Jaarplan 2017 Bureau Keteninformatisering Werk en Inkomen Datum Versienummer 27 september 2016 1.00
Inhoudsopgave 1. Voorwoord 3 2. Prestatie-indicatoren en kengetallen 4 3. Opdrachten BKWI 6 3.1. Inleiding 6 3.2. Opdrachtlijn 1; primaire opdracht van het ministerie van SZW 7 3.2.1 Borgen continuïteit en stabiliteit van gegevensleveringen via Suwinet 7 3.2.2 Veilige gegevensuitwisseling: maatregelen op basis van het programmaplan Borging veilige gegevensuitwisseling Suwinet 7 3.2.3 Beheer van ketenstandaarden en wijzigingen 8 3.2.4 Ondersteunen Suwipartijen in het gebruik van Suwinet 10 3.3. Opdrachtlijn 2; aanvullende opdrachten vanuit het ministerie van SZW 11 3.4. Opdrachtlijn 3; opdrachten van een of meer Suwipartijen 11 3.4.1 Bestaande gegevensuitwisselingen met niet-suwipartijen 11 3.4.2 Nieuwe gegevensleveringen met niet-suwipartijen 11 3.4.3 Overige opdrachten Suwipartijen 12 3.5. Opdrachtlijn 4; opdrachten van derden 12 4. Overige relevante activiteiten 12 5. Financiën 14 5.1. Inleiding 14 5.2. Capaciteit BKWI 14 5.3. Begroting 2017 14 5.4. Bedrijfsvoering 15 6. Bijlagen 20 Jaarplan BKWI 2017-2 van 24
1. Voorwoord Het BKWI is verantwoordelijk voor de bouw, beheer en ontwikkeling van een systeem dat de afgelopen 15 jaar zijn waarde binnen het sociale domein bewezen heeft. Als een stabiele ontsluiter van gegevens binnen het sociale-wetgevingslandschap heeft BKWI het maatschappelijke belang van Suwinet goed geborgd, waar de stakeholders en medewerkers trots op kunnen zijn. In 2017 zullen aan het BKWI producten en taken worden overgedragen vanuit het programma borging veilige gegevensuitwisseling Suwinet. Deze producten en taken worden geïmplementeerd en moeten in beheer worden genomen. In samenwerking met het programma en haar opdrachtgevers zal hier uitvoering aan worden gegeven. Twee belangrijke onderwerpen zullen in 2017 de aandacht vragen van het BKWI. De toekomst van de gegevensuitwisseling is er daar een van. Deze toekomst wordt samen met het Inlichtingenbureau verkend. Het principe Privacy by design is daarbij leidend. Het BKWI heeft concrete ideeën over de wijze waarop dit principe toegepast kan worden. De keuzes die op basis van deze verkenning worden gemaakt hebben mogelijk impact op de wijze waarop gegevens worden uitgewisseld en gebruikt. De uitvoering van de wensen van de Autoriteit Persoonsgegevens ten aanzien van Inlezen is een ander belangrijk onderwerp. Daarbij is de aansluiting op de ENSIA (Eenduidige Normatiek Single Information Audit)-verantwoordingssystematiek een belangrijk uitgangspunt. In 2016 is het programma toekomstvast BKWI geïmplementeerd en formeel afgerond. BKWI is met dit programma nog beter voorbereid op de toekomst. De uitgangspunten van toekomstvast (rolvast, voorspelbaar, transparant en betrouwbaar) blijven aandacht krijgen. Het BKWI is een organisatie die leert om te werken volgens deze uitgangspunten. Ook in 2017. Tot slot; in 2017 bestaat het BKWI 15 jaar. In deze 15 jaar heeft Suwinet een belangrijke, bijna onmisbare, plaats verworven in het domein werk en inkomen. Het BKWI is er trots op dat het deze voorziening heeft gebouwd en al 15 jaar beheert en ontwikkelt. Bij dit jubileum zullen we in 2017 uiteraard stilstaan. BKWI ziet uit naar een productief 2017 waarin deze onderwerpen samen met UWV, VNG, SVB en SZW worden opgepakt! September 2016 Jaarplan BKWI 2017-3 van 24
Jeannette van Haren Directeur BKWI 2. Prestatie-indicatoren en kengetallen Prestatie-indicator Norm 2017 Medio 2016 Uitvoeren en coördineren technisch en functioneel beheer voorzieningen Suwinet Beschikbaarheid Suwinet Netwerk Applicatie(s) 99,5% 99,94% (gem.) Suwinet gegevens binnen 6 sec. 95% 99,33% (gem.) Goedkeurende auditverklaring beveiliging Suwinet Ja nvt Voorbereiden en beheren ketenafspraken Aantal afgehandelde beveiligingsincidenten + totaal aantal incidenten Actualisatie van de Suwi-standaarden Innovatie Suwinet en keten werk en inkomen 30 stuks 100% tijdig afgehandeld 1 x per jaar 30 Conform Norm Uren besteed aan afgeronde activiteiten met een innovatief karakter (project vervanging broker) 5% van besteedbare uren n.v.t. Financieel Goedkeurende accountantsverklaring Ja n.v.t. Benutting regulier budget tov jaarbudget < 100% 99,4% Benutting project budget (ten behoeve van vervangingsinvesteringen tov jaarbudget) < 100% Ntb Rechtmatigheid (pas in dec. van toepassing) 99% niet berekend Jaarplan BKWI 2017-4 van 24
Ziekteverzuim 4,5% 5,7% Kengetallen 2017 Medio 2016 Aantal fte s in vaste dienst 52,5 39,35 Aantal fte s op jaarcontract 4,31 Aantal fte s externe inhuur lijn 2 9,3 Aantal releases 8 7 Aantal gebruikers volgens gebruikersadministratie (gemiddeld per maand) Aantal raadplegingen[2] binnen Suwinet-Inkijk Gemiddelde responsetijd BKWI Aantal via Suwinet-Mail verzonden berichten Aantal afgehandelde wijzigingsverzoeken (Centraal Meldpunt Ketenwijzigingen) + tijdigheid van de afhandeling van de wijzigingsverzoeken. 37.342 (gem.) 14.628.592 0,41 sec. 617,041 22 [2] een raadpleging op een gegevenspagina kan uit meerdere berichten bestaan. De set KPI s en kengetallen is vooralsnog overgenomen conform jaarplan 2016. Jaarplan BKWI 2017-5 van 24
