26 643 Informatie- en communicatietechnologie (ICT)

Nr. 656 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 20 december 2019

Aanleiding

Sinds de aanbevelingen van de Commissie Elias in 2014 (Kamerstuk 33 326, nr. 5) is veel werk verzet om de sturing op de informatievoorziening (IV) binnen de Rijksdienst te verbeteren. Zo is het CIO-stelsel versterkt, is de positie van de CIO geborgd en is het tijdelijke Bureau ICT-toetsing (BIT) opgericht. Hiermee is de afgelopen jaren een grote bijdrage geleverd aan de beheersbaarheid van grote ICT-projecten. In diezelfde periode zijn het tempo en de complexiteit van digitale ontwikkelingen binnen de samenleving en de overheid echter ook alleen maar verder toegenomen, wat ons dwingt om scherp te blijven kijken naar de effectiviteit en toekomstbestendigheid van de huidige governancestructuur.

De Minister van BZK heeft in oktober vorig jaar aangekondigd dat het kabinet, in het licht van de digitale ontwikkelingen, de sturing op alle aspecten van IV (waaronder informatiebeveiliging, ICT-beheersing en IT-beheer) binnen de Rijksdienst verder wil versterken.¹ Ten behoeve hiervan zijn de coördinerende bevoegdheden voor de Minister van BZK vergroot en is een nieuw pakket aan maatregelen aangekondigd, waar nu binnen de Strategische I-agenda 2019–2021 door CIO Rijk en het CIO-beraad uitvoering aan wordt gegeven.

Uw Kamer heeft met de motie Middendorp² de Minister van BZK destijds, in reactie op deze sturingsmaatregelen, verzocht om ook de meerwaarde van een eventuele Rijksinspectie Digitalisering te verkennen.³ Deze verkenning is recent door ABDTOPConsult opgeleverd, waarbij in de volle breedte is onderzocht hoe de IV-governance binnen het Rijk verder versterkt kan worden. Dit heeft geresulteerd in het bijgesloten rapport «IV en overheid: de pubertijd voorbij?».

Het functioneren van het BIT, als onderdeel van de bestaande governance-structuur, is sinds november 2018 eveneens met een tweetal onafhankelijke onderzoeken geëvalueerd. De uitkomsten van het eerste onderzoek, de in opdracht van de Toezichtsraad BIT uitgevoerde periodieke evaluatie, heb ik reeds op 29 maart jl. aan uw Kamer aangeboden maar is hier voor de volledigheid nogmaals bijgesloten.⁴

De recent afgeronde beleidsdoorlichting BIT, die door onderzoeksbureau TwynstraGudde is uitgevoerd, is eveneens bijgesloten. In deze brief reageer ik op aanbevelingen van deze drie samenhangende onderzoeken. Mijn voorgenomen besluit over de toekomst van het BIT maakt onderdeel uit van deze reactie.

Opvolging aanbevelingen IV-governance

ABDTOPConsult heeft met inachtneming van de uitgangspunten van de motie Middendorp⁵ onderzocht hoe de besluitvorming over sturing op en beheersing van ICT en digitalisering kan worden verbeterd en hoe een cultuur van kennisdeling en lerend vermogen kan worden gestimuleerd.

Er is in dit verband de afgelopen jaren al het nodige bereikt. De positieve effecten van eerdere maatregelen, zoals de introductie en inrichting van het CIO-stelsel, zijn goed zichtbaar in de kwaliteit van de digitale publieke dienstverlening. ABDTOPConsult merkt in dit verband op dat we op dit terrein internationaal zelfs tot de koplopers behoren.⁶

Tegelijkertijd is diezelfde digitalisering inmiddels van cruciaal belang voor alle overheidstaken, zijn berichten over te dure of mislukte ICT-projecten nog te frequent en plaatst de toenemende complexiteit van het ICT-landschap ons voor nieuwe uitdagingen. Een volgende stap op het groeipad naar volwassenheid is dus nodig. ABDTOPConsult concludeert dat een versterking van de IV-governance langs drie lijnen hier een wezenlijke bijdrage aan kan leveren. Ondanks dat er al veel is bereikt met de CIO-functie in beleid en uitvoering is het nodig om die functie op departementaal niveau te versterken. Ook is hiervoor nodig dat het takenpakket en de positionering van de CIO-Rijk worden versterkt en de positie van het BIT sterker wordt verankerd, met een verbreding van het takenpakket en een permanente status.

