Informatiebeveiliging & Privacy
Informatiebeveiliging omvat de bescherming van hardware, software en netwerken. Het gaat over het beschermen van waardevolle gegevens tegen ongeautoriseerde toegang, diefstal, of beschadiging. Het doel van informatiebeveiliging is: zorgen dat alléén de juiste mensen op het juiste moment toegang hebben tot de juiste informatie.
Privacy gaat over het beschermen van persoonsgegevens. De bescherming van gegevens van inwoners, bedrijven en medewerkers is cruciaal. Niemand wil dat persoonlijke of gevoelige gegevens zomaar op straat komen te liggen. Of het nu gaat om bijzondere persoonsgegevens, of persoonlijke e-mails; je wil dat deze informatie goed beschermd is tegen onbevoegde inzage.
Voor de gemeente kan een datalek een enorme impact hebben zoals financiële tegenvallers, boetes en een afname van vertrouwen van inwoners, bedrijven en medewerkers. Zij vertrouwen er immers op dat hun gegevens goed worden beschermd.
In het voorjaar van 2025 publiceerde de IBD Informatiebeveiligingsdienst (IBD) onderdeel van de Vereniging van Nederlandse Gemeenten (VNG) voor ondersteuning van gemeenten, voor de vijfde keer het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten. Dit dreigingsbeeld voor 2025–2026 laat zien dat cyberdreigingen een structureel en keten overstijgend karakter hebben gekregen. Professionalisering van cybercriminaliteit, toenemende ketenafhankelijkheden en snelle technologische ontwikkelingen vergroten de risico’s voor gemeenten. Ransomware, datalekken en verstoringen bij leveranciers raken niet alleen individuele organisaties, maar ondermijnen de continuïteit van gemeentelijke dienstverlening en het vertrouwen van inwoners.
Gemeenten staan anno 2025 voor een complex en veelzijdig dreigingslandschap, waarin cybercriminaliteit, geopolitieke spanningen en technologische afhankelijkheden een grote rol spelen. Denk aan de afhankelijkheid van het Amerikaanse Microsoft en het gebruik van Whatsapp. De opkomst van kunstmatige intelligentie (ook wel artificial intelligence of AI) biedt kansen, zoals het efficiënter maken van (beveiligings)processen. Het brengt daarnaast risico’s met zich mee. AI wordt bijvoorbeeld gebruikt door criminelen voor verfijnde aanvallen zoals deepfake-fraude en phishings mails zonder spelfouten te maken. Verder is het een risico dat medewerkers privacygevoelige gegevens verwerken in AI-tools.
De dreigingen en risico's uit het dreigingsbeeld zijn in 2025 meegenomen in de voorbereiding van de Cyberbeveiligingswet (CBW) en de nieuwe baseline Informatiebeveiliging (BIO2.0)
Eind 2022 is de Network and Information Security Directive (NIS2-richtlijn) door de Europese Unie vastgesteld. Dit is een Europese richtlijn die omgezet moet worden naar Nederlandse wetgeving. De NIS2-richtlijn wordt geïmplementeerd in de Cyberbeveiligingswet (Cbw) en zal naar verwachting in het tweede kwartaal van 2026 in werking treden.
De gemeente heeft een externe impactanalyse naar de consequenties voor de gemeente van de nieuwe wet laten uitvoeren. De belangrijkste aanbeveling uit de impactanalyse is dat om alle eisen te voldoen het nodig is om de formatie voor informatiebeveiliging zowel tijdelijk als structureel te versterken. We hebben een leveranciersmanager gecontracteerd en extra fte gekregen voor de CISO taken. Daar is in augustus een trainee CISO op gecontracteerd met als aandachtsgebied continuïteitsmanagement in het kader van de weerbare organisatie.
In 2025 is het NIS2/CBW project gestart met een externe projectleider om onze gemeente klaar te maken voor de invoering van de Cbw.
De BIO schrijft voor dat wij via de Plan-Do-Check-Act cyclus risicogestuurd werken aan dreigingen en risico's en te zorgen dat de gemeente voldoet aan de wettelijke kaders.
Om risicogestuurd te werken en ook aan te kunnen tonen dat wij compliant zijn met de maatregelen is in 2025 verder gewerkt aan opzet -werking en bestaan van de maatregelen.
De gemeente heeft zich aan de Baseline Informatiebeveiliging Overheid (BIO2.0) gecommitteerd.
In de BIO2.0 staan maatregelen voorgesteld om de risico’s te verlagen. De BIO2.0 is geen 100% beveiligingsgarantie. Er worden steeds meer maatregelen toegepast die door de BIO zijn voorgeschreven.
In 2025 hebben we een externe audit laten uitvoeren op de BIO2.0. Uit deze audit zien we een duidelijke vooruitgang in de beheersing van de normen en bijbehorende maatregelen. Vooral technische maatregelen scoren veel beter dan vorig jaar. De enige maatregel die onvoldoende scoorde is de integratie van informatiebeveiliging in projectmanagement. Voor leveranciersmanagement zijn goede stappen gezet maar om te voldoen aan de nieuwe wet is verbetering van het volwassenheidsniveau noodzakelijk
Een belangrijke verschuiving bij de nieuwe Cyberbeveiligingswet Cbw) is dat wij ook verplicht worden om operationele technologie (bruggen, pompen, verkeerinstallatie en gebouwbeheerssystemen) te beschermen. In 2025 is gestart met de inventarisatie van de risico's van deze operationele techniek.
Om veilig gedrag te vergroten is er afgelopen jaar diverse keren aandacht besteed aan informatiebeveiliging en privacy.
