rvs rekenkameronderzoek Digitale Veiligheid (1) (1).pdf

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Raadsvoorstel Onderwerp

Organisatie onderdeel

Rekenkameronderzoek Digitale Veiligheid

Griffie

Begrotingswijziging

E-mail opsteller

nee

Bianca.Espeldoorn@stichtsevecht.nl

Datum raadsvergadering

Telefoonnummer opsteller

27 januari 2026

Portefeuillehouder

Registratie nummer

Hans van den Akker

750393

Aan de gemeenteraad Voorgesteld besluit 1. Kennisnemen van het eindrapport van de Rekenkamer ‘Digitale Veiligheid in Stichtse Vecht, Huis Op Orde in de aanloop naar de Cyberbeveiligingswet’ en de in het rapport opgenomen conclusies te onderschrijven. 2. De aanbevelingen die zijn gericht aan de raad over te nemen; a. Vraag het college om een passend strategisch beleid voor informatiebeveiliging. b. Zorg voor voldoende capaciteit (mensen en middelen) en ambtelijke prioriteit om conform het nieuwe strategisch beleid te werken en aan de wettelijke verplichtingen te voldoen. c. Vraag het college om de raad op korte termijn te informeren over de bestuurlijke risico-afwegingen die de gemeente neemt. d. Maak afspraken met het college over welke informatie de gemeenteraad periodiek nodig heeft om te kunnen sturen en controleren.

Samenvatting De Rekenkamer deed, in samenwerking met bureau PBLQ, in de periode april 2025 tot en met augustus 2025 onderzoek naar de wijze waarop de gemeente omgaat met digitale veiligheid. Daarbij stelde zij zich de volgende hoofdvraag:

Is de informatieveiligheid bij de gemeente Stichtse Vecht voldoende gewaarborgd bij de invoering van de Cyberbeveiligingswet? Het eindrapport met de bevindingen, conclusies en aanbevelingen is gereed en wordt u thans aangeboden. De bestuurlijke reactie is in het rapport opgenomen. Het rapport is in de informatieve commissie van 9 december 2025 besproken.

A Inleiding Aanleiding De gemeente Stichtse Vecht is (net als alle andere gemeenten) steeds digitaler gaan werken. Er is geen gemeentelijk proces meer zonder digitale component. Daarom is ook informatiebeveiliging steeds belangrijker; een digitale verstoring kan niet alleen gevolgen hebben voor de gemeentelijke dienstverlening, als persoonsgegevens van inwoners op straat komen te liggen, gaat dit ook ten koste van het vertrouwen van de inwoners. Het veranderende wettelijk kader onderstreept het belang van informatiebeveiliging voor overheden. De Europese NIS2-richtlijn en de nationale vertaling, de Cyberbeveiligingswet (Cbw), stellen extra eisen aan gemeenten. De Cbw treedt naar verwachting in het tweede kwartaal van 2026 in werking. De rekenkamer Stichtse Vecht voert, vooruitlopend hierop, een onderzoek uit naar de wijze waarop de gemeente zich hierop heeft voorbereid. Hierbij wordt speciaal aandacht besteed aan de rol van de gemeenteraad.

Bevoegdheid Verordening Rekenkamer gemeente Stichtse Vecht.

Afweging scenario’s Nee

Maatschappelijk doel en beoogd effect In het tweede kwartaal van 2026 wordt naar verwachting de Cyberbeveiligingswet van kracht. Gemeenten worden (net als andere overheidsorganisaties) gezien als essentiële entiteiten. Dit betekent dat er extra verplichtingen voor gemeenten gaan gelden op het gebied van de zorgplicht en de meldplicht. Deze wet is een directe aanleiding voor de Rekenkamer van Stichtse Vecht om dit onderzoek uit te voeren. Net als bij eerdere wetten met een grote impact op de gemeente (Omgevingswet en de decentralisaties binnen het Sociaal Domein), wil de Rekenkamer weten of de gemeentelijke organisatie goed voorbereid is. Ook wil de Rekenkamer met dit onderzoek de gemeenteraad nader informeren over dit belangrijke onderwerp, zodat de raad zijn kaderstellende en controlerende rol adequaat kan vervullen.

Eerdere besluitvorming en informatievoorziening Niet van toepassing.

