Voor het College van B&W is informatiebeveiliging vaak een ver-van-mijn-bed-show: een technisch onderwerp dat hen niet zo ligt. In het College bestaat het beeld dat informatiebeveiliging ingewikkeld is en vraagt om specialistische kennis. Daarom beleggen ze het onderwerp vaak lager in de organisatie, bij specialisten zoals de CIO en de CISO. Deze rollen hebben vaak vooral contact met de gemeentesecretaris. Hun contact met het College is indirecter en beperkter. Hierdoor ontstaat er een tweeledig gemis: het College krijgt beperkte informatie over informatiebeveiliging én er ontbreekt kennis in het College om zelf te informeren naar de staat van informatiebeveiliging bij de gemeente.

En dat terwijl de uitdagingen op informatiebeveiligingsgebied groot zijn: discussies over geopolitiek en soevereiniteit nemen toe, technologische ontwikkelingen zoals AI veranderen het dreigingsbeeld, en veel gemeenten zijn nog onvoldoende volwassen als het gaat om informatiebeveiliging.

Dat zorgt voor ontrust in het College. Want hoe weet je of informatiebeveiliging goed geregeld is, als je maar beperkt informatie ontvangt, geen goede vragen kunt formuleren, en in de wereld om je heen regelmatig ernstige incidenten ziet?

Cyberbeveiligingswet maakt informatiebeveiliging een collegeverantwoordelijkheid

De inwerkingtreding van de Cyberbeveiligingswet (Cbw, de Nederlandse vertaling van de NIS2) moet hier verandering in brengen. De Cbw legt namelijk de verantwoordelijkheid voor goede informatiebeveiliging bij het gehele College van B&W. Informatiebeveiliging is dus niet ‘van de portefeuillehouder’ of ‘van de gemeentesecretaris’, of iets wat je lager in de organisatie kunt beleggen. Informatiebeveiliging is chefsache en moet prominent op de bestuurlijke agenda staan! De Cbw schrijft voor dat alle Collegeleden hoofdelijk verantwoordelijk zijn voor informatieveiligheid binnen hun organisatie en bovendien verplicht zijn een gedegen opleiding hierin te volgen.

Gedegen opleiden, wat is dat?

Helaas zien we dat deze verplichtingen nog niet direct leidt tot veiligere gemeenten. Dat is ook logisch: Collegeleden hebben te maken met veel verschillende vakgebieden en een overvolle agenda. Zij moeten keuzes maken waar zij zich in verdiepen, en waarin niet. Ze worden door de markt ook verleid om zich er makkelijk van af te maken: online worden er e-learnings aangeboden die je beloven dat je in korte tijd alles weet van de Cbw.

Interessant is dat we op andere gebieden wél verwachten dat een College goed geïnformeerd en opgeleid is. Als we bijvoorbeeld kijken naar financiën, zien we dat veel Collegeleden een financiële achtergrond hebben, of zich later op dit onderwerp laten bijscholen. In het College is het belang van ‘goede financiële kennis’ en ‘in control zijn’ op het gebied van financiën duidelijk. Als een gemeente financieel tekort schiet, zijn er direct concrete gevolgen voor het ambtelijk apparaat en de inwoners voor wie zij werken.

Maar wat als je tekortschiet in informatiebeveiliging? Ook daar kunnen de gevolgen ernstig zijn. De afgelopen jaren zagen we bijvoorbeeld gemeenten worstelen met grootschalige datalekken. Dat schaadt het vertrouwen van inwoners. Daarnaast zagen we overheidspartijen waar de dienstverlening tijdelijk stil werd gelegd door aanvallen van hackers. Toch zijn er nog maar weinig Collegeleden die een achtergrond hebben in ICT of informatiebeveiliging, of zich laten bijscholen op dit gebied.

Goed bestuur = weerbaar bestuur

Het bestuur kan pas echt verantwoordelijkheid nemen voor informatiebeveiliging in haar gemeente als ze zich in het onderwerp heeft verdiept.

Deze versturen we 3-4x per jaar.