27 859 Modernisering Gemeentelijke Basisadministratie persoonsgegevens (GBA)

Nr. 77 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 6 maart 2015

In het Algemeen Overleg over de Basisregistratie Personen dat ik op 27 november jongstleden (Kamerstuk 27 859, nr. 74) met uw Kamer voerde, heb ik toegezegd dat ik uw Kamer zou informeren over de mate waarin de huidige besturing en aanpak van Operatie BRP in lijn zijn met de aanbevelingen van de Tijdelijke Commissie ICT.

Het programma Modernisering GBA, dat sinds begin 2014 verder is gegaan onder de naam Operatie BRP¹, was een van de casussen in het onderzoek van de Tijdelijke Commissie ICT. Het rapport van Policy Research² schetst bepaald geen vlekkeloos beeld van het programma in de jaren 2001 tot 2012.Toen het programma in 2013 opnieuw vertraging en overschrijding meldde, heb ik me terdege rekenschap gegeven van de problemen en de tekortkomingen die daaraan ten grondslag lagen. Ik heb deze benut bij de fundamentele afweging die ik heb gemaakt rond het bepalen van de verdere koers voor de modernisering. Ik heb uw Kamer eind oktober van dat jaar per brief geïnformeerd over mijn besluit de modernisering voort te zetten vanwege het belang daarvan, over mijn keuze ten aanzien van die koers (Voortzetten nieuwbouw), en over de maatregelen die ik heb genomen om de besturing en de beheersing van het programma te verbeteren (kamerstuk 27 859, nr. 68). Ik meen dat die maatregelen inmiddels geleid hebben tot een gecontroleerde uitvoering van het programma. Ik heb daarover met uw Kamer in de afgelopen AO’s van gedachten gewisseld en ben van plan dat te blijven doen.

In het AO van 27 november 2014 gaven leden van uw Kamer aan dat zij de verbeteringen ook zien. Tegelijkertijd drong uw Kamer er bij mij op aan de aanbevelingen van de commissie Elias, en dan met name de door de commissie geformuleerde «boerenverstandregels» tegen het programma aan te houden. Ik heb dat graag toegezegd, want het scherpt mij in dit lastige traject. Met deze brief informeer ik de Kamer over mijn bevindingen. Ik ga in het vervolg van deze brief per «boerenverstandregel» van de commissie in op de wijze waarop die is toegepast binnen Operatie BRP. Op 30 januari 2015 is het kabinet in zijn schriftelijke reactie uitgebreid ingegaan op de meer algemene aanbevelingen die de Tijdelijke Commissie doet in zijn waardevolle rapport (kamerstuk 33 326, nr. 13). Deze aanbevelingen laat ik in deze brief dan ook buiten beschouwing.

1 Stel een zakelijke rechtvaardiging op waar alle belangrijke onderdelen om een besluit gedegen te kunnen nemen in voorkomen.

Voor het toenmalige programma mGBA is in 2008 een business case opgesteld. In de loop van het programma is de business case enkele malen verfijnd. Bij de fundamentele afweging medio 2013, die heeft geleid tot het besluit om de modernisering te vervolgen door middel van het voortzetten van de nieuwbouw, is de business case als zodanig niet geactualiseerd maar is de kostenkant van het programma nadrukkelijk onderzocht en geactualiseerd. Daarover heb ik uw Kamer geïnformeerd in mijn brief van 28 oktober 2013 en ik rapporteer de Kamer daar regelmatig opnieuw over, via zowel de rapportage grote ICT-projecten als via de halfjaarlijkse voortgangsrapportage van Operatie BRP. De bestuurlijke partners in dit traject (VNG/NVvB namens de gemeenten enerzijds en de uitvoeringsorganisaties anderzijds) hebben mij rond de koersbepaling eind 2013 nadrukkelijk gewezen op het belang van de BRP voor en de verwachte bijdrage van de BRP aan beleidsmatige ontwikkelingen in hun eigen domein.

