HILVERSUM - De Rekenkamer Hilversum heeft de informatiebeveiliging van de gemeente op de proef gesteld, met onder meer phishingmails aan medewerkers en raadsleden en inlooptesten op meerdere locaties. Het oordeel: Hilversum heeft een stevige basis, maar is er nog niet. De gemeenteraad bespreekt het onderzoek op woensdag 11 november.


Zo testte de rekenkamer de gemeente

De rekenkamer bleef niet bij papierwerk. Naast gesprekken en een analyse van beleidsstukken lieten de onderzoekers de praktijk spreken. Met een technische penetratietest werd gekeken hoe ver een aanvaller in de systemen van de gemeente Hilversum zou komen. Medewerkers en raadsleden kregen nagemaakte phishingmails in hun inbox. En op meerdere locaties werd getest of een onbevoegde bezoeker zomaar naar binnen kon lopen.

Daarmee nam de rekenkamer ook de menselijke factor mee. Een goed afgeschermd netwerk helpt weinig als iemand op een vervalste link klikt of een onbekende de deur openhoudt.

Het oordeel valt gemengd uit. Hilversum heeft de afgelopen jaren geld en moeite gestoken in informatiebeveiliging en heeft volgens de rekenkamer een goede basis gelegd. Om het gewenste niveau te halen en vast te houden, is wel blijvende aandacht nodig. De aanbevelingen gaan over de technische en fysieke beveiliging, over de digitale weerbaarheid binnen de organisatie en over meer risicobewustzijn bij medewerkers en raadsleden. Een deel van de bevindingen blijft bewust buiten de openbaarheid. Gemeente en raad kregen die wel te zien, maar publicatie zou kwaadwillenden juist wegwijs maken in de zwakke plekken.

Waarom dit nu speelt in Hilversum en Het Gooi

Gemeenten verwerken steeds meer gegevens van inwoners digitaal, ook bijzondere persoonsgegevens. Sinds 15 augustus 2026 gelden daarnaast de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. De rekenkamer plaatst haar onderzoek nadrukkelijk in dat licht.

Hoe snel een gemeente geraakt kan worden, bleek op 21 oktober. Hilversum haalde die dag haar website uit voorzorg tijdelijk uit de lucht, nadat twee ernstige kwetsbaarheden in de veelgebruikte programmeertaal PHP aan het licht waren gekomen. Ook landelijke diensten als DigiD en MijnOverheid gingen tijdelijk offline. Het Nationaal Cyber Security Centrum adviseerde organisaties toen om hun systemen zo snel mogelijk te beveiligen.

Het rapport komt bovendien in een drukke periode voor het Hilversumse gemeentehuis. Hilversum en Wijdemeren gaan samen verder als een gemeente en op 18 november kiezen inwoners de raad van die nieuwe gemeente. De commissie Bestuur en Economie boog zich op 4 november al over het onderzoek. Woensdag 11 november staat het op de agenda van de gemeenteraad van Hilversum.