Advies van het Adviescollege ICT-toetsing over het programma Transitie ICT-dienstverlening

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202626 643Informatie- en communicatietechnologie (ICT)Nr. 1417 BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN EN DESTAATSSECRETARIS VAN BINNENLANDSE ZAKEN ENKONINKRIJKSRELATIES Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 1 oktober 2025Met deze brief informeren wij uw Kamer over het advies van het Advies-college ICT-toetsing (hierna: AcICT) over het programma TransitieICT-dienstverlening. Dit advies hebben wij op 4 februari 2025 van AcICTontvangen. Hierbij ontvangt u het rapport met de conclusie en deaanbevelingen van AcICT. Bij dit advies hoort nog een vertrouwelijkebijlage. Het integrale advies, dus inclusief die bijlage, is op 3 maart jl. alvertrouwelijk met uw Kamer gedeeld (Kamerstuk 26 643, nr. 1304). In dezebrief gaan wij in op de conclusie uit het hoofdrapport en beschrijven wijop welke manier opvolging wordt gegeven aan de aanbevelingen.AanleidingOp 14 februari 2011 presenteerde de toenmalige Minister van Binnen-landse zaken en Koninkrijksrelaties (BZK) het uitvoeringsprogrammacompacte rijksdienst (CRD)1. Onderdeel van dit programma was deinrichting van een rijksbrede infrastructuur voor de ondersteunendebedrijfsvoering, inclusief de ICT-dienstverlening. In het programmaplanCRD stond dat alle ministeries (met uitzondering van het Ministerie vanDefensie) de uitvoering van hun ICT-dienstverlening vanaf 2013 zo veelmogelijk zouden bundelen. Zo werd op 1 januari 2012 het nieuwe SharedServices Center ICT (SSC-ICT) in het leven geroepen, een onderdeel vanhet Ministerie van BZK, met als belangrijkste startkapitaal deICT-dienstverleningsorganisatie van het toenmalige Ministerie vanInfrastructuur en Milieu.Op 1 januari 2015 stapte het Ministerie van Buitenlandse Zaken (BZ) in alsopdrachtgever voor SSC-ICT, en nam SSC-ICT een groot deel van deICT-voorzieningen en -diensten over van BZ. Daarbij ging ook een deel vande Directie Informatie Diensten van BZ over naar SSC-ICT, en werd ervan1Kamerstuk 31 490, nr. 54. kst-26643-1417ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14171 uitgegaan dat SSC-ICT het beveiligings- en beschikbaarheidsniveau zouleveren dat voor het Ministerie van BZ vereist is.De samenwerking tussen BZ en SSC-ICT heeft van het begin af aan denodige struikelblokken gekend. Dat is voor een belangrijk deel toe teschrijven aan de botsing van twee werelden. Aan de ene kant die van eenshared services organisatie die is bedoeld om gedeelde, en tot op zekerehoogte identieke diensten te leveren aan verschillende afnemers.Daartegenover staat dat het werk en het werkterrein van BZ met zichmeebrengt dat BZ specifieke behoeften heeft, en dat BZ extrabescherming nodig heeft tegen statelijke actoren met een offensiefcyberprogramma dat is gericht tegen Nederlandse belangen. Verschil-lende incidenten hebben gemaakt dat BZ zich in de eerste helft van 2024genoodzaakt zag om de levering van ICT-diensten te heroverwegen, metals uiterste consequentie het onderbrengen van – een deel van – de doorSSC-ICT geleverde diensten bij een of meer andere aanbieders. In datverband heeft de Minister van Buitenlandse Zaken aan AcICT gevraagdom advies uit te brengen over de manier waarop dit moet wordenaangepakt.Advies programma Transitie ICT-dienstverleningAcICT trekt op basis van hun onderzoek als belangrijkste conclusie dat zijhet besluit van BZ om nu te vertrekken bij SSC-ICT te risicovol vinden,vanuit het perspectief van BZ, en met het oog op het rijksbrede belang. Bijdeze conclusie zijn ter onderbouwing, kort samengevat, door AcICT devolgende bevindingen meegegeven:A.Vertrek brengt de urgente verbetering van de informatiebeveiliging ingevaar.B.Grote kans op herhaling problematiek