De verbinding is in Amstelveen en Aalsmeer verbroken

Jeroen Brandes (PvdA) wethouder voor Dienstverlening en ICT schrijft over het 'Rapportage directieonderzoek i.v.m (mogelijke) DigiD-afsluiting Aalsmeer en Amstelveen'

Context: Rond 20 maart 2016 ontving Jeroen Brandes, wethouder voor Dienstverlening & ICT, een signaal, dat de AA-gemeenten hun mogelijkheid tot DigiD zouden verliezen. Aanvankelijk is geruststellend gereageerd met de boodschap, dat uitstel misschien nog mogelijk was en dat digitale dienstverlening zelfs zonder DigiD doorgang kon vinden.

Op 30/31 maart bleken beide geruststellingen onterecht. Per 1 april werd de toestemming tot DigiD voor Aalsmeer afgesloten. Per diezelfde dag, zo bleek later uit het onderzoek, kwam het bericht, dat ook Amstelveen per 15 april afgesloten zou worden. Separaat bleek op 4 april, dat ook de 'module' voor parkeervergunningen (alleen voor Amstelveen, Aalsmeer heeft die dienst niet) afgesloten zou worden. En tot slot, bleek bij nadere beschouwing, dat voorbereidingen voor de jaarlijkse audit, die vóór 1 mei dient te zijn afgerond, nog niet waren begonnen.

(Foto Amstelveenweb.com - 2016)

Jeroen Brandes (PvdA) wethouder Dienstverlening en ICT

Daarna is er hard gewerkt om de afsluiting in Aalsmeer ongedaan te maken en voor Amstelveen zo mogelijk de afsluiting nog te voorkomen. Met resultaat. Op 14 april 2016 werd Aalsmeer weer aangesloten en zijn beide aansluitingen voor Amstelveen geconsolideerd. Dit is gelukt door (samen met de nieuwe aanbieder) alvast een klein stukje van de nieuwe websites in productie te nemen. Ook is de voorbereiding van de jaarlijkse audit spoorslags ter hand genomen door eigen én externe mensen, waardoor er redelijk zicht is op het slagen voor de jaar-audit per 1 mei.

Wat blijft, en ook al in de brief aan de Raad door wethouder Brandes op 4 april is verwoord, is de verbazing over:

dat het is gebeurd;

dat er zo laat en onvoldoende over is gecommuniceerd met de bestuurder;

dat er in een eerder stadium principekeuzes zijn gemaakt die niet aan de bestuurlijk de verantwoordelijke waren voorgelegd.

De wethouder heeft de directie gevraagd binnen drie weken te onderzoeken, hoe het zo ver heeft kunnen komen en maatregelen te nemen. In dit rapport beschrijven we de voornaamste gebeurtenissen die we gezamenlijk als blunder hebben gekwalificeerd. We verliezen ons daarbij niet in de details van een van-dag-tot-dag feitenrelaas. Dat vergt kostbare tijd en voegt niets toe aan onze constateringen, beoordelingen en getroffen maatregelen.

Beschrijving van de gebeurtenissen .Allereerst een korte schets van wat tot de (dreigende) afsluiting heeft geleid.

Daarbij is vooraf van belang om te weten, dat de organisatie Logius, de dienst digitale overheid en onderdeel van het Ministerie van Binnenlandse Zaken, toezichthouder is voor het gebruik van DigiD. In die rol is Logius bevoegd gemeenten en andere overheidsorganisaties die producten leveren, waarvoor burgers met DigiD kunnen inloggen en ondertekenen, toestemming te geven of te onthouden. Dit doen ze op basis van een aantal waarborgen die de betreffende overheidsorganisatie moet kunnen bieden, zoals periodieke audits en assesments als een nieuwe aansluiting wordt gevraagd. Jaarlijks vindt vóór 1 mei de audit over het voorafgaande jaar plaats. Concreet: voor 1 mei 2016 moet de algehele DigiD-audit 2015 van de gemeenten Aalsmeer en Amstelveen hebben plaatsgevonden. De eisen in die audits zijn permanent in ontwikkeling (lees: worden scherper). Logius voert de audits/assesments niet zelf uit, maar laat deze uitvoeren door gecertificeerde organisaties.

Logius neemt in beginsel het auditrapport als uitgangspunt voor voortzetting of afsluiting van de licentie tot DigiD-gebruik. Daarbij is het in de praktijk vaak niet zo zwart-wit en geeft Logius bij gesignaleerde gebreken de overheidsorganisaties nog enkele maanden hersteltijd d.m.v aan te leveren verbeterrapportages.