B Beslispunten, Argumenten en Risico’s

Argumenten Voor dit onderzoek heeft de Rekenkamer de volgende hoofdvraag geformuleerd: Is de informatieveiligheid bij de gemeente Stichtse Vecht voldoende gewaarborgd bij de invoering van de Cyberbeveiligingswet? De hoofdvraag is geoperationaliseerd in een aantal deelvragen, namelijk: Proces en organisatie (hoofdstuk 3) 1. Wat doet de gemeente Stichtse Vecht op het gebied van informatieveiligheid? Welk beleid voert de gemeente op informatieveiligheid? Heeft de gemeente nog aanvullende maatregelen benoemd buiten de 10 maatregelen die in de wet genoemd worden? Welke risico’s heeft de gemeente geïnventariseerd en welke beheersingsmaatregelen zijn daarbij benoemd? In hoeverre zijn deze maatregelen geïmplementeerd? Hoe communiceert de gemeente met betrokkenen en inwoners over datalekken? Mens (hoofdstuk 4) 2. Hoe bevordert de gemeente het bewust omgaan met informatie? Krijgen medewerkers voldoende uitleg en ondersteuning om veilig te werken? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatieveiligheid? Hoe controleert de gemeente op het naleven van veilig werken en het voorkomen van informatiebeveiligingsincidenten en datalekken? Techniek (hoofdstuk 5) 3.

Zijn gegevens bij de gemeente goed beschermd tegen de toegang door onbevoegden? Zo niet, Welke gevolgen heeft dit voor burgers en bedrijven? Wat zijn de risico’s en kwetsbaarheden? Is het mogelijk om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente in beheer heeft? Welke penetratietesten voerde de gemeente uit? Zo ja, zijn verbeterplannen opgesteld naar aanleiding van de pentesten en zijn deze opgevolgd? In hoeverre wordt in de organisatie vastgelegd wie wanneer toegang vraagt tot bestanden met gevoelige informatie (het loggen)? Hoe is het autorisatiebeleid vorm gegeven en hoe wordt dit up to date gehouden? Overige maatregelen (hoofdstuk 6) 4. Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? Heeft de gemeente een beeld bij de extra verplichtingen uit de cyberbeveiligingswet (BIO2, Ensia2, meldplicht en toezicht)? Zo ja, hoe bereidt de gemeente zich hierop voor? Gemeenteraad (hoofdstuk 7) 5. Hoe is de raad betrokken bij (de uitvoering van) het beleid ten aanzien van de informatieveiligheid? Wordt de gemeenteraad goed geïnformeerd over de risico’s en maatregelen?

Welke controle- en sturingsmogelijkheden heeft de gemeenteraad bij informatiebeveiliging en worden deze ook ingezet?

Conclusies en aanbevelingen Conclusies Digitale infrastructuur Uit het onderzoek is allereerst naar voren gekomen dat de gemeente Stichtse Vecht van ver komt en bezig is met een inhaalslag op het gebied van digitalisering. Een belangrijk onderdeel hiervan betreft de gemeentelijke digitale infrastructuur. Een aantal jaren geleden had de gemeente nog een eigen ‘serverpark’ waarop de gemeentelijke applicaties draaiden en was de gemeente zelf verantwoordelijk voor het technisch beheer van zowel hard- als software. Inmiddels zijn en worden applicaties overgebracht naar ‘de cloud.’ Daarmee zijn leveranciers voor een belangrijk deel verantwoordelijk voor de uitvoering van de technische informatiebeveiliging. Het blijft echter een verantwoordelijkheid van de gemeente zelf om aan de wettelijke beveiligingseisen en -normen te voldoen. Beleid en uitvoering In het ‘Strategisch beveiligingsbeleid 2020 - 2023’ is vastgelegd volgens welke kaders Stichtse Vecht haar informatieveiligheid inricht. Vanwege op handen zijnde Cbw is besloten om na 2023 geen nieuw beleid op te stellen, maar de houdbaarheid van het beleid te verlengen. Het plan doet enigszins gedateerd aan en recente ontwikkelingen (wetgeving, normenkaders en toegenomen bedreigingen) zijn er niet in meegenomen. Het strategisch beleidsdocument is gebaseerd op een format van de Informatiebeveiligingsdienst (IBD) van de VNG.