dienstverlening door onvolwas-sen besturing BZ.C.Vertrek belemmert noodzakelijke beveiliging tegen statelijke actorenvoor BZ en rijksbreed.AcICT adviseert op basis van deze conclusie om het vertrekbesluit op ditmoment niet door te zetten en eerst de urgente verbetering van dehuidige ICT-dienstverlening topprioriteit te geven. Dit advies is door AcICTuitgewerkt in de vorm van vier aanbevelingen:1.Zorg dat SSC-ICT en BZ de urgente beveiligingsrisico’s terugdringen.2.Zorg dat de besturing bij BZ fundamenteel verbetert.3.Realiseer vanuit BZK een rijksbrede aanpak beveiliging tegen statelijkeactoren.4.Evalueer na 2 jaar gezamenlijk de opvolging van de adviezen.Opvolging van het adviesHet advies van AcICT heeft een grote reikwijdte. Er was gevraagd om teadviseren over een programma dat is gestart door BZ, maar veel van deadviezen betreffen logischerwijs ook SSC-ICT, of de samenwerkingsrelatietussen BZ en SSC-ICT. Als belangrijk puzzelstuk voegt AcICT daar eenaanbeveling aan toe die te maken heeft met een rijksbrede verantwoorde-lijkheid, en die dus vooral is gericht aan BZK, in het bijzonder de directeur-generaal Digitalisering en Overheidsorganisatie (DGDOO). De drieorganisatieonderdelen hebben het advies samen bestudeerd, en pakkenook samen de handschoen op die er nu ligt. Zij zien de aanbevelingen alsrichtinggevend voor de verdere verbetering van de rijksbrede samen-werking op het gebied van ICT-dienstverlening. Dat is concreet uitgewerktin een programmaplan dat materieel op 1 juli jl. in uitvoering is genomen:het programma SHIELD (Samenwerkingsprogramma HerzieningInformatiebeveiliging En Levering Diensten).Tweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14172 Het programmaplan is opgezet met gebruikmaking van de principes vanManaging Successful Programmes (MSP). De essentie is onder anderedat, binnen de context van de programmaportfolio, verschillendeprojecten of andere activiteiten (in het jargon: inspanningen) wordenuitgevoerd waarvan de resultaten in samenhang leiden tot concrete baten.De inspanningen zelf vallen niet onder de verantwoordelijkheid van hetprogramma. SHIELD initieert, coördineert en integreert, maar deinspanningen zelf vallen onder verantwoordelijkheid van de staandeorganisaties, in principe een van de drie samenwerkende organisatieon-derdelen: BZ, SSC-ICT en DGDOO.Voordat SHIELD werd opgezet was een groot aantal inspanningen al vanstart gegaan. Dat geldt bijvoorbeeld voor het merendeel van de inspan-ningen die vallen onder verantwoordelijkheid van SSC-ICT. In 2024 zijndaar verschillende trajecten in gang gezet voor het aanpakken van urgentebeveiligingskwesties. Inmiddels werpen die hun vruchten af. Daarmee iser nu ook, vanuit het perspectief van risicobeheersing, een natuurlijkmoment ontstaan voor openbaarmaking van het advies van AcICT.BZ en BZK hebben de handen ineengeslagen om, geholpen door hetAcICT-advies, hun samenwerking op het ICT-dossier te versterken. Hetadvies is inmiddels gebruikt als een extra impuls voor de ontwikkeling vanmaatregelen om onder andere de weerbaarheid tegen statelijke actoren teversterken. De resultaten daarvan komen aan de hele rijksoverheid tengoede. In het vervolg van deze brief is beschreven hoe de verschillendeaanbevelingen concreet zijn opgepakt.Opvolging aanbeveling 1: zorg dat SSC-ICT en BZ de urgente beveiligings-risico’s terugdringenAcICT adviseert SSC-ICT en BZ om samen urgente beveiligingsrisico’sterug te dringen. Daarvoor heeft AcICT concrete maatregelen voorgesteld.De twee organisaties hebben deze voorstellen meegenomen bij deversterking en versnelling van bestaande initiatieven en als basis voornieuwe, aanvullende maatregelen.De verschillende initiatieven voor het aanpakken van beveiligingsrisico’szijn bij SSC-ICT ondergebracht in een Integraal Security Programma (ISP),dat