Bijlage 3. Heemskerk ENSIA 2025 - Assurancerapport DigiD 2025

Assurance-rapport NOREA Richtlijn 3000D ICT-beveiligingsassessment DigiD Webapplicatie iBurgerzaken Gemeente Heemskerk Aansluitnummer: 1003771 Aansluitnaam: Gemeente Heemskerk

Uitgebracht door Onderzoekers

: :

Uitgebracht aan Datum Rapportnummer Versie Status

: : : : :

Duijnborgh Audit B.V. Frank Kossen RE Drs. Mohamed El Aarbaoui RE (QA) Gemeente Heemskerk 9 februari 2026 20260209 DBA-GEM HEE DigiD iBurgerzaken 1.0 Definitief

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

2 van 19

Inhoud 1

ASSURANCE-RAPPORT VAN DE ONAFHANKELIJKE AUDITOR.................................................................... 4 1.1 ONZE OORDELEN .................................................................................................................................. 4 1.2 DE BASIS VOOR ONZE OORDELEN ............................................................................................................... 5 1.3 VAN TOEPASSING ZIJNDE CRITERIA ............................................................................................................. 5 1.4 AANGELEGENHEDEN MET BETREKKING TOT DE REIKWIJDTE VAN ONS ONDERZOEK .................................................. 6 1.4.1 Object van onderzoek............................................................................................................... 6 1.4.2 Serviceorganisatie.................................................................................................................... 7 1.4.3 Norm ICT-beveiligingsassessments DigiD .................................................................................. 7 1.4.4 Beperkingen met betrekking tot interne beheersingsmaatregelen ............................................ 7 1.5 BEOOGDE GEBRUIKERS EN DOEL ................................................................................................................

8 1.6 VERANTWOORDELIJKHEDEN GEMEENTE HEEMSKERK ...................................................................................... 8 1.7 VERANTWOORDELIJKHEDEN VAN DE IT-AUDITOR .......................................................................................... 8

BIJLAGE A - BESCHRIJVING VAN DE TESTRESULTATEN VAN DE AUDITOR ....................................................... 10 BIJLAGE B – OBJECT VAN ONDERZOEK ........................................................................................................... 13 BIJLAGE C – TOTAALOVERZICHT GETOETSTE NORMEN ICT-BEVEILIGINGSASSESSMENT DIGID-OMGEVING VAN GEMEENTE HEEMSKERK ................................................................................................................................. 14 BIJLAGE D - TOTAALOVERZICHT ICT-BEVEILIGINGSASSESSMENT DIGID .......................................................... 19

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

3 van 19

Colofon Voor u ligt het rapport van het ICT-beveiligingsassessment dat wij hebben uitgevoerd op de betrouwbare en integere werking van de webapplicatie iBurgerzaken die gemeente Heemskerk afneemt van PinkRoccade Local Government. In dit rapport zijn de door ons vastgestelde bevindingen, conclusies en - indien van toepassing aanbevelingen beschreven.

Contactgegevens: Duijnborgh Audit B.V. Bezoekadres

:

Utrecht Businesspark Papendorp Papendorpseweg 75 3528 BJ Utrecht

Postadres

:

Postbus 40270 3504 AB Utrecht

Telefoon

:

+31(0) 88 160 1700

Fax

:

+31(0) 88 160 1799

Contactgegevens

:

F. Kossen RE

E-mail/mobiele telefoon

:

f.kossen@dbaudit.nl

+31622386966

Bankrelatie

:

ABN-AMRO bank

NL03 ABNA 0547830025

Kamer van koophandel

:

Utrecht

34224905

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

4 van 19

1

Assurance-rapport van de onafhankelijke auditor

1.1

Onze oordelen

Ingevolge de opdracht van gemeente Heemskerk hebben wij een DigiD-beveiligingsassessment met redelijke mate van zekerheid uitgevoerd op de webomgeving van DigiD-aansluiting iBurgerzaken, met aansluitnummer ‘1003771’ en aansluitnaam ‘Gemeente Heemskerk’ zoals gespecificeerd in paragraaf 1.4.1 Object van onderzoek. Per beveiligingsrichtlijn hebben wij hieronder vermeld of wordt voldaan aan de beveiligingsrichtlijn. Om de leesbaarheid van dit rapport te vergroten zijn de oordelen in deze tabel weergegeven als “voldoet” of “voldoet niet”. Hierbij moet “voldoet” worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief is opgezet en geïmplementeerd op 31 december 2025”. “Voldoet niet” moet worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief is opgezet en/of geïmplementeerd op 31 december 2025”.

