Steeds meer gemeenten geven hoge prioriteit aan digitale veiligheid. Bestuurders zijn steeds beter geïnformeerd en er is meer aandacht voor digitalisering en de bijbehorende veiligheid. Toch zijn er nog steeds burgemeesters en gemeenteraden die het geen onderwerp voor de raad vinden, omdat het een bedrijfsvoeringsproces zou zijn.
Cybercriminelen proberen aan de lopende band in te breken bij gemeenten, zij zijn in 2023 van alle sectoren het hardst geraakt door cyberincidenten. Volgens de prognoses komen er nóg meer gijzelhacks en datalekken. Volgens het Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten van de VNG neemt de kans op digitale ongelukken toe. De grootste risico’s:
- verstoringen in de bedrijfsvoering (gemeenten zijn volledig afhankelijk van gedigitaliseerde werkprocessen)
- vertrouwelijke informatie op het dark web (Wmo bestanden gehackt)
- uitval van dienstverlening (als de computerschermen op zwart gaan, wordt er geen vergunning meer afgegeven)
Geen klein bier, en dat kunnen burgemeesters van gemeenten die slachtoffer werden van een hack beamen. Als het mis gaat, kan herstel van de digitale organisatie behoorlijk in de papieren lopen.
Hof van Twente
Zo kostte de hack van Hof van Twente de gemeente ruim 4 miljoen euro. Ook had de burgemeester wat uit te leggen aan de inwoners wiens persoonsgegevens ‘op straat lagen’, terwijl zij er wel erop vertrouwden dat hun persoonlijke informatie bij de gemeente in veilige handen was. Ten slotte moest de burgemeester bij de gemeenteraad met de bestuurlijke billen bloot. De raad toonde nooit echt interesse als het onderwerp digitale veiligheid voorbijkwam in ingewikkelde rapportages, maar wilde nu wel weten hoe het zover heeft kunnen komen en wat de reparatie wel niet gaat kosten.
Informatieveiligheid
In 2017 al concludeerde de visitatiecommissie Informatieveiligheid in het rapport Durven leren, van de commissie Backhuijs dat zij alles voorbij had zien komen. ‘Van zeer actieve, goed ingevoerde bestuurders, tot bestuurders die het onderwerp vrijwel volledig aan de ambtelijke organisatie overlaten als een bedrijfsvoeringsvraagstuk. Informatieveiligheid is in de meeste gemeenten geen politiek onderwerp. Tenzij het misgaat.’
Cyberburgemeesters
Dit geldt nog steeds. Bestuurders zijn tegenwoordig wel beter geïnformeerd en zowel binnen als buiten de structuren van de VNG om is er meer aandacht voor digitalisering en digitale veiligheid. Het netwerk van cyberburgemeesters heeft hierbij een belangrijke aanjaagfunctie. Dit laat echter onverlet dat er nog steeds burgemeesters zijn die digitale veiligheid geen onderwerp voor de raad vinden, omdat het om bedrijfsvoering zou gaan. Regelmatig zijn het ook de gemeenteraden zelf die nog steeds lastig voor het onderwerp te motiveren zijn. Het zou te technisch zijn en maatschappelijk niet relevant.
Op vlieghoogte
Wel komen ook steeds meer gemeenteraden op vlieghoogte als het gaat om digitale veiligheid. Zij worden periodiek geïnformeerd over het onderwerp. Dit gebeurt niet alleen met een ‘standaardpresentatie’ van de Chief Information Security Officer (CISO), maar ook door de raad te betrekken bij een cyber-game of een escape room.
Lokale rekenkamer
Ook de lokale rekenkamer kan een rol spelen met een onderzoek naar digitale veiligheid. Zo’n onderzoeksrapport van de rekenkamer is vaak in een voor raadsleden begrijpelijke taal geschreven en bevat concrete aanbevelingen waar zij op kunnen sturen. De Vereniging voor Rekenkamers, de NVRR, bundelde de onderzoeken naar digitale veiligheid in een meta-dossier, zodat rekenkamers makkelijker van elkaar kunnen leren.
In enkele gevallen neemt de raad zelf het voortouw. Zo stelde de gemeenteraad van Nieuwegein het Manifest Nieuwegein Digitaal op, waarin ook het thema veiligheid wordt geadresseerd. Dit document is van februari 2022, maar dient nog steeds als kaderstellend document voor raad en college.
Nieuwe eisen
De VNG adviseert om met de gemeenteraad het gesprek te voeren over digitale veiligheid en hier niet mee te wachten tot de systemen zijn gehackt. De NIS2 Richtlijn, die nieuwe eisen stelt aan de gemeentelijke digitale veiligheid, kan hiervoor een aanjaagfunctie vervullen. De gevolgen van deze richtlijn zijn nog niet helemaal duidelijk, maar gemeenten ‘worden verplicht om meer maatregelen te nemen om cyber security-risico’s te beheersen.’ De vrijblijvendheid gaat er met deze NIS2 richtlijn vanaf en er wordt strenger gehandhaafd.
Toezicht en middelen
Nog niet zo lang geleden was digitale veiligheid nog een bedrijfsvoeringsproces waar de gemeenteraad niet bij betrokken hoefde te worden. Maar tegenwoordig is de gemeente niets minder dan een informatieverwerkend bedrijf dat volledig afhankelijk is van veilige ICT voorzieningen. Het is aan de raad om hierop toezicht te houden en er voldoende middelen voor beschikbaar te stellen.
Peter van Enk is adviseur bij PBLQ en projectleider bij de VNG.
Geef een reactie