4. TV RIED FNP I antwurden diel 2

TECHNYSKE FRAGEN (oer rinnende agindapunten) Namme yntsjinner Fraksje

: Douwe Blom : FNP

Kommisjegearkomste/Ried

: Ried

Datum

: 13 novimber 2025

Agindapunt

: 4.

Underwerp

: Opbrengst en investering: Inzetten nieuwe technologien tbv inzet (16H)

1.

Mei it each op tanimmende cyberdriging: wat binne de meast driigjende feilichheidsrisiko’s foar de gemeente dy’t mei dizze ynfestearing oanpakt wurde? En is ús gemeente op 'e tiid klear foar de NIS2wetjouwing? Antwurd: Gemeentlik cyberbedrigingsbyld (novimber 2025) Wat sjogge wy lanlik en yn de EU? • Gemeenten bliuwe in oantreklik doelwyt; ransomware en ôfpersing steane boppe-oan, oanfallen ûntsteane faak fia leveransiers of cloudtsjinsten dy't net genôch befeilige binne. • Phishing (misliedende mails/berjochten) is de #1 yngong foar kweawilligen; oanfallers kapje ek ynlogsesjes en OAuth-tastimmingen om MFA te omgean. • Kwetsberens yn ynternet-tagonklike systemen bliuwe in wichtige oarsaak fan ynsidinten; belutsenens fan tredde partijen by datalekken is dit jier flink tanommen. • DDoS/hacktivisme soarget geregeld foar sichtbere steuringen fan websites en portalen, meastentiids fan koarte doer. Dit byld fertalet him op de folgjende wize nei de gemeente Súdwest-Fryslân. De 5 grutste strategyske ynformaasjebeveiligingsrisiko’s foar de gemeente Súdwest-Fryslân, op basis fan de kwartaalrapportaazjes ynformaasjebeveiligingsynsidinten oer kwartaal ien, twa en trije fan 2025: 1. Ransomware & (data)ôfpersing – Soms sûnder fersifering fan de ynformaasje mar allinnich datadiefstal en publikaasjedruk. Grutte kâns, tige hege ynfloed op tsjinstferliening en privacy. 2.

Identiteitsmisbrûk nei phishing – Oanfallers “logge yn” mei stellen sesjes/tokens of kweawillige app-tastimming; Multi Factor Autentikaasje (MFA) allinnich is dan net genôch. Hege kâns en ynfloed. 3. Kwetsberens oan de ‘râne fan ús netwurken’ – Bygelyks webapplikaasjes of firewalls mei bekende lekken; fluch ynstallearjen fan updates is krúsjaal. Hege kâns en ynfloed. 4. Keten-/leveransiersynsidinten – Utfal fan, of in lek by, in IT-tsjinstferliener rekket direkt primêre prosessen by de gemeente; It lanlik oandiel fan tredde partijen yn in utfal of lek lei yn 2024 op ~30%. Hege ynfloed.

5. DDoS & hacktivisme – Benammen beskikberenssteuring en reputaasjerisiko, minder faak langduorjende utfal. Middelhege kâns en ynfloed. De gemeente Súdwest-Fryslân kin noch net “compliant” wêze mei in wet dy’t noch net jildt, mar wy binne wol oantoanber op koers troch no al te stjoeren op de Cyberbeveiligingswet (Cbw)-soarchplicht en it ymplementearjen fan it Baseline Ynformaasjebeveiliging Oerheid (BIO)-2 normenramt. Jo fraach helpt, en fertsjinnet in komplimint, om dy bestjoerlike ferantwurdlikens binnen de Cyberbeveiligingswet sichtber te meitsjen. Gemeentelijk cyber dreigingsbeeld (november 2025) Wat zien we landelijk en in de EU? • Gemeenten blijven een aantrekkelijk doelwit; ransomware en afpersing staan bovenaan, aanvallen ontstaan vaak via leveranciers of cloud-diensten die ondermaats zijn beveiligd. • Phishing (misleidende mails/berichten) is de #1 binnenkomer voor kwaadwillende; aanvallers kapen ook inlogsessies en OAuth-toestemmingen om MFA te omzeilen. • Kwetsbaarheden in internet-toegankelijke systemen blijven een belangrijke oorzaak van incidenten; derdepartij-betrokkenheid bij datalekken is dit jaar fors toegenomen. • DDoS/hacktivisme zorgt geregeld voor zichtbare verstoringen van websites en portalen, meestal kortdurend. Dit beeld vertaalt zich op de volgende manier naar de gemeente Súdwest-Fryslân.

