Fluvius gaat haar niet-kerntaken afbouwen. Eén van deze kerntaken is het aanbieden van datacenter faciliteiten waar de gemeente Heers sinds mei 2019 van gebruik maakt (goedgekeurd op de gemeenteraad van 12 december 2017).
Tijdens de gemeenteraad van 25 oktober 2021 werd de "intrekking beheersoverdracht bij Fluvius Limburg voor de activiteit Fluvius Center" goedgekeurd.
Op deze manier is het voor de gemeente Heers mogelijk om naar een nieuwe datacenter oplossing te zoeken.
De intercommunale CIPAL dv heeft contact opgenomen met Heers en een vrijblijvende offerte (als bijlage) gedaan voor de verhuis van onze servers uit het Fluvius datacenter te Hasselt naar het C-SMART datacenter van Cipal-Schaubroeck in Geel.
Toetreding en overeenkomsten
Gemeente Heers is destijds toegetreden tot de intercommunale CIPAL (nu dienstverlenende intergemeentelijke vereniging CIPAL). Zowel de gemeente als het OCMW zijn toegetreden tot CIPAL dv om een beroep te kunnen doen op hun expertise en diensten. CIPAL dv is een dienstverlenende vereniging die werkt volgens het Decreet op de Intergemeentelijke Samenwerking en bij gevolg onder het toezicht valt van Agentschap Binnenlands Bestuur, ressorterend onder de Minister van Binnenlands Bestuur;
Er is geen participatie van privékapitaal in CIPAL dv en alle aandelen zijn in handen van lokale besturen. Het overgrote deel van de activiteiten van CIPAL behelst de uitvoering van taken die zijn opgedragen door de controlerende vennoten. Ook zijn de gemeente en het OCMW vertegenwoordigd in de bestuurs-, advies- en controleorganen van CIPAL en bijgevolg via die weg toezicht uitoefenen op de strategische doelstellingen, op belangrijke beslissingen, en op het gevoerde beleid, waardoor CIPAL aan de voorwaarden voldoet van de zogenaamde “in house” doctrine;
In het verleden werd CIPAL opgedragen door haar controlerende vennoten via die bestuursorganen om het beveiligde CiPort communicatie en informatiesysteem inclusief bijhorend CiPort datacenter (“CiPort”) te bouwen en te beheren;
De gemeente en het OCMW hebben reeds eerder een overeenkomst afgesloten inzake toetreding tot en gebruik van CiPort en bijhorende diensten met CIPAL. Ten gevolge van deze overeenkomst verlopen vertrouwelijke en privacy gevoelige communicatie- en informatiestromen sindsdien vanuit gemeente en OCMW via beveiligde Ciport-communicatie en informatie systemen in het Ciport datacenter. De gemeente en het OCMW maken vandaag reeds gebruik van het Cipal overheidsdatacenter, waartoe recent de mogelijkheden verkend werden of de gemeente en het OCMW het gebruik van het datacenter niet kunnen intensifiëren;
Het Rijksregister is bevoegd voor het toelaten van de toegang tot de informatie tot het Rijksregister. CIPAL heeft via het KB van 16 oktober 1984 bijzondere machtigingen gekregen voor de verwerking van Rijksregister gegevens voor de vennoten van CIPAL. De gemeente en het OCMW zoeken een betrouwbare partner die zulke bijzondere machtigingen heeft verkregen waartoe enkel nog CEVI vzw uit Gent over een soortgelijke machtiging beschikt maar die geen datacenter diensten ten behoeve van lokale besturen verschaft;
Gegevensuitwisseling en informatiestromen
De gemeente wisselt reeds informatie via CiPort uit, en dus vanuit het CiPort datacenter, met onder meer de federale overheidsdienst binnenlandse zaken en dit meer bepaald voor uitwisseling van gegevens met het Rijksregister dewelke een centrale databank is die zorgt voor de registratie en opslag van identificatiegegevens van personen waaronder alle Belgen die in België verblijven maar ook vreemdelingen die verblijven in België en die de toelating hebben om zich te vestigen, of vreemdelingen (en hun familieleden) die verklaren vluchteling te zijn of die vragen als vluchteling erkend te worden. De gemeente heeft de opdracht om deze identificatie gegevens te registreren en uit te wisselen met het Rijksregister. De gemeente zoekt een betrouwbare partner die vanuit een datacenter zulke informatiestromen uitwisselt met het Rijksregister omdat de gemeentelijke dienst Burgerzaken daartoe een nood heeft;
