Wie organiseert de digitale weerbaarheid van de Nederlandse overheid, en hoe verhouden ze zich tot elkaar
· peildatum 11 augustus 2026 · samengesteld vanuit een gemeentelijke CISO-praktijk
open dataset · EUPL-1.2
Open dataset uit de kennisbank van security-commons-nl. 83 partijen en 19 concrete diensten die samen de
digitale weerbaarheid van de Nederlandse overheid organiseren. Peildatum 11 augustus 2026, vier dagen voor
inwerkingtreding van de Cyberbeveiligingswet: meerdere aanwijzingen waren toen nog niet rond. Bijgewerkt
13 augustus 2026 na de eerste externe review uit de sector: de dienstentabel onderscheidt nu of iets
niet is vastgesteld of dat er wel aan gewerkt wordt, en regionale samenwerkingsverbanden staan er
als categorie in. Klopt er iets niet meer, mist er een partij, of wordt er al aan iets gewerkt dat hier als
leeg staat?
Twee routes:open een issue (kan met een paar regels, geen kennis van de
data nodig) of wijzig een regel in de dataset (GitHub maakt daar automatisch een
voorstel van, jij hoeft geen schrijfrechten te hebben). De analyse van onnodige overlap en concurrentie is bewust
nog niet gepubliceerd: feiten zijn van iedereen, een oordeel over het stelsel is sterker als het van meer dan een
gemeente komt. Meer daarover in de README.
Vijf manieren om hetzelfde veld te bekijken. De matrix laat zien waar het druk is en waar niemand
staat. Het lagenmodel legt de bevelslijn bloot. De relatiegraaf toont wie wie aanstuurt, betaalt of informeert.
E en F zijn de overlapplaten en horen bij elkaar:
E toont per concrete dienst waar de overlap zit, F draait dezelfde data om en toont wie elkaars
dubbelganger is.
wettelijk mandaat convenant of programma ledenmandaat (vereniging, cooperatie, GR) informeel of vrijwillig opgeheven of vervallen lege cel = gat
Functie bij bestuurslaag. Rijen zijn functies die het stelsel moet vervullen, kolommen zijn bestuurslagen.
Meerdere partijen in een cel betekent overlap. Een rode cel betekent dat niemand die functie op dat niveau belegt.
Dit is het enige format waarin overlap en gaten tegelijk hard aanwijsbaar zijn.
Lees de matrix op twee manieren. Een lege cel is het duidelijkste
signaal, maar niet altijd het belangrijkste. Sommige cellen zijn leeg omdat dat logisch is: de EU houdt geen toezicht
op gemeenten en organiseert geen gemeentelijke inkoop. Drie lege cellen zijn wel betekenisvol:
crisis en ontwrichting op decentraal niveau (het gemeentelijke collectief van IBD, VNG, GGI-Veilig en ENSIA doet
niets aan de warme fase), en normstelling en opleiden in de eigen regio (alles wat de regio doet komt van elders).
En let op de cel die gevuld lijkt maar dat niet is. CERT en incidentrespons op decentraal niveau bevat de IBD,
maar met een ledenmandaat en niet met een wettelijk mandaat. De IBD is beoogd sectoraal CSIRT en per 15 augustus 2026
niet aangewezen; het NCSC vult de rol voorlopig in, naar eigen zeggen tot in ieder geval eind 2026. Voor waterschappen
(CERT-WM) en zorg (Z-CERT) is diezelfde cel wel wettelijk gevuld. Een cel met de verkeerde kleur is in dit stelsel
gevaarlijker dan een lege cel, want een lege cel ziet iedereen.
Waar het het drukst is. Normstelling op rijksniveau telt 14 partijen,
dreigingsinformatie op sectoraal niveau 8, en kennisdeling is de enige functie die op alle vijf de lagen door vijf of
meer partijen wordt opgepakt. Dat is de goedkoopste functie om je aan te verbinden en de moeilijkste om je op te
onderscheiden. Of dat erg is hangt af van de mandaatsoort: zie de kleuren in de overlapplaat.
Lagenmodel. Het stelsel als bevelslijn van Brussel naar de Breestraat. Sterk voor uitleg aan
bestuurders, want het maakt zichtbaar hoeveel schakels er tussen een Europese richtlijn en een gemeentelijke maatregel zitten.
Zwakker in het tonen van overlap.
