Bij geen enkel doorgelicht lokaal bestuur vonden de auditors nul kwetsbaarheden. En zes op de tien besturen hebben geen plan om na een cyberaanval weer op te starten. Dat blijkt uit het nieuwe globaal rapport van Audit Vlaanderen over de ICT-veiligheidsaudits met cofinanciering (2023-2025).

 

Tussen 2023 en 2025 lieten 77 lokale besturen en 12 intercommunales een ICT-veiligheidsaudit uitvoeren via de cofinanciering van de Vlaamse Overheid. Audit Vlaanderen bundelde de resultaten nu in één globaal rapport, onder de titel Cyberveilige gemeenten.

De boodschap is helder. Kwetsbaarheden zijn geen uitzondering maar de regel, en veel besturen zijn niet voorbereid op een uitval. Maar het rapport bevat ook goed nieuws: wie gericht ingrijpt, ziet het aantal kwetsbaarheden sterk dalen.

 

Wat de audits blootleggen

De basisaudits combineerden interne en externe penetratietesten, een controle op zwakke wachtwoorden en een nazicht van het ICT-bedrijfscontinuïteitsplan. Bij 70 lokale besturen testten de auditors samen meer dan 15.700 interne systemen. Vier vaststellingen springen eruit:

  1. Nergens nul kwetsbaarheden. Bij geen enkel lokaal bestuur en geen enkele intercommunale bleven de penetratietesten zonder resultaat. Gemiddeld vonden de auditors per bestuur bijna vijf kwetsbaarheden met een hoog risico op het interne netwerk.
  2. Zwakke wachtwoorden zijn de norm. Gemiddeld had 30% van de accounts per bestuur een zwak wachtwoord, met uitschieters tot 81%. Geen enkel bestuur was volledig in orde. Ook bij beheerdersaccounts, de sleutels van het netwerk, ging het gemiddeld om 18%, met een maximum van 64%.
  3. Basismaatregelen blijven liggen. Systemen up-to-date houden, de toegang tot beheerdersinterfaces beperken en het netwerk segmenteren: volgens Audit Vlaanderen worden “heel wat zinvolle beheersmaatregelen onvoldoende benut”.
  4. Geen plan voor als het misloopt. 59% van de lokale besturen en 67% van de intercommunales had geen ICT-bedrijfscontinuïteitsplan.

Maar er is ook goed nieuws. Besturen die na aanpassingen een hertest lieten uitvoeren, zagen volgens het rapport “een significante vermindering van de kwetsbaarheden”. De oplossing is dus vaak geen grote investering, maar discipline in de basis.

 

Wat betekent dit voor uw bestuur?

Audit Vlaanderen roept besturen op het rapport te gebruiken als vertrekpunt. Wie een audit liet uitvoeren, gaat best na of alle acties opgevolgd zijn. Wie dat niet deed, kan de bevindingen als spiegel gebruiken. Vijf vragen om intern te stellen:

  • Patchen we tijdig? Worden servers, netwerkapparatuur en toepassingen op een vaste cadans bijgewerkt, en weet u welke systemen achterlopen?
  • Wie kan aan de beheerdersinterfaces? Zijn die afgeschermd van het internet en enkel bereikbaar voor wie ze nodig heeft, met meervoudige authenticatie?
  • Hoe sterk zijn onze wachtwoorden? Is er een wachtwoordbeleid dat ook technisch wordt afgedwongen, zeker voor beheeraccounts?
  • Wat doen we als alles platligt? Is er een actueel ICT-bedrijfscontinuïteitsplan, en is het ooit getest?
  • Hebben onze ingrepen gewerkt? Laat na aanpassingen opnieuw testen of de kwetsbaarheden echt verholpen zijn.

Die vragen staan niet los van de bredere regelgeving. Met NIS2 en het CyFun-kader worden informatieveiligheid en continuïteit voor besturen een aantoonbare verplichting, geen vrijblijvende goede praktijk. Een audit is een momentopname; aantonen dat u in control bent, is een doorlopend proces.

 

Van auditrapport naar actieplan: zo helpt Civios

Een auditrapport vertelt u wát er mis is. De echte uitdaging komt daarna: prioriteren, opvolgen en aantonen dat het opgelost is. Daar ondersteunt Civios lokale besturen, leveranciersonafhankelijk en vanuit 25 jaar V-ICT-OR-ervaring met de lokale sector.

  • Weten waar u staat. De NIS2-zelfscan telt 15 vragen op basis van CyFun® 2025 Basic. U krijgt uw belangrijkste risico's en quick wins op enkele minuten.
  • Begeleiding op maat. In het begeleidingstraject NIS2 Compliance gaan onze coaches van gap-analyse en risicobeheer tot uitrol en verankering in uw organisatie. Bevindingen uit een audit, zoals een ontbrekend continuïteitsplan, worden concrete acties met een eigenaar en een deadline.
  • Samen sterker. In het NIS2-groepstraject doorloopt u het traject met andere besturen, met gedeelde templates en gezamenlijke workshops. Zo hoeft niet elk bestuur zelf het warm water uit te vinden.
  • Cyber- and Information Security geborgd. Nood aan een onafhankelijke DPO, CISO of beiden? Civios ondersteunt je waar nodig. 

Het resultaat: de bevindingen van Audit Vlaanderen verdwijnen niet in een lade, maar worden een opvolgbaar verbeterpad.

 

Begin bij de basis

Het rapport van Audit Vlaanderen toont geen onoplosbaar probleem. Het toont dat de basis bij veel besturen nog niet op orde is. En dat gerichte stappen meteen effect hebben. Wilt u weten waar uw bestuur vandaag staat? Doe de NIS2-zelfscan of neem contact op voor een vrijblijvend gesprek met een van onze coaches.


Lees het globaal rapport hier.