2 Toon de meerwaarde van het project aan voor de eindgebruiker en de samenleving.

Op de meerwaarde van Operatie BRP voor eindgebruikers en samenleving ben ik in mijn brief van 28 oktober 2013 uitgebreid ingegaan, want ook dit aspect heb ik meegenomen bij mijn besluit de nieuwbouw van de BRP door te zetten. Ik heb u toen geschreven wat ook nu nog geldt: de doelstellingen van de modernisering zijn nog steeds valide en het bereiken ervan is van groot belang voor andere ontwikkelingen binnen de e-overheid.

De BRP heef als doel het in stand houden van een doelmatige informatievoorziening van de overheid met gelijktijdige waarborging van de bescherming van de persoonlijke levenssfeer van de geregistreerde burger. Persoonsgegevens uit de BRP worden op heel veel plaatsen binnen de overheid en in heel veel uitvoeringsprocessen van de overheid gebruikt. Registratie in de BRP is voor de burger veelal een voorwaarde om gebruik te kunnen maken van de voorzieningen van de overheid. De BRP is een cruciale voorziening voor het kunnen opsporen, signaleren en bestrijden van fraude. Een centrale, actuele en functioneel rijke registratie met persoonsgegevens die 24 uur per dag toegankelijk is, is een essentiële pijler voor een betere (elektronische) dienstverlening aan de burger, zoals in het regeerakkoord is afgesproken.

Ik verwijs u op dit punt verder naar de brief van 28 oktober 2013.

3 Zorg voor draagvlak bij alle betrokken partijen, inclusief de eindgebruikers, en toets op organisatorische, bestuurlijke en technische haalbaarheid.

Draagvlak bij alle betrokken partijen is bij operatie BRP geborgd door de nadrukkelijke betrokkenheid van gemeenten, uitvoeringsorganisaties en ICT-leveranciers bij alle onderdelen van het programma. Naast heel concrete betrokkenheid, zoals bijvoorbeeld deelname door vertegenwoordigers van gemeenten en uitvoeringsorganisaties in expertgroepen, het uitvoeren van de implementatiebegeleiding voor gemeenten door VNG/KING en het verrichten van testwerkzaamheden door medewerkers van gemeenten en uitvoeringsorganisaties, vinden periodiek voorlichtingsbijeenkomsten plaats.

Bestuurlijke betrokkenheid is geborgd via de interbestuurlijke stuurgroep Operatie BRP die het programma sinds eind 2013 strak bestuurt. In de periode van koersbepaling hebben de vertegenwoordigers van gemeenten en uitvoeringsorganisaties in de interbestuurlijke stuurgroep bij mij nadrukkelijk aangedrongen op voortzetting van de modernisering langs de koers van nieuwbouw. De leden van deze stuurgroep zien namens hun achterban toe op organisatorische en bestuurlijke haalbaarheid.

De in de boerenverstandregels genoemde toets op technische haalbaarheid is bij de fundamentele afweging medio 2013 uitgevoerd in een externe toetsing. De conclusie daarvan was dat de onderzochte scenario’s technisch haalbaar waren, u kunt dit in mijn brief van 28 oktober 2013 nalezen.

Daarnaast expliciteert de stuurgroep het vraagstuk van haalbaarheid door bij elk (extern aangedragen) wijzigingsvoorstel voor het programma de impact te laten bepalen en pas te besluiten over het doorvoeren daarvan wanneer deze bekend is. Haalbaarheid is voorts onderwerp van de reviews die plaatsvinden in het kader van de in het voorjaar van 2014 ingerichte Quality Assurance. Over maatregelen die nodig zijn naar aanleiding van de bevindingen die voortkomen uit deze reviews beslist de stuurgroep.

