de Voorzitter van de Tweede Kamer der Staten-Generaal Plein 2 2511 CR Den Haag

> Retouradres Postbus 20701 2500 ES Den Haag de Voorzitter van de Tweede Kamer der Staten-Generaal Plein 2 2511 CR Den Haag Ministerie van Defensie Plein 4 MPC 58 B Postbus 20701 2500 ES Den Haag www.defensie.nl Datum 19 december 2014 Betreft Maatregelen herinrichting IT-domein Defensie in relatie tot de aanbevelingen uit de Gateway Review en het Forrester-rapport Onze referentie BS2014037992 Bij beantwoording datum, onze referentie en betreft vermelden. Tijdens het algemeen overleg over IT bij Defensie van 5 november jl. heb ik toegezegd u te informeren over de maatregelen die ik heb genomen naar aanleiding van de aanbevelingen uit het Forrester-rapport en de Gateway Review. Met deze brief voldoe ik aan die toezegging. Maatregelen Op basis van het onderzoek naar het IT-domein van Defensie, waar de genoemde aanbevelingen deel van uitmaken, zijn 23 maatregelen genomen op het gebied van continuïteit, visie, besturing, verandering en sourcing 1. Voor elk gebied is een project in het leven geroepen waarin de maatregelen worden uitgevoerd. Vanwege de onderlinge samenhang worden de projecten als programma bestuurd 2. De vorderingen worden voorgelegd aan de IT Governance Board (ITGB), die toetst op voortgang, inhoud en kwaliteit. De ITGB rapporteert aan de Bestuursraad. Voltooide projecten Het project besturing betreft vijf maatregelen. Omdat een goede besturing van doorslaggevende invloed is op alle andere maatregelen is dit project als eerste uitgevoerd. Het project visie bevat één maatregel: het opstellen van een integrale, compacte, en aansprekende visie op informatietechnologie bij Defensie. Omdat de visie richtinggevend is voor de projecten sourcing en continuïteit is dit project vooraan in de planning opgenomen. Het resultaat is de IT-visie Let s make IT happen, die ik u op 24 oktober jl. heb gestuurd (Kamerstuk 31 125, nr. 45). 1 2 Zie bijlage 1 voor de 23 maatregelen. Zie bijlage 2 voor de onderliggende aanbevelingen uit de Gateway Review en het Forrester-rapport. Om tijdig te kunnen bijsturen wordt gewerkt met een rolling wave plan waarin telkens de volgende twee fasen in detail worden uitgewerkt en goedgekeurd. Pagina 1 van 9

Voortgang lopende projecten Continuïteit Dit project bevat de uitvoering van 5 maatregelen. Allereerst zijn de kortetermijnmaatregelen uitgevoerd, hierover heb ik u geïnformeerd in mijn brief van 16 september jl. (Kamerstuk 31 125, nr. 41). Hierna is begonnen met het opstellen van de business- en continuïteitseisen vanuit het perspectief van de gebruiker. Hiermee kan een infrastructuur worden ontworpen die op haar taak is berekend, en die op elk moment de gewenste beschikbaarheid levert. Deze fase heeft meer tijd gekost dan aanvankelijk voorzien. Nu de bouwstenen voor het ontwerp zijn voltooid, zullen ze worden samengevoegd tot een integraal infrastructuurontwerp. Dit zal de komende weken zijn beslag krijgen. Begin 2015 laat ik dit ontwerp toetsen door een externe partij door middel van een zogeheten quick scan. Hiermee wil ik zeker stellen dat op basis van de juiste ontwerpcriteria de juiste ontwerpkeuzes zijn gemaakt. Voorts bespreek ik de contouren van het ontwerp met een gecombineerde delegatie van de branchevereniging Nederland ICT en de NIDV. Omdat infrastructuur en beheerprocessen hand in hand gaan, worden de betreffende maatregelen in samenhang uitgevoerd. De uitvoering van deze maatregelen behelst op hoofdlijnen de volgende activiteiten: Formuleren business- en continuïteitseisen (gereed) Uitvoeren IT-assessment (gereed) Ontwerp infrastructuur, tools en processen (februari 2015 gereed) Toetsing van het ontwerp door middel van een quick scan uitgevoerd door een externe partij (februari 2015) Markt benaderen om kosteninzicht te krijgen (februari 2015) Definitieve keuze infrastructuur, tools en processen (maart 2015) Start aanbesteding infrastructuur (april 2015) Er zijn twee maatregelen geformuleerd die moeten garanderen dat Defensie in de toekomst kan beschikken over de benodigde kennis. Die maatregelen zijn gericht op capaciteitsmanagement en op de positie van Defensie op de arbeidsmarkt. Verandering Als begin volgend jaar de nieuwe directeur van het JIVC aantreedt, is de vernieuwing van de top van de IT-organisaties compleet. De nieuwe directeur van de DMO is voortvarend aan de slag gegaan met de uitvoering van de overige 4 verandermaatregelen. De uitvoering van deze maatregelen is een zaak van lange adem en wordt in 2015 voortgezet. Sourcing Zoals beschreven in de sourcingmaatregelen is het project IT-sourcing omgevormd tot een programma waarvan de HDBV/CIO de opdrachtgever is. Op dit moment wordt gewerkt aan de herijking van de sourcingsaanpak. Daarbij wordt ook gekeken naar het strategisch belang van het wide area network. Eind eerste kwartaal is deze herijking gereed waarna gerichte keuzes voor de uitvoering van de sourcing van de IT worden gemaakt. Bij de uitwerking wordt rekening gehouden met de motie-knops/hachchi (Kamerstuk 31125, nr. 50). Pagina 2 van 9

