Bijlage
1. Evaluatie van het beleid ten aanzien van de grote ICT-projecten
Eind 2007 heeft de toenmalige minister van BZK de Kamer voor het eerst
geïnformeerd over de grote ICT-projecten van het Rijk. Sindsdien heeft het vorige
kabinet, mede naar aanleiding van rapporten van de Rekenkamer, een aantal
maatregelen genomen om de beheersing van grote ICT-projecten en de kwaliteit van
het informatiemanagement te verbeteren en uw Kamer eenduidig te informeren over
deze projecten. Daarbij zijn ook de conclusies en aanbevelingen van de voormalige
werkgroep ICT van uw Kamer betrokken. De maatregelen zijn gericht op vier
terreinen: structuur, beheersing, kwaliteit van het personeel en verantwoording.
Concreet bestaan deze maatregelen uit de inrichting van een stelsel van Chief
Information Officers (CIO’s) bij de ministeries en de aanstelling van een CIO op
rijksniveau. Daarnaast zijn rijksbreed afspraken gemaakt over beheersmaatregelen ten
aanzien van grote ICT-projecten; voorts zijn opleidingtrajecten gestart en is een model
vastgesteld op basis waarvan de Kamer jaarlijks over alle grote ICT-projecten wordt
geïnformeerd. Bij brief d.d. 12 december 2008 (26643, nr. 135) is de Kamer over deze
maatregelen geïnformeerd.
De evaluatie van de kabinetsmaatregelen is uitgevoerd door Capgemini Consulting en
heeft betrekking op voornoemde vier terreinen. De evaluatie is gebaseerd op
interviews met de CIO’s van de ministeries, hun ambtelijke omgeving en de
Rijkauditdienst. Daarvoor is gekozen omdat het nog te vroeg is voor een evaluatie op
basis van objectieve en kwantitatieve indicatoren ten aanzien van de verbetering van
de beheersing van de grote ICT-projecten. In het evaluatierapport wordt een algemeen
beeld geschetst, zonder specifieke informatie per ministerie.
De conclusies va n de evaluatie luiden samengevat als volgt:
De CIO’s geven aan dat de inrichting van het CIO-stelsel effectief bijdraagt aan
een betere beheersing van de grote ICT-projecten. Aangegeven wordt dat er meer
tijd nodig is om te kunnen groeien in de rol van CIO . De taken,
verantwoordelijkheden en bevoegdheden van de CIO’s worden als toereikend
ervaren. De Rijksauditdienst en de geïnterviewde opdrachtgevers van grote ICTprojecten geven aan dat de CIO -rol en de taken, verantwoordelijkheden en
bevoegdheden van de CIO’s nog onvoldoende geïmplementeerd zijn.
De beheersmaatregelen die het vorige kabinet heeft vastgesteld worden positief
beoordeeld; dat geldt met name voor de inzet van Gateway-reviews. Een
uitzondering wordt gemaakt voor de afspraken over architectuur en de inzet van
architectuurinstrumenten. Het belang van architectuur wordt onderschreven; de
implementatie en toepassing worden als moeizaam ervaren.
De inzet van opleidingen in het kader van de kwaliteitsverbetering van het
personeel wordt als zinvol ervaren.
Over de jaarlijkse rapportage aan de Kamer wordt verschillend gedacht.
Opgemerkt wordt dat de rapportage bijdraagt aan transparantie, ook binnen de
ministeries, maar anderzijds wordt gewezen op het feit dat in een aantal gevallen
nu dubbel gerapporteerd wordt.
De onderzoekers concluderen dat de invulling van de taken, verantwoordelijkheden en
bevoegdheden van de CIO nog niet bij alle ministeries staande praktijk is. Het bureau
stelt dat, gelet op het feit dat de kabinetsmaatregelen al bijna twee jaar geleden
genomen zijn, aanvullende acties gewenst zijn die de positie van de CIO alsook de
beheersmaatregelen moeten versterken. Aanbevolen wordt een gezagspositie voor de
CIO te creëren, bijvoorbeeld door de CIO beslissingsbevoegdheid te geven over ICTbudgetten, ook vanuit het primair proces. De CIO zou daarnaast een zelfstandige
functie met toegang tot de bestuursraad moeten zijn en niet een rol die is belegd bij
een bestaande functionaris.
Voorts wordt aanbevolen een rijksbrede projectenportfolio in te richten, om daarmee
ICT-projecten efficiënter en in onderlinge samenhang te beheersen. Daarbij past
volgens de onderzoekers ook een financieel kader in de vorm van een ICT-begroting.