in het voorjaar van 2024 van start is gegaan. De activiteiten van hetISP die specifiek zijn voor BZ, zijn ondergebracht in een Agile ReleaseTrain (ART BZ). Een deel van de gesignaleerde kwetsbaarheden had temaken met een achterstand in de vernieuwing van – componenten – vande infrastructuur. Voor de vervanging en het up-to-date houden van dezecomponenten loopt er nu een Life Cycle Management programma (LCM).Daarbij wordt gestuurd op het minimaliseren van risico’s; de grootstebeveiligingsissues komen als eerste aan de beurt. Naast ISP en LCMwordt er nog een derde programma uitgevoerd: het Integraal ControlFramework (ICF). Dat bundelt alle activiteiten op het gebied vancompliance en procesvolwassenheid.AcICT adviseert SSC-ICT en BZ om samen op te trekken bij het aanpakkenvan beveiligingskwesties. Al enige tijd hadden SSC-ICT en BZ een tactischsecurity-overleg. Dat is naar aanleiding van het AcICT-advies uitgebreid. Inaanvulling daarop wordt momenteel een gezamenlijk team opgezetwaarin specifieke deskundigheid van de beide organisaties wordtgecombineerd, om meer focus aan te brengen in de verdere versterkingvan de informatiebeveiliging.Specifiek voor de dienstverlening aan BZ bestaat er binnen SSC-ICT eenzogenoemd klantteam. Dit klantteam is het centrale aanspreekpunt voorTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14173 projecten en zogenoemde Niet Standaard Klantvragen (NSK’s). Hetklantteam is inmiddels ook uitgebreid. In de afgelopen periode heeft dezemanier van werken geleid tot een versnelling van – het opstarten van –projecten en het reduceren van de doorlooptijd van de afhandeling vanNSK’s. Het aanpakken van kwetsbaarheden en beveiligingsissues wordtnu ook aangestuurd door dit klantteam. Zo kunnen BZ en SSC-ICT snellerschakelen, en eerder tot oplossingen komen. Ook op strategisch niveauvindt er intensieve samenwerking plaats in een specifiek voor BZ ingerichtBestuurlijk Overleg (BO). De belangrijkste punten op de agenda zijn devoortgang van de programma’s ISP, LCM en ICF, en de samenwerkingtussen BZ en SSC-ICT. In het BO wordt de opvolging van het AcICT-adviesgemonitord, zowel de maatregelen als de resultaten.In het licht van het programma SHIELD heeft BZ een voorstel gedaan voormeetwaarden (metrics) en streefwaarden (targets) waaraan de dienstver-lening van SSC-ICT aan BZ zou moeten voldoen. De uitvoeringstoetsdaarvoor is op dit moment in voorbereiding. Dat is de basis voor dedefinitieve vaststelling van de targets, en het doorvoeren van de daarvoorbenodigde aanpassingen in de dienstverlening. Dit gebeurt binnen descope van het programma SHIELD. Een van de nieuwe initiatieven binnenhet kader van SHIELD is verder het valideren van de door BZ gevraagdedienstverlening in die zin dat wordt nagegaan welke dienstverlening goedpast binnen de portfolio en de roadmap van een shared services centerals SSC-ICT.Opvolging aanbeveling 2: zorg dat de besturing bij BZ fundamenteelverbetertBZ neemt niet alleen ICT-dienstverlening af van SSC-ICT, maar ook vanandere leveranciers. In dat laatste geval gaat het bijvoorbeeld omconnectiviteitsdiensten in het buitenland. Dit vraagt om zorgvuldige,samenhangende regievoering vanuit de opdrachtgever. In principe is hetaltijd aan BZ om de «wat-vraag» concreet te beantwoorden, terwijl deleverancier de «hoe-vraag» voor zijn rekening moet nemen. Voor SSC-ICTis de laatste vraag de kern van de dienstverlening; onder de motorkapmoeten alle verschillende onderdelen, in stelling gebracht voor BZ maarook voor andere ministeries, in samenhang effectief en efficiënt ingezetkunnen worden. Dat betreft niet zozeer de techniek, omdat er wordtgewerkt met gescheiden omgevingen, maar vooral de kennisbasis en deorganisatiekant. Alleen, een complexe «wat-vraag» is soms het eenvou-digst te formuleren in technische