De recente DDoS-aanval op diverse gemeenten en provincies maakte het opnieuw duidelijk. Burgemeester Rian van Dam van Hollands Kroon: ‘Je hoeft je niet af te vragen óf je een keer de klos bent om gehackt worden, de vraag is wanneer. Is je digitale hang-en-sluitwerk op orde?’   

Van Dam licht samen met burgemeester Ester Weststeijn van Rozendaal het voorstel Als één sterke bestuurslaag regie op de Digitale Samenleving toe, een product van de VNG-commissie Informatiesamenleving. In het voorstel wordt gemeenten gevraagd of zij bereid zijn een ‘stevige stap naar voren’ te zetten in de collectieve aanpak van digitalisering. 

Volgens Van Dam wordt de druk om samen te werken op meerdere fronten gevoeld. ‘We hebben te maken met een instabiele geopolitieke omgeving’, zegt ze. ‘De druk op de kwetsbaarheden van het digitale systeem neemt toe. Ook moeten gemeenten een stevig wetgevingspakket uit Europa implementeren. Dit is bedoeld voor betere, verantwoorde en veilige dienstverlening, maar vraagt ook extra werk.’ Van Dam wijst ook op de krapte op de arbeidsmarkt. ‘Dit alles bij elkaar maakt dat we een forse versnelling moeten aanbrengen in de gemeentelijke samenwerking.’ 

Hoe kleiner de gemeente, hoe lastiger het wordt, concludeert Weststeijn. ‘Op het moment dat je dan met de gemeenteraad in gesprek gaat over de begroting, is het ontzettend belangrijk om het belang van digitalisering inzichtelijk te maken. Gevoelsmatig zal iedere gemeenteraad meer een klik hebben bij het openhouden van het zwembad of het dorpshuis dan opnieuw geld te besteden aan digitalisering. Het onderwerp staat nu meer dan ooit op de agenda, we voelen dat we echt aan de bak moeten.’

De commissie ziet dat er naast noodzaak ook grote kansen liggen in zo’n collectieve aanpak. Van Dam: ‘Alle grote transities, zoals de Green Deal vanuit Europa, zijn niet te realiseren zonder optimaal gebruik te maken van digitalisering.’

Forse ambitie

Het afgelopen halfjaar sprak de commissie gemeenten, experts en belanghebbenden in het veld. Dat werd vertaald in een voorstel om als gemeenten digitalisering collectief op te pakken. Weststeijn: ‘Dit betekent samen plannen maken, samen beslissen, initiatieven verbinden en elkaar aan afspraken houden.’ De commissieleden willen de vrijblijvendheid voorbij, uit de plannen spreekt een forse ambitie, zegt de Rozendaalse burgemeester. ‘Experts in het veld zien dat een ruime meerderheid van de gemeentelijke digitalisering zich leent voor deze collectivisering.’

De druk op de kwetsbaarheden van het digitale systeem neemt toe

Overheden staan samen op het speelveld, maar dat veld is zo versnipperd dat de koppeling van systemen niet uit de verf komt. Van Dam: ‘Voor “niet-onderscheidende toepassingen” willen we dat niet meer.’ Iedere gemeente geeft paspoorten uit en stelt uitkeringen vast. Van Dam laat er de 80/20-regel op los. ‘Voor 80 procent kunnen we de zaken samen regelen en combineren, 20 procent is gemeentespecifiek. Zo moeten de leden naar het voorstel kijken. Grote stappen en snel thuis voor die zaken die alle gemeenten doen. Zaken waarvan de inwoner zegt: regel het gewoon: veilig, verantwoord en goed. Zaken waarvan zij niet verwachten dat gemeenten zich van elkaar onderscheiden.’

Samenwerking
Die collectivisering kan stapsgewijs plaatsvinden, waarbij rekening wordt gehouden met de specifieke situatie van een gemeente. Hollands Kroon bijvoorbeeld heeft net geïnvesteerd in een nieuw zaak­systeem en stapte over naar een andere leverancier. Van Dam: ‘Dat gaan we dus niet meteen volgend jaar weer overdoen. Wij stappen later in, op het moment dat bij ons vernieuwing nodig is. Dat geldt voor diverse gemeenten en dat willen we goed inregelen. De trein gaat rijden. Gemeenten kunnen van het begin af aan instappen of later, op een volgend station.’

Er gebeurt bottom-up al veel, zegt Weststeijn. Dat wordt vaak ambtelijk gedreven door vakspecialisten en techneuten. Ze verwijst ook naar de regionale shared service centers rond ICT en de diensten en producten van VNG Realisatie en de Informatiebeveiligingsdienst (IBD). ‘Het is tijd om al die goede initiatieven samen te brengen, te versterken en echt te collectiviseren. We vragen nu om dat bestuurlijke commitment, om top-down uit te spreken dat we ervoor gaan.’

