De ontwikkeling van de CoronaMelder-app kan niet dienen als blauwdruk voor andere ict-projecten bij de overheid, zo stelt het Adviescollege ICT-toetsing (AcICT) dat het ontwikkelproces van CoronaMelder evalueerde. Via CoronaMelder kunnen gebruikers aangeven dat ze besmet zijn met het coronavirus en ontvangen een waarschuwing als ze in de buurt van besmette gebruikers zijn geweest.

De app moest in 2020 in de kortst mogelijke tijd worden ontwikkeld. Er was geen vastgesteld budget voor de ontwikkeling en de werking moest zijn gegarandeerd. Het ministerie van Volksgezondheid organiseerde een openbare Appathon om te kijken of er oplossingen in de markt waren. Er bleek geen werkende oplossing te zijn die voldeed aan alle eisen op het gebied van privacy, informatieveiligheid, nationale veiligheid, bruikbaarheid en toegankelijkheid.

Daarop besloot het ministerie van Volksgezondheid zelf een app te ontwikkelen. Het AcICT stelt dat het doel van het ontwikkelproces van de CoronaMelder niet concreet was vastgelegd. De keuze voor zelfbouw is volgens het AcICT wel begrijpelijk. "Wij begrijpen de keuze voor zelfbouw, omdat in de Appathon was vastgesteld dat een werkend marktalternatief waarschijnlijk niet bestond en voortvarende doorontwikkeling daarop niet zondermeer mogelijk was."

Privacy en security

Verder stelt het Adviescollege dat erin het ontwikkelproces voldoende aandacht was voor privacy en security. Zo werden vanaf de Appathon security- en privacy-onderzoeken ingezet. Vervolgens is tijdens de zelfbouw een specifieke privacy- en securityexpert aangesteld, en zijn privacy en security vanaf het begin in de eisen en bij het ontwerp meegenomen (by-design).

Vóór de lancering van de app zijn diverse privacy- en security-testen/toetsen/onderzoeken uitgevoerd. "Wij vinden dat in het ontwikkelproces voldoende aandacht was voor privacy en security. Het is een goede aanpak om vanaf de start de eisen rond privacy en security mee te nemen naar het ontwerp, de bouw en het testen", zo laat het AcICT weten.

Geen blauwdruk

Het ontwikkelproces van CoronaMelder vormt echter geen blauwdruk voor andere ict-projecten bij de overheid. "Daarvoor was de situatie te uniek", concludeert het AcICT. Ondanks de wat specifieke toepassing komt uit de evaluatie van het ontwikkelproces dat er op onderdelen keuzes zijn gemaakt en good practices zijn toegepast die in andere ict-projecten van de Rijksoverheid, al dan niet met aanpassingen en verbeteringen, zijn toe te passen.

Volgens staatssecretaris Van Huffelen van Digitalisering biedt de evaluatie verschillende adviezen voor vervolgonderzoek. "Met deze evaluatie geeft het AcICT mij een helder beeld waar de verbeterkansen liggen. Niet alleen voor de doorontwikkeling van de meerjarige I-strategie, maar ook voor de organisatie van ict-projecten bij de rijksdienst. De adviezen van het AcICT voor vervolgonderzoek richten zich dan ook telkens op de vraag hoe een bepaalde verbetering zou moeten. De evaluatie geeft mij aanleiding om aan het AcICT de hulp te vragen hoe die verbetering het best kan worden aangepakt."

Minister Kuipers van Volksgezondheid liet onlangs weten dat de overheid door direct te stoppen met de CoronaMelder-app 6,5 miljoen euro kan besparen. Het gaat om kosten voor de hosting van de app (2,7 miljoen euro), werkzaamheden en externe inhuur (2,4 miljoen euro) en middelen voor communicatieactiviteiten (1,3 miljoen euro). Het resterende deel is voor overige beheerkosten.