De rijksoverheid blijkt kwetsbaar voor zowel acute als langdurige uitval van uitbestede ict-dienstverlening. Dat is de kernboodschap van een nieuw evaluatierapport “Van kwetsbaar naar weerbaar” dat op verzoek van het ministerie van Binnenlandse Zaken is uitgevoerd.
Aanleiding waren recente incidenten die lieten zien hoe afhankelijk cruciale overheidsprocessen zijn van externe ict-leveranciers. Denk aan de grote storing rond een defecte beveiligingsupdate, problemen met externe netwerkdiensten en eerdere incidenten zoals de Citrix-kwetsbaarheden.
De vraag die het rapport centraal stelt: hoe houd je overheidsdienstverlening overeind als herstel geen kwestie is van dagen of weken, maar maanden?
Waarom langdurige storingen nu reëel zijn bij overheid en leveranciers
Overheidsorganisaties hebben in hoog tempo gedigitaliseerd en besteden veel ict-taken uit. Dat levert schaalvoordelen en expertise op, maar vergroot ook de afhankelijkheid van een beperkt aantal aanbieders. Bij uitval of financiële problemen van zo’n leverancier kan de impact rijksbreed zijn.
Daarbij komt dat ketens complexer en internationaler zijn geworden, waardoor het inzicht in kritieke afhankelijkheden vaak versnipperd is. Het rapport onderstreept dat analoge noodprocessen doorgaans geen realistisch vangnet meer vormen: de digitale dienstverlening Ãs het primaire proces.
Kernbevindingen die direct raken aan continuïteit en bestuurlijke grip
De onderzoekers constateren dat primaire processen bij overheden niet zijn berekend op abrupte en langdurige uitval van ict-diensten. Contracten bieden te weinig harde ‘step-in’ of exitmogelijkheden, terugvalopties blijken in de praktijk niet of onvoldoende te werken, en er is geen centraal rijksbreed overzicht van welke diensten waar draaien en via welke (internationale) leveranciersketens.
Operationele risico’s worden wel gevolgd, maar strategische risico’s—zoals concentratie bij enkele grote aanbieders of problemen hogerop in de keten—krijgen te weinig gewicht in beleid, aanbestedingen en managementrapportages. Opvallend is dat kennis, wetgeving en richtlijnen in principe aanwezig zijn, maar niet consequent worden toegepast. Het gevolg: beperkte wendbaarheid in een echte crisissituatie.
Aangekondigde maatregelen: van Center of Excellence tot rijksbrede terugvalfaciliteiten
De minister van Binnenlandse Zaken herkent het geschetste beeld en neemt de aanbevelingen over. Er komt een rijksbreed Center of Excellence voor kennisbundeling en advies, centrale monitoring van leveranciers en contracten, en de uitwerking van overheidsbrede terugvalfaciliteiten voor noodsituaties. Ook worden toetsing en toezicht op risicomanagement en de werking van mitigerende maatregelen aangescherpt, inclusief aandacht voor continuïteitsmanagement, digitaal leiderschap en bewustzijn bij bestuurders.
Tegelijkertijd zoekt het ministerie nauwere afstemming met bestaande toezichthouders om uitvoering en handhaving te borgen. De boodschap is helder: voorkómen gaat hier boven genezen, en continuïteit moet expliciet meegewogen worden in beleid, architectuur en inkoop.
Wat betekent dit voor jouw organisatie binnen de (semi-)overheid?
Voor bestuurders en ict-verantwoordelijken betekent dit rapport dat digitale weerbaarheid niet langer vooral een security-thema is, maar een kerneis aan dienstverlening. Inventariseer ketenafhankelijkheden en contractuele randvoorwaarden, beoordeel of terugvalscenario’s daadwerkelijk uitvoerbaar zijn en leg de focus op ‘resilience by design’ in architectuur en aanbesteding.
Zorg dat strategische ict-risico’s periodiek op de bestuurstafel komen—niet alleen na incidenten, maar structureel in de planning- en controlcyclus. En borg dat kennis en regie op kritieke ict-diensten in eigen huis voldoende op niveau zijn om leveranciers effectief te sturen, te toetsen en—als het erop aankomt—tijdig te vervangen.
Verder lezen over wettelijke kaders en praktische implicaties
Wie bestuurlijke verantwoordelijkheid draagt voor digitale continuïteit, heeft baat bij een actueel overzicht van relevante kaders. De aanstaande Cyberbeveiligingswet (implementatie van NIS2) introduceert onder meer zorg-, meld- en registratieplichten en scherpt het toezicht aan. Lees wat dit concreet vraagt van processen, bestuur en rapportage in het artikel NIS2: in het kort wat u moet weten voor uw organisatie.
Voor organisaties die met financiële ketens te maken hebben, biedt DORA een nuttig referentieraamwerk voor toetsbare weerbaarheid en leveranciersrisico’s; zie DORA: Digitale weerbaarheid in de financiële sector.
Conclusie: digitale continuïteit vraagt om beleid, ontwerp én oefening
Het rapport laat weinig ruimte voor wensdenken: zonder bestuurlijke prioriteit, stevige regie en realistisch geteste terugvalopties blijft de overheid kwetsbaar bij langdurige uitval van ict-dienstverlening. De aangekondigde maatregelen helpen, maar echte weerbaarheid ontstaat pas als beleid, architectuur, contracten en crisisorganisatie op elkaar aansluiten—en organisaties die samenhang aantoonbaar oefenen.
Dat is geen eenmalig project, maar een continu proces dat de publieke dienstverlening merkbaar robuuster maakt.
Lees het volledige rapport via https://www.rijksoverheid.nl/documenten/rapporten/2025/02/25/rapport-van-kwetsbaar-naar-weerbaar