Het OCMW wisselt reeds informatie via Ciport uit, en dus vanuit het CiPort datacenter, met onder meer de Kruispuntbank voor Sociale Zekerheid, waarop de openbare instellingen van sociale zekerheid zijn aangesloten waaronder het federaal agentschap voor de kinderbijslag, het federaal agentschap voor beroepsrisico’s, de federale overheidsdienst sociale zekerheid, de federale overheidsdienst werkgelegenheid, arbeid en sociaal overleg, de federale pensioendienst, de programmatorische overheidsdienst maatschappelijke integratie, het Rijksinstituut voor Ziekte en Invaliditeitsverzekering, de Rijksdienst voor Sociale zekerheid, de Rijksdienst voor Arbeidsvoorziening. Het OCMW wisselt informatie uit met de Kruispuntenbank voor Sociale Zekerheid (“KSZ”), daarbij zoekt het OCMW een betrouwbare partner die vanuit een datacenter zulke informatiestromen uitwisselt met de KSZ omdat de sociale dienst daartoe een nood heeft;
Het CiPort datacenter huisvest ook communicatie en informatiesystemen van de lokale politie, het zogenaamde Integrated System for Local Police (ISLP netwerk), waardoor het overheidskarakter van dat datacenter extra aantoonbaar is;
Algemene Verordening Gegevensbescherming
Voornoemde informatiestromen met onder meer het Rijksregister en met de Kruispuntenbank voor Sociale Zekerheid, bevatten (sociale) gegevens van persoonlijke aard. Bijgevolg zijn ,betreffende de verwerking van deze persoonsgegevens, de nationale en Europese wetgeving ter bescherming van de persoonlijke levenssfeer van toepassing. Een wetgeving die reeds meermaals gewijzigd werd en waartoe steeds meer deskundigheid vereist is;
Er is een nieuwe strengere Europese verordening in voege vanaf 25 mei 2018, met name de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 April 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), ook gekend onder de naam “General Data Protection Rules” (GDPR);
Deze verordening vermeldt in haar overwegingen dat, gezien de snelle technologische ontwikkelingen, er zich nieuwe uitdagingen stellen voor de bescherming van de persoonsgegevens wat een overweging is die eveneens voor de gemeente en het OCMW geldt;
Het niet naleven van deze verordening kan leiden tot boetes en tot schadeclaims vanwege natuurlijke personen die daartoe voortaan een juridisch afdwingbaar kader zullen hebben;
Voornoemde wetgeving stelt strengere eisen inzake informatiebeveiliging van persoonsgegevens, waarbij er voor dient gezorgd dat een netwerk of informatiesysteem bestand is tegen incidentele gebeurtenissen of onrechtmatige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of doorgegeven persoonsgegevens in het gedrang brengen;
De beveiliging van de netwerken en systemen van de gemeente tegen ongeoorloofde toegang, bijvoorbeeld door de verspreiding van kwaadaardige codes, wordt van groter belang. Voornoemde wetgeving verplicht een bestuur om adequaat te reageren in geval van inbreuken die voortaan binnen 72 uur kenbaar gemaakt dienen te worden;
De laatste maanden was er een grote toename te merken van de verspreiding van zulke kwaadaardige codes (ransomware,….), waarmee malafide organisaties de werking van een ganse organisatie kunnen gijzelen. Ook overheden werden slachtoffer in zulke kwaadaardige aanvallen waarbij sommige van die overheden enkel hun informatieapparatuur, software en/of informatie terug konden vrij krijgen mits betaling van een losgeld (te betalen in bitcoins);
Een diepgaande specialisatie en expertise is vereist om zulke kwaadaardige aanvallen af te slaan, en deze het hoofd te kunnen bieden. Het op peil houden van de specialisatie en expertise terzake vergt een voortdurende investering in zowel menselijk kapitaal als informatiesystemen;
