Op 1 januari 2027 treedt de nieuwe Archiefwet in werking. Op het eerste gezicht lijkt dat vooral een onderwerp voor informatiebeheer, DIV, de gemeentearchivaris of juridische zaken. En natuurlijk ligt daar een belangrijk deel van de inhoudelijke kennis. Toch raakt de nieuwe Archiefwet ook duidelijk aan informatiebeveiliging.

Dat komt doordat archiveren in een digitale gemeentelijke omgeving allang niet meer alleen gaat over het netjes bewaren van documenten. Het gaat over de vraag of informatie vindbaar, betrouwbaar, beschikbaar, beschermd en uiteindelijk ook aantoonbaar vernietigd is. Precies daar raken archiefbeheer en informatiebeveiliging elkaar.

Download hier een pdf van deze blog

Gemeenten werken met zaaksystemen, vakapplicaties, e-mail, samenwerkingsomgevingen, websites, meldingssystemen, cloudoplossingen en allerlei koppelingen daartussen. Informatie ontstaat overal. Soms netjes in een zaakdossier, maar vaak ook in Teams, mailboxen, exports, notities, dashboards of applicaties van leveranciers. Als je later nog moet kunnen uitleggen wat er is besloten, op basis waarvan en door wie, moet die informatie wel goed beheerd zijn. Niet alleen vanuit archiefperspectief, maar ook vanuit betrouwbaarheid, continuïteit en beveiliging.

Archiveren begint niet achteraf

Een belangrijk uitgangspunt van de nieuwe Archiefwet is dat digitale overheidsinformatie vanaf het moment van ontstaan goed beheerd moet worden. Dat vraagt om een andere manier van denken. Archivering is dan niet iets wat je aan het einde van een proces nog even regelt, maar iets wat je meeneemt bij het ontwerp, de inrichting, de aanschaf en het beheer van systemen.

Voor informatiebeveiliging is dat herkenbaar. Security by design werkt alleen als beveiliging vanaf het begin onderdeel is van processen en systemen. Voor archivering geldt eigenlijk hetzelfde. Je zou kunnen spreken van archive by design. Als informatie bij het ontstaan niet goed wordt vastgelegd, geclassificeerd, gemetadateerd en beveiligd, wordt het later ingewikkeld om nog aan te tonen waar die informatie vandaan komt, welke status deze heeft en of deze volledig en betrouwbaar is gebleven. Dat is niet alleen vervelend voor informatiebeheer. Het kan ook gevolgen hebben voor juridische procedures, bestuurlijke verantwoording, Woo-verzoeken en het vertrouwen in de overheid.

In de praktijk zie je vaak dat archivering pas aandacht krijgt als een systeem vervangen wordt, een leverancier stopt, een Woo-verzoek binnenkomt of een dossier niet compleet blijkt te zijn. Dan ben je eigenlijk te laat. De nieuwe Archiefwet maakt duidelijker dat gemeenten dit eerder in het proces moeten organiseren.

Beschikbaarheid gaat over meer dan vandaag

Beschikbaarheid is een bekende pijler van informatiebeveiliging. Meestal denken we dan aan continuïteit van systemen, back-ups, uitwijk en herstel na incidenten. Dat blijft natuurlijk belangrijk. Maar de Archiefwet voegt daar een langere tijdshorizon aan toe. Informatie moet niet alleen vandaag beschikbaar zijn. Zij moet ook over jaren nog vindbaar, leesbaar en begrijpelijk zijn.

Een besluit dat technisch nog ergens in een database staat, maar niet meer geopend kan worden of zonder context niet meer te interpreteren is, is in de praktijk niet duurzaam toegankelijk. Dat raakt aan keuzes die gemeenten nu al maken. Denk aan opslag, metadata, bestandsformaten, migraties, back-ups, applicatierationalisatie en exitafspraken met leveranciers. Ook continuïteitsplanning krijgt hierdoor een bredere betekenis. Wat gebeurt er met archiefwaardige informatie bij een ransomware-aanval? Wat als een migratie mislukt en metadata verloren gaan? Wat als een leverancier failliet gaat of een systeem niet langer wordt ondersteund?

