Cybersecurity bij gemeenten begint bij een sterk fundament
Cybersecurity bij gemeenten begint bij een sterk fundament
Gemeenten werken hard aan compliance. Voldoen aan normen en kaders is belangrijk, maar betekent niet automatisch dat een gemeente digitaal weerbaar is. Een stevig fundament begint bij inzicht in kritische processen, duidelijke verantwoordelijkheden en bestuurlijke keuzes. Daarover ging ons webinar 'Cybersecurity bij gemeenten: het fundament versterken’.
Die risico’s zijn niet alleen technologisch van aard. Ook menselijk handelen speelt een belangrijke rol. Denk aan gegevens die per ongeluk verkeerd worden gedeeld, onveilige toegang tot systemen of onduidelijkheid over wie waarvoor verantwoordelijk is.
Daarom begint een goede cyberaanpak bij inzicht. Welke processen zijn kritisch? Welke systemen ondersteunen die processen? Welke gegevens worden verwerkt? Wat gebeurt er als iets uitvalt, uitlekt of wordt gemanipuleerd? Wie heeft toegang tot wat? Door vanuit die vragen te werken, stuur je gericht op de risico’s die er voor jouw gemeente echt toe doen.
Het bestuur blijft daarbij eindverantwoordelijk. Dit vraagt om een expliciet gesprek over risicobereidheid: welke restrisico’s accepteert de gemeente, welke niet en waar zetten we tijd, geld en capaciteit op in?
Door te werken met vijf tot zeven toprisico’s ontstaat focus. Die risico’s kun je per proces uitwerken. Zo bouw je stap voor stap aan een steviger fundament met zicht op de grootste kwetsbaarheden, duidelijk eigenaarschap en keuzes die bestuurlijk zijn vastgelegd.
Voldoen aan die kaders blijft belangrijk, maar de toepassing ervan verschuift steeds meer richting risico gestuurd werken. Dat vraagt om een ‘plan-do-check-act’-cyclus waarin risico’s continu worden beoordeeld, maatregelen worden bijgestuurd en keuzes worden vastgelegd.
Cybersecurity begint dus niet met het afvinken van maatregelen. Het begint met inzicht. In processen, risico’s, eigenaarschap en bestuurlijke keuzes. Pas dan staat het fundament echt stevig.
Kijk naar risico’s in de hele organisatie
Digitale risico’s raken de hele gemeente in haar volle breedte. Wanneer systemen uitvallen of gegevens ongeautoriseerd openbaar worden, is de impact vaak merkbaar voor inwoners. Bij burgerzaken kan ransomware ervoor zorgen dat inwoners geen paspoort kunnen aanvragen. In het sociaal domein kan een datalek grote gevolgen hebben, omdat daar gevoelige persoonsgegevens worden verwerkt. En bij openbare ruimte kunnen digitale verstoringen fysieke impact hebben, zoals bij verkeersinstallaties, sluizen of gemalen.Die risico’s zijn niet alleen technologisch van aard. Ook menselijk handelen speelt een belangrijke rol. Denk aan gegevens die per ongeluk verkeerd worden gedeeld, onveilige toegang tot systemen of onduidelijkheid over wie waarvoor verantwoordelijk is.
Daarom begint een goede cyberaanpak bij inzicht. Welke processen zijn kritisch? Welke systemen ondersteunen die processen? Welke gegevens worden verwerkt? Wat gebeurt er als iets uitvalt, uitlekt of wordt gemanipuleerd? Wie heeft toegang tot wat? Door vanuit die vragen te werken, stuur je gericht op de risico’s die er voor jouw gemeente echt toe doen.
Beleg eigenaarschap in de organisatie
Zodra risico’s per proces in beeld komen, wordt duidelijk wie aan zet is. Cyberrisico’s kunnen namelijk niet alleen bij de Chief Information Security Officer (CISO) of de IT-afdeling worden gelegd. De CISO is belangrijk voor het opstellen van kaders, adviseren, monitoren en controleren. Maar de verantwoordelijkheid daarvoor hoort ook bij managers of proceseigenaren binnen verschillende domeinen. Zij weten waar de grootste impact zit, hoe het in praktijk gaat en welke maatregelen werkbaar zijn.Het bestuur blijft daarbij eindverantwoordelijk. Dit vraagt om een expliciet gesprek over risicobereidheid: welke restrisico’s accepteert de gemeente, welke niet en waar zetten we tijd, geld en capaciteit op in?
Maak risico’s bestuurlijk bespreekbaar
Niet elk technisch risico hoeft op de bestuurstafel te komen. Wel moeten de belangrijkste risico’s worden vertaald naar bestuurlijke impact. Dat gaat om vragen als: kunnen wij onze dienstverlening blijven leveren? Kunnen persoonsgegevens uitlekken? Kunnen we voldoen aan wet- en regelgeving? Of ontstaat er risico op maatschappelijke schade?Door te werken met vijf tot zeven toprisico’s ontstaat focus. Die risico’s kun je per proces uitwerken. Zo bouw je stap voor stap aan een steviger fundament met zicht op de grootste kwetsbaarheden, duidelijk eigenaarschap en keuzes die bestuurlijk zijn vastgelegd.
Van maatregelgericht naar risicogericht
Dat is belangrijk, want met BIO2 en de Cyberbeveiligingswet neemt de verantwoordingsdruk toe. Gemeenten moeten steeds beter kunnen uitleggen waarom zij bepaalde maatregelen nemen. Welk risico verklein je ermee? Hoe weten we dat de maatregel werkt? En past die keuze bij de grootste kwetsbaarheden? Vanuit die vragen krijgen normenkaders als de BIO, ISO 27001 en straks ook de Cyberbeveiligingswet meer betekenis.Voldoen aan die kaders blijft belangrijk, maar de toepassing ervan verschuift steeds meer richting risico gestuurd werken. Dat vraagt om een ‘plan-do-check-act’-cyclus waarin risico’s continu worden beoordeeld, maatregelen worden bijgestuurd en keuzes worden vastgelegd.
Cybersecurity begint dus niet met het afvinken van maatregelen. Het begint met inzicht. In processen, risico’s, eigenaarschap en bestuurlijke keuzes. Pas dan staat het fundament echt stevig.
