Overwegingen bij randvoorwaarden en modeleisen DUTO
Het DUTO-raamwerk is een kennisprodukt dat door het Nationaal Archief is ontwikkeld in co-creatie met informatieprofessionals die werkzaam zijn bij overheidsorganisaties. Op NORA zijn de hoofdlijnen te vinden van het DUTO-raamwerk, de complete versie is te vinden op de website van het Nationaal Archief.
Overwegingen bij implementatie randvoorwaarden en modeleisenbewerken
Tref passende maatregelenbewerken
De randvoorwaarden en de modeleisen zijn een leidraad bij het inrichten van een DUTO-proces. Maar ze zijn geen checklist die zondermeer overgenomen moet worden. Dat kán ook niet. Bij het treffen van passende maatregelen, spelen ook de concrete behoeften binnen en buiten een organisatie mee. Denk aan behoeften van burgers, medewerkers, ketenpartners en andere belanghebbenden. Ook de waarde van informatie heeft invloed op welke maatregelen passend zijn. Bedenk hierbij dat het DUTO-raamwerk een norm is waarin randvoorwaarden en modeleisen op generieke wijze zijn beschreven. Om van toepassing te zijn op alle overheidslagen en taakgebieden, is een hoge mate van abstractie nodig. Het is niet mogelijk om rekening te houden met vereisten die specifiek zijn voor een organisatie of bedrijfsproces. Los van de keuze over het overnemen van modeleisen, is het dus nodig om deze verder te vertalen naar de praktijk van een organisatie of bedrijfsproces. Ook kan het zijn dat je extra eisen toe moet voegen die specifiek zijn voor de eigen organisatie of processen.
Verken je applicatielandschapbewerken
Daarnaast is het van belang om de bestaande architectuur mee te nemen bij het maken van nieuwe keuzes. De precieze locatie waar DUTO-processen uitgevoerd worden, kan van functie tot functie verschillen. Dit hangt af van het bestaande applicatielandschap. Als bepaalde taken in een generieke applicatie zijn ondergebracht, dan moeten modeleisen daar geïmplementeerd worden. En waar software als een dienst wordt geleverd, moet je zo nodig met leveranciers aanvullende maatregelen overeenkomen over het uitvoeren van DUTO-processen.
Hieronder worden de overwegingen geschetst die kunnen leiden tot de keuze voor een zwaarder of juist lichter niveau van maatregelen. Daarnaast worden drie generieke implementatiepatronen beschreven. Deze maken inzichtelijk hoe een applicatielandschap kan zijn vormgegeven en hoe deze keuzes van invloed kunnen zijn op het treffen van passende maatregelen voor duurzame toegankelijkheid.
Niveau van maatregelenbewerken
Een zwaar niveau van maatregelen is nodig als de waarde van informatie hoog is en het een grote impact kan hebben als die informatie niet duurzaam toegankelijk beheerd wordt. Een investering is dan goed te rechtvaardigen. Bijvoorbeeld de kosten voor het meerwerk dat nodig is om modeleisen in een nieuw systeem of extra beheerlast door maatwerk. Maar ook voor de inzet van gekwalificeerd personeel.
NPR-ISO/TR 18128:2024 en NPR-ISO/TR 21946:2019 zijn normen die door de organisatie toegepast kunnen worden bij een risicoanalyse. De normen beschrijven de uitvoering van de analyse, mogelijke stakeholders en mogelijke afwegingen.
Voorbeelden van situaties voor een zwaarder niveau van maatregelen.
- Bedrijfskritische informatie. De NPR-ISO/TR 21946 benoemt de volgende indicatoren: 1) activiteitengebieden waarvoor zware eisen bestaan vanuit wetgeving, 2) waarvan andere activiteitengebieden afhankelijk zijn; 3) die een hoge impact op personen hebben; 4) die de aandacht hebben van media en publiek; 5) die directe impact hebben op de natuurlijke of bebouwde omgeving en 6) die directe impact hebben op veiligheid/beveiliging van mensen of activa.
- Beheer van informatieobjecten die alleen onder bepaalde voorwaarden beschikbaar worden gesteld. Bijvoorbeeld wanneer er sprake is van afscherming van bepaalde gegevens. Of als bepaalde voorwaarden voor het gebruik van de informatieobjecten gelden, zoals vanuit het auteursrecht.
- Beheer van informatie waaraan een langere bewaartermijn is verbonden.
Voorbeelden van processen die als ‘zwaar’ kunnen worden beschouwd.
- Het opstellen van beleid,
- Het uitvoeren van toezicht en handhaving,
- Het voeren van een personeelsadministratie,
Een lichter niveau van maatregelen kan bij informatie met een lage waarde. Een incident in de voorziening heeft geen grote impact op de organisatie of burgers. In dit geval is een grote investering niet altijd te billijken. Voorbeelden van situaties waar een lichter niveau van maatregelen gepast kan zijn:
- Beheer van informatieobjecten met een lage informatiewaarde waarvoor in een selectielijst een korte bewaartermijn (twee jaar of minder) is vastgesteld. Denk aan een inschrijfformulier voor een gemeentelijke sportactiviteit. Of de interne administratie van alleen de eigen organisatie.
