Bedrijfsvoering onder druk maakt de vraag welke ICT je zelf doet en wat je uitbesteedt steeds relevanter.
Ik las het artikel Bedrijfsvoering gemeenten onder druk dat Binnenlands Bestuur op 10 september 2026 publiceerde. Het artikel schetst geen geruststellend beeld: de gemeentelijke formatie en de kosten van het gemeentelijk ‘apparaat’ zijn de afgelopen jaren sterk toegenomen, terwijl de ondersteunende bedrijfsvoering relatief kleiner is geworden. Opvallend is ook dat het aandeel van ICT in de totale organisatiekosten al jarenlang gelijk blijft, terwijl de eisen rond digitalisering, datagedreven werken, cyberveiligheid en AI juist sterk toenemen.
Het artikel is gebaseerd op het nieuwe rapport Stand van de Bedrijfsvoering Gemeenten 2016-2024, een fundament van de uitvoering onder druk van Venster voor Bedrijfsvoering. Venster is een programma van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), in uitvoering bij ICTU. Het is het onderzoeks- en adviesteam ‘van, voor en door de overheid’ en ondersteunt overheidsorganisaties onder meer door onderzoek, benchmarking en kennisdeling.[2] Voor het rapport zijn gemeentelijke cijfers over de periode 2016 tot en met 2024 geanalyseerd. Gemiddeld namen ongeveer veertig gemeenten per jaar deel aan de benchmark. Daarbij zijn ook gegevens uit andere bronnen betrokken, waaronder het CBS en de ICT-benchmark van M&I/Partners.
Het rapport gaat over de gehele gemeentelijke bedrijfsvoering. Toch vallen vanuit ICT-perspectief een aantal bevindingen op. Zeker wanneer die worden gecombineerd met een van de aanbevelingen uit het slothoofdstuk: gemeenten moeten niet alleen investeren, maar ook nadenken over anders organiseren.
Daarmee ontstaat een interessante vervolgvraag: wat betekenen de gesignaleerde ontwikkelingen voor de wijze waarop gemeenten hun ICT-dienstverlening organiseren, en welk deel van de ICT doen ze zelf en wat besteden ze uit?
De gemeentelijke organisatie groeit, de bedrijfsvoering niet
De totale gemeentelijke formatie nam tussen 2016 en 2024 sterk toe. De ondersteunende bedrijfsvoering groeide echter niet in hetzelfde tempo mee. Het aandeel van de bedrijfsvoeringsfuncties in de totale formatie daalde van 22,1% naar 20,1%. Het rapport maakt concreet wat dat betekent. Waar in 2016 22 medewerkers in de bedrijfsvoering 78 andere medewerkers ondersteunden, waren dat in 2024 twintig medewerkers voor tachtig collega’s. De werklast voor de ondersteunende functies is daarmee toegenomen.
Ook kwalitatief zijn er aandachtspunten. Gemeenten beoordeelden in de benchmark van 2025 de volwassenheid van hun eigen bedrijfsvoering gemiddeld met een 2,6 op een schaal van vijf. De basisprocessen zijn volgens het rapport over het algemeen op orde, maar het ontbreekt nog aan voldoende strategisch werken, continu leren en verbeteren en een proactieve en innovatieve manier van werken. Dat is de context waarin ook de gemeentelijke ICT-functie moet functioneren.
ICT moet ondertussen steeds meer
Juist bij ICT wordt de spanning in het rapport goed zichtbaar. ICT was ooit vooral ondersteunend aan kantoorautomatisering. Inmiddels is zij verweven met vrijwel ieder gemeentelijk proces. Dienstverlening aan inwoners en ondernemers verloopt steeds vaker digitaal, gemeenten werken hybride en datagedreven en tegelijkertijd nemen de eisen aan cybersecurity en informatiebeveiliging toe. Je zou daarom verwachten dat deze ontwikkeling zich vertaalt in een duidelijke groei van het aandeel van ICT in de gemeentelijke organisatiekosten. Dat blijkt niet het geval.
Volgens het rapport zijn de gemiddelde ICT-kosten als percentage van de totale organisatiekosten gedurende de onderzochte periode ongeveer gelijk gebleven op circa 11%. Gemeenten ondersteunen dus binnen een relatief gelijkblijvend financieel aandeel steeds meer processen, toepassingen en eisen. Op zichzelf zou dat kunnen wijzen op een hogere doelmatigheid van de ICT-functie. Venster is daar terecht voorzichtig mee. Die conclusie kan immers alleen worden getrokken wanneer ook de kwaliteit op peil is gebleven. En juist daar ontstaat twijfel. Volgens het rapport wordt de kwaliteit van de ICT-functie bij gemeenten, na de rechterlijke macht, van de onderzochte overheidssectoren het minst vaak als goed of uitstekend beoordeeld. Daarmee ontstaat een herkenbaar spanningsveld: de afhankelijkheid van ICT neemt toe, de eisen worden zwaarder, maar de middelen groeien relatief niet mee en de ervaren kwaliteit blijft achter.
