Privacy- en securityinvesteringen van gemeenten leiden nauwelijks tot hoger volwassenheidsniveau

Dat blijkt uit het Formatieonderzoek informatiebeveiliging en privacy gemeenten 2025 van M&I/Partners, uitgevoerd onder 35 gemeenten. Het aantal fulltime-equivalenten (fte’s) in zowel privacy- als informatiebeveiligingsrollen is toegenomen, blijkt uit het onderzoek. Toch scoren gemeenten op de volwassenheidsschaal van het CMMI-model nog steeds tussen niveau 1 (ad hoc) en niveau 3 (bepaald). Geen enkele gemeente heeft niveau 4 (beheerst) of 5 (geoptimaliseerd) bereikt. Bij informatiebeveiliging is de gemiddelde volwassenheid zelfs afgenomen. Volgens het onderzoek kan dit komen doordat gemeenten kritischer naar hun eigen functioneren kijken, mede door geopolitieke ontwikkelingen en strengere wet- en regelgeving, zoals de BIO 2.0 en de Cyberbeveiligingswet.

Breder oppakken

Privacy en informatiebeveiliging maken steeds vaker deel uit van een bredere compliance-portefeuille, waarin ook onderwerpen als de Cyberbeveiligingswet, de Wet open overheid (Woo) en de AI-Verordening zijn opgenomen. Daarnaast brengen geopolitieke ontwikkelingen nieuwe vraagstukken met zich mee, zoals kwesties rondom digitale soevereiniteit. Dit betekent dat gemeenten privacy- en beveiligingsvraagstukken niet langer alleen bij gespecialiseerde teams kunnen neerleggen, maar ze breder in de organisatie moeten oppakken.

Zelfs bij gemeenten met meer dan 100.000 inwoners komt het zelden voor dat er meer dan 1 fte beschikbaar is voor de functies van Chief Information Security Officer (CISO) of Functionaris Gegevensbescherming (FG). Hierdoor hebben grotere gemeenten, die vaak complexere organisaties en dienstverlening kennen, relatief weinig capaciteit voor deze rollen in vergelijking met kleinere gemeenten.

Dubbelrollen brengen risico’s met zich mee

Met name bij middelgrote en kleine gemeenten komen dubbelrollen veel voor. Privacy officers en CISO’s hebben regelmatig een of meerdere extra functies, wat risico’s oplevert voor de onafhankelijkheid, kwaliteit en continuïteit van informatiebeveiliging en privacy.

Gemeenten die hun ICT zelf beheren, hebben grotere beveiligingsteams met meer operationele rollen. Gemeenten die ICT uitbesteden, werken met kleinere teams, maar lopen daardoor het risico minder regie te houden over hun beveiliging.

Meer informatie is beschikbaar in het rapport 'Formatieonderzoek informatiebeveiliging en privacy bij gemeenten'.