3. Opdrachten BKWI 3.1. Inleiding Vanaf de start is Suwinet uitgebreid en gegroeid qua functionaliteit, gegevens en leveringen. Suwinet vervult daarmee een belangrijke rol in de dagelijkse praktijk van het snel en goed verstrekken van uitkeringen, het begeleiden naar werk en het bestrijden van fraude. UWV, SVB en gemeenten gebruiken Suwinet ook om gegevens te leveren aan overheidsorganisaties buiten de sector. De werkwijze waarop Suwinet wordt beheerd en ontwikkeld kent een agile aanpak. Deze werkwijze is in 2016 geïmplementeerd. Al vanaf 2015 staat de beveiliging van Suwinet hoog op de agenda. Er is en wordt hard gewerkt aan de versterking van deze beveiliging. Ook 2017 zal in het teken staan van het realiseren, beheren en implementeren van maatregelen die gericht zijn op beveiliging. Veel van deze maatregelen zullen afkomstig zijn van het programma Borging veilige gegevensuitwisseling Suwinet. Beheren en ondersteuning bij de implementatie door ketenpartijen zijn de twee centrale thema s in 2017. In 2017 staat de uitvoering van de kerntaak van het BKWI, het beheer van de GeVS (Gemeenschappelijke elektronische Voorziening Suwinet), hierin centraal. Het vormt, met beheer en implementatie, het uitgangspunt en referentiekader bij alle werkzaamheden die op ons afkomen. De waarde van Suwinet in de dagelijkse praktijk is groot. Er zijn echter ontwikkelingen die leiden tot de vraag hoe gegevensuitwisseling in het Suwi-domein in de toekomst vorm krijgt. De informatiebehoefte- en uitwisseling bij gemeenten is veranderd als gevolg van de uitbreiding van verantwoordelijkheden. Op landelijk niveau wordt nagedacht over sectorale uitwisselingen via knooppunten. De meibrief van het ministerie van SZW onderstreept deze vraag. In deze brief wordt gevraagd in samenwerking met het Inlichtingenbureau te onderzoeken op welke wijze de gegevensuitwisseling in het domein werk en inkomen vanuit het uitgangspunt privacy by design opnieuw technisch vorm kan worden gegeven. De meibrief vraagt het BKWI ook om aandacht te besteden aan de wijze waarop wordt bijgedragen aan structurele bescherming en beveiliging van persoonsgegevens bij Suwinet waarbij wordt aangesloten op het project ENSIA (inrichting van verantwoording over de informatiebeveiliging bij gemeenten volgens principes van single information en single audit) Dit jaarplan is opgebouwd volgens de bekende opdrachtlijnen. Op de punten uit de meibrief wordt op pagina 12 ingegaan. Jaarplan BKWI 2017-6 van 24
Tot slot, wordt dit jaarplan voorgelegd aan de opdrachtgevers van het BKWI: UWV, SVB en VNG in het opdrachtgeversberaad. Het jaarplan bevat zaken die een of meerdere opdrachtgevers hebben geuit in gesprekken die zijn gevoerd over dit jaarplan. 3.2. Opdrachtlijn 1; primaire opdracht van het ministerie van SZW Binnen deze opdrachtlijn verricht BKWI de volgende werkzaamheden: Borgen continue, stabiele en veilige gegevenslevering via Suwinet Veilige gegevensuitwisseling; maatregelen op basis van het programmaplan Borging veilige Gegevensuitwisseling Suwinet Ondersteunen van de Suwipartijen in het beheer en gebruik van Suwinet; Beheer van de ketenstandaarden en wijzigingen Ondersteunen Suwi-partijen in het gebruik van Suwinet Aansluiten op veranderde wet- en regelgeving en veranderingen in de werkwijzen van de Suwipartijen. In de volgende paragrafen worden deze werkzaamheden nader uitgewerkt. BKWI legt over de activiteiten uit opdrachtlijn 1 zowel financieel als inhoudelijk verantwoording af aan het ministerie van SZW. Dit vindt plaats via de reguliere (afstem)overleggen met UWV als bestuurlijk verantwoordelijke van BKWI, en het ministerie van SZW, alsmede in het halfjaarlijkse- en jaarverslag van BKWI. BKWI neemt het Opdrachtgeversberaad mee in de verantwoording die BKWI aflegt over Suwinet. 3.2.1 Borgen continuïteit en stabiliteit van gegevensleveringen via Suwinet Borging en beheer van een verantwoorde gegevenslevering vereist dat wordt aangesloten op nieuwe ICT-technologie en standaarden. Dit betekent dat onder andere vervangingen nodig zijn om de continuïteit en stabiliteit van Suwinet en het ontwikkelproces te garanderen. Een belangrijke vervanging is de upgrade van Suwinet-Inkijk. Deze upgrade, gestart in 2015, biedt het BKWI en haar klanten nog meer flexibiliteit in het doorvoeren van wijzigingen. Tevens worden de pagina s in Suwinet-Inkijk aangepast. Dit brengt de gebruiker meer gebruikersgemak en nog kortere doorlooptijden van de aanpassingen. In 2017 wordt de upgrade van Suwinet-Inkijk geïmplementeerd bij de gebruikers. Het streven is deze implementatie in 2017 af te ronden. 3.2.2 Veilige gegevensuitwisseling: maatregelen op basis van het programmaplan Borging veilige gegevensuitwisseling Suwinet Het programma Borging veilige gegevensuitwisseling Suwinet is het antwoord op de uitkomsten van het rapport van de Inspectie SZW ( de burger bediend ) en de Privacy Impact Assessment (hierna PIA) Suwinet. In 2014 is de programmastructuur neergezet en ingericht. 2015 was het jaar van analyses, keuzes en start van de realisatie. 2016 staat met name in het teken van realisatie en implementatie. 2017 zal in het teken staan van implementatie, Jaarplan BKWI 2017-7 van 24
