RIS323613 De afdoening van de toez 961 om de raad te informeren over lessons learned naar aanleiding van de NAVO-top

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

dienst: dienstcode

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de commissie Bestuur

DBV/10943894 RIS323613 Contactpersoon

Dennis Ravensbergen Dienst

Dienst Bedrijfsvoering Afdeling

CIO Office Telefoonnummer

14070 Datum

E-mailadres

28 oktober 2025

cio-staf@denhaag.nl

Onderwerp

De afdoening van de toezegging 961 om de raad te informeren over de lessons learned naar aanleiding van de NAVO-top

Geachte voorzitter, In de Rekeningencommissie van 18 juni 2025 is de digitale weerbaarheid van de gemeentelijke organisatie besproken. Daarbij is toegezegd om de raad te informeren over de ‘lessons learned’ op het gebied van digitale weerbaarheid vanuit de NAVO-top (RIS323183, onder punt I). Voorafgaand aan de inhoudelijke afdoening van de toezegging in deze brief, informeer ik u dat digitale weerbaarheid in het kader van de NAVO-top 2025 wordt meegenomen in een gemeentebrede evaluatie van de gemeentelijke bijdrage aan de organisatie van de NAVO-top. Over die evaluatie bent u in de brief ‘Eerste terugblik op NAVO-top 2025’ (RIS322700) geïnformeerd. U ontvangt die evaluatie in het voorjaar van 2026. Om het communiceren van dubbele of premature bevindingen te voorkomen, verwijs ik in beginsel naar die rapportage in 2026. Met deze brief geef ik invulling aan bovengenoemde toezegging door u vast te informeren over enkele geleerde lessen op het gebied van digitale weerbaarheid in verband met de NAVO-top. Deze afdoening is strikt beperkt tot de scope van de digitale weerbaarheid van de gemeentelijke bedrijfsvoering: •

•

•

De eerste les is dat de organisatie kon voortbouwen op de bestaande koers om de digitale weerbaarheid te vergroten. Daardoor bestond de inzet in de aanloop naar en tijdens de NAVO-top – ondanks de aanzienlijke extra inspanning – grotendeels uit het opschalen en versnellen van bestaande en geplande maatregelen Ook tijdens de NAVO-top bleek de grote betrokkenheid en bereidheid van de medewerkers om zich extra in te zetten voor dit soort evenementen. Dankzij deze inzet kon de organisatie extra oefeningen uitvoeren met de draaiboeken, (bijvoorbeeld hoe te handelen bij specifieke bedreigingen) waardoor deze verder zijn verbeterd. In aanloop naar en tijdens de NAVO-top is de samenwerking met interne en externe partners verder geïntensiveerd. De belangrijkste partners waren het Nationaal Cyber Security Centrum (NCSC), de Informatiebeveiligingsdienst (IBD) van de VNG en onze IT & cybersecurity leveranciers. Ook speelde de stuurgroep NAVO-top een belangrijke rol. Deze stuurgroep onder leiding van de gemeentesecretaris was specifiek voor de NAVO-top ingesteld en bracht nieuwe

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10943894

•

•

•

•

invalshoeken en adviezen in en versnelde de besluitvorming. Zowel de stuurgroep als haar interne werkgroep Cyber leverden hierbij een waardevolle bijdrage, onder andere op basis van dreigingsanalyses van de Rijksoverheid. Over deze samenwerking en de speciaal voor de NAVOtop opgerichte structuur wordt u verder geïnformeerd in de eerdergenoemde gemeentebrede evaluatie. Tijdens de intensieve voorbereidingen en de extra controles van belangrijke systemen zijn verbeterpunten direct opgepakt zodra deze werden vastgesteld. In deze periode zijn alle cruciale systemen opnieuw beoordeeld op basis van de criteria van het NCSC. Daarbij kwamen resterende kwetsbaarheden aan het licht, die snel en adequaat zijn verholpen. Zoals eerder gemeld in RIS322700 nam het aantal digitale aanvallen in aanloop naar en tijdens de top, conform verwachting, sterk toe. Bijvoorbeeld door DDoS-aanvallen, waarbij websites overbelast worden, maar de aanvaller geen toegang tot de achterliggende systemen krijgt. Tijdens de top bleven alle eigen gemeentelijke websites en systemen volledig operationeel. De getroffen voorbereiding heeft bijgedragen aan het tijdig signaleren en afslaan van aanvallen. Enkele websites van partners en leveranciers, zoals het digitale samenwerkingsplatform raadsinformatiesysteem (RIS) van NotuBiz, waren wel tijdelijk onbereikbaar als gevolg van DDoS-aanvallen.

