35 538 Tijdelijke bepalingen in verband met de inzet van een notificatieapplicatie bij de bestrijding van de epidemie van covid-19 en waarborgen ter voorkoming van misbruik daarvan (Tijdelijke wet notificatieapplicatie covid-19)

Nr. 27 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 11 april 2022

Aanleiding

Tijdens het debat op 2 september 2020 heeft de Minister van VWS uw Kamer toegezegd om mij te vragen de ontwikkeling van de CoronaMelder-applicatie (CoronaMelder) te evalueren en lessen te trekken om de omgang van de overheid met ICT te verbeteren.¹ Later dat jaar is uw Kamer geïnformeerd over het voornemen om het Adviescollege ICT-toetsing (AcICT) te vragen het ontwikkelproces van CoronaMelder te evalueren.² Het AcICT is in 2021 gestart met de evaluatie en rondde deze begin dit jaar af. Hierbij bied ik u de evaluatie aan, samen met mijn reactie³.

Ik wil het AcICT bedanken voor zijn advies op het ontwikkelproces van de CoronaMelder. Het is goed om te lezen dat het adviescollege het ontwikkelproces evalueert als overwegend positief. Het trekt drie belangrijke lessen:

• 1. stem ICT-besturing af op de context en het doel van de ontwikkeling;

• 2. zorg voor alle noodzakelijke expertise, en

• 3. pas de ontwikkelaanpak aan de situatie aan.

Het AcICT trekt deze lessen niet alleen uit de evaluatie van de CoronaMelder, maar ook uit de inzichten van de ruim zeventig eerder uitgevoerde adviezen.

In deze brief geef ik eerst de hoofdlijnen van de evaluatie weer. Daarna reageer ik op die hoofdlijnen door de adviezen te vertalen naar doorontwikkeling van de meerjarige I-strategie van de rijksdienst.

Evaluatie CoronaMelder

Het AcICT is door mijn voorganger gevraagd de factoren te beschrijven die van positieve of negatieve invloed zijn geweest op de technische realisatie van de CoronaMelder.

Het ontwikkelproces

Als eerste was er een marktconsultatie, waarvan een appathon een onderdeel was. Via een uitvraag werden partijen geconsulteerd die een oplossing konden bieden voor (digitale) bron- en contactopsporing. Na selectie bleven zeven partijen, die op 18 en 19 april 2020 aan de appathon deelnamen. De conclusie van de appathon was: «[Er is] uit de marktconsultatie en de daaropvolgende openbare beproeving geen werkende oplossing gekomen die voldeed aan alle eisen op het gebied van privacy, informatieveiligheid, nationale veiligheid, bruikbaarheid en toegankelijkheid.»⁴

Daar besloot VWS op 21 april 2020 om zelf een applicatie te gaan bouwen. Het ministerie kon ICT-experts voor de ontwikkeling van de CoronaMelder aantrekken. Via de uitzondering «dwingende spoed» kon dit zonder aanbestedingsprocedure. Een Agile-ontwikkelteam realiseerde de CoronaMelder in augustus 2020.

De evaluatie

Het AcICT constateert dat «het doel van het ontwikkelproces van de CoronaMelder niet eenduidig is vastgelegd.» Het identificeert, na eigen analyse, drie hoofddoelen: spoedige ingebruikname, het voldoen aan alle (niet-)functionele eisen, en zo veel mogelijk gebruikers. Relevante factoren hierbij zijn door het AcICT geclusterd in drie thema’s:

• 1. ICT-besturing maakte doorlooptijd kort en verhoogde kwaliteit

  De CIO van VWS was opdrachtgever. Zijn sterke positie zorgde voor snelle besluiten en verbinding met parallelle processen, zoals wetgeving. In het ontwikkelproces was een duidelijke focus en waren er goed georganiseerde dwarsdenkers. Het zelfsturende ontwikkelteam loste problemen al in de uitvoering op, waardoor die het programmamanagement niet bereikten.

• 2. Wijze van inhuur ICT-experts was begrijpelijk

  De uitzondering van «dwingende spoed» bood maximale flexibiliteit en snelheid voor het inhuren van de benodigde ICT-expertise bij aanbesteding. Voor latere contracten had VWS een beroep kunnen doen op meer gangbare procedures zoals inhuur via raamovereenkomsten.

• 3. Ontwikkelaanpak past bij context en doel

  De marktconsultatie, inclusief de appathon, vond onder grote tijdsdruk plaats en had zorgvuldiger gekund. Toch was de keuze voor zelfbouw begrijpelijk en droeg het continu testen met gebruikers bij aan de adoptiegraad van de app.