Gelet op voorgaande willen de gemeente en het OCMW zich voorbereiden;
Technische know-how, infrastructuur en beveiliging
De gemeente noch het OCMW kan haar lokale computers en servers op dezelfde wijze duurzaam en structureel beveiligen zoals dat in een overheidsdatacenter gebeurt. Door de snelle technologische evolutie zijn voortdurend nieuwe en grote investeringen nodig om de lokale serverfaciliteiten (ICT infrastructuur, behuizing, beveiliging zowel fysiek als virtueel, klimaatregeling, mogelijke aanleg fiberverbindingen, …….) op eigentijds en veilig niveau te houden. Hierdoor is de migratie van deze servercapaciteit naar een datacenter de logische weg vooruit;
Het bestuur kan de snelle technologische evolutie zelf niet langer op een veilige en betaalbare wijze duurzaam invullen. Binnen de ciPort datacenterwerking is deze evolutie door de schaalgrootte meer gegarandeerd, zelfs in die mate dat de risico’s op uitval, door het toepassen van redundante technologie, aanzienlijk kleiner zijn, alsook de veiligheidsrisico’s aanzienlijk kleiner zijn waar het ter beschikking stellen van deze servercapaciteit vanuit het Cipal datacenter een logische verruiming is van de huidige Ciport dienstverlening waarvan het bestuur reeds gebruikt maakt;
Het gemeente- en ocmw-bestuur wil de vertrouwelijkheid en de veiligheid van hun gevoelige data maximaliseren en waarborgen door voornoemde CiPort dienstverlening uit te breiden om alzo ook haar eigen servers beter te kunnen beheren en beveiligen, en aangezien bijgevolg alleen CIPAL zelf zulke uitbreiding aan dit bestaande contract kan aanbieden, wat ook economisch de meest efficiënte wijze van werken is met minimale impact op de bestaande processen en informatiestromen binnen de gemeente en het OCMW;
Het bestuur beschikt ook, naast de Ciport overeenkomst, over een gebruiksovereenkomst met CIPAL aangaande het gebruik van de burgerzaken en sociale dienst software van Cipal om daarmee (sociale) gegevens van persoonlijke aard te verwerken, en het is de bedoeling om deze software voortaan vanuit een datacenter te gebruiken,
Zowel de gemeente- als het OCMW-bestuur willen de operationele- en veiligheidsrisico’s in het kader van een efficiënte backoffice werking en de uitbouw van een klantgerichte dienstverlening zo beperkt mogelijk houden en daarom willen zij het gebruik van de backofficetoepassingen en infrastructuur uit technische en veiligheidsoverwegingen in één hand leggen, zodoende dat de verantwoordelijkheid duidelijk bij één enkele partij komt te liggen die ook de expertise heeft om deze verantwoordelijkheid te dragen;
Gezien er geen andere partij is dan CIPAL zelf die op de meest efficiënte wijze de gehele verantwoordelijk kan dragen over haar eigen toepassingen, ook indien deze vanuit een datacenter aangeboden worden;
Er is reeds een aparte overeenkomst met CIPAL voor de backoffice toepassingen die intensief informatie van persoonlijke aard verwerken (Burgerzaken, Sociale Dienst, enz.) alsook voor het gebruik van CiPort en het bijhorende datacenter voor uitwisseling van informatiestromen met databanken van het Rijksregister en de KSZ. De meest risicovolle schakel in termen van beveiliging en continuïteit is vooral de lokale ICT infrastructuur, waartoe het niet houdbaar lijkt om zelf deze verantwoordelijkheid te dragen rekening houdend met de huidige wetgevende en technologische evoluties;
Het bestuur meent bijgevolg dat het zelf onderhouden en technologisch blijven bijbenen van de IT infrastructuur en systemen niet meer tot haar kernactiviteiten behoort;