Dit zijn geen theoretische vragen. Gemeenten zijn sterk afhankelijk van digitale systemen en externe leveranciers. Als daarin iets misgaat, kan dat niet alleen gevolgen hebben voor de dienstverlening van vandaag, maar ook voor de mogelijkheid om later verantwoording af te leggen.

Betrouwbaarheid moet je kunnen aantonen

Ook integriteit krijgt in dit kader een hele praktische betekenis. Archiefwaardige informatie moet betrouwbaar zijn. Het gaat dus niet alleen om de vraag of een document of registratie nog aanwezig is. Je moet ook kunnen aantonen dat informatie volledig, authentiek en ongewijzigd is gebleven. Dat speelt bijvoorbeeld bij vergunningverlening, handhaving, bezwaar en beroep, jeugdzorg, Woo-verzoeken, collegebesluiten, raadsinformatie en bestuurlijke besluitvorming. Als later discussie ontstaat over de inhoud van een besluit of de volledigheid van een dossier, moet de gemeente kunnen laten zien wat er is vastgelegd, wanneer dat is gebeurd, wie erbij kon en welke wijzigingen zijn gedaan.

Daar zit een directe link met informatiebeveiliging. Logging, autorisatiebeheer, versiebeheer, audit trails, functiescheiding en wijzigingsbeheer zijn niet alleen technische of organisatorische beheersmaatregelen. Ze helpen ook om de betrouwbaarheid van informatie aan te tonen. Ook applicatiebeheer speelt hierin een belangrijke rol. Wie mag records aanpassen? Wie mag informatie verwijderen? Wie mag exporteren? Hoe wordt zichtbaar wanneer informatie onjuist, onvolledig of onbevoegd is gewijzigd? Als dit niet goed is ingericht, wordt het lastig om achteraf nog te reconstrueren wat er is gebeurd.

Toegankelijk betekent niet openbaar voor iedereen

Een misverstand dat je soms hoort, is dat archivering vooral draait om openbaar maken. Goede archivering draagt inderdaad bij aan transparantie en controleerbaarheid van de overheid. Maar gemeentelijke informatie bevat ook veel gevoelige gegevens. Denk aan persoonsgegevens, bijzondere persoonsgegevens, handhavingsinformatie, juridische dossiers, bestuurlijk vertrouwelijke stukken, gegevens over kwetsbare inwoners en informatie over openbare orde en veiligheid. Die informatie moet duurzaam toegankelijk zijn, maar niet voor iedereen.

Daarom moet duurzame toegankelijkheid altijd samengaan met passende toegangsbeveiliging. Informatie moet vindbaar zijn voor wie daartoe bevoegd is, maar mag niet onnodig breed toegankelijk worden. Dat vraagt om goede classificatie, duidelijke autorisatiemodellen, logging, periodieke toegangsreviews en afspraken over openbaarheidsbeperkingen. Hier zie je opnieuw dat informatiebeheer, privacy en informatiebeveiliging niet los van elkaar kunnen worden georganiseerd. Als de ene discipline vooral stuurt op toegankelijkheid en de andere vooral op afscherming, ontstaat spanning. De kunst is juist om beide belangen vanaf het begin goed mee te nemen.

Vernietigen is ook onderdeel van goed beheer

Bij archiveren denken we vaak aan bewaren. Maar tijdig en aantoonbaar vernietigen is minstens zo belangrijk. Informatie die niet meer bewaard mag of hoeft te worden, vormt een risico. Hoe meer oude informatie blijft rondzwerven, hoe groter de impact kan zijn van een datalek, onbevoegde toegang, een Woo-verzoek of een foutieve verwerking. Ook vanuit de AVG is te lang bewaren problematisch wanneer daar geen grondslag meer voor is.

Voor gemeenten is dit in de praktijk lastig. Informatie staat zelden op één plek. Een dossier kan deels in een zaaksysteem staan, deels in e-mailboxen, deels op netwerkschijven, deels in Teams en deels in een taakspecifieke applicatie. Als de bewaartermijn verloopt, is de vraag dus niet alleen of informatie uit één systeem wordt verwijderd. De vraag is of informatie echt aantoonbaar wordt vernietigd op alle plekken waar deze staat. Daarbij moet je ook nadenken over back-ups, exports, koppelingen en kopieën. Want als informatie formeel vernietigd is, maar nog op allerlei andere plekken blijft bestaan, heb je het proces niet goed onder controle.

