Outsourcing IT-infrastructuur- en beheerdiensten ten behoeve van gemeente Stichtse Vecht

In het najaar van 2023 werd Emtio door de gemeente Stichtse Vecht benaderd met het verzoek een Europese aanbesteding in het kader van een IT-outsourcingstraject te begeleiden. De opdracht is door Emtio als volgt samengevat: “Outsourcing IT-infrastructuur- en beheerdiensten.”

De gemeente Stichtse Vecht omvat verscheidene dorpen en buurtschappen, met als grootste Maarssenbroek, Maarssen-Dorp, Breukelen, Kockengen en Loenen aan de Vecht. De gemeente onderscheidt twaalf kernen. Ruwweg van noord naar zuid zijn dit: Nigtevecht, Vreeland, Loenersloot, Loenen aan de Vecht, Nieuwersluis, Nieuwer Ter Aa, Breukelen, Kockengen, Maarssen-Dorp, Maarssenbroek, Tienhoven/Molenpolder (onder andere bestaande uit Tienhoven, Oud-Maarsseveen, Maarsseveen, Bethunepolder en Molenpolder) en Oud-Zuilen.

Aanleiding

Gemeente Stichtse Vecht had het beheer en de housing van de ICT-infrastructuur sinds jaar en dag ondergebracht bij externe leveranciers en voerde zelf een regiefunctie. Het beheer was verdeeld over vier leveranciers. Het beheer van de on-premise servers, Citrix-omgeving en LAN-netwerk is sinds 2016 in beheer bij een externe leverancier. Dit contract zou uiterlijk januari 2026 aflopen. In 2023 is gestart met het opwaarderen van de on-premise server en Citrix-omgeving naar een vernieuwde Windows-versie en is de housing overgezet van de locatie in Maarssen naar een IaaS-omgeving bij deze leverancier. Het (aparte) hostingcontract zou per juli 2026 eindigen. Deze leverancier voerde ook de beheertaken uit voor Microsoft Exchange en Active Directory.

In 2020 is een overeenkomst gesloten met een andere leverancier voor cloudintegratie en het beheer van clouddiensten. De afgenomen diensten bleven beperkt tot de inrichting van een Azure Landing Zone en enkele services (met name datagedreven werken en Azure Virtual Desktop). Het gebruik van de Microsoft 365-omgeving was beperkt tot Teams voor vergaderen en een pilotgroep van medewerkers en raadsleden die gebruikmaakten van M365 in een Azure Virtual Desktop. Het contract met deze leverancier zou per november 2024 eindigen.

Het beheer van mobiele werkplekken en smartphones werd uitgevoerd met Microsoft Intune, beheerd door een derde leverancier via een managed servicecontract. Dit contract zou per januari 2024 eindigen.

Het beheer van de wifi-omgeving werd verzorgd door een vierde leverancier. Dit contract zou per januari 2025 eindigen.

Gemeente Stichtse Vecht had als stip op de horizon een volledige versaasing van het applicatielandschap en wilde toewerken naar één leverancier voor de inrichting en het beheer van de ICT-infrastructuur en standaard Kantoorautomatisering. De beoogde leverancier moest de huidige hybride omgeving in beheer nemen en deze doorontwikkelen richting verdere versaasing. Onderdeel van de opdracht was de transitie van de Citrix-omgeving naar de moderne werkplek, het overzetten van documenten van fileservers naar Microsoft 365, het beheer van de Azure tenant en de overgang van de IaaS-omgeving bij afloop van het bestaande contract. Vanwege lopende contracten moest deze transitie gefaseerd plaatsvinden en diende het beheer parallel te worden overgedragen aan de nieuwe leverancier.

