NIEUWS

Vlaamse overheid test 70 gemeenten: kwetsbaarheden in iedere gemeente

Gepubliceerd: 23 oktober 2026 | Leestijd: 4 minuten

IN HET KORT: Audit Vlaanderen testte zeventig gemeenten op cyberveiligheid. De tests liepen van 2023 tot 2025. Bij elke gemeente vonden de testers kwetsbaarheden. Gemiddeld ging het om 4,7 kwetsbaarheden met hoog risico per bestuur. Na aanpassingen daalde het aantal kwetsbaarheden sterk.

Wie voerde de tests uit?

Audit Vlaanderen is het auditagentschap van de Vlaamse overheid. De besturen lieten een ICT-veiligheidsaudit uitvoeren met cofinanciering. In totaal deden 77 lokale besturen en twaalf intercommunales mee. Sinds 2020 steunt Vlaanderen zulke audits financieel. Dat gebeurt binnen het programma Cyberveilige Gemeenten.

Wat valt op?

De interne systemen tonen veruit de meeste kwetsbaarheden. Toch zijn de externe cijfers belangrijk. Aanvallers kunnen die systemen zonder netwerktoegang zien.

Audit Vlaanderen ziet bij veel besturen een patroon. Nuttige beheersmaatregelen blijven nog onvoldoende benut. Dat geldt vooral bij besturen die voor het eerst zo’n test doen.

Goed nieuws: hertesten werken

Besturen lieten na aanpassingen een hertest uitvoeren. Daarna daalde het aantal kwetsbaarheden duidelijk. Audit Vlaanderen schrijft dat een beperkt aantal aanpassingen veel oplost. Dat kan snel gebeuren.

De Vereniging van Vlaamse Steden en Gemeenten (VVSG) reageert in De Tijd. Volgens de VVSG maken lokale besturen een inhaalslag. Gemeenten die zich lieten auditeren, maakten over het algemeen vooruitgang.

Zwak punt: voorbereiding op een aanval

Preventie is niet genoeg. Een bestuur heeft ook een plan nodig voor als het misgaat. Volgens ITdaily heeft zes op de tien besturen geen continuïteitsplan. Dat blijft dus een groot aandachtspunt.

De gevolgen kunnen groot zijn. De stad Antwerpen rekende op kosten tot 70 miljoen euro. Dat volgde op de cyberaanval van eind 2022.

Wat kunnen gemeenten nu doen?

Laat een ICT-veiligheidsaudit uitvoeren, als dat nog niet is gebeurd.

Los eerst de kwetsbaarheden met hoog risico op.

Installeer beveiligingsupdates snel.

Controleer wachtwoorden en toegangsrechten.

Laat na de aanpassingen een hertest uitvoeren.

Maak een continuïteitsplan en oefen dat.

Wat zegt de Europese regelgeving?

België zette de Europese NIS2-richtlijn om in nationale wet. De wet geldt sinds 18 oktober 2024. Volgens Digitaal Vlaanderen vallen lokale besturen in zeer kritieke sectoren eronder. Kleine besturen zijn doorgaans vrijgesteld. Dat zijn besturen met minder dan 50 voltijdse equivalenten en minder dan 10 miljoen euro omzet.

Ook Nederlandse gemeenten kampen ermee

Het probleem stopt niet bij de grens. Onderzoek van Binnenlands Bestuur en AG Connect bij 27 Nederlandse gemeenten wijst in dezelfde richting. Bij interne penetratietests vonden onderzoekers vrijwel altijd kritieke kwetsbaarheden. Zes van de 27 gemeenten oefenen niet met simulaties van digitale aanvallen.

Veelgestelde vragen

Wie testte de Vlaamse gemeenten?
Audit Vlaanderen, het auditagentschap van de Vlaamse overheid.

Wanneer vonden de tests plaats?
Tussen 2023 en 2025.

Hoeveel kwetsbaarheden vonden de testers?
Intern 1.583, waarvan 332 met hoog risico. Extern 316, waarvan 21 met hoog risico.

Zijn de gemeenten al gehackt?
Dat blijkt niet uit de bronnen. Het gaat om kwetsbaarheden en geen bevestigde aanvallen.

Verbeteren de gemeenten?
Ja. Hertesten tonen dat het aantal kwetsbaarheden sterk daalt na aanpassingen.

Wat is een penetratietest?
Een penetratietest bootst een aanval na. Zo ontdekken besturen zwakke plekken vóór criminelen dat doen.

Bronnen