A2. Jaarverslag Informatiebeveiliging 2025 voor Raad

• De aanwezigheid van uw organisatie op het internet is veel omvangrijker dan alleen de door ons beoordeelde DigiD aansluiting. Ga via https://basisbeveiliging.nl/report na welke mogelijke kwetsbaarheden er op andere URL’s van uw organisatie zijn en draag zorg voor het oplossen ervan. De verwachting is dat de meeste in deze paragraaf vermelde punten binnen het reguliere werk kunnen worden gerealiseerd. Er is alleen goede wil en voldoende medewerking nodig vanuit de organisatie en daarin is alle vertrouwen. We onderkennen immers het belang van informatiebeveiliging steeds meer als randvoorwaarde voor het succes van onze organisatie.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

26

7.3.

Nieuwe wet- en regelgeving over informatiebeveiliging

Bovenstaande maatregelen gaan voornamelijk over onze administratieve en dienstverlenende processen. Automatisering en internetkoppelingen zien we echter ook steeds meer in vitale fysieke systemen terugkomen zoals zogenaamde internet-of-things. In onze beweegbare bruggen, verkeerslichten, CCTV systemen en rioolgemalen wordt steeds meer gebruik gemaakt van (industriële) automatisering, ook wel Industrial Control Systems en Supervisory Control And Data Aquisition (ICS/ SCADA) genoemd. Hierop wordt in nieuwe regelgeving op geanticipeerd. De Cyberbeveiligingswet (Cbw) is (samen met de BIO2.0) onderdeel van de implementatie van de Europese Netwerk- en informatiebeveiligingsrichtlijn (NIS2). De BIO2.0 dient als normenkader voor de zorgplicht van de overheid op het gebied van informatiebeveiliging en helpt een uniforme en gecoördineerde aanpak van cyberbeveiliging te waarborgen. De normen en verplichtingen worden juridisch verankerd in de Cyberbeveiligingswet. Toezicht en wetgeving worden strenger De toezichthouders op informatiebeveiliging worden actiever bij de handhaving van de NIS2richtlijn en de Cyberbeveiligingswet. De verantwoordelijkheid verschuift hierbij steeds meer naar de gemeenten zelf. Bestuurders worden aansprakelijk gehouden als blijkt dat er onvoldoende toezicht is geweest op informatiebeveiliging. Dit vraagt om een preventieve benadering in plaats van een reactieve.

Zo werkten we in 2025 samen met de gemeente Westland aan het implementeren van technische componenten zoals het SIEM/SOC. Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk, omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en de AVG brengt de basis op orde. Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

27

Regionale samenwerking Sinds 2017 zijn medewerkers (CISO en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen en waar mogelijk ondersteunen bij informatiebeveiligingsincidenten.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

28

8. Incidenten, ontdekte kwetsbaarheden en datalekken 8.1.

Gemelde incidenten en kwetsbaarheden

In 2025 zijn 244 spam/phishing -meldingen, 20 incidenten en 118 geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en zijn opgelost. De kwetsbaarheidsmeldingen kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD). Ze betroffen onder andere geconstateerde kwetsbaarheden in software en hardware met daarbij het advies over hoe deze zijn te verhelpen. De verplaatsing van applicaties naar de Cloud gaat de komende jaren toenemen waardoor de kwetsbaarheid van ons eigen ICT-netwerk ook afneemt. Dit betekent dat we ook alert moeten zijn op de beveiliging van onze in de Cloud bij leveranciers opgeslagen informatie. Meldplicht datalekken Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro.

8.2.