Relatiegraaf. Wie stuurt wie aan, wie betaalt wie, en wie informeert wie. De dichtheid rond het
NCSC laat zien hoe sterk het stelsel sinds de fusie naar een knooppunt is getrokken. De dunne lijnen naar de gemeente
laten zien hoe smal de aansluiting daar is.
Waar zit welke overlap. De andere weergaven ordenen op functie, en dat is een containerbegrip:
NCSC-advisories en het PvIB-magazine vallen daar allebei onder "kennisdeling" terwijl ze niets met elkaar te maken
hebben. Dat levert schijn-overlap op, en het verbergt echte overlap (de EASM van de IBD en ThreatMatcher van
Connect2Trust zijn hetzelfde product maar staan in verschillende cellen). Deze band ordent daarom op
concrete dienst, gesorteerd van druk naar leeg. Bovenaan staan de hotspots, onderaan de gaten.
De kleur is het halve verhaal. Zes partijen die allemaal informeel
zijn is een ander probleem dan zes partijen waarvan drie wettelijk. Bij collectieve inkoop is geen enkele partij
wettelijk bevoegd, en dat verklaart waarom er zes naast elkaar zijn ontstaan: niemand kon het afdwingen, dus
iedereen begon zelf. Bij normstelling is het omgekeerd: vijf partijen, vier met wettelijk mandaat, en dan is
meervoud geen versnippering maar arbeidsdeling.
Wie is wiens dubbelganger. Dezelfde dienstenlaag als E, maar omgedraaid. Waar E laat zien waar de
overlap zit, laat F zien wie elkaars dubbelganger is. Elke cel telt hoeveel concrete diensten twee partijen
allebei leveren. Alleen partijen die minstens twee diensten leveren staan erin, want met een enkele dienst kun je
per definitie niet structureel overlappen. Wijs een cel aan om te zien om welke diensten het gaat.
diagonaal = eigen aantal diensten12345 of meer geen gedeelde dienst
Alle partijen die het stelsel dragen, publiek en publiek-privaat. Randpartijen zijn brancheorganisaties en
beroepsverenigingen die geen deel van het stelsel zijn maar er wel vaste gesprekspartner van zijn. Puur commerciele partijen
staan hier niet; die horen in het dossier Partijen en diensten.
Deze kaart is opgebouwd uit zes parallelle onderzoeksronden, elk over een eigen deel van het
veld, plus een toets vanuit de dagelijkse praktijk van een gemeentelijke CISO: klopt het beeld met hoe het er van
binnenuit uitziet. Waar bronnen elkaar tegenspreken is dat hieronder expliciet benoemd in plaats van
gladgestreken.
Scope. Dit gaat over wie de digitale weerbaarheid van de overheid organiseert.
Privacy is bewust buiten scope gehouden, ook al doen meerdere partijen hier beide: het meenemen van dat
domein vraagt om de toezichthouder, de FG-netwerken en de beroepsorganisaties erbij, en dat maakt er een ander
overzicht van. Waar een partij ook een privacytaak heeft, staat dat in de toelichting bij die partij.
Opgesteld met AI-ondersteuning, met de feiten geverifieerd op de bronnen die per partij vermeld staan.
De dataset en de leesbare weergave worden gegenereerd uit één bron, zodat cijfers en tekst niet uit elkaar
kunnen lopen.
Hoe dit is samengesteld
Het onderzoek liep in zes parallelle ronden, elk over een eigen deel van het veld, plus een ronde over de
eigen praktijk als toets of het beeld klopt met hoe het er van binnenuit uitziet:
Gemeentelijk en decentraal · IBD, VNG, GGI-Veilig, ENSIA, BIO2-governance, CISO-netwerken,
regionale samenwerking, IPO, Unie van Waterschappen, NIPV, BZK
Nationaal · NCSC organisatorisch, NCTV, NBV en de diensten, Nationaal Detectie Netwerk,
Cyclotron, House of Cyber, CIO Rijk en VSSR, NDD en Digilab, Logius en Forum Standaardisatie, politie en OM
Sectoraal, platforms en regionaal · Z-CERT, SURF, de CSIRT-aanwijzingen, het ISAC-stelsel,
CIP, ECP, HSD, CVD, de regionale cyberweerbaarheidscentra, RSIV, PVO en de randpartijen
Operationele coalities · Cyberweerbaarheidsnetwerk, Nationaal Respons Netwerk,
Anti-DDoS-Coalitie, NBIP en NaWas, Connect2Trust, Abuse Information Exchange, FIRST, Trusted Introducer
NDS, EU-laag en stelselkritiek · NDS-governance, de Europese laag, en de adviezen van de
Cyber Security Raad, de Raad van State, de WRR, de Algemene Rekenkamer en de Raad voor het Openbaar Bestuur,
plus het rapport Cyberweerbaarheid binnen gemeentegrenzen en de VNG-consultatiereactie
Overlapanalyse · de vertaling van functies naar concrete diensten, waaruit de twee
overlapweergaven zijn opgebouwd
Bronnen zijn wetgeving en Staatscourant-publicaties, Kamerstukken, en websites en jaarplannen van de
betrokken partijen. Elke partij en elke dienst in de dataset heeft een toelichting waarin staat waarop de
inschatting berust. Peildatum van alle online bronnen: 10 en 11 augustus 2026.
