> Retouradres Postbus 90801 2509 LV Den Haag De Voorzitter van de Tweede Kamer der Staten-Generaal Binnenhof 1 A 2513 AA S GRAVENHAGE 2513AA22XA Postbus 90801 2509 LV Den Haag Parnassusplein 5 T 070 333 44 44 F 070 333 44 00 www.rijksoverheid.nl Betreft Kamervragen van leden Oosenbrug, Vermeij en Klein Bijlagen Antwoorden op vragen over de relatie UWV en IBM (Oosenbrug en Vermeij) Antwoorden op vragen bericht van Techzine (Klein) Hierbij zend ik u, mede namens de minister van Binnenlandse Zaken en Koninkrijksrelaties, de antwoorden op de Kamervragen van de leden Oosenbrug en Vermeij (beiden PvdA) over de relatie tussen het UWV en IBM en de Kamervraag van het lid Klein (Klein) over "het bericht van Techzine. De Minister van Sociale Zaken en Werkgelegenheid, L.F. Asscher Pagina 1 van 8
2015Z23623 Vragen van het lid Klein (Klein) aan de minister van Sociale Zaken en Werkgelegenheid over het bericht van Techzine van 2 december (ingezonden 4 december 2015) 1 Kent u het bericht van Techzine van 2 december 2015 UWV lekt mogelijk persoonsgegevens via MijnUWV? 1)2) Ja. 2 Hoe kan het dat mensen na inloggen in Mijn UWV de gegevens van een ander te zien krijgen? UWV heeft geen meldingen van klanten ontvangen dat de gegevens van een ander te zien zijn na inloggen op MijnUWV. Wel is er een beperkt aantal incidenten bekend waarbij klanten de gegevens van een ander inzagen bij het inloggen op werk.nl. UWV heeft hier 20 meldingen van ontvangen. Inmiddels zijn er maatregelen getroffen waardoor deze incidenten zich niet meer voordoen. De incidenten bij het inloggen op werk.nl werden veroorzaakt door een softwarefout in de firewall van de internetprovider van UWV. Hierbij werd de pagina van een klant abusievelijk deels gevuld met gegevens van een ander. De klant kon dan personalia, contactgegevens en in sommige gevallen het beroep van een andere klant zien. Deze gegevens verdwenen met elke volgende klik op de webpagina. Nader inzien van gegevens was dan ook niet mogelijk. Financiële gegevens konden niet worden ingezien. 3 Heeft dit te maken met de storing die deze week plaats vond, of betreft dit een fundamenteel probleem? Nee, er is geen enkele relatie met de tijdelijke storing van MijnUWV. Ook betreft dit geen fundamenteel probleem. Inmiddels zijn er maatregelen getroffen waardoor de incidenten op werk.nl zich niet meer voordoen. 4 Van hoeveel mensen zijn de gegevens op straat komen te liggen? Er zijn geen klantgegevens op straat komen te liggen. Wanneer het incident zich voordeed, waren na een klik de gegevens direct verdwenen (zie antwoord 2). UWV heeft in totaal 20 meldingen van klanten ontvangen dat zij gegevens van anderen konden inzien bij het inloggen op werk.nl. Gezien op het totaal van 100.000 ingelogde werkzoekenden per dag is dit een zeer klein aantal, echter vindt UWV elk incident er één teveel. Inmiddels zijn er maatregelen getroffen waardoor deze incidenten zich niet meer voordoen. 5 Welke acties worden ondernomen om het lekken van gegevens in de toekomst te voorkomen? UWV heeft meteen na de eerste melding actie ondernomen, heeft contact opgenomen met de melder en heeft in samenwerking met de leveranciers het Pagina 2 van 8
onderzoek gestart naar de oorzaak van het probleem. Op basis van de eerste resultaten van het onderzoek heeft KPN maatregelen getroffen. Zo heeft KPN tijdelijk een vervangende firewall ingezet waardoor het probleem zich niet meer voordoet. UWV en KPN werken samen aan het herstel van de oorspronkelijke firewall. De hiervoor benodigde software-update is opgeleverd en wordt momenteel uitvoerig getest voordat overgegaan wordt tot implementatie. 6 Hoe worden mensen geïnformeerd over dit manco en wat doet u om eventuele schade die hieruit voortvloeit voor mensen te compenseren? Met de klant die de melding deed is telefonisch overleg geweest. UWV heeft daarmee specifiekere informatie gekregen en heeft de klanten nadere uitleg kunnen verschaffen. De klant die daar prijs op stelden zijn telefonisch geïnformeerd over de voortgang van de oplossing. Voor zover bekend hebben klanten geen schade opgelopen en is er geen aanleiding mensen te compenseren. 