De Cyberbeveiligingswet (Cbw) komt eraan! Deze wet brengt nieuwe verplichtingen voor gemeenten met zich mee. Er komt een meldplicht voor grote (‘significante’) incidenten en bestuurders krijgen een zorgplicht voor informatiebeveiliging. Daarnaast gaat het Rijk toezicht houden op gemeenten. De Rijksinspectie Digitale Infrastructuur gaat dit doen en zal ‘systeemtoezicht’ houden met minimale administratieve lasten voor gemeenten. Hoe dit eruit gaat zien, weten we nog niet. Maar er wordt druk aan gewerkt.
En dit is nog niet alles! Als Collegelid wordt u straks verplicht om een training digitale veiligheid te volgen, zodat u, met kennis van zaken, uw sturende rol waar kan maken. Die kennis betreft (vast tot opluchting van veel lokale bestuurders) niet de technische kant van de informatiebeveiliging, maar de risicosturing. Onderwerpen die in die training aan de orde moeten komen zijn:
- de soorten risico’s voor netwerk- en informatiesystemen;
- risicomanagementprocessen en;
- risicobeoordelingsmethodiek.
Als uw CISO straks een beveiligingsrisico rapporteert met een daarbij behorende maatregelen, moet u dit kunnen beoordelen. Past die maatregel wel bij dat risico? En hoeveel kleiner wordt het risico als we die maatregel implementeren? Of is het überhaupt wel nodig om maatregelen te nemen; kunnen we het risico niet gewoon accepteren? Ga er maar aanstaan.
Nu denkt u natuurlijk: wanneer gaat die wet in? Hoeveel tijd heb ik nog? Maar u hoeft zich geen zorgen te maken. De Cbw is uitgesteld en treedt in het tweede kwartaal van 2026 (na de gemeenteraadsverkiezingen) in werking. Maar dat betekent geenszins dat u voor die tijd niets kunt doen. Met de volgende tips zet u deze zomer al belangrijke stappen op weg naar een digitaal veilige gemeente.
- Zoek het laatste jaarrapport digitale veiligheid van uw CISO op (waarschijnlijk uit mei/april) en herlees die aandachtig. Stel u daarna de vraag of u dit rapport u inzicht heeft gegeven in de belangrijkste risico’s die uw gemeente op dit moment loopt.
- Als het antwoord op deze vraag negatief is, plan dan een gesprek in met uw CISO en vraag hem/ haar naar de belangrijkst risico’s met bijbehorende maatregelen. Vraag in dit gesprek ook of de gemeente aan de Baseline Informatiebeveiliging Overheid (BIO) voldoet. Deze BIO is de ondergrens voor een digitaal veilige gemeente.
- Als u zich wil verdiepen in dit onderwerp, maak dan van deze rustige zomerperiode gebruik om een training uit te zoeken voor het najaar. Let hierbij wel goed op; verschillende aanbieders hebben de ‘verplichte Cbw-training’ voor bestuurders al opgenomen in hun aanbod. Maar dat kan nog helemaal niet; de eisen voor deze opleiding zijn nog niet vastgesteld en na het volgen van de training krijgt u niet het verplichte certificaat.
Alvast een digitaal veilige zomer toegewenst.
Peter van Enk is adviseur bij PBLQ en projectleider bij de VNG.
Geef een reactie