Gemeenten zien kosten cybersecurity fors oplopen

De financiële en organisatorische druk op gemeenten om te voldoen aan nieuwe Europese en nationale beveiligingsnormen neemt komende jaren stevig toe. Dat blijkt uit nieuw onderzoek naar de gemeentelijke kosten van informatiebeveiliging, uitgevoerd door Berenschot in opdracht van de VNG.

Het onderzoek laat zien dat gemeenten aan de vooravond staan van een structurele intensivering van hun beveiligingsinspanningen, terwijl de beschikbare middelen vaak achterblijven. Het rapport brengt voor het eerst breed in kaart welke incidentele en structurele kosten gemeenten momenteel maken én welke extra investeringen nodig zijn om te voldoen aan aangescherpte verplichtingen uit onder meer de Cyberbeveiligingswet (Cbw), de BIO2 en de Wet weerbaarheid kritieke entiteiten (Wwke). Voor veel gemeenten blijkt het lastig precies te duiden welke inzet nodig is om compliant te raken; dit onderzoek moet helpen die discussie beter te voeren binnen de organisatie en richting het Rijk.

Kosten lopen op: gemiddeld één miljoen per jaar

Uit de analyse van veertien gemeenten van verschillende omvang ontstaat een duidelijk beeld. Een gemiddelde gemeente heeft tot nu toe circa 0,8 miljoen euro aan incidentele kosten gemaakt voor de implementatie van wet- en regelgeving op het gebied van informatiebeveiliging. Het grootste deel van deze kosten zit in het opstellen van beleid, procedures en basisinrichting. Daarnaast is al een aanzienlijk deel besteed aan de voorbereidingen op nieuwe regelgeving zoals de BIO2 en Cbw.

De structurele kosten liggen nog hoger. Een gemiddelde gemeente is jaarlijks ongeveer 1 miljoen euro kwijt aan structurele uitvoeringstaken, waarvan ruim de helft betrekking heeft op bestaande verplichtingen. Voor toekomstige eisen wordt gemiddeld nog eens een half miljoen per jaar extra begroot. Grote gemeenten komen uit op structurele lasten van circa 1,8 miljoen euro per jaar, middelgrote op 1 miljoen euro en kleine gemeenten op ongeveer 0,5 miljoen euro.

Vooral kleine gemeenten blijken relatief hoge incidentele kosten te maken; vaak ontbreekt daar een stevige basisinrichting, waardoor veel werkzaamheden extern moeten worden ingekocht. Tegelijkertijd is in kleinere organisaties de structurele capaciteit vaak beperkt, wat de komende jaren tot knelpunten kan leiden.

Druk vanuit nieuwe wetgeving

De toenemende druk komt vooral door nieuwe wettelijke verplichtingen. De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, verplicht gemeenten onder andere tot strenger risicomanagement, een steviger incidentmeldproces en strengere eisen aan leveranciersketens. De BIO2 scherpt bestaande normen op diverse onderdelen aan. Daarnaast kunnen gemeenten onder de Wwke worden aangewezen als kritieke entiteit, wat extra eisen met zich meebrengt.

Hoewel deze verplichtingen breed worden erkend, ervaren gemeenten het als complex om te bepalen hoeveel capaciteit en middelen nodig zijn om eraan te voldoen. Het rapport geeft concrete richtgetallen voor aanvullende activiteiten: een gap-analyse en plan van aanpak vergt gemiddeld circa 0,2 fte of 40.000 euro externe inzet; risicoanalyses en inventarisaties vragen 0,5 tot 1,0 fte of zo’n 50.000 euro; hetzelfde bedrag geldt voor versterking van inkoop- en leveranciersmanagement. Deze extra inzet blijkt voor vrijwel alle gemeenten noodzakelijk, ongeacht de huidige volwassenheid.

Grote behoefte aan collectieve ondersteuning

Gemeenten geven in het onderzoek aan dat de behoefte aan collectieve ondersteuning groot is, maar dat het beschikbare budget om daaraan deel te nemen beperkt blijft. Vooral kennisdeling, gezamenlijke trainingen, praktische handreikingen en collectieve inkoop van diensten zoals SOC/SIEM worden genoemd als gewenste vormen van ondersteuning. Tegelijkertijd is bij veel gemeenten de interne financiering voor informatiebeveiliging al een uitdaging, waardoor cofinanciering van collectieve voorzieningen niet vanzelfsprekend is.

Het rapport constateert dat er wel veel winst te behalen valt met meer gezamenlijk optrekken. Gemeenten zouden bijvoorbeeld kunnen profiteren van gedeelde kennisproducten, een gemeenschappelijke set van KPI’s voor de BIO2, of een breed toepasbaar ISMS-proces.

VNG: rapport helpt onderbouwing richting Rijk

De VNG gebruikt de uitkomsten om gemeenten inzicht te geven in de inspanningen die noodzakelijk zijn om te voldoen aan de verscherpte eisen. Daarnaast dienen de bevindingen als onderbouwing richting het Rijk bij gesprekken over structurele financiering en de investeringsagenda van de Nederlandse Digitaliseringsstrategie.

Volgens de VNG worstelen veel gemeenten nog met het concretiseren van de personele en financiële inzet die in de komende jaren nodig is. Het onderzoek moet daarom ook bijdragen aan betere interne gesprekken met directie, college en raad. Ook wordt gekeken naar mogelijkheden om meer taken samen, anders of collectief te organiseren.

Nieuwe tool voor gemeenten

Om gemeenten verder te ondersteunen is een interactieve Power BI-tool ontwikkeld. Hiermee kunnen zij hun eigen situatie doorrekenen, op basis van gemeentegrootte en volwassenheidsniveau, en inzicht krijgen in benodigde capaciteit en kosten.