Hierin zien de beide burgemeesters veel steun en momentum bij medeoverheden, waaronder het rijk, die vanuit dezelfde energie de krachten willen bundelen in de Nederlandse Digitaliseringsstrategie. Daarin worden prioriteiten gesteld op dossiers die alleen gezamenlijk opgepakt kunnen worden, zoals cloudstrategie en data-uitwisseling. Met het voorstel wil de VNG-commissie invulling geven aan die ambitie voor het gemeentelijk veld en zorgt dat zij ‘als krachtig partner aan tafel zit bij de overheidsbrede plannenmakerij’, aldus Weststeijn.

Voor de uitvoering van al deze ambities is samenwerking met de markt cruciaal. Leveranciers signaleren hierbij de grote meerwaarde van eenduidig opdrachtgeverschap door gemeenten, voor ontwikkeling en implementatie, maar ook de werkelijke toepassing van standaarden. 

Baseline
Weststeijn pleit voor een baseline op digitaliseringsniveau, waardoor alle gemeenten op z’n minst de basale elementen van hun digitale veiligheid op orde hebben en goede en verantwoorde diensten aan hun inwoners kunnen bieden. De G4- en veelal ook de G40-gemeenten hebben de ruimte om specialisten in te huren. Tegelijkertijd is het voor hen ook een complex vakgebied geworden. Kleinere gemeenten worstelen verhoudingsgewijs vaker.

Voor 80 procent kunnen we de zaken samen regelen en combineren

Weststeijn: ‘Rozendaal heeft bijvoorbeeld geen eigen Chief Information Security Officer (CISO), die huren we in. We hebben al helemaal geen Chief Information Officer, die functie bestaat niet bij ons. Laten we de stap zetten om al die niet-onderscheidende producten en processen te collectiviseren en standaardiseren. Dat is een noodzakelijke randvoorwaarde om ons werk te kunnen blijven doen in een veranderende context. Je hoeft niet ziek te zijn om beter te worden.’

De vraag of Weststeijn de continuïteit en kwaliteit van de dienstverlening momenteel kan garanderen, noemt ze complex. ‘Net als alle gemeenten heeft Rozen­daal een keurig business continuity plan, maar zie het maar eens te doen als allerlei systemen dagenlang uitvallen.’ Als ze de CISO vraagt waar hij vooral op wil inzetten, noemt hij twee zaken: leveranciersmanagement en blijven inzetten op bewustwording. ‘Ik vermoed dat dit voor veel gemeenten geldt.’ 

Medewerkers kiezen volgens Weststeijn uiteindelijk in werkprocessen vaak voor pragmatische oplossingen, laten een wachtwoord slingeren of trappen toch een keer in steeds slimmer opgezette vallen om de digitale deur te openen. ‘We moeten continu blijven werken aan bewustwording en vaardigheden’, zegt ze. ‘De digitale deur heeft altijd draadjes naar anderen’, zegt ze, verwijzend naar leveranciersmanagement. ‘Gemeenten doen sowieso veel taken in samenwerking met anderen. We hebben een lappendeken van verbonden partijen die met of voor ons werken; en waar dus óók gegevens digitaal gedeeld worden en systemen soms gekoppeld zijn. Wij moeten de verantwoordelijkheid nemen voor de informatieveiligheid van partijen die zaken voor ons uitvoeren. Dat is een belangrijk ontwikkelpunt.’ 

Samen op vakantie
De VNG-commissie wil met het voorstel de bereidheid bij de leden ophalen om fors te collectiviseren. Van Dam en Weststeijn benadrukken dat dit voorstel zélf nog niet ingaat op concrete dossiers waarop gemeenten kunnen collectiviseren. Gemeenten kiezen er nu voor om ‘samen op vakantie te gaan, maar bepalen hierna de dagactiviteiten’. De organisatie en interbestuurlijke financiering zullen per dossier flink verschillen. 

Voor leveranciersmanagement valt te denken aan een team van vijf heel slimme mensen die overheidsbreed of op Europees niveau de onderhandeling met de bedrijven uit de Big Tech voeren. Dat is een heel ander soort organisatie dan nodig is voor ondersteuning van de gemeenten op digitale veiligheid, zoals met een versterking van de IBD. De financiering hiervan is ook radicaal anders. 

Wel stelt de VNG een aantal randvoorwaarden voor de organisatie en de besluitvorming. De rol van de VNG hierbij is ook telkens onderdeel van het gesprek, voor nu uitsluitend ondersteunend aan de gemeenten in hun plannenmakerij en de beslissingen die zij erover nemen. Een voorbeeld is Common Ground, waarvoor een nieuw voorstel in ontwikkeling is. In alles nemen de gemeenten het voortouw: ‘Collectivisering betekent niet dat iemand anders het bedenkt en voor ons doet. Gemeenten zelf zijn onderdeel van het proces en zetten zelf de nodige stappen binnen de eigen organisatie’, zeggen de beide commissieleden.