'UWV keert miljarden euro's aan uitkeringen uit en investeert veel in technologie. In die zin ontwikkelen we ons als een fintech: we zijn een soort bank, maar dan wel een bank zonder keuzevrijheid voor onze cliënten – zij kunnen niet terecht bij een andere financiële instelling voor hun uitkering. En juist omdat het hier gaat om iets essentieels als sociale zekerheid, hebben wij niet alleen de wettelijke maar ook de morele verplichting om financiële transacties veilig en betrouwbaar te laten verlopen.

We moeten er – uiteraard – voor zorgen dat we niet gehackt worden, omdat de privégegevens van onze cliënten anders op straat liggen én omdat we continue dienstverlening moeten bieden. De uitbetalingen moeten altijd doorgaan, want het gaat om een kwetsbare doelgroep. Mensen moeten erop kunnen vertrouwen dat ze hun uitkering krijgen.'

'UWV is een grote organisatie met veel organisatieonderdelen, vaak met eigen specialisaties. Hierdoor kan het gebeuren dat er eilandjes ontstaan die elk hun eigen invulling geven aan informatiebeveiliging, privacy en bedrijfscontinuïteit. We hebben dit opgelost met een matrixorganisatie. Alle collega's die werkzaam zijn in informatiebeveiliging, privacy en bedrijfscontinuïteit vallen nu in één vakgroep. Ze werken allemaal in hun eigen organisatieonderdeel, maar worden centraal aangestuurd.

Een groot voordeel daarvan is dat we de hele veiligheidsketen nu beter in kaart hebben, omdat we precies weten wie waarvoor verantwoordelijk is. En dat is essentieel bij calamiteiten als uitval van systemen en mogelijk ook van dienstverlening. We kunnen nu nog beter zorgen dat we in zo'n situatie snel weer "in de lucht zijn" en de uitbetalingen blijven doorgaan.'

'Dat wisselt. Ik zie in de dienstverlening dat de stapeling van wetten remmend kan werken. Als wetten veranderen, moeten premies, uitkeringen et cetera gewijzigd worden en moet onze software worden aangepast. Dat laatste moet soms handmatig, en we zijn een publieke organisatie met beperkte middelen. Dus dat kan wringen.

Aan de andere kant kan wetgeving juist een vliegwiel zijn. Ze biedt duidelijke kaders, maakt verantwoordelijkheden explicieter en dwingt ons om aan te tonen dat onze basis op orde is. Het is daarmee ook een uitnodiging om de organisatie nog eens tegen het licht te houden, hiaten op te sporen en te dichten en waar mogelijk te standaardiseren en te automatiseren. Zo maakt wetgeving veilige en weerbare innovatie juist mogelijk, bijvoorbeeld bij het werken met nieuwe technologieën zoals AI of toekomstbestendige gegevensversleuteling zoals post-quantumencryptie. Samengevat: duidelijke kaders helpen ons om verantwoord te vernieuwen.'

'We doen er uiteraard alles aan om de privacy van onze cliënten en partners te waarborgen, want zij vertrouwen ons hun BSN en andere gevoelige gegevens toe. Onze securitysystemen beveiligen de data, zodat cliënten er zeker van kunnen zijn dat we deze alleen gebruiken voor legitieme doeleinden.

Voor cliënten is de beveiliging zichtbaar door bijvoorbeeld het slotje in de adresbalk, waardoor zij weten dat ze met een veilige website te maken hebben. Ook vragen we om hun DigiD, met tweestapsverificatie via sms. "Onder water" geven we de beveiliging vorm met onder meer encryptie en privacy by design bij de beoordeling van aanvragen. Dat laatste betekent dat privacy vanaf de ontwerpfase al wordt meegenomen in de ontwikkeling van een proces of dienst.'

'Als UWV zijn we onderdeel van een keten, en die is, zoals bekend, zo sterk als de zwakste schakel. Wij wisselen bijvoorbeeld via DigiD gegevens uit met de Belastingdienst, gemeenten en andere partijen. Wij kunnen onze zaakjes wel op orde hebben, maar als kwaadwillenden een van die partijen hacken en bepaalde gegevens buitmaken, kunnen ze via die weg misschien toch bij ons binnenkomen. We moeten dus met de hele keten gezamenlijk optrekken.

Rijksbrede samenwerking is daarom een belangrijke voorwaarde. UWV is bijvoorbeeld onderdeel van het Joint Security Operations Center (Joint SOC), een samenwerkingsverband tussen de SOC's van verschillende rijksorganisaties, waaronder de Belastingdienst, Rijkswaterstaat, Dienst ICT Uitvoering (DICTU) en het Nationaal Cyber Security Centrum (NCSC). Maar dat zou op meer thema's moeten gebeuren.

Daarnaast vind ik het goed dat de overheid ernaar streeft om minder afhankelijk te zijn van buitenlandse clouddiensten. We mogen niet in een situatie terechtkomen waarin een statelijke actor beslist wat er met onze data gebeurt.'