De regelgeving heeft het rapport al ingehaald
Interessant is dat de juridische werkelijkheid zich zelfs tijdens het verschijnen van het rapport verder heeft ontwikkeld.
- Het rapport spreekt nog over de implementatie van de NIS2-richtlijn. Sinds 15 augustus 2026 is in Nederland echter de Cyberbeveiligingswet (Cbw) van kracht. Daarmee is NIS2 in Nederlandse wetgeving geïmplementeerd. Gemeenten vallen daarbij als essentiële entiteiten onder de wet[1]. Voor gemeenten gaat het daardoor niet langer alleen om voorbereiding op komende NIS2-verplichtingen. De Cyberbeveiligingswet kent inmiddels onder meer een registratieplicht, zorgplicht en meldplicht en stelt eisen aan de kennis en verantwoordelijkheid van bestuurders.
- Ook de positie van BIO2 is veranderd. De Cyberbeveiligingsregeling sector overheid verplicht essentiële entiteiten in de sector overheid om ISO 27001 toe te passen op hun managementsystematiek voor informatiebeveiliging. Voor het formuleren van passende en evenredige beveiligingsmaatregelen moeten zij ten minste de beheersmaatregelen uit ISO 27002 gebruiken; deze maatregelen omvatten ten minste de voor de organisatie relevante overheidsmaatregelen uit BIO2 versie 1.3. Waar dat noodzakelijk is, kunnen maatregelen uit andere normenkaders worden toegepast, mits een ten minste gelijkwaardig beveiligingsniveau aantoonbaar is[2].
- Ook de AI-verordening (AI Act) is inmiddels veel meer dan toekomstige regelgeving. De eerste verplichtingen gelden al sinds 2025. Sinds 2 augustus 2026 is het grootste deel van de AI-verordening van toepassing en gelden onder meer de transparantieverplichtingen voor bepaalde AI-systemen, zoals de informatieplicht bij interactie met AI en regels rond synthetische content. Voor de hoog-risico-AI-systemen zijn de toepassingsdata in 2026 aangepast: voor de in bijlage III genoemde zelfstandige hoog-risico-AI-systemen geldt 2 december 2027 en voor hoog-risico-AI die onderdeel is van gereguleerde producten 2 augustus 2028.
De constatering uit het rapport dat ICT steeds meer moet ondersteunen, krijgt daardoor extra gewicht. Een deel van wat gedurende de onderzoeksperiode nog als ontwikkeling of toekomstige verplichting gold, maakt inmiddels deel uit van het actuele juridische kader.
Geen pleidooi voor IT outsourcing
Uit dit alles volgt niet dat gemeenten hun ICT dan maar meer moeten uitbesteden, dat zegt het rapport ook niet. Venster pleit in de eerste plaats juist voor het versterken van ICT. Om ontwikkelingen rond digitalisering, AI, cyberveiligheid en datagedreven werken te kunnen bijbenen, zijn volgens de onderzoekers hogere investeringen nodig dan de jarenlange status quo. Daarbij moet niet alleen in capaciteit worden geïnvesteerd, maar ook in kwaliteit, continu leren en innovatie.
Maar daarna volgt een aanbeveling die vanuit sourcing-perspectief minstens zo interessant is. Onder de titel ‘Anders organiseren’ stelt Venster dat niet alles met extra geld en middelen is op te lossen. Ook samenwerking met andere gemeenten en overheden kan onderdeel zijn van een andere inrichting van de bedrijfsvoering. En vervolgens stelt het rapport precies de vraag die bij iedere sourcingstrategie centraal hoort te staan:
“Wat doe je zelf, wat besteed je uit en wat doe je in samenwerking?”
Venster geeft daar bewust geen standaardantwoord op. Gezamenlijk organiseren kan voordelen bieden, maar kan ook de keuzevrijheid of de mogelijkheid tot maatwerk beperken. Volgens het rapport bestaat er geen algemene ‘goede’ of ‘foute’ keuze. Nodig zijn een goede analyse, een onderbouwde keuze en vervolgens een consequente uitvoering daarvan. Voor ICT is dit bij uitstek een kwestie van uitbesteden.