Daarbij geldt dat departementen verantwoordelijk zijn voor hun eigen IV, net zoals departementen verantwoordelijk zijn voor hun eigen begroting. Materieel ontstaat hiermee een governancestructuur die vergelijkbaar is, maar nadrukkelijk niet een-op-een te spiegelen is, met de governance binnen het financiële domein. Oprichting van een aparte Rijksinspectie Digitalisering, zoals beoogd met de motie Middendorp die aan de basis lag van dit onderzoek, wordt op basis van deze analyse door ABDTOPConsult ontraden.

Ik beschouw de conclusies van dit onderzoek in de eerste plaats als een ondersteuning van de koers die de Minister van BZK vorig jaar heeft ingezet. Uitgangspunt daarbij is dat de primaire verantwoordelijkheid voor de digitaliseringsopgave binnen de verschillende beleidsterreinen van de rijksoverheid belegd moet zijn bij de individuele vakministers. De verwevenheid van IV in vrijwel alle departementale processen maakt dat een vereiste voor effectieve sturing en beheersing.

Diverse aanbevelingen, zoals de voorgestelde sturing langs de lijn van departementale IV-plannen, de versterking van de positie van departementale CIO’s en verzwaring en herpositionering van CIO-Rijk binnen het CIO-stelsel, zijn ook al voornemens in de Strategische I-agenda 2019–2021 die op basis van deze aanbevelingen verder kunnen worden geconcretiseerd.

In bijlage 1 ga ik puntsgewijs in op de voorziene opvolging van de aanbevelingen uit het rapport⁷. Bij een aantal aanbevelingen acht ik het van belang om de voorziene opvolging ook hier nader toe te lichten.

IV-cyclus

ABDTOPConsult adviseert om een proces in te richten waarbij departementen jaarlijks op Prinsjesdag een meerjarig IV-plan naar de Tweede Kamer sturen, als bijlage van hun begroting. Daarbij zou, naar analogie van de Miljoenennota, door de Minister van BZK ook een Rijksbrede IV-nota moeten worden aangeboden. Deze IV-nota beschrijft de belangrijkste ontwikkelingen, prioriteiten en plannen op het gebied van digitalisering en ICT, zowel departementaal (op basis van de departementale IV-plannen), als Rijksbreed. Aanbevolen wordt tevens dat de Minister van BZK op Verantwoordingsdag aan de hand van een Rijksbreed IV-jaarverslag verantwoording aflegt aan de Tweede Kamer. Hiermee ontstaat een IV-cyclus die parallel loopt aan de begrotingscyclus, met vergelijkbare producten maar specifiek gericht op IV.

Deze aanbevelingen passen bij het streven van het kabinet om de IV-cyclus nauwer te verbinden met de F-cyclus. Echter, ook hierbij merk ik op dat deze cycli niet één op één aan elkaar te spiegelen zijn. Een betere verbinding vergt daarom tijd, maar kan beide domeinen wel versterken. In dit verband wordt ook reeds gewerkt aan een kwaliteitskader voor departementale IV-plannen.⁸ Dit kwaliteitskader zal in 2020 worden vastgesteld ten behoeve van Rijksbrede implementatie. Over de verdere opvolging van de aanbevelingen met betrekking tot de IV-cyclus wil ik in kabinetsverband de komende periode nadere afspraken maken. Ik kom voor de zomer met een brief waarin ik u over die verdere opvolging informeer.

Departementale CIO’s

Geadviseerd wordt om de rol van departementale CIO’s in een taakbesluit, naar analogie van het Besluit FEZ van het Rijk, te versterken en te verhelderen. Ik hecht eraan dat de ICT-expertise van de CIO’s en hun offices vroegtijdig in het beleidsproces betrokken wordt om de ICT-consequenties van beleidsvoornemens al vanaf het begin van de planvorming mee te nemen. Daaruit volgt dat het zwaartepunt van hun taak moet liggen op advisering aan de voorkant in plaats van controle aan de achterkant. Ook is noodzakelijk dat de verschillende rollen, taken, verantwoordelijkheden en bevoegdheden binnen het CIO-stelsel in goede samenhang worden gepresenteerd en verankerd. In de Strategische I-agenda heb ik in dit verband reeds de voornemens gedeeld om het huidige functieprofiel van departementale CIO’s te actualiseren, om een functieprofiel voor departementale CISO’s vast te stellen en beide rollen te formaliseren.

