Brief regering : Reactie op het definitief BIT-advies GrIT blokken

Nr. 119
BRIEF VAN DE STAATSSECRETARIS VAN DEFENSIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 17 juni 2021

Uw Kamer heb ik toegezegd dat ik alle 42 blokken van het programma Grensverleggende
IT (GrIT) separaat of in groepen aanbied aan het Adviescollege ICT (AcICT) en dat
ik alle zogeheten BIT-adviezen die ik terzake van het AcICT ontvang, toezend aan uw
Kamer (Kamerstukken 31 125, nrs. 115 en 117). Hierbij stuur ik u het BIT-advies1 d.d. 20 mei 2021 over onderstaande blokken:

• Unified Communications (2);

• Operationele Compartimenten (28);

• Modules Ontplooid (29).

Ik ben content met de overkoepelende conclusie van het AcICT dat er geen inhoudelijke
belemmeringen zijn om de blokken in uitvoering te geven, mits een aantal aanbevelingen
worden opgevolgd. Deze aanbevelingen neem ik over. Inmiddels zijn deze al grotendeels
verwerkt in de projectplannen waarmee de afzonderlijke blokken in uitvoering worden
gegeven.2

Daarnaast ben ik verheugd over de positieve reactie van het AcICT aangaande de opvolging
van eerdere aanbevelingen uit het vierde BIT-advies (Kamerstuk 31 125, nr. 115). Zo schrijft het AcICT dat de overeenkomst met het consortium de noodzakelijke basis
voor een succesvolle samenwerking legt en Defensie de flexibiliteit biedt om blokken
niet in uitvoering te geven als daar aanleiding voor is. Voorts is het AcICT positief
over het feit dat binnen Defensie een stuurgroep Digitale Transformatie is geïnstalleerd
van waaruit GrIT bestuurd wordt in samenhang met andere grote (IT-)programma’s en
dat de interne uitvoeringsorganisatie voor GrIT grotendeels al is ingericht.

In deze brief licht ik de belangrijkste conclusies van het AcICT op de ter advisering
aangeboden blokken 2, 28 en 29 toe en hoe Defensie daar invulling aan geeft. Alvorens
ik inhoudelijk inga op het advies, licht ik eerst kort de stand van zaken rond het
programma GrIT toe.

Stand van zaken programma GrIT

Met GrIT vervangt en vernieuwt Defensie de IT-infrastructuur. Dit bestaat onder meer
uit datacenters, netwerken, werkplekken en voorzieningen voor beheer en beveiliging.
GrIT realiseert zowel de generieke IT-infrastructuur in Nederland als de militair-specifieke
ontplooide IT-infrastructuur en beslaat zowel de laag- als hooggerubriceerde IT-infrastructuur.
Met GrIT werkt Defensie aan uniformiteit binnen het IT-domein en worden de randvoorwaardelijke
stappen voor informatiegestuurd optreden (IGO) gezet.

Defensie realiseert GrIT samen met een marktconsortium. Eind december 2020 is tot
gunning van de samenwerkingsovereenkomst met het consortium overgegaan. Begin 2021
is begonnen met de realisatiefase van het programma. Het consortium neemt de verplichting
op zich om de realisatie van de nieuwe IT-infrastructuur in de scope van GrIT en de
aansluitende IT-dienstverlening geleidelijk en op een beheerste wijze via een opgestelde
flexibele blokkenplanning te realiseren. Een blok is een bundeling van functionaliteiten
dat onder verantwoordelijkheid van het consortium in samenwerking met Defensie wordt
gerealiseerd en dat direct waarde toevoegt voor Defensie in de vorm van een concreet
resultaat. De realisatie van de blokken die het consortium uitvoert gebeurt in gemengde
teams, bestaande uit personeel van Defensie en het consortium. Zie voor meer uitleg
over de blokken en de flexibele blokkenplanning ook de brief d.d. 2 november 2020
over het vierde BIT-advies op het programma GrIT die ik uw Kamer toezond (Kamerstuk
31 125, nr. 115).

De vernieuwing van de IT-infrastructuur neemt circa zeven jaar in beslag. De gehele
contractperiode beslaat tien jaar en is, bij goed functioneren van het consortium,
uit te breiden met een additionele tien jaar. De 42 blokken zijn in een met de defensieonderdelen
afgestemde planning zo ingedeeld dat deze zo goed mogelijk aansluit bij de prioriteiten
van Defensie. Daarbij is rekening gehouden met onder meer de huidige en meest prioritaire
knelpunten en operationele meerwaarde voor de organisatie.

