TL;DR: Cybersecurity voor lokale besturen draait om drie zaken tegelijk: het beschermen van burgerdata, voldoen aan NIS2 of de CCB-richtlijn 1/2024, en dat realiseren met beperkte middelen. Niet elk bestuur valt onder NIS2, maar elk Vlaams bestuur moet tegen 1 januari 2030 minstens CyberFundamentals niveau Basic halen. De gewone kmo-subsidies gelden niet voor overheden, maar er bestaan wel specifieke kanalen zoals de 2/3-cofinanciering van Audit Vlaanderen.
Een gemeente die plat ligt, is geen abstract risico meer. Toen de stad Antwerpen eind 2022 werd geraakt, vielen burgerloketten, interne systemen en telefonie weg. U herkent waarschijnlijk de spanning: u weet dat informatieveiligheid prioriteit moet zijn, maar het budget is krap en de IT-ploeg is klein. In dit artikel leest u welke dreigingen lokale besturen specifiek raken, wat NIS2 en de CCB-richtlijn van u verwachten, welke maatregelen het meeste opleveren, en welke financiering wél openstaat voor overheden.
Welke cyberdreigingen raken lokale besturen het hardst?
Lokale besturen worden geviseerd omdat ze kritieke dienstverlening combineren met grote hoeveelheden burgerdata. Ransomware legt de administratie stil, datalekken leggen rijksregisternummers bloot, en DDoS-aanvallen duwen e-loketten offline. Volgens de Cybersecurity Barometer van VLAIO (2025) werd 45,8% van de Vlaamse entiteiten in 2024 getroffen door een cyberaanval, waarbij in 1 op de 10 gevallen effectieve schade optrad.
De aanvalsfrequentie stijgt mee. Volgens Check Point Research (2025) kreeg een gemiddelde Belgische organisatie in het tweede kwartaal van 2025 ongeveer 1.275 cyberaanvallen per week te verwerken, een toename van 17% tegenover het jaar ervoor. De publieke sector en de zorg behoren tot de meest geviseerde doelwitten.
Vier dreigingen springen eruit voor besturen. Ransomware mikt op servers, databases en back-ups om de werking te gijzelen. Datalekken viseren het bevolkingsregister, OCMW-dossiers en payroll. DDoS-aanvallen blokkeren publieke websites en burgerportalen. En supply chain-aanvallen treffen gedeelde IT-leveranciers, waardoor één inbraak meerdere besturen tegelijk kan raken.
Welke incidenten troffen Belgische besturen al?
Verschillende Vlaamse en Belgische besturen werden de afgelopen jaren effectief getroffen. De casussen tonen aan dat het niet om hypothetische scenario’s gaat, maar om gebeurtenissen met directe maatschappelijke en financiële impact op de burger.
De stad Antwerpen werd in december 2022 geraakt door de Play-ransomwaregroep, die nagenoeg alle digitale burgerloketten, interne administratieve systemen en telefonielijnen platlegde. Volgens Computable (2023) liep de totale impact, van direct herstel tot structurele investeringen, gederfde inkomsten en 29 extra voltijdse medewerkers, op tot circa 100 miljoen euro.
Ook intercommunales zijn kwetsbaar. Afvalintercommunale Limburg.net werd in december 2023 getroffen, en uit de forensische analyse die in 2024 werd afgerond, bleek dat de gegevens van 292.734 burgers waren buitgemaakt, waaronder 13.118 rijksregisternummers. In de aanloop naar de lokale verkiezingen van oktober 2024 voerde het pro-Russische collectief NoName057(16) bovendien een meerdaagse DDoS-campagne tegen tal van gemeentewebsites en havenportalen, die tijdelijk offline gingen.
Waarom zijn lokale besturen extra kwetsbaar?
