Op 3 december 2020 vergaderden het waterschap Amstel, Gooi en Vecht en de directie van Waternet in het Postillion Hotel in Amsterdam. Dik twee maanden eerder had de algemeen directeur van Waternet, Roelof Kruize, aan het waterschap en de minister beloofd opdracht te geven voor een onafhankelijk onderzoek naar de digitale veiligheid van zijn organisatie. Nu zal achter gesloten deuren het rapport van consultancykantoor Accenture worden besproken.  

Maar in plaats van een vertegenwoordiger van Accenture krijgt IT-adviseur Wiard Gorter de vloer. Hij blijkt ook te zijn aangesteld om de beveiliging te onderzoeken en is het grootste deel van de avond aan het woord. Gorter bevestigt dat de beveiliging van Waternet zwaar onder de maat is en dat er al jaren veel te weinig wordt gedaan om die te verbeteren. Het rapport dat Gorter inmiddels had opgesteld, wordt leidend en zijn advies hoe in te grijpen in de organisatie wordt overgenomen door het bestuur van Waternet. Het rapport van Accenture verdwijnt geruisloos achter slot en grendel.

Een vitaal bedrijf met een groot probleem 

Waternet verzorgt de drinkwaterkringloop in groot-Amsterdam en is verantwoordelijk voor het functioneren van de riolering, bruggen, sluizen en gemalen. Voor de 1,4 miljoen inwoners van het waterschap is het onder meer verantwoordelijk voor de afvoer en de schoonmaak van rioolwater; ook beheert Waternet het waterpeil. Als nutsbedrijf is Waternet onderdeel van de Nederlandse vitale infrastructuur. 

In september 2020 onthulde FTM , op basis van vertrouwelijke documenten en verklaringen van interne bronnen, dat de digitale beveiliging van Waternet aan alle kanten lekt. Ingewijden waarschuwden dat het een keer ‘finaal fout zou gaan’ en dat de gevolgen niet te overzien zouden zijn indien er niet werd ingegrepen.

Twee dagen later, op 21 september 2020, stuurde directeur Roelof Kruize een sussende brief naar het bestuur van Waternet, waarin hij onder meer schreef dat de bevindingen van FTM ‘grotendeels gebaseerd [zijn] op gedateerde en/of onjuiste informatie’. Kruize beloofde niettemin een onafhankelijk, extern onderzoek te laten uitvoeren. Minister Cora van Nieuwenhuizen (VVD) van Infrastructuur en Waterstaat zei blij te zijn met dat plan. Ze benadrukte dat een vitaal bedrijf als Waternet moet kunnen instaan ‘voor de privacy en cybersecurity’. 

Op 28 oktober 2020 stuurde Kruize een update naar het stichtingsbestuur, waarin hij meedeelde dat het beloofde onderzoek eerder die maand was uitgezet bij Accenture, en in volle gang was. Kruize deelde daarin ook de scope van de opdracht mee.

Een ministeriële tik op de vingers

Op 2 november 2020 publiceerde FTM een tweede artikel : Kruize had in zijn ‘susbrief’ de vernietigende uitslag verzwegen van een beveiligingsonderzoek, een zogenaamde penetratiest, die in januari 2020 was uitgevoerd door bureau Hoffmann. Nadien bleek dat de directie dit onderzoek ook had stilgehouden voor de Inspectie voor de Leefomgeving en Transport (ILT), de toezichthouder voor de sector. De ILT was een paar dagen eerder bij Waternet op de koffie geweest om over de veiligheidsproblemen te praten, maar ook het ILT werd niet ingelicht over de penetratietest. Dat verzuim leverde de directie een tik op de vingers op van de minister. De toezichthouder nam meteen het heft in eigen hand:

‘De ILT was voorafgaand aan de publicatie van FTM niet op de hoogte van de inhoud van de rapportage over deze test. De conclusies van de pentest en het feit dat Waternet de ILT niet eerder heeft geïnformeerd baren de ILT zorgen. Daarom zal de ILT de resultaten van het door Waternet ingestelde onderzoek – dat 2 tot 3 weken is vertraagd – niet afwachten en zelf een onderzoek instellen.’