afronding, overdracht en het in beheer nemen van de producten uit het programma. Over het in beheer nemen van deze producten en de randvoorwaarden waaronder dat gebeurt moeten afspraken worden gemaakt met het opdrachtgeversberaad. In 2016 start het BKWI met de bouw van een online voorziening die het voor gemeenten mogelijk maakt wekelijks rapportages te ontvangen met betrekking tot het gebruik van de whitelist en escape-functie 1. De realisatie kent mogelijk een doorloop naar 2017 waar het gaat om het zelfstandig samenstellen van deze rapportages door gemeenten. Daarnaast zal de VNG ondersteund worden bij de implementatie van de zes nieuwe Inkijkpagina s voor gemeenten. Een aantal zaken uit het programma zullen terecht komen bij of terugvloeien naar het BKWI. Het BKWI heeft vooralsnog het beeld dat het om de volgende zaken gaat: realisatie en beheer whitelist, escape-functie en online rapportage-omgeving beheer Suwinet-normenkaders voor beheerders, bronhouders en afnemers naleving verantwoordingsrichtlijn, aansluitvoorwaarden en gedragsregels; domeingroep privacy en beveiliging voorzieningen voor de burger (inzage in gegevensgebruik) Voorwaardelijke levering De PIA die op verzoek van SZW wordt uitgevoerd en gericht is op de mogelijkheden om te werken met een caseload en zoeksleutels te beperken kan leiden tot aanvullende werkzaamheden of herprioritering van werkzaamheden. De opdrachtgevers van het BKWI hechten eraan dat het BKWI in 2017 zijn focus legt op de realisatie en implementatie van producten uit het programma. Het gebruik van de whitelist - en escapefunctie wordt expliciet genoemd. De VNG geeft aan dat het tempo van het implementatieprogramma van de VNG daarbij een belangrijke factor is. De realisatie en het onderhoud van een demo-omgeving, die actueel is en eveneens bruikbaar voor het vergroten van de awareness wordt ook belangrijk gevonden. Het UWV heeft onderzoek gedaan naar herziening van de pagina s die worden gebruikt. Ten aanzien van dit onderzoek heeft UWV contact met SZW en op basis van de pilot in het najaar van 2016 vindt in 2017 naar alle waarschijnlijkheid realisatie van de pagina s plaats. 3.2.3 Beheer van ketenstandaarden en wijzigingen Om het gegevensverkeer gestructureerd, betrouwbaar en veilig te laten verlopen worden in ketenverband standaarden voor gegevens, beveiliging, inrichting en beheer van Suwinet onderhouden en indien noodzakelijk, periodiek vernieuwd. 1 Whitelisting is een functionaliteit die organisaties in staat stelt om in Suwinet-Inkijk alleen gegevens van burgers te raadplegen waarmee de organisatie een dienstverleningsrelatie heeft. De escape-functie maakt het mogelijk om, met opgave van reden, gegevens te raadplegen van burgers waarmee geen dienstverleningsrelatie bestaat. Het gebruik van de escape-functie wordt gelogd. Jaarplan BKWI 2017-8 van 24
Het gaat dan om het Suwi-Gegevens Register (hierna SGR), de bericht- en transactiestandaard, de Keten SLA (Service Level Agreement) en Keten DAP (Dossier Afspraken en Procedures), de Ketenarchitectuur Werk en Inkomen (KaRWEI), de lijst behorende bij de Wet Eenmalige Uitvraag (WEU) en de Verantwoordingsrichtlijn en het Normenkader. BKWI zorgt, in opdracht van en samen met de Suwipartijen, voor het beheer van deze ketenstandaarden. Dat gebeurt via de domeingroepen en werkgroepen, waarin de ketenpartijen vertegenwoordigd zijn. Het BKWI voert de regie op deze domeingroepen. De domeingroepen zullen in 2017 het volgende oppakken: In 2017 zal versie 13.0 van het Suwi-Gegevens Register ter vaststelling worden aangeboden aan het opdrachtgeversberaad. Deze versie sluit daarmee aan bij de voorziene wijzigingen in wet- en regelgeving. In 2017 wordt gewerkt aan de ontwikkeling van versie 14.0 van het SGR. In 2016 is door de ketenpartners een impactanalyse uitgevoerd naar end-tot-end security. Met deze beveiliging heeft de ontvanger van een bericht de mogelijkheid om de identiteit van de verzender te controleren. Daarnaast kan met deze mogelijkheid een ondertekend bericht onderweg niet meer worden gewijzigd. Berichtuitwisseling wordt hiermee nog veiliger en voldoet daarmee bovendien aan de huidige standaarden. Afhankelijk van de besluitvorming heeft dit aanpassingen van de transactiestandaard en berichtstandaard tot gevolg. Naar verwachting vraagt dit een meerjarige implementatie. In 2015 is versie 2.5 van KArWei vastgesteld. 2017 zal in het teken staan van de implementatie van KArWei. Concreet betekent dit dat de domeingroep op basis van een nulmeting die in 2016 wordt uitgevoerd een advies zal uitbrengen over de veranderingen die nodig zijn om aan de standaarden in KArWei te voldoen. De Keten Service Level Agreement (SLA) en Keten Dossier Afspraken en Procedures (DAP) zijn in 2016 geactualiseerd en vastgesteld. Naar verwachting zal BKWI in 2017 een nieuwe versie van KetenSLA (versie 11.0) en een nieuwe versie van de KetenDAP (versie 5.0) realiseren. De resultaten van het programma Borging veilige gegevensuitwisseling Suwinet zullen daarin verwerkt worden. Dit geldt ook voor de mogelijke aanpassingen in de transactiestandaard. Ook de opdracht van UWV om provisioning (zie pag. 11) in te richten zal moeten worden verwerkt in de KetenSLA. Met deze voorgenomen werkzaamheden voldoet Suwinet aan de geldende standaarden, met voornaamste nevenresultaat dat de veiligheid van de gegevensuitwisseling verder toeneemt. Jaarplan BKWI 2017-9 van 24
