeren van contract en leveranciersmanagement. Beeld 2030 •

• •

Gemeente Zeist is een innovatieve en lerende organisatie die haar dienstverlening en bedrijfsvoering waar mogelijk digitaliseert, gebruik makend van de beschikbare technologie nu en in de toekomst. Wie houden hierbij oog voor de impact op inwoner, ambtenaar en organisatie. We zoeken, actief de samenwerking om deze ambitie mogelijk te maken. We werken onder architectuur en hebben het strategisch leveranciersmanagement stevig gepositioneerd binnen de IV-organisatie. Regie op (duurzame) informatieverwerking is een speerpunt en staat als een huis in 2030 voor de gehele life-cycle van verwerkingen.

De weg naar die toekomst Er is een sterke relatie tussen ICT en organisatie. De organisatie vraagt slimme toepassing van ICT om efficiënt haar diensten te leveren en ambities te verwezenlijken. Anderzijds vraagt ICT vanuit de organisatie stevige regie en een grote mate van volwassenheid op het gebied van onder andere governance, architectuur en niet in de minste zin digitaal vaardige medewerkers. En vraagt van medewerkers kennis en inzicht in zowel processen als de werking van toegepaste technologie, waarbij kunstmatige intelligentie een steeds grotere rol gaat spelen. Een professionele en effectieve besturing van de ICT-inspanningen van gemeente Zeist als ICTregisseur is van cruciaal belang. Het uitgangspunt hierbij is dat ICT-taken waarbij nabijheid gewenst is, zoals gebruikersondersteuning en introductie van het werken met de ICT-infrastructuur, door de gemeente zelf worden gerealiseerd en gemanaged. Waar sprake is van niet-specifieke ICT-inspanningen wordt zoveel mogelijk gebruik gemaakt van passende oplossingen en faciliteiten die de markt biedt. De gemeente zal deze laatste ICTinspanningen zoveel mogelijk uitbesteden en afnemen als dienst. Waar mogelijk streeft de gemeente Zeist daarbij naar deelnemen in collectieve verbanden, die deels structureel en deels ad hoc kunnen zijn.

Binnen deze collectieve verbanden wordt niet alleen gestreefd naar ‘economy of scale’ maar ook indien mogelijk het delen danwel combineren van specialistische kennis en capaciteit. Over de totale ICT-inspanning (in eigen beheer en uitbesteed) voert de gemeente Zeist de regie. Mede gelet op de grote afhankelijkheid van ICT in al haar bedrijfsprocessen, besteedt de gemeente Zeist aandacht aan goed werkgeverschap op ICT-gebied. Dit betekent dat wordt geïnvesteerd in (verdere) talentontwikkeling en het creëren van een stimulerende en uitdagende werkomgeving met bijbehorende faciliteiten, tools en ontwikkelingsmogelijkheden. Om de continuïteit wat betreft beschikbaarheid van noodzakelijke ICT-specialismen te kunnen garanderen werkt de gemeente Zeist met loopbaanplannen voor de ICT-gerelateerde functies.

ICT visie 2030 Gemeente Zeist

13

3.

Tot slot

In onze dagelijkse bedrijfsvoering en dienstverlening wordt het slim toepassen van informatietechnologie steeds kritischer en neemt het strategisch belang sterk toe. Het is dan ook essentieel dat we een visie hebben op de toekomst waar stakeholders zich in grote mate in kunnen vinden. Deze visie hebben we in de voorgaande pagina’s neergezet, maar daarmee zijn we er nog niet. We hebben deze visie in te bedden en uit te lijnen met onze organisatiestrategie, gemeentebreed in alle opgaven die op ons bordje liggen. Met het uitbesteden van taken verandert onze rol van aansturing van beheerder naar regisseur. Dit vraagt om andere rollen, competenties en vaardigheden dan momenteel aanwezig. Met HRM zal dit worden uitgewerkt om zo te komen tot een gepast volwassenheidsniveau. Om ‘in control’ te blijven op onze data en beschikbaarheid daarvan binnen onze processen, zijn deze rollen noodzakelijk in het dagelijkse beheer en bij verwerving en implementatie van nieuwe ICT-technologieën. We moeten er voor waken dat digitalisering een doel op zichzelf wordt, immers; voor iedere ICToplossing een probleem. Hier is tegenwoordigheid van geest nodig, waarbij we oplossingen niet als fragment zien maar telkens als puzzelstukje inpassen in de grotere plaat, waarbij we bijvoorbeeld slim hergebruik van data borgen.