De belofte wordt niet ingelost  

Desondanks bleven de directie van Waternet en het dagelijks bestuur van het waterschap het belang van hun eerder uitgezette onderzoek benadrukken. Vragen over de veiligheid van het waterbedrijf laten zij onbeantwoord, ook als die afkomstig zijn van het algemeen bestuur van het waterschap.

Ook Gorter is gevraagd de digitale beveiliging van het nutsbedrijf te onderzoeken. Hij blijkt daarmee al op 2 november 2020 te zijn gestart

De verwachtingen zijn dan ook hooggespannen op 3 december 2020, wanneer het onderzoeksrapport van Accenture wordt besproken. Maar in de besloten vergadering maakt die spanning al snel plaats voor verbazing. Want de aanwezigen wordt plots meegedeeld dat Accenture al jaren een vaste IT-consultant van Waternet is, en dus niet onafhankelijk is. Bovendien blijkt de scope van de opdracht die Accenture begin oktober ontving, ineens te beperkt te zijn geweest. Conclusie: Accenture was helemaal niet geschikt om het beloofde ‘onafhankelijke onderzoek’ uit te voeren.

Dan schuift de dijkgraaf IT-architect Wiard Gorter naar voren, die hij introduceert als ‘onafhankelijk IT-adviseur’. Ook Gorter is gevraagd onderzoek te doen naar de digitale beveiliging van het nutsbedrijf. Hij blijkt daarmee zelfs al op 2 november 2020 te zijn gestart, zo blijkt uit het rapport dat hij die avond in het Postillion presenteert.

Matthijs Pontier, bestuurslid van het waterschap, zegt desgevraagd: ‘Eind november werd ik voor mijn vragen nog verwezen naar het onderzoek van Accenture. Dat zij niet onafhankelijk zouden zijn, kwam voor mij als een complete verrassing. Ook van de opdracht aan Gorter wist ik niets.’

Het rapport van Accenture verdwijnt van tafel

Gorters rapport en adviezen worden vervolgens leidend voor de wijze waarop Waternet de beveiligingsproblematiek te lijf gaat. Zijn rapport staat inmiddels op de site van het waterschap. 

Het rapport van Accenture verdwijnt intussen achter slot en grendel. Voorafgaand aan de vergadering van 3 december wordt de geheimhouding in twee aparte besluiten vastgelegd, dit opdat gevoelige veiligheidsinformatie niet publiek wordt. Een week later wordt de geheimhouding door het algemeen bestuur van het waterschap bekrachtigd , en wordt gesuggereerd dat die geheimhouding mede op verzoek van Accenture zelf is.

Digitale veiligheid Waternet nog altijd ver beneden peil 

FTM beschikt over het rapport van Accenture en legde het naast dat van Gorter. De conclusies van beide onderzoeken stemmen in grote mate overeen. Maar er zijn ook  verschillen, en die blijken een grote invloed te hebben op de vraag naar de verantwoordelijkheid van de leiding van het waterbedrijf.   

Beide rapporten laten zien dat de digitale beveiliging van Waternet ver beneden peil is. Accenture toetst de systemen van Waternet aan de Baseline Informatiebeveiliging Overheid (BIO), waarin het basisniveau voor de beveiliging van informatie binnen publieke instellingen is vastgelegd. Op een schaal van 0 tot 5 scoort Waternet volgens het consultancybedrijf gemiddeld een bedroevende 1,54. Gorter voegt daaraan toe dat vitale dienstverleners als Waternet ‘minimaal’ een 3 zou moeten scoren, ‘met een 3 of hoger op de meest kritische veiligheidsaspecten’.

Gorter schrijft dat ‘Waternet [..] zijn cyber security en informatiebeveiliging op onderdelen onvoldoende op orde heeft’ en ‘dat de situatie op dit moment kritisch is’. Hij stelt dat er ‘onvoldoende integrale IT-visie en -regie vanuit het directieteam’ bestaat en dat het directie en personeel van Waternet aan ‘cybersecurity awareness’ ontbreekt. Problemen die volgens Gorter al jaren bekend zijn in de bestuurslagen van de organisatie.