De werkzaamheden van de domeingroep Privacy en beveiliging zijn geïntegreerd in het programma Borging veilige gegevensuitwisseling Suwinet. De afspraken over privacy en beveiliging en het beheer van die afspraken moeten door de keten worden gemaakt. Bij beëindiging van het programma komt deze domeingroep weer onder regie van BKWI en prioriteiten zullen derhalve pas op het moment dat beëindiging aan de orde is, worden gesteld. 3.2.4 Ondersteunen Suwipartijen in het gebruik van Suwinet UWV, SVB, gemeenten en andere gebruikers van Suwinet Producten zijn zelf verantwoordelijk voor het verantwoord gebruiken van Suwinet-Inkijk, Suwinet-Mail, Suwinet- Meldingen etc. Zij zijn ook verantwoordelijke voor goed gebruikersbeheer. BKWI heeft als taak om deze afnemers in staat te stellen om dit zo goed mogelijk te doen. BKWI zal dit in 2017 ondersteunen met: correcte documentatie en handleidingen bij de Suwinet-producten; communicatie over releases en wijzigingen via verschillende kanalen; de Suwidesk als 2 e lijnshelpdesk; opdrachtformulering en impactanalyses via rapportages over het gebruik van Suwinet; via vaste en incidentele contacten vanuit het BKWI-relatiebeheer, het voorzitterschap van de domeingroepen en het management. BKWI richt zich hierbij vanuit de 2 e lijn vooral op de gebruikersbeheerders, kwaliteitsmedewerkers en Security Officers van de Suwipartijen, die ervoor moeten zorgen dat de eindgebruikers hun werk goed en veilig kunnen doen met Suwinet. De samenwerking en vertegenwoordiging in het programma Borging veilige gegevensuitwisseling Suwinet is ook in 2017 van belang, waarbij BKWI intensief zal samenwerken met de VNG en KING als het gaat om de implementatie van de maatregelen uit dit programma bij gemeenten. Ook bij de implementatie van maatregelen bij andere Suwipartijen zal BKWI ondersteunen waar nodig. De rolverdeling tussen en samenwerking met de VNG, de Informatie Beveiligingsdienst (IBD), Inlichtingenbureau, KING en BKWI in de afhandeling van vragen van gemeenten verdient tot slot de nodige aandacht. 3.2.5 Aansluiten op veranderde wet- en regelgeving en veranderingen in de werkwijzen van de Suwipartijen. BKWI past zijn producten en diensten in 2017 aan op basis van wijzigingen in wet- en regelgeving. Via uitvoeringstoetsen levert het BKWI vroegtijdig een bijdrage aan de bepaling Jaarplan BKWI 2017-10 van 24
van de uitvoerbaarheid daarvan. Het aansluiten bij de eisen zoals gesteld in de Europese Privacy Verordening vormt in 2017 een belangrijke kader. 3.3. Opdrachtlijn 2; aanvullende opdrachten vanuit het ministerie van SZW Er zijn geen nieuwe aanvullende opdrachten voorzien. BKWI gaat er vooralsnog vanuit dat het technisch beheer en exploitatie van de Interventieteamapplicatie in 2017 wordt gecontinueerd. Conform de wens van SZW wordt er niet meer geïnvesteerd in nieuwe functionaliteiten binnen deze applicatie. 3.4. Opdrachtlijn 3; opdrachten van een of meer Suwipartijen BKWI ondersteunt de Suwipartijen om te voldoen aan de leverplicht aan niet-suwipartijen. Een onderscheid naar bestaande gegevensleveringen met niet-suwipartijen en nieuwe gegevensleveringen met niet-suwipartijen is hierin van belang. 3.4.1 Bestaande gegevensuitwisselingen met niet-suwipartijen BKWI ondersteunt gegevensleveringen van UWV, SVB en gemeenten aan onder andere CAK (Centraal Administratie Kantoor), Zorginstituut Nederland, Inspectie SZW, RMC s en de IND. Deze gegevensleveringen vinden plaats op basis van het aansluitprotocol bij de regelingen Suwi dat is vastgesteld voor het aansluiten van partijen buiten de sector. In 2016 worden afspraken gemaakt met opdrachtgevers over de facturering en financiering van deze gegevensleveringen. In 2017 zullen deze afspraken worden gecontinueerd. 3.4.2 Nieuwe gegevensleveringen met niet-suwipartijen Op dit moment voorziet het BKWI geen nieuwe opdrachten. Er vinden op dit moment oriënterende gesprekken plaats met niet-suwi-partijen waarbij de vraag is of uitbreiding van leveringen wenselijk en mogelijk is. SZW is hierbij reeds betrokken. Hoewel in 2017 de nadruk ligt op beheer en implementatie is BKWI zich er van bewust dat de nieuwste inzichten op het gebied van informatiebeveiliging en privacy, afkomstig uit het programma BVGS, moeten worden toegepast op nieuwe gegevensleveringen. Het gaat daarbij om het toepassen van voorwaardelijke levering (scherpere autorisatiestructuur), whitelisting en filtering. BKWI wil erop wijzen dat hierbij enige afhankelijkheid is van de ketenpartners, bijv. voor de implementatie van deze inzichten. Wat betreft de bestaande klanten is BKWI in zijn rol als beheerder al enige tijd gestart met een inventarisatie en toetsing van de bestaande leveringen op omvang en oorspronkelijk doel van deze leveringen. De eisen die worden gesteld vanuit de WBP en de Wet Suwi zullen nog nadrukkelijker worden meegenomen in deze inventarisatie. De inventarisatie vindt in zorgvuldige afstemming plaats met onze opdrachtgevers. Jaarplan BKWI 2017-11 van 24