Als tweede is vooraf van belang om te weten, dat de websites van Amstelveen en Aalsmeer al enige tijd uit financiële behoedzaamheid niet ge-upgraded zijn en in het kader van het programma Digitaal Werken integraal onderdeel worden van een nieuw aan te schaffen zaaksysteem. In de eerste helft van 2015 is nog wel een overweging geweest alsnog te updaten. Maar gezien de kosten (ca. 100.000 euro), het feit dat op de ondersteunende afdelingen een bezuinigingstaakstelling rust én de keuze om een nieuw zaaksysteem aan te besteden, heeft het management binnen het Facilitair Bedrijf toen besloten geen investering van die omvang te doen. Op dat moment was een mogelijke DigiD-afkeuring overigens nog geheel niet aan de orde. Op dat moment gold namelijk nog de uitslag van de positieve uitslag van de DigiD-audit 2013 die in 2014 was uitgevoerd (NB. Dit was die audit waarvoor de gemeenteraad extra middelen had toegekend). Uit onze reconstructie blijkt, dat de zaken ingewikkelder werden in de zomer van 2015.


(Bron Amstelveenweb.com - 2016)



Toen bleek namelijk, dat beide DigiD-aansluitingen, oftewel de websites van Amstelveen en Aalsmeer, gezakt waren voor hun jaarlijkse assesment. De beide gemeenten zijn hierover in juli en september 2015 waarschuwend aangetekend aangeschreven door Logius: de gemeenten kregen de gelegenheid om binnen drie weken een verbeterrapportage in te dienen, waarbij een verbetertermijn zou gelden van vier maanden.

Betrokken functionarissen en management binnen het Facilitair Bedrijf hebben vervolgens onderzocht en bedacht hoe te handelen. Daarbij hebben zij allereerst in samenspraak met de toenmalige leverancier van de websites een oplossing gezocht. Uiteindelijk kwam deze leverancier (vanuit zijn perspectief niet geheel onbegrijpelijk) met het herhaalde voorstel tot upgrading, tegen de eerder genoemde kosten. Dit werd ambtelijk als zonde-van-het-geld beoordeeld. Daarop hebben betrokken functionarissen een tweesporenstrategie bedacht. Allereerst zouden zij direct na de gunning van het nieuwe zaaksysteem het deelproject "Nieuwe website" in de planning naar voren halen, zodat deze – naar verhoopt - op 1 juli 2016 DigiD-proof de lucht in kon. Ten tweede zouden zij met Logius het gesprek starten om uitstel tot afsluiting te krijgen, totdat de nieuwe website live zou gaan of een ander noodscenario zou zijn gevonden. Op beide sporen is ingezet. Resultaat van spoor 1 was/is dat de nieuwe website niet in juli, maar wel in september 2016 volledig functioneel is.

Het resultaat van spoor 2 was minder goed. Uit correspondentie blijkt, dat de gemeente wel op tijd een verbeterplan heeft ingediend. Echter, omdat na vier maanden nog geen feitelijke verbeteringen zijn geleverd, herhaalt Logius zijn waarschuwingen. Dat doet zij onder andere op 13 januari 2016 in een beoordeling, waarbij zij overigens niet zegt, of en per wanneer zij tot eventuele afsluiting overgaan.

Maar het is wel weer een signaal. Als laatste actie poogt de uitvoerend functionaris binnen het Facilitair Bedrijf op 18 februari 2016 nog om Logius bij brief te verleiden uitstel tot 1 juli te verlenen. Op 8 maart laat Logius weten dit niet (meer) te willen. Uiteindelijk ontvangen op 16 maart en 1 april Aalsmeer en Amstelveen hun respectievelijke aangetekende berichten, dat afsluiting na twee weken een feit is.

Constateringen en beoordelingen

Het niet upgraden van de website: De keuze die in het voorjaar van 2015 is gemaakt om niet te upgraden, was logisch, kostenbewust en naar zijn aard een bedrijfsvoeringsaangelegenheid die conform de Amstelveense verantwoordelijkheidsverdeling door het management van het Facilitair Bedrijf besloten mocht worden.

Op het moment, dat de DigiD-audit in de zomer van 2015 noopte tot wijziging, of herbevestiging van dat besluit, had die keuze echter op directie en bestuurlijk niveau getild moeten worden, daar er een strategie met afbreukrisico aan verbonden was. Dit is helaas niet gebeurd. Het optillen van deze besluitvorming naar directie en bestuurlijk niveau had, ook bij gelijkblijvende keuze, waarschijnlijk geleid tot hogere attentiewaarde t.a.v. de voortgang.

Het bewerkstelligen van uitstel van DigiD-afsluiting

Binnen het MT van het Facilitair Bedrijf is weinig aandacht besteed aan de sturing en begeleiding van de functionaris die dit moest bewerkstelligen. Deze functionaris, die als kwartiermaker/onderzoeker informatiebeveiliging nog aan het pionieren was, ontbeerde kennis en ervaring in de omgang met o.a. EDP-auditors en de instantie Logius. Doordat geen helderheid bestond over aansturing en verantwoording zijn uiteindelijk belangrijke leveringsdata niet goed onderkend.