Voorts constateert hij een ‘discrepantie’ tussen de 28 miljoen euro publiek geld die Waternet de afgelopen twee jaar heeft uitgegeven aan digitalisering ‘en het gerealiseerde niveau van informatiebeveiliging en cybersecurity’.

Gorter kraakt dus harde noten. Maar anders dan Accenture rept hij niet over de procesautomatisering van Waternet, waar de vitale taken van het bedrijf worden geregeld – denk aan de levering van drinkwater, de afvalwaterzuivering en de centrale bediening van bruggen en sluizen. Accenture bevestigt dat de digitale bescherming ook daar ver onder de maat is. Zo schrijft Accenture dat voor geen van deze onderdelen ‘een proces is ingericht voor het proactief monitoren van logbestanden’, dat ‘formele procedures voor de respons op informatiebeveiligingsincidenten ontbreken’ en er geen gedetailleerde bedrijfscontinuïteitsplannen zijn aangetroffen. Aangezien Gorter hierover zwijgt, blijft deze serieuze problemen feitelijk voor de buitenwereld verborgen.

FTM besprak beide rapporten met security-expert Floris Meester. Hij onderschrijft dat Accenture niet volledig onafhankelijk is, terwijl dat wel had gemoeten. ‘Daar staat tegenover dat ze grote problemen identificeren, die eerder ook al in interne stukken werden genoemd, en goede aanbevelingen doen. Het is echt geen slecht rapport. Dat Waternet dit rapport liever geheim houdt, snap ik wel: er staan echt vervelende dingen in.’

Rapport Gorter stuurt weg van verantwoordelijkheid

De opdracht van Accenture spitste zich toe op de naleving van de Baseline Informatiebeveiliging Overheid. Dit normenkader bepaalt dat de algemeen directeur van een instelling eindverantwoordelijk is voor ‘de integrale beveiliging en de inrichting en werking van de beveiligingsorganisatie’. Daarbij voorziet de BIO in een verantwoordingsregime, waarin per onderdeel (control) is aangegeven wie voor de implementatie en naleving daarvan verantwoordelijk is. De tekortkomingen die Accenture constateert ,kunnen zo rechtstreeks aan een verantwoordelijke persoon worden gekoppeld. In het leeuwendeel van de gevallen is dat algemeen directeur Roelof Kruize. 

Uit de brief van minister van Nieuwenhuizen van 4 november 2020 blijkt dat de  constateringen van Accenture ook het bestuur van het waterschap en de gemeente aangerekend kunnen worden: ‘Vanwege de governance structuur van Waternet is er voor cybersecurity juridisch gezien sprake van een situatie waarin de publiekrechtelijke (eind)verantwoordelijkheid voor de taken die Waternet uitvoert voor waterschap AGV en de gemeente Amsterdam berust bij deze partijen [..].’ 

Het is het rapport van Gorter in een notendop. Doordat het zo’n chaos was, kon het bestuur niet zien dat het een chaos was

Gorters rapport stuurt echter weg van die verantwoordelijkheden. Want hoewel hij harde noten kraakt over het al jarenlang falende veiligheidsbeleid, legt Gorter de verantwoordelijkheid daarvoor bij de organisatie, niet bij de leiding. Illustratief is zijn verklaring waarom er, terwijl de vele veiligheidsproblemen volgens hem al jaren bekend zijn in de bestuurlijke lagen van Waternet en het waterschap, desondanks niets aan is gedaan. Dat ligt volgens Gorter aan de onoverzichtelijke structuur van Waternet. Hierdoor was het ‘lastig’ om te zien dat er een gigantisch beveiligingsprobleem was, waardoor men daar ook niet op kon sturen: ‘cybersecurity [bleef] onderbelicht’. 

