Projectverslag - Informatieveiligheidsconsulentschap ten behoeve van lokale overheden

Transcriptie

1 PIVA egov Projectverslag - Informatieveiligheidsconsulentschap ten behoeve van lokale overheden Context Wetgeving In het decreet van 18 juli 2008 betreffende het elektronische gegevensverkeer, artikel 9 wordt aan elke instantie die: persoonsgegevens verwerkt, authentieke gegevensbron beheert, tussenkomt bij mededeling van persoonsgegevens, ondersteunt bij gebruikers- en toegangsbeheer de verplichting opgelegd een veiligheidsconsulent aan te stellen. Het Besluit van de Vlaamse Regering van 15 mei 2009 houdende de uitvoering van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, geeft uitvoering aan het decreet. Er wordt onder meer in bepaald wanneer het decreet in werking treedt. Voor artikel 9 is dat de dag van publicatie in het Belgisch Staatsblad, in casu 14 juli Het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten, geeft uitvoering aan artikel 9 van het decreet. Situatie in (kleine) gemeenten Bij een rondvraag in 17 kleine Oost-Vlaamse gemeenten in 2012 naar de aanstelling van een veiligheidsconsulent blijkt in 15 gemeenten geen veiligheidsconsulent aangesteld te zijn. Één gemeente geeft aan dat een medewerker van dienst ict die taak op zich neemt, een andere gemeente geeft aan dat een leidinggevende van het bestuur veiligheidsconsulent is. Geen van de gemeenten heeft echter een veiligheidsplan, welke moet opgesteld worden door de veiligheidsconsulent krachtens artikel 10 van het besluit van de Vlaamse Regering van 15 mei 2009 betreffende de veiligheidsconsulenten.

2 p. 2/7 Waarom dit initiatief? Waarom een gedeelde informatieveiligheidsconsulent? De taak van een informatieveiligheidsconsulent is heel divers, doch bij elke instantie gelijklopend en vergelijkbaar. Indien elke instantie zelf een informatieveiligheidsconsulent moet aanstellen, dient die persoon zich in te werken in de materie en de nodige opleidingen te volgen. Veel gemeenten zien (nog) niet in wat een informatieveiligheidsconsulent dient te doen in hun gemeente. Ze weten niet welk profiel er past in die functie en kijken op tegen de kost van een aanwerving. Het gevaar bestaat dat een oplossing in de vorm van een 'Chinese vrijwilliger' naar voor wordt geschoven, die persoon moet dan, naast de vaste taken, ook informatieveiligheidsconsulent zijn. Vaak heeft die persoon niet voldoende kennis en tijd om die bijkomende taak naar behoren in te vullen. Delen van een informatieveiligheidsconsulent kan dan een oplossing zijn. Met verschillende gemeenten worden één of meerdere personen aangeworven. Die aanpak heeft verschillende voordelen: het juiste profiel kan worden ingezet in de functie; de kostprijs voor een gemeente blijft beperkt; de informatieveiligheidsconsulent is onafhankelijk; er kan voldoende tijd worden uitgetrokken om de taak naar behoren in te vullen; expertise uitwisseling tussen gemeenten kan beter zijn dankzij het delen van een informatieveiligheidsconsulent. Waarom een gedeelde informatieveiligheidsconsulent vanuit de provincie? Sinds 2003 werkt de provincie actief aan e-government implementatie bij lokale besturen en organisaties vanuit haar PIVA egov. Informatie en informatieveiligheid zijn typische e-governmentgegevens. Het initiatief voor het delen van een informatieveiligheidsconsulent kan georganiseerd worden vanuit een integrale provinciale benadering van e- government bij gemeenten en kan hiervoor terugvallen op een bestaande organisatorische expertise binnen het PIVA egov. De provinciale ondersteuning is ook gericht op actieve participatie van de gemeenten en is in eerste instantie gericht op effectieve versterking van de gemeentelijke werking vanuit een neutrale invalshoek. Andere samenwerkingsverbanden die vandaag al bestaan zijn vaak niet gebiedsdekkend of hebben niet de nodige organisatorische vaardigheden om het initiatief te behartigen.

3 p. 3/7 Kwantitatieve inschatting van de vraag Bevraging secretarissen kleine gemeenten 2012 In de loop van december 2012 werden de secretarissen van de 17 gemeenten die vandaag ict ondersteuning afnemen bij de Provincie gevraagd naar de interesse in een gedeelde informatieveiligheidsconsulent. Van de 17 secretarissen zijn er 14 die het initiatief van een gedeelde informatieveiligheidsconsulent genegen zijn (82%). Op de vraag hoeveel tijd een informatieveiligheidsconsulent in de gemeente moet besteden, waren de antwoorden divers: Initieel meer, later minder: 1 0,5 dagen per maand: 1 0,5 à 1 dag per maand: 1 1 dag per maand: 1 Initieel 0,5 dagen per week, later 1 dag per maand: 1 2 dagen per maand: 1 0,5 dagen per week: 1 3 dagen per maand: 1 Geen zicht op: 4 Geen antwoord: 2 De antwoorden variëren tussen 1/6 VTE (=3 dagen per maand) en 1/36 VTE (= 0,5 dagen per maand). De gemeenten hebben er eigenlijk geen idee van hoeveel werk een informatieveiligheidsconsulent heeft en hoeveel tijd daarvoor nodig is. Officiële bevraging college van Burgemeester en Schepenen Een concreet voorstel werd uitgewerkt na de positieve bevraging in Met het voorstel, zoals het hier voorligt, werd gevraagd een principiële goedkeuring te verkrijgen van het college van Burgemeester en Schepenen van alle gemeenten met een inwonersaantal tot De gemeenten Eeklo en Maldegem hadden informeel te kennen gegeven interesse te hebben. Samen met Lochristi, die tot 30 juni 2013 ict ondersteuning genoot, werden ze ook aangeschreven. Uiteindelijk werd aan 36 gemeenten het voorstel gedaan. Op 25 juli 2013 waren volgende antwoorden geregistreerd: instappen: 11 gemeenten; niet instappen: 17 gemeenten; nog geen beslissing: 8 gemeenten. De 11 gemeenten die principieel wensen in te stappen: Assenede Gavere Kruishoutem Laarne Lochristi Maldegem Moerbeke Nevele Waarschoot Waasmunster Zomergem De verdeling van de gemeenten in de provincie wordt hieronder weegegeven.