Gemelde datalekken

In 2025 zijn 13 datalekken gemeld bij de privacy officer. In 2020 waren dit er nog 17 in 2021 maar 11 en 10 in 2022, 2023 en 2024. Het lijkt hier om een stabiele lage trend te gaan die aandacht verdient. Van een organisatie met de omvang van de gemeente Midden-Delfland kan verwacht worden dat elk jaar enkele tientallen datalekken plaatsvinden, waar gewerkt wordt worden immers ook fouten gemaakt. Binnen 72 uur moeten daarvoor in aanmerking komende datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Van de bij ons gemelde incidenten is er één door ons als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek. De hieronder beschreven incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Meldings- Omschrijving Melding datum aan AP 2-3-2025 Bij een printer in het gemeentehuis is een intakeformulier gevonden met Nee daarop NAW-gegevens, het BSN-nummer en medische gegevens. Het incident is een mogelijk gevolg van een storing bij de printers.

Het document is direct na ontdekking veiliggesteld, aangezien de ruimte ook toegangelijk is voor medegebruiker Staatsbosbeheer, collega's en mogelijke bezoekers. 3-6-2025 Er is een e-mail naar de verkeerde ontvanger gestuurd. In deze e-mail staan Nee persoonsgegevens, namelijk de naam en het e-mailadres van de klant. Direct na het versturen van de e-mail is er een mail verstuurd naar de onbevoegde ontvanger verstuurd met het verzoek om de e-mail te verwijderen. De onbevoegde ontvanger heeft bevestigd de e-mail te verwijderen. 27-5-2025 Vanuit het Zaakysteem is er door een medewerker naar een ontvanger Nee tweemaal een e-mail verstuurd met als aanhef (achternaam) een ander dan de ontvanger. Aan de medewerker is verzocht om aan de ontvanger een e-mail te sturen met daarin het verzoek om de e-mails die niet voor haar bedoeld waren te verwijderen. 27-5-2025 Een medewerker van de gemeente liet gedurende 2 uur zijn tas met daarin zijn Nee werklaptop en telefoon in het OV staan. Het risico op een datalek is echter beperkt, aangezien de laptop en telefoon vergrendeld waren. 28-7-2025 Op donderdag 24 juli 2025 zijn uitkeringsspecificaties van Nee bijstandsgerechtigden per post verstuurd. Naar verwachting zijn de meeste brieven teruggekomen, omdat in het adresveld de combinatie huisnummer en

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

29

postcode niet herkend werd door PostNL. Het blijkt dat straat + huisnummer van cliënt zijn, terwijl postcode + woonplaats van de bewindvoerder. Omdat het in principe om meer cliënten zou moeten gaan, is het mogelijk dat in andere gevallen de combinatie postcode + huisnummer wel bestaat, alleen bij een verkeerd adres aankomt. Het gaat om minder dan 25 mensen. Op de specificaties staat o.a. naam cliënt, straat + huisnummer, het uitkeringsbedrag, IBAN en BSN. De brieven zijn geretourneerd en niet aangekomen bij de onbevoegde ontvangers. De oorzaak is gevonden in een update van de gebruikte software. Dit is door applicatiebeheer inmiddels hersteld. 29-7-2025 De gemeente heeft Beslissing op bezwaarschriften omgevingsvergunning AZC gepubliceerd via iBabs. In een bijlage, het advies van de bezwaarschriftencommissie, stonden vanaf pagina 19 tot en met 21 de NAWgegevens van de bezwaarmakers tegen het AZC. De niet-geanonimiseerde versie van het document is offline gehaald en vervangen voor de geanonimiseerde versie. Daarnaast zijn de betrokkenen geïnformeerd over dit incident. Naar aanleiding van het uitgevoerde onderzoek zijn de volgende maatregelen naar voren gekomen: Publiceren uitsluitend via het zaaksysteem. Publicatie vanuit e-mail is vanaf heden niet toegestaan. Verplichte vier-ogencheck op persoonsgegevens vóór publicatie.

