Laatst bijgewerkt: 26 november 2025
woensdag 26 november 2025

De VNG heeft nieuw onderzoek laten doen naar de gemeentelijke kosten van informatiebeveiliging. Het onderzoek, uitgevoerd door adviesbureau Berenschot, brengt in kaart welke kosten gemeenten maken, en de komende jaren moeten maken, om te voldoen aan een snelgroeiende reeks wettelijke verplichtingen. Naast een financiële doorrekening biedt het rapport ook handelingsperspectief én verkent het de behoefte aan collectieve ondersteuning.

Toenemende druk door nieuwe wetgeving

Gemeenten krijgen te maken met aangescherpte verplichtingen uit onder meer de Cyberbeveiligingswet (Cbw), waaronder de BIO2 (Baseline Informatiebeveiliging Overheid) en de Wet weerbaarheid kritieke entiteiten (Wwke). Welke mensen, middelen en organisatorische aanpassingen daarvoor nodig zijn, blijkt in de praktijk lastig te duiden. Precies die vraag vormde de aanleiding voor dit onderzoek.

Het rapport helpt gemeenten bij:

  • Inzicht in huidige en toekomstige kosten;
  • Onderbouwing van benodigde middelen richting college en raad;
  • Planning van toekomstige capaciteit en investeringen;
  • Het formuleren van concreet handelingsperspectief;
  • Vergelijking met gemeenten van vergelijkbare omvang.

Gemiddelde kosten voor gemeenten

Berenschot analyseerde 14 gemeenten van verschillende grootte. De uitkomsten schetsen een stevig financieel beeld:

  • € 0,8 miljoen incidentele kosten voor de implementatie van wet- en regelgeving rond informatiebeveiliging;
  • € 1 miljoen aan structurele jaarlijkse kosten voor de uitvoering. Ongeveer de helft hiervan (€ 0,56 miljoen) gaat op aan al geldende verplichtingen. Voor toekomstige structurele taken hebben gemeenten gemiddeld nog eens € 0,5 miljoen extra per jaar begroot.

Het onderzoek werkt deze kosten nader uit naar gemeentegrootte en relevante wetten en regels.

Handelingsperspectief: wat moeten gemeenten nu doen?

Het rapport schetst een eerste handelingsperspectief rond twee centrale doelen:

  • Aantoonbare NIS2-compliance;
  • Daadwerkelijke reductie van risico’s.

Het huidige volwassenheidsniveau van een gemeente bepaalt het benodigde tempo en de mate waarin externe expertise nodig is. De extra, vaak externe inzet voor verbeteractiviteiten wordt voor de verschillende werkzaamheden als volgt ingeschat:

  • Gap-analyse en plan van aanpak: 0,2 fte of € 40.000 aan externe inzet;
  • Inventarisatie en risicoanalyse: 0,5 tot 1,0 fte of € 50.000 aan externe inzet;
  • Inzicht in leveranciersketens/ inkoop- en leveranciersmanagement: 0,5 tot 1,0 fte of € 50.000 aan externe inzet.

Collectieve ondersteuning: behoefte groot, middelen beperkt

De bestaande vormen van collectieve ondersteuning zijn geïnventariseerd en nieuwe opties zijn verkend. Gemeenten geven aan vooral behoefte te hebben aan effectieve kennisdeling, nieuwe kennisproducten en collectieve inkoop. Tegelijkertijd blijkt het beschikbare budget voor deelname aan gezamenlijke initiatieven beperkt.

Wat doet de VNG met de uitkomsten?

De VNG gebruikt het rapport om gemeenten beter inzicht te geven in wat nodig is om aan wettelijke eisen te voldoen. Daarnaast gebruikt de VNG de bevindingen voor de onderbouwing richting het rijk over de financiële en organisatorische impact van nieuwe wet- en regelgeving, zoals in de investeringsagenda van de Nederlandse Digitaliseringsstrategie (NDS). Ook onderzoekt de VNG mogelijke oplossingen die zich lenen om samen, anders of collectief te organiseren, ter uitwerking van de resolutie ‘Als één sterke bestuurslaag regie op de Digitale Samenleving’.

Nieuwe tool: bereken uw eigen situatie

Bij het onderzoek is een interactieve tool (Power BI) ontwikkeld. Deze helpt gemeenten bij het:

  • Doorrekenen van hun eigen situatie;
  • Verkrijgen van inzicht in kosten op basis van volwassenheidsniveau en gemeentegrootte;
  • Bepalen van de benodigde inzet voor nieuwe wet- en regelgeving.

De VNG stelt deze tool beschikbaar via een besloten Microsoft Teams-omgeving, met toegang op basis van één gemeentelijk e-mailadres. De vertrouwde contactpersoon informatiebeveiliging (VCIB) van uw gemeente ontvangt hiervoor binnenkort een uitnodiging van de Informatiebeveiligingsdienst.

Meer informatie