7 In hoeverre heeft u met Mijn UWV rekening gehouden met de richtsnoeren van het College Bescherming Persoonsgegevens (CBP), inzake de beveiliging van persoonsgegevens? UWV houdt rekening met de richtsnoeren van het CBP. Binnen de rijksoverheid worden het Voorschrift Informatiebeveiliging Rijksdienst (VIR) en de Baseline Informatiebeveiliging Rijksdienst (BIR) toegepast. Aan UWV en de andere zelfstandige bestuursorganen (zbo s) is gevraagd dit normenkader te adopteren als richtlijn voor maatregelen op de informatie-beveiliging. De VIR en de BIR zijn beide gebaseerd op de standaard ISO 27001-code informatiebeveiliging. UWV heeft zijn tactische beleidskader voor beveiliging en privacy grotendeels op deze code gebaseerd. In mei 2014 heeft UWV met de ondertekening van de Bestuurlijke verklaring Informatieveiligheid zbo s de toepassing van de VIR/BIR bekrachtigd. In de nieuwe systematiek meet UWV continu of UWV blijvend voldoet aan de BIR standaard. Dit doet UWV onder andere via businessimpactanalyses en privacyimpact-analyses. 1) http://m.techzine.nl/nieuws/42420/uwv-lekt-mogelijk-persoonsgegevens-viamijnuwv.html 2) UWV: Uitvoeringsinstelling Werknemersverzekeringen Pagina 3 van 8
2015Z23123 Vragen van leden Oosenbrug en Vermeij (beiden PvdA) aan de ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Sociale Zaken en Werkgelegenheid over de relatie tussen het UWV en IBM (ingezonden 1 december 2015) 1 Kent u het bericht De crash was voorspeld en hij kwam ook 1) en herinnert u zich uw antwoorden op eerdere vragen over open standaarden? 2) Ja 2 Bevat het genoemde bericht feitelijke onwaarheden? Zo ja, welke? In het artikel wordt een beeld opgeroepen dat ik niet deel. Zo wordt gesteld dat de fundamenten onder werk.nl, ondanks de miljoeneninvesteringen, wankel blijven en dat updates vooruit worden geschoven en worden uitgekleed uit angst voor crashende systemen. UWV heeft mij bevestigd dat de voorziene belangrijke upgrade door IBM met succes is uitgevoerd en de klanttevredenheid over werk.nl aanzienlijk is toegenomen. De verdere ontwikkeling van het platform vraagt nog steeds de nodige aandacht. Technische verbeteringen en wensen om de dienstverlening te verbeteren en uit te breiden blijven immers tot dilemma s leiden. Weloverwogen keuzes moeten daarom worden gemaakt en prioriteiten gesteld. 3 Deelt u de mening dat uit de in het bericht aangehaalde stukken een beeld naar voren komt van een klant (het Uitvoeringsorgaan Werknemersverzekeringen, UWV) die ontevreden was over zijn softwareleverancier (IBM)? Zo ja, was er daadwerkelijk sprake van dergelijke ontevredenheid en waarom? Zo nee, waarom niet? In het algemeen is UWV tevreden over IBM. UWV was begin 2013 met IBM in gesprek over de dienstverlening aan UWV. Het contract met IBM is erop gericht UWV te ondersteunen bij zijn systeemlandschap. Dit heeft niet alleen betrekking op het beheer van de individuele systemen, maar ook op de vele verbindingen tussen die systemen. Dit is gerealiseerd door IBM bij de start van UWV alle systemen over te laten nemen uit de destijds bestaande rekencentra en te laten landen in één geïntegreerde verwerkingsinfrastructuur. Dit is gelukt en heeft grote besparingen opgeleverd. IBM vervult dus al voor alle systemen de rol van rekencentrum ( hosting and housing ). Daarnaast is IBM in sommige gevallen ook betrokken bij de inrichting en het beheer van de softwareplatforms. Het beheer van de maatwerkinrichting van software wordt gedaan door softwareleveranciers en zit niet in het contract met IBM. IBM heeft voor de beschikbaarheid van systemen en koppelingen wel een centrale verantwoordelijkheid, maar kan niet integraal verantwoordelijk zijn voor de werking van elk individueel systeem. Bij een onvoldoende kwaliteit van het eindresultaat is dus altijd een gesprek nodig over de rol van betrokken leveranciers bij de oplossing. In complexe gevallen zoals werk.nl is er bij een Pagina 4 van 8