Dit heeft als voordeel dat belangrijke zaken op het gebied van informatiebeveiliging onderdeel zijn van het beleid. Echter er wordt in de praktijk niet altijd conform dit beleidsdocument gewerkt. De afwijkingen tussen beleid en praktijk is op een aantal zaken significant. In het beleidsdocument wordt gesproken over de Baseline Informatiebeveiliging Overheid (BIO) als (het nieuwe) normenkader voor de gehele overheid. De BIO is de baseline voor informatiebeveiliging en is dus de ‘ondergrens’. Stichtse Vecht voldoet niet aan deze ondergrens, zo blijkt uit de zelfevaluaties die gehouden zijn in 2021, 2023 en 2024. In dat laatste jaar haalt de gemeente 73% van de norm (dat is lager dan het jaar daarvoor). Dit zorgt voor kwetsbaarheden en verhoogt het risico op digitale verstoringen. Als aanvulling op de BIO zijn er in het strategisch beleid 10 principes voor informatiebeveiliging benoemd. Aan de principes die betrekking hebben op risicomanagement (Informatiebeveiliging is risicomanagement en Risicomanagement is onderdeel van de besluitvorming) wordt niet voldaan. Ook het 10de en laatste principe over de rol van het bestuur (het bestuur controleert en evalueert) zien wij onvoldoende terug. In het strategisch beleid is vastgelegd dat: ‘het beleid zal worden uitgewerkt in tactisch en operationele richtlijnen en maatregelen.

De daaruit voortkomende werkzaamheden worden uitgewerkt in het jaarlijks te schrijven Jaaropdracht Gegevensbescherming en Informatieveiligheid.’ Deze jaaropdracht en de bijbehorende bestuurlijke rapportage wordt niet structureel geleverd. Alleen voor 2022 is een Jaaropdracht aangetroffen en de onderzoekers hebben een bestuurlijke rapportage over 2021 ontvangen.

Ook aan een ander belangrijk uitgangspunt uit het beleid, de ‘Plan Do Check Act cyclus, wordt niet voldaan. Er is op dit moment geen effectieve verbetercyclus, zo schetst ook de gemeente zelf in een ‘Verkenning Digitale Weerbaarheid’. In dit document worden daarnaast scenario’s geschetst om te voldoen aan de wettelijke normen en wel een effectieve verbetercyclus in te richten. Ook wordt een scenario geschetst om de werkwijze van het eigen strategisch beleid te volgen en te voldoen aan de extra eisen van de Cbw. In de interviews worden twee belangrijke oorzaken aangedragen voor het feit dat er niet volgens het eigen beleid gewerkt wordt. De eerste is de bovengenoemde inhaalslag inclusief de migratie naar ‘de Cloud’. De tweede oorzaak is het huidige gebrek aan ambtelijke capaciteit. Er gaat ook een aantal zaken wel goed. Zo zijn medewerkers zich goed bewust van het belang van informatiebeveiliging. Zij weten bij vragen de CISO en de FG goed te vinden. Ook op technisch vlak is er, als onderdeel van de eerder genoemde inhaalslag, veel aandacht voor informatiebeveiliging. Dat blijkt onder andere uit controle die is uitgevoerd bij de ICT-leveranciers die betrokken zijn bij de belangrijkste processen van Stichtse Vecht.

Bovendien zijn de extra eisen die de Cbw aan de gemeenten stelt goed in beeld, niet alleen voor wat betreft de gewenste eindsituatie, maar ook voor wat betreft mensen, middelen en activiteiten. De rol van het bestuur De rol van het bestuur verandert dus onder de Cbw. In de Cyberbeveiligingswet en onderliggende Algemene maatregelen van Bestuur (AmvB) is de rol van het college van B&W verankerd. Het College wordt verplicht om, met kennis van zaken, risicogericht te sturen op informatiebeveiliging. Het College wordt verplicht om een training te volgen en de toezichthouder (de Rijksdienst Digitale Infrastructuur) kan bestuurders een boete opleggen als zij dit niet doen. Deze verandering geldt ook voor Stichtse Vecht. Op dit moment wordt de portefeuillehouder in het college van B&W eens in de twee maanden bijgepraat over recente ontwikkelingen en heeft de bestuurder veel vertrouwen in de kwaliteit van zijn ambtelijke organisatie. Er wordt niet periodiek gerapporteerd over de staat van de uitvoering en ontwikkelingen in het dreigingsbeeld aan het college. Wij hebben daarom ook niet vast kunnen stellen dat besluitvorming over informatiebeveiliging gebaseerd is op risicomanagement. Dat betekent dat de sturing op dit moment niet aan de eisen van de Cbw voldoet.