In besluitvorming nadrukkelijker afwegen of de transparantie conflicteert met de privacy. Rolvastheid voor de RIB door het volgen van het reguliere proces met het daarbij benoemde eigenaarschap en de daarbij horende doorlooptijd (wie levert, wie controleert, wie publiceert; vervangingsregeling bij afwezigheid). Dit kan effect hebben op de doorlooptijd. Beperken van bijlagen. De informatie waar mogelijk opnemen in de brief zelf. Alleen bijlagen toevoegen als dit noodzakelijk is 4-8-2025 Op 19 december 2023 zijn met de beslissing op een Woo-verzoek per abuis persoonsgegevens van een voormalige ambtsdrager van de gemeente meegestuurd. Dit is gemeld op 4 augustus 2025 door de ontvanger van de beslissing van het Woo-verzoek. De ontvanger heeft aangegeven de gegevens niet te hebben verstrekt aan anderen. De voormalige ambtsdrager is geïnformeerd over de situatie. Inmiddels werkt de gemeente met software waarin persoonsgegevens semiautomatisch geanonimiseerd wordt. De medewerker heeft hierbij nog een handmatige eindcontrole. 4-9-2025 De gemeente maakt gebruik van een DDOS-dienst met cyberbeveiligingssoftware van een derde partij, deze heeft van 12 augustus tot en met 17 augustus 2025 te maken gehad met een datalek. Het gaat daarbij voornamelijk om customer support tickets.

Uit verder onderzoek naar het incident is gebleken dat er door onze gemeente geen tickets zijn aangemaakt in bij deze partij. De kans dat er daadwerkelijk persoonsgegevens zijn gelekt, lijkt daardoor niet aannemelijk. Indien er toch persoonsgegevens gelekt zijn, betreffen dit de e-mail en naam van een beperkt aantal medewerkers. Vanuit de betreffende partij zijn de volgende maatregelen aanbevolen en uitgevoerd: mogelijk accounts aanpassen in de betreffende software Controleren van de logbronnen die toegang tot het portal en de betreffende software geven. Daarnaast zijn de customer support tickets gecontroleerd op de informatie die deze tickets bevatten en zijn de credential accounts gecontroleerd. 19-9-2025 Het verslag van het omgevingsoverleg van donderdag 18 september 2025 is per e-mail per abuis naar een onbevoegde ontvanger gestuurd. In dit verslag zijn twee adressen beschreven en de namen van de casushouder en casemanagers (beiden werknemers van de gemeente). Nadat bekend is geworden dat het verslag naar een onbevoegde ontvanger is gestuurd, is deze ontvanger verzocht om de e-mail te verwijderen. Jaarverslag Informatiebeveiliging Midden-Delfland 2026

Ja

Nee

Nee

Nee

30

20-102025

De gemeente stuurt brieven naar jubileumechtparen om de betreffende inwoners te feliciteren. In dit geval is de brief naar een verkeerd adres verzonden. De brief is door de onbevoegde ontvanger naar de gemeente geretourneerd. 20-10Een medewerker heeft de e-mail van een klant met daarin bankafschriften 2025 naar haar oude school e-mailadres verstuurd. Dit e-mailadres is geblokkeerd/verwijderd, maar er kan niet met zekerheid worden vastgesteld in hoeverre er nog e-mails ontvangen kunnen worden door het oude e-mailadres. Aangezien het e-mailadres van de medewerker zelf was, acht ik de kans dat er daadwerkelijk sprake is van een datalek niet aannemelijk. Wel noteer ik dit incident als dusdanig. 7-11-2025 Een gegevensformulier van een cliënt is als bijlage verzonden aan een andere cliënt. Het gaat om een formulier waarin NAW-gegevens en het BSN-nummer beschreven staat. De onbevoegde ontvanger heeft de medewerker op 6 november telefonisch op de hoogte gesteld van het datalek. Het gegevensformulier is op 13 november geretourneerd. 24-11Mail is per abuis verstuurd naar een foutief mailadres. Mailadres waar per 2025 abuis informatie naar is toegestuurd betreft die van een medewerker werkzaam binnen het COA. Enige aan de persoon te koppelen gegevens die in de mail vermeld staan is de voornaam van inwoner.