3.4.3 Overige opdrachten Suwipartijen Op verzoek van VNG verricht de Suwidesk van BKWI voor KING (Kwaliteitsinstituut Nederlandse Gemeenten) werkzaamheden rondom de afhandeling van incidenten van EROW (Eenmalige Registratie op Werkpleinen); een DKD-component. KING verricht deze werkzaamheden in opdracht van de VNG. Vooralsnog gaat het BKWI er vanuit dat deze werkzaamheden in 2017 worden gecontinueerd. In 2017 realiseert het BKWI provisioning voor het UWV. Dit is een additionele opdracht. Provisioning maakt het mogelijk eenmalig in te loggen door het autorisatiemechanisme van UWV te gebruiken voor Suwinet (Single-sign-on). 3.5. Opdrachtlijn 4; opdrachten van derden In opdrachtlijn 4 worden in 2017 geen nieuwe opdrachten voorzien. In opdracht van Logius beheert BKWI sinds 2010 het BasisKoppelNetwerk (BKN). In 2017 zet BKWI deze werkzaamheden voort. Het BKN is de koppeling waarop bestaande koppelnetwerken (Haagse Ring, Suwinet en GemNet) aansluiten en vormt de basis voor Diginetwerk. De overheidsbrede gegevensuitwisseling wordt hiermee ondersteund. Hierbij hoort ook de ondersteuning van de beheerders van de basiskoppelnetwerken op hun aansluiting op het Basiskoppelnetwerk. De kosten die met deze opdracht samenhangen worden 100% additioneel en op nacalculatie basis door Logius gefinancierd. BKWI verricht werkzaamheden voor het Inlichtingenbureau. Deze werkzaamheden bestaan uit het routeren van inleesberichten ten behoeve van de uitvoering van de WWB door gemeenten. Gemeenten verwerken deze berichten in hun eigen systemen en/of applicaties. BKWI rapporteert over deze prestaties en beschikbaarheid aan het Inlichtingenbureau. Deze werkzaamheden worden in beginsel kosteloos door BKWI uitgevoerd. 4. Overige relevante activiteiten In samenwerking met het Inlichtingenbureau zal het BKWI volgens het uitgangspunt privacy by design verkennen hoe de gegevensuitwisseling in het domein werk en inkomen opnieuw technisch kan worden vormgegeven. Het BKWI heeft enkele concrete ideeën over de wijze waarop deze invulling kan worden gegeven aan deze ideeën. Deze ideeën worden ingebracht in deze verkenning. Deze verkenning vindt weliswaar plaats in 2016, maar kan leiden tot een of meerdere opdracht(en) van SZW waarbij in 2017 wordt gestart met de realisatie. N.a.v. de uitspraak van de Autoriteit Persoonsgegeven van september 2015 zal BKWI in 2017 invulling geven aan het borgen van een adequaat beveiligingsniveau voor het gebruik van gegevens die door afnemers via Suwinet worden ingelezen. Inzet is om via contractuele voorwaarden en verantwoording daarover te borgen dat partijen die via Suwinet direct Jaarplan BKWI 2017-12 van 24
gegevens opvragen in hun applicaties het gebruik van deze gegevens registreren en controleren. Zodat onbedoeld gebruik en misbruik van deze gegevens snel en effectief kan worden geconstateerd en maatregelen kunnen worden getroffen. Concreet betekent dit dat eind 2017 een rapportage wordt gemaakt over het verantwoordingsjaar 2016 waarin wordt ingegaan op de volgende vier eisen: dat logging over het gegevensgebruik op medewerkersniveau plaatsvindt; dat gebruikersrapportages worden opgesteld ter controle op misbruik en oneigenlijk gebruik door medewerkers; dat wordt nagegaan of er sprake is van misbruik of oneigenlijk gebruik van gegevens; welke verbeteracties er bij constatering van misbruik zijn genomen en/of welke sancties er zijn opgelegd. De planning is dat de gemeenten in 2017 ENSIA implementeren. De opdrachtgevers van het BKWI, SZW en BKWI hebben afgesproken dat in de verantwoording over Suwinet-Inlezen wordt aangesloten op ENSIA. Concreet betekent dit dat gemeenten een afslag van de verantwoording over Inlezen aan de gemeenteraad verzenden aan het BKWI. Het BKWI ontvangt deze afslag op een manier die aansluit bij de verantwoordingswijze van ENSIA. Om de administratieve lasten bij gemeenten, andere afnemers en BKWI te verminderen wordt hiervoor, bij voorkeur, een digitale omgeving ingericht. Daarnaast worden maatregelen genomen indien een inlezende afnemer niet voldoet aan de eisen. Afnemers van Suwinet- Inlezen krijgen, alvorens over te gaan tot deze maatregelen, hersteltermijnen opgelegd indien zij de verantwoording niet of niet volledig leveren. In die situaties wordt door het BKWI en zonodig UWV geëscaleerd binnen de afnemende organisaties. Over een samenvattende rapportage over Suwinet-Inkijk en DKD-Inlezen dienen nadere afspraken te worden gemaakt tussen de opdrachtgevers van het BKWI en SZW en het BKWI. Tot slot, in 2016 is het programma toekomstvast BKWI afgerond. Het handelen op basis van de vier uitgangspunten uit toekomstvast (rolvast, voorspelbaar, transparant en betrouwbaar) blijft een continue leerproces. Ook in 2017. Jaarplan BKWI 2017-13 van 24