De externe a dviescommissie stelt dat het bestaande stelsel van maatregelen
onvoldoende krachtig is om tot daadwerkelijke beheersing van grote projecten te
komen en wijst op de cruciale rol van ICT bij het realiseren van de in het
Regeerakkoord neergelegde ambities. De beheersing van de ingezette en nog te
starten projecten is d erhalve van groot belang. In dat kader wijst de commissie er op
dat het vanzelfsprekend zou moeten zijn dat een SG, DG of directeur zich
verantwoordelijk voelt voor de projecten die binnen zijn verantwoordelijkheidsgebied
worden uitgevoerd, ook wanneer ICT daar een belangrijk onderdeel van vormt. De
commissie onderschrijft de aanbeveling een (departementaal en Rijksbreed) projectenportfolio in te richten, gericht op het beter, efficiënter en in onderlinge samenhang
beheersen van alle ICT-projecten en de veranderingsprocessen waarvan die deel van
uitmaken.
De adviescommissie benadrukt dat goed opdrachtgeverschap essentieel is voor het
optimaal kunnen beheersen en uitvoeren van projecten met een grote ICT-component.
Opdrachtgevers moeten in staat zijn hun rol goed in te vullen en de positieve en
negatieve eigenschappen van ICT op de juiste waarde kunnen schatten. Ontbreken
hiertoe de vaardigheden, dan is het riskant de commerciële ICT-markt te betreden. De
commissie adviseert het onderwerp ICT op te nemen in bijvoorbeeld
kandidatenprogramma’s voor hogere ambtenaren.
Ten aanzien van de positie van de CIO stelt de commissie voor bij enkele
departementen te starten met een ideaaltypisch opgetuigde positie van de CIO. Andere
departementen kunnen hier dan weer van leren. Voorts zou de CIO in eenzelfde rol
moeten fungeren als een directeur FEZ, die kan terugvallen op de Comptabiliteitswet
en kan escaleren naar de minister.

2. Cloud computing
Cloud computing staat vanuit het perspectief van de afnemer voor het afnemen van
gecentraliseerde ICT-toepassingen over het internet. Daarmee is duidelijk dat Cloud
computing niet iets geheel nieuws is. Het is een verdere ontwikkeling in het denken
over de wijze waarop ICT-dienstverlening wordt aangeboden. Het meest bekende
voorbeeld van Cloud Computing kennen we door zoekmachines die later ook
mogelijkheden bieden om online te kunnen tekstverwerken en te e -mailen.
Het meest duidelijke voordeel van cloud computing betreft het feit dat door de
toepassing daarvan geen ICT-infrastructuur meer hoeft te worden opgebouwd en te
worden onderhouden. In theorie is er daarmee geen eigen ICT-infrastructuur meer
nodig; alle diensten kunnen immers via internet worden georganiseerd en afgenomen.
Cloud computing is ook goedkoper: in tegenstelling tot de klassieke ICT is het gebruik
van ICT-middelen losgekoppeld van het bezit van ICT-middelen. ICT wordt als dienst
over het internet beschikbaar gesteld aan de afnemer waarbij de leverancier alle ICTmiddelen, behalve de data, bezit en onderhoudt. De afnemer betaalt alleen voor het
gebruik van de clouddiensten en hoeft vooraf geen grote investeringen te doen. Cloud
computing is bovendien flexibel: ICT-infrastructuur of diensten kunnen beter worden
afgestemd aan de behoeften of eisen. Dit betekent dat in tijden van piekbelasting het
aanbod gemakkelijk kan worden opgeschaald. Verder betekent dat het op de afnemer
gerichte model er toe leidt dat complexe inkooptrajecten minder aan de orde zijn en
projecten sneller kunnen worden opgestart. Cloud computing kan h oge niveaus van
dienstverlening leveren en de dienstverlener van de cloud kan schaalvoordelen
realiseren waardoor beschikbaarheid groter is en beveiligingsniveaus hoger zijn. Cloud
computing is beter voor het milieu; het gebruik van gedeelde voorzieningen voorkomt
dubbelingen, en reduceert energiegebruik. Ten slotte stimuleert cloud computing
innovatie: up-to-date clouddiensten bieden state of the art ICT-faciliteiten voor alle
gebruikers.