Dit vereist ook inzet op concrete gebieden zoals een actuele beschreven en beheerde proces- en ICT-architectuur. Vanuit onze autonomie als gemeente Zeist kunnen wij in ruime mate bepalen hoe de ICT processen onze organisatie ondersteunt. Toch zijn wij over het algemeen genomen, vanuit het oogpunt van deze processen, maar voor een deel uniek ten opzichte van de andere gemeenten. En voor dat generieke deel, zonder onze autonomie teniet te doen, liggen er kansen op bestuurlijk, functioneel en technisch vlak om vanuit het collectief onze ambities te realiseren op ICT-gebied.

ICT visie 2030 Gemeente Zeist

14

Begrippenlijst Begrip

Omschrijving

Algoritme

Een afgebakende set duidelijk gedefinieerde regels om tot een oplossing te komen van een probleem in een beperkt aantal stappen. Onder algoritme kan tevens worden verstaan een vastgelegde volgorde van handelen om een bepaalde taak uit te voeren.

Common Ground

Common Ground is de informatiekundige visie waarmee gemeenten collectief de informatievoorziening eenvoudiger, flexibeler en slimmer gaan inrichten. Met de herinrichting van de informatievoorziening kunnen gemeenten hun dienstverlening en bedrijfsvoering verbeteren.

Digitalisering

Digitalisering is het digitaal maken van analoge en handmatige processen.

IBD (Informatie Beveiligings Dienst)

De IBD is de sectorale CERT (Computer Emergency Response Team) voor Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten (VNG)

Informatisering

Informatisering is het proces dat is gericht op het beschikbaar maken van informatie. Dat gebeurt door toepassing van gegevensverwerkende programmatuur en apparatuur.

Kunstmatige Intelligentie (AI)

De technologie waarmee een systeem het menselijk denkvermogen kan nabootsen, zodat het zelfstandig bepaalde menselijke taken kunnen worden uitgevoerd.

NCSC (Nationaal Cyber Security Center) Robotisering

Het NCSC is onderdeel van het Ministerie van Justitie en Veiligheid en is 24x7 beschikbaar voor ondersteuning in geval van een cybercrisis.

Sourcing / sourcen

Onder sourcen wordt verstaan: het bepalen wat de organisatie zelf doet en wat uitbesteedt wordt aan leveranciers.. Deze keuzes worden bepaald door vele variabelen zoals geld, tijd, beschikbaarheid, expertise etc.

GT, GGI, GGU & GEMMA

GT staat voor “Gemeentelijke Telecom” en behelst het collectief inkopen/verwerven van (standaard) telecommunicatie producten en diensten uit de markt. Gemeenten kiezen zelf of ze deelnemen. Valt onder VNG realisatie. Zie ook https://vng.nl/artikelen/organisatie-gt

Een verzamelbegrip waaronder wordt verstaan het inzetten van software en/of speciale hardware die bedoeld is om taken die door mensen uitgevoerd kunnen worden qua uitvoering te vervangen door software en/of hardware. Na programmering is een robot zelfstandig in staat om bepaalde (fysieke en/of digitale) bewerkingen zonder tussenkomst van een mens uit te voeren.

GGI staat voor Gemeentelijke Gemeenschappelijk Infrastructuur. Oorspronkelijk begonnen als GGI-netwerk, een beveiligd netwerk waarin gemeenten en andere overheden, maar ook marktpartijen veilig met elkaar verbonden kunnen worden. Inmiddels is daar een tweede initiatief aan toegevoegd: GGI-veilig. Dit is een aanbesteding die zich vooral richt op oplossingen en diensten die te maken hebben met monitoring en beveiliging van de ICT omgeving. Zie ook https://vng.nl/artikelen/gemeentelijke-gemeenschappelijke-infrastructuur-ggi GGU staat voor Gezamenlijke Gemeentelijke Uitvoering. Veel maatschappelijke en organisatorische vraagstukken zijn voor alle gemeenten gelijk. Daarom is in 2017 op initiatief van de VNG de GGU gestart. Via de GGU en het bijbehorende GGU fonds

