Veiligheidsconsulentschap ten behoeve van lokale overheden

Transcriptie

1 PROJECTVERSLAG Datum provincieraad = Laatste nuttige zitting deputatie = MAT = Veiligheidsconsulentschap ten behoeve van lokale overheden UITBREIDING Bevoegde gedeputeerde: Geert Versnick 1. Achtergrond en aanleiding tot project Volgende relevante wetgeving is van toepassing voor het project 1) 18 JULI Decreet betreffende het elektronische bestuurlijke gegevensverkeer (1) Art. 9. Iedere instantie die een authentieke gegevensbron beheert die persoonsgegevens bevat, iedere instantie die elektronische persoonsgegevens ontvangt of uitwisselt, en iedere entiteit die overeenkomstig artikel 4, 3, aangewezen is en persoonsgegevens verwerkt, wijst een veiligheidsconsulent aan. De Vlaamse Regering bepaalt de opdrachten en de manier van aanwijzing van die veiligheidsconsulenten. 2) Besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten, vermeld in artikel 9 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer 3) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) Overwegingen: (97) Indien de verwerking door een overheidsinstantie wordt uitgevoerd, met uitzondering van gerechten of onafhankelijke rechterlijke autoriteiten, dient een persoon met deskundige kennis van gegevensbeschermingswetgeving en -praktijken de verwerkingsverantwoordelijke of de verwerker bij te staan bij het toezicht op de interne naleving van deze verordening. Het vereiste niveau van deskundigheid dient met name te worden bepaald op grond van de uitgevoerde gegevensverwerkingsactiviteiten en de bescherming die voor de door de verwerkingsverantwoordelijke of de verwerker verwerkte gegevens vereist is. Dergelijke functionarissen voor gegevensbescherming dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke. Artikel 4 Definities 7) verwerkingsverantwoordelijke : een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; Artikel 37 Aanwijzing van de functionaris voor gegevensbescherming

2 1. De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin: a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; 6. De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten. Artikel 99 Inwerkingtreding en toepassing 2. Zij is van toepassing met ingang van 25 mei Probleemstelling Historiek De provincieraad van 9 oktober 2013 keurde het project Informatieveiligheidsconsulent ICT ten behoeve van lokale overheden goed. De contractuele personeelsbezetting werd vastgesteld op 1 VTE informatieveiligheidsconsulent ICT. De provincieraad van 30 april 2014 keurde een kaderuitbreiding tot 3 VTE goed en de raad van 17 juni 2015 een uitbreiding tot 7 VTE. Huidige situatie De situatie op 15 januari 2017 is als volgt: 6 VTE informatieveiligheidsconsulenten zijn ingevuld, de 7 de kaderplaats is vacant verklaard. Een werfexamen om een 7 de informatieveiligheidsconsulent in dienst te nemen eind 2016 mislukte. Van de 6 geselecteerde kandidaten kwam slechts 1 opdagen op het examen en slaagde niet. Een versnelde procedure is opgestart. Enkele informatieveiligheidsconsulenten hebben de wens uitgedrukt hun prestaties te verminderen (ouderschapsverlof ed.) 41 gemeentebesturen, 23 OCMW-besturen, 1 intercommunale en het Provinciebestuur zelf maken gebruik van de diensten van de informatieveiligheidsconsulent 3 gemeentebesturen, 6 OCMW-besturen en 4 politiezones hebben principieel beslist gebruik te willen maken van de diensten Verschillende organisaties, waaronder gemeenten, OCMW-besturen, politiezones, havenbedrijf Gent, hebben interesse getoond voor de dienstverlening Vooruitzichten Aanvragen van de verschillende lokale overheden blijven binnenstromen. In het licht van de Europese verordening zal het aantal mogelijk te ondersteunen overheden exponentieel toenemen. Elke overheidsinstantie dient immers een functionaris voor gegevensbescherming aan te stellen. Daarnaast krijgt de informatieveiligheidsconsulent ook meer taken toebedeeld. Dat zal ervoor zorgen dat er meer tijd en werking moet zijn in de verschillende overheden. De huidige kaderplaatsen zijn ontoereikend om de steeds groeiende vraag op te vangen. 3. Doelstelling en beoogde resultaten De lokale overheden kunnen neutrale deskundigheid inschakelen tegen een verantwoorde prijs. De Provincie kan via dit initiatief haar rol versterken van coördinerend, ondersteunend