Ik verbreed de opvolging van de aanbeveling tot ontwikkeling van een CIO-taakbesluit om die reden naar een Besluit CIO-stelsel Rijksdienst. De reikwijdte van dit besluit beperkt zich niet enkel tot de kerndepartementen maar zal gelden voor alle onderdelen van de Rijksdienst, inclusief agentschappen. Ten behoeve van de samenhang worden naast de CIO-functie en de departementale CISO’s ook de functies van de CIO Rijk, de in juli jl. aangekondigde CISO Rijk i.o.⁹ en de positie van het CIO-beraad in het besluit vastgelegd. Ik betrek de meer specifieke aanbevelingen van ABDTOPConsult over taken en bevoegdheden binnen het CIO-stelsel in de verdere uitwerking van dit besluit.

De CIO-advisering ontleent ook nu al een gezag aan het uitgangspunt dat grote ICT-ontwikkelprojecten en onderhoudsactiviteiten¹⁰ enkel kunnen starten of voortgezet worden met een positief CIO-oordeel. Dit uitgangspunt zal ook in het aangekondigde Besluit CIO-stelsel Rijksdienst als zodanig worden vastgelegd.

De departementale IV-plannen moeten in dit verband gedragen en in de bestuursraad vastgestelde uitgangspunten bieden voor het departementale IV-beleid, die een CIO (en in het verlengde hiervan het BIT) in adviezen en oordelen kan betrekken.

Geadviseerd wordt om CIO-oordelen uit te voeren in de fase van planvorming, voorafgaande aan een eventuele BIT-toets. Ik acht dit wenselijk, met dien verstande dat het geven van een CIO-oordeel mijns inziens niet beperkt kan zijn tot het stadium van planvorming maar gedurende de hele levenscyclus van ICT-(door)ontwikkeling, vernieuwing en onderhoud mogelijk moet zijn. Ook dit uitgangspunt zal worden vastgelegd in het Besluit CIO-stelsel Rijksdienst. Het besluit zal de komende maanden in het CIO-beraad gezamenlijk worden voorbereid. Ik streef ernaar om dit besluit voor de zomer vast te stellen en met uw Kamer te delen.

Coördinatie CIO-stelsel

Zoals ABDTOPConsult in haar toelichting op de bestaande governancestructuur aangeeft, kan de CIO Rijk zich reeds beroepen op de versterkte bevoegdheden van de Minister van BZK in het in 2018 gewijzigde Coördinatiebesluit.¹¹

Daarmee is onder andere geregeld dat de Minister van BZK, na overleg met de andere ministers, Rijksbreed geldende IV-kaders en gemeenschappelijke voorzieningen kan vaststellen.

Ik ben het met de onderzoekers eens dat het wenselijk is om de functie-specifieke taken en bevoegdheden van de CIO Rijk, voortvloeiend uit het Coördinatiebesluit en de stelselverantwoordelijkheid van de Minister van BZK, nader te concretiseren en te verankeren. Dit zal worden meegenomen in het Besluit CIO-stelsel Rijksdienst en door aanpassing van het Mandaatbesluit BZK.¹²

Bevorderen lerend vermogen

De aanbeveling om te investeren in een cultuur van kennisdeling en lerend vermogen zie ik als een steun van onze huidige inspanningen. Het bevorderen van het lerend vermogen op het terrein van ICT-beheersing en digitalisering binnen het Rijk wordt in het Besluit CIO-stelsel Rijksdienst een expliciete taak van CIO Rijk en de CIO’s.

De kennis- en adviesfunctie bij Directie CIO Rijk zal in dit verband de komende jaren structureel versterkt worden om permanent in deze behoefte te kunnen voorzien. Ook bij departementale CIO-offices zal rekening moeten worden gehouden met deze taakverzwaring. In nauwe samenwerking met I-interim Rijk zal BZK bovenop de staande flex-capaciteit een flexibele schil (onder de werktitel CIO Flex) met hooggekwalificeerde ICT-specialisten realiseren, die vanuit Directie CIO Rijk op aanvraag volledig ten dienste staan van het CIO-stelsel.