De 5 grootste strategische informatiebeveiligingsrisico’s voor de gemeente SúdwestFryslân, op basis van de kwartaalrapportages informatiebeveiligingsincidenten over kwartaal één, twee en drie van 2025: 1. Ransomware & (data)afpersing – Soms zonder versleuteling van de informatie maar alleen datadiefstal en publicatiedruk. Grote kans, zeer hoge impact op dienstverlening en privacy. 2. Identiteitsmisbruik na phishing – Aanvallers “loggen in” met gestolen sessies/tokens of malafide app-toestemming; Multi Factor Authenticatie (MFA) alleen is dan niet genoeg. Hoge kans en impact. 3. Kwetsbaarheden aan de ‘rand van onze netwerken’ – Bijvoorbeeld webapplicaties of firewalls met bekende lekken; snel installeren van updates is cruciaal. Hoge kans en impact. 4. Keten-/leveranciersincidenten – Uitval van, of een lek bij, een IT-dienstverlener raakt direct primaire processen bij de gemeente; Het landelijk aandeel van derde partijen in een uitval of lek lag in 2024 op ~30%. Hoge impact. 5. DDoS & hacktivisme – Vooral beschikbaarheidsverstoring en reputatierisico, minder vaak langdurige uitval. Middelhoge kans en impact.

De gemeente Súdwest-Fryslân kan nog niet “compliant” zijn met een wet die nog niet geldt, wél zijn we aantoonbaar op koers door nu al te sturen op de Cyberbeveiligingswet (Cbw)-zorgplichten en het implementeren van de Baseline Informatiebeveiliging Overheid (BIO)-2 normenkader. Uw vraag helpt, en verdient een compliment, om die bestuurlijke verantwoordelijkheid binnen de Cyberbeveiligingswet zichtbaar te maken.

2.

De ferwachte opbringst is € 4,85 miljoen yn 2028. Hokker konkrete besparrings of effisjinsjewinsten lizze oan de basis fan dit bedrach? Is der in dúdlik rekkenmodel dat sjen lit hoe't de ynset fan nije technology dit resultaat berikt?

Antwurd: Yn it ramt fan de programmabegroting leit de realisaasje fan in besparring fan €2.000.000 op koers. Dizze wurdt ferantwurde yn de kommende bestjoersrapportaazje, dy't op it stuit foar beslútfoarming by it kolleezje leit. De besparring is ûnder mear berikt troch in gerichte reduksje fan beliedskapasiteit, yn oerienstimming mei de earder opstelde doelstellingen. Foar it oerbleaune bedrach fan €2.850.000 is it rekmodel yn ûntwikkeling. De útgongspunten binne fêststeld en wurde op it stuit oerset nei konkrete maatregels. Troch de ynset fan effisjintere systemen en tapassing fan keunstmjittige yntelliginsje (AI) wurdt de natuerlike útstream fan personiel brûkt om de ynstream struktureel te beheinen. Dit draacht by oan in delgong fan de personielsútjeften op langere termyn. Dêrneist wurde de kosten foar eksterne ynhiere kritysk weage. Binnen it programma Tsjinstferliening wurdt ynvestearre yn tûke systemen dy't bydrage oan in hegere kwaliteit fan tsjinstferliening, mei in legere ynset fan personielske kapasiteit.

In het kader van de programmabegroting is inmiddels een besparing van €2.000.000 gerealiseerd. Deze wordt verantwoord in de aankomende bestuursrapportage, die momenteel ter besluitvorming bij het college ligt. De besparing is onder meer bereikt door een gerichte reductie van beleidscapaciteit, conform de eerder gestelde doelstellingen. Voor het resterende bedrag van €2.850.000 is het rekenmodel in ontwikkeling. De uitgangspunten zijn vastgesteld en worden momenteel vertaald naar concrete maatregelen. Door de inzet van efficiëntere systemen en toepassing van kunstmatige intelligentie (AI) wordt de natuurlijke uitstroom van personeel benut om de instroom structureel te beperken. Dit leidt tot een daling van de personele lasten op termijn. Daarnaast worden de uitgaven voor externe inhuur kritisch beoordeeld en waar mogelijk teruggebracht. Binnen het programma Dienstverlening wordt geïnvesteerd in slimme systemen die bijdragen aan een hogere kwaliteit van dienstverlening, met een lagere inzet van personele capaciteit.

