Waternet staat niet meer onder verscherpt toezicht vanwege securityproblemen

De Nederlandse Stichting Waternet staat vanaf 1 januari niet meer onder verscherpt toezicht vanwege de aanhoudende securitytekortkomingen. De Inspectie Leefomgeving en Transport zegt dat Waternet 'maatregelen ter verbetering van de cybersecurity heeft geïmplementeerd'.

Het verscherpte toezicht op Waternet verloopt volgens de Inspectie Leefomgeving en Transport op 1 januari 2023. De toezichthouder zegt dat het waterbedrijf inmiddels voldoet aan de beveiligingseisen die de wet stelt. Waternet kwam in november 2020 onder verscherpt toezicht te staan nadat de beveiliging van het Noord-Hollandse waterbedrijf ondermaats bleek te zijn. Daarvoor bleek al uit onderzoek van Follow The Money dat Waternet onder andere een penetratietest met een slechte uitslag had verzwegen voor de toezichthouder. Door die problemen kunnen er in theorie problemen ontstaan in de leveringszekerheid van drinkwater.

Waterleveranciers zijn in Nederland geclassificeerd als vitale infrastructuur onder de Wet beveiliging netwerk- en informatiesystemen of WBNI. Dat betekent dat zulke bedrijven of overheidsinstellingen aan strengere veiligheidseisen moeten voldoen. Toezichthouders zoals de ILT, maar ook het Nationaal Cyber Security Centrum, kijken bij die bedrijven mee met de beveiliging. Ook hebben dergelijke bedrijven een meldplicht voor beveiligingsincidenten.

De ILT zegt dat Waternet zijn beveiligingsbeleid flink heeft verbeterd. "De eerder door de inspectie geconstateerde tekortkomingen zijn opgelost", zegt de dienst. Cybersecurity is inmiddels 'onderdeel van de besturing van de organisatie'. Ook wil de regio Amsterdam, waar Waternet water levert, in 2024 de drinkwatervoorziening onderbrengen in een naamloze vennootschap 'om de sturing en het toezicht te versterken'. Nu is Waternet nog een stichting met beperkter toezicht. "De organisatie is in control als het gaat om het beheersen van cybersecurityrisico’s", schrijft de ILT. De inspectiedienst blijft wel toezicht houden op het bedrijf, maar op dezelfde manier als waarop ze dat bij soortgelijke bedrijven doet.

Reacties (16)

”De Nederlandse Stichting Waternet”
Waternet is geen stichting, maar een Waterschap

Waternet is geen waterschap. Waternet is een stichting waaronder waterschap Amstel. Gooi en Vecht en Waterbedrijf Amsterdam zijn samengebracht. Waternet is de naam van de stichting waaronder beide bedrijven zijn samen gebracht.

Thanks. Dan heb ik het verkeerd begrepen.

aanvulling/correctie op beide voorgangers: Waternet is een stichting waarin de gemeente Amsterdam en het waterschap Amstel, Gooi en Vecht een aantal uitvoerende diensten hebben ondergebracht. Vanuit de gemeente: het waterleidingbedrijf (levering drinkwater) en het de dienst waterbeheer/riolering. Vanuit het waterschap de uitvoerende deinst (beheer/onderhoud watergangen/kunstwerken).

Zowel gemeente Amsterdam als waterschap Amstel, Gooi en Vecht bestaan nog steeds en leveren het bestuur van Waternet. Gemeente en waterschap zijn bevoegd gezag en verantwoordelijk.

Waternet is de o.a. 'uitvoeringsorganisatie' van het waterschap Amstel, Gooi en Vecht. Daarnaast is het ook een waterleidingmaatschappij. Ze hebben bijvoorbeeld ook nog een onderdeel dat doet aan ontwikkelingssamenwerking. Dat alles hebben ze zo te zien ondergebracht in een stichting.

Aanvulling: Een groot deel van het Algemeen Bestuur van het waterschap is zelf ook niet tevreden over deze omslachtige governance structuur. Het security debacle is een van de redenen geweest om ook deze governance structuur aan te pakken. 12 januari maken we hierin een belangrijk beslismoment. Hier kun je mijn pleidooi voor de laatste comissievergadering teruglezen en terugzien: https://noord-holland.pir...er-een-publieke-overheid/

Ze maken de IT lekken dicht, nu nog de andere lekken.

Klinkt als een uitnodiging..

Er is een RD-beleid!

Wat nog steeds een naïeve instelling is.

https://www.ncsc.nl/binar...lnerabilityDisclosure.pdf

Je moet gewoon een vergoeding betalen variërend van vb een leuke vakantie tot een ruimhartig jaarsalaris.

Want hoe je het wend of keert,
dit is werk voor professionals die weliswaar wel iets over het hoofd kunnen zien,
maar aan de andere kant moet je ook zo realistisch zijn dat er een stukje werk is blijven liggen dat nog moet worden opgepakt en waar andere instanties ook profijt van kunnen hebben zonder dat het je meer geld gaat kosten.


Vandaag krijg je dan een t-shirt omdat het bij waternet is,
morgen zit er een soortgelijke tekortkoming bij een hogeschool of gemeente en zet die daar de boel op slot omdat het je meer oplevert.

AUB fix titel, het deugt helemaal voor geen cent
Want "Waternet staat niet meer onder verscherpt toezicht VANWEGE securityproblemen"

Ik moest ook twee keer lezen... Maar de conclusie is gewoon: Nederlands is raar...
Nu lijkt het weer of de security problemen ervoor hebben gezorgt dat ze niet meer onder verscherpt toezicht staan

Dus, dit is dezelfde organisatie die vanwege vervanging van hun systemen in 2021 pas halverwege 2022 gestart is met het sturen van de aanslagen voor 2021 - en nog niet eens begonnen is met de aanslagen voor 2022. Deze aanslagen komen normaal rond mei van het lopende jaar. Er is hier wel meer mis dan "alleen" de security.

Obv het artikel heeft Waternet in 2 jaar en 1 maand uit het verscherpt toezicht weten te krijgen. Verbazingwekkend gezien het interne beleid, managers, en de puinhoop achter de schermen (facturatie idd die jarenlang niet klopt en achterloopt, postadressen die gebruikt worden zonder controle op de BRP, etc).

Heeft Security zo'n voet aan de grond gekregen door dit toezicht? Hoe hebben ze dit zo weten te verbeteren?

”… als het gaat om het beheersen van cybersecurityrisico’s.”

Met de nadruk op “als”

Ik kan beamen dat Waternet zich op dit moment actief inzet op cybersecurity.