Het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten, geeft uitvoering aan artikel 9 van het decreet.

Transcriptie

1 Projectverslag: Informatieveiligheidsconsulent ten behoeve van lokale overheden Uitbreiding 1. Beleidsvisie projectdoelstellingen 1.1. Context a. Wetgevend kader In het decreet van 18 juli 2008 betreffende het elektronische gegevensverkeer, artikel 9 wordt aan elke instantie die: persoonsgegevens verwerkt, authentieke gegevensbron beheert, tussenkomt bij mededeling van persoonsgegevens, ondersteunt bij gebruikers- en toegangsbeheer de verplichting opgelegd een veiligheidsconsulent aan te stellen. Het Besluit van de Vlaamse Regering van 15 mei 2009 houdende de uitvoering van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, geeft uitvoering aan het decreet. Er wordt onder meer in bepaald wanneer het decreet in werking treedt. Voor artikel 9 is dat de dag van publicatie in het Belgisch Staatsblad, in casu 14 juli Het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten, geeft uitvoering aan artikel 9 van het decreet. b. De huidige situatie Bij een rondvraag in 17 kleine Oost-Vlaamse gemeenten in 2012 naar de aanstelling van een veiligheidsconsulent bleek er in 15 gemeenten geen te zijn aangesteld. Bovendien beschikt geen van de gemeenten over een veiligheidsplan, dat moet worden opgesteld door de veiligheidsconsulent krachtens artikel 10 van het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten. Om tegemoet te komen aan deze nood werd op de provincieraad van 9 oktober 2013 het project "Informatieveiligheidsconsulent ICT ten behoeve van lokale overheden" goedgekeurd. De contractuele personeelsbezetting voor dit project werd vastgesteld op 1 VTE Informatieveiligheidsconsulent ICT. Uit de praktijk blijkt echter dat de vraag hoger ligt dan verwacht. Waar de ondersteuning aanvankelijk vooral op kleinere lokale besturen was gericht, komen nu ook meer en meer vragen van grotere lokale overheden binnen. Ook zij slagen er blijkbaar niet in om kandidaten te vinden met het juiste profiel en kloppen aan bij ons bestuur voor een meer eenvoudige en snellere oplossing. Het is al sinds 2009 verplicht dat voor lokale overheden om een informatieveiligheidsconsulent in dienst te hebben. Het ontbreken van die functie gaf echter geen aanleiding tot beperkingen van de werking van de lokale overheid. Dit is echter aan het wijzigen. Meer en meer ondervinden de lokale overheden problemen en weigeringen met betrekking tot het uitwisselen van elektronische privacygevoelige gegevens. Ook de goede werking van de lokale overheid dreigt in het gedrang te komen bij bepaalde diensten.

2 Vooral bij de toekenning van globale machtigingen door de privacycommissie, wordt expliciet aangegeven dat de lokale overheid die gebruik wenst te maken van die globale machtiging, een informatieveiligheidsconsulent en veiligheidsplan moet hebben. Twee van die machtigingen springen daarbij in het oog: Aanvraag van de VVSG ten behoeve van de lokale besturen om toegang te krijgen tot de informatiegegevens van het rijksregister, met het oog op de uitvoering van de aan hen toevertrouwde taken. Dit betreft vooral het bekomen van toegang tot de gegevens van niet-inwoners door de gemeente. Aanvraag van Bibnet ten behoeve van de Nederlandstalige openbare bibliotheken in Vlaanderen en brussel om toegang te bekomen tot de informatiegegevens van het Rijksregister voor identificatie en beheer van hun leden. Dit betreft o.a. het gebruik van het rijksregisternummer als unieke identificatie van een lener en het gebruik van de elektronische identiteitskaart als lezerspas. Beide machtigingen zijn essentieel voor de goede werking van zowel de diensten van de lokale overheden als de bibliotheken. Op 16 januari 2014 werden slechts 2 lokale besturen (Gent en Geel) goedgekeurd als begunstigde voor de aanvraag tot het bekomen van toegang tot de gegevens van nietinwoners door de gemeente. enkel lokaal bestuur werd goedgekeurd als begunstigde met betrekking tot het bekomen van toegang tot de informatiegegevens van het Rijksregister voor identificatie en beheer van hun leden. c. Voorstel De kern van dit voorstel is dat de Provincie in eerste instantie een bijkomende informatieveiligheidsconsulent aanwerft en die op kostendelende basis ter beschikking stelt. De gemeente kan aldus neutrale deskundigheid inschakelen tegen een verantwoorde prijs. De Provincie kan via dit initiatief haar rol versterken van coördinerend, ondersteunend en intermediair partnerbestuur van de gemeenten (zie SD : "De werking van lokale besturen ondersteunen"). De financiële impact voor de Provincie blijft beperkt, aangezien zij de kosten kan terugvorderen van de deelnemende gemeenten. Er wordt in het voorstel gevraagd naar 3 VTE informatieveiligheidsconsulenten. In eerste instantie zal echter slechts één VTE consulent worden aangeworven. De andere VTE's zullen echter slechts worden ingevuld wanneer de vraag vanuit lokale besturen dit vereist én de aanstelling ervan budgettair gedekt wordt door voldoende opdrachten Waarom dit initiatief? Waarom een gedeelde informatieveiligheidsconsulent? De taak van een informatieveiligheidsconsulent is heel divers, doch bij elke instantie gelijklopend en vergelijkbaar. Indien elke instantie zelf een informatieveiligheidsconsulent moet aanstellen, dient die persoon zich in te werken in de materie en de nodige opleidingen te volgen. Veel gemeenten zien (nog) niet in wat een informatieveiligheidsconsulent dient te doen in hun gemeente. Ze weten niet welk profiel er past in die functie en kijken op tegen de kost van een aanwerving. Het gevaar bestaat dat een oplossing in de vorm van een 'Chinese vrijwilliger' naar voor wordt geschoven, die persoon moet dan, naast de vaste taken, ook informatieveiligheidsconsulent zijn. Vaak heeft die persoon niet voldoende kennis en tijd om die bijkomende taak naar behoren in te vullen. Delen van een informatieveiligheidsconsulent