Karakteristieken van de op dat moment bestaande IT-infrastructuur

Hieronder worden de belangrijkste onderdelen van de toenmalige IT-infrastructuur puntsgewijs toegelicht:

1. IaaS-omgeving
Hosting en connectivity van Windows- en Citrix-servers, gehost en beheerd door [Bestaande leverancier 1]. In deze omgeving werd onder andere gebruikgemaakt van Active Directory, fileservers voor documenten, Windows-applicatieservers, Windows-databaseservers voor Oracle en Microsoft SQL. Alle applicaties werden aangeboden via Citrix, met uitzondering van Microsoft Teams voor online vergaderen.

Aantal servers:

• Productie: 40 Windows-servers, 4 Linux Oracle-servers
• OTA: 16 Windows-servers, 3 Linux Oracle-servers

Daarnaast maakten firewalls, access gateways en load balancers deel uit van de datacenterinrichting. Er liep een project om Windows Server 2012 op te waarderen (naar ten minste Windows Server 2016) voor de servers die werden gebruikt voor legacyapplicaties, en een tweede project om de Citrix-omgeving op te waarderen naar Windows Server 2019.

2. Werkplekomgeving
Laptops en Citrix-ondersteuning die nagenoeg volledig was overgezet van thin clients naar Intune-beheerde laptops met docking stations. De laptops waren ingericht als mobiele Citrix-client en voor lokaal gebruik van Teams voor online vergaderingen.
Het betrof 430 Windows 10-laptops (HPe Elitebook, 115 uit 2021–2023; HPe Probook 310 uit 2016–2022; HPe Zbook 5 uit 2016 en 2021) en 90 Microsoft Surfaces (uit 2019–2023). Op de kantoren werd gebruikgemaakt van 290 iiyama ProLite-monitoren met docking stations.

De Citrix-omgeving omvatte 6 infrastructuurservers (StoreFront, CDC en licentieservers), 14 productie-VDA’s (session hosts, Citrix Virtual Apps and Desktops), waarvan er 2 in Maarssen stonden en 12 in de datacenters van [Bestaande leverancier 1], en 4 OTA-VDA’s.

3. Azure Virtual Desktop (AVD)-omgeving
Pilot voor virtuele werkplekken, in gebruik voor 113 medewerkers en 61 raadsleden. De omgeving voldeed niet, werd niet uitgebreid en werd afgebouwd. AVD was nog wel in gebruik, vooral in combinatie met Microsoft 365-e-mail, SharePoint en Teams.
De AVD-werkplekken authentiseerden tegen een separate Active Directory: intern.stichtsevecht.nl.

4. Microsoft 365-inrichting
Samenwerking en communicatie met hoofdzakelijk gebruik van Intune en Teams voor online vergaderen. Er liep een project voor de overgang naar Exchange Online.
Alle medewerkers konden al met Teams werken via de app op smartphone, laptop of BYOD. Andere Microsoft 365-functionaliteit was beperkt toegankelijk. Er waren 610 M365 E3-licenties in gebruik. Daarnaast was er een afgescheiden M365-omgeving voor raadsleden, met 60 licenties.

Toegang tot de Microsoft 365-omgeving verliep via Entra ID (voorheen Azure AD), die werd gesynchroniseerd met de traditionele on-premise AD (maarssen.intra). Van de Microsoft 365-data werd een back-up gemaakt. Het was de bedoeling maarssen.intra uit te faseren en over te gaan naar één traditionele AD (voor legacy: intern.stichtsevecht.nl) en de al bestaande Entra ID (stichtsevecht.nl).

5. Mobiele apparatuur
Smartphones en beheer via Intune, beheerd door [Bestaande leverancier 2]. Elke medewerker beschikte over een smartphone. In totaal waren er 460 smartphones: 20 oudere iPhones (7 en XR), 435 recente iPhones (SE2020, SE2022, 12 mini), 4 Samsung Galaxy S20 en 1 Microsoft Lumia.

