Wat zijn de eisen voor een website van de overheid?

Een website van de overheid moet voldoen aan een combinatie van wettelijke eisen op het gebied van digitale toegankelijkheid, beveiliging en privacybescherming. De belangrijkste verplichtingen komen voort uit de Wet digitale overheid (Wdo), de Algemene verordening gegevensbescherming (AVG) en het Besluit beveiligde verbinding met overheidswebsites. Hieronder beantwoorden we de meest gestelde vragen over gemeentewebsite-eisen, WCAG en alles wat daarmee samenhangt.

Welke wettelijke verplichtingen gelden voor overheidswebsites?

Overheidswebsites moeten voldoen aan drie wettelijke hoofdverplichtingen: digitale toegankelijkheid op basis van de Wet digitale overheid, beveiligde verbindingen via HTTPS en HSTS, en privacybescherming conform de AVG. Deze verplichtingen gelden voor alle websites, apps, intranetten en cloudapplicaties van overheidsorganisaties, inclusief hun content.

De kern van de toegankelijkheidsverplichting is vastgelegd in het Besluit digitale toegankelijkheid overheid. Dat besluit is sinds 1 juli 2023 onderdeel van de Wet digitale overheid. Concreet betekent dit dat elke publiek toegankelijke website van een overheidsorganisatie aantoonbaar toegankelijk moet zijn voor mensen met een beperking, én dat de organisatie dit moet documenteren in een toegankelijkheidsverklaring.

Naast toegankelijkheid geldt er ook een beveiligingsverplichting. Het Besluit beveiligde verbinding met overheidswebsites verplicht organisaties om hun websites te beveiligen met HTTPS en HSTS. Wie dit niet doet, is wettelijk in overtreding. Vanaf 28 juni 2025 gelden vergelijkbare toegankelijkheidseisen ook voor veel commerciële organisaties via de Europese Toegankelijkheidswet (EAA) Deze link opent in een nieuw tabblad, maar voor de overheid was dit al eerder verplicht.

Wat is DigiToegankelijk en hoe werkt het?

DigiToegankelijk is de Nederlandse naam voor de standaard waarmee overheidsorganisaties hun websites en apps toegankelijk moeten maken voor alle burgers. De standaard is gebaseerd op de Europese norm EN 301 549, die verwijst naar de technische richtlijnen van WCAG 2.1. Voor overheidswebsites geldt een verplichting tot niveau AA van deze richtlijnen.

Het programma DigiToegankelijk werkt als een toezichts- en ondersteuningsprogramma. Overheidsorganisaties kunnen via MijnDigiToegankelijk hun voortgang monitoren en krijgen een status toegewezen van A tot en met E. Status A betekent volledig voldoen aan alle eisen; status D of E betekent dat de organisatie niet aan de wet voldoet. Met status A, B of C voldoet een organisatie formeel aan de wet, al lopen bij B en C nog verbetertrajecten.

Logius vervult de rol van kenniscentrum voor digitale toegankelijkheid en werkt samen met partijen zoals Gebruiker Centraal en de VNG. Het programma DigiToegankelijk TOP Deze link opent in een nieuw tabblad is in 2022 gestart in opdracht van het ministerie van BZK en wordt uitgevoerd door ICTU. Het doel is om digitale toegankelijkheid structureel te verankeren in aanbestedingsprocessen en inkoopvoorwaarden, zodat nieuwe websites al bij de bouw aan de eisen voldoen.

Welke WCAG-criteria zijn het moeilijkst te halen voor overheidswebsites?

De meest voorkomende knelpunten bij overheidswebsites zijn onvoldoende kleurcontrast, ontbrekende alt-teksten bij afbeeldingen, formulieren zonder duidelijke labels, niet-ondersteunde toetsenbordnavigatie en ontbrekende ondertiteling bij video’s. Dit zijn technische fouten die bij elke nieuwe release of contentupdate opnieuw kunnen opduiken.

Wat dit extra lastig maakt: automatische testtools zoals WAVE of axe DevTools detecteren slechts een deel van de problemen. Ze kunnen wel controleren of een alt-tekst aanwezig is, maar niet of die alt-tekst ook zinvol is. Toetsenbordnavigatie en een logische leesvolgorde vereisen handmatige tests door echte gebruikers, inclusief mensen die werken met een schermlezer.

Een ander hardnekkig probleem is dat toegankelijkheid geen eenmalig project is. Elke nieuwe pagina, elk nieuw formulier en elke nieuwe video brengt potentieel nieuwe fouten mee. Dat verklaart waarom de naleving in de praktijk achterblijft: verklaringen worden aangeleverd, maar verbeteringen verzanden zodra het dagelijkse werk weer de aandacht opeist. Eind 2024 voldeed slechts een kwart van de overheidswebsites volledig aan alle WCAG-eisen, zo stelt het College voor de Rechten van de Mens Deze link opent in een nieuw tabblad.

Hoe verschilt een toegankelijkheidsverklaring van een privacyverklaring?

Een toegankelijkheidsverklaring beschrijft in hoeverre een website voldoet aan de WCAG-toegankelijkheidsrichtlijnen en welke maatregelen worden genomen om eventuele knelpunten op te lossen. Een privacyverklaring legt uit welke persoonsgegevens worden verzameld en met welk doel. Beide zijn verplicht voor overheidswebsites, maar op basis van verschillende wetten.

