Cybersecurity bij gemeenten loopt vast op een rekensom die niemand kan winnen. De markt betaalt een ervaren analist meer dan een gemeentelijke schaal toestaat, de functie blijft daardoor onvervuld, en het werk verschuift ondertussen naar mensen die er niet voor zijn opgeleid. Een hoger bod uitbrengen is geen optie, want de schaal ligt vast en geldt voor de hele organisatie. Cybersecurity bij gemeenten begint daarom bij een andere vraag dan bij een commercieel bedrijf.
Dat klinkt als een impasse en is het niet. Het betekent dat opleiden hier het meest kansrijke instrument is, en dat past goed bij hoe een gemeente haar geld plant. Een meerjarenbegroting is slecht nieuws voor een snelle externe oplossing en uitstekend nieuws voor een leertraject van vijftien weken tot twaalf maanden. Dat maakt cybersecurity bij gemeenten vooral een planningsvraagstuk.
Waarom de sector de aandacht trekt
Openbaar bestuur is de meest getroffen sector in de Europese Unie. Uit het jaarlijkse dreigingsoverzicht van ENISA, gebaseerd op bijna 4.900 incidenten tussen juli 2024 en juni 2025, komt de sector uit op 38 procent van alle geregistreerde incidenten. Binnen die groep raken de incidenten vooral regionale entiteiten met 24,4 procent, meer dan de centrale overheid met 15,1 procent. Cybersecurity bij gemeenten is daarmee geen afgeleide van rijksbeleid, want het decentrale niveau wordt zelf het hardst geraakt.
Het merendeel daarvan is verstoring met beperkte schade: 96,2 procent van het dreigingsbeeld voor openbaar bestuur bestaat uit DDoS-aanvallen door hacktivisten, die meestal rond politieke gebeurtenissen pieken. Die aanvallen halen het nieuws en raken de dienstverlening zelden langer dan een middag. Cybersecurity bij gemeenten wordt daardoor makkelijk verkeerd ingeschat. Wat er werkelijk toe doet zit in de kleine cijfers. Ransomware vormt 2,2 procent van de incidenten in de sector, en ENISA merkt daarbij op dat die aanvallen juist bij gemeenten relatief vaak voorkomen. Dat kleine percentage veroorzaakt het overgrote deel van de werkelijke schade.
Openbaar bestuur is ook de sector die het vaakst wordt geraakt door statelijke actoren met spionagedoelen, waarbij expliciet ook gemeentelijke administraties in beeld zijn. Die aanvallers maken geen lawaai en vragen geen losgeld. Ze vallen alleen op bij iemand die weet hoe normaal verkeer in de eigen omgeving eruitziet. Dat is precies de vaardigheid die je opbouwt in plaats van inhuurt, en het is de kern van cybersecurity bij gemeenten. De European Cybersecurity Skills Framework van ENISA beschrijft twaalf beroepsprofielen met bijbehorende taken en competenties, en helpt om die vaardigheid te benoemen in plaats van te omschrijven als gevoel voor de omgeving.
De drie beperkingen, eerlijk benoemd
De eerste is de salarisschaal. Die beweegt niet mee met een markt waarin securityprofielen schaars zijn, en dat verandert niet door er harder tegenaan te duwen. Wat wel verandert is wie je opleidt. Iemand die al voor de gemeente werkt, koos eerder voor inhoud en zekerheid dan voor het hoogste bod, en waardeert ontwikkeling doorgaans zwaarder. Bij cybersecurity bij gemeenten is dat je sterkste kaart.
De tweede is het inkoopritme. Een traject dat je in maart bedenkt, koop je niet in april in. Aanbestedingsregels en interne procedures vragen tijd, en dat is een reden om vroeg te beginnen in plaats van af te zien. De IBD noemt in haar maandelijkse monitor onder meer de aanbesteding van monitoring en response, wat laat zien dat gemeenten dit soort trajecten wel degelijk gestructureerd inkopen.
De derde is de meerjarenbegroting. Die wordt vaak als hindernis gezien en is in feite een voordeel, omdat capability opbouwen nu eenmaal meerdere jaren kost. Een organisatie die gewend is in vier jaar te denken, kan een leerpad over drie jaar zonder moeite plannen. Cybersecurity bij gemeenten profiteert daarmee van precies het ritme dat elders als traag geldt. Hoe je zo’n meerjarig plan opbouwt beschreven we bij het opleidingsbudget verdelen.
Je staat er niet alleen voor
Nederlandse gemeenten hebben een voorziening die de meeste sectoren missen. De Informatiebeveiligingsdienst is het sectorale CERT voor alle Nederlandse gemeenten, onderdeel van de VNG, en fungeert als schakelpunt richting het NCSC. De IBD is bij spoedeisende incidenten dag en nacht bereikbaar en publiceert kennisproducten en een tweejaarlijks dreigingsbeeld specifiek voor gemeenten.
Dat is waardevolle ondersteuning en het vervangt geen eigen capaciteit. Een gemeente die alleen op collectieve signalering leunt, hoort pas van een probleem wanneer het breed genoeg is om landelijk op te vallen. Een sectoraal CERT signaleert en adviseert; het beoordeelt niet dagelijks jouw meldingen en kent jouw applicatielandschap niet. Cybersecurity bij gemeenten blijft daarmee een combinatie van collectieve voorziening en eigen vaardigheid, waarbij je eigen vaardigheid bepaalt hoeveel je aan die collectieve voorziening hebt.
Datzelfde geldt voor uitbestede monitoring. Een externe dienst weet niet dat de belastingapplicatie elke kwartaalafsluiting vreemd gedrag vertoont, of dat een bepaalde koppeling met een ketenpartner altijd in het weekend draait. Die afweging werkten we uit bij uitbesteden tegenover intern opbouwen.
