Van registerdruk naar regie: integraal beheer voor gemeenten

Voor veel CISO’s, privacy officers en datastewards bij gemeenten is het herkenbaar: het aantal verplichte vastleggingen en registraties groeit al jaren. Daarmee ontstaat ook een wildgroei aan registers. Op zichzelf is elk register goed te verdedigen. Ze zijn immers bedoeld om de interne beheersing en weerbaarheid van organisaties te versterken. Maar wanneer al die registers naast elkaar bestaan, zonder duidelijke samenhang, kan dat een onbedoeld effect hebben: meer registratiedruk en een onevenredig grote administratieve last. De vraag is daarom niet zozeer óf deze registers nodig zijn, maar hoe je voorkomt dat ze uitgroeien tot losse administraties zonder onderlinge samenhang. In deze blog ga ik op die vraag in.

Door Bart Suers

De AVG verplicht organisaties om datalekken, verwerkingen en inzageverzoeken vast te leggen. Voor de Wpg (2019) geldt een vergelijkbare verantwoordingsplicht. De EU AI Act, die vorig jaar van kracht werd, introduceerde daarbovenop nieuwe verplichtingen rond transparantie en de registratie van AI-systemen. Daarnaast maken de Wwke en NIS2 het noodzakelijk om IT- en OT-objecten inzichtelijk te hebben. Elk register kent zijn eigen juridische grondslag. Inmiddels gaat het om meer dan twintig verplichte registraties. Overheidsorganisaties moeten deze niet alleen vastleggen, maar zich er ook aantoonbaar over verantwoorden. Deze blog gaat niet over de inhoud van al die afzonderlijke registraties, maar over het slim organiseren van de beheersingsopgave als geheel.

Weerbaarheid begint bij inzicht in objecten

Voor gemeenten die worden aangemerkt als kritieke of belangrijke entiteit, begint digitale weerbaarheid met goed inzicht in hun IT- en OT-objecten. Denk aan zaaksystemen, basisregistraties, netwerken, koppelingen en cloudleveranciers, maar ook aan fysieke installaties in het sociaal domein of de openbare ruimte. Zonder een actueel objectenregister is geen serieuze risicoanalyse mogelijk. En zonder risicoanalyse kunnen organisaties niet aantonen dat zij voldoen aan hun zorgplicht onder de Wwke en NIS2. Het objectenregister is daarmee geen technische lijst voor de IT-afdeling, maar een bestuurlijk fundament. Het laat zien welke systemen essentieel zijn voor de dienstverlening aan inwoners en waar afhankelijkheden zitten.

Het incident als scharnierpunt

In de praktijk wordt de samenhang tussen registers vooral zichtbaar wanneer er iets misgaat. Vaak begint een proces met een beveiligingsincident of verstoring die wordt vastgelegd in het incidentregister.

Vanuit het geraakte object moet direct inzichtelijk zijn welke gegevens daar zijn ondergebracht, of sprake is van persoonsgegevens en welke classificatie geldt. Ook moet inzichtelijk zijn of het systeem besluitvorming ondersteunt en of AI-functionaliteit is ingezet. Dat vraagt om gerichte raadpleging van het dataclassificatieregister, het algoritmeregister en – indien van toepassing – het AI-register. Niet elk incident raakt al deze registers, maar de onderlinge samenhang moet vooraf zijn ingericht. Zonder die inrichting ontstaat handwerk. En handwerk leidt tot fouten, vertraging en discussie tijdens interne audits.

Het werkelijke risico: versnipperde waarheid

In veel gemeenten worden registers bijgehouden in afzonderlijke applicaties of Excel-bestanden. Elk met een eigen beheerder en eigen dynamiek. Dat lijkt overzichtelijk, maar brengt een belangrijk risico met zich mee: meerdere versies van de waarheid. Zo kan het gebeuren dat het algoritmeregister eigen systeeminformatie bevat, terwijl het dataclassificatieregister een aparte lijst met applicaties bijhoudt en het incidentregister dezelfde technische details opnieuw vastlegt. Hierdoor ontstaat overlap. Bij wijzigingen moeten meerdere plekken worden aangepast, waardoor inconsistenties vrijwel onvermijdelijk zijn. Voor CISO’s leidt dit tot extra beheerslast. Voor privacy officers vergroot dit het risico op onvolledige AVG-documentatie. Voor datastewards zorgt het voor onduidelijkheid over eigenaarschap en definities. En voor het bestuur betekent het een gebrek aan integraal inzicht.

Van registreren naar beheersen

Daarom is het belangrijk om onderscheid te maken tussen registreren en beheersen. Een register is pas waardevol wanneer het niet alleen vastlegt wat er is, maar ook direct zichtbaar maakt welke normen, risico’s en beheersmaatregelen geraakt worden. Een incident in een kritieke applicatie moet automatisch inzicht geven in relevante BIO- controls, de Wwke- of NIS2-verplichtingen, de meldplicht onder de AVG, eventuele AI Act-eisen en de gekoppelde risico’s in het risicoregister. Ontbreekt deze samenhang in de inrichting van systemen, dan blijft zij afhankelijk van de kennis van individuen. En dat maakt organisaties kwetsbaar.

Een geïntegreerd Management Control Systeem maakt deze relaties expliciet en inzichtelijk. Het objectenregister vormt daarbij het fundament. Andere registers zijn geen losse administraties, maar bieden verschillende invalshoeken op dezelfde werkelijkheid. Registraties zijn gekoppeld aan normen en risico’s, waardoor de impact van een incident direct zichtbaar wordt binnen het bredere control-framework. Dat is niet alleen efficiënter, maar noodzakelijk in een toezichtomgeving die steeds nadrukkelijker vraagt om aantoonbare samenhang.

De volgende stap voor gemeenten

Voor gemeenten is de inrichting van registers daarom niet in de eerste plaats een ICT-vraagstuk, maar een governance-vraagstuk. Hoe voorkom je dubbel beheer? Hoe borg je één bron van waarheid? En hoe zorg je dat incidenten, data, algoritmes en AI-toepassingen logisch met elkaar verbonden zijn?

Bij Key2Control ontwikkelen wij deze registers in nauwe samenwerking met onze klanten als onderdeel van één geïntegreerd Management Control Systeem voor gemeenten en lokale overheden. In 2023 hebben wij in dit kader de Registermodule geïntroduceerd. In deze module komen alle registraties op een gestandaardiseerde wijze samen. Het objectenregister zal hierin naar verwachting het fundament vormen. Wanneer dataclassificatie, algoritmes en AI logisch aan elkaar zijn gekoppeld, kunnen bij incidenten automatisch de juiste vervolgstappen worden getriggerd. Hierdoor worden normen, risico’s en maatregelen direct inzichtelijk en wordt overlap en schaduwadministratie voorkomen.

Het webinar Weerbaarheid voor gemeenten: meer dan geld alleen

Wil je meer weten over hoe dit binnen jouw organisatie kan worden ingericht? Op vrijdag 10 april aanstaande vertellen we er meer over tijdens onze Webinar Weerbaarheid van gemeenten: meer dan geld alleen. Wil je niet wachten? Wij gaan natuurlijk graag persoonlijk met je in gesprek.

Het webinar Weerbaarheid voor gemeenten heeft al plaatsgevonden, maar kun je via onderstaande link terugkijken.

Auteur Bart Suers

Deze blog is geschreven door Bart Suers, directeur bij Key2Control. Meer weten over dit onderwerp? Neem dan persoonlijk contact op met Bart.