Motie inzet op betere digitale weerbaarheid lokale overheid

[Peetke]

Ik ben fractievoorzitter en IT-er, dus maak mij zorgen over onze operationele mogelijkheden mochten leveranciers uit de VS in een conflict hun dienstverlening niet kunnen garanderen. Ik heb hier een concept motie voor opgesteld om de komende vergadering in te dienen. Wie heeft nog tips of verbeterpunten?

Motie: Oproep tot Vergroten van Weerbaarheid tegen Afhankelijkheden van Softwareleveranciers
De gemeenteraad van Hulst bijeen op 27 maart 2025,

Gelet op de strategische positie die digitale technologieën innemen in de moderne samenleving en het belang van digitale autonomie voor de overheid,

Overwegende dat:
Digitale weerbaarheid van onze gemeente van belang is voor een niet

• Digitale weerbaarheid van onze gemeente van belang is, gezien het belang van ICT in de dagelijkse gang van zake bij onze organisatie;
• Er steeds grotere afhankelijkheden ontstaan van softwareleveranciers, met name uit de Verenigde Staten, die invloed kunnen uitoefenen op de werking van publieke dienstverlening;
• Deze afhankelijkheden risico’s met zich meebrengen op het gebied van privacy, veiligheid, en soevereiniteit van gegevens, in het bijzonder wanneer softwareleveranciers onder jurisdictie vallen van vreemde overheden zoals de VS;
• De overheid het belang van open standaarden en open-source software onderkent als middel om transparantie, onafhankelijkheid en veiligheid te waarborgen;
• Er richtlijnen en beleidskaders zijn, zoals die beschreven in de PAS-toe-leg-uit (beleid voor het toepassen van open standaarden in overheidsinformatie) en het Beleid Open Source Software voor de Digitale Overheid, waarin het belang van open standaarden, interoperabiliteit en onafhankelijkheid van leveranciers centraal staan;
• Bij de overheid al veel open-source software in gebruik is, zoals bijvoorbeeld LibreOffice, waaruit blijkt dat bepaalde best practices eenvoudig kunnen worden overgenomen;

Verzoekt het college van burgemeester en wethouders,

1. De afhankelijkheid van softwareleveranciers, met name voor kritieke digitale infrastructuur, te onderzoeken en te monitoren, en daarbij de risico’s van deze afhankelijkheden te inventariseren;
2. Actief beleid te ontwikkelen om open-source software en open standaarden te stimuleren en te integreren in de gemeentelijke digitale infrastructuur, zoals aanbevolen door het beleid van de Digitale Overheid;
3. Het beleid van de gemeente ten aanzien van de keuze van softwareleveranciers en digitale diensten zodanig aan te passen, dat meegewogen wordt als software en leveranciers voldoen aan de richtlijnen van PAS-toe-leg-uit en die bijdragen aan de openheid en transparantie van de gebruikte technologieën;
4. Het college aan te zetten tot het actief bevorderen van kennisdeling en samenwerking met andere overheden en publieke instellingen die al stappen hebben gezet richting grotere digitale onafhankelijkheid en weerbaarheid tegen buitenlandse invloeden.

In voetnoten noem ik dan:
https://www.forumstandaardisatie.nl/pas-toe-leg-uit-beleid
https://www.digitaleoverh...erpen/open-source/beleid/
https://www.digitaleoverh...en-transparante-gemeente/
nieuws: Ministerie van Defensie maakte sha256-hashes mogelijk in LibreOffice
https://www.vrijbrp.nl/over-vrijbrp/

Wie heeft er input voor me?

[ari3]

Er is bij veel overheden sprake van vendor lock-in op Microsoft producten omdat deze goed met elkaar integreren. Helaas verloopt die integratie voor een groot deel niet met publiek gedocumenteerde en/of vrij te gebruiken koppelvlakken. Hierdoor is het auditeren van de integratie op veiligheid, privacy en soevereiniteit per definitie onmogelijk.

Ik zou daarom aanvullend specifiek noemen dat:
- interoperabiliteit via open standaarden moet plaatsvinden;
- leveranciers verplicht zijn alle koppelvlakken te documenteren teneinde integratie met applicatie van derde partijen te realiseren;
- alle koppelvlakken van besturingssystemen publiek en volledig gedocumenteerd moeten zijn;
- de broncode van alle software inzichtelijk moet zijn voor audit doeleinden;

[Dennis]

Heb je al met de wethouder die it in zijn portefeuille heeft gecheckt wat er nu precies is/wordt gedaan?

Voordat je de ambtelijke organisatie misschien opzadelt met een motie die amper uitvoerbaar is en die, hoe goed bedoeld ook, allerlei onwenselijke neveneffecten heeft?

Want bijvoorbeeld pas toe of leg uit beleid wordt als het goed is vanuit de inkoopvoorwaarden al geregeld in al jullie overeenkomsten.

[Peetke]

Ik leg een concept motie altijd voor om er commentaar ambtelijk en van het college op te krijgen. Dus dat zou mijn volgende stapje zijn. Soms blijkt een motie dan inderdaad moeilijk, dus komt hij niet eens tot de raad.

Ik weet wel wat dingen concreet nu qua gebruik van open source binnen het stadhuis en dat was erg ad-hoc en niet maintained. Dus er was ook wel echt een concrete reden om mij extra zorgen te maken.

