Gemeenten hebben de afgelopen jaren stevig geïnvesteerd in privacy- en informatiebeveiligingsteams, blijkt uit het Formatieonderzoek informatiebeveiliging en privacy gemeenten 2025 van M&I/Partners. Maar de groei van formatie leidt nauwelijks tot een hoger volwassenheidsniveau.
Het onderzoek, uitgevoerd onder 35 gemeenten, laat zien dat het aantal fte’s in zowel privacy- als informatiebeveiligingsrollen de afgelopen jaren is toegenomen. Toch blijven gemeenten hangen op volwassenheidsniveaus tussen ad hoc (niveau 1) en bepaald (niveau 3) conform het CMMI-model. Geen enkele gemeente geeft aan niveau 4 (beheerst) of 5 (geoptimaliseerd) van het model te hebben bereikt.
Opvallend is dat bij informatiebeveiliging de gemiddelde volwassenheid zelfs is afgenomen. Een mogelijke verklaring hiervoor is dat gemeenten kritischer kijken naar hun eigen volwassenheid, mede door geopolitieke ontwikkelingen en strengere eisen vanuit wet- en regelgeving, zoals de BIO2.0 en de Cyberbeveiligingswet.
Gemeenten staan op een kantelpunt in informatiebeveiliging en privacy
Gemeenten staan dus op een kantelpunt. Privacy en informatiebeveiliging maken inmiddels deel uit van een bredere compliance-portefeuille, waarin ook onderwerpen als de Cyberbeveiligingswet, Woo en de AI-Verordening een plek hebben gekregen. Daarnaast zorgen geopolitieke ontwikkelingen voor nieuwe vraagstukken, bijvoorbeeld rondom soevereiniteit. Dit betekent dat gemeenten privacy- en informatiebeveiligingsvraagstukken breder in de organisatie moeten oppakken, en niet enkel bij een specialistisch team moeten beleggen.