Skip to main content

Auteur: Erna Havinga

Van compliance-DPIA naar besluitvormende DPIA

Een DPIA uitgevoerd, het vinkje gezet, en dan? In de praktijk zie ik bij gemeenten nog vaak dat een Data Protection Impact Assessment (DPIA) wordt behandeld als een afvinklijstje. Het document wordt opgesteld, de risico’s en aanbevelingen worden netjes beschreven en daarna verdwijnt de DPIA in een (digitale) la. Of de aanbevelingen worden uitgevoerd, wordt vaak niet gecontroleerd. En het systeem gaat gewoon live, omdat de planning dat vraagt.

Dat is zonde, want een DPIA is juist bedoeld om betere keuzes te maken. Sterker nog: de uitkomst van een DPIA zou moeten bepalen óf je een nieuw systeem of een wijziging überhaupt in productie neemt. En als er risico’s overblijven, moet iemand met de juiste bevoegdheid die risico’s bewust accepteren. In deze blog lees je wat het verschil is tussen een compliance-DPIA en een besluitvormende DPIA, waarom risicoacceptatie een bestuurlijke verantwoordelijkheid is (zie ook de Cyberbeveiligingswet) en hoe je de DPIA in jouw gemeente laat meetellen bij de besluitvorming.

Download hier een pdf van deze blog

Lees verder

Wat bestuurders moeten weten over cyberrisico’s

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Daarmee is informatiebeveiliging bij gemeenten officieel geen IT-onderwerp meer, maar een bestuurlijke verantwoordelijkheid. De wet wijst het college van burgemeester en wethouders aan als eindverantwoordelijke. En het college moet binnen twee jaar aantoonbaar getraind zijn in cyberrisico’s.

Dat roept vragen op. Wat moet een wethouder eigenlijk weten over cyberrisico’s? Hoe diep moet dat gaan? En hoe zorg je als CISO dat het bestuur zijn rol pakt, zonder dat het een verplicht nummer wordt? In deze blog zetten we op een rij wat de wet van bestuurders vraagt, wat zij minimaal moeten begrijpen en hoe je dit als organisatie concreet invult.

Download hier een pdf van deze blog

Lees verder

De AVG vraagt meer dan goede bedoelingen: aantoonbaarheid in de praktijk

Ik kom bij veel organisaties waar echt wel wordt nagedacht over privacy. Er zijn afspraken met leveranciers, medewerkers doen hun best om zorgvuldig te werken en bij nieuwe projecten komt privacy steeds vaker vanzelf ter sprake. Dat is winst, zeker vergeleken met een paar jaar geleden.

Alleen vraagt de AVG nog iets extra’s. Je moet ook kúnnen aantonen dat je zorgvuldig werkt. Dat is de verantwoordingsplicht: laten zien welke keuzes zijn gemaakt, waarom die passend zijn en welke maatregelen daarbij horen.

En daar loopt het in de praktijk vaak vast. Meestal niet omdat er niets gebeurt, maar omdat de kennis, de besluiten en de afwegingen verspreid zitten over mailboxen, overleggen, oude projectstukken en de hoofden van een paar collega’s die er destijds bij waren.

Download hier een pdf van deze blog

Lees verder

Informatiebeveiliging is geen ICT-feestje

In veel gemeenten wordt informatiebeveiliging pas zichtbaar zodra er een technische maatregel nodig is. Multifactor-authenticatie, logging, back-ups, patchen, een pentest. Stuk voor stuk nodig, daar niks mis mee. Maar het zorgt er ook voor dat digitale veiligheid al snel iets van ICT lijkt.

En dat is jammer, want de grootste risico’s ontstaan meestal ergens anders. In een bestuurlijke keuze, in de manier waarop een werkproces is ingericht, in een inkooptraject, in gegevens die met een ketenpartner worden gedeeld of in een project dat nu eenmaal live moet. Of in een prioriteit die wel wordt uitgesproken, maar waar vervolgens geen tijd, geld of eigenaar bij hoort.

Download hier een pdf van deze blog

Lees verder

De nieuwe Archiefwet: waarom informatiebeveiliging hierbij moet aanhaken

Op 1 januari 2027 treedt de nieuwe Archiefwet in werking. Op het eerste gezicht lijkt dat vooral een onderwerp voor informatiebeheer, DIV, de gemeentearchivaris of juridische zaken. En natuurlijk ligt daar een belangrijk deel van de inhoudelijke kennis. Toch raakt de nieuwe Archiefwet ook duidelijk aan informatiebeveiliging.

Dat komt doordat archiveren in een digitale gemeentelijke omgeving allang niet meer alleen gaat over het netjes bewaren van documenten. Het gaat over de vraag of informatie vindbaar, betrouwbaar, beschikbaar, beschermd en uiteindelijk ook aantoonbaar vernietigd is. Precies daar raken archiefbeheer en informatiebeveiliging elkaar.

