Omschrijving

Het risico dat door vertraging in de uitvoering van de migratiestrategie, tekort aan kennis en tekort aan capaciteit onze IT-systemen niet aan de operationele en IT-beveiligingseisen voldoen, waardoor we onze strategische ambities niet waar kunnen maken en de continuïteit van onze dienstverlening niet kunnen garanderen.

Toelichting

Voor het uitvoeren van onze dienstregeling en service naar de klant zijn betrouwbare IT-systemen nodig. IT is een steeds belangrijkere en kritieke factor in de besturing van onze operatie, met name voor de informatievoorziening aan onze reiziger. Om dit te kunnen faciliteren is het van belang oude IT-systemen te vervangen en huidige en nieuwe IT-systemen te laten draaien op een stabiele, efficiënte en schaalbare IT-infrastructuur. Anders zou dit kunnen leiden tot operationele verstoringen. Hierbij zijn wij mede-afhankelijk van de prestaties van leveranciers. Verder worden cyberrisico’s steeds dreigender doordat IT steeds meer toepassingen kent in de trein, de infra et cetera. De spoorsector wordt digitaler en daarmee ook kwetsbaarder voor cyberrisico’s.

Maatregelen

NS voert het project Voorsprong uit, dat de IT-continuïteit binnen NS moet waarborgen. Daarnaast draaien er bij NS diverse oudere bedrijfsapplicaties, waarvoor we de keuze hebben gemaakt om ze te vervangen in plaats van verbeteren. Voor zeer kritieke systemen hebben we aparte programma’s opgezet. Het programma Weerbaar is ons antwoord op de toenemende cyberrisico’s. In dat kader brengen we onder meer de treinketenrisico’s IT in kaart. Portfoliomanagement binnen IT is opgezet om focus aan te brengen in de IT projectenportfolio en allocatie van schaarse middelen. Dit zal bijdragen aan het realiseren van IT-doelstellingen en het beheersen van kosten.

Trend beheersing

Door het project Voorsprong zijn veel applicaties ondergebracht in een stabiel IT-platform. Het vernieuwen van oude applicaties om aan de huidige en toekomstige wensen te voldoen, gebeurt niet in het gewenste tempo. Portfoliomanagement binnen IT heeft bijgedragen aan een betere prioritering en sturing op de IT-projecten en programma’s. De afhankelijkheid van leveranciers is groot. Tevens nemen de cyberrisico’s toe. Overall is de beheersing gelijk gebleven.

Restrisico

Midden. Het huidige risicoprofiel sluit nog niet aan op het gewenste risicoprofiel.