Voor Defensie zit dit initieel vooral in het hooggerubriceerde (operationele) domein en de realisatie van nieuwe datacenters, omdat deze de randvoorwaardelijke
basis vormen voor GrIT en de verdere vernieuwing van de IT-infrastructuur. Ook het
AcICT adviseerde te beginnen met de realisatie van de datacenters (Kamerstuk 31 125, nr. 84). Zoals ik u eerder informeerde richt Defensie zich vervolgens op de blokken waarmee
de eerste opzet van de private cloud, dat een belangrijk onderdeel is van IGO, opgezet wordt (Kamerstuk 31 125, nr. 115).

Voor 2021 heeft Defensie in totaal dertien blokken gepland staan om op te starten.
Voor 2022 zijn dit zeven tot negen. De overige blokken volgen in de jaren erna. Ik
benadruk dat Defensie werkt met een flexibele blokkenplanning en dat zij ervoor kan
kiezen blokken eerder of later, of in zijn geheel niet, op te starten, indien daar
aanleiding toe is. Hieronder geef ik een toelichting op de status van de negen blokken
waar Defensie nu aan werkt:

• Twin Datacenters (25) en Uitwijk Datacenter (26);

• Defensie Mobiele Netwerk (1);

• Operationele Compartimenten (28);

• Modules Ontplooid (29);

• Unified Communications (2);

• Protected Core Network (10)

• Migratie Keep Applicaties HGI (36) en Migratie Keep Applicaties Ontplooid (37).

De uitvoeringsplannen voor de blokken Twin Datacenters (25) en Uitwijk Datacenter
(26) zijn eerder in 2020 door het AcICT bekeken, als onderdeel van de vierde BIT-toets
op het programma GrIT (Kamerstuk 31 125, nr. 115). Het AcICT gaf aan geen belangrijke risico’s te zien op de IT-aspecten van de twee
blokken voor de realisatie van de datacenters. Het blok Twin Datacenters (25) is inmiddels
in opdracht gegeven aan het consortium. Voor dit blok wordt gewerkt aan de noodzakelijke
(omgevings)vergunningen. De huidige stikstofwetgeving kan hier zorgen voor vertraging.
Defensie verwacht daarnaast in 2023 het blok Uitwijk Datacenter (26) te gaan realiseren.In
de Defensie Projectenoverzicht Afwijkingsrapportage informeerde ik u dat ook het blok
Defensie Mobiel Netwerk (1) aan het AcICT is aangeboden (Kamerstuk 27 830, nr. 338). Het AcICT heeft besloten hier geen advies over uit te brengen, omdat het advies
dat nu is uitgebracht op de blokken Unified Communications (2), Operationele Compartimenten
(28) en Modules Ontplooid (29) ook relevant is voor het blok Defensie Mobiel Netwerk
(1) en een afzonderlijk advies naar het oordeel van het AcICT weinig meerwaarde zal
hebben.

Tevens kan ik melden dat voor het blok Operationele Compartimenten (28) inmiddels
de bevindingen van het AcICT zijn verwerkt (zie verder onder »reactie Defensie op
advies 3») en dat dit blok aan het consortium in opdracht is gegeven. Voor het blok
Modules Ontplooid (29) is Defensie onlangs gestart met het reviewproces op het projectplan
en activiteitenplan. Dit is de laatste stap voorafgaand aan de opdrachtverstrekking (zie ook nadere
toelichting onder «reactie Defensie op advies 1 en 2»).

Defensie en het consortium werken momenteel aan het activiteiten- en projectplan voor
Unified Communications (2). Voor de blokken Protected Core Network (10) en de Migratie
Keep Applicaties HGI (36) en Migratie Keep Applicaties Ontplooid (37) kan ik melden
dat Defensie momenteel de laatste hand legt aan het zogeheten initiatiedocument. Dit
document staat aan het begin van de besluitvorming van Defensie over een blok en is
de aanscherping in het proces van Defensie naar aanleiding van het voorliggende BIT-advies
om meer scherpte te verschaffen bij het besluitvormingsproces over de blokken. Voorheen
startte Defensie een blok met een uitvoeringsplan dat werd opgesteld door het consortium.
Vanaf nu stelt Defensie dit zelf op. Dit noemt Defensie het initiatiedocument. Zodra
de initiatiedocumenten zijn vastgesteld door Defensie worden deze aan het AcICT aangeboden
(zie verdere toelichting onder «reactie Defensie op advies 1 en 2» hieronder).