Opleiden inpassen in de cyclus
De begrotingscyclus wordt een hulpmiddel zodra je hem als planning gebruikt voor cybersecurity bij gemeenten. Onderstaande indeling volgt het ritme dat de meeste gemeenten aanhouden.
| Moment | Wat er in de organisatie gebeurt | Wat je dan regelt voor opleiden |
| Voorjaar | Kadernota en richtinggevende keuzes | Capabilityvraag benoemen, nog zonder bedrag |
| Zomer | Begroting wordt opgebouwd | Meerjarenpost opnemen, niet eenmalig |
| Najaar | Raad stelt de begroting vast | Programma en startdatum vastleggen |
| Januari | Budget komt beschikbaar | Inschrijven en vervanging regelen |
| Doorlopend | Bestuursrapportages | Voortgang in capability rapporteren |
De belangrijkste regel is de eerste. Wie pas bij de begroting met een bedrag komt, moet de noodzaak en het bedrag tegelijk verdedigen. Wie in het voorjaar de capabilityvraag agendeert, voert dat gesprek los van geld en heeft later alleen nog een prijskaartje te bespreken. Die volgorde maakt bij cybersecurity bij gemeenten het verschil tussen een gehonoreerd en een geschrapt voorstel. Hoe je die onderbouwing opbouwt staat in de ROI van opleiden. Het NIST-programma NICE beschrijft in zijn raamwerk voor competentiegebieden hoe taken, kennis en vaardigheden samen een capability vormen, wat helpt om een leerdoel te formuleren dat een raad kan begrijpen.
De tweede regel gaat over de vorm van de post. Een eenmalige uitgave nodigt uit tot schrappen bij de eerste tegenvaller. Een meerjarige opleidingspost met een beschreven eindresultaat is lastiger weg te strepen, omdat er dan iets sneuvelt dat de raad heeft vastgesteld. Formuleer dat eindresultaat in taken die het team daarna zelfstandig uitvoert, want dat is ook de maatstaf waarop je cybersecurity bij gemeenten later verantwoordt.
Wie je opleidt binnen een gemeente
De kandidaten zitten meestal bij informatiemanagement, bij de applicatiebeheerders of op de servicedesk. Zij kennen de processen, de leveranciers en de gevoeligheden rond burgergegevens. Die kennis is intern opgebouwd en laat zich niet inkopen. Welke profielen het snelst overstappen werkten we uit bij IT-beheerders omscholen en bij de doorstroom van servicedesk naar SOC.
Voor een breed profiel sluit de opleiding Cyber Security Specialist aan, met 506 uur en leervormen van vijftien weken fulltime tot twaalf maanden in deeltijd. Die deeltijdvariant is bij een kleine organisatie vaak de enige haalbare, omdat iemand vijftien weken volledig missen zelden kan. Bij cybersecurity bij gemeenten weegt continuïteit van de dienstverlening zwaarder dan snelheid.
Gaat het om detectie en beoordeling van meldingen, dan is de opleiding SOC T1 + T2 Analyst het passende traject. En omdat een gemeente honderden medewerkers heeft die dagelijks met burgergegevens werken, verdient de Cyber Awareness Training een eigen plek in de begroting, los van de verdieping voor specialisten.
Samenwerken scheelt geld en tijd
Kleine gemeenten hoeven dit niet alleen te doen. Een gedeeld traject met buurgemeenten of binnen een bestaand samenwerkingsverband maakt een groep haalbaar die je alleen niet vol krijgt. Bij cybersecurity bij gemeenten is dat vaak de goedkoopste route naar maatwerk. Vanaf acht deelnemers wordt een maatwerktraject mogelijk, en dat aantal haal je met drie gemeenten zonder moeite. Een gedeelde aanbesteding scheelt elk van de deelnemers ook een eigen procedure.
Een gezamenlijk traject heeft een tweede voordeel dat zwaarder weegt dan de kosten. De deelnemers bouwen een netwerk op met collega’s die dezelfde applicaties, dezelfde leveranciers en dezelfde processen kennen, en dat netwerk blijft bestaan na afloop. Welke vorm bij welke groepsgrootte past staat in open klas of in-company training.
Voor organisaties met een beperkt budget geldt hetzelfde principe als in het bedrijfsleven: prioriteren op wat het meeste risico wegneemt per geïnvesteerd uur. Dat werkten we uit bij cybersecurity in het mkb met een klein budget.
Rapporteren aan het bestuur
Een college en een raad denken in dienstverlening aan inwoners, niet in detectiecapaciteit. Vertaal de voortgang van cybersecurity bij gemeenten daarom naar wat er zichtbaar beter gaat: hoe snel een verdachte melding wordt beoordeeld, hoeveel werk het team zelf afhandelt in plaats van uitbesteedt, en wat er gebeurt als de dienstverlening een dag stilligt. Dat laatste is het cijfer dat een bestuurder onthoudt.
Gebruik daarbij het dreigingsbeeld van de IBD als externe onderbouwing, want een onafhankelijke bron weegt in een raadsvergadering zwaarder dan een intern memo. Hoe je dat gesprek opbouwt beschreven we bij je MT meekrijgen, en welke cijfers wel en niet werken bij een framework voor eerlijke teambeoordeling.
Cybersecurity bij gemeenten wordt uiteindelijk bepaald door wat je eigen mensen kunnen beoordelen op een dinsdagochtend. Op de pagina voor werkgevers staan de in-company mogelijkheden en gezamenlijke trajecten, het volledige opleidingsaanbod is per niveau geordend en de startmomenten staan op de agenda. Wil je bespreken hoe dit in jouw begrotingscyclus past, plan dan een kennismaking.