[99ruud99]

Begin eens met jullie applicatielandschap. Als dat goed inzichtelijk is kan je gaan bepalen hoe en waar data beweegt.

Bovendien kan je je overige punten dan ook makkelijker staven.
Afgelopen jaar was er in de verticale supervisie extra aandacht voor dit landschap, dus als het goed is moet dit redelijk up to date zijn.

[ Voor 27% gewijzigd door 99ruud99 op 19-02-2025 07:55 ]

[Davidshadow13]

Je moet niet onderschatten hoe beperkt de IT kennis en slagkracht is vooral binnen kleinere gemeentes. Die varen haast blind op leveranciers zoals Atos die hele software suites voor gemeentes leveren.

De grotere hebben het zelf redelijk geregeld met een SSC IT of door gezamenlijk een commerciële dienstverlener op te richten zoals Wigo4IT.

@Peetke ik denk dat je voor veel van deze zaken daarom beter bij de VNG kan aankloppen dan jouw college. Jullie zijn als klant zo klein dat je dit soort eisen nauwelijks kan stellen bij leveranciers. Atos en Microsoft en consorten zijn simpelweg niet onder de indruk. Tekenen bij het kruisje of niet.

OSS beleid klinkt mooi maar vergt ook meer onderhoud, meer specialistische kennis en een heen aanpastraject voor je gebruikers die zeker binnen een gemeente vaak geen bovengemiddelde IT skills hebben. Die vragen een Windows desktop in te ruilen voor Ubuntu is vragen om problemen.

Ik zou dus eerder inzetten op mitigatie. Microsoft heeft bijvoorbeeld een Duitse entiteit welke volledig los staat van de US entiteit hier kun je dus inkopen zonder risico van eventuele sancties in de toekomst. Mocht je bang zijn voor dataverlies aan NSA/CIA of overheid dan kun je kiezen om op alle data at rest encryptie toe te passen bijvoorbeeld. Dan dek je veel risico’s af.

Verder is het dna aan de VNG om voor haar leden betere inkoopvoorwaarden te onderhandelen als collectief krijg je dan misschien nog wat dingen doorgevoerd.

[Dennis]

Davidshadow13 schreef op woensdag 19 februari 2025 @ 07:57:
OSS beleid klinkt mooi maar vergt ook meer onderhoud, meer specialistische kennis en een heen aanpastraject voor je gebruikers die zeker binnen een gemeente vaak geen bovengemiddelde IT skills hebben. Die vragen een Windows desktop in te ruilen voor Ubuntu is vragen om problemen.

Een cruciale factor is ook leveranciers die OSS ondersteunen. Overigens zie je dat de markt daar nu op in gaat spelen na mooie initiatieven die eigenlijk voortkomen uit VNG-beleid.

Ben het dus ook eens met jou.

[KroeT]

Ik denk dat je een stevig politiek debat opwekt door de VS, hoe terecht ook, op deze manier prominent te maken in je motie. Als dat je bedoeling is: doen. Maar het kan zijn dat het je draagvlak gaat kosten. Je bent fractievoorzitter dus dit weet je beter dan ik. Qua uitvoerbaarheid zou ik (ook) meer focussen op een VNG-gedragen aanpak. Met als nadeel dat dat vermoedelijk 5 jaar gaat duren.

Goed dat je de motie afstemt met het ambtelijk apparaat. Dat zou bij ons niet gaan, dualisme is vrij strikt geïnterpreteerd hier.

[Morrar]

Het is een nobel streven, maar net als anderen denk ik dat je dit beter hoger op kunt zoeken. Zelf werk ik bij een (semi-) overheidsinstelling van zo'n 800 man; best een redelijke schaal dus. Bij ons is het Microsoft first of eigenlijk Microsoft only. Als het van MS is, dan heeft het vrijwel automatisch veel vinkjes te pakken qua integratie, vertrouwen, security, et cetera. Soms niet terecht naar mijn mening, maar alle (OSS) alternatieven staan wel 4-0 achter.

Daarnaast is MS inderdaad heer en meester van de (slordige) integraties, met name met Entra en hun Office / Teams producten. Daar valt maar heel lastig mee te concurreren; in de OSS wereld zie je allerlei oplossingen die bepaalde taken (vaak beter) doen, maar het integreren kost echt extreem veel werk. Werk dat best specialistisch is, want het vraagt om software engineering vaardigheden en diepgaande kennis van de te integreren producten en interfaces die ze aanbieden (of niet, dan houdt het meestal op).

Die mensen aantrekken is op z'n zachts gezegd een uitdaging; ik ben onderdeel van een data en analyse club van zo'n 70 man. De laatste jaren krijgen we echt wel betere mensen binnen (DS en DE), maar de echt goede mensen zijn lastig vast te houden. De mensen die alleen beleidsdocumenten tikken of met MS werken zitten er tot hun pensioen...

Kortom, zelfs op een redelijke schaal is het vrijwel onmogelijk om uit het MS ecosysteem te stappen. Denk dat we beter in NL of EU verband kunnen inzetten op a) een publieke Cloud die voldoet aan alle overheidsstandaarden, b) het aanbieden van Office-achtige oplossingen in die cloud en c) maatwerk leveren voor de overige software.