In uitbreiding van de bestaande CiPort overeenkomst, waarbij Cipal reeds het beheer verzorgt van communicatie en informatiesystemen voor gemeente en OCMW, kan een unieke “end-to-end” of totaal verantwoordelijkheid voor beveiliging en beheer bij CIPAL gelegd worden door gewoonweg ook de lokaal benodigde rekenkracht en opslagcapaciteiten vanuit het datacenter af te nemen in plaats van deze zelf lokaal te gaan organiseren en in eigen servers, software, beveiliging en competenties ter zake te gaan investeren;
Zulke “end-to-end” benadering omvat alle schakels in de operationele IT-ketting gaande van de software op de eindpunten die vanuit het datacenter op de lokale schermen van de gebruikers getoond zal worden (en deze software op de eindpunten ook voortdurend gemonitored en beveiligd kan worden), alsook gebruik makend van rekenkracht en diskcapaciteit uit het datacenter waarop de softwaretoepassing van gemeente en OCMW draaien, wat een centrale beveiliging en beheer toelaat, alsook het beheer van communicatie- en informatiesystemen in de ruime zin van het woord zoals onder meer monitoring van telecommunicatie verbindingen naar het datacenter, beheer en actualisatie van firewalls en beveiligingssystemen, maar ook opslag, controle en beheer van back-up van data, aanbieden van redundantie van de servers en de opslag wat een maximale bedrijfszekerheid garandeert;
Dan ontstaat een situatie die IT-gerelateerde incidenten enerzijds proactief probeert te verhinderen, en anderzijds de efficiëntie bij het oplossen van incidenten zal verhogen, alsook de voortdurende “end-to-end” beveiliging in een totaal benadering kan aangepakt worden;
Het bestuur zoekt een partner die de totale verantwoordelijkheid neemt over de huidige CIPAL-software die in gebruik is bij het bestuur, over de CiPort communicatie- en informatiesystemen en stromen naar Rijksregister en KSZ, alsook over het bijhorende datacenter tot en met de digitale werkplek van de ambtenaar, waartoe er maar één enkele partij dat kan doen met name CIPAL zelf;
Zowel de grond waarop het Ciport datacenter gebouwd werd, alsook het datacenter gebouw zelf, is honderd percent eigendom van overheidsinstanties en het betreft bijgevolg een overheidsdatacenter. Het bestuur wenst met een overheidsdatacenter te werken gezien de gevoeligheid van de informatiestromen die zij behandelt; Tevens vormt CIPAL als publiekrechtelijk rechtspersoon waarvan de gemeente en het OCMW zelf aandeelhouder zijn, een grote waarborg voor de continuïteit van de dienstverlening van gemeente en OCMW wat in deze van groot belang is voor het bestuur;
Aangezien in het kader van de CiPort overeenkomst, CIPAL in opdracht van gemeente en OCMW, reeds heden de in het datacenter aanwezige communicatie- en informatiesystemen met het Rijksregister en met de kruispuntenbank voor sociale zekerheid beheert en toekijkt op de beveiliging van deze systemen en waarmee zich tot heden nog enkel noemenswaardig incident heeft voorgedaan waardoor de betrouwbaarheid van het Cipal datacenter bewezen is;
Gezien CIPAL voor haar datacenter, een overeenkomst heeft afgesloten met een gespecialiseerd bedrijf om alzo voortdurend het datacenter te testen op eventuele zwakke plekken, waardoor er een proces van continue verbetering is geïmplementeerd, die alzo de risico’s zo laag mogelijk houdt ook bij verdere technologische evolutie;
Aantoonbare referenties
De gemeente en het OCMW zoeken een partij die relevante en aantoonbare referenties in de sector van lokale besturen kan aantonen waarbij de dienstenleverancier, omwille van de “end 2 end verantwoordelijkheid”, zowel aantoonbare ervaring heeft in het bouwen, aanbieden en beheren van gemeentelijke applicaties vanuit een eigen datacenter, als in het beheren en beveiligen van de onderliggende infrastructuur, alsook van de verbindingen met andere overheidsdatabanken zoals het Rijksregister, en aangezien er geen partijen geïdentificeerd konden worden naast Cipal die over zulke referenties beschikten.