5. Financiën 5.1. Inleiding Dit hoofdstuk geeft inzicht in de behoefte aan capaciteit en middelen ten behoeve van de uitvoering van voorgestelde activiteiten in 2017. 5.2. Capaciteit BKWI De bezetting, in 2017 voor de uitvoering van reguliere werkzaamheden uit de opdrachtlijn 1, is geraamd op 52,5 fte. Daarnaast wordt 200.000,- beschikbaar gesteld voor additionele externe inhuur van expertise. Voor aanvullende opdrachten uit opdrachtlijnen 2, 3 en 4 is additionele, externe financiering benodigd. De verwachtte kosten voor de uitvoering van deze opdrachten zijn budgetneutraal. 5.3. Begroting 2017 De begroting 2017 is separaat weergegeven in de tabel op pagina 18, met een toelichting. In de begroting zijn de kosten opgenomen voor de uitvoering van de reguliere activiteiten (opdrachtlijn 1), zoals beschreven in hoofdstuk 2 (de primaire taak). Deze kosten zijn reguliere kosten. Daarnaast is tevens het semivariabele onderdeel Kosten opvragingen authentieke bronnen opgenomen Overige activiteiten in opdrachtlijn 3 en 4 zijn weergegeven op pagina 23. Hoewel het BKWI in 2017 een sluitende begroting heeft wordt opgemerkt dat er in toenemende mate druk ontstaat op de capaciteit en financiën. Het gaat hierbij met name om de beleidsmatige werkzaamheden en de beheertaken. Daarnaast is er geen ruimte voor een dotatie aan de vervangingsvoorziening. Deze zorgen zijn geuit bij het Ministerie en inmiddels zijn hierover gesprekken gestart. Vervangingsinvesteringen Naast de reguliere dienstverlening, het uitoefenen van activiteiten ten behoeve van opdrachtlijnen 2 (additionele opdrachten SZW), 3 (Opdrachten Suwipartijen) en 4 (Opdrachten niet-suwipartijen), heeft BKWI ook voorzieningen getroffen voor vervangingen. De grondslag van deze voorziening is een meerjarige-investeringsbegroting, die in overleg met UWV reeds in 2014 is opgesteld voor een periode van 10 jaren. Bijgesloten treft u een afslag van het initiële overzicht aan over de periode 2016 tot en met 2019, waarop jaarlijks een herijking plaatsvindt. Het proces van herijking verloopt in nauwe samenwerking, afstemming en besluitvorming met UWV en in de toekomst zal BKWI input leveren aan het Meerjarig Financieel Overleg. De herijking van 2016 is in voorbereiding en wordt in Q3/Q4 aangeboden aan het UWV en ter kennisname aangeboden aan SZW. Jaarplan BKWI 2017-14 van 24
In principe vindt de opbouw van de voorziening plaats door een jaarlijkse bijdrage van BKWI aan deze voorziening. BKWI onderzoekt in Q4 2016 wat de benodigde hoogte van de voorziening dient te zijn, om autonoom te voorzien in de vervangingen aan de hand van de meerjarige investeringsbegroting en is hierover in overleg met UWV. Het initiële overzicht van de geplande investeringen voor 2017 en volgende jaren vindt u terug in bijlage 3 op blz 24. 5.4. Bedrijfsvoering Financieel Beheer De mandatering voor directeur en de afdelingshoofden worden conform de daarvoor geldende regels van het UWV gehanteerd. Qua rechtmatigheid maakt BKWI slagen door alle verplichtingen op te nemen in de verplichtingenadministratie. BKWI beheert een adequaat, actueel en volledig contractenregister, waarin alle externe leveranciers en externe inhuur zijn vastgelegd. Kwaliteitsbewaking & Beveiliging De kwaliteitsbewaking van de bedrijfsprocessen vindt binnen BKWI plaats door de Kwaliteitsmanager. De Information Security Officer (ISO) van BKWI zorgt ervoor dat BKWI voldoet aan de gestelde beveiligingseisen vanuit wet en regelgeving en vigerende normenkaders. En zorgt ervoor dat beveiliging een primair onderdeel vormt van de bedrijfsvoering binnen BKWI, waarbij elk afdelingshoofd verantwoordelijk voor de kwaliteitszorg binnen de eigen afdeling. De Kwaliteitsmanager ziet erop toe dat de bedrijfsprocessen voldoen aan bepaalde standaarden en heeft een adviserende en ondersteunde rol bij de implementatie van (nieuwe en gewijzigde) bedrijfsprocessen. Via de elektronische (IT) voorzieningen van BKWI worden veel persoonsgegevens van burgers uitgewisseld. Hiervan is BKWI zich bewust en BKWI zorgt er dan ook voor dat de gegevens adequaat beveiligd zijn en blijven binnen het verantwoordelijkheidsgebied van BKWI. Hiervoor geeft BKWI invulling aan o.a. de SUWINet normenkaders en hanteert BKWI voor de interne bedrijfsvoering de BIR (Baseline Informatiebeveiliging Rijksdienst). In 2017 is de BIR geborgd in de bestaande organisatie en is informatiebeveiliging een continue proces. De SUWINet normenkaders en de BIR dienen als uitgangspunt voor het informatiebeveiligingsbeleid van BKWI. En het informatiebeveiligingsbeleid vormt de kaders voor de operationalisering van de beveiligingseisen. Beveiligingseisen als een separaat besloten netwerk, autorisatie en authenticatievoorzieningen, logging en monitoring, antivirusscanners, etc. zijn de minimale eisen waaraan invulling wordt gegeven. Tevens gelden hiervoor Privacy en beveiligingswerkprocessen en een beveiligingscultuur binnen BKWI. Het Jaarplan BKWI 2017-15 van 24
toezicht op het daadwerkelijk gebruik van en naleving van de beveiligingsnormen en de baseline is geborgd middels periodieke EDP audits en penetratietesten. Doelmatigheid BKWI hecht veel belang aan een doelmatige uitvoering van haar taken. In de hoofdstukken 2 t/m 5 van het jaarplan is uiteengezet welke activiteiten BKWI in 2017 oppakt. In het afgelopen jaar heeft BKWI de reorganisatie Toekomst BKWI uitgevoerd en op basis van een evaluatie zal in 2017 mogelijke bijsturing plaatsvinden. In 2017 wordt de reguliere bezetting ingezet voor het uitvoeren van de primaire / wettelijke opdrachten. Alleen voor het uitvoeren van werkzaamheden met een zeer specialistisch karakter wordt rekening gehouden met de mogelijke inzet van extern personeel. Mocht een deel van de reguliere bezetting ingezet worden voor overige activiteiten en activiteiten t.b.v. vervangingen, waarvoor externe inzet was voorzien, worden de reguliere/wettelijke activiteiten