Op 1 januari 2027 gaat de nieuwe Archiefwet in. Overheden moeten hun informatie bij voorkeur vanaf het eerste moment duurzaam toegankelijk houden, in elke mailbox, Teams-omgeving en SaaS-applicatie. Wie dat bij een leverancier onderbrengt, blijft er zelf verantwoordelijk voor.
Overheden kunnen een IT-systeem niet langer eerst inrichten en pas jaren later archiveren. Dat stelt ICT-jurist Victor de Pous, die in zijn juridische nieuwsbrief Newsware al jaren het IT-recht volgt en analyseert. Volgend jaar gaat de Archiefwet 2026 in die de wet uit 1995 vervangt. Die huidige wet is grotendeels geschreven voor het papieren tijdperk.
Dat dit gevolgen heeft, is al veel langer bekend. De toenmalige Rijksarchiefinspectie waarschuwde in 2005 in het rapport ‘Een dementerende overheid?’ al dat digitale informatie verloren ging of niet meer te interpreteren was. Twintig jaar later bleek bij de Belastingdienst een afgeschermde omgeving te bestaan met tientallen miljoenen ongesorteerde bestanden, waaronder stukken die de Kamer had moeten krijgen voor de parlementaire enquête naar fraudebeleid, zoals de toeslagenaffaire. De dienst had die bestanden in 2019 apart gezet omdat ze achterliep met opschonen en vernietigen. De staatssecretarissen van Financiën en Herstel Toeslagen erkenden in april in een Kamerbrief dat ze “uw Kamer eerder hadden moeten informeren”.
Archief vanaf de inrichting
“Goed informatiebeheer is niet ineens een nieuwe plicht”, zegt De Pous. “De wet van 1995 verplichtte overheden dertig jaar geleden al om hun archieven in een goede, geordende en toegankelijke staat te houden, ook digitaal. De nieuwe wet vertaalt die plicht alleen veel explicieter naar de digitale werkelijkheid, en het beheer begint al op het moment dat informatie wordt gemaakt of binnenkomt.” Het Nationaal Archief werkt dat uit in zes kenmerken. Informatie moet vindbaar, beschikbaar, leesbaar, interpreteerbaar, betrouwbaar en toekomstbestendig zijn.
Voor een gemeente, provincie of waterschap heeft dat directe gevolgen voor de manier waarop systemen worden ingericht. “Een Teams-omgeving, een zaaksysteem of een SaaS-applicatie is geen tijdelijk werkgebied meer waar je later archivering op loslaat”, legt De Pous uit. “Vanaf de inrichting moet je weten welke informatie erin zit, welke bewaartermijnen gelden, hoe je metadata en context bewaart en hoe je informatie meeneemt als je migreert of het systeem uitzet.” Daarbij komen twee nieuwe verplichtingen. Elke organisatie moet beheerregels opstellen en openbaar maken, en een actueel overzicht bijhouden van de eigen informatiehuishouding, met werkprocessen, applicaties en vindplaatsen.
Bestuur blijft eindverantwoordelijk
Over wie aanspreekbaar is als het misgaat, laat de wet eigenlijk weinig ruimte. Bij een gemeente is dat het college van B&W, bij een provincie Gedeputeerde Staten en bij een waterschap het dagelijks bestuur. “De CIO kan intern een grote sturende en uitvoerende rol krijgen, maar de Archiefwet maakt de CIO niet juridisch eindverantwoordelijk”, zegt De Pous. De archivaris houdt toezicht en rapporteert voortaan rechtstreeks aan het bestuur. Volgens De Pous is de archivaris daarmee juist niet degene bij wie het bestuur zijn verantwoordelijkheid kan neerleggen.
Elke gemeente, provincie en elk waterschap moet straks een archivaris hebben. Wie er bij de ingang van de wet nog geen heeft, krijgt daarvoor twee jaar, tot 1 januari 2029. “Dat is nogal coulant”, vindt De Pous. “Dat had natuurlijk ook anders gekund.” Voor gemeenten is die archivaris overigens niet zomaar gevonden. Steven Adriaansen, burgemeester van Woensdrecht en voorzitter van de VNG-adviescommissie Archieven, rekende vorig jaar tegenover Binnenlands Bestuur voor dat gemeenten nog zo’n honderd archivarissen tekortkomen, op een arbeidsmarkt waar ze schaars zijn. De VNG schat de kosten van de verplichte archivaris voor gemeenten op 2,2 miljoen euro.
Boete raakt vooral Rijk
De wet introduceert daarnaast een meldplicht. Wie onder toezicht staat van de Inspectie Overheidsinformatie en Erfgoed, moet het binnen 72 uur na ontdekking melden als belangrijke documenten verloren gaan, beschadigd raken of ontoegankelijk worden, of als dat dreigt. “Denk aan een ransomware-aanval waardoor dossiers niet meer leesbaar zijn of aan een mislukte migratie waarbij cruciale informatie verdwijnt.” Deze meldplicht geldt overigens vooral voor de centrale overheid, en niet voor gemeenten, provincies en waterschappen. Welke incidenten precies onder de meldplicht vallen, legt de Inspectie vast in een kader dat dit najaar moet verschijnen.
Daarnaast kan de minister van OCW een bestuurlijke boete opleggen tot de vijfde categorie, die sinds dit jaar maximaal 110.000 euro bedraagt. “Serieus geld dus”, zegt De Pous. Ook die boete raakt decentrale overheden niet, want bij hen loopt het toezicht via de archivaris en het gewone interbestuurlijk toezicht.