Zowel de CIO-offices als het BIT kunnen gebruikmaken van deze extra capaciteit, waardoor het lerend vermogen binnen het stelsel structureel bevorderd kan worden. De oprichting van CIO Flex kan ook een volgende stap en professionele uitdaging bieden voor excellerende Rijks I-trainees, na afronding van het traineeship.

Opvolging aanbevelingen Bureau ICT-toetsing

In het onderzoek van ABDTOPConsult, de externe evaluatie van het BIT en in de beleidsdoorlichting BIT worden gelijksoortige conclusies getrokken over het functioneren van het BIT. Ook de aanbevelingen over de toekomst van het BIT zijn vrij eenduidig. In bijlage 2 en 3 van deze brief licht ik de opvolging van respectievelijk het AEF-rapport (evaluatie BIT) en het TwynstraGudde-rapport (beleidsdoorlichting BIT) puntsgewijs toe¹³. Mijn reactie op hoofdlijnen en mijn hierop gebaseerde besluit over de toekomst van het BIT deel ik hier met u.

Voortzetting BIT

Alle voorgenoemde onderzoeken wijzen uit dat het BIT, als functie binnen het bredere stelsel, een positief effect heeft op de ICT-beheersing binnen de overheid. TwynstraGudde benoemt in dit verband de wenselijkheid van een structurele rol, een vast taakbudget en vast taakvolume.

AEF wijst op het belang om de continuïteit van het bureau te garanderen en te voorkomen dat de hooggekwalificeerde medewerkers door onzekerheid over de toekomst voortijdig vertrekken. ABDTOPConsult ziet een deskundige, onafhankelijke en transparante beoordeling en toetsing van ICT-projecten en ICT-portfolio’s als «sluitstuk» van een professioneel CIO-stelsel.

Zij stelt dat het in de rede ligt om het BIT een permanente status te geven. Ik heb eerder al in de richting van uw Kamer uitgesproken dat de functie van het BIT mijns inziens ook in de toekomst noodzakelijk zal blijven en neem dit advies dan ook over.

Positionering BIT

De vraag waar het BIT na afloop van het huidige instellingsbesluit eind 2020 gepositioneerd zal moeten worden, is de afgelopen maanden een aantal keer gekoppeld aan de perceptie dat de onafhankelijkheid van het BIT in zijn huidige positie onvoldoende gewaarborgd zou zijn.

Ik benadruk in dit verband nogmaals dat de onafhankelijke taakuitvoering van het BIT nooit in het geding is geweest. BIT-adviezen worden in alle gevallen onafhankelijk vastgesteld en ongewijzigd door mij aangeboden aan de verantwoordelijk bewindspersonen.

De Toezichtsraad BIT heeft dit, ook in correspondentie met BZK, herhaaldelijk bevestigd. De rapporten van AEF, TwynstraGudde en ABDTOPConsult bevestigen deze conclusie.¹⁴

Dat gezegd hebbende wijzen de onderzoeksconclusies wel op het feit dat de huidige positionering van het BIT als dienstonderdeel van het Ministerie van BZK, ondanks de aanwezige waarborgen, in theorie een risico op belangenconflicten in zich meedraagt¹⁵ en dat deze positionering vragen kan blijven oproepen over de onafhankelijkheid. Dat maakt de rol en positie van het BIT kwetsbaar.¹⁶

Ten aanzien van alternatieve scenario’s voor positionering zijn de adviezen als volgt; Uitgaande van de bestaande positionering binnen BZK, buiten de Directie CIO Rijk, ziet AEF geen alternatief dat evident beter is. Wel adviseert AEF om nader te onderzoeken of positionering rechtstreeks onder de secretaris-generaal van het Ministerie van BZK voordelen heeft ten opzichte van de huidige positionering onder de DG Overheidsorganisatie.¹⁷

TwynstraGudde stelt dat positionering hoog in de ambtelijke BZK-organisatie voor de hand liggend is, naar analogie met de positionering van de Inspectie der Rijksfinanciën (IRF) of als aparte autoriteit met eigen structuur zoals bijvoorbeeld de Autoriteit Financiële Markten.¹⁸

ABDTOPConsult concludeert dat zowel positionering binnen BZK (onder de secretaris-generaal of, met de nodige voorwaarden, onder CIO Rijk), alsook positionering onder het Ministerie van Financiën als separate kamer van de Auditdienst Rijk (ADR) begaanbare opties zijn.¹⁹

BIT als onafhankelijk adviescollege

Zoals aangegeven in mijn brief van 20 september jl.²⁰ vloeit mijn besluit over de toekomstige positionering van het BIT voort uit de gecombineerde aanbevelingen van de drie onderzoeken en een zorgvuldige weging van mogelijke scenario’s op basis van onderscheidende criteria.