Ook zijn veel phishingpogingen waargenomen en geblokkeerd dankzij aanvullende maatregelen op dat gebied. Er zijn enkele nieuwe maatregelen doorgevoerd o.a. vanuit de eigen dreigingsanalyse. De nieuwe maatregel “geo-blocking” is op meerdere onderdelen succesvol gebleken. Hierbij worden inlogpogingen vanuit een aantal (oranje en rode) landen standaard geblokkeerd. Als een medewerker vanuit zo een land moet kunnen werken, dan is dat wel mogelijk. Maar werken vanuit het buitenland is bij geoblocking pas mogelijk nadat een aparte aanvraag voor toegang is gedaan en geaccordeerd door minimaal 1 leidinggevende. Die aanvraag moet voorafgaand aan de reis zijn goedgekeurd, waarna instructies voor veilig werken worden gegeven en zo nodig met aparte beschermde middelen wordt gewerkt. In technische zin is hiermee minimaal één bedreigende poging tot inloggen met gestolen inloggegevens geblokkeerd die zonder deze maatregel waarschijnlijk succesvol zou zijn geweest. In organisatorisch opzicht bleek dat er breed draagvlak bestond voor maatregelen zoals geoblocking en het tijdelijk verhogen van de frequentie van wachtwoordresets. Dit is opvallend, omdat dergelijke maatregelen voor medewerkers en de organisatie extra handelingen en beperkingen met zich meebrengen. Belangrijk daarbij is wel dat de communicatie helder is en de procedures goed zijn ingericht.

Tijdens de NAVO-top zijn op dit vlak waardevolle en leerzame ervaringen opgedaan.

De urgentie die voortvloeide uit de NAVO-top heeft ertoe geleid dat veel geplande maatregelen om de digitale weerbaarheid te verhogen versneld zijn uitgevoerd. Daardoor kon de volwassenheid als geheel toenemen. Alle genomen en voorgenomen inhoudelijke maatregelen op het gebied van digitale weerbaarheid in algemene zin zijn op 15 juli (deels geheim) met de raad gedeeld in RIS322867. Die maatregelen (binnen de scope van de I&A-organisatie in de bedrijfsvoering) zouden voor het merendeel ook in gang gezet zijn als de NAVO-top niet had plaats gevonden; maar het momentum van de top heeft wel gezorgd voor meer urgentie, meer betrokkenheid en versnelling op onderdelen. Te verwachten was dat hierdoor de digitale weerbaarheid van de organisatie zou groeien. Om de groei in volwassenheid te onderzoeken heeft het Expertisecentrum Security een zelfevaluatie uitgevoerd tegen het internationaal erkende normenkader van het NIST Cybersecurity Framework (NIST CSF). Uit deze tweedelijns volwassenheidsmeting op de cybersecurity processen blijkt een gemiddelde volwassenheid van 2,6. De doelstelling, een gemiddelde van 3, komt daarmee in zicht.

2/3

Gemeente Den Haag Ons kenmerk

DBV/10943894

Overigens is verdere groei in volwassenheid steeds moeilijker, omdat er voor die groei steeds hogere eisen op steeds meer onderdelen worden gesteld aan de borging van informatieveiligheid. Dat maakt de reeds gerealiseerde groei een extra mooi resultaat. In het eerste kwartaal van 2026 zal er een derdelijns audit worden uitgevoerd naar de volwassenheid van de processen. Wij verwachten dat deze audit de huidige groei zal bevestigen. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

3/3