219 miljoen voor veiligheid, en dan de rechtbank

Een stad die haar eigen leverancier voor de rechter daagt. Zo eindigt zelden een programma dat goed begonnen is, en zelden ook een programma dat rustig begonnen is.

Antwerpen heeft het contract met IT-bedrijf Eviden eenzijdig stopgezet. Het ging om het programma Versterking, opgezet na de gijzelsoftware-aanval van december 2022 die de stad maandenlang lamlegde. Zes jaar looptijd, 219 miljoen euro, afgesloten in 2025 via een raamcontract van de Vlaamse overheid. Volgens de stad bleven de beloofde resultaten uit, en Digipolis oordeelde dat de afgesproken voorwaarden niet werden nageleefd. De stad eist de facturen terug en vraagt meer dan 3,8 miljoen euro schadevergoeding. Er loopt een procedure, dus het laatste woord is niet gezegd.

Wat mij bezighoudt is niet wie gelijk krijgt. Dat zullen de rechtbanken uitmaken. Wel hoe een programma dat met maximale urgentie en een ruim budget vertrok, drie jaar later eindigt bij een advocaat.

Een programma dat op paniek gebouwd is

Na zo'n aanval is de urgentie totaal en het budget bijna onbeperkt. Dat klinkt als de ideale startpositie. In de praktijk is het net het lastigste vertrekpunt, want urgentie duwt de moeilijke gesprekken naar achteren.

Wat is klaar? Wanneer is dit programma geslaagd? Die vragen stel je op een moment dat iedereen vooral wil dat er íets gebeurt, en dan klinken ze als vertraging. Dus worden ze uitgesteld naar de volgende fase, en die volgende fase komt zelden.

Zes jaar en 219 miljoen euro via een raamcontract is dan ook geen opdracht. Het is een intentie met een prijskaartje eraan.

Een raamcontract afsluiten is niet hetzelfde als aansturen

Hier zit volgens mij de kern. Een raamcontract regelt wie mag leveren. Het regelt niet wat er geleverd moet worden, en al helemaal niet hoe je merkt dat het geleverd is.

Dat onderscheid vervaagt gemakkelijk, zeker bij een overheid waar de aanbesteding zelf al een zwaar traject is. Als die aanbesteding rond is, voelt het alsof het werk gedaan is. Terwijl het dan pas begint, en het echte werk gaat over opvolging: welke resultaten verwachten we per kwartaal, wie stelt vast of ze er zijn, en wat gebeurt er als ze uitblijven.

Het tijdsverloop verraadt het meeste

Contract in 2025, vaststelling in oktober dat de resultaten uitbleven, verbreking in december. Dat is de tijdlijn zoals ze in de berichtgeving staat, en ze roept één vraag op.

Als je pas na maanden vaststelt dat er niet geleverd wordt, meet je dan de verkeerde dingen, of meet je te laat? In beide gevallen kom je bij hetzelfde punt uit: er stond geen tussentijdse meting die vroeg genoeg piepte. Bij een programma van zes jaar is een jaarlijkse evaluatie niet te traag, dat is niet meten.

En het geldt trouwens niet enkel voor de klant. Ook een leverancier heeft er belang bij dat er scherp gemeten wordt, want anders hoort hij pas dat het misloopt wanneer de relatie al onherstelbaar is.

Wat nu?

De stad nam de leverancier weg, de procedure loopt, en het onderliggende risico is nog altijd niet opgelost. Cyberveiligheid wordt niet beter van een gerechtelijke uitspraak. Een contract verbreken is dus geen oplossing, het is het begin van een nieuw programma, en dat programma vertrekt nu met minder budget en meer wantrouwen.

Voor wie in een KMO werkt lijkt dit ver van je bed, maar het patroon is hetzelfde op kleinere schaal. Je koopt onder druk een oplossing voor een probleem dat je gisteren had, en anderhalf jaar later merk je dat niemand ooit heeft vastgelegd hoe je zou weten dat het werkt.

Dus, van welk lopend contract weet jij vandaag niet hoe je gaat vaststellen dat het geleverd is?