Datzelfde geldt voor de gemeenteraad, die op dit moment het college van B&W onvoldoende controleert en niet in staat is om (financiële en inhoudelijke) kaders te stellen. In de raadssessie die in het kader van dit onderzoek heeft plaatsgevonden, geven raadsleden aan dat informatiebeveiliging net als bijvoorbeeld Jeugdzorg als een volwaardig gemeentelijk domein beschouwd zou moeten worden. Raadsleden zeggen niet over een sturingskader te beschikken, waardoor zij naast hun controlerende rol ook hun kaderstellende rol onvoldoende kunnen waarmaken.

Aanbevelingen Bovenstaande conclusies leiden tot de volgende aanbevelingen:

1. Vraag het college om een passend strategisch beleid voor informatiebeveiliging Het huidige strategisch informatiebeveiligingsbeleid is dringend aan vernieuwing toe. Hiermee is gewacht omdat de Cyberbeveiligingswet nog onbekende verplichtingen voor gemeenten met zich zou meebrengen. Ondanks het feit dat de inwerkingtreding van de Cbw is uitgesteld tot het tweede kwartaal van 2026 is er al voldoende duidelijkheid om het beleidskader te vernieuwen. Gezien de Cbw-verplichting van risicogerichte sturing door het College, is het van belang dat er in het beleidskader voldoende aandacht wordt besteed aan de rol van het bestuur. Ook adviseren wij om het college te betrekken bij de voorbereiding op het beleidskader. Bij de invulling van het beleidskader kan gebruik gemaakt worden van formats die door de Informatiebeveiligingsdienst (IBD) van de Vereniging van Nederlandse Gemeenten (VNG) beschikbaar gesteld worden. 2. Zorg voor voldoende capaciteit (mensen en middelen) en ambtelijke prioriteit om conform het nieuwe strategisch beleid te werken en aan de wettelijke verplichtingen te voldoen. Ambtelijk heeft men goed in beeld wat er in praktijk moet gebeuren om aan de veranderende wettelijke kaders en vigerende normen te voldoen. Er is namelijk gedetailleerd beschreven wat hiervoor aan (extra) mensen en middelen nodig is.

Als deze informatie geagendeerd wordt in de gemeenteraad kan die invulling geven aan zijn kaderstellende rol, 3. Vraag het college om de raad op korte termijn te informeren over de bestuurlijke risicoafwegingen die de gemeente neemt De sturing door het college van B&W is op dit moment onvoldoende. Het college is zich op dit moment niet bewust van het feit dat de gemeente niet aan de geldende BIO-norm voldoet en welke risico’s dat met zich meebrengt. Dat komt voor een belangrijk deel doordat er niet periodiek gerapporteerd wordt. Wij bevelen daarom aan om het bestuur periodiek te rapporteren over de stand van zaken ten aanzien van informatiebeveiliging. In deze rapportage zou, vooruitlopend op de Cbw, aandacht moeten zijn voor risicomanagement. Voor deze bestuurlijke rapportage kan gebruik gemaakt worden van het bestaande formats die voor alle gemeenten beschikbaar zijn in het ENSIA platform. 4. Maak afspraken met het college over welke informatie de gemeenteraad periodiek nodig heeft om te kunnen sturen en controleren. De informatie die de raad ontvangt in de P&C-cyclus met betrekking tot het onderwerp digitale veiligheid is onvoldoende om de controlerende en kaderstellende rol waar te kunnen maken. Mede op basis van de raadsbijeenkomst bevelen wij aan om de raad periodiek te informeren over de mate waarin de gemeente aan de geldende normen- en toezichtskaders voldoet.

Deze kaders zijn vastgelegd in de BIO (die wordt doorontwikkeld naar de BIO2) en de kaders van verschillende stelselhouders. Ook zou de raadsinformatie informatie moeten bevatten over het resultaat van het risicomanagement door het college van B&W. Ook voor de rapportage aan de gemeenteraad is in het ENSIA platform een format beschikbaar.

