Samenvatting advies

Het deltawerk Maeslantkering ligt in de Nieuwe Waterweg bij Hoek van Holland en werd gebouwd tussen 1991 en 1997. De Maeslantkering is onderdeel van de Europoortkering, net als de Hartelkering en de dijkverbreding Rozenburg. Samen beschermen ze ruim twee miljoen Nederlanders en het achterland tegen overstromingen. Rijkswaterstaat (RWS) is verantwoordelijk voor de werking en het beheer en onderhoud van de Maeslantkering.

Het Beslis- en Ondersteunend Systeem (BOS) stuurt de Maeslantkering aan. Het BOS voorspelt de waterstand op basis van verschillende data, zoals windsnelheden en windrichting. Als de voorspelde waterstand in Rotterdam 3 meter boven NAP of in Dordrecht 2,90 meter boven NAP dreigt te komen, geeft het BOS commando tot sluiting van de kering aan het Bedienings- en besturingssysteem Waterweg (BESW). In nood kan de kering ook lokaal worden bediend. De Maeslantkering moet voldoen aan een wettelijke faalkanseis bij sluiten van 1:100. Oftewel: de kering mag slechts één keer falen (onder stormcondities) per ten minste 100 keer sluiten. Tot op heden is het éénmaal (december 2023) voorgekomen dat de Maeslantkering daadwerkelijk moest sluiten onder stormcondities.

In 2012 heeft RWS de hard- en software van BESW vervangen. RWS heeft vervolgens geconstateerd dat hierbij een aantal fouten is gemaakt en zaken zijn nagelaten, waardoor de faalkans significant werd verhoogd. De software bevat bijna 100 bekende defecten die tot serieus falen kunnen leiden.

RWS wil met het project ‘vervangen BESW’ vóór de start van het stormseizoen 2030 de huidige automatisering van de Maeslantkering vervangen door een industriële automatiseringsoplossing die aantoonbaar betrouwbaar is, correct functioneert en onderhoudbaar is.

Het Adviescollege ICT-toetsing (AcICT) onderzocht dit project op verzoek van het ministerie van Infrastructuur en Waterstaat.

Conclusie: Gekozen aanpak leidt tot schijnzekerheid over betrouwbaarheid

AcICT herkent de noodzaak tot verbetering van BESW: de huidige staat is onacceptabel als besturing van een veiligheidskritisch object als de Maeslantkering. De gekozen aanpak leidt echter tot schijnzekerheid over betrouwbaarheid en niet noodzakelijkerwijs tot een betrouwbaar BESW, want:

  • De kwantitatieve benadering van betrouwbaarheid is ongeschikt voor software.
  • De beoogde aanbesteding is onvoldoende gericht op veiligheidskritische aspecten van BESW.
  • De stuurgroep stuurt onvoldoende op functionele veiligheid zoals de IEC 61508-norm voorschrijft.

Advies: Stel het systematisch verbeteren van de betrouwbaarheid van BESW centraal in plaats van kwantificering

AcICT adviseert om het systematisch verbeteren van de betrouwbaarheid van BESW centraal te stellen in plaats van het vooraf kwantificeren van de softwarebetrouwbaarheid:

  • Werk volgens standaard IEC 61508, gericht op maatregelen die de betrouwbaarheid van software verbeteren.
  • Werk veiligheidseisen en systeemontwerp uit zodat hierop gestuurd kan worden.
  • Versterk inhoudelijke sturing, en benut intern en extern aanwezige kennis.
  • Werk ook na de vervanging doorlopend aan het verhogen van de betrouwbaarheid.

De reactie van de bewindspersoon volgt nog.