Deze gemeenten maken het digitale aanvallers moeilijk

Verplichte standaarden

Basisbeveiliging.nl houdt automatisch bij in hoeverre de webdomeinen van belangrijke Nederlandse organisaties voldoen aan diverse standaarden voor ­digitale veiligheid. Overheidsorganisaties zijn verplicht een groot deel van deze standaarden toe te passen op hun websites en e-mail. Gebeurt dat niet, dan neemt de kans op kwetsbaarheden toe, die cybercriminelen en statelijke actoren met liefde misbruiken.

Het beveiligen van gemeentelijke websites is geen eenmalig karweitje, maar een doorlopend proces dat continu aandacht vraagt. Omdat er regelmatig nieuwe domeinen worden ontdekt en nieuwe metingen worden toegevoegd, is een groene score op Basisbeveiliging.nl niet meer dan een momentopname. Om echt te ­bepalen welke organisaties digitaal het veiligst zijn, moet er worden gekeken naar de verrichtingen over een langere periode. Dat doet Elger Jonker van Internet Cleanup Foundation, de organisatie achter Basisbeveiliging. Sinds 2024 organiseert Internet Cleanup Foundation jaarlijks een ‘certificatenregen’ voor organisaties die aan alle veiligheidseisen voldoen.

Organisaties die ­tijdens de ‘regenperiode’ in september minimaal één dag op groen staan, ontvangen een certificaat. Súdwest-Fryslân, Oost Gelre, ­Westerkwartier, Veere en Heemskerk behoorden in 2025 tot de gelukkigen. ‘Die vijf gemeenten hebben in de periode van de certificatenregen alles opgelost’, zegt Jonker. ‘En het zijn niet de kleinsten qua online oppervlak.’ Zo beschikt Súdwest-Fryslân over 116 domeinen, waarvan 22 hoofddomeinen. G40-gemeenten beheren vaak nog veel meer websites, waardoor op groen staan voor hen een grotere uitdaging is.

Best een puzzel

Maar ook voor een middelgrote gemeente is het best een puzzel om te achterhalen wie er over welke site gaat, zegt informatie­beveiligingsfunctionaris Sibo Attema van Súdwest-Fryslân. ‘Op naam van onze gemeente staat bijvoorbeeld parkeren.sudwestfryslan.nl. Hebben we die asset al goed geregistreerd? Wie is de functioneel beheerder? Dat moet ik uitzoeken. Vaak gaat het om externe diensten en moeten we de leverancier vinden. We hebben ­bijvoorbeeld ook een zwembad in ­Bolsward in beheer. Ik moest op zoek naar een informatieadviseur in het sociaal domein die zich daarmee bezighoudt, om via hem contact te leggen met de ­website-eigenaar.’

Is de eigenaar eenmaal bekend, dan is het zaak om de technische bevinding van Basisbeveiliging te vertalen naar een uitleg waar de functioneel beheerder of de leverancier iets mee kan. De bereidheid om een euvel te verhelpen is doorgaans groot. ‘Het is toch ook raar om diensten te verlenen die niet meer voldoen aan de standaarden die voor overheden vaak verplicht zijn’, vindt Jonker.

Erbovenop zitten

Attema benadrukt wel dat het belangrijk is om er bovenop te blijven zitten. ‘Anders blijft het liggen, omdat het niet veel ­prioriteit heeft’, zegt hij. ‘Maar mijn streven is om alle Friese gemeenten nog eens mooi groen op de kaart te krijgen.’ Noord-Nederland is wat dat betreft goed op weg, want ook het Wetterskip Fryslân kleurt groen en ontving een certificaat.

Lees het volledige artikel in Binnenlands Bestuur 23 (inlog)