Gaat er bij de gemeente digitaal iets mis, dan kunnen inwoners geen paspoort meer aanvragen of geen geboorte meer aangeven, of komen hun gegevens op straat te liggen. Sinds augustus 2026 verplicht de nieuwe Cyberbeveiligingswet gemeenten om die risico's aantoonbaar te beheersen. Op 20 oktober kreeg de gemeenteraad uitleg over wat de wet voor zijn eigen rol betekent.
Waarom dit nu speelt
Wieteke Droog, de informatiebeveiligingschef (CISO) van de gemeente, begon met voorbeelden van de afgelopen tijd. Op 25 september bleek de thuiswerkvoorziening van leverancier Citrix opnieuw kwetsbaar, net als in 2020. De gemeente zette die voorziening dicht. Een week later, in het weekend, volgden aanvallen waarbij systemen met verkeer worden overspoeld (DDoS). "We zijn 927 keer aangevallen met een DDoS aanval"
, zei Droog .
- Epe, maart 2026: 871 gigabyte aan data van de gemeente gestolen.
- Hof van Twente, 2020: gijzelsoftware, drie weken kon de gemeente
"helemaal niets meer"
, kosten volgens de presentatie circa € 4 miljoen. - Bij de hack van Odido werd volgens Droog ook bekend welke klanten van de gemeentelijke schulddienstverlening in een schuldsaneringstraject zaten.
Wie is verantwoordelijk
Droog en Remco Groet van PDCS legden in de presentatie uit dat het college van burgemeester en wethouders onder de wet verantwoordelijk is voor de maatregelen. De raad keurt die niet goed, maar bepaalt via de begroting hoeveel geld er beschikbaar is en controleert het college. Uitbesteden aan een leverancier of samenwerkingsverband verandert daar niets aan; de presentatie vat dat samen als "uitbesteed werk is geen uitbesteed risico"
.
Een raadslid vroeg of bij een gemeenschappelijke regeling (een samenwerkingsverband van gemeenten) niet de uitvoerende centrumgemeente verantwoordelijk is. Het antwoord: in de praktijk voert die gemeente het uit, maar wettelijk blijft de gemeente die de taak heeft verantwoordelijk. Purmerend heeft zich al ruim voor de wet ingeschreven bij het Nationaal Cyber Security Centrum en valt onder toezicht van de Rijksinspectie Digitale Infrastructuur.
Waar het schuurde
Raadsleden kregen het advies alleen hun gemeentelijke tablet en @purmerend.nl-mailadres te gebruiken, en geen vertrouwelijke stukken in AI-tools te zetten. Een raadslid zei liever met de eigen pc te werken, omdat de gemeentelijke iPad steeds uitgaat en de meeste stukken toch openbaar zijn. Het antwoord was dat ook een vervalst openbaar stuk schade kan doen. Een ander raadslid vond dat "een moeilijk verhaal"
, omdat ook een gemeentelijk mailadres nooit waterdicht is. De voorzitter hield een discussie over apparaten af.
Mevrouw Jonk-de Lange (Stadspartij-Beemster Polder Partij) stelde voor digitale veiligheid een vast kopje te geven in raadsvoorstellen, naast onder meer privacy en duurzaamheid: "Ik zou me kunnen voorstellen dat dit ook een onderwerp is wat je daarbij zou kunnen doen"
. In het antwoord werd dat een logische aanvulling genoemd, naast privacy.
Wat lag er voor
- Een informatiebijeenkomst zonder besluiten; standpunten werden niet uitgewisseld.
- De raad ontvangt vóór 1 mei 2027 de jaarlijkse ENSIA-rapportage (de verplichte verantwoording over informatieveiligheid).
- Daarbij komt een analyse van hoe ver Purmerend nog af zit van de nieuwe overheidsnorm voor informatiebeveiliging (de GAP-analyse op de BIO2).
- Bij grote incidenten informeert het college de raad tussentijds.
- Oproep aan de raad: de ENSIA-rapportage inhoudelijk bespreken en bij nieuwe plannen naar digitale risico's vragen.