3.

De 'Basis op oarder' is in rânebetingst en dus krúsjaal. Wat is de hurde eindatum foar it ferfangen fan de âldste en meast kwetsbere systemen? En op hokker wize wurdt boarge dat nei dy datum ús kritike tsjinstferliening (lykas ús webside en it ynternet) feilichsteld is? Antwurd: De digitale ‘Basis op oarder’ is yndied in randbetingst foar betroubere en feilige tsjinstferliening. De gemeente wurket dêrom planmjittich oan it fernijen fan it ICT-fûnemint en it fersterkjen fan de digitale wjerberens. In krekte eindatum foar it ferfangen fan alle ferâldere systemen is op dit stuit net fêst te stellen, om’t dit ôfhinklik is fan leveransiers, ketenpartners en rinnende kontrakten. Wol wurdt der wurke neffens in mearjierrige roadmap, wêrby’t de meast kwetsbere systemen fasearre ferfongen of migrearre wurde. Dêrby stjoere wy op oantoanbere risiko-reduksje en kontinúiteit fan de tsjinstferliening. De gemeente hat it ôfrûne jier flink ynvestearre yn Microsoft 365 E5-befeiliging. Hjirmei binne ús identiteiten, apparaten en gegevens ekstra beskerme en hawwe wy de beskikking oer avansearre monitoring. De meast krityske kwetsberens binne ynsjochlik en wurde aktyf opfolge troch de ferantwurdlike systeemeigners. Us befeiligingsposysje leit yntusken goed 30% boppe it gemiddelde fan ferlykbere organisaasjes neffens de Microsoft-rapportaazje.

De kontinúiteit fan de digitale tsjinstferliening foar ûnder oare de webside en ynternetferbiningen is boarge troch monitoring, dûbele foarsjennings, periodike hersteltests en strukturele middels foar behear en ûnderhâld. Jierlikse audits en feiligheidstests kontrolearje oft de maatregels effektyf bliuwe en foldogge oan de jildende wet- en regeljouwing (lykas BIO en NIS2). Mei dizze oanpak soargje wy derfoar dat de digitale basis stabyl, feilich en takomstbestindich bliuwt, sadat ús ynwenners en ûndernimmers rekkenje kinne op betroubere gemeentlike tsjinstferliening.

De digitale ‘Basis op orde’ is inderdaad een randvoorwaarde voor betrouwbare en veilige dienstverlening. De gemeente werkt daarom planmatig aan het vernieuwen van het ICT-fundament en het versterken van de digitale weerbaarheid. Een exacte einddatum voor het vervangen van alle verouderde systemen is op dit moment niet vast te stellen, omdat dit afhankelijk is van leveranciers, ketenpartners en lopende contracten. Wel wordt er volgens een meerjarige roadmap gewerkt, waarbij de meest kwetsbare systemen gefaseerd worden vervangen of gemigreerd. Daarbij sturen we op aantoonbare risicoreductie en continuïteit van de dienstverlening. De gemeente heeft het afgelopen jaar fors geïnvesteerd in Microsoft 365 E5-beveiliging. Hiermee zijn onze identiteiten, apparaten en gegevens extra beschermd en beschikken we over geavanceerde monitoring. De meest kritieke kwetsbaarheden zijn inzichtelijk en worden actief opgevolgd door de verantwoordelijke systeemeigenaren. Onze beveiligingspositie ligt inmiddels ruim 30% boven het gemiddelde van vergelijkbare organisaties volgens de Microsoft rapportage. De continuïteit van de digitale dienstverlening voor o.a. de website en internetverbindingen is geborgd door monitoring, dubbele voorzieningen, periodieke hersteltests en structurele middelen voor beheer en onderhoud.

Jaarlijkse audits en veiligheidstesten toetsen of de maatregelen effectief blijven en voldoen aan de geldende wet- en regelgeving (zoals BIO en NIS2). Met deze aanpak zorgen wij ervoor dat de digitale basis stabiel, veilig en toekomstbestendig blijft, zodat onze inwoners en ondernemers kunnen rekenen op betrouwbare gemeentelijke dienstverlening.