middels inzet van externe inhuur als zijnde vervangingscapaciteit geborgd. Duurzaamheid In de kern is BKWI al een groene instelling. BKWI is opgericht om de informatie-uitwisseling binnen de Suwiketen met digitale middelen te ondersteunen en te bevorderen. Dit enerzijds ter vervanging van fysieke, papieren, informatiestromen en anderzijds het (digitaal) hergebruik van eenmaal opgevraagde en vastgelegde gegevens. Doordat een burger nog maar eenmaal zijn gegevens hoeft aan te leveren en hij dit bovendien digitaal kan doen wordt niet alleen op papier en posttransport bespaard maar ook op fysieke bezoeken aan soms meerdere instellingen. BKWI voldoet tevens aan de criteria voor duurzaam inkopen van het ministerie van VROM. Personeelsbeleid BKWI wordt gekenmerkt door een open bedrijfscultuur. Dat wenst BKWI zo te houden en waar mogelijk versterken. Dit doet BKWI door systematisch aandacht te blijven besteden aan de ontwikkeling van BKWI als werkorganisatie, aan onze goede kenmerken, verbeterpunten en aan de manier waarop BKWI met de buitenwacht en met elkaar wil omgaan. Conform de HRM-cyclus wordt structureel aandacht gegeven aan competentiemanagement, met aandacht voor persoonsgebonden ontwikkeling binnen de functie. Onderzoek Inspectie SZW In 2017 voert de Inspectie SZW opnieuw onderzoek uit naar de mate waarin gemeenten voldoen aan de zeven essentiële beveiligingsnormen. Dit brengt een belasting met zich mee voor het BKWI. Het BKWI treedt graag in overleg met het Ministerie als deze belasting qua capaciteit en financiën onevenredig is in relatie tot de reguliere taken en de werkzaamheden binnen het programmaplan. Risicobeheersing Jaarplan BKWI 2017-16 van 24
In onderstaand overzicht zijn in willekeurige volgorde de belangrijkste generieke risico s inclusief bijbehorende beheersmaatregelen omschreven. Voor alle risico s geldt dat de directie van BKWI verantwoordelijk is. In het kader van het reorganisatieprogramma Toekomstvast BKWI is risicomanagement ingericht en wordt de uitvoering in 2017 in de reguliere bedrijfsvoering uitgevoerd. Jaarplan BKWI 2017-17 van 24
Nr Omschrijving risico Kans Impact Beheersmaatregel 1 Ontevreden gebruikers Klein Groot a) Proactief informeren / consulteren in de verschillende gremia / overleggen op strategisch, tactisch en operationeel niveau. b) Proactief ontwikkelen & optimaliseren bedrijfs- en operationele strategie. c) Uitvoeren van KTO en initiëren van evt. noodzakelijke verbeteracties. 2 Onvoldoende draagvlak bij stakeholders en /of onvoldoende sturing vanuit de keten van werk en inkomen. 3 Planning & Control en /of verantwoording onvoldoende geborgd. 4 Continuïteit / beschikbaarheid van organisatie en diensten onvoldoende geborgd. Middel Groot a) Inrichting Opdrachtgeverberaad b) Proactief informeren / consulteren in de verschillende gremia / overleggen op strategisch en tactisch niveau c) Het MT van BKWI stelt vast hoe en structureert de wijze waarop zij omgaat met wensen en wijzigingen van haar opdrachtgevers binnen het huidige sturingsmodel Klein Groot d) Planmatige aanpak en informatievoorziening voor doelen, resultaten en financiën incl. risicobeheersing ingesteld en aantoonbaar nageleefd. e) Meetmethodieken en technieken voor verantwoording doelmatigheid en rechtmatigheid op orde inclusief bijbehorend toezicht. f) Kaders om financiële taakstelling te kunnen accommoderen vooraf bepalen en controlemaatregelen nemen. g) De inrichting van cost-accounting Klein Groot a) Toegevoegde waarde structureel evident (ook zonder wettelijke taak) door balans innovatie en beheer in verhouding. b) Continuïteitsplan uitvoeren c) Optimalisatie product en randvoorwaarden. d) Preventieve monitoring van diensten. e) Aantoonbare borging van benodigde expertise / capaciteiten / middelen. f) Eliminatie (single) points of failure (zowel organisatorisch als technisch). Jaarplan BKWI 2017-18 van 24
g) Operationeel beproefde fall-back scenario's voor diensten en dienstverlening. 5 Geborgde beveiliging (van gegevensuitwisseling) 6 Onvoldoende maatregelen om te voorkomen dat de primaire taken van het BKWI in het gedrang komen Klein Groot a) Aantoonbare uitvoering van beveiligingsbeleid in de praktijk. b) Beveiligingsbeleid herzien / updaten indien noodzakelijk. c) Periodieke controle middels audits en penetratietesten. Klein Groot a) Met het jaarplan wordt ingestemd door het opdrachtgeversberaad. Zij zijn hiermee op de hoogte van de verhouding tussen Suwitaken en niet-suwitaken b) Ad-hoc opdrachten, die gedurende het jaar worden ontvangen, moeten worden goedgekeurd door het opdrachtgeversberaad op basis van een impactanalyse c) In deze impactanalyse wordt ingegaan op de risico s voor de primaire opdracht van het BKWI Jaarplan BKWI 2017-19 van 24
6. Bijlagen Bijlage 1: Financiële tabel met toelichting Jaarplan BKWI 2017-20 van 24