Aan de rapportage aan het college van B&W en de gemeenteraad moet een effectieve PDCA-cyclus ten grondslag liggen.

Risico’s Niet van toepassing. Bestuurlijke reactie college In deze bestuurlijke reactie reageert het college op uw rapport “Digitale Veiligheid in Stichtse Vecht.” Allereerst dankt het college de Rekenkamer voor het onderzoek en haar bevindingen. We reageren hierbij op uw bevindingen, maar plaatsen onze reactie wel in het licht van de grote ontwikkelingen die onze gemeente op dit punt in de afgelopen jaren heeft gemaakt en het wettelijk kader van de cyberveiligheidswet die waarschijnlijk pas over een half jaar volledig van kracht is. Samenvatting De conclusies en aanbevelingen plaatst het college in de context om verder te bouwen aan een toekomstgerichte ambtelijke organisatie voor Stichtse Vecht. Informatieveiligheid is een onderwerp dat met de toenemende digitalisering steeds belangrijker wordt. Gemeenten verwerken grote hoeveelheden gegevens in een veelvoud aan informatiesystemen. Veel van deze gegevens betreffen (bijzondere) persoonsgegevens of andere belangrijke informatie die goed beschermd moeten zijn. Naar verwachting treedt in het tweede kwartaal van 2026 de Cyberbeveiligingswet (Cbw) in werking. Hiermee wordt digitale veiligheid een wettelijke verplichting voor gemeenten. Dit betekent dat er extra verplichtingen voor gemeenten gaan gelden op het gebied van de zorgplicht, meldplicht en toezicht.

Deze wet is een directe aanleiding voor de Rekenkamer van Stichtse Vecht om dit onderzoek uit te voeren. In het eindrapport heeft de Rekenkamer conclusies en aanbevelingen opgenomen met betrekking tot de wijze waarop Stichtse Vecht zich heeft voorbereid op dit veranderende wettelijke kader. Graag reageren we eerst op de aanbevelingen. Daarna gaan we in op de conclusies. Ten aanzien van de aanbevelingen van de Rekenkamer: 1. Aanbeveling 1: Vraag het college om een passend strategisch beleid voor informatiebeveiliging.

De gemeente laat zich adviseren door de Informatiebeveiligingsdienst (IBD). Het IBD is onderdeel van de VNG en ondersteunt gemeenten bij preventie, detectie, coördinatie en kennisdeling op het gebied van informatiebeveiliging. Het IBD past bij belangrijke wijzigingen - zoals de komst van de Cbw - formats voor beleid aan. Omdat er onduidelijkheid was over de ingangsdatum van de Cbw heeft de IBD het format nog niet beschikbaar. De IBD is momenteel bezig met de afronding van het format voor het Informatiebeveiligingsbeleid. Zodra dit gereed is, zal het huidige beleid worden herzien. In dit beleid wordt richting gegeven aan het inrichten van informatiebeveiliging en privacy binnen de gemeente. Er worden doelen gesteld, verantwoordelijkheden beschreven, structuur geschetst en de middelen waarmee dit beleid moet worden vormgegeven. Hiermee wordt het Strategisch Informatiebeveiligingsbeleid weer actueel en in lijn met de geldende wet- en regelgeving.

Het college was reeds voornemens om het strategisch beleid aan te passen en kan daarom deze aanbeveling overnemen. 2. Aanbeveling 2: Zorg voor voldoende capaciteit (mensen en middelen) en ambtelijke prioriteit om conform het nieuwe strategisch beleid te werken en aan de wettelijke verplichtingen te voldoen. Capaciteitsvraagstukken zijn niet direct aan de raad. Echter het beschikbaar stellen van voldoende middelen voor het uitvoeren van een taak is dat wel. In die zin lezen wij als college deze aanbeveling. Daarbij plaatsen we de kanttekening dat alleen capaciteit niet voldoende is. We moeten namelijk ook voldoende kwaliteit kunnen krijgen uit de markt; die is momenteel zeer schaars aanwezig. Vanzelfsprekend wordt vanuit de ambtelijke organisatie sterk ingezet op dit punt. Gelet op het bovenstaande kan het college meegaan in het deel van de aanbeveling om voor voldoende ambtelijke capaciteit te zorgen. 3. Aanbeveling 3: Vraag het college om de raad op korte termijn te informeren over de bestuurlijke risico-afwegingen die de gemeente neemt. In het licht van veranderende landelijke wet- en regelgeving wordt er gewerkt aan een manier van rapporteren en controleren, vanuit de plan-do-check-act-gedachte (zie ook het antwoord op aanbeveling 4). Er wordt op het moment beperkt gerapporteerd over de status van de BIO (Baseline Informatiebeveiliging Overheid, basisnormenkader).