Sourcing begint vóór de ICT-aanbesteding
Bij een voorgenomen vervanging of herinrichting van ICT-dienstverlening wordt vaak snel doorgeschakeld naar de marktuitvraag. Welke diensten gaan we aanbesteden? Welke eisen stellen we? Welke SLA moet gelden? Welke verantwoordelijkheden leggen we bij de leverancier? En hoe beoordelen we de aanbiedingen? Maar deze vragen kunnen pas goed worden beantwoord wanneer tijdens de voorbereiding tegelijkertijd de fundamentelere sourcing keuzes worden uitgewerkt:
Welke ICT-capabilities wil en moet de organisatie zelf behouden?
ICT-infrastructuur uitbesteden: welk model past?
Neem bijvoorbeeld het uitbesteden van ICT-infrastructuur. Een gemeente kan ervoor kiezen uitsluitend het technische beheer bij een leverancier onder te brengen. Maar zij kan ook kiezen voor een verdergaand managed-services-model waarin bijvoorbeeld werkplekdienstverlening, servicedesk, monitoring, technisch securitybeheer, life cycle management en de operationele aansturing van andere leveranciers worden opgenomen. Dat zijn niet simpelweg verschillende scopes van dezelfde aanbesteding. Het zijn verschillende sourcingmodellen, die ieder andere eisen stellen aan de eigen organisatie. Daarom moet tijdens de voorbereiding onder meer duidelijk worden welke ICT-capabilities strategisch zijn en intern aanwezig moeten blijven, welke verantwoordelijkheden de gemeente zelf wil behouden, welke dienstverlening integraal door een marktpartij kan worden uitgevoerd, waar duidelijke demarcaties nodig zijn en welke architectuur-, security- en governance-kaders gelden.
Ook moet worden bepaald welke regie-, leveranciers- en contractmanagement capaciteit nodig is om de gekozen dienstverlening daadwerkelijk te kunnen besturen.
Sourcing gaat ook over de inrichting van het leverancierslandschap
Daarbij gaat sourcing niet alleen over de klassieke vraag zelf doen of uitbesteden. Ook de vraag hoe wordt uitbesteed is relevant. Moderne ICT-infrastructuren bestaan uit sterk samenhangende componenten: cloud, Microsoft 365, netwerken, werkplekken, identity, security, monitoring en applicaties beïnvloeden elkaar voortdurend. Wanneer verantwoordelijkheden over een groot aantal leveranciers worden verdeeld, neemt ook de complexiteit van de regie toe.
Dat betekent niet dat één leverancier altijd de beste keuze is. Een best-of-breed-benadering kan goede redenen hebben. Maar de keuze voor één integrale strategische dienstverlener of meerdere gespecialiseerde leveranciers moet bewust worden gemaakt, inclusief de consequenties voor governance, ketenverantwoordelijkheid en de benodigde eigen regiecapaciteit. Juist onduidelijkheid op de raakvlakken tussen leveranciers en opdrachtgever kan leiden tot problemen rond incidenten, security, wijzigingen, architectuurkeuzes, lifecyclemanagement en ketensamenwerking.
ICT uitbesteden verandert de eigen ICT-organisatie
Dat wordt bij ICT outsourcing nogal eens onderschat. Wanneer technische werkzaamheden worden uitbesteed, kan de behoefte aan eigen technische uitvoeringscapaciteit afnemen. Daaruit volgt echter niet automatisch dat minder interne ICT-capaciteit nodig is, maar wel dat de aard van die capaciteit verandert.
Architectuur, leveranciersmanagement, contractmanagement, servicemanagement, informatiebeveiliging en het kunnen beoordelen van prestaties en risico’s worden juist belangrijker: je kunt de uitvoering uitbesteden, maar niet de verantwoordelijkheid voor goed opdrachtgeverschap en de beheersing en acceptatie van risico’s.
De nieuwe cyberbeveiligingsregelgeving maakt dat uitgangspunt alleen maar relevanter. De toelichting op de Cyberbeveiligingsregeling sector overheid is op dit punt opvallend expliciet. De primaire verantwoordelijkheid voor het beheersen van risico’s voor netwerk- en informatiesystemen blijft bij de entiteit, óók waar die risico’s uit de leveranciersketen voortkomen. De organisatie moet zelf afwegen welke diensten zij uitbesteedt en onder welke voorwaarden. Ook wanneer na maatregelen van een leverancier een restrisico overblijft, blijft het uiteindelijk aan de entiteit om te beslissen of dat risico aanvaardbaar is[3]. Dat raakt rechtstreeks aan sourcing en contractering. Het is dus niet voldoende om in een overeenkomst te bepalen dat ‘de leverancier verantwoordelijk is voor security’. De opdrachtgever moet zelf inzicht hebben in de risico’s, de benodigde beveiligingsmaatregelen bepalen, eisen stellen aan leveranciers en de naleving daarvan kunnen beoordelen.