Tot slot Ik zal u in april 2015 informeren over zowel het ontwerp van de infrastructuur en de bijbehorende kosten, als de herijking van de sourcingsaanpak. Zoals gemeld in mijn brief van 27 november jl. (Kamerstuk 3146, nr. 50), ontvangt u in februari 2015 tevens een brief met de plannen voor ERP na de voltooiing van de basisimplementatie medio 2015. Hiermee zullen de hoofdlijnen van de ITontwikkeling bij Defensie voor de komende jaren zijn vastgelegd. DE MINISTER VAN DEFENSIE J.A. Hennis-Plasschaert Pagina 3 van 9

BIJLAGE 1 Maatregelen Defensie Nr Maatregel Project Gereed 1. Neem de HDBV/CIO op in de bestuursraad. Besturing Voltooid 2. Versterk de ondersteuning van de CIO door de oprichting van een CIO-office. Besturing Voltooid 3. Stel per augustus 2014 de IT Governance Board in. Besturing Voltooid 4. Beschrijf een integrale, compacte en aansprekende visie op de positie en doorontwikkeling van IT als onlosmakelijk deel van de bedrijfsvoering. 5. Voer kortetermijnmaatregelen door om de continuïteitsrisico s zo snel mogelijk op te heffen. Inventariseer de belangrijkste acute risico s voor continuïteit. Neem maatregelen om deze risico s te mitigeren. Breng de business continuity zoveel mogelijk op peil. 6. Zorg voor een nieuwe IT-infrastructuur die de gehele operationele keten kan ondersteunen. Realiseer die technische infrastructuur (inclusief tooling) naast de oude IT-infrastructuur en zorg voor een beheerste migratie. Actualiseer parallel de processen met expliciete aandacht voor service management. Herzie indien nodig het huidige projectportfolio om capaciteit (financieel en personeel) vrij te maken voor de realisatie van de nieuwe IT-infrastructuur. 7. Breng het beheer en de beheerprocessen van de ITdienstverlening op het juiste niveau. Breng de IV/ICT-exploitatie en de besturing daarvan op orde. 8. Voer capaciteitsmanagement in voor alle kritieke kennisgebieden zodat de beschikbare deskundigheid gericht kan worden ingezet. Neem indien nodig aanvullende maatregelen voor bijscholing, omscholing, inhuur en militaire vulling. Onderzoek hoe, met behulp van externe werving, gericht kan worden voorzien in de instroom van personeel in kritieke kennisgebieden. 9. Maak van de werving van IT-personeel een speerpunt. Zorg dat voor Defensie weer een aantrekkelijke werkgever is voor hoogwaardig ITpersoneel. 10. Beoordeel of de geconstateerde problemen door het huidige IT-topmanagement opgelost kunnen worden. Visie Voltooid Continuïteit Inventarisatie voltooid, maatregelen mitigatie risico s lopen (gereed juni 2015) Continuïteit 31/12/15 Continuïteit 31/12/15 01/04/15 Continuïteit Medio 2015. Continuïteit 30/06/15 Verandering Voltooid Pagina 4 van 9