Waar een uitspraak een interpretatie is en geen feit, staat dat in de tekst benoemd.
Waar officiele bronnen elkaar tegenspraken is dat hieronder expliciet gemaakt in plaats van gladgestreken.
Tegenstrijdigheden tussen officiele bronnen
1. Wie is per 15 augustus het CSIRT voor gemeenten · BESLECHT
Het NCSC is het CSIRT voor de sector overheid, tijdelijk. Vastgesteld op 11 augustus 2026.
De VNG-pagina (bijgewerkt 24 juli 2026) en de RDI-pagina noemen nog de IBD, maar het bericht van Digitale Overheid van
6 augustus 2026 is recenter en gezaghebbender: over de aanwijzing en de daarvoor benodigde waarborgen loopt nog
besluitvorming, en het NCSC levert de CSIRT-dienstverlening voorlopig, in ieder geval tot eind 2026.
Consequentie voor de praktijk: het incidentdraaiboek noemt het NCSC als CSIRT en de
IBD als adviseur op zorgplicht, informatiebeveiliging en privacy. De openstaande vraag is niet meer wie het nu is, maar
wat er na eind 2026 gebeurt, en of de IBD alsnog wordt aangewezen.
2. Wanneer 3000D voor DigiD verplicht wordt
De ENSIA-notitie van de VNG verwijst naar een besluit van het Strategisch overleg ENSIA van 19 juni 2025, waarin
gemeenten zich vanaf verantwoordingsjaar 2026 alleen nog volgens 3000D kunnen verantwoorden. De Logius-mededelingen
stellen dat voor de indieningsperiode van 1 januari tot 1 mei 2026, over boekjaar 2025, nog gekozen mag worden, en dat
3000D verplicht is vanaf de indieningsperiode 2027, over boekjaar 2026.
Waarschijnlijk hetzelfde besluit, verschillend uitgedrukt (verantwoordingsjaar versus
indieningsperiode). Als dat klopt is boekjaar 2026 het eerste verplichte 3000D-jaar, en dat loopt nu. Te verifieren
voordat hierop wordt gepland.
3. Waarom de IBD niet is aangewezen
De Regeling nadere eisen CSIRT's van 5 juli 2026 verplicht elk CSIRT tot minimaal
SIM3-niveau intermediate. Het is verleidelijk daarin de blokkade te zien, maar Z-CERT staat op hetzelfde Trusted
Introducer-niveau als de IBD en CERT-WM op een lager niveau, en beide zijn wel aangewezen. De juridische vorm is de
sterkere hypothese. Beide blijven een hypothese tot BZK het uitspreekt.
4. Achterhaalde tijdlijnen in officiele stukken
Zowel de ENSIA-notitie van juni 2026 als het VNG-jaarplan 2026 gaan uit van inwerkingtreding
van de Cbw in het tweede kwartaal van 2026. Dat is 15 augustus 2026 geworden. Wie op die documenten plant, heeft een
verkeerde tijdlijn. Ook onjuist in de vakpers: dat het NCSC toezicht houdt op naleving van de Cbw. Het NCSC beheert het
register en is CSIRT, de RDI is toezichthouder.
Partijen die zijn gestopt of stil gevallen
Bij een overzicht als dit is het even belangrijk te weten wat er niet meer is. Verwijzingen hiernaar in beleidsstukken,
procedures of leverancierscontracten zijn dood en horen eruit.