Lokale besturen zijn kwetsbaar door een samenloop van structurele factoren: krappe IT-budgetten, onderbemande teams, verouderde legacy-systemen en een grote afhankelijkheid van gedeelde IT-partners. Daar komt politieke druk bovenop om snel weer operationeel te zijn, wat de onderhandelingspositie bij een incident verzwakt.
Veel besturen draaien op legacy-applicaties die diep in de organisatie verankerd zitten en niet eenvoudig te updaten zijn. Tegelijk beheren zij gecentraliseerde persoonsgegevens zoals rijksregisternummers en gevoelige OCMW-dossiers, wat hen tot een aantrekkelijk doelwit voor identiteitsdieven maakt.
Een vaak onderschat risico zit in de keten. Veel gemeenten leunen op gemeenschappelijke softwareleveranciers en intercommunales voor afval, water of zorg. Een succesvolle inbraak bij zo’n gedeelde dienstverlener heeft meteen een domino-effect op tientallen aangesloten besturen. Wie zijn cyberweerbaarheid wil verhogen, begint dan ook best met een grondige doorlichting. Een cybersecurity audit brengt zowel de interne zwakke plekken als de afhankelijkheid van leveranciers in kaart.
Wat verandert NIS2 voor gemeenten en OCMW’s?
Lokale besturen vallen niet automatisch onder NIS2. Dat gebeurt alleen wanneer zij een kritieke activiteit uitvoeren én aan de omvangcriteria voldoen. De Belgische NIS2-wet (Wet van 26 april 2024) is in werking sinds 18 oktober 2024 en verplicht gevatte besturen tot registratie, een conformiteitsbeoordeling en een meldplicht voor significante incidenten.
Een bestuur valt onder de wet als het een activiteit uitvoert uit Bijlage I (zeer kritieke sectoren zoals drink- en afvalwater of publieke gezondheidszorg) of Bijlage II (zoals afvalbeheer), én kwalificeert als middelgrote of grote entiteit. Middelgroot betekent minstens 50 VTE of een jaaromzet van minimaal 10 miljoen euro. Voor overheden wordt die omzet specifiek berekend als de som van werkingsopbrengsten, andere operationele opbrengsten, werkingssubsidies en belastingopbrengsten. Die formule wordt vaak verkeerd ingeschat, dus laat uw financiële dienst dit zorgvuldig nakijken. Of valt uw organisatie onder NIS2 kunt u toetsen aan het sector-per-sector overzicht.
De deadlines liggen vast. Gevatte besturen moesten zich uiterlijk eind maart 2025 registreren bij het CCB. Tegen 18 april 2026 moet de conformiteitsbeoordeling ingediend zijn, op basis van CyberFundamentals (minimaal Basic of Important) of een ISO 27001-beleid. Tegen 18 april 2027 volgt een formeel voortgangsverslag. Wat de keuze tussen beide kaders betreft, helpt ons artikel over ISO 27001 of CyberFundamentals u verder.
Wat betekent de CCB-richtlijn 1/2024 voor niet-NIS2-besturen?
Ook besturen die buiten NIS2 vallen, ontsnappen niet. De CCB-richtlijn nr. 1/2024 verplicht alle overige Belgische publieke administraties om uiterlijk op 1 januari 2030 minstens CyberFundamentals niveau Basic te behalen. Digitale basishygiëne wordt daarmee een algemene verplichting voor elk Vlaams bestuur.
Dit is de blinde vlek die in veel berichtgeving onderbelicht blijft. Kleinere gemeenten gaan er soms van uit dat ze buiten schot blijven omdat ze niet onder NIS2 vallen, maar de richtlijn 1/2024 zegt het tegendeel. CyFun kent vier niveaus (Small, Basic, Important, Essential), gebaseerd op de vijf NIST-kernfuncties: identificeren, beschermen, detecteren, reageren en herstellen.
Het voordeel van die 2030-deadline is dat ze ruimte geeft om gestructureerd te werken. U hoeft niet alles tegelijk te doen, maar u kunt ook niet wachten tot 2029. Begin met een nulmeting tegen het Basic-niveau, en bouw uw verbetertraject van daaruit op.