Het signaleren en opschalen

In de opbouw van de functie "Informatiebeveiliging" is van belang, dat signalen over zaken die mis kunnen gaan, snel op niveau naar bestuur en directie worden geleid. Uit deze casus blijkt, dat dit nog onvoldoende georganiseerd en onderkend is. Helaas blijkt ook een andere "veiligheidsklep" niet te hebben gewerkt. Aangetekende waarschuwingsbrieven van Logius aan de colleges van Aalsmeer en Amstelveen, alsmede andere serieuze correspondentie gericht aan de gemeentebesturen over dit onderwerp, blijken nimmer in de postmap van de gemeentesecretaris en de bestuurders te zijn beland en zijn zelfs niet geregistreerd. We hebben in deze drie weken nog niet exact kunnen achterhalen, wat hiervan de exacte oorzaak is. We hebben wel de interne voorschriften aangescherpt.

Maatregelen Prioriteit herstel aansluiting en audit 1 mei

De directie en het MT van het Facilitair Bedrijf hebben prioriteit gegeven aan het herstel van de aansluitingen en de totstandbrenging van de audit vóór 1 mei. Daartoe heeft de organisatie de programmamanager digitaal werken ad hoc vrij gemaakt. Deze is vanuit zijn vorige rol als hoofd Informatiebeheer het meest ervaren op dit terrein. Aanvullend heeft de organisatie extra kennis en capaciteit ingehuurd van een bureau dat dit werk voor vele andere gemeenten doet.

Dagelijkse rapportage wethouder en directie

Over de voortgang van het herstel van de DigiD-aansluitingen en de audits worden directie en verantwoordelijk wethouder dagelijks via een logboek gerapporteerd. Na deze fase zal de wethouder tenminste tweewekelijks overleg voeren over de voortgang met directeur en verantwoordelijk manager (zie ook 3)

Aanstelling interim-informatiebeveiligingsfunctionaris

De kwartiermakersfase Informatiebeveiliging is versneld afgerond en leidt komende dagen tot de aanstelling van een gekwalificeerde interim-informatiebeveiligingsfunctionaris die tevens wordt belast met de afronding van het informatiebeveiligingsplan en een voorstel zal doen over de positionering van de nieuw aan te trekken beveiligingsfunctionaris. Deze acties maken overigens ook deel uit van de aanpak "Control in control". Een en ander is op 1 oktober (2016 red.) gereed. De functionaris uit de pioniersfase gaat komende tijd een ondersteunende rol spelen.

Hernieuwde afspraken over taken en verantwoordelijkheden

Het Facilitair Bedrijf heeft opnieuw interne afspraken gemaakt over taken/samenwerking binnen het Facilitair Bedrijf en dan met name tussen het programma Digitaal Werken en de afdeling Informatiebeheer. Op het vlak van informatiebeveiliging heeft zij vastgelegd, dat Hoofd Informatiebeheer managementverantwoordelijkheid draagt en de programmamanager Digitaal Werken (na de huidige ad hoc-fase) hierin optreedt als adviseur. Beiden zullen op hun beurt nauwer in contact staan met de verantwoordelijke wethouder. (zie 2).

Nieuwe instructies Informatievoorziening

Met betrekking tot het registreren van brieven zijn inmiddels binnen het team Informatievoorziening nieuwe instructies uitgevaardigd, waardoor geen eigen interpretatiemogelijkheid meer is voor het al dan niet registreren van brieven en stukken, via post, of digitaal.

-------------------------------------------------------------------------------------

DigiD?

Met uw DigiD kunt u inloggen op websites van de overheid en in de zorg. Uw DigiD bestaat uit een gebruikersnaam en een wachtwoord die u allebei zelf kiest. Uw DigiD is 3 jaar geldig, nadat u deze voor het laatst heeft gebruikt.

Stel, u wilt op de website van uw gemeente een uittreksel van de gemeentelijke basisadministratie aanvragen. U wordt dan van de site van de gemeente automatisch doorgeleid naar de inlogpagina van DigiD. Daar vult u uw DigiD gebruikersnaam en wachtwoord in. Vervolgens komt u automatisch terug op de site van de gemeente, waar u het uittreksel aan kunt vragen.

Beschikt u over een mobiele telefoon? Vraag dan meteen uw DigiD met een extra controlestap via sms aan. U kunt dan ook inloggen op websites, waarvoor deze extra controle verplicht is. Voor de sms'jes die u ontvangt, hoeft u niet te betalen. Uw mobiele nummer wordt alleen door DigiD gebruikt. Uw nummer wordt nooit doorgegeven aan andere organisaties.  Als u al een DigiD hebt, kunt u de extra controle via sms aanvragen via Mijn DigiD.