Datalekken bij gemeenten: cyberweerbaarheid moet nu bovenaan de agenda
Gemeenten verwerken dagelijks grote hoeveelheden gevoelige informatie van inwoners. De inwoners moeten erop kunnen vertrouwen dat hun persoonsgegevens daarbij zorgvuldig worden beschermd. Uit onderzoek van NOS en Nieuwsuur blijkt echter dat honderden gemeentelijke documenten online stonden met privégegevens, waaronder adressen, telefoonnummers en nummers van identiteitsbewijzen. In 255 documenten werden zelfs burgerservicenummers aangetroffen. Eén document bevatte de persoonsgegevens en BSN-nummers van 43 inwoners.
Dit is niet alleen een privacyprobleem, het laat ook zien hoe belangrijk aantoonbare beheersing, duidelijke verantwoordelijkheden en effectieve controles binnen gemeenten zijn. Hoe is deze beheersing geregeld binnen jouw gemeente?
door Xander Hyndycz
Een menselijke fout is óók een beheersingsvraagstuk
Veel gemeenten gebruiken software om persoonsgegevens automatisch uit documenten te verwijderen. Daarna volgt doorgaans nog een menselijke controle. Toch blijken gevoelige gegevens door deze controles heen te glippen.
Een menselijke fout is echter zelden uitsluitend een fout van één medewerker. De relevante vragen zijn ook:
- Is duidelijk wie verantwoordelijk was voor de controle en vrijgave?
- Is bekend welke gevoelige gegevens het document bevatte?
- Is een extra controle verplicht bij documenten met BSN’s?
- Wordt periodiek gecontroleerd of gepubliceerde documenten daadwerkelijk veilig zijn?
- Worden eerdere incidenten vertaald naar concrete verbetermaatregelen?
Zonder duidelijke processen en eigenaarschap blijft privacybescherming afhankelijk van individuele oplettendheid.
Cyberbeveiligingswet geldt vanaf 15 augustus
Voor gemeenten wordt digitale weerbaarheid extra urgent. Op 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking. Gemeenten vallen onder deze wet en krijgen onder meer te maken met een zorgplicht, registratieplicht en meldplicht op het gebied van cyberbeveiliging.
Hoewel de Cbw geen privacywet is, bestaat er een duidelijke samenhang met de bescherming van persoonsgegevens. Zowel privacybescherming als cyberweerbaarheid vereisen dat gemeenten duidelijk inzicht hebben in hun informatie, systemen en risico’s. Daarnaast moeten zij passende technische en organisatorische maatregelen nemen, verantwoordelijkheden duidelijk beleggen en incidenten zorgvuldig en tijdig afhandelen. Ook moeten gemeenten kunnen aantonen dat controles daadwerkelijk worden uitgevoerd en dat verbetermaatregelen structureel worden opgevolgd.
Naar mijn mening moet de Cyberbeveiligingswet daarom niet worden gezien als een afzonderlijk ICT-project. De wet raakt de gehele gemeentelijke organisatie en hoort hoog op de prioriteitenlijst van bestuur, directie en management te staan. Gemeenten moeten kunnen laten zien dat zij hun risico’s beheersen, dat genomen maatregelen effectief zijn en dat incidenten snel en zorgvuldig worden opgevolgd.
Wachten tot 15 augustus is geen optie. De digitale risico’s waarop de wet betrekking heeft, bestaan immers vandaag al. Daarom is het van belang dat gemeenten nu beginnen met de voorbereiding en digitale weerbaarheid als een organisatie brede verantwoordelijkheid behandelen.
Van losse controles naar aantoonbare beheersing
Gemeenten moeten nu vaststellen waar zij staan. Welke risico’s zijn onvoldoende beheerst? Zijn verantwoordelijkheden aantoonbaar belegd? Werken privacy, informatiebeveiliging, informatiebeheer en risicomanagement voldoende samen? En kan het bestuur op basis van actuele informatie sturen op tekortkomingen en verbetermaatregelen?
Met Key2Control kunnen gemeenten privacy- en informatiebeveiligingsrisico’s, maatregelen, taken, incidenten en verbeteracties vanuit één samenhangende aanpak organiseren. Het ISMS ondersteunt daarbij het werken volgens normenkaders zoals de BIO en een risicogerichte PDCA-cyclus.
Het voorkomen van datalekken begint niet alleen bij betere software of een extra controle. Het begint bij een organisatie die weet welke risico’s zij loopt, wie verantwoordelijk is en of afgesproken maatregelen daadwerkelijk werken.
Ik wil dan ook graag afsluiten met de volgende stelling: “Met de Cyberbeveiligingswet voor de deur is uitstel voor gemeenten écht geen verantwoorde optie meer”.
Auteur Xander Hyndycz
Deze blog is geschreven door Xander Hyndycz.