3 kan dan een oplossing zijn. Met verschillende gemeenten worden één of meerdere personen aangeworven. Die aanpak heeft verschillende voordelen: het juiste profiel kan worden ingezet in de functie; de kostprijs voor een gemeente blijft beperkt; de informatieveiligheidsconsulent is onafhankelijk; er kan voldoende tijd worden uitgetrokken om de taak naar behoren in te vullen; expertise uitwisseling tussen gemeenten kan beter zijn dankzij het delen van een informatieveiligheidsconsulent. Waarom een gedeelde informatieveiligheidsconsulent vanuit de provincie? Sinds 2003 werkt de provincie actief aan e-government implementatie bij lokale besturen en organisaties vanuit haar PIVA egov. Informatie en informatieveiligheid zijn typische e- governmentgegevens. Het initiatief voor het delen van een informatieveiligheidsconsulent is georganiseerd vanuit een integrale provinciale benadering van egovernment bij gemeenten en kan hiervoor terugvallen op een bestaande organisatorische expertise binnen het PIVA egov. Op dit moment is reeds één informatieveiligheidsconsulent aan de slag binnen het project, maar de praktijk wijst uit dat er een grote vraag is naar dergelijke ondersteuning en het aanbod van ons bestuur dus zal moeten worden uitgebreid. De provinciale ondersteuning is ook gericht op actieve participatie van de gemeenten en is in eerste instantie gericht op effectieve versterking van de gemeentelijke werking vanuit een neutrale invalshoek. Andere samenwerkingsverbanden die vandaag al bestaan zijn vaak niet gebiedsdekkend of hebben niet de nodige organisatorische vaardigheden om het initiatief te behartigen Kwantitatieve inschatting van de vraag Bevraging secretarissen lokale overheden 2012 In de loop van december 2012 werden de secretarissen van de 17 gemeenten die vandaag ict ondersteuning afnemen bij de Provincie gevraagd naar de interesse in een gedeelde informatieveiligheidsconsulent. Van de 17 secretarissen zijn er 14 die het initiatief van een gedeelde informatieveiligheidsconsulent genegen zijn (82%). Op de vraag hoeveel tijd een informatieveiligheidsconsulent in de gemeente moet besteden, waren de antwoorden divers: Initieel meer, later minder: 1 0,5 dagen per maand: 1 0,5 à 1 dag per maand: 1 1 dag per maand: 1 Initieel 0,5 dagen per week, later 1 dag per maand: 1 2 dagen per maand: 1 0,5 dagen per week: 1 3 dagen per maand: 1 zicht op: 4 antwoord: 2 De antwoorden variëren tussen 1/6 VTE (=3 dagen per maand) en 1/36 VTE (= 0,5 dagen per maand). De gemeenten hebben er eigenlijk geen idee van hoeveel werk een informatieveiligheidsconsulent heeft en hoeveel tijd daarvoor nodig is. Officiële bevraging college van Burgemeester en Schepenen Een concreet voorstel werd uitgewerkt na de positieve bevraging in Met het voorstel, zoals het hier voorligt, werd gevraagd een principiële goedkeuring te verkrijgen van het college van Burgemeester en Schepenen van alle gemeenten met een inwonersaantal tot