Nee

Nee

Nee

Nee

Met leveranciers en ketenpartners zijn verwerkers- of datalevering-overeenkomsten afgesloten om de beveiliging van privacygevoelige gegevens te borgen. De in deze overeenkomsten opgenomen informatiebeveiligingseisen zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Landelijk beeld datalekken Voor het landelijk beeld van datalekken is gebruikgemaakt van de meest recente beschikbare cijfers van de Autoriteit Persoonsgegevens (AP), zoals opgenomen in het Landelijk beeld meldingen van datalekken 2025. Deze rapportage heeft betrekking op incidenten die hebben plaatsgevonden in 2024. De landelijke cijfers over 2025 waren ten tijde van het opstellen van dit jaarverslag nog niet beschikbaar. Uit het landelijke beeld blijkt dat de AP in 2024 bijna 38.000 meldingen van datalekken ontving, een aanzienlijke stijging ten opzichte van het voorgaande jaar (circa 26.000 meldingen). Veel datalekken ontstaan doordat post of e-mail niet bij de juiste persoon terechtkomt. Ook onbedoelde of onrechtmatige inzage in persoonsgegevens vormt een veelvoorkomende oorzaak van datalekken. Datalekken kunnen risico’s opleveren voor de betrokkenen, zoals financiële schade door identiteitsfraude en oplichting.

Organisaties zijn op grond van de Algemene verordening gegevensbescherming (AVG) verplicht om een datalek te melden bij de Autoriteit Persoonsgegevens wanneer sprake is van een risico voor de rechten en vrijheden van betrokkenen. De stijgende meldingsaantallen onderstrepen het belang van blijvende aandacht voor zorgvuldige omgang met persoonsgegevens en het treffen van passende organisatorische en technische beveiligingsmaatregelen. Veel van de datalekken zijn administratieve vergissingen die vlot te herstellen lijken. Cyberaanvallen zoals gijzelsoftware, phishing of diefstal van data via malware worden minder vaak gemeld. Maar één succesvolle hack kan leiden tot de diefstal van tienduizenden klantgegevens, langdurige uitval van bedrijfsprocessen, verlies van gevoelige informatie, imagoschade of juridische aansprakelijkheid. Bron: Autoriteit persoonsgegevens

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

31

9. Meerjarenperspectief Inwoners, ondernemers en maatschappelijke instellingen moeten erop kunnen vertrouwen dat de gemeente zorgvuldig en veilig omgaat met (persoons)gegevens. Betrouwbare informatiebeveiliging is een noodzakelijke voorwaarde voor continuïteit van de dienstverlening en een goed functionerende bedrijfsvoering. Het gemeentelijk informatiebeveiligingsbeleid is gericht op het treffen en onderhouden van passende technische en organisatorische maatregelen, conform geldende wet- en regelgeving zoals de AVG en de Baseline Informatiebeveiliging Overheid (BIO). De Chief Information Security Officer (CISO) is verantwoordelijk voor coördinatie, toezicht en advisering over informatiebeveiliging en risicomanagement binnen de organisatie. Jaarlijks worden belangrijke processen en wettelijke registraties – waaronder waardedocumenten, BRP, BAG, BGT, BRO, DigiD en Suwinet – beoordeeld via zelfevaluaties en externe audits. Hiermee wordt inzicht gehouden in het volwassenheidsniveau van de informatiebeveiliging en waar nodig bijgestuurd. De digitalisering van de gemeentelijke dienstverlening neemt verder toe. Ontwikkelingen zoals plaats- en tijdonafhankelijk werken, toenemende afhankelijkheid van leveranciers en de opkomst van toepassingen op basis van kunstmatige intelligentie vergroten zowel kansen als risico’s.

Dit vraagt om blijvende aandacht, tijdig anticiperen op nieuwe dreigingen en het structureel beschikbaar stellen van voldoende middelen. Wendbaarheid en weerbaarheid zijn daarbij essentieel.

9.1.