Welke regels gelden er rond burgerdata en GDPR?
Naast NIS2 stelt de GDPR harde eisen aan lokale besturen rond de bescherming van burgerdata. Elk bestuur moet een onafhankelijke functionaris voor gegevensbescherming (DPO) aanstellen, en datalekken met risico voor de burger moeten binnen 72 uur gemeld worden aan de Gegevensbeschermingsautoriteit (GBA).
Bij een vermoedelijk datalek isoleert u het incident eerst, beveiligt u het bewijsmateriaal, en dient u binnen 72 uur een melding in bij de GBA als er een risico bestaat voor de rechten en vrijheden van burgers. Is dat risico hoog, dan moet u de betrokken burgers onverwijld persoonlijk informeren, vaak per brief, zoals Limburg.net in 2024 deed.
Er is ook een specifieke verplichting voor gegevensuitwisseling. Volgens artikel 20 van de Belgische Wet van 30 juli 2018 is voor elke systematische uitwisseling van persoonsgegevens tussen het bestuur en andere overheidsinstanties een formeel protocol verplicht. De DPO’s moeten vooraf om advies worden gevraagd, en de protocollen moeten openbaar worden gemaakt op de gemeentelijke website.
Welke maatregelen leveren het meeste op?
De grootste winst halen besturen uit een set basismaatregelen die zowel NIS2, de CCB-richtlijn als de GDPR ondersteunen. Multi-factor authenticatie, netwerksegmentatie, onwijzigbare back-ups, awareness, leveranciersbeheer en een getest incident response-plan vormen samen de kern. Ze mappen rechtstreeks op CyberFundamentals en de CIS Controls.
Multi-factor authenticatie (MFA) blokkeert nagenoeg alle geautomatiseerde phishing- en accountovernamepogingen, en is daarmee de maatregel met de hoogste impact per geïnvesteerde euro. Netwerksegmentatie beperkt de schade van een inbraak tot één segment, zodat een aanvaller niet meteen bij de kritieke databases geraakt. Onwijzigbare en offline back-ups garanderen dat u kunt herstellen zonder losgeld te betalen.
De menselijke factor blijft cruciaal. Permanente awareness en phishing-simulaties verhogen de meldingsbereidheid en verminderen het aantal kliks op verdachte links. Leveranciersbeheer dekt het ketenrisico af door minimale beveiligingsstandaarden contractueel op te leggen. En een getest incident response-plan structureert de crisisaanpak en beperkt de downtime van publieke loketten. Hoe u zo’n plan opbouwt, leest u in onze gids over een incident response plan.
Welke financiering staat wél open voor overheden?
De gewone kmo-subsidies gelden niet voor lokale besturen. De KMO-portefeuille en de VLAIO-cybersecurity-verbetertrajecten zijn wettelijk voorbehouden voor de private sector. Voor overheden bestaan er andere, publiekrechtelijke kanalen, waarvan de 2/3-cofinanciering van Audit Vlaanderen het bekendste is.
Dit is een hardnekkige misvatting. Veel dienstverleners adverteren richting gemeenten met de KMO-portefeuille, terwijl die voor nagenoeg alle Vlaamse besturen niet van toepassing is. Enkel zeer kleine autonome overheden, met een begroting onder 10 miljoen euro én minder dan 5.000 inwoners, vormen een uitzondering.
De kanalen die wél openstaan, zijn concreet en bruikbaar:
- Audit Vlaanderen: voor besturen die nog geen gecofinancierde basisaudit lieten uitvoeren, neemt de Vlaamse overheid via het Agentschap Binnenlands Bestuur 2/3 van de kosten van een ICT-veiligheidsaudit op zich. Het bestuur betaalt zelf het resterende 1/3.