Daar komt bij dat uit de benchmark over 2025 bleek dat gemeenten zichzelf nog onvoldoende beoordeelden op onder meer beveiliging van toeleveringsketens, crisisbeheersing en herstelmaatregelen na incidenten. Juist bij uitbestede ICT lopen dergelijke verantwoordelijkheden over verschillende organisaties en leveranciers heen.
Een sourcingmodel zonder passende regieorganisatie lost daarom niet vanzelf een capaciteitsprobleem op. Het kan er juist een nieuw besturingsprobleem voor in de plaats zetten.
Wat betekent AI voor sourcing?
Ook AI begint inmiddels een rol te spelen in sourcing vraagstukken. Steeds meer ICT-dienstverleners voegen AI-functionaliteit toe aan bijvoorbeeld servicedesks, securitydiensten, monitoring, beheerplatforms, Microsoft-omgevingen en kantoorautomatisering. Gedurende een meerjarig contract kan die functionaliteit bovendien aanzienlijk veranderen. Daarmee ontstaat een nieuwe categorie vragen. Welke AI-functionaliteit mag een leverancier inzetten? Welke data worden daarvoor gebruikt? Waar vindt verwerking plaats? Kan de opdrachtgever het gebruik van bepaalde AI-functionaliteit weigeren? Welke transparantie is vereist? En vooral: welke rol vervullen leverancier en gemeente onder de AI-verordening en welke verplichtingen horen daarbij?
Dat hoeft niet te betekenen dat iedere ICT-aanbesteding een afzonderlijk AI-contract nodig heeft. Het betekent wel dat een toekomstbestendige sourcing- en contractstrategie rekening moet houden met de mogelijkheid dat AI gedurende de contractduur steeds verder onderdeel wordt van de dienstverlening.
Ook dit onderstreept waarom een aanbesteding niet uitsluitend kan worden gezien als het inkopen van de huidige technische dienstverlening.
De markt kan helpen de sourcing richting te toetsen
Een bewuste sourcing keuze betekent evenmin dat de opdrachtgever vooraf ieder detail zelf moet hebben bedacht. Juist bij complexe outsourcing kan interactie met de markt waardevol zijn. Een voorlopig sourcing model en een voorlopige verdeling van verantwoordelijkheden kunnen bij marktpartijen worden getoetst op haalbaarheid, risico’s, transitie, kosten en de wijze waarop leveranciers invulling kunnen geven aan governance, security, innovatie en samenwerking.
Dat is een belangrijk onderdeel van de aanpak die Emtio bij complexe IT outsourcing hanteert: de toekomstige oplossingsrichting wordt niet alleen achter een bureau uitgewerkt, maar waar de gekozen aanbestedingsprocedure dit mogelijk maakt ook interactief bij marktpartijen gevalideerd. De verkregen inzichten kunnen vervolgens worden verwerkt in de uiteindelijke dienstverlening en contractuele inrichting. Daarbij moet wel een belangrijk onderscheid worden bewaakt:
- de markt kan helpen een sourcing richting te toetsen en verder uit te werken, maar
- de markt moet niet voor de opdrachtgever bepalen welk sourcing model zij nodig heeft.
De fundamentele keuzes over doelstellingen, verantwoordelijkheden, risicoacceptatie en de gewenste eigen rol blijven keuzes van de opdrachtgever.
De aanbesteding is onderdeel van het sourcingtraject
Daarmee ontstaat ook een andere kijk op de verhouding tussen sourcing en aanbesteden. De voorbereiding van een aanbesteding is niet uitsluitend een juridisch of procedureel traject. Het is juist het moment waarop een organisatie expliciet maakt hoe zij met haar toekomstige leverancier wil samenwerken, welke verantwoordelijkheden zij zelf behoudt en hoe governance, regie, continuïteit, security en overdraagbaarheid worden ingericht.
Het rechtmatig doorlopen van een Europese aanbestedingsprocedure is daarbij geen doel op zichzelf. Eerst moet duidelijk zijn wat met het sourcing- en aanbestedingstraject moet worden bereikt. Die doelstellingen vormen vervolgens het uitgangspunt voor de inrichting van de dienstverlening, voor de voorstellen van leveranciers én voor de toekomstige governance en regie.