Lessen uit het ontwikkelproces CoronaMelder

Het ontwikkelproces van de CoronaMelder was uniek. Het AcICT stelt dat het geen blauwdruk vormt voor andere ICT-projecten, good practices zijn er wel. Het trekt drie belangrijke lessen:

• 1. Stem ICT-besturing af op de context en doel van de ontwikkeling

  Met een sterkere invulling van de ICT-besturing sluiten beleidsontwikkelingen en ICT beter op elkaar aan. Een sterke opdrachtgever past daarbij. De gekozen ontwikkelmethodiek (bijvoorbeeld Agile) moet passen bij de beleidsdoelen en eisen (uit de wet). Hier valt voor het Rijk veel te verbeteren.

• 2. Zorg voor alle noodzakelijke expertise

  De markt kennen is noodzaak om de juiste ICT-expertise in huis te halen. Bouw aan het imago van de rijksoverheid als organisatie met complexe, uitdagende IT-vraagstukken waar leren én goede carrière mogelijk zijn. Benut voorts de ruimte in de aanbestedingspraktijk. Bereid een inkooptraject goed voor en neem – naast de functionele specificaties – vanaf het begin ook het lifecyclemanagement van de software mee.

• 3. Pas de ontwikkelaanpak aan de situatie aan

  Denk van tevoren na over de ICT-ontwikkelmethode en hoe die past bij de beoogde beleidsdoelen. Denk daarbij vooraf aan de (niet-)functionele eisen. Een appathon kan nuttig zijn, maar vergt verwachtingenmanagement naar de deelnemers. Maak duidelijk beleid over «open» softwareontwikkeling. De overheid kan dan onderbouwd de mogelijkheid aan een brede groep aanbieden om bij te dragen aan ICT-ontwikkeling (open source, open ontwikkeling, open standaarden etc.). Vooraf het lifecyclemanagement van een applicatie meenemen, verdient daarbij de aandacht.

Reactie en doorontwikkeling meerjarige I-strategie

Het advies van het AcICT laat zich naar mijn idee als volgt samenvatten: digitaal leiderschap, digitaal vakmanschap en softwareontwikkeling die past bij beleid. Hieronder reageer ik op de evaluatie van het AcICT en hoe dit in mijn ogen bij kan dragen aan de doorontwikkeling van de meerjarige I-strategie. Ik doe dat themagewijs.

1. Sturing bij ICT-ontwikkeling

Het betreft hier vooral I-besturing (thema #9) van de meerjarige I-strategie.

Het advies van het AcICT om het opdrachtgeverschap bij een ICT-project zo in te vullen dat de (software)ontwikkeling aansluit bij beleid en wetgeving valt voor een groot gedeelte onder het digitaal leiderschap zoals ik dat heb bedoeld in het Besluit CIO-stelsel Rijksdienst. De meerjarige I-strategie vraagt van de CIO’s «een meer directe rol in het aansturen van de digitale transformatie binnen hun departement of organisatie.»

Het is niet wenselijk voor een CIO om zelf direct betrokken te zijn bij elk ICT-project, zoals de CIO van VWS dit was bij de ontwikkeling van de CoronaMelder. Buiten crisistijd is immers het risico dat het succes op een deel ten koste gaat van het overzicht op het geheel. De sterke positie van de opdrachtgever met directe verbinding tussen het ICT-project en beleid vormt echter wél de kern van het succes, zo lees ik in de evaluatie. Het verkort de doorlooptijd en verhoogt de kwaliteit.

Op dit moment merk ik dat die evaluatie bij mij leidt tot de vraag hoe ik de ICT-besturing bij (grote) ICT-projecten nog beter kan inrichten. Ministeries en organisaties verschillen van elkaar, dus ik verwacht dat één oplossing voor alle organisaties niet voor de hand ligt. In de verdere uitwerking van dit I-strategiethema verwacht ik meerdere oplossingsrichtingen hiervoor te kunnen delen.

2a. Zorg voor noodzakelijke expertise

Deze aanbeveling gaat over I-vakmanschap (thema #7) van de meerjarige I-strategie. Op dit moment werken we binnen het CIO-stelsel samen aan een actieplan met oplossingen om de markt nog beter te leren kennen en goede ICT-expertise in huis te halen. Met een aantal initiatieven om ICT-personeel aan te trekken, te ontwikkelen en te behouden zijn we al gestart.

Zo bouwen we al benodigde ICT-expertise en stimuleren we om door te leren tijdens de carrière. Het is bijvoorbeeld sinds kort mogelijk ICT-expertise over Enterprise Architectuur verder te ontwikkelen. De komende periode gaan we dit met meer ICT-expertises doen. Daarnaast werk ik aan de aantrekkingskracht van de rijksoverheid als uitdagende ICT-werkgever door gerichte wervingscampagnes en arbeidsmarktcommunicatie voor de ICT-doelgroep.

