Zeist valt sinds 15 augustus 2026 onder een nieuwe wet tegen digitale aanvallen, en dat moet inwoners beter beschermen tegen uitval van diensten en uitgelekte persoonsgegevens. Op een informatiebijeenkomst op 15 oktober lieten twee toezichthouders aan de gemeenteraad zien waar het al goed gaat en waar het nog niet goed genoeg gaat. Er werd niets besloten.
Burgerservicenummers in openbare raadsstukken
De externe CISO Mark Tissink, onafhankelijk toezichthouder op de informatieveiligheid, nam Notubiz als voorbeeld: het systeem met de agenda's en stukken van de raad. Volgens zijn presentatie vonden de NOS en Nieuwsuur honderden openbare raadsstukken met burgerservicenummers (BSN's), "ook bij Zeist"
. Zwart gelakte tekst kan met de huidige software weer leesbaar worden. De leverancier levert alleen het systeem, de gemeente blijft verantwoordelijk voor wat erin staat.
- Juni 2025: DDoS-aanval tijdens de NAVO-top, stukken een groot deel van de dag slecht bereikbaar
- Juli 2026: BSN's gevonden in openbare stukken
- September 2026: landelijke storing, vergaderingen in Vlissingen en Montferland afgebroken
Tissink zag de afgelopen jaren geen grote incidenten in Zeist. Volgens hem staat de basis, maar kan de gemeente nog niet altijd aantonen hoe ze het doet.
Nieuwe wet, nieuwe plichten
De Cyberbeveiligingswet is de Nederlandse uitwerking van een Europese richtlijn. Het college wordt bestuurlijk verantwoordelijk voor de digitale veiligheid.
- Van kracht sinds 15 augustus 2026, zonder overgangstermijn
- Meer dan 8.000 organisaties in Nederland vallen eronder, Zeist ook
- Toezicht door de RDI, de toezichthouder voor gemeenten
- Significant incident: eerste waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand
- Elk collegelid moet binnen twee jaar een training volgen; raadsleden niet, maar zij zijn "wel doelwit"
- Het informatieveiligheidsbeleid 2026-2030 is nog een concept dat het college moet vaststellen
Hier schuurde het: een raadslid vond dat positieve oordeel lastig te rijmen met de lage cijfers in het conceptrapport van de CISO. Tissink antwoordde dat de losse onderdelen er zijn, maar dat de puzzel nog niet is gelegd.
Privacy
Functionaris gegevensbescherming Sergej Katus, de wettelijke toezichthouder op de omgang met persoonsgegevens, deed drie aanbevelingen: maak een visie op digitalisering, samen met inwoners; stel een kleine bestuurlijke groep in die keuzes afweegt; en publiceer het reglement voor het toezicht. Dat laatste is al gedaan. Volgens hem stagneert de vooruitgang.
Vragen uit de raad
T. Visser (ZeistLokaal) vroeg of medewerkers veilige, betaalde AI-programma's gebruiken. Het antwoord: niet iedereen krijgt zomaar een licentie, maar volledige controle is er niet. R.H. Bliekendaal (PRO) vroeg wat er doorgaat als systemen uitvallen. Volgens het antwoord is er een draaiboek en oefent ook het college. Later vroeg Bliekendaal: "Dus waar staan op dit moment nog de grootste risico's en... wat doet er als gemeente aan om dat te verminderen?"
J. Bredius (ZeistLokaal) wilde weten hoe de raad erbij betrokken blijft: "zo helder is het nog nooit geweest"
. Het antwoord verwees naar de auditcommissie van de raad. Aan het begin van de avond had wethouder W.J. van Dijk (VVD) al gezegd: "Het doel van vanavond is alleen informatie bieden."
Wat lag er voor
- Toelichting op de jaarverslagen informatievoorziening 2025, volgens de uitnodiging aangekondigd in raadsinformatiebrief RIB26.100 van 16 juli 2026
- Er werd geen besluit of formele inbreng van de raad gevraagd
- Van Dijk zegde toe de verslagen in de auditcommissie te bespreken als de raad dat agendeert
- Van Dijk bood aan stukken over landelijke samenwerking via de VNG via de griffie te delen