4 Reorganiseer en standaardiseer eerst de werkprocessen die met ICT worden ondersteund en ga pas daarna automatiseren.

Bij Operatie BRP geldt dat de werkprocessen bij gemeenten een gegeven zijn, en dat ze zijn gebaseerd op de voor gemeenten op dit terrein geldende wetgeving, onder meer rond de basisregistratie personen. Dat geldt in min of meer vergelijkbare mate voor de werkprocessen bij afnemers die hun basis vinden in sectorale wetgeving. Gemeenten moeten als gevolg van de komst van de BRP wel hun afnemende processen voorbereiden op de aansluiting op de BRP (in plaats van op de lokale GBA). VNG en KING hebben hier een standaard aanpak voor ontworpen, gemeenten ervaren die als positief.

In Operatie BRP zijn in overleg met vertegenwoordigers van gemeenten ruim honderd processen voor het bijhouden van gegevens gedefinieerd. Bij de realisatie van die processen werkt het programma nauw samen met de leveranciers van de zogenoemde burgerzakenmodules, de systemen die de processen van de gemeenten ondersteunen. Pas na definitie van de processen en de uit te wisselen gegevens vindt de technische realisatie van de bijhoudingsmodules plaats.

Het programma heeft in overleg met vertegenwoordigers van afnemers een zogenoemde Dienstencatalogus opgesteld. Deze beschrijft de diensten waarmee de BRP gegevens aan afnemers levert. Vertegenwoordigers van afnemers zijn betrokken bij het opstellen van detailspecificaties voor deze diensten. Deze specificaties vormen de basis voor de technische realisatie van de leveringsdiensten.

5 Breng de technische, organisatorische en bestuurlijke risico’s en risicomaatregelen in kaart en elimineer «doormodderen» op voorhand.

Zowel op het niveau van het ontwikkelproject als op programmaniveau is het risicomanagement sinds de koersbepaling eind 2013 verscherpt ingericht. Het programma heeft twee partijen geselecteerd die invulling geven aan de Quality Assurance, gericht op respectievelijk de (strategische) besturing en de kwaliteit van de op te leveren broncode. Beide partijen rapporteren aan de interbestuurlijke stuurgroep, de gedelegeerd opdrachtgever van het programma adviseert over de afhandeling van de aanbevelingen. Over de voortgang van deze afhandeling wordt maandelijks gerapporteerd aan de stuurgroep. Informatie hieromtrent (op hoofdlijnen) is ook terug te vinden in de halfjaarlijkse voortgangsrapportage die ik uw Kamer over Operatie BRP stuur. Een voorbeeld ter illustratie: In het afgelopen jaar zijn maatregelen getroffen om het risico te mitigeren dat leveranciers van burgerzakenmodules en afnemerssystemen uit de pas zouden gaan lopen met de planning van Operatie BRP. Met de betreffende leveranciers is door Operatie BRP een convenant gesloten waarin wederzijdse afspraken en verplichtingen zijn vastgelegd.

In aanvulling op de hiervoor benoemde Quality Assurance heeft de CIO BZK recent zijn oordeel gevormd over het programma, met de focus op de periode na de koersbepaling in oktober 2013. Het CIO-oordeel luidt: CIO BZK is van oordeel dat een aantal goede punten is opgepakt sinds de herijking. Onder meer het programmamanagement en de sturing zijn verbeterd. Ondanks de diverse verbeteringen blijft Operatie BRP een complex en risicovol programma, dat nog grote uitdagingen voor de boeg heeft.

De CIO geeft een aantal adviezen met het oog op de genoemde risico’s die door de opdrachtgever en de stuurgroep inmiddels in uitvoering zijn genomen. In de eerstvolgende voortgangsrapportage over Operatie BRP zal ik op hoofdlijnen ingaan op de genoemde risico’s, adviezen en op de mitigerende maatregelen.

6 Zorg ervoor dat de verantwoordelijkheid voor het budget én de opdracht bij één persoon liggen.

Bij Operatie BRP ligt de verantwoordelijkheid voor het budget en de opdracht in één hand, namelijk bij de directeur-generaal Bestuur en Koninkrijksrelaties van mijn ministerie. Hij is voorzitter van de interbestuurlijke stuurgroep. Om te verzekeren dat er voldoende aandacht en capaciteit is voor de dagelijkse besturing is voor Operatie BRP een gedelegeerd opdrachtgever aangesteld die namens de directeur-generaal het programma op dagelijkse basis bestuurt.

