De NIS2-richtlijn, omgezet in Frans recht, verandert de situatie voor de afdelingen van territoriale informatiesystemen. Gemeenten kiezen niet langer zelf om in cybersecurity te investeren: ze zijn er juridisch toe verplicht, met sancties als gevolg. Dit regelgevend kader herverdeelt de budgettaire en technische prioriteiten van de gehele lokale publieke sector.
NIS2-verplichtingen en cybersecurity van lokale overheden
De classificatie van gemeenten in twee niveaus van vereisten vormt de belangrijkste structurele verandering. Regio’s, departementen, metropolen, stedelijke gemeenschappen en gemeenten met meer dan 30.000 inwoners worden nu geclassificeerd als essentiële entiteiten, onderworpen aan het strengste regime. Agglomeratiegemeenschappen, gemeenschappen van gemeenten en sommige SDIS vallen onder de status van belangrijke entiteiten, met een tussenliggend niveau.
De verplichtingen beperken zich niet tot een verklaring van intentie. Elke betrokken gemeente moet een beleid voor de beveiliging van informatiesystemen formaliseren, een gedocumenteerde risicoanalyse uitvoeren en een continuïteitsplan opstellen voor haar kritieke digitale diensten.
De melding van significante incidenten aan de ANSSI binnen 24 uur, gevolgd door een gedetailleerd rapport binnen 72 uur, verandert het crisisbeheer. De territoriale DSI’s die werkten met informele procedures moeten nu een bereikbaarheidsdienst en operationele escalatiecircuits structureren. We zien dat deze tijdsdruk veel gemeenten ertoe aanzet om (een deel van) hun beveiligingstoezicht uit te besteden aan gedeelde operationele beveiligingscentra.
Om de technische uitdagingen die hieruit voortvloeien verder te verkennen, detailleert de IT op Collectivité Numérique de architecturen die zijn aangepast aan de beperkingen van de lokale publieke sector.
Governance van territoriale data en open data
De fragmentatie van informatiesystemen blijft de belangrijkste hindernis voor een coherente governance van data in gemeenten. Elke vakafdeling (stedenbouw, burgerlijke stand, financiën, wegen) heeft historisch gezien zijn eigen tools uitgerold, vaak zonder interoperabiliteit. Het unificeren van de gegevensreferenties voordat we over open data spreken, is een niet-onderhandelbare technische voorwaarde.
De openstelling van publieke data vereist bovendien een verzoening van twee juridische kaders die onder druk staan. Aan de ene kant de verplichting om administratieve documenten en databanken te publiceren. Aan de andere kant de vereisten van de AVG met betrekking tot de bescherming van persoonsgegevens. De CNIL herinnert eraan dat gemeenten datasets moeten anonimiseren of pseudonimiseren voordat ze worden gepubliceerd, wat vaardigheden en tools vereist die veel kleine intercommunale organisaties niet intern bezitten.
- Het in kaart brengen van alle vakdatabanken en het identificeren van duplicaten, eigen formaten en persoonsgegevens die moeten worden verwerkt voordat er enige openstelling plaatsvindt
- Het aanwijzen van een gegevensgovernance-verantwoordelijke, distinct van de DPO, belast met het aansturen van de kwaliteit, de actualisering en de interoperabiliteit van datasets
- Het geven van voorkeur aan open formaten en gestandaardiseerde API’s in plaats van eenmalige CSV-exporten, om een echte hergebruik door de actoren van het gebied mogelijk te maken
Soevereine cloud en SaaS-modus voor lokale publieke diensten
De migratie naar de cloud in SaaS-modus vordert snel in gemeenten, aangedreven door de verlaging van infrastructuurkosten en de vereenvoudiging van applicatieonderhoud. De kwestie van digitale soevereiniteit structureert nu de keuze van de leveranciers. Het hosten van gegevens van inwoners bij een leverancier die onderworpen is aan extraterritoriale wetgeving, stelt de gemeente bloot aan een direct juridisch risico.
We raden aan om gevoelige gegevens (burgerlijke stand, sociale hulp, lokale belastingen) duidelijk te onderscheiden van gegevens voor dagelijks gebruik. De eerste vereisen een gekwalificeerde SecNumCloud-hosting of gelijkwaardig. De tweede kunnen een lager certificeringsniveau tolereren, mits het contract de locatie van de gegevens en de voorwaarden voor reversibiliteit specificeert.
De klassieke val van territoriale SaaS ligt in de afhankelijkheid van de leverancier. Een gemeente die haar financiële beheer of HR-tools migreert naar een propriëtaire platform zonder duidelijke reversibiliteitsclausule, komt in een benarde positie. De eis om gegevens in een open formaat te exporteren, getest onder reële omstandigheden vóór de ondertekening van het contract, zou in elk bestek moeten worden opgenomen.
Kunstmatige intelligentie en verantwoord digitaal beleid in gemeenten
Kunstmatige intelligentie komt in gemeenten via gerichte gebruiksgevallen in plaats van via massale implementaties. Geautomatiseerde verwerking van binnenkomende post, classificatie van gebruikersverzoeken, detectie van anomalieën in het energieverbruik van openbare gebouwen: deze toepassingen genereren meetbare voordelen zonder dat een volledige herziening van het informatiesysteem nodig is.
De belangrijkste belemmering is niet technologisch, maar organisatorisch. Het opleiden van medewerkers in het gebruik van tools die door AI zijn verbeterd, het definiëren van de gevallen waarin de geautomatiseerde beslissing door een mens moet worden gevalideerd, het documenteren van de gebruikte algoritmen om te voldoen aan de transparantievereisten: deze projecten vergen tijd en vaardigheden die de huidige personeelsbezetting van de territoriale DSI’s moeilijk kan vrijmaken.
De dimensie van verantwoord digitaal beleid voegt een laag van beperkingen toe. De REEN-wet verplicht gemeenten met meer dan 50.000 inwoners tot een strategie voor het verminderen van de ecologische voetafdruk van digitale technologie. Concreet vertaalt dit zich in milieukriteria in openbare aanbestedingen voor IT, een verlenging van de levensduur van apparatuur en een rationalisering van serverinfrastructuren.
- Integreren van milieukriteria in openbare aanbestedingen voor IT, in overeenstemming met de verplichtingen voortvloeiend uit de Klimaat- en Veerkrachtwet
- De ecologische voetafdruk van het bestaande digitale park meten voordat er kwantitatieve reductiedoelen worden vastgesteld
- Herbruik en refurbishing van werkplekken bevorderen, in samenwerking met lokale circulaire economie netwerken
- De algoritmen van AI documenteren die zijn ingezet om transparantie naar inwoners en gekozen vertegenwoordigers te waarborgen
De samenhang tussen deze vier assen (regelgevende cybersecurity, gegevensgovernance, cloud-soevereiniteit, verantwoord AI) schetst het werkelijke bereik van de digitale transformatie van het territorium voor de komende jaren. Gemeenten die deze onderwerpen in silo’s behandelen, reproduceren de fouten van fragmentatie die hun informatiesystemen zo moeilijk te evolueren hebben gemaakt. Deze projecten transversaal aansturen, onder de autoriteit van een digitale directie en niet alleen van een technische DSI, blijft de voorwaarde zodat deze investeringen duurzame resultaten opleveren.