De VNG heeft nieuw onderzoek laten doen naar de gemeentelijke kosten van informatiebeveiliging. Het onderzoek, uitgevoerd door adviesbureau Berenschot, brengt in kaart welke kosten gemeenten maken, en de komende jaren moeten maken, om te voldoen aan een snelgroeiende reeks wettelijke verplichtingen. Naast een financiële doorrekening biedt het rapport ook handelingsperspectief én verkent het de behoefte aan collectieve ondersteuning.

Toenemende druk door nieuwe wetgeving

Gemeenten krijgen te maken met aangescherpte verplichtingen uit onder meer de Cyberbeveiligingswet (Cbw), waaronder de BIO2 (Baseline Informatiebeveiliging Overheid) en de Wet weerbaarheid kritieke entiteiten (Wwke). Welke mensen, middelen en organisatorische aanpassingen daarvoor nodig zijn, blijkt in de praktijk lastig te duiden. Precies die vraag vormde de aanleiding voor dit onderzoek.

Het rapport helpt gemeenten bij:

• Inzicht in huidige en toekomstige kosten;
• Onderbouwing van benodigde middelen richting college en raad;
• Planning van toekomstige capaciteit en investeringen;
• Het formuleren van concreet handelingsperspectief;
• Vergelijking met gemeenten van vergelijkbare omvang.

Gemiddelde kosten voor gemeenten

Berenschot analyseerde 14 gemeenten van verschillende grootte. De uitkomsten schetsen een stevig financieel beeld:

• € 0,8 miljoen incidentele kosten voor de implementatie van wet- en regelgeving rond informatiebeveiliging;
• € 1 miljoen aan structurele jaarlijkse kosten voor de uitvoering. Ongeveer de helft hiervan (€ 0,56 miljoen) gaat op aan al geldende verplichtingen. Voor toekomstige structurele taken hebben gemeenten gemiddeld nog eens € 0,5 miljoen extra per jaar begroot.

Het onderzoek werkt deze kosten nader uit naar gemeentegrootte en relevante wetten en regels.

Handelingsperspectief: wat moeten gemeenten nu doen?

Het rapport schetst een eerste handelingsperspectief rond twee centrale doelen:

• Aantoonbare NIS2-compliance;
• Daadwerkelijke reductie van risico’s.

Het huidige volwassenheidsniveau van een gemeente bepaalt het benodigde tempo en de mate waarin externe expertise nodig is.

Deze versturen we 3-4x per jaar.