4 p. 4/7

5 p. 5/7 Navraag bij de welzijnsband Meetjesland De welzijnsband Meetjesland heeft al geruime tijd een informatieveiligheidsconsulent in dienst voor verschillende OCMW's in de regio. Één voltijdse informatieveiligheidsconsulent bedient 13 OCMW's. Afhankelijk van de grootte van het OCMW komt die persoon 0,5 of 1 dag om de twee weken in het OCMW. Dit komt overeen met 1 à 2 dagen per maand. Scope Schatting voor de gemeenten Door beide bovenstaande te combineren wordt volgende schatting bekomen: Afhankelijk van de grootte is 1 à 2 dagen per maand nodig om de taak in de gemeente naar behoren te vervullen. Daarnaast moet tijd voorzien worden voor opleiding, interne afstemming en overleg, administratieve taken,. Naar analogie met de ict ondersteuning aan kleine gemeenten wordt hiervoor 3 dagen per maand gerekend. Er blijven dan 15 dagen per maand over om bij de gemeenten te werken. Verdeling beschikbare tijd Schatten welke gemeente hoeveel tijd ter beschikking moet hebben is op dit ogenblik nog niet mogelijk. De praktijk zal moeten uitwijzen vanaf welk inwonersaantal meer dagen nodig zijn. De scope van het initiatief ict-ondersteuning ligt hoofdzakelijk bij de kleinere gemeentebesturen (< inwoners). Het lijkt logisch dat net die gemeenten ook beroep willen doen op een gedeelde kracht. Indien echter een grotere gemeente of stad ondersteuning vraagt, zou dit geen probleem mogen vormen. Zoals aangegeven door verschillende gemeenten, en bevestigd door de informatieveiligheidsconsulent van de welzijnsband, is er initieel meer werk voor de consulent. Naarmate de tijd vordert neemt de werklast wat af tot meer routine zaken en opvolging. In de gemeente kan gestart worden met 18 dagen per jaar (=1,5 dagen per maand). Het aantal dagen kan halfjaarlijks worden geëvalueerd en bijgestuurd. In die configuratie kunnen initieel 10 gemeenten genieten van één gedeelde informatieveiligheidsconsulent. Daarna zal, afhankelijk van de vraag, gekeken worden of het opportuun is nog informatieveiligheidsconsulenten aan te werven of niet.

6 p. 6/7 Stappenplan & timing Stap Periode Voorstelling initiatief augustus 2013 Goedkeuring initiatief november 2013 Aanwerving december 2013 januari 2014 Selectie gemeenten 1 juni 31 juli 2013 Inwerking en opleiding maart 2014 Feitelijke uitvoering 1 april 2014 Kosten Voor 2013 is de gemiddelde loonkost voor een contractuele niveau A vastgesteld op ,53 en de extra kosten voor maaltijdcheques en overhead op 6000,00. Eenmaal de consulent effectief aan het werk is in de gemeente, worden deze kosten overgenomen door de deelnemende gemeenten. Voor de kost per dag wordt rekening gehouden dat een jaar 216 werkdagen omvat, maar waarbij de informatieveiligheidsconsulent 36 dagen per jaar (1/6 de van de tijd) besteed aan overheadtaken zoals opleiding, overkoepelend overleg, algemene projectcoördinatie, enz.. De dagkost wordt aldus berekend als de jaarkost/180. Elk jaar dient de jaarkost geïndexeerd te worden. Kost voor de provincie 2013 Kost aanwerving 2014 Kost Inwerking (1 maand) 1/12 VTE 2015 Geen Kost voor de gemeenten 2014 Kost informatieveiligheidsconsulent 12 maanden; 1,5 dagen per maand Doorlopend Eventuele kost per extra dag Onbekend + indexering 6287,79 Geen + indexering 7545,35 419,19 euro (+ indexering)

7 p. 7/7 Profiel (zie ontwerp als bijlage) Niveau A Masterdiploma. Kennis Een gedegen kennis hebben van informatica en informatieveiligheid. Hij of zij hoeft echter geen informaticus te zijn. De kennis mag ook opgebouwd zijn uit opleidingen en werkervaring. Opleiding Er bestaan specifieke opleidingen voor informatieveiligheidsconsulent. Bij voorkeur heeft de kandidaat een dergelijke opleiding gevolgd. Die opleiding kan echter ook aangeboden worden na aanwerving. Gent, 30 juli 2013 Jan Deckers directeur PIVA egov