Het criterium van onafhankelijkheid, in wezen én in schijn, weegt hierbij zwaar. Ik vind het onwenselijk voor de werking van het BIT én het vertrouwen in de overheid, als het onafhankelijk functioneren van het BIT een punt van discussie zou blijven. Het BIT moet ook in de toekomst kwalitatief hoogwaardige, en daarmee ook kritische, openbare oordelen kunnen vellen over ICT-beheersing binnen de overheid.

Ik kies, alles overwegende, voor een positionering van het BIT als op afstand geplaatste toetsingsautoriteit. Het BIT gaat daarmee na 2020 verder als onafhankelijk adviescollege, met een wettelijke grondslag.

De positie die het BIT hiermee krijgt is vergelijkbaar met die van het Adviescollege Toetsing Regeldruk (ATR), dat eveneens gevraagd en ongevraagd externe en onafhankelijke toetsen uitvoert binnen zijn taakgebied.²¹

Het BIT komt in zijn nieuwe positionering verder op afstand te staan, maar blijft wel onder de (beperkte) ministeriële verantwoordelijkheid van de Minister van BZK. Ik deel de rode draad uit de verschillende onderzoeken dat die positionering passend is bij de integrale stelselverantwoordelijkheid van BZK voor ICT en digitalisering binnen de rijksoverheid.

Als denkkader voor de positionering van het BIT is het binnen de rijksoverheid toegepaste model voor risicobeheersing en verantwoording gehanteerd:

De opdrachtgever is eigenaar van de projectrisico’s en verantwoordelijk voor de beheersing. Dit wordt aangeduid als de «eerste lijn van beheersing».

De CIO’s vervullen de tweedelijns advies- en controlfunctie ten aanzien van risico’s, kansen en samenhang van het totale ICT-portfolio binnen organisaties.

De werkzaamheden van de ADR als interne auditor behoren tot de derde lijn. In opdracht van o.a. CIO Rijk (die qua verantwoordelijkheid ook in deze lijn opereert) controleert de ADR onder meer de naleving van Rijksbrede uitgangspunten en kaders voor informatievoorziening.

De vierde lijn refereert aan het BIT dat als externe onafhankelijke organisatie projecten met een meerjarig ICT-component van € 5 miljoen toetst en hierover rapporteert aan zowel de Tweede Kamer als bewindspersonen. De werkzaamheden van de Algemene Rekenkamer behoren eveneens tot de vierde lijn.

Ook ten behoeve van de rechtstreekse toegang van uw Kamer tot het BIT verdient een positie als adviescollege de voorkeur boven een voortzetting als dienstonderdeel binnen de rijksoverheid. In artikel 17 van de Kaderwet Adviescolleges is reeds voorzien in de mogelijkheid voor beide Kamers van de Staten-Generaal om een adviescollege rechtstreeks te verzoeken om toetsing of advies.²²

In de instellingswet van het adviescollege zal worden opgenomen dat het functioneren van het BIT periodiek onafhankelijk zal worden geëvalueerd, zoals nu ook reeds in het instellingsbesluit BIT is vastgelegd.

Bevorderen lerend vermogen

Het BIT heeft de afgelopen jaren met zijn toetsing gewerkt aan een betere beheersing van grote ICT-projecten binnen de overheid. Bij de oprichting van het BIT in 2015 is in dit verband ook het bevorderen van de taakvolwassenheid en het lerend vermogen rond ICT-beheersing binnen de overheid als taak meegegeven. Die taak blijft relevant. Hoewel BIT-toetsen de afgelopen jaren een duidelijk leereffect hebben gehad op alle onderdelen van het CIO-stelsel, kan naar mijn mening de rol van het BIT ten bate van het lerend vermogen in goede samenhang met de kennis- en adviestaken van CIO Rijk en de CIO’s verder worden versterkt. TwynstraGudde adviseert in dit verband om te investeren in structurele kennisoverdracht van BIT-kennis naar opdrachtgevers en het CIO-stelsel.²³ AEF merkt hierbij op dat de kosten en baten van een mogelijk grotere rol van het BIT in het uitdragen van de geleerde lessen goed gewogen moeten worden in relatie tot de beschikbare toetscapaciteit.²⁴