- VCDV en Vo-CRT: het Vlaams Centrum voor Digitale Veiligheid en het Cyber Response Team bieden kosteloze begeleidingstrajecten, onder meer rond een bedrijfscontinuïteitsplan en toegangsbeheer, plus ‘boots on the ground’-support bij een actieve aanval.
- EFRO Vlaanderen: het Europees Fonds voor Regionale Ontwikkeling subsidieert digitaliseringsprojecten van lokale besturen voor 60%, met cybersecurity als integraal onderdeel.
- VVSG ‘Cyberveilige Gemeenten’ en het project ‘Kritieke processen’ (Open Proces Huis): gratis toolkits, playbooks en blauwdrukken die u helpen bij informatieclassificatie en risicoanalyse.
Veelgestelde vragen over cybersecurity voor lokale besturen
Vallen alle Vlaamse gemeenten en OCMW’s onder NIS2?
Nee. Lokale besturen vallen alleen onder NIS2 als ze een kritieke activiteit uit Bijlage I of II uitvoeren én minimaal 50 VTE of een jaaromzet van 10 miljoen euro halen. Voldoet u aan beide voorwaarden, dan valt uw volledige organisatie onder de wet.
Wat houdt de CCB-richtlijn 1/2024 in voor niet-NIS2-besturen?
Deze richtlijn verplicht alle Belgische publieke administraties die buiten NIS2 vallen om uiterlijk op 1 januari 2030 minstens CyberFundamentals niveau Basic te behalen. Zo wordt digitale basishygiëne een algemene verplichting voor elk lokaal bestuur.
Kunnen lokale besturen de KMO-portefeuille gebruiken voor cybersecurity?
Nee. De KMO-portefeuille en de VLAIO-verbetertrajecten zijn wettelijk uitgesloten voor overheidsinstanties. Besturen gebruiken specifieke kanalen zoals de 2/3-cofinanciering van Audit Vlaanderen of EFRO-projectsubsidies.
Wat moet ik doen bij een vermoedelijk datalek met burgergegevens?
Isoleer het incident, beveilig het bewijsmateriaal, en meld binnen 72 uur bij de GBA als er een risico bestaat voor de rechten van burgers. Is dat risico hoog, dan informeert u de betrokken burgers onverwijld persoonlijk over de aard van het lek en de te nemen voorzorgen.
Wie draagt de eindverantwoordelijkheid voor cybersecurity in de gemeente?
De politieke eindverantwoordelijkheid ligt bij het college van burgemeester en schepenen, de uitvoering bij de algemeen directeur en het directieteam. Onder NIS2 moet het management cybersecurity-trainingen volgen en kan het bij ernstige nalatigheid administratief en financieel gesanctioneerd worden.
Welke gemeentelijke diensten zijn het meest kritiek bij een aanval?
De meest kritieke diensten zijn Burgerzaken (bevolkingsregister, eID), de Sociale Dienst en het OCMW (cliëntendossiers), Financiën (boekhouding en betalingen), Omgeving (vergunningsplatformen) en de Technische Dienst. Uitval van deze systemen legt de werking van de gemeente meteen volledig plat.
Conclusie
Cybersecurity voor lokale besturen is geen IT-vraagstuk meer, maar een bestuurlijke verantwoordelijkheid die de continuïteit van uw dienstverlening en het vertrouwen van uw burgers raakt. Of u nu onder NIS2 valt of onder de CCB-richtlijn 1/2024, de richting is dezelfde: breng uw risico’s in kaart, zet de basismaatregelen op, en benut de financiering die voor overheden openstaat. Het goede nieuws is dat u niet alles in één keer hoeft te doen, en dat de 2030-deadline ruimte geeft om gestructureerd te werken.
Wilt u weten waar uw bestuur vandaag staat en welke stappen het meeste impact hebben? Boek een kennismaking met een van onze experts. Samen brengen we uw beveiligingsniveau in kaart en bepalen we de prioriteiten, afgestemd op de realiteit en het budget van een lokaal bestuur.