Partij
Status
Toelichting
Abuse Information Exchange (AbuseHUB)
Opgeheven 17 april 2024
Leden hadden eigen systemen en de overheid biedt alternatieven. ECP is vereffenaar.
dcypher
Gestopt 1 september 2025
EZ beeindigde de ondersteuning, voor de tweede keer. Activiteiten naar NCC-NL.
CS4NL
Voortijdig beeindigd
Gaat op in de Actieagenda Cybersecurity Technologies.
NDS-Raad
Opgeheven voorjaar 2026
Advisering wordt anders vormgegeven. Nathan Ducastel is sinds 26 mei 2026 NDS-ambassadeur.
Nederlands Security Meldpunt
Non-actief sinds 30 april 2024
Het NCSC pakte de slachtoffer- en doelwitnotificatie zelf op. Gemeenten waren hier via de IBD op aangesloten.
Anti-DDoS-Coalitie
Status onduidelijk
De website nomoreddos.org resolveert sinds medio 2026 naar localhost en weigert verbindingen, terwijl de
coalitie nog als actief samenwerkingsverband op ncsc.nl staat. Navragen bij ECP of het NCSC.
Nationaal Respons Netwerk
Slapend
Geen eigen vindplaats meer op ncsc.nl, wel nog genoemd in het CWN-bouwplan van september 2025. Opgegaan in
de CWN-functie Incidentafhandeling.
Anti Abuse Netwerk (abuse.nl)
Slapend
Laatste nieuwsbericht dateert van december 2021.
Servicepunt71
Opgeheven 1 januari 2023
De bedrijfsvoering ging over naar een centrumgemeente-constructie. Dat verschuift de Cbw-entiteitsgrens.
City Deal Lokale Weerbaarheid Cybercrime
Afgerond 31 december 2025
Opvolger is het Netwerk Lokale Weerbaarheid Cybercrime, kennisbeheer bij het CCV.
Wat niet is vastgesteld
De volgende punten zijn met opzet als open gemarkeerd. Ze zijn niet geverifieerd, en niet-gevonden betekent hier niet
bewezen-afwezig.
Wanneer en of de IBD formeel wordt aangewezen, en wat er gebeurt als dat er eind 2026 nog niet is.
Welke gemeenschappelijke regelingen zelfstandig onder de Cbw vallen, en waar de entiteitsgrens precies ligt bij
een centrumgemeente-constructie. Dit speelt in elke regio waar een shared service organisatie is opgeheven.
Wanneer BIO2 verplichtende zelfregulering wordt voor gemeenten, en hoe het ENSIA-overgangsmodel eruitziet.
Hoe het aangekondigde nieuwe toezichtstelsel binnen de ENSIA-systematiek met de RDI eruit gaat zien.
De uitkomst van de evaluatie van de IBD-pilot met vier regionale CISO-kringen (stond gepland voor begin 2026).
De uitkomst van de businesscase voor het interprovinciaal CSIRT, die als precedent geldt.
Of er een nationale evaluatie van de Wbni bestaat, en of er een uitvoeringstoets bij de NCSC-fusie is gedaan.
Of de Anti-DDoS-Coalitie nog bestaat, en wat de jaarlijkse contributie bedraagt.
Of enige Nederlandse gemeente NaWas-deelnemer is, en of de eigen prefixen daaronder vallen.
De actuele Connect2Trust-tarieven; de gevonden bedragen dateren uit 2023.
Of de VR-ISAC in 2026 nog actief is; publieke documentatie stopt bij 2024.
Wat CIP-participatie kost voor een gemeente, en in welke werkgroepen de gemeentelijke laag nu vertegenwoordigd is.
Wie de definitieve CISO Rijk is, en of er een geactualiseerd Landelijk Crisisplan Digitaal komt.
Methodische kanttekeningen
Twee onderzoeksronden liepen tegen zoekbudgetten aan en zijn deels via directe URL-fetches, sitemap-analyse en
archiefopnames gedaan. Waar archiefmateriaal is gebruikt, staat de opnamedatum bij de betreffende partij vermeld.
De Trusted Introducer-statussen zijn de stand van 19 januari 2025; de live directory was niet bereikbaar.
De telling van 29 organisaties over 7 ministeries komt uit onderzoek van de Universiteit Leiden en is geciteerd via
het nieuwsbericht van 19 mei 2026; de onderliggende publicatie is niet geverifieerd.
Waar een uitspraak een interpretatie is en geen feit, staat dat in de tekst benoemd.