De taak om het lerend vermogen te bevorderen zal worden vastgelegd in de instellingswet van het adviescollege en van de benodigde extra capaciteit worden voorzien. In dit verband zal ook geïnvesteerd worden in het versterken van de kennisfunctie van CIO Rijk. Hiervoor zal vanaf 2020 binnen de Directie CIO Rijk ook meer capaciteit beschikbaar worden gesteld. Het BIT zal als kennispartner binnen het stelsel tevens samen met CIO Rijk de geleerde lessen uit toetsen omzetten in toepasbare handreikingen.

Concretisering toetskader

In de onderzoeken van TwynstraGudde en ABDTOPConsult wordt aanbevolen dat het toetskader van het BIT nader wordt geconcretiseerd, om de objectiveer-baarheid en voorspelbaarheid van de uitkomsten van BIT-toetsen te vergroten.²⁵ In 2015 is door de Minister voor Wonen & Rijksdienst gekozen voor een toetskader op basis van «richtinggevende principes».²⁶ Daarmee wordt de benodigde ruimte geboden voor expert-toetsing. Dit is een werkwijze die ik ten behoeve van de kwaliteit van de BIT-toetsen ook naar de toekomst toe wil behouden.

Echter, zoals in de brief van de Minister voor W&R in 2015 reeds is aangegeven, kan dit kader worden bijgesteld wanneer de toetspraktijk daartoe aanleiding geeft.²⁷ Die aanleiding blijkt uit deze onderzoekaanbevelingen.

Het BIT zal daarom in aanloop naar de omvorming tot adviescollege het toetskader doorontwikkelen zodat binnen de benodigde ruimte voor experttoetsing een betere objectiveerbaarheid en navolgbaarheid ontstaat, zonder te vervallen in een afvinklijst. De relevante door CIO Rijk opgestelde Rijksbrede beleid- en kwaliteitskaders en vastgestelde (internationale) normen zijn hier integraal op van toepassing. Het proces voor toekomstige herzieningen van het toetskader zal in de instellingswet van het adviescollege worden vastgelegd.

Takenpakket BIT

Vanuit de onderzoeken wordt een aantal aanbevelingen gedaan over de wenselijkheid van taakuitbreiding van het BIT. ABDTOPConsult adviseert in dit verband om het BIT naast de bestaande toetsing en beoordeling van individuele ICT-projecten, ook gevraagd en ongevraagd ICT-portfolio’s over de volle breedte te laten toetsen en beoordelen.

In de brief van de Minister van BZK van 2 juli 2019 is reeds het voornemen gedeeld om de taken, bevoegdheden, verantwoordelijkheden van departementale CIO’s te verbreden naar de hele levenscyclus van het ICT-portfolio; inclusief ICT-beheeraspecten.

De aanbeveling om die reikwijdte ook te hanteren voor de toetsing door het BIT is in lijn met deze verschuiving en kan bijdragen aan het lerend vermogen op dit terrein. Het BIT zal zich daarom gaan richten op zowel ontwikkelprojecten als onderhoudsactiviteiten met een grote ICT-component binnen het ICT-portfolio. Deze taakuitbreiding zal bij de omvorming tot adviescollege worden meegenomen en van de benodigde capaciteit worden voorzien. In 2020 zal het BIT alvast twee pilots uitvoeren om de hiervoor te ontwikkelen expertise gefaseerd op te bouwen.

Op dit punt kom ik tegemoet aan de motie Bruins c.s.²⁸, waarin mij werd gevraagd om de mogelijkheid te onderzoeken tot uitbreiding van de taakopvatting van het BIT met onder andere onderhoudsvraagstukken. Uitbreiding van de BIT-taken met advisering en toetsing op informatiebeveiligingsvraagstukken wordt in geen van de onderzoeken aanbevolen. Deze suggestie uit de motie Bruins c.s. neem ik daarom niet over.