Exploitatiekosten De exploitatiekosten van BKWI vallen uiteen in personele kosten, bureaukosten (incl. ondersteuning UWV), communicatie, contractkosten externe leveranciers, kosten opvragingen authentieke bronnen en projecten. Personele kosten Het totale pakket aan personele kosten is opgebouwd uit diverse componenten: Op basis van de formatie te weten 52,5 fte, zijn de loonkosten van het vaste, tijdelijk personeel en inhuur bedragen ter grootte van circa 4,8 mln opgenomen. Hierbij is rekening gehouden met 1,5% salarisverhoging voor loon- prijscompensatie en additionele externe inhuur ter grootte van 200.000,-. (incl. BTW) voor specifieke expertise ten behoeve van de uitvoering van reguliere werkzaamheden. De accountantskosten zijn voorzien op ca. 109.000,- voor de jaarlijkse EDP-audit en accountantscontrole incl. de interim-controles, vanwege additionele controles vanuit de EDPaudit op het punt van privacy& beveiliging. Voor opleidingen is 190.000,- gereserveerd (incl. BTW), gebaseerd op opgebouwde meerjaren ervaring over de behoefte en must aan scholing en ontwikkeling. Voor werving en selectie is 40.000,- (incl. BTW) opgenomen en voor overige, betreft onder andere teambuilding, bedrijfsuitje en dergelijke van 75.000,-. Ten behoeve van de leaseauto s is 40.000,- voorzien. Bureaukosten en ondersteuning UWV De bureaukosten bestaan uit o.a. uit huurkosten, kantoorautomatisering, kantoormateriaal, bijdrage aan UWV en de afschrijvingskosten zijn hier eveneens ondergebracht. Ten behoeve van de huur inclusief parkeerplaatsen en servicekosten is vanaf 2017 468.500,- voorzien, vanwege de ontkoppeling van de gezamenlijke huurverplichting voor het gehele gebouw. Vanaf 2017 begroot BKWI alleen de huurverplichting voor haar eigen deel in het bedrijfsverzamelgebouw en zijn de opbrengsten uit doorbelastingen eveneens gestopt, doordat ontvlechting van gezamenlijke contracten heeft plaatsgevonden. De kantoorautomatisering wordt in eigen beheer uitgevoerd, derhalve is voor beheer en onderhoud van KA-bedrijfsapplicaties en diverse kosten is 60.000,- begroot. Naast de standaard KA-software begroot BKWI aan eigen KA-applicaties en voorzieningen, licenties, beheer en onderhoud aan de BKWI/ontwikkelomgeving Suwinet in totaal circa 150.000,- (incl. BTW). Voor de overige bureaukosten (kantoorartikelen, telefoonkosten wordt 97.500,- gereserveerd (incl. BTW). Daarnaast maakt BKWI gebruik van een aantal diensten van UWV, zoals ICT-ondersteuning (0,1 fte), de financiële administratie (1,25 fte), de personeelsadministratie en het personeelsadvies (0,2 fte), de facilitaire afdeling (0,2 fte) en de juridische afdeling (0,25 fte). Jaarplan BKWI 2017-21 van 24
Voor deze ondersteuning is in totaal de kosten van 2 fte begroot, te weten 153.000,- BTWvrij. Voor afschrijvingen wordt een bedrag van 120.000,- gereserveerd. Dit bedrag bestaat uit afschrijvingen voor meubilair en voor diverse automatiseringsmiddelen en kantoorautomatisering. Communicatie Communicatie is separaat opgenomen vanwege de belangrijkheid doordat ketencommunicatie ten aanzien van SuwiNET bij BKWI wordt uitgevoerd. Voor de uitvoering is 40.000,- (incl. BTW) begroot inclusief lidmaatschappen, abonnementen, lezingen, workshops en themadagen (zaalhuur, catering, sprekers, drukwerk). Voor de papieren en digitale uitingsvormen van BKWI wordt 50.000,- (incl. BTW) begroot (SGR, handleidingen, foldermateriaal en website). Beheer en Ontwikkeling De totale kosten van het technisch beheer, inclusief de licenties, worden vastgesteld op 1.350.000,- per jaar. Deze kosten zijn opgebouwd uit twee componenten, te weten: kosten voor de centrale Inkijk applicatie, zoals de contractkosten van externe leveranciers en kosten voor technisch beheer dat uitgevoerd wordt door Schuberg Philis, ter grootte van 950.000,- voor kosten voor het beheer en onderhoud van het SuwiKoppelpunt en andere netwerkcomponenten wordt 400.000,- begroot. Kosten opvragingen authentieke bronnen BKWI heeft gegevens beschikbaar van Graydon (als aanvulling op de gegevens van de KvK) voor het bedrijvenregister. De totale kosten worden begroot op 35.000,-, Voor IVT wordt tot op heden jaarlijks additionele financiering toegekend van 41.091,-. Vooralsnog gaat BKWI er van uit dat het beheer wordt gecontinueerd. Jaarplan BKWI 2017-22 van 24
Bijlage 2: Tabel Overige activiteiten Activiteiten met betrekking tot opdrachtlijnen 3 en 4 zijn budgetneutraal en weergegeven in onderstaande tabel. Jaarplan BKWI 2017-23 van 24
Bijlage 3: Tabel Initiële Meerjarige Begroting vervangingsinvesteringen Meerjaren Begroting Vervangingsinvesteringen 2016 2017 2018 2019 1. Primair Suwinet product 75.000 0 600.000 300.000 1.2 EA Centrale Omgeving 450.000 1.3.3 Vervanging/upgrade userinterface Suwinet Inkijk 75.000 1.4 Vervanging Suwi Net werk (KPN) 150.000 1.6 Vervanging Rapportage tool 300.000 2. Secundair direct Suwinet Product 375.000 100.000 75.000 111.000 2. Suwinet diensten ondersteunende beheer software 2.1 RT-pakket 50.000 2. Suwinet diensten ondersteunende ontwikkel software 2.5 Jenkins 50.000 2.11 Auxure 250.000 2.3 Gerrit 50.000 2.6 GIT 50.000 2. Suwinet diensten ondersteunende domein software 2.7 Vervanging per jaar: 2 servers tbv Virtueel platform (totaal rack van 24 servers) 25.000 25.000 25.000 25.000 2.8 Vervanging CRM 2.9 SGR 50.000 2.10 KArWeI (Wiki als tool) 25.000 3. Secundair indirect Suwinet Product 36.000 36.000 0 36.000 3.1 Vervanging KA 3.2 K.A. Front-end 3.3 K.A. Back-end 3.4 K.A. Infrastructuur 3.6 Website (BKWI.NL) 3.7 Website CMK.nl 36.000 3.8 Website CMKwerkpleinen.nl 36.000 36.000 TOTAAL 486.000 136.000 675.000 411.000 Jaarplan BKWI 2017-24 van 24