In de interne ICT-nieuwsbrief is standaard een hoofdstuk gewijd aan informatiebeveiliging en privacy. Elk kwartaal geven de CISO en privacy officer een presentatie over informatiebeveiliging en privacy aan nieuwe medewerkers. Het volgen van de presentatie is verplicht zodat we kunnen waarborgen dat nieuwe medewerkers de juiste basiskennis hebben over informatiebeveiliging en privacy. Na de presentatie mogen de nieuwe medewerkers oefenen met een eigen ontworpen escapekist waarin opdrachten verwerkt zijn die betrekking hebben op het onderwerp.
Voor ingehuurd personeel is een training ontwikkeld in de Groene Hart Academie, ons interne leerplatform.
Dit jaar waren er vijf bewustwordingsacties om medewerkers weer alert te maken van informatiebeveiliging en privacy. In het voorjaar is er aandacht besteed aan wachtwoordgebruik en is er extra aandacht besteed aan het niet toelaten van onbevoegde personen op de werkplekken.
Daarnaast is er nieuwe Europese wetgeving over AI gekomen, de Verordening Kunstmatige Intelligentie (Artificial Intelligence Act). Aan de hand van deze verordening is er binnen de gemeente een protocol opgesteld waar medewerkers zich aan moeten houden en wat handvatten biedt hoe om te gaan en te werken met AI. Het vaststellen van dit protocol is uitgebreid onder de aandacht gebracht bij medewerkers.
Vlak voor de zomervakantie zijn boeken over informatiebeveiliging, privacy en AI aangeschaft. Door middel van een actie weten medewerkers dat de boeken vanaf dat moment voor hen te leen zijn.
Om het jaar af te sluiten met een laatste bewustwordingsactie is in december een fysieke escaperoom georganiseerd. Bij deze escaperoom losten medewerkers informatiebeveiliging en privacy puzzels op.
Het blijkt dat medewerkers die de presentatie hebben gevolgd, de escaperoom of quiz hebben gedaan de adviseurs eerder betrekken bij vraagstukken, nieuwe processen of het aanschaffen van nieuwe systemen. Daarnaast zorgen de andere bewustwordingsacties ervoor dat medewerkers weer extra alert zijn.
In 2025 zijn er weinig incidenten geweest die gevolgen hadden voor de continuïteit van de dienstverlening.
Informatiesystemen
Om te kijken welke risico's er zijn in ons systeem, heeft de gemeente ethische hackers gevraagd om te zoeken naar mogelijkheden om onze systemen binnen te dringen. Ze ontdekten een aantal zaken die verbeterd konden worden, zoals betere wachtwoorden. Hun rapport aan dat een aantal zaken sterk zijn verbeterd in vergelijking tot dezelfde test vorig jaar. Er is aandacht besteed aan bewustwording over goede wachtwoorden en wordt binnenkort een nieuw wachtwoordbeleid geimplementeerd.
De gemeente is in 2025 aangesloten op twee DigiD aansluitingen. De eerste aansluiting is voor digitale formulieren van team KCC zoals het doorgeven van een verhuizing of het opvragen van uittreksels uit de burgerlijke stand. De tweede aansluiting is voor het inzien van de WOZ (Waardering onroerende zaken) en lokale belastingen van het cluster Belastingen. Deze twee aansluitingen zijn onderzocht door een externe auditor. De aansluitingen zijn in orde bevonden.
Suwinet is een elektronische infrastructuur voor de uitwisseling van gegevens tussen gemeenten en het rijk. Omdat er gevoelige gegevens (o.a. salarisgegevens) worden uitgewisseld vindt er elk jaar een onderzoek plaats door een externe auditor.
De gemeente moet ook verantwoording afleggen over de aansluitingen van Ferm Werk omdat de gemeenteraad toezichthouder is. Deze aansluitingen worden gebruikt voor het inlezen van gegevens op het gebied van werk en inkomen. De aansluitingen van Ferm Werk op Suwinet zijn door de externe auditor in orde bevonden.
De privacy officers en functionaris voor gegevensbescherming zijn goed zichtbaar binnen de organisatie en hierdoor weten collega’s hen goed te vinden. Doordat de privacy officers en functionaris voor gegevensbescherming vaker worden betrokken bij nieuwe processen of wijzigingen in bestaande processen worden vooral risico’s in nieuwe verwerkingen voorkomen dan wel zo veel mogelijk gereduceerd. De gemeente reduceert daarmee met beperkte middelen effectief huidige en toekomstige risico's. Tegelijk zijn er door de snelle technische ontwikkelingen meer risico's dan de organisatie op korte termijn kan reduceren. De beheersbaarheid staat daarmee onder druk.
Als er bij een incident persoonsgegevens betrokken zijn beschouwen wij dit als “datalek”. De meeste datalekken helpen de organisatie om haar processen te verbeteren. Door het melden van datalekken wordt zichtbaar waar processen het meest kwetsbaar zijn. De meeste datalekken hoeven niet te worden gemeld bij de Autoriteit Persoonsgegevens (AP) of de betrokkene. Het melden van een datalek is alleen verplicht als het datalek?een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.
Bij de gemeente Oudewater zijn in 2025 zes datalekken geweest, waarvan er één bij de Autoriteit Persoonsgegevens gemeld is. Dit betrof een incident waarbij een doos met kopieën van huwelijks-, geboorte- en overlijdensakten in een kelder bij ijssalon waren beland door een verkeerde bezorging. De gemeente Oudewater beoogt transparantie en vertrouwen, dit betekent dat de gemeente Oudewater de betrokkene getracht heeft te informeren, ook al ontbreekt de wettelijke verplichting.