ABDTOPConsult adviseert om bij BIT-toetsing ook de vraag te stellen of een project of onderhoudsactiviteit passend is tegen de achtergrond van het bredere ICT-landschap van een organisatie en in lijn is met het departementale IV-plan. Ik verwacht dat toetsing met meer oog voor deze samenhang ook het handelingsperspectief voor projecten ten goede komt. De aanbeveling neem ik daarom over, in samenhang met de aanbeveling van TwynstraGudde die hierbij adviseert om de rol van het BIT ten aanzien van het beoordelen van de legitimiteit (de beleidskeuze) van opdrachten voor ICT-projecten te nuanceren.

In dit verband zal helder worden afgebakend dat een BIT-toets rechtstreeks verband moet houden met de voorziene implicaties voor ICT-beheersing en IV-uitgangspunten, maar geen mandaat geeft voor oordeelsvorming over de met een project of onderhoudsactiviteit beoogde beleidsdoelstelling(en).

Ten slotte

De periode sinds de wijziging van het Coördinatiebesluit in oktober 2018 heeft een enorme sprong in het versterken van de IV-sturing gekend. Die sprong is nodig gezien de uitdagingen en technologische ontwikkelingen binnen maatschappij en overheid. Zoals echter ook opgemerkt door ABDTOPConsult kost het in een groeimodel tijd voordat de benodigde maatregelen zijn ingevoerd en de werking ervan is geborgd. Ik wijs er ook op dat de organisatorische impact van deze ambitie op het CIO-stelsel in het geheel erg groot is. Komend jaar zal intensief en in nauwe samenwerking tussen alle departementen worden gewerkt aan deze transitie. Het allerbelangrijkste is naar mijn oordeel nu dat alle betrokkenen in deze nieuwe structuur samen kunnen werken aan het bereiken van inhoudelijke resultaten. In het kader van mijn stelselverantwoordelijkheid spreek ik daar graag met u over verder.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.W. Knops

---

1 Kamerstuk 26 643, nr. 573

2 Kamerstuk 35 000 VII, nr. 34

3 Kamerstuk 35 000 VII, nr. 34

4 Zie bijlage 5, Raadpleegbaar via www.tweedekamer.nl of bijlage bij Kamerstuk 26 643, nr. 603

5 Kamerstuk 35 000 VII, nr. 34

6 Zie bijlage 4, p. 10, Raadpleegbaar via www.tweedekamer.nl

7 Raadpleegbaar via www.tweedekamer.nl

8 Kamerstuk 26 643, nr. 591

9 Kamerstuk 26 643, nr. 620

10 Het CIO-beraad zal, in samenwerking met BIT, een voor alle partijen hanteerbare definitie voor «onderhoudsactiviteiten» formuleren, die bij volgende actualisatie handboek portfoliomanagement wordt vastgelegd.

11 Stb. 2018, nr. 354.

12 Stcrt. 2018, nr. 49378.

13 Raadpleegbaar via www.tweedekamer.nl

14 Zie bijlage 4, p. 19, bijlage 5, p. 5, bijlage 6, p. 39, Raadpleegbaar via www.tweedekamer.nl

15 Zie bijlage 5, p. 26, Raadpleegbaar via www.tweedekamer.nl

16 Zie bijlage 4, p. 19, p. 24, Raadpleegbaar via www.tweedekamer.nl

17 Zie bijlage 5, p. 29, Raadpleegbaar via www.tweedekamer.nl

18 Zie bijlage 6, p. 43, Raadpleegbaar via www.tweedekamer.nl

19 Zie bijlage 4, p. 26, Raadpleegbaar via www.tweedekamer.nl

20 Kamerstuk 26 643, nr. 635

21 Waarbij opgemerkt moet worden dat het Adviescollege Toetsing Regeldruk vooralsnog een tijdelijk status heeft.

22 Kamerstuk 24 503, nr. 3

23 Zie bijlage 6, p. 56, Raadpleegbaar via www.tweedekamer.nl

24 Zie bijlage 5, p. 33, Raadpleegbaar via www.tweedekamer.nl

25 Zie bijlage 4, p. 26, bijlage 6, p. 52, Raadpleegbaar via www.tweedekamer.nl

26 Kamerstuk 26 643, nr. 370

27 Kamerstuk 26 643, nr. 370

28 Kamerstuk 35 200, nr. 30