CISO Lilian Knippenberg: "Hâck The Hague geeft ons de nodige frisse blik"

Veiligheid als fundament onder de stad van vrede en recht

Knippenberg, die inmiddels zes jaar werkzaam is voor de gemeente Den Haag, benadrukt de unieke positionering van de stad. "Den Haag staat internationaal bekend als de stad van vrede en recht. Binnen de organisatie grappen we wel eens dat het eigenlijk 'vrede, recht én veiligheid' zou moeten zijn. Zonder een solide digitale veiligheid is het behalen van vrede en recht in deze tijd immers een stuk complexer." 

Als CISO leidt Knippenberg een divers team van experts op het gebied van techniek, organisatie en de menselijke factor. Binnen de Nederlandse overheid heeft de CISO een adviserende en strategische rol, gericht op het continu verhogen van de cyberweerbaarheid. Het naleven van nieuwe Europese en nationale wetgeving, zoals de NIS2-richtlijn, vormt daarin een belangrijke pijler. 

'Hackers geven ons de nodige frisse blik'

Op de vraag waarom een jaarlijks terugkerend evenement als Hâck The Hague cruciaal is voor de gemeente, is Knippenberg helder: "Je hebt altijd een frisse blik van buiten nodig. Hoe goed je eigen securityteams ook zijn, het blijft lastig om de fouten in je eigen werk of systemen te zien. Met Hâck The Hague halen we de creativiteit van 120 ethische hackers in huis. Alles wat zij vandaag aan kwetsbaarheden vinden, kunnen wij dichten voordat kwaadwillenden er misbruik van maken." 

Aan de editie van 2026 namen 120 hackers deel, waarvan ongeveer een kwart student was van universiteiten en hogescholen uit het hele land en driekwart professional. Zij werkten onder een strikt reglement (Rules of Engagement), gebaseerd op onderling vertrouwen. "De regels zijn simpel: niet saboteren, geen denial-of-service aanvallen uitvoeren en niets fysiek stukmaken", aldus Knippenberg. 

Primeur: AI en de strijd om de bonusprijs

Dit jaar speelde kunstmatige intelligentie voor het eerst een prominente rol tijdens het evenement. Hoewel kwetsbaarheidscanners en pentesten al langer AI benutten, wil de gemeente beter begrijpen hoe aanvallers én verdedigers AI-modellen in de praktijk inzetten. 

"Aanvallers gebruiken AI, maar de vraag is hoe exact", legt Knippenberg uit. "Tijdens Hâck The Hague volgen we hun voortgang live en stimuleren we deelnemers om te laten zien hoe ze AI toepassen. We hebben dit jaar zelfs een speciale bonusprijs in het leven geroepen voor het beste gebruik van AI (Best Use of AI). De inzichten die we hiermee ophalen, analyseren we de komende dagen grondig." 

Hoe meldingen direct worden opgelost

Knippenberg lichtte ook de achterliggende workflow toe. De gemeente maakt gebruik van een gestructureerd Coordinated Vulnerability Disclosure (CVD)-programma via het platform Zerocopter. 

Wanneer een hacker een lek ontdekt, wordt dit gerapporteerd in Zerocopter, waarna de bevindingen direct gevalideerd worden. Vervolgens beoordeelt het Computer Security Incident Response Team (CSIRT) de zakelijke impact en het risico voor de organisatie. Knippenberg: "Vervolgens worden de verantwoordelijke interne teams of externe leveranciers meteen ingeschakeld om het lek te verhelpen. Zo is een groot deel van de 125 meldingen nog op de dag van de hackmarathon zelf opgelost." 

Burgergegevens in scope en groeiend veiligheidsbewustzijn

Op vragen over de reikwijdte van de testen bevestigt Knippenberg dat de actie betrekking heeft op echte productieomgevingen van de gemeente. Hoewel privédiensten van inwoners uiteraard buiten de scope vallen, worden de gemeentelijke systemen waarin burgergegevens en BSN-nummers zijn opgeslagen wél grondig getest op kwetsbaarheden. 

Tot slot wijst de CISO op het groeiende veiligheidsbewustzijn binnen de gemeentelijke organisatie. Parallel aan de hackwedstrijd werd dit jaar een bewustwordingsprogramma voor gemeentemedewerkers georganiseerd, waarvan de inschrijvingen binnen no-time volboekt waren. "Het bewijst dat cybersecurity leeft bij onze medewerkers en dat we dit soort initiatieven in de toekomst alleen maar verder moeten uitbouwen", besluit Knippenberg.