patroon van te frequent optredende verstoringen vaak niet sprake van één eenduidige oorzaak. 4 Is het waar dat het UWV op enig moment heeft overwogen om voor een andere softwareleverancier te kiezen maar, omdat het contract met de bestaande softwareleverancier nog tot 2017 doorliep en het feit dat die daar voorwaarden aan verbond, daar van af is gezien? Zo nee, wat is dan niet waar? UWV heeft een andere leverancier laten onderzoeken of de noodzakelijke upgrade van de Oracle software goed zou werken op een Linux platform. Gebleken was dat de upgrade niet goed werkte op het standaard platform bij IBM. De zogenaamde Proof of Concept (PoC) bewees dat de upgrade goed werkte op Linux maar toonde ook aan dat de coördinatie tussen de betrokken leveranciers IBM/Oracle/CGI op een hoger niveau moest worden gebracht. Duidelijk werd dat zo betere resultaten konden worden bereikt dan op basis van de bestaande rolverdeling. De PoC heeft tevens geleid tot een onderzoek naar de juridische en inhoudelijke mogelijkheden om de andere leverancier IBM te laten helpen in een onderaannemings-constructie. Beide partijen is gevraagd om een gezamenlijk voorstel voor de onderaan-nemingsconstructie aan UWV te doen. De partijen konden daarover echter geen overeenstemming bereiken. IBM heeft vervolgens een voorstel gedaan om zelf de integratorrol uitgebreider op te pakken en zo voor een hoger niveau van dienstverlening met betere waarborgen voor de kwaliteit te zorgen. IBM werd hiermee verantwoordelijk voor de coördinatie van alle betrokken leveranciers gericht op de afgesproken beschikbaarheid van werk.nl. Overigens is IBM leverancier van datacentrumdiensten. Concreet gaat het daarbij om de verwerkingsinfrastructuur, oftewel hardwarecomponenten en basis software die algemeen wordt ingezet om systemen zoals werk.nl te kunnen draaien en beheren. Transitie van al deze diensten naar een andere leverancier zijn niet overwogen. Niet alleen zijn de kosten van een dergelijke transitie hoog, ook zou dit een flink beslag op de verandercapaciteit van UWV hebben gelegd en de nodige risico s voor de continuïteit met zich hebben meegenomen. UWV heeft besloten de samenwerking met IBM en andere betrokken leveranciers te continueren, waarbij het aanbod van IBM tot een andere invulling van de dienstverlening en dus aanpassing van de afspraken daaromtrent (dat wil zeggen: de integrator rol in combinatie met resultaat verantwoordelijkheid) zeker in positieve zin hebben geholpen. 5 Is het waar dat het UWV in 2013 ondanks een hogere "kale prijs" toch met de bestaande leverancier verder ging vanwege het feit "dat zorgen over complicaties en kosten van het verplaatsen van alle software naar een nieuwe leverancier (...) ook een grote rol" speelden? Zo ja, was hier sprake van een zgn. vendor lock in? Zo nee, wat is er dan niet waar? Zoals aangegeven bij vraag 4, heeft UWV gekozen voor IBM vanwege het beter beleggen van de integrator rol in combinatie met resultaatverantwoordelijkheid Pagina 5 van 8
voor de overall prestaties van werk.nl. Het bleek niet haalbaar om de aanvankelijke beoogde onderaannemingsconstructie te realiseren. Er is geen sprake geweest van een daadwerkelijk alternatieve route. UWV heeft overigens destijds bewust gekozen voor een lange looptijd van het contract met IBM omdat bij het soort dienstverlening dat IBM biedt juist continuïteit van groot belang is. Ook wanneer wel sprake moet zijn van een transitie naar een andere leverancier is de transitieperiode vaak zo lang dat in de tussentijd andere veranderopgaven worden verdrongen. 6 Waarom heeft het UWV ondanks grote storingen en tekortkomingen, en ondanks een gebrek aan vertrouwen, en ondanks een hogere prijs, er toch voor gekozen om met de bestaande softwareleverancier verder te gaan? Zie ook mijn antwoord op de vragen 4 en 5. 