Het huidige ontwikkelingsniveau van cloud computing impliceert ook nadelen. Zo kan
er sprake zijn van incompatibiliteit; de kans is aanwezig dat de architectuur en de
gekozen technologie van de clouddienst niet overeenkomen met de architectuur,
technische eisen en voorwaarden van de afnemer. Het delen van ICT-middelen
verkleint de mogelijkheid van de afnemer om specifieke functionaliteiten en/of
wijzigingen in de ICT-omgeving door te voeren. Daarmee zijn strikte scheidingen van
toegang en autorisaties tussen verschillende afnemers vereist. Inadequaat identiteitsen toegangsbeheer kan het risico op oneigenlijk gebruik en misbruik van middelen en
data verhogen. Het afnemen van clouddiensten is in principe gebonden aan de
beschikbaarheid van het (publieke) internet. Storingen en/of prestatieproblemen op
delen van het internet kunnen daarmee leiden tot verminderde beschikbaarheid van
clouddiensten. Gesloten, leverancierspecifieke standaarden en dataformaten verkleinen
de keuzevrijheid van de afnemer in geval van contractbeëindiging en/of migratie naar
een andere leverancier. De cloud computing markt wordt gedomineerd door grote
leveranciers. De afnemer is in hoge mate afhankelijk van het niveau van
databeveiliging bij de leverancier. Gebrekkige databeveiliging verhoogt derhalve het
risico op misbruik, diefstal en verlies van potentieel waardevolle data. Hiermee
ontstaat tevens een gevaar van schending van nationale en internationale wetgeving
inzake privacy. Bovendien kunnen onvolkomenheden in datasegregatie (scheiding van
data tussen verschillende afnemers) leiden tot datavervuiling met een negatieve
impact op integriteit en vertrouwelijkheid van gegevens. Onvoldoende transparantie
van de leverancier over zijn beveiligingsmaatregelen, monitoring en logging
verminderen de controle van de afnemer over zijn eigen data. Ten slotte is er ook
sprake van juridische complexiteit: voor de afnemer onbekende onderaannemers in
het ecosysteem van de cloud kunnen het risico op onduidelijke en/of ontbrekende
verantwoordelijkheden en aansprakelijkheden aanzienlijk verhogen. In veel gevallen
maken leveranciers van clouddiensten namelijk zelf ook gebruik van andere
clouddiensten van derde partijen waardoor de exacte locatie van data lastig is vast te
stellen.

Behalve met de hierboven geschetste algemene voor- en nadelen heeft de
rijksoverheid ook te maken met kenmerken die uniek zijn voor de publieke sector. Zo
is het Rijk verplicht tot het leveren van diensten aan alle segmenten van de
maatschappij. Dit in tegenstelling tot de markt die de keus heeft om bijvoorbeeld te
kiezen voor het meest lucratieve segment. In de praktijk leidt dit ertoe dat het Rijk
gebruik maakt van meerdere distributiekanalen in plaats van uitsluitend het internet.
Ook de schaal van de ICT van het Rijk kan, zowel in termen van afnemers als in
hoeveelheid transacties en processen, worden beschouwd als een specifiek kenmerk.
Het zelfde geldt voor de noodzaak risico’s te beheersen die samenhangen met fouten,
verlies van data, beschadiging van data, vertrouwelijkheid van gegevens en gevaar
van misbruik.
De rijksoverheid heeft in het verleden veel specifieke toepassingen laten ontwikkelen
die gebruik maken van technieken die niet tot slecht aansluiten op actuele
technologische ontwikkelingen. Deze ‘legacy systemen’ komen in de publieke sector
vaker voor dan in de private sector en ku nnen de toepassing van cloudtechnologie op
korte termijn beperken.
Aan de informatiebeveiliging van het Rijk worden hoge en vaak unieke eisen gesteld op
het gebied van technologie en dus ook voor cloud computing. Dit betreft met name
opslag van informatie in de cloud zoals justitiële informatie, nationale
beveiligingsinformatie en belastinggegevens.
Een internationale verkenning leert dat er verschillende doelstellingen zijn die
overheden er toe brengen om te kiezen voor de toepassing van cloud computing. Zo
richten Ierland en Canada zich bijvoorbeeld op het creëren van randvoorwaarden voor
het leveren van cloud computing door het bedrijfsleven. De VS en Denemarken
daarentegen richten zich met name op het leveren van nieuwe overheidsdiensten via
de cloud zoals bijvoorbeeld in het domein van de gezondheidszorg of andere
burgergerichte overheidsdiensten.
Een derde interessegebied is de rationalisatie van de interne infrastructuur en het
aanmoedigen, mandateren of afdwingen van gezamenlijk gebruik van gedeelde
infrastructuren door de publieke sector. Voorbeelden van landen die zich hier op
focussen zijn met name Japan, het Verenigd Koninkrijk en de Verenigde Staten.