1428935 Informatienota

Informatienota Raad

Onderwerp

Evaluatie Beveiligingsincident Gemeente Epe maart 2026

Programma

11 - Bestuur en organisatie

Datum Portefeuillehouder

Dhr. dr. T.C.M. Horn

Zaaknummer

1428935

Adviseur

Remco Groet

Afdeling

Informatisering

Telefoonnummer

825

E-mail adres

remco.groet@epe.nl

Bijlage(n)

4

KENNISNEMEN VAN De evaluatie van het beveiligingsincident Gemeente Epe maart 2026.

INLEIDING Op 12 maart 2026 ontdekte Gemeente Epe een cyberaanval. Een medewerker werd op 10 maart via social engineering misleid om onbewust kwaadaardige software te starten, waarna de aanvaller stapsgewijs hogere beheerdersrechten verkreeg, waaronder een noodaccount (break-glass). Met die toegang kopieerde de aanvaller circa 871 GB aan data naar externe cloudopslag: persoonsgegevens van inwoners (inclusief BSN), medewerkers en contractpartners, alsmede 845 nog geldige kopieën van identiteitsbewijzen. Direct na ontdekking zijn de getroffen systemen geïsoleerd, accounts gereset en is het incident binnen de wettelijke termijn gemeld bij de Autoriteit Persoonsgegevens, de politie en de Informatie beveiligingsdienst (IBD). Er is een evaluatie uitgevoerd van dit beveiligingsincident ,dat als bijlage bij deze informatienota is toegevoegd. Daarnaast informeert het college de raad ook over de brief van de adviesraad Sociaal domein en de reactie van het college hierop. Tevens zijn artikel 34 vragen gesteld en de beantwoording wordt tegelijkertijd met deze informatienota verstuurd aan de raadsleden.

KERNBOODSCHAP Aanpak beveiligingsincident Na constatering van het beveiligingsincident is een projectstructuur ingericht met drie deelprojecten: 1.technisch onderzoek 2.communicatie 3.nazorg Technisch onderzoek Onderzoek wijst op een combinatie van factoren die het incident hebben veroorzaakt: social engineering als initiële aanvalsvector, misbruik van een noodaccount, tijdelijk verminderde netwerksegmentatie en de aanwezigheid van gevoelige data (waaronder ID-kopieën en een basisregistratie-export) op een bestandsserver die al stond gepland voor uitfasering. Op basis hiervan zijn concrete verbetermaatregelen doorgevoerd of gepland, waaronder 24/7 SOC-monitoring, versnelde uitfasering van de bestandsserver, aangescherpte netwerkzonering, beperking van beheerdersrechten en een vernieuwd bewustwordingsprogramma. Twee Woo-verzoeken zijn in behandeling; een beperkt aantal voorlopige

aansprakelijkheidsstellingen is ontvangen, maar er zijn op dit moment geen indicaties van feitelijke schade bij derden. De financiële impact bedraagt voorlopig € 345.258; de definitieve afrekening volgt in juli 2026. Communicatie en nazorg Alle betrokkenen zijn op basis van het risicoprofiel geïnformeerd: inwoners via huis-aan-huisbrief (23 april), medewerkers via een persoonlijk e-mailbericht, en betrokkenen waarvan een kopie-ID is aangetroffen via een persoonlijke brief met aanbod voor vervanging op kosten van de gemeente. Voor meer informatie wordt verwezen naar het bijgevoegde evaluatierapport inclusief bijlage. Brief adviesraad sociaal domein De adviesraad sociaal domein heeft het college ongevraagd advies uitgebracht inzake het beveiligingsincident. In de bijlage treft u het ongevraagde advies en de reactie van het college.

COMMUNICATIE De evaluatie wordt gepubliceerd op de website van de gemeente Epe. Evenals de brief van de adviesraad Sociaal domein en de reactie van het college.

VERVOLG De verbetermaatregelen die volgen uit dit incident worden meegenomen in het project voor de implementatie van de Cyberbeveiligingswet (Cbw/NIS2). Hierover zal de raad ook worden geïnformeerd.