Oplegnotitie Knelpunten Adoptie

Vergadering: Forum Standaardisatie 9 december 2020

Agendapunt: 4B1

Documentnummer: FS20201209.4B

Download hier de PDF versie van dit vergaderstuk. Wij kunnen de digitale toegankelijkheid van het PDF bestand niet garanderen.

Rechten: CC0 publieke domein verklaring

Ter bespreking

Advies Knelpunten voor Adoptie

[Bijlage: Advies Knelpunten Adoptie 1.2, opgesteld door PBLQ]

Het Forum Standaardisatie wordt gevraagd:

Kennis te nemen van het door PBLQ uitgevoerde onderzoek ‘Knelpunten voor Adoptie’ en de mogelijke oplossingsrichtingen in deze oplegnotitie te bespreken.

Toelichting

De Minister van Binnenlandse Zaken en Koninkrijksrelaties heeft op 15 november 2019 in de Kabinetsreactie bij het rapport ‘inventarisatie standaardisatie’ de wens uitgesproken dat een analyse wordt gemaakt van “….de oorzaken waarom open standaarden niet altijd worden toegepast. De oorzaken daarvan kunnen per standaard anders zijn en zullen afhangen van de mate, waarin de standaarden bijdragen aan het realiseren van prioritaire maatschappelijke doelstellingen. Aan de hand van dat inzicht kan bepaald worden welke vervolgacties noodzakelijk zijn.”

Dit onderzoek is uitgevoerd door PBLQ en bestaat uit twee delen:

1. Een quickscan van de bevindingen uit een zevental eerdere onderzoeken naar dit onderwerp;
2. Een advies over de belangrijkste oplossingsrichtingen.

Over het eerste deel (de quickscan) bent u geïnformeerd tijdens onze zomermeeting. We zouden nu vooral over de oplossingsrichtingen van willen spreken.

Belangrijkste bevindingen uit het onderzoek:

• Bij ICT-aanbestedingen zijn steeds vaker standaarden relevant; desondanks komt het zelden voor dat om alle standaarden wordt gevraagd. Standaarden lijken enigszins in beeld, maar onvolledig, met uitzondering van de standaarden voor internet- en e-mailbeveiliging.
• Bij de 35 onderzochte overheidsbrede voorzieningen is het beeld gunstiger.
• Bijna een derde van de standaarden op de lijst was de afgelopen jaren zelden of nooit relevant voor een aanbesteding of voorziening. Dit betekent echter niet dat deze standaarden niet belangrijk zijn.
• De adoptie van open standaardenbeleid moet gebeuren door de overheidsorganisaties zelf; het Forum kan dat niet voor ze doen. Dit is misschien wel het allerbelangrijkste, dat er een gevoel van urgentie gemist wordt bij deze organisaties. Hier is veel op terug te voeren.
• Er lijkt een sterke correlatie te zijn tussen de mate van ICT-volwassenheid van een organisatie en de mate waarin ze standaarden ondersteunen. Een organisatie met een CIO (of CISO of architect), die zijn rol goed pakt, en stuurt op architectuur, worstelt minder met de implementatie van standaarden.
• Organisaties borgen de adoptie van standaarden divers, en soms ook te laag in de organisatie. Er is vaak onvoldoende duidelijk wie verantwoordelijk is voor de toepassing in de praktijk en wie eindverantwoordelijk is? In de praktijk staat de implementatie van standaarden vooral hoog op de prioriteitenlijst als de opdrachtgever daarom vraagt.
• De ‘streefbeeldafspraken’ over de internetveiligheidsstandaarden lijken wél goed te werken, want daar zijn de adoptiecijfers veel hoger.
• Toepassen van en voldoen aan open standaarden kan complex zijn, het helpt als het mogelijk is om te toetsen of aan een standaard voldaan wordt (zoals op www.internet.nl).
• Een goede aanjagende partij binnen een domein (zoals bijvoorbeeld NICTIZ) lijkt ook te helpen bij de implementatie van standaarden.
• De ‘leg uit’ van het ‘pas toe of leg uit’- beleid wordt bovendien in de praktijk niet of nauwelijks toegepast. Kennelijk ontbreekt het ook hier aan urgentie. De opdrachtgever maakt er onvoldoende prioriteit van dat dit gebeurt.