De toegankelijkheidsverklaring vloeit voort uit de Wet digitale overheid en moet worden gepubliceerd via de invulassistent op toegankelijkheidsverklaring.nl. De verklaring bevat onder meer welke onderdelen goed functioneren, waar verbeterpunten liggen, contactgegevens voor het melden van problemen en een planning voor verbetermaatregelen. De verklaring moet minimaal één keer per jaar worden bijgewerkt. Let op: een verklaring met status C wordt na zes maanden automatisch teruggezet naar status D als er geen update volgt.

De privacyverklaring is gebaseerd op de AVG en informeert bezoekers over de verwerking van hun persoonsgegevens. Denk aan gegevens die binnenkomen via contactformulieren, cookiescripts of analyticstoepassingen. Beide documenten staan los van elkaar en vullen elkaar aan. Een overheidswebsite zonder een van beide voldoet simpelweg niet aan de wet.

Welke beveiligingseisen gelden voor websites van overheidsorganisaties?

Overheidswebsites zijn wettelijk verplicht om HTTPS en HSTS te gebruiken voor alle publiek toegankelijke pagina’s. De HTTPS-configuratie moet voldoen aan de TLS-richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Wie dit niet implementeert, overtreedt het Besluit beveiligde verbinding met overheidswebsites. Met de gratis testtool Internet.nl kan elke organisatie controleren of haar website aan deze verplichting voldoet.

Daarnaast geldt de Baseline Informatiebeveiliging Overheid (BIO2), die in september 2024 is gepubliceerd. Vanaf september 2025 hanteren provincies, waterschappen en het Rijk de BIO2 als verplichtende zelfregulering. De BIO2 sluit aan op internationale normen zoals ISO 27001 en de Europese NIS2-richtlijn, en legt de nadruk op risicogerichte beveiliging in plaats van een checklist-aanpak.

Op de achtergrond speelt ook de Cyberbeveiligingswet een rol. Dit wetsvoorstel implementeert de NIS2-richtlijn in Nederland en is in juni 2025 ingediend bij de Tweede Kamer. De wet treedt naar verwachting in werking rond 1 juli 2026 en introduceert een zorgplicht, een meldplicht bij incidenten en een registratieplicht voor gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) wordt aangesteld als toezichthouder. Het advies van de rijksoverheid is om niet te wachten tot de wet van kracht is, want de risico’s zijn er nu ook al.

Moet een overheidswebsite voldoen aan de AVG?

Ja, overheidsorganisaties vallen volledig onder de AVG zodra zij persoonsgegevens verwerken. Dat is bijna altijd het geval: elk contactformulier, elke analyticsoplossing en elk cookiescript verwerkt potentieel persoonsgegevens. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving, ook bij overheden.

Concreet betekent dit dat een overheidswebsite voor elke gegevensverwerking een geldige rechtsgrondslag nodig heeft. De AVG noemt zes mogelijke grondslagen, waaronder toestemming, wettelijke verplichting en gerechtvaardigd belang. Voor overheidsorganisaties is de wettelijke verplichting vaak de meest logische grondslag, maar dit moet per verwerkingsactiviteit worden beoordeeld.

Overheidsorganisaties zijn daarnaast verplicht om datalekken te melden bij de AP en alle lekken te documenteren. In bepaalde gevallen, zoals bij grootschalige verwerking van bijzondere persoonsgegevens, moet ook een Functionaris voor de Gegevensbescherming (FG) worden aangesteld. Naast de AVG zijn overheidsinstanties als bestuursorgaan ook gebonden aan de Archiefwet, de Wet open overheid en de Algemene wet bestuursrecht. Dat maakt het AVG-compliancevraagstuk voor overheden complexer dan voor commerciële partijen.

Wat zijn de gevolgen als een overheidswebsite niet aan de eisen voldoet?

De gevolgen variëren per wet. Voor niet-naleving van de AVG kan de Autoriteit Persoonsgegevens boetes opleggen tot maximaal 20 miljoen euro of vier procent van de wereldwijde jaaromzet. Voor digitale toegankelijkheid zijn er geen directe boetes vastgesteld, maar de politieke en bestuurlijke consequenties kunnen aanzienlijk zijn.

Bij digitale toegankelijkheid werkt handhaving via bestaande toezichtsstructuren. De gemeenteraad controleert of de gemeente haar websites en apps op orde heeft. Als dat niet het geval is, kan een hoger bestuursniveau ingrijpen. Europa kan bovendien sancties opleggen aan Nederland als de overheid structureel in gebreke blijft bij de Europese Toegankelijkheidsrichtlijn. In 2024 zijn al signaleringsbrieven verstuurd naar overheidsorganisaties met een verlopen of onvoldoende toegankelijkheidsverklaring.

Voor beveiliging geldt dat niet-naleving van de HTTPS- en HSTS-verplichting een wettelijke overtreding is. Met de komst van de Cyberbeveiligingswet worden de toezichtsmogelijkheden verder uitgebreid en krijgen gemeenten een formele registratie- en meldplicht.

Kortom: de risico’s van niet-naleving zijn reëel, zowel juridisch als reputationeel. Een gemeente die haar digitale huis niet op orde heeft, raakt het vertrouwen van burgers kwijt en loopt achter op wettelijke verplichtingen die al jaren van kracht zijn.

Werk je aan een overheidswebsite en wil je zeker weten dat die voldoet aan alle gemeentewebsite-eisen rondom WCAG, beveiliging en AVG? Bij Stuurlui bouwen we WordPress websites die vanaf de basis voldoen aan de hoogste standaarden, inclusief veilig coderen, toegankelijkheid en de OWASP-richtlijnen. Neem contact op en we kijken samen wat er nodig is.