Grootste risico’s voor gemeenten

De belangrijkste risico’s op het gebied van informatiebeveiliging en gegevensbescherming hebben een directe impact op de dienstverlening, bedrijfsvoering en het vertrouwen van inwoners. Uitval van dienstverlening en bedrijfsvoering Vrijwel alle gemeentelijke processen zijn afhankelijk van digitale systemen. Incidenten zoals ransomware‑aanvallen, storingen of problemen bij leveranciers kunnen leiden tot tijdelijke of langdurige uitval van dienstverlening. In ernstige gevallen moeten processen worden stilgelegd, met directe gevolgen voor inwoners en ondernemers. Vertrouwelijke informatie in verkeerde handen Gemeenten verwerken grote hoeveelheden privacygevoelige en vertrouwelijke informatie, onder andere op het gebied van zorg, inkomen, veiligheid en gebiedsontwikkeling. Onbevoegde toegang tot deze gegevens kan leiden tot ernstige schade voor betrokkenen, reputatieschade voor de gemeente en mogelijke sancties op grond van de AVG. Fouten in de dienstverlening Aantasting van de kwaliteit en integriteit van informatie kan leiden tot onjuiste besluiten, fouten in processen en inefficiënt herstelwerk. Dit risico vraagt nadrukkelijk aandacht, omdat fouten in data direct doorwerken in de kwaliteit van de gemeentelijke dienstverlening en het vertrouwen in de overheid.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

32

9.2.

Dreigingsbeeld 2025 – 2026

De gemeentelijke CISO, ISO, PO, FG kunnen, onder verwijzing naar dit dreigingsbeeld management, directie en bestuur adviseren over digitale risico’s op zo’n manier dat het de gemeente helpt om snel, efficiënt, effectief en zo foutloos mogelijk haar werk te doen, waarbij maximaal gebruik wordt gemaakt van de mogelijkheden en kansen die moderne technologie ons biedt. Actueel dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2025–2026 Bron: Informatiebeveiligingsdienst (IBD), VNG

De Informatiebeveiligingsdienst (IBD) constateert dat Nederlandse gemeenten te maken hebben met een structureel en complex digitaal dreigingslandschap. Digitale incidenten raken direct de continuïteit van de gemeentelijke dienstverlening en het vertrouwen van inwoners en ondernemers. Het dreigingsbeeld voor 2025–2026 laat zien dat met name drie typen dreigingen structureel en dominant zijn: ransomware, kwetsbaarheden in software en risico’s in ketens en bij leveranciers. 1. Ransomware blijft de grootste dreiging, met ontwrichtende gevolgen Ransomware is en blijft de nummer één dreiging voor gemeenten. Criminelen maken gebruik van kwetsbaarheden in gemeentelijke systemen of bij leveranciers om toegang te krijgen tot netwerken. Daarbij worden gegevens gestolen, versleuteld en vervolgens ingezet voor afpersing. Steeds vaker dreigen aanvallers met het openbaar maken van privacygevoelige gegevens van inwoners, bedrijven en medewerkers wanneer geen losgeld wordt betaald. In de periode 2023–2024 waren ruim 150 gemeenten direct of indirect betrokken bij ransomware‑incidenten, veelal via de leveranciersketen. In meerdere gevallen leidde dit tot langdurige uitval van dienstverlening, hoge herstelkosten en ernstige reputatieschade. De maatschappelijke en financiële impact van dergelijke aanvallen is aanzienlijk en vaak langdurig merkbaar. 2.