ICT visie 2030 Gemeente Zeist

15

(bijdrage vanuit gemeenten) worden standaarden afgesproken, gezamenlijk ingekocht en wordt samengewerkt aan nieuwe diensten en producten (GGU-portfolio). Zie ook https://vng.nl/ggu GEMMA staat voor GEMeentelijke Model Architectuur. Een specifiek voor gemeenten ontwikkelde referentiearchitectuur die bestaat uit een aantal componenten. Daaraan gelieerd is de GEMMA softwarecatalogus waarin gemeenten hun ICT (software)oplossingen up-to-date houden. Zie ook https://www.gemmaonline.nl/index.php/Gemeentelijke_Model_Architectuur_(GEMMA) SAAS / IAAS

Sofware As A Service: De achterliggende technische infrastructuur zoals databases, verbindingen en servers van de (vak)applicatie draait volledig in het datacenter van de leverancier. Als gebruiker volstaan inlog gegevens en een up-to-date werkplek. De applicatie wordt gebruikt via een app of internetbrowser. Infrastructure As A Service: De technische basisinfrastructuur wordt beheerd en onderhouden door de leverancier. Denk hierbij aan opslag, netwerk, geheugen en processors. Je bent als klant zelf verantwoordelijk voor het beheer van (virtuele) servers, applicaties en gedeeltelijk beveiliging.

Public cloud / private cloud

Public cloud: Hierbij maak je gebruik van een gedeelde, online infrastructuur. Applicaties en data bevinden zich in deze infrastructuur, die op een locatie van de Cloud aanbieder staat. Alle gerelateerde hardware, software en ondersteunende infrastructuur zijn eigendom van deze leverancier. Jouw data is alleen inzichtelijk voor jou, maar andere organisaties maken ook gebruik van de infrastructuur, zoals applicaties en servers. Voorbeelden zijn Microsoft Azure en Amazon AWS. Deze omgevingen zijn over het algemeen zeer schaalbaar en flexibel, je hebt gedeeltelijk invloed op waar de data opgeslagen wordt. Veelal ‘wel of niet alleen binnen de EU’. Private cloud: Is infrastructuur die een Cloud aanbieder levert aan één specifieke organisatie. Je beschikt hierbij over de middelen die horen bij cloud computing, maar je deelt geen hard- of software met andere organisaties. De private infrastructuur staat onpremises bij de organisatie zelf of bij de leverancier. En ook het onderhoud en eigenaarschap kan bij zowel opdrachtgever of -nemer liggen. Je kunt specifieke eisen stellen aan waar jouw data opgeslagen staat, bijvoorbeeld altijd binnen de Nederlandse grenzen. In algemene zin: Wanneer deze infrastructuur alleen maar van één klant is en beperkte toegangsrechten heeft, dan is dit een private cloud-omgeving. Wanneer de infrastructuurresources worden gedeeld, is dit een public cloud.

ICT visie 2030 Gemeente Zeist

16

Bronverwijzing https://www.gemeentennl.nl/digitaal/zo-ziet-de-gemeentelijke-ict-infrastructuur-eruit-in-2025/ https://www.binnenlandsbestuur.nl/ict-functie-gemeenten https://www.utrecht.nl/fileadmin/uploads/documenten/bestuur-en-organisatie/gezond-stedelijk-leven/202107-Visie-Digitale-Stad.pdf https://stt.nl/nl/over-stt/nieuws/ict-gaat-niet-over-computers-het-gaat-over-onze-mensen-in-de-stad-eefje-opden-buysch-over-haar-stt-studie-en-haar-nieuwe-rol-al https://www.managementboek.nl/boek/9789461264763/reset-de-gemeentelijke-ict-kees-groeneveld https://www.informatiebeveiligingsdienst.nl/product/dreigingsbeeld-informatiebeveiliging-nederlandsegemeenten-2023-2024/ https://vng.nl/publicaties/agenda-digitale-veiligheid-2020-2024 https://europadecentraal.nl/onderwerp/digitale-overheid/digitale-samenleving/digital-decade/ https://mxi.nl/uploads/files/page/trendrapport-ict-benchmark-gemeenten-2023.pdf https://vng.nl/projecten/dutch-societal-innovation-hub-dsih https://www.informatiebeveiligingsdienst.nl/project/digitaleweerbaarheid/ https://vng.nl/artikelen/trendrapport-informatiesamenleving-2023 https://vng.nl/artikelen/trendrapport-informatiesamenleving-2024 https://Architectuur Digitale Overheid 2030

ICT visie 2030 Gemeente Zeist

17