- Beheer van een beperkt volume aan informatie, waarbij bijvoorbeeld handmatig overzetten of visuele inspectie volstaan. En dit effectiever is dan automatisering.
- Beheer van informatie die weinig logica vraagt bij het uitvoeren van selectie en vernietiging. Bijvoorbeeld als er maar één bewaartermijn uit de selectielijst is.
Voorbeelden van processen die als ‘licht’ kunnen worden beschouwd.
- Interne facilitaire serviceverzoeken zonder financiële consequenties.
- Verslaglegging van intern ambtelijk overleg zonder beleidsmatige besluitvorming. Zoals regulier teamoverleg waarin alleen operationele onderwerpen ter sprake komen.
- Het meten van bereik door het bijhouden van bezoekersaantallen op een webpagina.
Of er behoefte is aan een zwaarder of juist lichter niveau van maatregelen kan voor hetzelfde type overheidsinformatie verschillen. Sensorgegevens kunnen bijvoorbeeld verschillend worden gewaardeerd, afhankelijk van het doel. Voor een organisatie met opsporingsbevoegdheid kunnen sensorgegevens leiden tot een zwaarder niveau van maatregelen vanwege strafrechtelijke implicaties. Terwijl bij een gemeentelijke organisatie de sensorgegevens misschien alleen worden gebruikt om de doorstroom van voetgangers te meten in een gebied.
Organisaties passen ieder voor zich op basis van hun eigen inschatting de modeleisen toe. Als een lichter niveau van maatregelen voldoende is, hoeven niet alle DUTO-functies binnen een proces ondersteund te worden. Naarmate de situatie vraagt om een zwaarder niveau van maatregelen, moeten meer (of zelfs alle) functies die nodig zijn voor een proces binnen een applicatie geïmplementeerd worden. Zowel bij een zwaarder als bij een lichter niveau van maatregelen kan de keuze passen om een DUTO-functie handmatig te ondersteunen of te automatiseren.
Implementatiepatronenbewerken
Een andere factor die meespeelt bij het bepalen van passende maatregelen, is het implementatiepatroon. Dit is de manier waarop een overheidsorganisatie haar applicatielandschap inricht. De keuzes voor de inrichting zijn vastgelegd in een <link naar RVW08>(architectuur)overzicht. Dit geeft inzicht in de samenhang en afhankelijkheden tussen overheidsinformatie, processen en applicaties. En welke standaarden hierop van toepassing zijn. Zie hiervoor onder meer: NEN-ISO 17068:2017 en BIO-thema uitwerking softwarepaketten.
Een DUTO-proces kan binnen een enkele applicatie ingericht zijn. Maar kan ook door meerdere geïntegreerde en onderling samenwerkende applicaties ondersteund worden. Dit gebeurt in toenemende mate, binnen en/of tussen organisaties. Bijvoorbeeld een zoekmachine die over meerdere publicatieplatforms heen informatie kan zoeken en indexeren. Zoals voorzien in de Woo-index en zoekfunctie als onderdeel van PLOOI. Of functies als opslag en bevriezing die bij een concern-breed document management system (DMS) zijn ondergebracht. En waar een of meer specifieke vakapplicaties gebruik van maken. Hierbij kunnen ook meerdere organisaties betrokken zijn die samenwerken in ketens of andere samenwerkingsverbanden.
In al deze gevallen is het nodig om na te gaan dat DUTO-functies elders goed zijn geïmplementeerd.
We werken de verschillende implementatiepatronen verder uit omdat ze van invloed kunnen zijn op het inrichten van DUTO-processen. We beperken ons daarbij tot drie hoofdpatronen die gelinkt zijn aan verschillende configuratieopties uit de NEN-ISO 16175-1:2020 en NPR-ISO/TR 21965:2019.
Implementatiepatroon 1bewerken
In dit implementatiepatroon worden DUTO-processen ondersteund door DUTO-functies opgenomen in één specifieke vakapplicatie.
Plaat: Implementatiepatroon 1
Bij keuze voor dit implementatiepatroon neem je de DUTO-randvoorwaarden en/of de DUTO-modeleisen by design mee in één specifieke vakapplicatie.
Implementatiepatroon 2bewerken
In dit implementatiepatroon levert een generieke DUTO-applicatie DUTO-functionaliteit aan een of meer specifieke vakapplicaties.
Plaat: Implementatiepatroon 2
Bij keuze voor dit implementatiepatroon neem je de modeleisen dus mee bij de inrichting van de generieke DUTO-applicatie. De modeleisen neem je niet (of beperkt) mee in de inrichting van de specifieke vakapplicatie.
Implementatiepatroon 3bewerken
In dit implementatiepatroon ondersteunt een voorziening (een bundeling van diensten) het bedrijfsproces Een interne of externe aanbieder voert met deze voorziening de DUTO-processen uit.
Plaat: Implementatiepatroon 3
Bij keuze voor dit implementatiepatroon neem je de modeleisen voor de DUTO-functionaliteit mee bij de inrichting van de voorziening. De modeleisen neem je niet (of beperkt) mee bij de inrichting van de vakapplicaties bij de dienstafnemer.
31 juli 2024 08:25:51