Toenemend aantal en ernst van kwetsbaarheden in software Gemeenten zijn in hoge mate afhankelijk van digitale systemen en standaardsoftware. Alle software bevat kwetsbaarheden die door kwaadwillenden kunnen worden misbruikt. De IBD ziet dat niet alleen het aantal kwetsbaarheden toeneemt, maar vooral ook het aantal kwetsbaarheden met een hoge kans op misbruik en grote impact. Hoewel het oplossen van kwetsbaarheden vaak bestaat uit het tijdig installeren van updates, blijkt dat dit in de praktijk niet altijd eenvoudig is. Gemeenten hebben te maken met complexe applicatielandschappen, beperkte capaciteit en afhankelijkheid van leveranciers. Incidenten laten zien dat uitgestelde of onvolledig uitgevoerde updates kunnen leiden tot grootschalige verstoringen en datalekken. 3. Risico’s in ketens en bij leveranciers blijven grotendeels buiten zicht Gemeenten opereren in uitgebreide netwerken van samenwerkingsverbanden en externe leveranciers. Gemiddeld nemen gemeenten deel aan tientallen samenwerkingsconstructies en wordt een steeds groter deel van de ICT als dienst afgenomen, bijvoorbeeld via SaaS‑ en cloudoplossingen. Incidenten bij leveranciers hebben daardoor regelmatig directe gevolgen voor meerdere gemeenten tegelijk. De IBD constateert dat informatiebeveiliging en privacy in samenwerkingsafspraken en contracten nog onvoldoende expliciet en afdwingbaar zijn geregeld.

Hoewel gemeenten vertrouwen op externe partijen, is het daadwerkelijke zicht op risico’s en de naleving van beveiligingsmaatregelen beperkt. In de afgelopen jaren zijn gemeenten herhaaldelijk geconfronteerd met datalekken en procesverstoringen die zijn ontstaan bij derde partijen, terwijl de impact volledig bij de gemeente terechtkwam. Bestuurlijke opgave: digitale veiligheid als kerntaak Het actuele dreigingsbeeld onderstreept dat digitale veiligheid geen operationeel detail is, maar een bestuurlijke kernverantwoordelijkheid. Nieuwe wet- en regelgeving, zoals de aankomende Cyberbeveiligingswet, maakt deze verantwoordelijkheid expliciet. Volgens de IBD vraagt dit om Jaarverslag Informatiebeveiliging Midden-Delfland 2026

33

structurele aandacht voor risicomanagement, investeringen in basismaatregelen, versterkt leveranciersmanagement en intensieve samenwerking tussen gemeenten. Speerpunten van de Nederlandse Cybersecuritystrategie 2022–2028 Bronnen: Nederlandse Cybersecuritystrategie (NLCS) 2022–2028, NCTV / NCSC

De Nederlandse samenleving is in toenemende mate afhankelijk van digitale systemen. Deze ontwikkeling brengt groeiende risico’s met zich mee voor de continuïteit, integriteit en betrouwbaarheid van maatschappelijke en economische processen. Digitale veiligheid en cyberweerbaarheid zijn daarom essentiële randvoorwaarden voor een goed functionerende samenleving. Met de Nederlandse Cybersecuritystrategie 2022–2028 (NLCS) schetst het kabinet de visie en ambities voor een digitaal weerbaar Nederland. De strategie richt zich op het versterken van een veilig digitaal ecosysteem waarin overheid, bedrijfsleven en maatschappelijke organisaties gezamenlijk verantwoordelijkheid dragen voor cybersecurity. De uitvoering van de strategie wordt gecoördineerd door de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV), met een belangrijke rol voor het Nationaal Cyber Security Centrum (NCSC). De NLCS kent vier samenhangende pijlers: 1. Digitale weerbaarheid van overheid, bedrijven en maatschappelijke organisaties De overheid zet in op het verhogen van de digitale weerbaarheid van organisaties door beter zicht te krijgen op cyberdreigingen, risico’s en incidenten. Dit gebeurt onder meer door het versterken van detectiecapaciteit, informatie-uitwisseling en samenwerking binnen het Landelijk Dekkend Stelsel van cybersecuritysamenwerkingsverbanden.