6. Netwerkcomponenten
Firewalls, switches en routers:
• 2x firewalls (redundante setup, gemeentekantoor)
• redundante HPe-core (2x brandweerkazerne, 2x gemeentekantoor), redundante distributie-HPe (idem)
• 14x HPe-access switches op het gemeentekantoor
• 5x switches op andere locaties
• 1x firewall (Breukelen)
• 5 locatie-routers
De VoIP-leverancier had eigen routers en verbindingen. VoIP verliep via het LAN naar kantoorwerkplekken.

7. Wireless LAN-omgeving
Wifi met Cisco Meraki, beheerd door ‘de connectors’: een Cisco Meraki-omgeving (SaaS managed) met circa 40 access points, verspreid over het gemeentekantoor. Hierover werden meerdere SSID’s aangeboden (onder andere voor medewerkers, raadsleden, gasten en Govroam). De onderliggende hardware werd gehuurd.

8. Lokaal netwerk op kantoren
LAN met HPe-apparatuur, in beheer bij [Bestaande leverancier 1], gebaseerd op HPe-apparatuur met een core–distributie–accesslaag-inrichting. Deze inrichting bevatte ook een redundante Fortigate-firewall en diverse internetverbindingen voor specifieke toepassingen. Alle primaire verbindingen verliepen via het WAN naar de datacenters van [Bestaande leverancier 1], en van daaruit ook naar SaaS en internet.

9. Azure-resource tenant
Beheer en data-analyse in Azure, in beheer bij [Bestaande leverancier 3], waar gebruik werd gemaakt van PaaS-diensten voor datagedreven werken. De omgeving werd via een VPN-tunnel benaderd vanuit de datacenters van [Bestaande leverancier 1].

IaaS: 18 Windows VM’s, 1 SQL-server, 1 Azure-firewall, 1 VPN-gateway, 1 load balancer
PaaS: Data Factory v2, API Management, PostgreSQL-databases, SQL-databases, Azure Pipelines (CI/CD)
Zowel de IaaS- als PaaS-systemen en -data waren voorzien van Azure-back-ups.

Uitgangspunten

Emtio hanteert bij aanbestedingen geen programma van eisen. Wel worden zogenaamde uitgangspunten geformuleerd:

• Organisatie-uitgangspunten
• Functionele uitgangspunten
• Security uitgangspunten
• Implementatie uitgangspunten
• Beheer uitgangspunten

De aanbestedingsprocedure

De aanbesteding is uitgevoerd via een uitgebreide mededingingsprocedure met onderhandelingen. De aanpak bestond uit twee informele en twee formele fasen:

1. Voorbereidingsfase (informeel)
   Deze fase diende ter voorbereiding van de aanbestedingsstukken en het opstellen van uitgangspunten en behoeftestellingen.
2. Selectiefase (formeel)
   Er werden drie leveranciers geselecteerd waarmee de inlichtingenfase werd doorlopen.
3. Inlichtingenfase (informeel)
   De geselecteerde leveranciers beantwoordden mondeling (via interactieve presentaties) en schriftelijk een aantal zorgvuldig geformuleerde vragen over de voorlopige behoeftestelling van gemeente Stichtse Vecht. In deze fase kon vrij worden gediscussieerd en werden organisatie en stakeholders actief betrokken.
4. Onderhandelingsfase (formeel)
   De geselecteerde leveranciers dienden hun voorlopige inschrijving/offerte in, waarna nadere afstemming plaatsvond. Ook hier was ruimte voor discussie en het betrekken van de organisatie en stakeholders. Daarna werkten de leveranciers hun definitieve inschrijving/offerte uit en dienden zij deze, inclusief prijsstelling, in. Pas op dat moment werd het proces strak geformaliseerd en volgden beoordeling en gunning.

Planning

Afronding

De aanbestedingsprocedure is succesvol afgerond met de gunning van de opdracht aan OpenLine Managed Services B.V.

Kwalitatieve inzet vanuit Emtio

De werkzaamheden namens Emtio zijn uitgevoerd door Joop Schuilenburg (IT- en aanbestedingsjurist) en Ernst Vetketel (IT-specialist). Lees hier meer over het team.