2b. Benut de mogelijkheden van aanbesteding en inkoop

Met daarnaast de juiste kennis van inkoop en aanbesteding is het beter in te schatten welke expertise er nodig is voor de beste teamsamenstelling om een ICT-project uit te voeren. Het betreft hier de doorontwikkeling van Markt en innovatie (thema #10) en Generieke voorzieningen (thema #4) van de meerjarige I-strategie.

De afgelopen jaren heeft de rijksoverheid haar positie ten opzichte van de markt verstevigd. Ten eerste is de kennis van de markt in het rijksinkoopstelsel geclusterd in vijf categorieën: ICT-professionals, ICT Werkomgeving Rijk, Datacenters, Connectiviteit en Software. Dit zorgt voor een goed werkende en samenhangende generieke ICT-inkoop en -aanbesteding bij het Rijk. Daarnaast hebben vijf grote ICT-leveranciers elk een eigen leveranciersmanager. Die manager houdt toezicht houdt op het nakomen van afspraken met de hele rijksoverheid. Ten slotte verbeterde het contractmanagement door inkoopcategorieën samen te voegen. Voor specifieke ICT-projecten zijn ministeries zelf verantwoordelijk en kopen producten en dienstverlening zelf in.

Eind 2020 stuurde mijn voorganger uw Kamer in dit verband de update van «het Afwegingskader ICT-opdrachten».⁵ Het kader helpt opdrachtgever en inkopers binnen het Rijk bij aanbestedingen van grote ICT-projecten; bijvoorbeeld bij de keuze hoe de dialoog met het bedrijfsleven kan worden gevoerd en de manier van aanbesteden. Nu een inkooptraject van een groot ICT-project meestal maatwerk is, is de professionaliteit van de opdrachtgever en het multidisciplinair (inkoop)team bepalend voor de procedurekeuze. Het ministerie is in eerste instantie zelf verantwoordelijk voor de start, uitvoer en het eventueel stopzetten van een ICT-project.

3. Pas de ontwikkelaanpak aan de situatie aan

De in het CIO-stelsel gezamenlijk vastgestelde kaders zijn handvatten die de transparantie en inzicht in het CIO-stelsel vergroten (Thema #8, meerjarige I-strategie). Rijksorganisaties hebben een eigen verantwoordelijkheid in de naleving ervan.

Het zijn de projectleiders bij een ICT-activiteit die een keuze maken voor de ontwikkelmethode die het beste past. De Handreiking Verantwoord vernieuwen is zo’n gezamenlijk vastgesteld kader en licht aan projectleiders toe welke ontwikkelmethode in welk geval het beste past. De ontwikkelmethodiek zien als doel in plaats van een middel – het risico dat het AcICT in de evaluatie noemt – gaan we in het CIO-stelsel hiermee tegen.

Tot slot is het goed om te realiseren dat kaders geen heilige graal zijn. Ze zijn behulpzaam en stimuleren de samenwerking en het lerend vermogen binnen het Rijk. Het vraagt echter ook goed opdrachtgeverschap met (ICT-)kennis van zaken, zoals hiervoor reeds uiteengezet.

Aanvullend advies

De evaluatie biedt verschillende adviezen voor vervolgonderzoek. Met deze evaluatie geeft het AcICT mij een helder beeld waar de verbeterkansen liggen. Niet alleen voor de doorontwikkeling van de meerjarige I-strategie, maar ook voor de organisatie van ICT-projecten bij de rijksdienst. De adviezen van het AcICT voor vervolgonderzoek richten zich dan ook telkens op de vraag hoe een bepaalde verbetering zou moeten. De evaluatie geeft mij aanleiding om aan het AcICT de hulp te vragen hoe die verbetering het best kan worden aangepakt. Ik ga hen voorstellen te reflecteren op een door mij voorgestelde aanpak.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, A.C. van Huffelen

---

1 Debat op 2 september 2020 over de Tijdelijke bepalingen in verband met de inzet van een notificatieapplicatie bij de bestrijding van de epidemie van covid-19 en waarborgen ter voorkoming van misbruik daarvan (Tijdelijke wet notificatieapplicatie covid-19 (Kamerstuk 35 538) (Handelingen II 2019/20, nr. 96, items 3 en 6).

2 Kamerstuk, 26 643, nr. 716, p. 3.

3 Raadpleegbaar via www.tweedekamer.nl.

4 Kamerstuk 25 295, nr. 460, p. 2.

5 Kamerstuk 26 643, nr. 728.