Het is geen werkend systeem van controle en rapportage over informatiebeveiliging. Hierdoor wordt de plan-do-check-act (PDCA) cyclus nog niet volledig uitgevoerd. Het college is echter wel al op 12 november geïnformeerd over de mate waarin de gemeente voldoet aan de BIO-norm. Dat laat onverlet dat er verbeterslagen nodig zijn op het gebied van rapportage, zodat het college een goede bestuurlijke risico-afweging kan maken. Het college zal de raad informeren zodra de verbeterslagen zijn doorgevoerd. 4. Aanbeveling 4: Maak afspraken met het college over welke informatie de gemeenteraad periodiek nodig heeft om te kunnen sturen en controleren. Deze aanbeveling heeft overeenkomsten met aanbeveling 3. Vooruitlopend op de veranderende landelijke wet- en regelgeving is er een initiatief gestart voor de aanschaf van ISMS tooling (Information Security Management System) ook wel GRC (Governance Risk Compliance) genoemd. Dit heeft als doel het systematisch beheren van beveiligingsrisico’s, het identificeren en behandelen van bedreigingen en het implementeren van beheersmaatregelen. Een ISMS is zo ingericht dat de bijbehorende activiteiten, processen en documenten samen een plan-do-check-act cyclus vormen die de opzet, inrichting en werking aantoonbaar en controleerbaar maken.

Hierdoor beschikt het bestuur over de juiste informatie om weloverwogen besluiten te nemen over informatiebeveiliging en risico’s. Het hebben van een ISMS wordt met de invoering van de Cbw verplicht. Het college heeft op termijn dus (betere) informatie en rapportage, welke met de raad gedeeld kan worden. We maken graag afspraken met de raad over hoe en wanneer we in de tussentijd aan de raad rapporteren.

Ten aanzien van de conclusies van de Rekenkamer Digitale infrastructuur Bevinding Rekenkamer: Uit het onderzoek blijkt dat de gemeente een inhaalslag heeft gemaakt op het gebied van de digitale infrastructuur. Waar de gemeente eerder zelf een serverpark beheerde, worden applicaties nu naar de cloud verplaatst, waarbij leveranciers verantwoordelijk zijn voor de technische informatiebeveiliging. De gemeente blijft verantwoordelijk voor het voldoen aan wettelijke beveiligingseisen en normen. Reactie college: Het college onderschrijft deze conclusie. De conclusie plaatst het college in de context om verder te bouwen aan een toekomstgerichte ambtelijke organisatie voor Stichtse Vecht. Beleid en uitvoering Bevinding Rekenkamer: Het strategisch beveiligingsbeleid van de gemeente is gebaseerd op een format van de IBD en bevat belangrijke aspecten van informatiebeveiliging, maar is verouderd en houdt geen rekening met recente ontwikkelingen zoals nieuwe wetgeving en toegenomen bedreigingen. De BIO is de baseline voor informatiebeveiliging en dus de ‘ondergrens’. Stichtse Vecht voldoet nog niet aan deze ondergrens. Hoewel het beleid de BIO als normenkader hanteert en 10 principes voor informatiebeveiliging benoemt, wordt in de praktijk niet altijd conform het beleid gewerkt, met name op het gebied van risicomanagement en bestuurlijke controle.

