Op 28 april ging het digitale gordijn even dicht in Breda: de website van de gemeente was onbereikbaar. Volgens het college ging het om een zogeheten DDoS-aanval – lastig, maar niet gevaarlijk. Daarmee was de kous af, zo leek het. Maar wie verder kijkt dan de ambtelijke geruststellingszin, ziet een dieper liggend probleem. Want dit incident legt niet alleen een technische kwetsbaarheid bloot, maar vooral een bestuurlijke: het ontbreken van regie, transparantie en politieke controle over digitale veiligheid.
De gemeente Breda vertrouwt haar digitale beveiliging grotendeels toe aan externe leveranciers. Dat is niet ongebruikelijk, maar wél risicovol als je daar als gemeente nauwelijks bovenop zit. Hoe wordt getest? Wie monitort incidenten? Wat gebeurt er ná een aanval? Op die vragen komt geen helder antwoord. Wat het nog zorgwekkender maakt: ook de gemeenteraad wordt niet actief betrokken of geïnformeerd. Daarmee raken we als stad twee keer grip kwijt – op onze digitale toegangspoort én op de democratische controle daarover.
Voor LPF Breda is dit geen kwestie van techniek, maar van bestuur. Want digitale veiligheid gaat niet alleen over firewalls en filters – het gaat over het vertrouwen dat inwoners hebben in een overheid die hen digitaal beschermt én verantwoording aflegt. En dat laatste ontbreekt nu. Daarom trekken wij aan de bel – niet om paniek te zaaien, maar om het bestuur wakker te schudden.
“Het was maar een DDOS-aanval”
Volgens het college was de website van de gemeente op 28 april slechts anderhalf uur uit de lucht. En ja, op 6 mei was het allemaal ‘wat traag’. Maar dat betekent wél dat duizenden inwoners op die momenten geen toegang hadden tot hun digitale loket – het kanaal voor alles van zorgaanvragen tot vergunningen. Wie in die tijd net een urgent formulier wilde indienen of een afspraak moest boeken, had pech. Maar hoeveel mensen dat zijn? Welke formulieren vastliepen? Welke termijnproblemen ontstonden? Het college laat het in het midden. Geen cijfers. Geen analyse. Geen verantwoording. In plaats van inzicht komt er jargon: het was ‘slechts een DDoS-aanval’ – bedoeld om te verstoren, niet om te hacken. Dat is technisch juist, maar bestuurlijk misplaatst. Want ook een verstoring kan impact hebben. Denk aan vastgelopen interne processen, gemiste deadlines, of terugkerende klachten. Maar het college verschuilt zich achter het zinnetje dat ‘de balie en telefoon beschikbaar bleven’. Alsof dat anno 2025 nog een geruststelling is – in een samenleving waar we allemaal verwachten dat de overheid digitaal bereikbaar is, juist op de momenten dat het ertoe doet.
“Wij zagen niks geks”
Nog verontrustender is het antwoord op de vraag of interne systemen en vertrouwelijke gegevens daadwerkelijk veilig zijn gebleven. De gemeente stelt gerust: “geen verdachte activiteiten gezien via de monitoring.” Dat klinkt kalm en professioneel, maar roept tegelijk een ongemakkelijke vraag op: wie keek er eigenlijk mee? Een forensisch onderzoek, uitgevoerd door een onafhankelijke partij, blijkt er namelijk niet te zijn. Geen externe blik, geen second opinion, geen toetsing van buitenaf. Alleen de gemeente die zegt: “We zagen niks geks.” Daarmee hangt de hele afhandeling op goed vertrouwen – of beter gezegd: blind vertrouwen. Het college wijst naar de aard van de aanval. Want ja, een DDoS-aanval is ‘geen hack’ – het is een digitale verstoppingsactie, geen inbraak. Maar dat betekent nog niet dat je moet stoppen met controleren of alles echt veilig is gebleven. In de praktijk worden zulke aanvallen namelijk steeds vaker gebruikt als afleiding of als testcase voor iets groters.
De gemeente lijkt hier de intentie van de aanvaller te verwarren met de mogelijke impact. En dat is geen klein misverstand: dat is precies het soort onderschatting dat bestuurders zich in deze tijd niet kunnen veroorloven.