4.

Hoefolle ekstra fêste meiwurkers (FTE) mei spesjalisearre kennis fan cyberfeiligens en data wurde der struktureel oannommen of oplieden mei de € 1,9 miljoen?

Antwurd: Ofhinklik fan de te hantearjen definysje fan meiwurkers mei spesjalistyske kennis fan cyberfeiligens en data geane wy no út fan sa ’n 4 – 6 meiwurkers (FtE). 5.

Ien fan de bêste manieren om skea te beheinen, is it skieden fan it ynternet. Wurdt netwurksegmintaasje (it fersnipperjen fan ús digitale netwurk) útfierd as ûnderdiel fan dizze ynvestearring? Sa net, hokker oare technyk wurdt dan brûkt om te soargjen dat in oanfal net útwreidzje kin oer de hiele organisaasje? Antwurd: Netwurksegmentaasje is it skieden fan digitale omjouwings om risiko’s te beheinen en makket diel út fan ús oanpak om de digitale ‘Basis op oarder’ te bringen. De gemeente hat it ôfrûne jier ynvestearre yn in nije generaasje netwurkfoarsjennings, wêrtroch’t wy ús digitale ynfrastruktuer yntelliginter en feiliger ynrjochtsje kinne. Dêrby wurdt wurke neffens it ‘Zero Trust’-prinsipe: allinnich fertroude brûkers en apparaten krije tagong, en dy tagong wurdt trochgeande kontrolearre. Yn it ûntwerp fan it fernijde netwurk is eksplisyt rekken hâlden mei it skieden fan ferskillende netwurksônes, sadat in mooglike cyberoanfal fluch isolearre wurde kin en beheind bliuwt ta ien diel fan it netwurk. Ek wurde moderne techniken tapast foar tagongsbehear en befeilige triedleaze ferbiningen. Dizze fernijing slút naadloos oan op de earder neamde ynvestearrings yn Microsoft 365 E5befeiliging, wêrtroch’t netwurk-, identiteit- en apparaatbefeiliging tegearre ien yntegraal gehiel foarmje.

Yn de kommende jierren, mei ûnder mear it ferfangen fan de firewalls yn 2026, wurdt dit stap foar stap fierder útwurke. Mei dizze maatregels soargje wy derfoar dat de digitale wjerberens fan de organisaasje struktureel tanimt en dat wy yn kontrôle bliuwe by mooglike cyberbedrigingen. Netwerksegmentatie is het scheiden van digitale omgevingen om risico’s te beperken en maakt onderdeel uit van onze aanpak om de digitale ‘Basis op orde’ te brengen. De gemeente heeft het afgelopen jaar geïnvesteerd in een nieuwe generatie netwerkvoorzieningen, waarmee we onze digitale infrastructuur slimmer en veiliger kunnen inrichten. Daarbij wordt gewerkt volgens het ‘Zero Trust’-principe: alleen vertrouwde gebruikers en apparaten krijgen toegang, en toegang wordt continu gecontroleerd. In het ontwerp van het vernieuwde netwerk is nadrukkelijk rekening gehouden met het scheiden van verschillende netwerkzones, zodat een eventuele cyberaanval snel kan worden geïsoleerd en beperkt blijft tot één deel van het netwerk. Ook worden moderne technieken toegepast voor toegangsbeheer en beveiligde draadloze verbindingen. Deze vernieuwing sluit naadloos aan op de eerder genoemde investeringen in Microsoft 365 E5beveiliging, waardoor netwerk-, identiteit- en apparaatbeveiliging samen één integraal geheel vormen.

In de komende jaren, met onder meer de vervanging van de firewalls in 2026, wordt dit stapsgewijs verder uitgebouwd. Met deze maatregelen zorgen we ervoor dat de digitale weerbaarheid van de organisatie structureel toeneemt en dat we in control blijven bij mogelijke cyberdreigingen.

6.

