Digitale veiligheid, het beheer van verouderde ICT-systemen en de aansturing van grote digitaliseringsprojecten worden nog te vaak als puur technische vraagstukken behandeld, terwijl ze juist dwingend om bestuurlijke aandacht vragen. Die waarschuwing geeft het Adviescollege ICT-toetsing (AcICT) in zijn onlangs verschenen Jaarrapportage 2025. Op basis van twintig adviezen en een naschrift concludeert het college dat bestuurders binnen de overheid veel nadrukkelijker hun verantwoordelijkheid moeten nemen voor de risico's die samenhangen met digitalisering.
Waar AcICT de afgelopen jaren vooral afzonderlijke ICT-projecten beoordeelde, trekt het in deze rapportage een bredere, overkoepelende conclusie. De grootste risico’s liggen volgens het college niet uitsluitend bij de techniek of de uitvoering, maar bij een gebrek aan structurele bestuurlijke sturing. Hoewel projecten in de praktijk vaker resultaatgericht en in kleinere stappen worden aangepakt, ontbreekt nog te vaak de langetermijnaandacht van bestuurders en politiek verantwoordelijken voor essentiële thema’s als digitale veiligheid, beheer en opdrachtgeverschap.
Volgens het college vraagt de toenemende digitalisering om een andere invulling van de bestuurlijke rol. Bestuurders mogen zich niet beperken tot het nemen van startbesluiten over nieuwe ICT-projecten, maar moeten blijvend sturen op risico’s, investeringen en de continuïteit van de informatievoorziening.
Een van de belangrijkste constateringen die de doelgroep van privacy- en dataprofessionals raakt, is dat digitale veiligheid nog te vaak als een geïsoleerd technisch onderwerp wordt weggeschreven. AcICT wijst erop dat het aantal beveiligingsincidenten stijgt, terwijl de basisbeveiliging bij veel overheidsorganisaties nog onvoldoende op orde is. Risico’s rondom datalekken en vitale systemen worden regelmatig onderschat. Dit wordt onder meer in de hand gewerkt door het gebruik van verouderde software (problematische legacy), onduidelijk eigenaarschap van kritieke systemen en een te grote afhankelijkheid van externe leveranciers.
Het college roept bestuurders daarom op om beveiligingseisen expliciet en toetsbaar vast te stellen, structureel toezicht te houden op risicobeheersing en incidenten systematisch op bestuursniveau te evalueren. Digitale veiligheid en de daarmee samenhangende bescherming van gegevens vragen om strategische, ethische en bestuurlijke afwegingen; het kan niet uitsluitend aan IT-specialisten worden overgelaten.
Een tweede terugkerend knelpunt is het beheer van bestaande ICT-systemen. Er wordt nog te vaak gretig geïnvesteerd in nieuwe, innovatieve projecten, terwijl het onderhoud en de doorontwikkeling van het huidige applicatielandschap achterblijven. Dit leidt tot verouderde ICT, grotere kwetsbaarheden op het gebied van informatiebeveiliging en uiteindelijk onverwacht hoge kosten.
Het college pleit voor structurele financiering gedurende de volledige levenscyclus van een informatiesysteem. Dit betekent dat bestuurders al bij de start van een project budget moeten reserveren voor toekomstig onderhoud en de ‘fitheid’ en veiligheid van de systemen continu moeten blijven toetsen.
Ook de rol van de overheid als opdrachtgever verdient volgens AcICT scherpere invulling. In veel projecten ontbreekt een duidelijke scheiding tussen opdrachtgever en opdrachtnemer. Hierdoor vervagen verantwoordelijkheden en komt de sturing op kwaliteit, resultaat en dataveiligheid onder druk te staan.
Het adviescollege pleit voor een professionelere invulling van dit opdrachtgeverschap. Bestuurders moeten heldere, meetbare eisen formuleren, sturen op de inhoudelijke behoefte in plaats van de technische oplossing, en zorgen voor adequaat portfoliomanagement om de schaarse capaciteit effectief te verdelen.
De analyse van AcICT sluit aan bij een bredere, dwingende trend. De introductie van strenge Europese wet- en regelgeving, de aanhoudende cyberdreigingen en een alsmaar groeiende maatschappelijke afhankelijkheid van digitale infrastructuren maken dat bestuurders niet langer weg kunnen kijken. De kernboodschap van de jaarrapportage is dan ook helder: succesvolle en veilige digitalisering begint niet bij de technologie, maar bij goed bestuur. Digitale weerbaarheid, duurzaam ICT-beheer en professionele regie moeten vaste prik worden op de bestuursagenda en niet pas aan bod komen wanneer systemen uitvallen of datalekken zich al hebben voorgedaan.