termen. BZ is zich goed bewust van dezevalkuil. In de onderdelen van SHIELD die te maken hebben met verbe-tering van de sturing op de ICT-dienstverlening, waarbij BZ samen optrektmet SSC-ICT, staat het principe van strikte(re) rolscheiding hoog op deagenda. De aanbevelingen die AcICT doet voor het versterken van debesturing zijn gebruikt als evenzovele aanknopingspunten voor dedesbetreffende plannen en projecten.Al in de beginfase van het programma Transitie ICT-dienstverlening heeftBZ ingezien dat versterking van de vraagsturing noodzakelijk is omduurzaam en betrouwbaar te kunnen voorzien in de eigen ICT-behoeften.AcICT reikt daarvoor de volgende trits aan: risicomanagement – specifi-catie van eisen – regievoering. Dat wordt door BZ gezien als eenbehulpzaam denkmodel. De aanbeveling om de eisen voor deICT-dienstverlening – inclusief informatiebeveiliging – vooral in decombinatie van BZ en SSC-ICT beter uit te werken heeft dan ook eenprominente plek gekregen in het programma SHIELD. In lijn met hetadvies van AcICT zullen programma’s van eisen categorisch gebaseerdworden op risicoanalyses. Daarvoor sluit BZ zo veel mogelijk aan op eenTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14174 rijksbreed programma dat in het leven is geroepen voor de versterkingvan het risicomanagement.Verder is BZ aan de slag gegaan met de manier waarop het opdrachtge-verschap wordt ingevuld. Voor de opdrachtgever-opdrachtnemerrelatiemet SSC-ICT doet BZ dat samen met SSC-ICT. Dat is inmiddels zoopgenomen in de jaarplannen van BZ. De belangrijkste elementen daarbijzijn: contractmanagement, portfoliomanagement en architectuur.Daarvoor wordt ook extra capaciteit ingezet. Het resultaat van dezeverbeteractie is dat de dienstverlening van alle leveranciers zorgvuldiggeorkestreerd wordt en dat de BZ-organisatie kan beschikken overpassende voorzieningen: op tijd, tegen uitlegbare kosten, en veilig,gebaseerd op risicoanalyses die rekening houden met de bijzonderekenmerken van BZ. AcICT doet ook de oproep om in de aansturing van deopdrachtnemers rolvast en voorspelbaar te zijn, en daarbij de samenhangtussen de verschillende voorzieningen scherp in het oog te houden. BZbeschouwt dat als een speerpunt, en heeft hiervoor inmiddels belangrijkestappen gezet. Richting SSC-ICT is de regievoering op informatiebevei-liging nu gecombineerd met de gebruikelijke regievoering op de afzonder-lijke voorzieningen. Er is nu één centraal punt voor het stellen van vragenen het prioriteren van de afhandeling daarvan.De aanbeveling om de uitvoering van de processen op het gebied vaninformatiebeveiliging te verbeteren neemt BZ ter harte. Dat gebeurt onderandere door versterking van de regie – voor het onderwerp informatiebe-veiliging – op de leveranciers. Zij zullen ervoor moeten zorgen dat deICT-diensten consequent en navolgbaar zijn afgeleid van de toepasselijkebaselines. Het verbeteren van de afhandeling van beveiligingsincidenten,waar AcICT voor pleit, heeft BZ meegenomen als onderdeel van hetproject C-SOC (Centraal Security Operations Center). Dat project gaat overhet moderniseren en centraliseren van de huidige SOC-voorzieningen,over alle dienstverleners heen. BZ houdt daarbij rekening met demogelijkheid dat er op enig moment een rijksbrede, ook voor BZpassende SOC-voorziening beschikbaar komt.Terecht vraagt AcICT aandacht voor het naleven van de regels op hetgebied van accreditatie. Voor BZ is dat essentieel. Ten eerste omdatactieve bescherming tegen statelijke actoren nodig is om de weerbaarheidvan de organisatie op peil te houden, maar ook omdat dit een vereiste isom de NATO/EU-accreditatie te behouden. De informatiebeveiligingseisendie hieruit voortvloeien worden daarom onverkort meegenomen als eisendie BZ als opdrachtgever stelt aan de ICT-dienstverlening.Opvolging aanbeveling 