De PDCA cyclus wordt niet effectief toegepast en structurele rapportages ontbreken. In de interviews worden twee belangrijke oorzaken aangedragen voor het feit dat er niet volgens het eigen beleid gewerkt wordt. De eerste is de bovengenoemde inhaalslag inclusief de migratie naar ‘de Cloud’. De tweede oorzaak is het gebrek aan ambtelijke capaciteit. Positief is dat medewerkers goed bewust zijn van het belang van informatiebeveiliging en dat er technisch veel aandacht aan wordt besteed. De extra eisen van de Cbw voor gemeenten zijn duidelijk in kaart gebracht, zowel wat betreft de gewenste eindsituatie als de benodigde mensen, middelen en activiteiten. Reactie college: Het college onderschrijft deze conclusie. De gemeente heeft technisch en organisatorisch stappen gezet op het gebied van informatiebeveiliging om bescherming te bieden tegen de voortdurend veranderende kwetsbaarheden en cyberaanvallen. Aandacht en focus voor informatiebeveiliging blijft gezien de toenemende dreigingen hard nodig om continuïteit en vertrouwen in de dienstverlening te borgen. Om informatiebeveiliging naar een hoger niveau te brengen zijn vervolgacties nodig. Hiervoor zijn aandachtsgebieden in beeld en kaart gebracht. De rol van het bestuur Bevinding Rekenkamer:

Onder de Cbw verandert de rol van het bestuur, waarbij het college verplicht wordt risicogericht te sturen op informatiebeveiliging en een training te volgen. De Rijksdienst Digitale Infrastructuur (RDI) kan boetes opleggen bij niet-naleving. Momenteel voldoet de sturing van het college niet aan de eisen van de Cbw, omdat besluitvorming niet gebaseerd is op risicomanagement en er geen periodieke rapportages plaatsvinden. Ook de gemeenteraad controleert het college onvoldoende en mist een sturingskader, waardoor zowel de controlerende als kaderstellende rol niet effectief wordt ingevuld. Raadsleden pleiten ervoor om informatiebeveiliging als een volwaardig gemeentelijk domein te beschouwen. Reactie college: Het college onderschrijft deze conclusie. Met de invoering van de Cbw worden er hogere eisen gesteld aan de normen voor informatiebeveiliging en gegevensbescherming. Niet alleen op technisch en organisatorisch gebied, maar ook op naleving. Hierdoor is het van belang om op basis van de juiste informatie weloverwogen besluiten te nemen over informatiebeveiliging en het identificeren en beheersen van risico’s. Hierdoor wordt de raad in staat gesteld haar controlerende en kaderstellende rol effectiever te vervullen. Tenslotte We danken de Rekenkamer nogmaals voor dit onderzoek en de aanbevelingen.

De aanbevelingen sluiten goed aan op de voorbereidingen die het college al in gang heeft gezet om het beleid met betrekking tot informatiebeveiliging aan te scherpen conform nieuwe landelijke wet- en regelgeving. Het college gaat graag met de raad in gesprek omtrent de bevindingen van de Rekenkamer om verder te bouwen aan een stevig fundament voor de digitale veiligheid voor Stichtse Vecht. Reactie Rekenkamer op bestuurlijke reactie college De rekenkamer heeft met belangstelling en waardering kennis genomen van de bestuurlijke reactie van het college. Wij constateren dat het college onze conclusies deelt en onze aanbevelingen onderschrijft. We zijn tevens verheugd dat het college voor een zo heldere opzet van het bestuurlijk oordeel heeft gekozen. Daardoor wordt het per aanbeveling en conclusie veel duidelijker wat de reactie van het college daarop is. Het is goed om te lezen dat er al verschillende stappen worden ondernomen om invulling te geven aan de aanbevelingen. De rekenkamer hoopt met het onderzoek en rapport een bijdrage te hebben geleverd aan de succesvolle invoering van de cyberbeveiligingswet en ziet de behandeling van het rapport door de raad met belangstelling tegemoet.

C Overige aspecten Financieel Het voorstel heeft geen financiële gevolgen.

Juridisch Het voorstel heeft geen juridische aspecten.

Kanttekeningen Er zijn geen kanttekeningen.

Communicatie

De Rekenkamer heeft op 26 november 2025 een persbericht laten uitgaan. Het rapport is gepubliceerd op de website van de gemeente.

Participatie Niet van toepassing.

Vervolg Er is geen vervolg van toepassing.

Bijlagen 1 Rapport Rekenkamer ‘Digitale Veiligheid in Stichtse Vecht, Huis Op Orde in de aanloop naar de Cyberbeveiligingswet’ 26 november 2025

De Rekenkamer, de secretaris,

de voorzitter,

J.M. Willenborg

M.F.J. Bakker