Minder tijd om achterstanden te herstellen

Een belangrijke wijziging in de nieuwe Archiefwet is dat blijvend te bewaren overheidsinformatie eerder moet worden overgebracht naar een archiefdienst: na 10 jaar in plaats van na 20 jaar. Voor informatie die vóór de inwerkingtreding is gevormd of ontvangen, gelden overgangsbepalingen. Voor nieuwe informatie betekent dit dat gemeenten minder tijd hebben om achterstanden, ontbrekende metadata of technische afhankelijkheden later nog te herstellen. Dat vraagt om een volwassen digitale informatiehuishouding. Niet alleen op papier, maar vooral in de werking van processen en systemen.

Gemeenten moeten al bij de inrichting van systemen nadenken over wat blijvend bewaard moet worden, hoe metadata worden vastgelegd en of informatie later nog in bruikbare formaten kan worden geëxporteerd. Daarbij gaat het niet alleen om de data zelf, maar ook om de context waarin die informatie is ontstaan. Zonder context verliest informatie al snel een deel van haar betekenis. Ook moet duidelijk zijn welke beperkingen op openbaarheid gelden en hoe de integriteit van informatie aantoonbaar blijft. Dat zijn onderwerpen die je niet achteraf nog even makkelijk repareert.

Leveranciers moeten dit kunnen ondersteunen

Veel gemeentelijke informatie bevindt zich in SaaS-oplossingen en taakspecifieke applicaties van leveranciers. Daardoor wordt de vraag steeds belangrijker of een gemeente haar wettelijke verplichtingen kan nakomen binnen de technische en contractuele mogelijkheden van die systemen.

• Kan de leverancier informatie exporteren in een bruikbaar formaat?
• Worden metadata meegenomen?
• Kan informatie aantoonbaar worden vernietigd?
• Zijn logging en auditgegevens beschikbaar?
• Wat gebeurt er bij beëindiging van het contract?
• Hoe worden back-ups beheerd?
• Is duidelijk waar data wordt opgeslagen en wie toegang heeft?

Dit zijn geen vragen voor het einde van een contract. Ze horen thuis in aanbestedingen, beveiligingsbijlagen, verwerkersovereenkomsten, exitplannen, DPIA’s en risicoanalyses. Als je deze afspraken niet vooraf maakt, ontdek je vaak pas bij een migratie, incident of contractbeëindiging dat de gemeente onvoldoende grip heeft op haar eigen informatie. Dan wordt archivering ineens een probleem van techniek, contracten, leveranciersmanagement en informatiebeveiliging tegelijk.

Kijk bij incidenten ook naar archiefwaarde

Ook bij beveiligingsincidenten is het verstandig om verder te kijken dan beschikbaarheid van systemen, mogelijke datalekken, continuïteit en meldplichten. Bij gemeenten is er nog een extra vraag relevant: is archiefwaardige informatie geraakt? Bij ransomware kan informatie tijdelijk of blijvend niet beschikbaar zijn. Bij een foutieve migratie kan context of metadata verloren gaan. Bij onbevoegde wijziging kan de betrouwbaarheid van dossiers worden aangetast. Bij onbedoelde verwijdering kan informatie verdwijnen die blijvend bewaard had moeten blijven.

Daarom is het verstandig om informatiebeheer te betrekken bij incidenten waarbij gemeentelijke dossiers, besluitvorming, zaakgegevens, e-mailarchieven, samenwerkingsomgevingen of kernregistraties geraakt kunnen zijn. De impact van een incident gaat namelijk niet alleen over persoonsgegevens of uitval van systemen. Het kan ook gaan over bewijswaarde, verantwoordingswaarde en archiefwaarde. Dat betekent niet dat elk incident meteen een archiefvraagstuk is. Maar bij incidenten met belangrijke gemeentelijke informatie moet deze invalshoek wel bewust worden meegenomen.

