Een auditrapport van de Vlaamse overheid toont dat gemeentelijke besturen nog wel wat werk hebben op vlak van cyberveiligheid. Zes op de tien heeft bijvoorbeeld geen continuïteitsplan.
Audit Vlaanderen, het auditagentschap binnen de Vlaamse overheid, nam tussen 2023 en 2025 de cyberbeveiliging van een zeventigtal Vlaamse gemeenten op de proef. In die periode lieten 77 lokale besturen en twaalf intercommunales een ICT-veiligheidsaudit met cofinanciering uitvoeren. De basisaudit bestond uit interne en externe penetratietesten, een controle op zwakke wachtwoorden en een nazicht van het bedrijfscontinuïteitsplan.
Geen enkele gemeente scoort daarop een perfect rapport. Bij de interne testen op 15.725 systemen kwamen 1.583 kwetsbaarheden aan het licht, 332 ervan met hoog risico. Per lokaal bestuur zijn dat gemiddeld 4,7 kwetsbaarheden met hoog risico.
Kwetsbaarheden en zwakke wachtwoorden
De externe testen op 154 via het internet bereikbare systemen leverden 316 kwetsbaarheden op, waarvan 21 met hoog risico. Ook bij de twaalf intercommunales bleef geen enkele schoon. Besturen die na aanpassingen een hertest lieten uitvoeren, zagen de kwetsbaarheden significant dalen.
Bij de controle op zwakke wachtwoorden bleef opnieuw geen enkel bestuur volledig feilloos. Gemiddeld 30 procent van de wachtwoorden was zwak, met een uitschieter van 81 procent. Bij adminaccounts lag het gemiddelde op achttien procent (maximaal 64 procent), en in 29 van de 83 audits werden geen zwakke adminwachtwoorden gevonden. Het rapport noemt multifactorauthenticatie, het beperken van inlogpogingen en het monitoren van verdacht aanmeldgedrag als maatregelen die het risico op misbruik van accounts verkleinen.
Een geslaagde phishingaanval als toegangspoort is een van de risico’s die het rapport beschrijft. Voorbeelden zijn nog maar recent. In september werd de gemeente Machelen, dat niet deelnam aan het onderzoek, getroffen door een cyberaanval die naar verluidt via phishing verliep. Bij de aanval gingen hackers met persoonsgegevens aan de haal.
Geen continuïteitsplan
Cyberveiligheid begint bij preventie, maar er moet ook een plan op tafel liggen voor wanneer het toch misgaat. Daar wringt bij veel lokale besturen eveneens het schoentje. Bij 59 procent van de lokale besturen en 67 procent van de intercommunales is er geen volwaardig ICT-bedrijfscontinuïteitsplan, waarin ook de heropstart van het netwerk en de toepassingen is voorzien.
Daarnaast worden zinvolle beheersmaatregelen onvoldoende benut: het actueel houden van IT-systemen, het beperken van de toegang tot beheerdersinterfaces en netwerkbeveiliging, bijvoorbeeld door netwerksegmentatie.
Zonder zo’n plan kan een bestuur volgens het rapport na een incident de continuïteit niet blijven garanderen en is herstel van de informatie niet verzekerd. De stad Antwerpen berekende na de cyberaanval van eind 2022 dat die haar tot 70 miljoen euro kon kosten. Uit die cyberaanval kunnen lokale besturen heel wat lessen trekken, maar dan vooral hoe het niet moet.
Voorzichtige vooruitgang
Ondanks dat er nog werk op tafel ligt, ziet de Vlaamse overheid toch een voorzichtige verbetering. De Vereniging van Vlaamse Steden en Gemeenten (VVSG) zegt in een reactie aan De Tijd dat lokale besturen een inhaalslag maken. Ook het rapport illustreert dat gemeenten die zich lieten auditeren, over het algemeen progressie maakten doorheen het proces.
Of die inhaalslag aan hetzelfde tempo verloopt als dat aanvallers hun methoden blijven verbeteren, dat is een ander gegeven. De publieke sector blijft een gewild doelwit voor cybercriminelen. De NIS2-wetgeving moet mee de ommekeer teweegbrengen. Of de wetgeving na 2 jaar tot effectieve verbetering heeft geleid, was onderwerp van gesprek tijdens een recente rondetafel door ITdaily met experten uit de Belgische beveiligingsindustrie.