Het is het rapport van Gorter in een notendop. Doordat het zo’n chaos was, kon het bestuur niet zien dat het een chaos was. Het was de schuld van de auto dat hij over de kop sloeg, niet van de bestuurder.

Geschenk uit de hemel

Gorter besluit zijn rapport met het advies dat ‘direct ingrijpen in de organisatie noodzakelijk is’. Hij richt zich daarbij vooral op veranderingen in de structuur en cultuur van Waternet. Zo moet er wat hem betreft een ‘interventieteam’ worden opgetuigd, een IT- en een operationeel directeur worden aangesteld, een ‘extra’ senior CISO bijkomen en de drie IT-beheerteams moeten worden samengevoegd tot één. Verder is er volgens Gorter een ‘k‘rachtige interventie nodig’ om de ‘gebrekkige executiekracht, silovorming en gebrek aan synergie in de organisatie aan te pakken’. Een taak die volgens Gorter ‘typisch’ iets is voor de algemeen directeur.

De algemeen directeur, de directie, het stichtingsbestuur en de publiekrechtelijke (eind)verantwoordelijken: ze ontspringen in Gorters analyse allemaal de dans. Dat het management waarschuwingen van privacy en security officers stelselmatig heeft genegeerd, securitymaatregelen over het hoofd van de CISO terugdraaide en een vernietigende test verzweeg, maakt geen verschil. Net zo min als de gevaren voor de veiligheid en privacy van de bijna anderhalf miljoen mensen die in het beheersgebied van Waternet wonen.

Het stichtingsbestuur en de gemeente Amsterdam weten niet niet hoe snel zij het advies van Gorter moeten overnemen. Al op 3 december 2020 meldt het bestuur van Waternet de minister dat ‘het algemene beeld [is] dat de cyber security bij Waternet onvoldoende geborgd is en dat de organisatie [..] onvoldoende voortgang maakt’. Daarom ziet het zich ‘genoodzaakt om in te grijpen in de organisatie’, maar dan wel langs de lijnen van het advies van Gorter. De structuur gaat op de schop en er komen poppetjes bij. De verantwoordelijken krijgen een herkansing en gaan het alsnog samen oplossen. De minister informeert de kamer een dag later overeenkomstig. Problem solved, nobody got hurt.

‘De belichaming van vriendschap’

Dat Gorter de eindverantwoordelijken spaart, is niet heel verrassend. Gorter schrijft dat hij zijn onderzoek in nauwe samenwerking met alle betrokkenen heeft verricht – oftewel, met zijn opdrachtgevers. ‘Niet handig om nauw samen te werken met de mensen die je moet beoordelen,’ zegt Meester: ‘Helemaal niet als de directeur al onder vuur ligt.’ 

Bovendien is het de vraag hoe onafhankelijk Gorter is. Hij blijkt al jarenlang goed bevriend te zijn met dijkgraaf Gerhard van den Top – de man die hem naar voren schoof als de ‘onafhankelijke adviseur’ die bestuur en directie moest helpen de boel vlot te trekken. In een boek dat hij in 2003 publiceerde, beschrijft de dijkgraaf Gorter als de ‘belichaming van vriendschap’, en bedankt hij hem voor  zijn hulp en steun. Van den Top is als dijkgraaf bestuurslid van de stichting Waternet en daarmee de facto de opdrachtgever van Gorter.

Meester: ‘Dit kan echt niet.’ Hij vervolgt: ‘Je krijgt van dit alles het gevoel dat de leiding dingen onder de pet wil houden. Eerder werd er een pentest achtergehouden, een bestuurslid van het waterschap werd verzocht weg te kijken en nu wordt een kritisch rapport geheim gehouden en vervangen door een soort zoethouder.’ 

Het leidt tot de droevige constatering dat vier maanden na FTM’s eerste publicatie de digitale beveiliging van Waternet nog altijd ver onder de maat is en er – na twee met publiek geld gefinancierde onderzoeken – nog altijd geen onafhankelijk onderzoek is.

Het wachten is nu op het rapport van de ILT over Waternet. Dat wordt in maart verwacht.