4 De gemeenten Eeklo en Maldegem hadden informeel te kennen gegeven interesse te hebben. Samen met Lochristi, die tot 30 juni 2013 ict ondersteuning genoot, werden ze ook aangeschreven. Uiteindelijk werd aan 36 gemeenten het voorstel gedaan. Op 25 juli 2013 waren volgende antwoorden geregistreerd: instappen: 11 gemeenten; niet instappen: 17 gemeenten; nog geen beslissing: 8 gemeenten. De 11 gemeenten die principieel wensen in te stappen: Assenede, Gavere, Kruishoutem, Laarne, Lochristi, Maldegem, Moerbeke, Nevele, Waarschoot, Waasmunster, Zomergem. De verdeling van de gemeenten in de provincie wordt hieronder weegegeven. Navraag bij de welzijnsband Meetjesland

5 De welzijnsband Meetjesland heeft al geruime tijd een informatieveiligheidsconsulent in dienst voor verschillende OCMW's in de regio. Één voltijdse informatieveiligheidsconsulent bedient 13 OCMW's. Afhankelijk van de grootte van het OCMW komt die persoon 0,5 of 1 dag om de twee weken in het OCMW. Dit komt overeen met 1 à 2 dagen per maand. 1. Personeelsbehoefte en plaats in het organogram Bevoegde dienst: egov Looptijd project:. tot 31/12/2018 (einde legislatuur) Contractuele bezetting: 3 VTE Informatieveiligheidsconsulenten (A1a A1b A2a)* Gemiddelde loonlast voor begroting (op jaarbasis, consulent): ,53 EUR ** Gemiddelde werkingskost (op jaarbasis, per consulent): 6000 *** * De voorwaarde voor de aanwerving van een tweede Informatieveiligheidsconsulent bestaat erin dat er voldoende vraag is vanuit de lokale besturen om de kostprijs ervan volledig te dekken. ** Deze loonlast is het resultaat van de berekening conform de omzendbrief BA-2002/13. ***Deze werkingskost houdt rekening met de huisvesting, incl. energie- en uitbatingskosten (60%), de technische uitrusting (30%) en een deel algemene kosten (10%). 2. Functiebeschrijving Het betreft dezelfde functiebeschrijving als in het oorspronkelijke project. 3. Financiële haalbaarheid 3.1. Link met het meerjarenplan Het projectvoorstel is verbonden aan volgende strategische doelstelling en actieplan uit het meerjarenplan: ST De werking van lokale besturen ondersteunen AP Het egovernmentdecreet uitdragen en intermediair zijn tussen de lokale overheid en Vlaanderen / de federale overheid / Europa 3.2. Raming van uitgaven en inkomsten Voor 2014 is de gemiddelde loonkost voor een 1 VTE Informatieveiligheidsconsulent (A1a A1b - A2a) vastgesteld op ,53 euro en de extra kosten voor maaltijdcheques en overhead op 6000 euro. Eenmaal de ondersteuning effectief is opgestart worden deze kosten overgenomen door de deelnemende gemeenten. Op die manier worden de kosten dus volledig gedekt vanaf 2015.

6 Kost voor het provinciebestuur 2014 Kost Informatieveiligheidsconsulent Inwerking 1/12 VTE(*) ,79 (*) De 1/12 VTE die hier als kost voor het provinciebestuur wordt aanzien, gaat over de inwerkings- en opleidingperiode van één maand die voor een nieuwe informatieveiligheidsconsulent moet worden ingelast. Tijdens deze eerste maand is er dus nog geen sprake van inkomsten vanuit de lokale besturen om de kosten te dekken. Voor de berekening van de kost per dag wordt ervan uitgegaan dat een jaar 216 werkdagen omvat, waarbij de gedeelde informatieveiligheidsconsulent 1/6e van de tijd besteed aan overheadtaken zoals opleiding, overkoepelend overleg, algemene projectcoördinatie, enz. De dagkost wordt aldus berekend als de jaarkost/180: Kost voor de gemeenten 2014 Kost Informatieveiligheidsconsulent 7545,35 12 maanden; 1,5 dagen per maand Doorlopend Eventuele extra kost per dag 419,19 Voor de prestaties op dagbasis wordt aan de gemeenten dus een kost gelijk aan de dagkost van de vaste terbeschikstelling plus 15%, aangerekend. Deze 15% dient een (mogelijke) meerkost van de Provincie te dekken: Het aanbod op dagbasis vraagt meer Provinciale overhead (coördinatie, inplanning). Het risico van de Provincie bij het aanbod op dagbasis is groter dan bij het aanbod op vaste basis, namelijk dat de operator niet volledig en tijdig op kostendelende basis kan ingepland worden, en op de 'bench' belandt. Elk jaar dient de kost aangerekend aan de gemeente te worden geïndexeerd. De kostprijs voor een eventuele tweede Informatieveiligheidconsulent kan op dezelfde manier worden berekend en gedekt.