Oangeande it ynvestearje yn keunstmjittige yntelliginsje (AI). Hokker konkrete ynvestearring wurde dien yn it opsetten fan in bestjoersstruktuer (governance) dy't garandearret dat nije AI-systemen etysk, earlik en yn oerienstimming mei de wet brûkt wurde? Antwurd: Yn Europa is de AI Act fêststeld, dy't op 1 oktober 2024 yn wurking gien is. It doel fan de AI Act is dat AI-systemen dy't organisaasjes (binnen de EU) brûke, feilich binne en de fundamintale rjochten respektearje. Yn novimber 2024 is in yntegraal projektteam úteinset en op 20 augustus hat de direkteur foarriedich tastimming jûn foar it AI-belied, dêrnei is it belied troch de WOR-bestjoerder foarlein oan de Undernimmingsried foar meiadvys. It doel fan it AI-belied is te foldwaan oan de wetten en regeljouwing en transparant te wêzen oer de wize wêrop AI ynset wurde kin by de gemeente. It AI-belied beskriuwt dêrom in dúdlike algoritme- en AI-governance mei in oersjoch fan de organisaasje-ynrjochting en ferantwurdlikheden dy't nedich binne om op in ferantwurde wize algoritmen en AI te ûntwikkeljen en te brûken. Sa kin in bewuste ôfwaging makke wurde oft de ynset

fan AI en algoritmen de bêste oplossing is foar it probleem, alternativen en ek de kostenbatenôfwagingen wurde meinommen. Dit beheint him net ta finansjele ôfwagingen, mar kin bygelyks ek de ynfloed op de meiwurker of de ynwenner omfetsje, of de ekologyske fuotprint fan AI. Hoe goed moat in algoritme of AI-applikaasje funksjonearje om goed genôch te wêzen; wannear en ûnder hokker betingsten is it better as alternative opsjes? Dêrby is it fan belang om út de opjefte wei te redenearjen, net út de technology wei. Krekt om't it safolle mooglikheden biedt, is it wichtich in bewuste kar te meitsjen wannear AI wol en wannear net ynset wurde moat. It belied is net allinnich bedoeld foar dúdlikheid foar meiwurkers, mar ek foar ynwenners en ynstellingen. Nei't de Undernimmingsried meiadvys jûn hat, kin it belied foar fêststelling oanbean wurde oan it kolleezje fan boargemaster en wethâlders, dêrnei wurdt de gemeenteried aktyf ynformearre. In Europa is de AI Act vastgesteld, die op 1 oktober 2024 van kracht geworden is. Het doel van de AI Act is, dat AI-systemen die organisaties (binnen de EU) gebruiken, veilig zijn en fundamentele rechten respecteren. In november 2024 is een integraal projectteam gestart en op 20 augustus heeft de directie voorlopig akkoord gegeven op het AI beleid, waarna het beleid door de WOR-bestuurder aan de Ondernemingsraad is voorgelegd ter mede-advisering.

Het doel van het AI beleid is te voldoen aan de wetten, regelgeving en transparant te zijn over de wijze waarop AI kan worden ingezet bij de gemeente. Het AI beleid beschrijft daartoe een duidelijke algoritme- en AI governance met een overzicht van de organisatie-inrichting en verantwoordelijkheden die nodig zijn om op een verantwoorde manier algoritmen en AI te ontwikkelen en gebruiken. Zo kan een bewuste afweging gemaakt worden of de inzet van AI en algoritmen de beste oplossing is voor het probleem, alternatieven en ook de kosten-baten overwegingen worden meegenomen. Dit beperkt zich niet tot financiële overwegingen, maar kan bijvoorbeeld ook de impact op de medewerker of de inwoner omvatten of ecologische voetafdruk van AI. Hoe goed moet een algoritme of AI-toepassing functioneren om goed genoeg te zijn; wanneer en onder welke voorwaarden is het beter dan alternatieve opties? Daarbij is het van belang om vanuit de opgave te beredeneren, niet vanuit de technologie. Juist omdat het zoveel mogelijkheden biedt, is het van belang een bewuste keuze te maken wanneer AI wel en wanneer niet in te zetten. Het beleid beoogt niet enkel duidelijkheid voor medewerkers, maar eveneens voor inwoners en instellingen.

Nadat de Ondernemingsraad mede-advies heeft gegeven, kan het beleid ter vaststelling worden aangeboden aan het college van burgemeester en wethouders waarna de gemeenteraad actief geïnformeerd wordt.