BIT-advies voor de blokken Unified Communications (2), Operationele Compartimenten
(28) en Modules Ontplooid (29)

Bevindingen AcICT

Het AcICT adviseert Defensie om de volle draagwijdte van de initiële opdrachten te
beseffen. Hiertoe geeft het AcICT drie adviezen die ik hieronder toelicht.

1. Besteed voor komende blokken expliciet aandacht aan de consequenties van de opdrachtverstrekking

Het AcICT stelt dat de besluitvorming voorafgaand aan een opdracht een belangrijke
stap is die goed doordacht genomen moet worden. Zij adviseert hiertoe:

• Stel als Defensie zelf een besluitvormingsdocument en een scherp afgebakende opdrachtomschrijving
op. Neem in het eerstgenoemde document alle verwachte kosten mee, alle activiteiten
die Defensie zelf zal moeten doen, geef de volledige context en kritieke pad planning
aan.

• Vul in de voorbereiding de kwaliteitscontrolemechanismen zo in dat deze de besluitvorming
en ook de opdrachtverstrekking beter ondersteunt.

• Zorg dat iedereen kennis heeft van hoe de overeenkomst in de praktijk werkt.

2. Herstel tekortkomingen vóór de acceptatie van het projectplan

Het AcICT stelt dat voor de drie blokken het projectplan en het detailontwerp de eerste
oplevering vormen en dat het van groot belang is dat hierin duidelijk de afspraken
voor de uitvoering van het blok zijn geformuleerd. Daarbij adviseert het AcICT dat
de tekortkomingen in de opdrachtverstrekking in het projectplan op aangeven van Defensie
door het consortium hersteld moeten worden.

3. Start tijdig de besluitvorming op voor gerelateerde blokken

• Het AcICT benadrukt dat voor de drie blokken het van belang is gerelateerde blokken
tijdig op te starten en de besluitvorming daarover voor te bereiden. Zij adviseert
daartoe:

• Om de blokken Operationele Compartimenten (28) en Modules Ontplooid (29) daadwerkelijk
in gebruik te nemen bij de defensieonderdelen, zal de migratie van de applicaties
tijdig opgestart moeten worden. Deze migratie is ondergebracht in andere blokken binnen
de blokkenplanning. Dit veronderstelt een tijdige besluitvorming en opdrachtverstrekking
voor deze blokken. Bovendien veronderstelt dit inzicht in planning van de activiteiten
die Defensie zelf uit moet voeren.

• De gerealiseerde blokken moeten overgedragen worden ter exploitatie. Hiervoor zullen
tijdig de opdrachten verstrekt moeten worden om de projectplannen voor de exploitatiefase
op te stellen.

Reactie Defensie op advies 1 en 2

In reactie meld ik uw Kamer dat Defensie de aanbevelingen overneemt en verwerkt in
de documenten van de blokken voordat deze in opdracht worden gegeven. In lijn met
het advies van het AcICT zorgt Defensie tevens voor meer duidelijkheid aan de voorkant
van het besluitvormingsproces. Dit heeft geleid tot zowel procesmatige als inhoudelijke
verbeteringen van de kwaliteitscontrolemechanismen.

In het besluitvormingsproces werd al van grof naar fijn gewerkt. Het proces begon,
voor de aanscherping naar aanleiding van het voorliggende BIT-advies, met het uitvoeringsplan
dat werd opgesteld door het consortium. Dit is veranderd. Defensie stelt nu, voorafgaand
aan besluitvorming over de blokken zelf een zogeheten initiatiedocument op waarmee
het proces wordt aangevangen.

Het aangescherpte proces bestaat daarmee thans uit drie stappen die ik hieronder beschrijf:

1. Opstellen initiatiedocument

Het initiatiedocument vormt nu de eerste stap. In dit initiatiedocument wordt voor
een specifiek blok de opdracht voor het consortium geformuleerd. Het initiatiedocument
geeft naast de contractuele kaders de blokspecifieke opdrachtformulering aan het consortium
voor het door hen op te stellen projectplan. Dit document vormt tevens de basis voor
het op te stellen Defensie activiteitenplan, waarin de door Defensie zelf te verrichten
activiteiten voor de realisatie van het blok zijn vermeld. Het initiatiedocument wordt
ter goedkeuring aangeboden aan de stuurgroep Digitale Transformatie.