Aangezien CIPAL wel over zulke referenties beschikt met name :
Gelet op bovenstaande toelichting, blijkt dat er maar 1 organisatie is met name Cipal die de unieke en volledige verantwoordelijkheid kan nemen inzake het aanbieden van de CIPAL applicaties vanuit IT-systemen in een professioneel overheidsdatacenter;
De opdracht kan dus om technische redenen maar aan één welbepaalde opdrachtnemer, zijnde CIPAL, toegekend worden, waartoe een onderhandelingsprocedure zonder voorafgaande bekendmaking werd gevoerd, en waaruit blijkt dat CIPAL aan de behoeften van het bestuur voldoet met een prijsvoorstel dat onder de marktwaarde ligt;
Gelet op het feit dat de gemeente en het OCMW reeds eerder een overeenkomst tot gebruik van CiPort en bijhorende diensten heeft afgesloten met CIPAL, waartoe reeds van informatie en communicatiesystemen in het datacenter gebruik wordt gemaakt voor onder meer informatiestromen met het Rijksregister en de KSZ, wordt voorgesteld het bestaande ciPort contract uit te breiden om voortaan ook de Cipal software en bijhorende server capaciteit vanuit het datacenter af te nemen van CIPAL.
Toelichting offerte en vergelijking huidige situatie
Hieronder vindt u een vergelijking van de huidige situatie met het voorstel van Cipal-Schaubroeck.
Fluvius DC (huidige situatie)
We betalen voor de Fluvius datacenter faciliteiten € 1.702,31 per maand (incl. btw).
Tel hierbij nog het Cipal onderhoudscontract dat wordt toegepast op de 8 meest kritische virtuele machines in het Fluvius Datacenter: € 848,37 per maand (incl. btw)
Tot slot wordt er, naast een backup in het Fluvius datacenter, ook een datareplicatie gedaan naar het Cipal Datacenter. Dit is belangrijk want je hebt best een backup op 2 volledig geografisch verschillende locaties.
Die backup kost ons bij Cipal € 147,96 per maand (incl. btw)
Deze laatste kost zal wegvallen als we overstappen naar het C-SMART datacenter omdat zij standaard voor hun klanten een backup voorzien op 2 verschillende locaties.
In totaal betalen we nu per maand € 2.698,64 (incl. btw)
C-SMART DC voorstel
Voor de C-SMART datacenter faciliteiten rekenen zij 3 zaken aan:
Dit geeft een totaal van € 1.364,20 per maand (incl. btw).
Het onderhoudscontract dat wordt toegepast op de 8 meest kritische virtuele machines blijft behouden: € 848,37 per maand (incl. btw).
De backupkost van € 147,96 per maand (incl. btw) valt weg.
Maar er moet ook een breedbandconnectie gelegd worden tussen het Fluvius netwerk en het Cipal netwerk. Dit was er vroeger niet waardoor Cipal ook geen gelijkaardige oplossing kon aanbieden zoals Fluvius ons dat heeft gedaan. Ondertussen heeft Cipal wel zo een connectie laten leggen en verhuren zij bandbreedte aan de klanten van het datacenter. Voor ons bieden ze een toegang 100/100 Mbits aan tegen € 647,83 per maand (incl. btw).
In totaal betalen we dan per maand € 2.860,40 (incl. btw). Dit is € 161,76 per maand méér dan in onze huidige situatie.
De wet van 17 juni 2016 betreffende de overheidsopdrachten en bepaalde opdrachten voor aanneming van werken, leveringen en diensten, en artikel 42 §1.1d) (de werken, leveringen of diensten alleen door een bepaalde ondernemer kunnen worden verricht omdat mededinging ontbreekt om technische redenen).
De gemeenteraad gaat akkoord om de huidige servers in het Fluvius datacenter te migreren naar het C-SMART datacenter.
De gemeenteraad gaat akkoord met de prijsofferte van Cipal-Schaubroeck als bijlage.