Verbind de Archiefwet aan bestaande trajecten

De valkuil is dat de nieuwe Archiefwet wordt opgepakt als een apart implementatietraject naast BIO, AVG, Woo, NIS2/Cyberbeveiligingswet, cloudbeleid, datagedreven werken en applicatierationalisatie. In de praktijk gaan deze onderwerpen vaak over dezelfde informatie, dezelfde systemen en dezelfde risico’s. De raakvlakken met de BIO zitten vooral in bekende beveiligingsthema’s: informatieclassificatie, toegangsbeheer, logging, back-up en herstel, leveranciersmanagement, incidentmanagement, continuïteit en risicomanagement. De Archiefwet verandert die thema’s niet, maar maakt de gevolgen van gebrekkige inrichting wel zichtbaarder.

Voor gemeenten is het daarom slimmer om de nieuwe Archiefwet te verbinden aan bestaande trajecten rond digitale informatiehuishouding, informatiebeveiliging, privacy en informatiearchitectuur. Dat voorkomt dubbel werk en maakt de opgave bestuurlijk beter uitlegbaar. Het helpt ook om het gesprek niet alleen juridisch of archieftechnisch te voeren, maar juist vanuit risico’s. Wat gebeurt er als informatie niet vindbaar is? Wat als we niet kunnen aantonen dat een dossier volledig is? Wat als gevoelige informatie te breed toegankelijk is? Wat als we informatie niet meer kunnen vernietigen of overdragen?

Vragen om intern mee te starten

Een praktische eerste stap is om de nieuwe Archiefwet niet alleen te bespreken vanuit informatiebeheer, maar ook vanuit risicomanagement. Begin bijvoorbeeld met een aantal eenvoudige vragen:

• Weten we waar onze archiefwaardige digitale informatie staat?
• Zijn de belangrijkste informatiestromen geclassificeerd naar vertrouwelijkheid, integriteit, beschikbaarheid en bewaarbehoefte?
• Worden archief- en vernietigingseisen meegenomen bij nieuwe applicaties en aanbestedingen?
• Kunnen we aantonen wie toegang had tot belangrijke dossiers en wie wijzigingen heeft aangebracht?
• Zijn back-up, herstel en uitwijk ook getoetst op behoud van metadata, context en integriteit?
• Kunnen leveranciers informatie exporteren, overdragen en vernietigen op een manier die past bij onze wettelijke verplichtingen?
• Wordt bij incidenten beoordeeld of archiefwaardige informatie is geraakt?
• Is duidelijk wie bestuurlijk en operationeel eigenaar is van informatie gedurende de hele levenscyclus?

Deze vragen hoeven niet allemaal tegelijk opgelost te worden. Maar ze maken wel duidelijk dat de nieuwe Archiefwet niet alleen over archiveren gaat. De wet raakt aan de manier waarop gemeenten hun informatie organiseren, beveiligen, beheren en verantwoorden.

Tot slot

Informatie die niet vindbaar, betrouwbaar, beschikbaar en beschermd is, en ook niet aantoonbaar wordt vernietigd wanneer dat nodig is, is simpelweg geen goed beheerde gemeentelijke informatie. En daarmee ook geen goed beveiligde informatie.

De nieuwe Archiefwet is daarom niet alleen een opgave voor informatiebeheer. Het is ook een onderwerp voor informatiebeveiliging, privacy, applicatiebeheer, leveranciersmanagement en lijnmanagement. Juist door deze disciplines met elkaar te verbinden, voorkom je dat archivering iets wordt wat achteraf gerepareerd moet worden. Gemeenten die nu al nadenken over archive by design, duurzame toegankelijkheid, toegangsbeveiliging en aantoonbare vernietiging, staan straks sterker.
Niet omdat alles meteen perfect geregeld is. Maar wel omdat ze grip krijgen op de informatie waar ze verantwoordelijk voor zijn.

Meer weten of sparren?

Wil je binnen jouw gemeente aan de slag met de nieuwe Archiefwet en de gevolgen voor informatiebeveiliging, privacy en informatiebeheer? IB&P denkt graag met je mee. Samen kijken we hoe je de wet praktisch kunt vertalen naar beleid, processen en systemen.