De Europese Commissie publiceerde deze zomer de eGovernment Benchmark 2026, het jaarlijkse onderzoek van Capgemini, Sogeti en IDC waarmee de digitale volwassenheid van overheidsdienstverlening in alle 27 EU‑lidstaten wordt gemeten. Mystery shoppers bezochten in november 2025 ruim veertienduizend overheidswebsites en beoordeelden 96 publieke diensten rond negen levensgebeurtenissen, van het krijgen van een kind tot het starten van een onderneming. Het beeld dat daaruit ontstaat, is er een van gestage vooruitgang op EU niveau, met grote onderlinge verschillen tussen lidstaten en tussen thema’s als cybersecurity, digitale soevereiniteit en grensoverschrijdende dienstverlening.
Nederland scoort in de eGovernment Benchmark 2026 als achtste van alle EU landen en is daarmee de best presterende lidstaat met meer dan vijftien miljoen inwoners. Vooral op beveiliging van overheidswebsites loopt Nederland ver voor op het Europese gemiddelde. Tegelijk laat het onderzoek zien dat digitale soevereiniteit, grensoverschrijdende dienstverlening en de volwassenheid van AI chatbots EU breed forse werkpunten blijven. Dit artikel duidt de belangrijkste Europese verschillen uit het rapport en laat zien op welke punten organisaties, ook buiten de overheid, vergelijkbare risico’s lopen en hoe SolidBE daarbij kan ondersteunen.
Digitale dienstverlening groeit EU breed, met Nederland stevig in de kopgroep
De twee kernindicatoren van de Digital Decade, digitale publieke dienstverlening voor burgers en voor ondernemers, laten beide een stijgende lijn zien. Voor burgers steeg de EU score van 79,4 in 2023 naar 84,6 in 2025, voor ondernemers van 85,4 naar 88,6. Nederland presteert daarbinnen bovengemiddeld: het land klom op de algemene ranglijst, gebaseerd op ruim twintig indicatoren, van een score van 81,7 naar 85,2 punten en eindigt daarmee op de achtste plaats van de Unie, achter een kopgroep die wordt aangevoerd door Finland, Estland en Malta. Daarmee is Nederland de best presterende lidstaat met meer dan vijftien miljoen inwoners, een positie die vooral te danken is aan de brede online dienstverlening van zowel de Rijksoverheid als provincies en gemeenten.
Toch is koploper zijn geen garantie voor volledige digitalisering. Ook in Nederland en de rest van de EU blijven gezondheidszorg gerelateerde diensten het minst gedigitaliseerd, met een EU score van 76,4 tegenover 90,4 voor vervoer gerelateerde diensten. Het patroon is consistent, diensten die het meest routinematig en het minst gevoelig zijn, digitaliseren het snelst, terwijl complexere domeinen met veel ketenpartijen achterblijven.
Cybersecurity: Nederland loopt voorop, de EU als geheel worstelt met basishygiëne
Op het gebied van beveiliging tekent zich het scherpste Europese verschil af. Het EU brede beveiligingsindicator steeg van 41,9 naar 46,6 op honderd, maar geen enkele overheidswebsite in de Unie voldoet aan alle dertien geteste beveiligingscriteria. Content Security Policy, een maatregel tegen cross site scripting en clickjacking, wordt door slechts 3,6 procent van de geteste sites correct toegepast. Subresource Integrity, dat bescherming biedt tegen gemanipuleerde JavaScript bibliotheken, scoort met 5,9 procent nauwelijks beter. Ook moderne internetstandaarden als IPv6, DNSSEC en HTTPS blijven EU breed onder de 25 procent adoptie. Van de ruim zesduizend geteste nationale dienst URL’s gebruikt 76 procent geen herkenbaar officieel overheidsdomein, waardoor bezoekers moeilijker kunnen verifiëren of ze op een legitieme portal zitten.
Nederland springt er in dit landschap positief uit. Volgens de benchmark voldoet 79 procent van de Nederlandse overheidswebsites aan gangbare securitystandaarden, tegenover 47 procent gemiddeld in de EU, wat het land tot koploper op deze indicator maakt. Die voorsprong is het resultaat van actieve monitoring en structurele toetsing van de veiligheid achter publieke websites. Het onderliggende probleem, namelijk dat basismaatregelen als CSP en moderne certificaatcontrole (Certification Authority Authorisation, met een EU score van slechts 14,7 procent) breed onderbenut blijven, speelt echter net zo goed bij private organisaties. Wij zien in de praktijk vergelijkbare patronen bij bedrijven die met de zorgplicht onder de Cyberbeveiligingswet te maken krijgen: governance en beleid staan vaak op papier, maar de technische invulling van basishygiëne, zoals correcte HTTP beveiligingsheaders, certificaatbeheer en gestructureerde phishingbewustwording, blijft achter. Van de onderzochte overheidsportalen biedt nog altijd maar iets minder dan de helft actief voorlichting over het herkennen van phishing, terwijl phishing in Nederland al jaren de dominante aanvalsmethode is.
