Vier organisaties, vier besturen en vier directies. Dat is de dagelijkse werkelijkheid van Heidi Schoutens en Dorinie Edelaar. Heidi is functionaris gegevensbescherming (FG), Dorinie is CISO, en samen werken ze voor Dienst Dommelvallei en de gemeenten Nuenen, Geldrop-Mierlo en Son en Breugel. Waar privacy en informatiebeveiliging in veel organisaties naast elkaar bestaan, kozen zij ruim drie jaar geleden voor een gezamenlijke aanpak. Dat blijkt een verschil te maken, voor henzelf en voor de organisaties die ze adviseren.
Eén fundament voor vier organisaties
Een gemeenschappelijke regeling is complex. Elke gemeente heeft eigen bestuurlijke belangen, terwijl de dienstverlening van Dienst Dommelvallei, van IT tot financiën, voor alle drie de gemeenten draait. Heidi en Dorinie begonnen daarom niet met beleid, maar met een risicoworkshop samen met de directies. Daaruit kwam een gezamenlijk ambitieniveau en een gedeelde prioritering van risico's.
"Op strategisch en tactisch niveau is het belangrijk dat we een gezamenlijk fundament neerleggen. Dat is dat ambitieniveau en een gezamenlijke risicobepaling."
Op dat fundament bouwde Dorinie een strategisch beleid en een reeks tactische beleidsstukken. Voor informatiebeveiliging is het volwassenheidsniveau gebaseerd op het model van NOREA, voor privacy op dat van de IBD. Het operationele niveau laten ze bewust vrij: daar bepaalt elke organisatie zelf hoe ze invulling geeft aan de afspraken. Zo ontstaat uniformiteit waar het moet en ruimte waar het kan.
Eén keer het verhaal in plaats van vier keer
De grootste winst zit volgens Heidi en Dorinie in de governance. Adviezen gaan eerst naar de gezamenlijke overleggen: het directieberaad met de vier directeuren en het bestuur van de gemeenschappelijke regeling, waarin onder meer gemeentesecretarissen en wethouders zitten. Pas daarna gaan ze naar de colleges. Ook de verantwoording, zoals de CISO-rapportage, ENSIA en de jaarrapportage van de FG, pakken ze samen op.
"In het verleden deden we hetzelfde praatje vier keer. Nu zitten we één keer met alle bestuurders om tafel."
Dat scheelt niet alleen tijd; directeuren leren ook van elkaar. Stelt de een een kritische vraag, dan zet dat de ander aan het denken over de eigen organisatie.
Adviseur en toetser tegelijk
Werken voor meerdere organisaties betekent soms meerdere petten tegelijk op hebben. Blijft een risico ergens te lang open staan, dan rapporteren ze daarover aan de betreffende organisatie, maar zijn ze ook transparant naar de partij die het moet oplossen. In de gezamenlijke overleggen wordt dan zichtbaar dat een risico bij de een ook gevolgen heeft voor de ander.
Daarnaast zijn ze allebei sterk hands-on, terwijl een CISO en FG ook een controlerende rol hebben. Die spanning lossen ze op door onafhankelijke toetsing extern te beleggen: denk aan de DigiD-audit, Suwinet, pentesten, kwetsbaarheidsanalyses en mystery guests. Juist dat laatste laat zien hoe verweven hun vakgebieden zijn.
"Privacy en informatiebeveiliging zijn echt aan elkaar verbonden. Een mystery guest let ook op een scherm dat openstaat met persoonsgegevens van inwoners, of een telefoon die onbeheerd op een bureau ligt."
De bevindingen nemen ze vervolgens mee in de bewustwordingscampagne. Scherm vergrendelen, telefoon meenemen als je koffie gaat halen: kleine gewoontes met grote impact.
Nieuwe wetgeving, dezelfde verantwoordelijkheid
De Cyberbeveiligingswet, BIO2, de AVG, de AI Act, de nieuwe Archiefwet: er komt veel op gemeenten af. Heidi en Dorinie zijn er helder over waar de verantwoordelijkheid ligt.
"Het is niet Dorinie en ik, het is echt aan de organisatie. Maar het is wel onze taak om ze daarop te wijzen en te begeleiden."
Dat doen ze onder meer met een vooruitblik in hun jaarrapportages: wat komt eraan, welke voorbereiding is nodig en welke actie wordt verwacht. Voor medewerkers blijft bewustwording de kern, omdat nieuwe ontwikkelingen ook nieuwe risico's met zich meebrengen.
Dat geldt zeker voor AI. Een rem zetten op alles is volgens hen geen optie.
"Iedereen gebruikt het eigenlijk al, dus je kunt het niet verbieden. Het gaat erom dat je er bewust mee werkt."
Medewerkers worden al getraind in het gebruik van generatieve AI. De volgende stap is lastiger: AI inzetten in processen, bijvoorbeeld bij het schrijven van een brief aan een inwoner. Vanuit risico-oogpunt is dat een verandering in een proces, met nieuwe risico's en dus nieuwe maatregelen. Met de komst van de AI Act verwachten ze dat daar ook een nieuwe rol voor nodig is: iemand die organisaties op het gebied van AI-compliance adviseert en ondersteunt.
Begin klein en doe het samen
Wat zouden ze andere CISO's en FG's bij gemeenschappelijke regelingen meegeven? Begin klein. Zoek elkaar op rond privacy en informatiebeveiliging en betrek daarna snel de directie en het bestuur. Zie de twee vakgebieden als één onderwerp, in awareness én in aanpak en methodiek. En trek die samenwerking breder dan alleen de FG en CISO: ook de ISO, de privacy officer, directeuren, MT, college en burgemeester horen erbij. Wie verder is, kan de stap zetten naar integraal risicomanagement.
"Eerst klein beginnen en daarna langzaam uitbreiden. Na een paar jaar sijpelt het door in de organisatie en zie je bij medewerkers een hoger bewustzijn. Dat is de essentie van onze samenwerking."
En de onderlinge band? Die is gebouwd op eerlijkheid, transparantie en afspraken nakomen. Open voor kritiek, maar ook voor een geintje.
Heidi Schoutens is functionaris gegevensbescherming en Dorinie Edelaar is CISO bij Dienst Dommelvallei en de gemeenten Nuenen, Geldrop-Mierlo en Son en Breugel. Dit interview is onderdeel van CISO's United, de podcastserie van Brooklyn Partners over informatiebeveiliging, leiderschap en de mens achter het vak.