2. Opstellen projectplan door consortium en activiteitenplan door Defensie

Na een positief besluit van de stuurgroep Digitale Transformatie wordt het initiatiedocument
voorgelegd aan het AcICT. Tegelijkertijd stelt het consortium een projectplan (inclusief
een eerste versie van het exploitatieplan) op en Defensie een activiteitenplan. Het
projectplan beschrijft het te behalen resultaat, de fasering, planning en beheersing
en gaat in op de aspecten product, tijd en geld en de te mitigeren risico’s. Het Defensie
activiteitenplan is gericht op de defensieactiviteiten en op de randvoorwaarden die
Defensie voor het consortium moet invullen. Aanbevelingen van het AcICT worden verwerkt
in het projectplan en het Defensie activiteitenplan.

3. Besluitvorming en opdrachtverstrekking

Voordat Defensie een projectplan van het consortium accepteert, voert zij een review
uit op het projectplan en het Defensie activiteitenplan. De resultaten hiervan worden
verwerkt door het consortium en Defensie. De checks and balances in dit proces worden onder meer geborgd door een oordeel van de Chief Information
Officer (CIO) en door een check van de Inspectie der Rijksfinanciën (IRF) van het
Ministerie van Financiën. Bij een positieve uitkomst van dit proces volgt besluitvorming
door de stuurgroep Digitale Transformatie en opdrachtverstrekking aan het consortium.
Na de opdrachtverstrekking van het blok, maar voorafgaande aan de uitrol ervan, zal
het definitieve exploitatieplan worden vastgesteld door Defensie.

Tevens ontwikkelt Defensie, om er voor te zorgen dat al het personeel in het programma
GrIT kennis heeft van hoe de samenwerkingsovereenkomst met het consortium in de praktijk
werkt, een masterclass. Defensie verwacht de eerste masterclasses na de zomer van
2021 te geven.

Reactie Defensie op advies 3

In het geval van de aan de blokken Operationele Compartimenten (28) en Modules Ontplooid
(29) gerelateerde blokken, betreft het de blokken Migratie Keep Applicaties HGI (36)
en Migratie Keep Applicaties Ontplooid (37). Zoals u hierboven heeft kunnen lezen
legt Defensie de laatste hand aan de initiatiedocumenten voor deze blokken. Tevens
geldt dat Defensie de blokken Operationele Compartimenten (28) en Modules Ontplooid
(29) ook zonder migratie naar nieuwe applicaties in gebruik kan nemen, omdat de huidige
applicaties op de nieuwe hardware kunnen draaien.

Over de exploitatieplannen kan ik u melden dat deze voor het blok Operationele Compartimenten
(28) nu wordt opgesteld. Vervolgens worden de exploitatieplannen ook opgesteld voor
de blokken Unified Communications (2) en Modules Ontplooid (29). Om voor de toekomstige
blokken eerder inzicht te verkrijgen in de benodigde mensen en middelen voor de exploitatie
stelt het consortium, in overleg met Defensie, het exploitatieplan eerder op. Naar
aanleiding van voorliggend BIT-advies wordt voortaan met het exploitatieplan op hoofdlijnen
gestart, tegelijk met het projectplan en activiteitenplan. Het exploitatieplan wordt
tijdens de realisatie van een blok verder geactualiseerd en vlak voor afronding van
de realisatie vastgesteld door Defensie.

Tot slot

Middels het in deze brief beschreven aangepaste besluitvormingsproces zijn de kwaliteitscontrolemechanismen
en het interne reviewproces verder aangescherpt, doordat eerder in het besluitvormingsproces
scherpte wordt gecreëerd. Daarnaast heeft Defensie meer uniformiteit in dit proces
aangebracht. De initiatiedocumenten, het Defensie activiteitenplan en het projectplan
van het consortium hebben een vaste structuur en inhoudsopgave gekregen en omvatten
de volledige scope en tijdsplanning. Ook bieden zij inzicht in de financiële consequenties
van de opdrachtverstrekking en zijn de afhankelijkheden naar andere blokken, en de
randvoorwaardelijke activiteiten die Defensie zelf moet uitvoeren, expliciet hierin
meegenomen.

In het aangepaste proces vindt nu bredere afstemming plaats met onder meer de defensieonderdelen,
waardoor het reviewproces verder is versterkt. Om een uniforme manier van reviewen
te bereiken heeft Defensie de spelregels en definities voor interne reviews vastgelegd.
Op deze manier heeft Defensie de kwaliteit en integraliteit van het reviewproces versterkt.

Ik wil het team van het AcICT bedanken voor hun inspanningen en advies. De adviezen
van het AcICT hebben in het verleden meermaals hun toegevoegde waarde laten zien en
helpen Defensie de processen en kwaliteitscontrolemechanismen rond het programma GrIT
verder aan te scherpen en te verbeteren.

De Staatssecretaris van Defensie,
B. Visser