Organisaties worden gestimuleerd en waar nodig verplicht om proportionele en risicogebaseerde beveiligingsmaatregelen te nemen, passend bij hun rol en maatschappelijke impact. 2. Veilige en innovatieve digitale producten en diensten Digitale veiligheid moet het fundament vormen waarop nieuwe digitale producten en diensten worden ontworpen en aangeboden. De strategie benadrukt een grotere verantwoordelijkheid voor leveranciers en dienstverleners om gedurende de gehele levenscyclus zorg te dragen voor veilige producten. Europese en nationale wet- en regelgeving, zoals de NIS2-richtlijn en de aankomende Cyberbeveiligingswet, stellen strengere en toetsbare eisen aan overheden, vitale aanbieders en leveranciers van digitale producten en diensten. 3. Tegengaan van digitale dreigingen van staten en criminelen De Nederlandse overheid investeert in het vergroten van inzicht in digitale dreigingen van statelijke actoren en cybercriminelen. Dit omvat het versterken van analysecapaciteit, opsporing, attributie en respons, evenals internationale samenwerking en diplomatieke inzet. Doel is om digitale dreigingen tijdig te onderkennen, te beperken en waar nodig actief tegen te gaan, ter bescherming van nationale veiligheidsbelangen. 4.

Voldoende cybersecurityspecialisten, kennis en digitale weerbaarheid van burgers Een structureel tekort aan cybersecurityspecialisten vormt een risico voor de digitale weerbaarheid van Nederland. De strategie richt zich daarom op het versterken van de cybersecurity-arbeidsmarkt, het bevorderen van kennis en innovatie, en het vergroten van digitale weerbaarheid bij burgers. Dit gebeurt onder meer via onderwijs, opleidingsprogramma’s en bewustwordingsinitiatieven.

Versterking van het nationale cybersecuritystelsel Als onderdeel van de uitvoering van de strategie wordt het nationale stelsel voor digitale veiligheid versterkt en vereenvoudigd. Het NCSC speelt hierin een centrale rol en ontwikkelt zich, in samenhang met andere publieke taken en op Europese regelgeving, richting één samenhangende nationale cybersecurityautoriteit. Deze autoriteit ondersteunt publieke en private partijen met dreigingsinformatie, handelingsperspectief en, waar wettelijk mogelijk, incidentrespons.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

34

Wake-up call! Meest getroffen branches in 2025/2026: Op basis van recente monitors (zoals de Cybersecuritymonitor 2024/2025 en het CSBN 2025) vallen de volgende trends op: • Onderwijs: Deze sector werd in het begin van 2025 het hardst getroffen met een gemiddelde van 4.484 aanvallen per organisatie per week (een stijging van 73%).

•

ICT-sector: Ransomware-aanvallen troffen deze branche relatief het vaakst (24% van de gevallen), gevolgd door de handel (20%) en de industrie (13%).

•

Gezondheid en Welzijn: Volgens de Autoriteit Persoonsgegevens blijft dit de sector met het hoogste aantal gemelde datalekken.

•

Overheid & Telecom: Het Cybersecuritybeeld Nederland 2025 (CSBN) meldt een toename in incidenten bij overheidsinstanties (zoals het OM) en benadrukt de hoge impact van aanvallen op de telecomsector vanwege de afhankelijkheid van andere sectoren.

Belangrijkste inzichten over gemeenten in 2025: • Toename meldingen: Het jaarverslag van de AP over 2025 meldt een stijging in het aantal klachten en datalekken over de gehele breedte, waarbij de publieke sector een belangrijk doelwit bleef.

•

Interne incidenten: Op Datalekt.nl zijn specifieke meldingen te vinden, zoals bij de Gemeente Eindhoven in augustus 2025, waarbij een publicatie van een geheime verhuisvergoeding alsnog als datalek werd gemeld (oorzaak: menselijke fout/intern).

•

Privacyboetes: In februari 2026 werd bekend dat verschillende Nederlandse gemeenten privacyboetes hebben ontvangen naar aanleiding van incidenten in 2025.

Hoewel we er alles aan doen om de risico’s zo klein mogelijk te maken zijn incidenten ook voor Midden-Delfland niet uit te sluiten.

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

35

“The only system that is truly secure is one that is switched off, cast in concrete, and buried deep underground.” Gene Spafford (computer scientist)

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

36

Jaarverslag Informatiebeveiliging Midden-Delfland 2026

37