3 en intermediair partnerbestuur van de lokale besturen. De financiële impact voor de Provincie blijft beperkt, aangezien zij de kosten kan terugvorderen van de deelnemende overheden. De doelstelling van deze projectuitbreiding is op een flexibele manier invulling geven aan de steeds toenemende vraag naar informatieveiligheidsconsulenten. De consulenten zetten we op kostendelende basis in bij de lokale overheden. We vragen een uitbreiding van het kader tot 15 informatieveiligheidsconsulenten, dus 8 VTE extra. Dit aantal wordt gerechtvaardigd door volgende inschatting: o 1 Informatieveiligheidsconsulent kan maximaal 10 lokale besturen behartigen. Specifiek voor OCMW-besturen mag de ondersteuning gehalveerd worden indien er een samenwerking is met de gemeente en de consulent dezelfde persoon is voor beide besturen. o Provinciebestuur Oost-Vlaanderen (0,5 VTE) o 65 Oost-Vlaamse gemeenten (6,5 VTE) o 65 Oost-Vlaamse OCMW-besturen (6,5 VTE, realistisch 4 VTE) o 29 Oost-Vlaamse politiezones (2,9 VTE) o 6 Oost-Vlaamse hulpverleningszones (0,6 VTE) o 9 Oost-Vlaamse intercommunales (0,9 VTE) o Oost-Vlaamse lokale verenigingen Potentieel is er werk voor 15,4 VTE, zonder rekening te houden met besturen die meer ondersteuning (extra VTE nodig) nodig hebben en overheden die zelf een oplossing zoeken (minder VTE nodig). De kaderplaatsen zullen slechts worden ingevuld wanneer de vraag vanuit lokale besturen dit vereist én de aanstelling ervan 50% of meer budgettair gedekt wordt door voldoende opdrachten. 4. Link met het meerjarenplan Beleidsdoelstelling + nr = I00 - Interbestuurlijke samenwerking gemeenten Actieplan + nr = I40 - ICT-gerelateerde werking Actie + nr = Kostendelend informatieveiligheidsconsulenten ter beschikking stellen Actie Personeel + nr = Informatieveiligheidsconsulenten voor ondersteuning kleine gemeente 5. Bijkomende informatie Waarom een gedeelde informatieveiligheidsconsulent? De taak van een informatieveiligheidsconsulent is heel divers, doch bij elke instantie gelijklopend en vergelijkbaar. Indien elke instantie zelf een informatieveiligheidsconsulent moet aanstellen, dient die persoon zich in te werken in de materie en de nodige opleidingen te volgen. Veel lokale overheden zien (nog) niet in wat een informatieveiligheidsconsulent dient te doen in hun organisatie. Ze weten niet welk profiel er past in die functie en kijken op tegen de kost van een aanwerving. Het gevaar bestaat dat een oplossing in de vorm van een 'Chinese vrijwilliger' naar voor wordt geschoven, die persoon moet dan, naast de vaste taken, ook informatieveiligheidsconsulent zijn. Vaak heeft die persoon niet voldoende kennis en tijd om die bijkomende taak naar behoren in te vullen. Delen van een informatieveiligheidsconsulent kan dan een oplossing zijn. Met verschillende lokale overheden worden één of meerdere personen aangeworven. Die aanpak heeft verschillende voordelen: het juiste profiel kan worden ingezet in de functie; de kostprijs voor een overheid blijft beperkt; de informatieveiligheidsconsulent is onafhankelijk; er kan voldoende tijd worden uitgetrokken om de taak naar behoren in te vullen;