7 Faseer de ontwikkeling van het ICT-project zo efficiënt mogelijk en probeer daarbij per fase direct bruikbare producten op te leveren.

Bij Operatie BRP wordt sinds de koersbepaling van oktober 2013 gewerkt met een planning die voorziet in gefaseerde oplevering van werkende stukken software. Na afronding van een onderdeel wordt het gedemonstreerd aan de interbestuurlijke stuurgroep. Inmiddels hebben dergelijke demonstraties enkele malen volgens planning plaatsgevonden. Ik heb u daarover in mijn laatste voortgangsrapportage bericht: in mei 2014 is de software van ontwikkelstap 2.1 gedemonstreerd (de software die de initiële vulling van de database BRP tot stand brengt en daarbij gegevens converteert van GBA naar BRP formaat). In september 2014 is de software van ontwikkelstap 2.2 gedemonstreerd (de software voor het verwerken van GBA-mutaties in de BRP). De software van ontwikkelstap 3.1a is gereed voor demonstratie (betreft de software voor het genereren van mutatieberichten voor afnemers in GBA-formaat). Zelf heb ik de eerste twee demonstraties ook gezien tijdens mijn werkbezoek aan het programma.

8 Sluit aan op de standaarden bij de rijksoverheid en toon de technische haalbaarheid aan.

Operatie BRP realiseert de nieuwbouw voor een van de basisregistraties, de basisregistratie personen. De basisregistraties zijn onderdeel van de Gemeenschappelijke Digitale Infrastructuur (GDI). Operatie BRP maakt gebruik van onderdelen van de GDI, de standaarden van de rijksoverheid: Diginetwerk, Digikoppeling en Digimelding. De BRP levert verder berichten in het Standaard Uitwisselings Formaat (StUF), een standaard voor de uitwisseling van gegevens met gemeenten.

9 Toon aan hoe er van het begin tot het einde van een project voor gezorgd wordt dat kritiek en tegengeluiden mogelijk zijn en ter harte genomen worden. Openheid en transparantie zijn hierbij het uitgangspunt.

De hiervoor benoemde extern ingerichte externe Quality Assurance zorgt ervoor dat de stuurgroep nadrukkelijk inzicht krijgt in risico's en aandachtspunten voor de besturing. Zoals gezegd rapporteren de externe partijen die de Quality Assurance vormgeven direct aan de interbestuurlijke stuurgroep en adviseert de gedelegeerd opdrachtgever de stuurgroep over de afhandeling van de aanbevelingen. Rond het CIO-oordeel is dezelfde werkwijze gevolgd. Op deze manier is verzekerd dat tegengeluiden de stuurgroep bereiken en dat de stuurgroep hier gestructureerd op kan reageren.

De interbestuurlijke stuurgroep hanteert waar het gaat om transparantie als beleidslijn dat door de stuurgroep vastgestelde documenten, rapportages van de in het kader van Quality Assurance uitgevoerde reviews (inclusief de besluitvorming van de stuurgroep over risico's en aanbevelingen) en andere voor de doelgroep relevante documenten via de website www.operatiebrp.nl beschikbaar komen. Maandelijks verspreidt het programma een online nieuwsbrief waarvan het communiqué van de stuurgroep een vast onderdeel is.

Op bijeenkomsten gaat het programma dieper in op de onderwerpen die de betrokken partijen interesseren. In december 2014 is in dit verband bij voorbeeld de «Tribune Operatie BRP» gehouden waar meer dan vijfhonderd vertegenwoordigers van gemeenten en uitvoeringsorganisaties zijn bijgepraat en de gelegenheid hadden om met programma, KING en de leveranciers van burgerzakenmodules en afnemersystemen in gesprek te gaan.