3: realiseer vanuit BZK een rijksbrede aanpakbeveiliging tegen statelijke actorenDe toenemende cyberdreiging die uitgaat van statelijke actoren vraagtvoor de rijksoverheid om een integrale, gezamenlijke aanpak. Dieconclusie is bijvoorbeeld te trekken uit het Cybersecuritybeeld 2024, waarook AcICT naar verwijst. Samenwerking op het gebied van cybersecurityis daarnaast, breder dan binnen het Rijk, noodzakelijk in verband met deketensamenwerking tussen partijen binnen en buiten de rijksoverheid. Ditbetekent dat digitale risico’s de grenzen van afzonderlijke ministeries veroverschrijden. Statelijke actoren en cybercriminelen werken steedsintensiever samen, beschikken over geavanceerde intrusietechnieken enmaken gebruik van mondiale digitale infrastructuren. Deze actoren zienzogenoemde koppelvlakken en de scheidsvlakken tussen verantwoorde-lijkheden als dankbare aanvalspunten. We moeten de gelederen dussluiten.Tweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14175 De oproep om te komen tot een rijksbrede aanpak tegen statelijke actorenwordt dus herkend en van harte onderschreven. AcICT richt zich met zijnaanbeveling in eerste instantie tot BZK, in de verwachting dat verschil-lende resultaten van die aanpak vervolgens BZ kunnen helpen om zijndoelstellingen te bereiken. De CIO Rijk heeft, in samenwerking met andereonderdelen van de rijksoverheid, al verschillende initiatieven gestart dieaansluiten op deze aanbeveling. Bijvoorbeeld het traject Hoog-Gerubriceerde Informatie (HGI), waarover de Staatssecretaris Digitali-sering de Tweede Kamer heeft geïnformeerd. Dit moet onder meer leidentot centrale, gestandaardiseerde dienstverlening op het gebied vanhoogbeveiligde voorzieningen. Daarnaast wordt er gewerkt aan deAlgemene Beveiligingseisen Rijksoverheidsopdrachten (ABRO),gebaseerd op de aanpak van het Ministerie van Defensie. Verder is eronlangs een kader opgesteld voor het risicomanagement dat vantoepassing is op departementoverstijgende ketens. Bij de uitrol daarvanzijn de adviezen van AcICT goed te gebruiken. Op 4 juli jl. heeft deministerraad ingestemd met een actualisatie van het VIR-BI, wat een kadervormt voor de beveiliging van bijzondere informatie, zoals staatsge-heimen. Tevens is de BIO, de baseline voor de beveiliging van informatiebij de overheid, geactualiseerd, inhoudelijk afgestemd en klaar om alsverplicht normenkader vastgesteld te worden. Tot slot is er hetprogramma Versterking SOC-stelsel Rijk (VSSR), dat het functioneren vanen de samenwerking tussen SOCs versterkt. Dat gebeurt door bundelingen door het gezamenlijk ontwikkelen van detectieregels. Zo vormen HGI,ABRO, het traject voor risicomanagement en VSSR een solide basis voorde opvolging van de derde aanbeveling van AcICT.Departementen zijn zelf verantwoordelijk voor het treffen van passendebeveiligingsmaatregelen. AcICT geeft terecht aan dat samenwerking engemeenschappelijke uitgangspunten daarbij nodig zijn. Maar debescherming van specifieke Te Beschermen Belangen (TBB) tegenstatelijke actoren vraagt in veel gevallen om maatwerk. Als er gebruikwordt gemaakt van een breed aanvullend kader bestaat het risico dat heteffect onvoldoende is, en dat het onnodig duur wordt. Daarom is in deBaseline Informatiebeveiliging Overheid (BIO) afgezien van een normen-kader op BBN3-niveau. Bovendien is in de nieuwe BIO het onderscheidtussen de verschillende basisbeveiligingsniveaus vervallen.Tegen deze achtergrond, en in aanvulling op de vier eerdergenoemdetrajecten, is er een serie van acties in gang gezet. De CIO Rijk zal eerstsamen met BZ, SSC-ICT en gespecialiseerde diensten, op basis vangangbare normen zoals ISO27001, BIO en NATO-normen, een aanvullingop de BIO ontwikkelen. Dit gaat over de actieve bescherming vanDepartementaal Vertrouwelijke gegevens tegen statelijke