Cloud neemt niets over
“Uitbesteden betekent niet dat je de verantwoordelijkheid overdraagt”, zegt De Pous over de groeiende hoeveelheid overheidsinformatie bij cloud- en SaaS-leveranciers. “Ook als je dossiers bij Microsoft, Salesforce of een leverancier van zaaksystemen staan, blijf je als overheid zelf aanspreekbaar.” Waar de informatie fysiek staat, maakt voor de archiefplicht niet uit.
Archiefeisen horen erbij op het moment dat je een systeem koopt, bouwt of inricht, en net zo goed als je het aanpast of uitfaseert”, zegt de ICT-jurist. “Ze moeten bovendien passen bij andere wetgeving, zoals de AVG en de Data Act. En vergeet niet dat je die informatie ook moet beveiligen.” Hij noemt dat archiveren by design. Inkoop moet daarom veel steviger toetsen of een dienst aan de archiefeisen kan voldoen. Een contract moet regelen dat informatie met metadata en context te exporteren is, dat bewaartermijnen en vernietiging aantoonbaar kunnen worden uitgevoerd en dat informatie bij een Woo-verzoek veilig te stellen is. Ook moet de overheid bij het einde van het contract alles volledig terugkrijgen, en moet blijvend te bewaren informatie naar een e-depot kunnen.
Een verbod op Amerikaanse of andere buitenlandse cloudleveranciers staat er overigens niet in. De Archiefwet eist ook niet dat alle informatie in Nederland staat. Daarvoor gelden voor de rijksoverheid aparte regels voor cloud en digitale soevereiniteit.
Ook de privételefoon
Welke technologie of welk apparaat iemand gebruikt, maakt voor de wet niets uit. Een document is alle vastgelegde informatie die een overheidsorgaan maakt of ontvangt en die met de publieke taak te maken heeft. De Raad van State oordeelde al in 2019 dat zakelijke sms- en WhatsApp-berichten onder de openbaarheidsregels vallen, ook op een privételefoon. De organisatie kan daar zelf niet bij, dus de ambtenaar moet die berichten desgevraagd overdragen. “Een wethouder of ambtenaar houdt een zakelijk bericht niet buiten de regels door zijn privé-iPhone te gebruiken”, stelt De Pous. “Privécommunicatie blijft privé, het gaat erom of het bericht over de publieke taak gaat.”
Apps die berichten automatisch laten verdwijnen, zijn daardoor een probleem als overheidsinformatie verdwijnt voordat het selectiebesluit dat toestaat. Voor bewindspersonen geldt al een instructie om automatisch verwijderen uit te zetten. Toch hoeft niet elk chatbericht eeuwig bewaard te blijven, benadrukt De Pous, want waardering en selectie bepalen wat tijdelijk en wat blijvend wordt bewaard.
Zoeken gaat sneller
De Archiefwet en de Wet open overheid (Woo) zijn bewust op elkaar afgestemd. “De Woo geeft je recht op publieke informatie en de Archiefwet moet ervoor zorgen dat die informatie überhaupt bestaat, vindbaar is en in haar context terug te vinden is.” Zolang documenten niet zijn overgebracht, geldt de Woo. Daarna valt de toegang onder de Archiefwet, “behoudens specifieke wettelijke uitzonderingen”. Beide wetten kennen redenen om informatie niet of maar beperkt openbaar te maken, bijvoorbeeld om persoonsgegevens of de veiligheid van de staat te beschermen. In de nieuwe Archiefwet sluiten die redenen veel beter aan op die van de Woo.
Dat Woo-verzoeken daardoor sneller worden afgehandeld, garandeert de wet niet. Een organisatie met een actueel overzicht, consistente metadata en goed beheerde mail-, chat- en SaaS-omgevingen weet wel veel sneller welke documenten er zijn en waar ze staan. “Goed archiefbeheer lost vooral het zoek- en volledigheidsprobleem op”, zegt De Pous. “Het afbakenen van een groot verzoek, het toetsen van uitzonderingsgronden, de zienswijzen en het lakwerk blijven gewoon tijd kosten.”
Excuus weinig gepast
De wet komt overigens niet uit de lucht vallen. Het wetsvoorstel werd in 2021 ingediend, de Tweede Kamer stemde in februari 2025 met algemene stemmen in en sindsdien lag de tekst vast, ook al volgde de Eerste Kamer pas in mei van dit jaar. “Overheidsorganisaties zullen sterk verschillen in hoe ver ze met de invoering zijn”, verwacht De Pous, “maar een excuus dat het nieuwe regime er ineens is, vind ik weinig gepast.”
De termijn waarbinnen blijvend te bewaren informatie naar een archiefdienst moet, gaat van twintig naar tien jaar. Archiefdiensten krijgen in januari daardoor niet ineens twee keer zoveel archief binnen, want de kortere termijn geldt alleen voor documenten die na de ingang van de wet ontstaan. Informatie uit 2027 moet rond 2037 over, net als informatie uit 2017, die dan haar oude termijn van twintig jaar bereikt. Wel moeten selectie, metadatering en de beoordeling van openbaarheid volgens De Pous eerder op orde zijn
Een CIO zou volgens De Pous tot de invoering in 2027 één ding voorop moeten zetten. Dat is een actueel overzicht van processen, informatiecategorieën en systemen, met per proces wie eigenaar is, welk selectiebesluit geldt en of zoeken, exporteren en vernietigen technisch kunnen. Daarna komen de plekken waar informatie nu ongemerkt verdwijnt, zoals chat, persoonlijke mailboxen, samenwerkplatforms en SaaS. “Zonder te weten wat je hebt en waar het staat, kun je de Archiefwet niet uitvoeren, en de Woo, je bewaartermijnen of een exit bij een leverancier evenmin”, zegt De Pous. “Eigenlijk moet iedere organisatie dit vanwege de AVG en alle eisen voor informatiebeveiliging toch al doen.”