Daarom is een formulering ‘eerst de sourcingstrategie, dan de aanbesteding’ eigenlijk te eenvoudig. Beter is:
Sourcing, regieontwikkeling en aanbestedingsvoorbereiding vormen één samenhangend traject. De fundamentele keuzes liggen bij de opdrachtgever; de markt kan vervolgens worden gebruikt om die keuzes te toetsen, te verfijnen en te vertalen naar een uitvoerbare dienstverlening.
Welke ICT-organisatie wil je zijn?
De vraag die Venster stelt – wat doe je zelf, wat besteed je uit en wat doe je in samenwerking? – lijkt eenvoudig. Voor ICT is het antwoord zelden eenvoudig. Kosten en beschikbare capaciteit spelen uiteraard een rol. Maar dat geldt ook voor kwaliteit, continuïteit, digitale weerbaarheid, schaarse expertise, wendbaarheid, leveranciersafhankelijkheid en het vermogen om dienstverlening professioneel aan te sturen. De ontwikkelingen die Venster signaleert, gecombineerd met de inmiddels geldende Cyberbeveiligingswet, de juridische verankering van relevante BIO2-maatregelen en de verdere toepassing van de AI-verordening, maken die afweging alleen maar belangrijker. Niet pas wanneer de aanbestedingsstukken vrijwel gereed zijn, maar vanaf het begin van het traject.
Een goede ICT-aanbesteding begint uiteindelijk niet met de vraag wat de markt moet leveren, maar met de vraag welke ICT-organisatie je zelf wilt en moet zijn.
Over Emtio
Emtio ondersteunt publieke organisaties bij ICT uitbesteden: van ICT-sourcing en IT outsourcing tot complexe ICT-aanbestedingen. Daarbij worden sourcingkeuzes, de toekomstige inrichting van governance en regie en de voorbereiding van de aanbesteding in samenhang ontwikkeld. Dat begint met inzicht in de bestaande dienstverlening en de doelstellingen voor de toekomstige situatie. Van daaruit worden het sourcingmodel, de scope, verantwoordelijkheidsverdeling, architectuur- en securitykaders en de benodigde regieorganisatie uitgewerkt. Waar dat meerwaarde biedt, wordt de voorlopige oplossingsrichting vervolgens interactief bij marktpartijen getoetst.
Een belangrijk onderdeel van onze dienstverlening is de inrichting en verdere professionalisering van de regiefunctie. Bij outsourcing verandert immers niet alleen de technische dienstverlening, maar ook de rol van de opdrachtgever. Emtio ondersteunt organisaties daarom bij het bepalen van de gewenste governance, de verdeling van verantwoordelijkheden tussen opdrachtgever en leverancier, de inrichting van overleg- en escalatiestructuren, leveranciers- en contractmanagement en de wijze waarop op prestaties, risico’s, samenwerking en ontwikkeling wordt gestuurd. Daarbij kijken we niet alleen naar traditionele KPI’s en serviceniveaus, maar ook naar de voorwaarden voor een duurzaam bestuurbare samenwerking, zoals procesvolwassenheid, kwaliteit van samenwerking, communicatie, innovatie en gezamenlijke doorontwikkeling. In onze aanpak krijgt die regieorganisatie al tijdens de voorbereiding van de aanbesteding vorm, zodat governance niet pas ná contractering hoeft te worden bedacht. Deze benadering sluit aan op de door Emtio gehanteerde werkwijze waarin governance, regie, dienstverlening en contractering integraal worden ontwikkeld.
De gemaakte keuzes worden vervolgens vertaald naar een aanbesteedbare en contracteerbare dienstverlening: van functionele uitgangspunten en SLA tot governance, informatiebeveiliging, continuïteit, contractmanagement, transitie en exit.
ICT-infrastructuur uitbesteden?
Staat uw organisatie voor een herinrichting of (her)aanbesteding van de ICT-dienstverlening, of overweegt u ICT-infrastructuur uit te besteden? Dan kan het verstandig zijn om sourcingkeuzes, regieorganisatie en verantwoordelijkheidsverdeling vanaf het begin integraal onderdeel te maken van het aanbestedingstraject. Neem contact op met Emtio.
[1] Digitale Overheid, Veelgestelde vragen Cyberbeveiligingswet. Hierin wordt expliciet vermeld dat gemeenten als essentiële entiteit onder de regeling vallen en dat toeleveranciers niet automatisch zelf onder de wet vallen.
[2] Cyberbeveiligingsregeling sector overheid, Staatscourant 2026, 27679, in het bijzonder art. 3 en 5 en de toelichting over leveranciersketens en restrisico.
[3] Zie: https://zoek.officielebekendmakingen.nl/stcrt-2026-27679.html