actoren. Hierbijworden ook uitgangspunten zoals «assume breach» en «Zero Trust»meegenomen. Deze normen en voorschriften worden in eerste instantietoegesneden op de casuïstiek bij BZ, in verband met de urgentie die daarwordt gezien. Naar verwachting kunnen de eerste resultaten aan het eindevan dit jaar opgeleverd worden. De tweede stap is dat die aanvullingwordt doorontwikkeld tot een generiek inzetbare handreiking waaruit deministeries kunnen putten voor het treffen van passende maatregelen omhun TBB’s te beschermen tegen statelijke actoren.Voor de ontwikkeling van deze handreiking is goede interdepartementalesamenwerking een belangrijke voorwaarde. Er worden verschillendeexperts samengebracht: van ministeries, uitvoeringsorganisaties engespecialiseerde diensten. Zo kunnen domeinkennis, materiedeskun-digheid en goede voorbeelden worden gedeeld. BZ speelt daarbij eensleutelrol; AcICT dringt erop aan om de expertise en de kennispositie vanBZ goed te benutten voor de opvolging van hun derde aanbeveling. HetTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14176 resultaat is een breed gedragen kader voor het efficiënt inzetten vangenerieke beveiligingsmaatregelen, dat tegelijkertijd helpt bij hetaanpakken van specifieke beveiligingsuitdagingen.AcICT adviseert om centrale, gecombineerde dienstverlening op te zettenvoor de actieve bescherming van Departementaal Vertrouwelijkegegevens tegen statelijke actoren. Als eerste stap zal BZK een behoefteon-derzoek uitvoeren, waarbij wordt meegenomen dat BBN3 komt tevervallen. Vervolgens zal er een business case worden opgesteld om dekosten en de baten van een centrale voorziening in kaart te brengen, enduurzame financiering te kunnen verzekeren.Opvolging aanbeveling 4: evalueer na 2 jaar gezamenlijk de opvolging vande adviezenHet overkoepelende advies van AcICT is om topprioriteit te geven aan deurgente verbetering van de huidige ICT-dienstverlening. De vierdeaanbeveling die in dat verband wordt gedaan is het gezamenlijk evaluerenvan de opvolging van het advies, na twee jaar of zoveel eerder alspassend wordt gevonden. Daarbij gaat het vooral om de eerste tweeaanbevelingen, en dus om wat BZ en SSC-ICT daarmee hebben gedaan:welke maatregelen zijn er genomen, welk effect heeft dat gehad, en welkenieuwe mogelijkheden dienen zich vervolgens aan? AcICT hanteert voordeze evaluatie een vrij ruime termijn. Tegelijkertijd is de urgentie hoog.Het is dus belangrijk om van het begin af aan de vinger goed aan de polste houden, en het evaluatiemoment als dat mogelijk is wat naar voren tehalen.Aanbeveling 1 (samen urgente beveiligingsrisico’s terugdringen) gaatover acute kwesties. BZ en BZK zijn dus voortvarend aan de slag gegaanmet dit onderdeel van het AcICT-advies. Beide organisaties hebbenvertrouwen in de wenselijkheid van deze koers, en in elkaars goede wil.Dat is ook nodig, want de inhoudelijke opgave is niet gering. Daarbij zalook de vraag opnieuw worden beantwoord of het principe van een sharedservices organisatie zich wel verdraagt met het kunnen leveren vangespecialiseerde diensten en het voldoen – voor een enkele opdracht-gever – aan complexe, bijzondere eisen. Op onderdelen geldt mogelijk dat«nee» verkopen ook een antwoord is, wat vervolgens voor de opdracht-gever aanleiding is om op zoek te gaan naar een alternatief.De aanbeveling om de besturing bij BZ te verbeteren is ook belangrijk. Deopvolging daarvan wordt gezien als een diepte-investering, die verdergaat dan alleen de dienstverlening die wordt geleverd door SSC-ICT. Erzullen bijvoorbeeld aanpassingen moeten worden gedaan in de organi-satie en in de manier van werken. Het programma SHIELD voorziet in eenpassende systematiek voor het monitoren van de voortgang en deresultaten op dit punt.AcICT dringt erop aan om het «vertrekbesluit» uit te stellen, en