7 Deelt u de mening dat als er sprake zou zijn geweest van een softwaresysteem met open standaarden het UWV vrijer zou zijn geweest bij de keuze van een softwareleverancier? Zo ja waarom? Zo nee, waarom niet? Nee. UWV streeft het gebruik van open standaarden na. Voor de inspanning die het kost om van leverancier te wisselen is echter vooral van belang of gewerkt is volgens standaarden en of die standaarden courant zijn in de markt. Werk.nl is gebaseerd op één van de marktleidende standaardpakketten die de facto standaarden vormen. Vele leveranciers kunnen in principe het onderhoud van het softwaresysteem verzorgen en het draaien in hun rekencentrum. Het beleggen van de integratorrol met een integrale resultaatverantwoordelijkheid is overigens een issue dat in elk andere constructie van leveranciers opnieuw belegd en ingeregeld zal moeten worden. Bovendien is een systeem als werk.nl vooral groot en complex door de vele maatwerkfuncties. De kosten en risico s van wisselingen van leverancier worden vooral bepaald door de consequenties voor de maatwerkcomponenten van het systeem. Deze hebben geen relatie met het al dan niet toepassen van open standaarden. 8 Deelt u de mening dat open standaarden in zijn algemeenheid de klant meer vrijheid bieden om naar eigen inzicht een soft- of hardwareleverancier te kiezen die de beste prijs-kwaliteitverhouding biedt? Zo ja, wat gaat u doen om open standaarden binnen de (semi-) publieke overheid te bevorderen? Zo nee, waarom niet? Ja. Voor de publieke sector is sinds 2008 voor open standaarden kabinetsbeleid van kracht op basis van een pas-toe-of-leg-uit regime. Dat is vastgelegd in onder meer een Rijksinstructie 1 die bepaalt dat overheden bij aanbestedingen van ICTproducten en diensten moeten vragen om open standaarden. In 1 Instructie rijksdienst inzake aanschaf ICT-diensten en ICT-producten (Staatscourant 2008, nr. 227). Pagina 6 van 8
bestuursakkoorden is afgesproken dat de rijksinstructie overheidsbreed wordt nageleefd. Deze afspraak is in mei in het Nationaal Beraad verlengd. Om voor alle overheden en bedrijven duidelijk te maken welke open standaarden de norm zijn, hebben de ministers van EZ en BZK het Forum Standaardisatie opgericht. Bovendien maken open standaarden deel uit van de Generieke Digitale Infrastructuur voor digitale overheidsdienstverlening en de Digicommissaris heeft ook hier een regierol in het stimuleren van het gebruik van open standaarden. De minister van W&R heeft in onderzoek om in de inkoopvoorwaarden en de modelovereenkomst voor IT opdrachten van het Rijk te verwijzen naar de toepassing van de open standaarden van de pas-toe-of-leg-uit lijst. Voorts zijn er twee trajecten om convenanten af te sluiten met softwareleveranciers: Het Bureau Forum Standaardisatie is bezig met een actie om leveranciers het Leveranciersmanifest open standaarden te laten tekenen 2, waarin zij verklaren de pas-toe-of-leg-uit lijst van het Forum Standaardisatie toe te passen. 40 leveranciers hebben dit inmiddels getekend. VNG/KING heeft in addenda bij convenanten die zijn gesloten met softwareleveranciers 3, specifiek voor gemeentesoftware, vastgelegd aan welke open standaarden moet worden voldaan. De softwarecatalogus van VNG/KING laat zien welke producten van welke leverancier aan welke standaarden voldoen. VNG/KING monitort de naleving. De minister voor W&R zal in zijn brief aan de kamer over uitvoering van de kabinetsreactie op het Eindrapport tijdelijke commissie ICT rapporteren over de voortgang van acties. Aansluitend aan het bovenstaande is de minister van BZK voornemens drie extra acties te ondernemen: Bureau Forum Standaardisatie (BFS) heeft een workshop opgezet om inkopers te instrueren over het gebruik van open standaarden bij inkoop. Daarbij wordt de hulptool van BFS voor selectie van relevante open standaarden en het gebruik van de standaard besteksbepalingen in de bestekken meegenomen. Naar aanleiding van uw eerdere motie4 zal ik het gesprek met de VNG en andere overheidsorganisaties intensiveren en maatregelen bespreken met als doel het toepassen door gemeenten van open standaarden te verbeteren; In de wet GDI die ik samen met mijn collega van EZ aan het opstellen ben, willen wij een bepaling opnemen waarmee de minister van BZK in voorkomende gevallen open standaarden kan verplichten. 2 https://www.forumstandaardisatie.nl/actueel/item/titel/eerste-40-bedrijven-ondertekenenleveranciersmanifest-open-standaarden/ 3 Op dit moment met 180 leveranciers 4 Tweede Kamer, vergaderjaar 2015 2016, 34 300 VII, nr. 36 Pagina 7 van 8
1) http://www.nrc.nl/handelsblad/2015/11/28/de-crash-was-voorspeld-en-hij-kwam-ook- 1561053 2) Aanhangsel Handelingen, vergaderjaar 2015-2016, nr. 461 Pagina 8 van 8