4 expertise-uitwisseling tussen overheden kan beter zijn dankzij het delen van een informatieveiligheidsconsulent. Waarom een gedeelde informatieveiligheidsconsulent vanuit de provincie? Sinds 2003 werkt de provincie actief aan e-governmentimplementatie bij lokale besturen en organisaties vanuit haar piva egov. Informatie en informatieveiligheid zijn typische e- governmentgegevens. Het initiatief voor het delen van een informatieveiligheidsconsulent is georganiseerd vanuit een integrale provinciale benadering van e-government bij lokale overheden en kan hiervoor terugvallen op een bestaande organisatorische expertise binnen het piva egov. Op dit moment zijn al zes informatieveiligheidsconsulenten aan de slag binnen het project, maar de praktijk wijst uit dat er een grote vraag is naar dergelijke ondersteuning en het aanbod van ons bestuur dus zal moeten worden uitgebreid. De provinciale ondersteuning is ook gericht op actieve participatie van de lokale overheden en is in eerste instantie gericht op effectieve versterking van de lokale werking vanuit een neutrale invalshoek. Andere samenwerkingsverbanden die vandaag al bestaan, zijn vaak niet-gebiedsdekkend of hebben niet de nodige organisatorische vaardigheden om het initiatief te behartigen. 6. Gevraagde personeelsbezetting Aanvragende dienst = egov VTE + Functietitel + rang = 8 VTE Informatieveiligheidsconsulent Av Graad + salarisschalen = Beleidsmedewerker - A1a A1b A2a Looptijd project = tot 31/12/2018 (einde ambtstermijn) Duur contracten = onbepaalde duur met ontbindende voorwaarde Gemiddelde loonlast op jaarbasis = ,47 EUR/VTE x 8 = ,76 EUR inclusief maaltijdcheques Gemiddelde werkingskost op jaarbasis = EUR/VTE x 8 = deze werkingskost houdt rekening met de huisvesting (60 %), de ICT-benodigdheden (30 %) en een deel algemene kosten (10 %). 7. Financiële haalbaarheid Voor 2017 is de gemiddelde loonkost voor een 1 VTE Informatieveiligheidsconsulent (A1a A1b-A2a) vastgesteld op ,47 euro en de extra kosten voor overhead op 5000 euro. Eenmaal de ondersteuning effectief is opgestart worden deze kosten overgenomen door de deelnemende overheden. Op die manier worden de kosten dus volledig gedekt. Kost voor het provinciebestuur 2017 Kost Informatieveiligheidsconsulent Inwerking 1/12 VTE(*) 2018 en volgende Geen 6.434,04 Geen (*) De 1/12 VTE die hier als kost voor het provinciebestuur wordt aanzien, gaat over de inwerkings- en opleidingsperiode van één maand die voor een nieuwe informatieveiligheidsconsulent moet worden ingelast. Tijdens deze eerste maand is er dus nog geen sprake van inkomsten vanuit de lokale besturen om de kosten te dekken. Voor de berekening van de kost per dag wordt ervan uitgegaan dat een jaar 216 werkdagen omvat, waarbij de gedeelde informatieveiligheidsconsulent 1/6e van de tijd

5 besteed aan overheadtaken zoals opleiding, overkoepelend overleg, algemene projectcoördinatie, enz. De dagkost wordt aldus berekend als de jaarkost/180: Kost voor de lokale overheden 2017 Kost Informatieveiligheidsconsulent 7.906,53 12 maanden; 1,5 dagen per maand Doorlopend Eventuele extra kost per dag 549,06 De kosten voor de lokale overheden worden jaarlijks geïndexeerd aan de hand van de gezondheidsindex. Voor de prestaties op dagbasis wordt aan de lokale overheden dus een kost gelijk aan de dagkost van de vaste terbeschikstelling plus 25%, aangerekend. Deze 25% dient een (mogelijke) meerkost van de Provincie te dekken: Het aanbod op dagbasis vraagt meer Provinciale overhead (coördinatie, inplanning). Het risico van de Provincie bij het aanbod op dagbasis is groter dan bij het aanbod op vaste basis, namelijk dat de veiligheidsconsulent niet volledig en tijdig op kostendelende basis kan ingepland worden, en op de 'bench' belandt. 8. Functiebeschrijving Een bestaande functiebeschrijving wordt gebruikt, met name Informatieveiligheidsconsulent (I40)