Nr Maatregel Project Gereed 11. Voer op voorhand geen organisatorische wijzigingen Besturing Voltooid in het IT-domein door, maar verbeter de onderlinge relaties en aansturing vanuit het topmanagement zodat weer een werkend geheel ontstaat. Richt bij DMO voor de aansturing van het IT-domein een IT Governance Office op. 12. Stel het topmanagement van het IT-domein in de Verandering 31/03/15 gelegenheid veranderingen aan te brengen in het middenmanagement. Wellicht door uitwisseling tussen JIVC en DMO/OPS of met andere delen van Defensie. Creëer hiermee de mogelijkheid om snel vers bloed in beide organisaties in te brengen. 13. Herstel de verbinding tussen het management en de Verandering 31/12/15 werkvloer door een traject op te zetten waarin gedrag, werkhouding en communicatie worden bevorderd. 14. Stem de processen in het IT-domein beter op elkaar af en leg verbindingen met de omgeving. Consolideer administraties en vereenvoudig processen. Professionaliseer de regie-organisatie. Verandering Plan van aanpak voltooid. Uitvoering in 2015. 15. Zorg ervoor dat opdrachten als bindend worden ervaren. Eén keer ja op niveau topmanagement IV/ICT-domein moet voldoende zijn om het besluit Verandering 31/12/14 (met nazorg in 2015) zonder discussie en hindermacht uit te voeren. 16. Continueer het sourcingstraject en beleg de Sourcing Voltooid aansturing bij de HDBV/CIO. 17. Vorm het project IT-sourcing om tot een Sourcing Voltooid programma met daarin de aanbesteding, de vormgeving van de regieorganisatie en het voorbereiden op de migratie. 18. Beleg het opdrachtgeverschap van het ITsourcingprogramma Sourcing Voltooid bij de HDBV/CIO namens de Bestuursraad. Maak de ITGB de stuurgroep en beleg de uitvoering in de lijn. 19. Herijk de sourcingsaanpak waarbij de zogenaamde Sourcing 01/03/15 kaveldiscussie buiten haken worden geplaatst. Besteed daarbij in het bijzonder aandacht aan het aspect (informatie)beveiliging in het licht van recente ontwikkelingen. 20. Bepaal het strategische belang van het wide-area Sourcing 01/03/15 network NAFIN voor Defensie. Besluit op basis hiervan of het mogelijk en wenselijk is NAFIN te vervreemden. Neem de mogelijkheden voor interdepartementale samenwerking mee in de afweging. 21. Laat HDBV/CIO, D-DMO en de programmamanager Sourcing 01/06/15 IT-sourcing samen het vervolgtraject uitwerken. 22. Voor eventuele outsourcing gefaseerd uit. Zorg Sourcing Eind 2016 Pagina 5 van 9

Nr Maatregel Project Gereed eerst voor van een beheerste situatie: een ingerichte en werkende besturing van de IV/ICTketen, een sterke regie-organisatie en inzicht in de eisen aan de (toekomstige) IT als integraal onderdeel van de bedrijfsvoering. 23. Neem IT op als aparte zuil in de regieagenda. Besturing Voltooid Pagina 6 van 9

Bijlage 2: Aanbevelingen Gateway Review en Forrester-rapport Aanbevelingen Gateway Review # Aanbeveling Belegd in 1 Definieer en doorleef als Bestuursraad de ambitie van Defensie op het terrein van IV/ICT Maatregel 4 2 Breng de CIO in charge Maatregel 1, 3, 11 3 Herijk de scope van de outsourcing. Hou vast aan de keuze voor twee kavels 4 Onderzoek met voorrang de datacenters en de overige ICTinfrastructuur en investeer zonodig Maatregel 19, maar de indeling in kavels wordt nader beschouwd. Maatregel 5 5 Borg innovatie in de outsourcingstrategie Maatregel 19 6 Herijk de outsourcingstrategie Maatregel 19 7 Geef de aansturing van het outsourcingstraject vorm als een integraal programma. Beleg het opdrachtgever-schap bij de HDBV/CIO én veranker het opdrachtnemerschap in de lijn Maatregel 17 Aanbevelingen Forrester-rapport # Aanbeveling Belegd in 1 Define the business services that are provided by ICT/IV to support the Ministry of Defence. This should be formalised into a Service Portfolio or Service Catalogue. 2 Identify key or business critical services to prioritise investment and activities to bring these services up to the necessary service levels. 3 Based on the prioritisation determine the supporting technical or infrastructure services. Infrastructure services such as network services may support many different business services. 4 Carry out a risk assessments on the business critical services and the supporting technical or infrastructure services to determine the impact on the Ministry of Defence of the loss of one or more of these services. 5 Based on the risk assessments establish the appropriate risk mitigation strategies (resiliency, redundancy and business continuity) and target investment to bring the services up to the required service levels. Pagina 7 van 9