Download hier een pdf van deze blog

Lees verder

Jouw leverancier, jouw risico: Waarom ketenrisico’s geen IT-probleem zijn

Gemeenten zijn steeds afhankelijker van leveranciers, ketenpartners en samenwerkingsverbanden. IT-dienstverleners, softwareleveranciers, cloudproviders, gemeenschappelijke regelingen, maar ook kleine nichepartijen die “even iets bouwen”. Al die partijen vormen samen jouw digitale toeleveringsketen. En precies daar gaat het steeds vaker mis.

Het Nationaal Cyber Security Centrum (NCSC) vat het scherp samen in de boodschap: jouw probleem, jouw risico. Met andere woorden: ook al ligt de oorzaak bij een leverancier, de impact komt gewoon bij jou terecht. Bestuurlijk, juridisch en operationeel.

In deze blog neem ik je mee in wat ketenrisico’s écht betekenen voor gemeenten, waarom het geen ICT-feestje is maar een bestuurlijk vraagstuk, en hoe je hier gestructureerd grip op krijgt zonder te vervallen in vinklijstjes en papieren zekerheden.

Download hier een pdf van deze blog

Lees verder

Ransomware bij een leverancier – waarom wachten geen strategie is

Ransomware is inmiddels geen abstract risico meer voor gemeenten. Bijna iedereen kent voorbeelden, uit het nieuws of uit de praktijk. Veel gemeenten hebben daarom stappen gezet om hun eigen informatiebeveiliging te verbeteren. Er zijn risicoanalyses uitgevoerd, BIO-maatregelen geïmplementeerd en incidentresponsplannen opgesteld.
En toch zie ik in de praktijk nog steeds een grote kwetsbaarheid terugkomen: leveranciers.
Gemeenten zijn voor hun dienstverlening sterk afhankelijk van externe partijen. Zaaksystemen, DMS’en, cloudomgevingen, hosting, applicatiebeheer. Soms zijn hele primaire processen uitbesteed. Dat maakt leveranciers onmisbaar, maar ook een risico. Zeker als het gaat om ransomware.

Want wat gebeurt er als niet jij, maar je leverancier wordt geraakt?

Download hier een pdf van deze blog

Lees verder

Onzichtbare AI in systemen: privacyrisico’s voor gemeenten

Gemeenten werken met talloze systemen voor dienstverlening, bedrijfsvoering en het sociaal domein. Waar deze systemen vroeger vooral administratief van aard waren, voegen leveranciers nu steeds vaker AI-functionaliteiten toe via updates of standaard ingeschakelde modules. Hierdoor verandert de gegevensverwerking ingrijpend, ook zonder nieuwe software. In deze blog leg ik uit hoe AI ongemerkt gemeentelijke software binnendringt, waarom dit een privacyrisico vormt en hoe je hier als gemeente grip op houdt.

Download hier een pdf van deze blog

Lees verder

Het belang van de Management Review binnen het ISMS

Informatiebeveiliging is een randvoorwaarde om als gemeente betrouwbaar, zorgvuldig en professioneel te kunnen werken. Gemeenten moeten daarom aantoonbaar werken met een ISMS dat voldoet aan de ISO 27001. Maar een ISMS is geen tool die je even aanzet en afvinkt. Het is een continu proces waarin je risico’s beheerst, maatregelen borgt en blijft verbeteren. En in dat proces is één moment echt cruciaal: de management review. In deze blog leg ik uit wat dit inhoudt, waarom het zo belangrijk is en hoe je het als gemeente maximaal benut.

Download hier een pdf van deze blog

Lees verder

De rol van de CISO tijdens calamiteiten

Een cyber- of ransomware-aanval of een groot datalek: het is de nachtmerrie van elke gemeente. In een paar minuten kan de hele organisatie stilvallen, met grote gevolgen voor de dienstverlening, reputatie en inwoners. Op zo’n moment moet er snel gehandeld en besloten worden. De Chief Information Security Officer (CISO) speelt daarin een cruciale rol. Maar hoe ziet die rol er in de praktijk uit? Is de CISO vooral degene die meekijkt en adviseert, of iemand die ook actief meebeslist in het calamiteitenteam? Je leest het in deze blog.

Download hier een pdf van deze blog

Lees verder

De interne controlecyclus; zo maak je toetsing werkbaar

De Baseline Informatiebeveiliging Overheid (BIO) vormt al jaren de basis voor informatiebeveiliging bij gemeenten. Met de komst van de BIO 2.0 wordt die basis verder verstevigd. Want waar de oude BIO vooral draaide om naleving van regels, legt BIO 2.0 juist de nadruk op risicogestuurd werken en continue verbetering. Een belangrijk onderdeel daarvan is de interne controlecyclus: hoe toets je structureel of je maatregelen ook echt doen wat ze moeten doen? Niet één keer per jaar omdat het moet, maar continu, als onderdeel van je dagelijkse praktijk. In deze blog laat ik zien hoe je die controlecyclus slim en werkbaar inricht.

Download hier een pdf van deze blog

Lees verder