Digitale soevereiniteit blijft de meest hardnekkige Europese achterstand
Waar cybersecurity nog een kwestie van geleidelijke verbetering lijkt, ligt digitale soevereiniteit gevoeliger. Het rapport introduceert dit jaar een pilotindicator die voor het eerst meet welke organisatie feitelijk de netwerkroutering achter overheidswebsites en e-maildiensten controleert, op basis van het Autonomous System Number en de uiteindelijke zeggenschap daarover. De uitkomst is helder: 37,2 procent van de onderzochte overheidswebsites in de EU draait op infrastructuur waarvan de uiteindelijke eigenaar buiten de Unie is gevestigd. Voor inkomende overheidsmail loopt dat op tot 60,4 procent, voor uitgaande mail tot 50,3 procent. De Verenigde Staten zijn veruit de dominante niet Europese jurisdictie, met Cloudflare, Microsoft en Amazon als de meest voorkomende partijen in de webserverinfrastructuur.
Voor Nederland meldt dezelfde onderzoeksreeks, via aanvullende berichtgeving over het rapport, dat 56 procent van de Nederlandse overheidswebsites draait op infrastructuur van niet Europese aanbieders, ook wanneer de datacenters zelf fysiek in Europa staan. Dat onderstreept een punt dat vaak over het hoofd wordt gezien: fysieke locatie zegt weinig over daadwerkelijke zeggenschap. Zolang een Amerikaanse partij de routering, certificering of onderliggende cloudlaag beheert, blijft de dienst potentieel onderhevig aan wetgeving als de Amerikaanse CLOUD Act. Dat risico speelt evengoed bij Nederlandse bedrijven die kritieke workloads bij Amerikaanse hyperscalers hosten. In ons artikel over het EU Cloud Sovereignty Framework gaan we dieper in op hoe soevereiniteit inmiddels meetbaar en toetsbaar is gemaakt, iets wat ook voor inkopers in de private sector relevant wordt naarmate aanbestedende diensten en ketenpartners strengere eisen gaan stellen aan waar en onder welk recht infrastructuur wordt beheerd.
Grensoverschrijdende dienstverlening en AI ondersteuning blijven achter bij de ambitie
Een derde terugkerend thema is de kloof tussen nationale en grensoverschrijdende dienstverlening. Voor burgers ligt de online beschikbaarheid van diensten voor eigen inwoners op 94,0, tegen 75,3 voor inwoners van andere EU landen. Vooral gezondheidszorg en werkgelegenheidsdiensten presteren zwak voor grensoverschrijdende gebruikers, met een score van slechts 27,0 voor het op afstand raadplegen van een ziekenhuisarts. Het Once Only Technical System, de technische ruggengraat waarmee overheden onderling documenten zouden moeten kunnen uitwisselen zonder dat burgers gegevens dubbel aanleveren, staat EU breed nog op een score van nul, ondanks dat inmiddels 21 lidstaten productieklaar zijn.
Ook op het gebied van AI ondersteuning is het beeld wisselend. Minder dan de helft van de nationale portalen biedt live ondersteuning via een AI chatbot, en de gemiddelde volwassenheid van die chatbots ligt met een score van 39,5 op honderd nog laag. Slechts 17,3 procent van de chatbots kan een gesprek doorschakelen naar een menselijke medewerker. Griekenland en Portugal worden in het rapport als koplopers genoemd, onder meer dankzij brede meertaligheid en training op duizenden administratieve procedures, terwijl veel andere lidstaten nog geen enkele AI functionaliteit hebben geïmplementeerd.
Waar SolidBE kan ondersteunen
De eGovernment Benchmark 2026 gaat formeel over overheidsdienstverlening, maar de onderliggende knelpunten, gebrekkige basisbeveiliging, afhankelijkheid van niet Europese infrastructuur en onvoldoende grip op de eigen digitale keten, zijn identiek aan wat wij dagelijks tegenkomen bij Nederlandse bedrijven en (semi)publieke organisaties.
Als Nederlandse specialist in ICT infrastructuur en cybersecurity vertaalt SolidBE deze inzichten naar concrete stappen. Op het vlak van beveiliging betekent dit het dichten van de basishygiëne die volgens het rapport zelfs bij koploper Nederland nog kwetsbaarheden laat zien, van correcte beveiligingsheaders en certificaatbeheer tot segmentatie van kritieke systemen met oplossingen als FortiGate en FortiNAC, en structurele phishingweerbaarheid via bewustwording en detectie.
Op het vlak van soevereiniteit ondersteunen wij organisaties bij het in kaart brengen van hun daadwerkelijke afhankelijkheden, niet alleen waar data fysiek staat, maar ook wie de routering en het beheer in handen heeft, zodat inkoop en architectuurkeuzes aansluiten bij de eisen die vanuit Europese regelgeving en aanbestedende partijen steeds vaker gesteld worden. Organisaties die vandaag investeren in aantoonbare beveiliging en bewuste infrastructuurkeuzes, staan er morgen niet alleen beter voor richting toezichthouders, maar ook richting de klanten en burgers die op hun dienstverlening vertrouwen.
Wilt u weten hoe uw organisatie scoort op deze punten? Neem contact op met SolidBE voor een vrijblijvend gesprek over uw securitylandschap en infrastructuurkeuzes.