pas naevaluatie van de verbeteracties opnieuw te bekijken of zo’n besluit nognodig is. De koppeling die daarmee wordt gemaakt is begrijpelijk. Alsaanbeveling 1 (samen beveiligingsrisico’s aanpakken) en aanbeveling 2(besturing door BZ versterken) tot resultaten hebben geleid ligt alleinformatie op tafel om een definitief standpunt te kunnen bepalen overhet weghalen van – een deel van de – de dienstverlening bij SSC-ICT.Maar dat laat onverlet dat het mogelijk is om eerder al in gezamenlijkheidte bezien of er specifieke diensten zijn die SSC-ICT nu levert aan BZwaarvoor geldt dat het niet in het belang is van BZ en SSC-ICT om die alszodanig te blijven leveren. Die analyse – of validatie, zoals het eerder inTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14177 deze brief is genoemd – wordt in de komende maanden ter handgenomen binnen het kader van SHIELD.De activiteiten die door BZ en BZK worden ontplooid om opvolging tegeven aan de aanbevelingen 1 en 2 omvatten in feite ook vrijwel alleactiviteiten die moeten worden uitgevoerd voor het voorbereiden van eeneventuele – gedeeltelijke – ontvlechting. Dat betekent dat BZ een extrareden heeft om zich in te zetten voor het slagen van de maatregelen in hetverlengde van deze aanbevelingen. Als dit vervolgens loopt zoals het BZen SSC-ICT nu voor ogen staat dan is de uitkomst na evaluatie van diemaatregelen dat een vertrekbesluit alleen hoeft te worden genomen voordie voorzieningen waarvan in gezamenlijkheid wordt vastgesteld dat dieniet goed passen in de portfolio van SSC-ICT. Door op deze manier tewerk te gaan (een no regret aanpak) treedt er voor BZ geen vertraging opals er vervolgens zou worden besloten tot een al dan niet gedeeltelijkeontvlechting.Gezien de urgentie van het bovenstaande hebben BZ en SSC-ICT deafspraak gemaakt niet pas twee jaar na het uitbrengen van het advies degenoemde evaluatie uit te voeren, maar dit uiterlijk begin september 2026te doen. Tot die tijd houden de twee organisaties in de gaten of daarin, aldan niet op onderdelen, nog een versnelling nodig en mogelijk is,bijvoorbeeld op basis van de genoemde validatie (de beantwoording vande vraag wat past binnen de portfolio en roadmap van SSC-ICT). Dat sluitook aan op het advies van AcICT om elke drie maanden bestuurlijk overde opvolging van het advies te rapporteren.Tot slotAan AcICT is gevraagd advies uit te brengen over een programma van BZ.Vervolgens heeft AcICT zich in zijn beantwoording gericht op tweeministeries, BZ en twee onderdelen van BZK, waarbij een breed terreinaan verbetertrajecten is bestreken. Daarmee ligt er een veelomvattend enbetekenisvol advies op tafel. Veel van de bedoelde verbeteringen warenop dat moment al in beeld of zelfs in gang gezet. Maar het advies heeft deverschillende trajecten van nieuwe inzichten voorzien, en heeft gezorgdvoor een nieuwe dynamiek in de onderlinge samenwerking.BZ en BZK zijn overtuigd van de noodzaak om de investeringen te doenwaar AcICT voor pleit. Samen hebben zij daarvoor de nodige plannenuitgewerkt. De verdere uitvoering daarvan is voortvarend ter handgenomen, en BZ en BZK houden samen de vinger aan de pols, om zekerte weten dat het nieuwe elan beklijft en rendeert.Graag willen wij AcICT dus bedanken voor het advies dat zij ons hebbenaangereikt. Het moment bleek goed gekozen, en de uitkomst wasbehulpzaam. Wij hebben het vertrouwen dat in deze brief duidelijk istoegelicht hoe wij opvolging geven aan het advies van AcICT. Via degebruikelijke rapportages over de bedrijfsvoering van het Rijk zullen wij ublijven informeren over de voortgang van de verschillende acties enmaatregelen in dit verband.De Minister van Buitenlandse Zaken,D.M. van WeelDe Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,E. van MarumTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 14178