Voor de leveranciers van burgerzakenmodules en afnemerssystemen is in aanvulling op de documentatie op de publieke website een grote hoeveelheid technische documentatie beschikbaar. In het eerder genoemde convenant dat Operatie BRP met de leveranciers heeft gesloten, zijn afspraken vastgelegd over het beschikbaar stellen van de benodigde informatie en documentatie. Het programma voert maandelijks overleg met de leveranciers. Daar brengen de leveranciers geregeld tegengeluiden en suggesties te berde, die door het programma serieus worden gewogen. In het recente overleg van jongstleden januari hebben de leveranciers bijvoorbeeld voorstellen gedaan voor de ontwikkelaanpak van de bijhoudingsvoorzieningen. Het programma werkt die voorstellen in overleg met de leveranciers verder uit.

Aan de Tweede Kamer rapporteer ik zelf periodiek over de voortgang van het programma. Inmiddels heb ik naar aanleiding van die rapportages ook al enkele malen met uw Kamer gesproken.

Tot slot, maar niet in de laatste plaats, is de aanstaande mogelijkheid tot inzage in de broncode van de BRP, een bijzondere manier om tegengeluid te vernemen en transparant te zijn over de producten en voortgang van het programma. In maart 2014 heb ik u geschreven over mijn voornemen om de broncode vrij te geven voor inzage en in de loop van 2014 heb ik daar enkele malen met uw Kamer over gesproken. Zoals in die gesprekken aangegeven zal ik daarbij zo open als mogelijk zijn en ben ik tegelijkertijd in eerste instantie liever iets te voorzichtig dan dat ik te grote stappen zet. De BRP is een basisregistratie waarin veel persoonsgegevens van burgers staan en het is mijn verantwoordelijkheid daar goed op te passen.

Ik heb me in dit kader overigens wel laten overtuigen door uw Kamer die aangaf dat ik geen gebruik moet maken van het principe «security by obscurity», daarom zal ik de onderdelen van de code die de beveiliging betreffen, anders dan ik eerder van plan was, ook beschikbaar stellen voor inzage. Uiteraard zonder de benodigde sleutels en andere technische informatie die toegang tot de BRP beveiligen. Vanaf april aanstaande kunnen geïnteresseerden zich aanmelden en vanaf eind mei start de inzageperiode. In de aanloop naar de eerste inzage zullen het «Normenkader voor de broncode» en het document «Responsible Disclosure» op de website van Operatie BRP worden gepubliceerd.

10 Neem een heldere aanbestedingsstrategie op in de zakelijke rechtvaardiging.

In het toenmalige programma mGBA is de keuze gemaakt om de ontwikkeling van het nieuwe systeem niet aan te besteden maar het systeem in eigen beheer te ontwikkelen, met inhuur van technische specialisten van marktpartijen. Daarover is uw Kamer destijds door mijn voorganger geïnformeerd.

Tot slot

Zoals met u afgesproken heb ik Operatie BRP langs de meetlat van de door de Tijdelijke Commissie ICT geformuleerde «boerenverstandregels» gelegd. Mijn conclusie op basis van die exercitie is dat het programma die meting op dit moment goed doorstaat, deze brief bevat de onderbouwing daarvoor.

Ik verzeker u dat ik, gegeven de lessen van de commissie en de ervaringen uit het verleden met dit programma, scherp zal blijven toezien op dit programma en periodiek zal rapporteren over de voortgang ervan.

De eerstvolgende halfjaarlijkse voortgangsrapportage kunt u in april 2015 tegemoet zien.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.H.A. Plasterk

---

1 Op 6 januari 2014 heeft de Wet basisregistratie personen (Wet BRP) de wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA) vervangen. De naam van het programma is daarmee in lijn gebracht.

2 Onderzoeksrapporten van Policy Research Corporation in het kader van het parlementair onderzoek ICT-projecten bij de overheid, oktober 2014.