“Dit is niet onze verantwoordelijkheid”
Wat de situatie extra pijnlijk maakt: de website van de gemeente – hét digitale visitekaartje én loket voor inwoners – wordt extern gehost. De beveiliging? Die ligt volledig in handen van een leverancier. De testen? Die voert de leverancier uit. En als er iets misgaat? Dan bepaalt diezelfde leverancier welke informatie de gemeente wél of niet krijgt. De gemeente Breda – en daarmee ook de gemeenteraad – staat dus buitenspel bij haar eigen digitale voordeur.
Sterker nog, er is niet eens zekerheid dat er überhaupt stresstests of penetratietests worden uitgevoerd. Want, zo zegt men, dat is ‘een verantwoordelijkheid van de leverancier’. Met andere woorden: de controle ligt bij een externe partij, terwijl de politieke verantwoording bij de gemeente hoort te liggen.
Het gevolg is zorgelijk én absurd: de toegangspoort tot onze digitale stad ligt buiten het zicht van het lokaal bestuur. De raad mag toekijken, maar niet ingrijpen. Alsof een brandweercommandant alleen mag hopen dat het brandalarm bij de buren op tijd afgaat. En dat terwijl digitale risico’s geen luxeprobleem meer zijn, maar dagelijkse realiteit. Wie bestuurt, moet ook kunnen controleren. En dat begint bij toegang tot de juiste informatie.
Geen rapportages, geen training
En dan het meest opmerkelijke: de gemeenteraad wordt – zo erkent het college openlijk – niet structureel op de hoogte gehouden van digitale aanvallen, dreigingen of kwetsbaarheden. De evaluaties van incidenten verdwijnen in ambtelijke bureaulades, ver buiten het zicht van de volksvertegenwoordiging. Van transparantie is hier geen sprake, laat staan van democratische controle. En dat terwijl het juist de taak van de raad is om namens de inwoners toezicht te houden. Wat het extra wrang maakt: ambtenaren moeten wél verplicht een cybertraining volgen. Doen ze dat niet, dan wordt hun account afgesloten. Raadsleden daarentegen? Die worden volledig vrijgelaten. Geen verplichte training, geen oefening, geen enkele bewustwording. De reden? Ze zouden in een ‘gescheiden digitale omgeving’ werken. Maar dat is een drogreden. Raadsleden werken immers met vertrouwelijke stukken, nemen besluiten over gevoelige dossiers en zijn, net als ambtenaren, een potentieel doelwit voor cyberaanvallen. Wat hier gebeurt, laat zien wat LPF Breda als een breder bestuursprobleem ziet: een bestuurscultuur waarin transparantie als hinderlijk wordt gezien en controle wordt ontmoedigd. Technocratisch, gesloten, en blind voor de risico’s van deze tijd. En juist dát maakt digitale veiligheid tot een politieke kwestie die we niet mogen wegmoffelen onder het tapijt van ‘ambtelijke verantwoordelijkheid’.
Tijd voor daadkracht
De digitale weerbaarheid van Breda is – laten we eerlijk zijn – verre van op orde. Terwijl de cyberdreiging groeit, lijkt het stadsbestuur vooral geruststellende woorden te herhalen en moeilijke vragen te ontwijken. Externe partijen beheren onze digitale infrastructuur, de gemeenteraad wordt buiten spel gezet bij cruciale informatie, en de gevolgen voor inwoners en ondernemers worden steevast geminimaliseerd. Er lijkt meer aandacht te zijn voor het sussen van de buitenwereld dan voor structurele verbeteringen. Wat we hier zien is geen kortstondige storing, maar een dieper bestuurlijk mankement. Het is alsof er een rookwolk opduikt in het gemeentehuis, maar niemand even checkt of het vuur nog woekert. In plaats van openheid en actie, zien we jargon, bureaucratie en geslotenheid. Geen bestuurlijke scherpte – maar bestuurlijke oogkleppen. LPF Breda zegt: dit moet anders. Wij willen geen digitale veiligheid in de marge, ergens ondergebracht bij een leverancier die verantwoording ontwijkt. Wij willen zicht, grip en eerlijkheid – naar de raad én naar de inwoners. Want wie digitale controle uit handen geeft, verliest vroeg of laat ook de democratische controle. En juist dat is voor ons een grens die we niet laten overschrijden.