Oplossingsrichtingen om de adoptie van standaarden te vergroten:

Allereerst, zoals in het adviesrapport geconstateerd wordt: adoptie is de verantwoordelijkheid van de overheidsorganisaties zelf. Het Bureau Forum Standaardisatie kan helpen met (het verzinnen van) ondersteunende maatregelen, maar het veld zal het moeten doen. De visie van het Forum is, dat de overheden zouden moeten inzetten op de volgende oplossingsrichtingen:

• Een belangrijk punt betreft de prioritering van de adoptie van standaarden. Gebleken is, dat de adoptie van standaarden snel kan verlopen als er voldoende urgentie wordt gevoeld. Begin dit jaar werd er in de media ruchtbaarheid aan gegeven dat het e-mailadres @rivm.nl kwetsbaar was voor onder andere phishing. Binnen korte tijd was deze kwetsbaarheid verholpen. Of de opdracht van VWS om binnen het zorgbeheer aan domeinnaambeheer te doen; dit zorgde onmiddellijk voor de benodigde aandacht en middelen. We willen dan ook alle overheidsorganisaties oproepen om voldoende prioriteit te geven aan de adoptie van open standaarden, bijvoorbeeld door expliciet opdracht te geven en hier binnen hun organisatie mensen en middelen vrij te maken hiervoor.
• Zie scherper toe op het ‘leg uit’ deel van de ‘pas toe of leg uit’ verplichting. Ieder jaar blijkt uit de Monitor dat overheden dit niet of nauwelijks doen, maar dat heeft tot nu toe niet geleid tot enige actie. Het is aan het OBDO om te bepalen door wie en op welke manier dat het beste kan gebeuren. Vanuit het Forum kan hieraan worden bijgedragen; gebleken is dat het aanspreken (bijvoorbeeld d.m.v. een mailing) van achterblijvers door de Forumvoorzitter ook tot meetbare verbeteringen leidt.
• Toepassen van de ‘pas toe of leg uit’ standaarden is een (afgesproken!) onderdeel van het ICT-normenkader en daarmee een verantwoordelijkheid van de CIO’s. Uit het door PBLQ uitgevoerde onderzoek blijkt die correlatie, maar ook in onze dagelijkse praktijk blijken meetbare verbeteringen te vinden, waar organisatie ervoor kiezen de CIO-office verantwoordelijk te laten zijn voor de implementatie van standaarden. Voorbeelden hiervan zijn: domeinnaambeheer bij VWS, of de praktijkvoorbeelden rond digitoegankelijkheid bij de Onderwijsinspectie.
• Het CIO-beraad zou dus de lead moeten nemen bij de adoptie van standaarden, waarbij wel meegenomen moet worden, dat een aantal standaarden van dusdanig technische aard zijn, dat die meer op het bordje van de CTO liggen. Bovendien, doordat veel organisaties in de praktijk de technische implementatie (en daarmee ook de CTO-rol) veelal bij shared serviceorganisaties ondergebracht hebben is de invloed van het CIO-beraad hier niet optimaal. Hier geldt vaak het credo “Het CIO-beraad is van het wat en de shared service leverancier is van het hoe”. De aanbeveling is dus om ook het CTO-beraad een rol te geven.
• Werken met ‘streefbeeldafspraken’ heeft bij de internetveiligheidsstandaarden goed gewerkt. Het Forum zou kunnen voorstellen om met bijvoorbeeld het CIO-beraad en het OBDO ook van deze ‘streefbeeldafspraken’ te maken voor overige standaarden. Daarbij zouden zij, waar mogelijk, aansluiting kunnen zoeken bij aanjagers in de domeinen (zoals bijvoorbeeld NICTIZ).
• Definieer het knelpunt in de overheidsdienstverlening dat ontstaat zonder dat bepaalde standaarden gebruikt worden. Het OBDO zou dergelijke knelpunten kunnen vaststellen, en zo nodig prioriteiten stellen in de aanpak. Het Forum zou vervolgens het accent kunnen verleggen en kunnen rapporteren op het oplossen van die maatschappelijke uitdagingen en niet meer op de complete lijst van standaarden. Staat het Forum open voor die verschuiving?
• Elke maatschappelijke uitdaging heeft bovendien zijn eigen mix van adoptie bevorderende instrumenten nodig. Dit kan aan de kant het OBDO liggen (financiering, wet- en regelgeving, implementatieafspraken) gecombineerd met ondersteunende activiteiten vanuit het Bureau. Afhankelijk van het soort standaard kan tooling als www.internet.nl ook goed werken.
• Tot slot: het huidige beleid is meer dan 13 jaar geleden ingevoerd. Destijds is ervoor gekozen het moment van verwerving van de ICT te nemen als het moment voor de verplichting van standaarden. Hier wordt dus ook op gemonitord. De vraag is of het zo langzamerhand, in een tijd waarin architectuur steeds meer leidend wordt, niet opportuun is om ook structureel aandacht te besteden aan het gebruik van open standaarden. Enerzijds zou dan de verplichting verbreed kunnen worden naar toepassing en gebruik van open standaarden. Anderzijds zou het Forum ook de monitoring meer op het gebruik van standaarden kunnen richten. Staat het Forum daarvoor open?