De Inspectie Leefomgeving en Transport (ILT) maakt per 1 januari 2023 een einde aan het verscherpt toezicht op Waternet. Dit heeft ruim anderhalf jaar geduurd vanwege problemen met de cyberveiligheid. Volgens de ILT is er door verbeteringsmaatregelen van Waternet geen verhoogd risico meer voor de leveringszekerheid van drinkwater.
Waternet is blij van het verscherpt toezicht af te zijn. “We hebben hard gewerkt om dit voor elkaar te krijgen. De ILT heeft aangegeven voldoende vertrouwen in Waternet te hebben, wat betreft eventuele cyber-gerelateerde gebeurtenissen. Dat betekent niet dat we nu achterover kunnen leunen. Integendeel, cybersecurity blijft hoog op onze agenda staan.”
Bij deze korte reactie wil Waternet het als uitvoeringsorganisatie laten. Voor verdere informatie wordt verwezen naar de brief die Melanie van der Horst, wethouder water van de gemeente Amsterdam (waarvoor Waternet onder andere drinkwatertaken uitvoert), gisteren aan de gemeenteraad heeft gestuurd. Zij schrijft: “Het verscherpte toezicht kan beëindigd worden omdat de ILT in december 2022 heeft vastgesteld dat de tekortkomingen op het vlak van cybersecurity op orde zijn gebracht, waardoor er geen sprake meer is van een verhoogd risico voor de leveringszekerheid en kwaliteit van drinkwater.”
Onvoldoende grip op cybersecurity
De Inspectie Leefomgeving en Transport stelde het verscherpt toezicht in april 2021 in en zette dit halverwege 2022 voort, omdat op dat moment weliswaar progressie was geboekt maar ook nog het nodige moest gebeuren. Dit gold alleen voor het drinkwaterdeel van Waternet. De ILT constateerde tekortkomingen in de uitvoering van de wettelijke zorg- en meldplicht die Waternet als aanbieder van een essentiële dienst heeft. Volgens de inspectie bleek uit onderzoek dat het Amsterdamse watercyclusbedrijf zowel op bestuurlijk als op organisatorisch niveau onvoldoende grip had op de eigen cybersecurity.
De bal was in de tweede helft van 2020 aan het rollen gebracht door publicaties van het journalistieke onderzoeksplatform Follow the Money. De digitale beveiliging zou aan alle kanten lekken. Waternet liet toen in een reactie weten dat de berichtgeving over de digitale beveiliging grotendeels gebaseerd was op verouderde en/of onjuiste informatie. Het maakte geen goede indruk dat Waternet de ILT aanvankelijk niet informeerde over een rapport met tegenvallende resultaten van een zogeheten pen-test.
Geconstateerde tekortkomingen nu opgelost
Gisteren (20 december) stuurde minister Mark Harbers van Infrastructuur en Waterstaat een brief aan de Tweede Kamer, waarin hij kort toelicht waarom het verscherpt toezicht nu wordt afgeschaald. Vrijwel tegelijkertijd publiceerde de Inspectie Leefomgeving en Transport een nieuwsbericht van gelijke strekking op de eigen site. De ILT laat hierin weten dat de tekortkomingen in de uitvoering van de wettelijke zorg- en meldplicht zijn opgelost.
“Waternet heeft aangetoond dat de maatregelen ter verbetering van de cybersecurity zijn geïmplementeerd. De eerder door de inspectie geconstateerde tekortkomingen zijn opgelost. De organisatie is in control als het gaat om het beheersen van cybersecurity risico’s. Daarnaast is cybersecurity nu onderdeel van de besturing van de organisatie. In 2024 wil Amsterdam de drinkwatertaak onderbrengen in een naamloze vennootschap om de sturing en het toezicht te versterken. Op basis van de verbeteringen ziet de ILT geen verhoogd risico meer voor de leveringszekerheid van drinkwater. De inspectie volgt de ontwikkelingen bij Waternet vanuit het normale toezicht.”
ILT betrokken bij uitwerking van NV Drinkwater
In haar brief aan de Amsterdamse gemeenteraad schrijft Van der Horst dat Waternet na het vaststellen van de tekortkomingen een verbeterplan voor de integrale digitaliseringsaanpak voor de langere termijn had gemaakt. Dat plan is in juli 2021 goedgekeurd door het college van B&W. De hierin opgenomen maatregelen zijn gericht op het realiseren van noodzakelijke verbeteringen op het gebied van techniek, processen, organisatie(structuur) en cultuur. Verder meldt de wethouder dat de ILT nauw betrokken blijft bij de uitwerking van de NV Drinkwater.