# Aanbeveling Belegd in 6 Establish clear roles and responsibilities with unambiguous authority to make decisions. The bureaucracy that surrounds the current decision making processes needs to be reduced to a level that provides only the appropriate checks and balances necessary for governance and auditing. In particular, the CIO needs to be given the authority and responsibility to set the overall direction for ICT/IV and have the means to ensure that it is implemented appropriately. 7 Validate the Demand Management, Strategy Generation to Service Portfolio Management value-chain ensuring all activities are occurring at the appropriate intervals. 8 Forrester recommend the budget setting process needs to be made more realistic, matching the business demand for services and to allow for modernisation. 9 Forrester recommend the focus on short-term cost reduction should change to look at longer term efficiencies that can be gained from reducing the administration burden (by automation and modernisation) allowing investment to be shifted from exploitation to innovation. 10 The organisational issues must be resolved as a matter of urgency. The best organisational structure for the Ministry of Defence needs to be determined and implemented. The implementation of the new structure should apply good Management of Organisational Change practices to ensure obstacles are overcome and the structure is embedded throughout the organisation. 11 In creating the new organisational structure the Ministry of Defence needs to consider its Target Operating Model for ICT/IV services; either budget/cost driven, shared service, service integrator or service broker. The Target Operating Model will drive the capabilities that the Ministry of Defence requires to deliver its ICT/IV services and provide the framework to manage any future outsource suppliers that may be engaged. 12 To rebuild trust across the organisation there needs to be a greater appreciation of the role or function of each group within the ecosystem. This is often achieved by the use of business simulations. The simulations provide experiential learning that create a clear understanding of how the various roles and functions within an organisation must work together to deliver services effectively and efficiently. Maatregel 1, 3, 11 Vastgelegd in visie (maatregel 4) en tot uiting gebracht in extra investeringen Maatregel 11 Maatregel 11, 19 Maatregel 13 Pagina 8 van 9

# Aanbeveling Belegd in 13 Communication across the organisation needs to be more open and clear. Communication needs to be personalised for each group so they understand what it means to them and what action they need to take. 14 In particular the vision and strategy for ICT/IV within the Ministry of Defence needs to be reinforced to help overcome the rumours and noise that are currently circulating. 15 Barriers to upward communication need to be overcome so that concerns and issues can be addressed. Trust must be regained that the executive management team understand what is going on and the day-to-day reality of peoples jobs. Maatregel 13 Maatregel 4 Maatregel 13 16 Mechanisms should be put in place to enable and encourage greater collaboration between the functional groups to breakdown the silo mentality. 17 The Ministry of Defence needs to understand the capabilities it requires within its workforce to deliver ICT/IV services effectively now and in the future. Gaps and deficiencies within the current organisation then need to be bridged either by retraining, recruitment or sourcing from the market. 18 The issues with attitude, behaviour and culture need to be addressed as a priority. This is aligned with the recommendations for the organisational issues and can be approached in a similar way. Business simulations and experiential learning are very effective mechanisms to highlight the impact of culture on the effectiveness of an organisation. 19 Forrester recommends a comprehensive review of the technology management processes to create a programme to update where necessary and to bridge any identified gaps. Business Continuity Planning needs to be considered a priority. 20 Forrester recommends a comprehensive review of the current technology management tools and technology. Tools that are out of support should be considered for replacement or upgrade. Any gaps in coverage should look to be bridged. Monitoring and automation need to be considered to improve effectiveness and efficiency. Maatregel 14 Maatregel 8 Maatregel 13,7 Maatregel 7 21-27 De exacte inhoud van deze aanbevelingen is vertrouwelijk, maar in zijn algemeenheid betreft het aanbevelingen die worden opgevolgd met het herontwerp van de infrastructuur. Pagina 9 van 9