Bij beveiligingsrichtlijnen waarbij ook de effectieve werking wordt vastgesteld moet “voldoet” worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief werkten tijdens de controleperiode van 1 juli 2025 tot en met 31 december 2025”. “Voldoet niet” moet vervolgens worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief werkten tijdens de controleperiode van 1 juli 2025 tot en met 31 december 2025”. De criteria waarvan wij gebruik hebben gemaakt bij het vormen van ons oordeel zijn de criteria die zijn beschreven in de sectie 'Van toepassing zijnde criteria'. Onze oordelen zijn gevormd op basis van de van de aangelegenheden die in dit assurance-rapport zijn uiteengezet. Ons onderzoek was beperkt tot de beveiligingsrichtlijnen die de verantwoordelijkheid zijn van de dienstverlener. Oordeel Oordeel opzet en werking bestaan

Nr

Beschrijving van de beveiligingsrichtlijn

B.01

De organisatie formuleert een informatiebeveiligingsbeleid en besteedt hierin specifiek aandacht aan webapplicatiegerelateerde onderwerpen zoals dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer.

Voldoet

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

Voldoet

B.05

N.v.t.





N.v.t.

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

5 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert Voldoet betrouwbare en effectieve mechanismen voor het vastleggen  en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

Voldoet

Het webapplicatiebeheer is procesmatig en procedureel Voldoet ingericht, waarbij geautoriseerde beheerders op basis van  functieprofielen taken verrichten.

Voldoet

U/WA.02

U/WA.05

U/NW.06

C.08

1.2

Oordeel Oordeel opzet en werking bestaan

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

Voldoet

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

Voldoet



 N.v.t.

 N.v.t.



Wijzigingenbeheer is procesmatig en procedureel zodanig Voldoet uitgevoerd dat wijzigingen in de ICT-voorzieningen van  webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Voldoet 

De basis voor onze oordelen

Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, waaronder de NOREA Richtlijn 3000D ’Assurance-opdrachten door IT-auditors (Directe-opdrachten)’ en de nadere regels zoals opgenomen in de Handreiking DigiD 2025 (versie 1.0) van NOREA. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van gemeente Heemskerk en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA. Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor onze oordelen. 1.3

Van toepassing zijnde criteria

Voor deze opdracht hanteren wij het Normenkader 3.0 voor ICT-beveiligingsassessments DigiD dat door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is vastgesteld. Het Ministerie BZK heeft uit de NCSC ICT-Beveiligingsrichtlijnen voor Webapplicaties versie 2015 de 21 beveiligingsrichtlijnen geselecteerd waarvan zij vindt dat deze de hoogste impact op de veiligheid van DigiD hebben en heeft deze vermeld in het Normenkader 3.0 voor ICT-beveiligingsassessments DigiD'. Het Normenkader 3.0 voor ICT-beveiligingsassessments DigiD bestaat uit 21 richtlijnen die zijn

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

6 van 19

gebaseerd op de NCSC ICT-Beveiligingsrichtlijnen voor Webapplicaties versie 2015. De versie 3.0 geldt vanaf 1 augustus 2022. De geselecteerde 21 beveiligingsrichtlijnen worden tevens aangeduid als de 21 DigiD-normen. De criteria waarvan gebruik wordt gemaakt bij het uitvoeren van de assurance-opdracht houden in dat: 

de risico’s die het voldoen aan de beveiligingsrichtlijnen in gevaar brengen en daarmee de betrouwbaarheid van DigiD aantasten, werden onderkend;



de onderkende interne beheersingsmaatregelen, indien zij werkzaam zijn zoals beschreven, een redelijke mate van zekerheid zouden verschaffen dat die risico’s het voldoen aan beveiligingsrichtlijnen niet zouden verhinderen;



de interne beheersingsmaatregelen die verband houden met de beveiligingsrichtlijnen op afdoende wijze zijn opgezet en daadwerkelijk zijn geïmplementeerd;



de interne beheersingsmaatregelen die verband houden met een selectie van specifieke beveiligingsrichtlijnen gedurende de controleperiode effectief hebben gewerkt.

1.4

Aangelegenheden met betrekking tot de reikwijdte van ons onderzoek

1.4.1

Object van onderzoek

Het object van onderzoek was de webomgeving van de webapplicatie iBurgerzaken. De DigiD-aansluiting is bij Logius bekend onder aansluitnummer ‘1003771’ en aansluitnaam ‘Gemeente Heemskerk’. Gemeente Heemskerk biedt de volgende functionaliteit aan waarvoor DigiD aansluiting 1003771 Gemeente Heemskerk ter authenticatie wordt gebruikt: De webapplicatie iBurgerzaken gebruikt DigiD ter authenticatie van burgers bij het aanvragen van diverse online-diensten, zoals het aanvragen van een akte of afschrift burgerlijke stand, het doen van geboorteaangifte, het doen van aangifte van verhuizing of vestiging in de gemeenten, etc. De door ons onderzochte versie van iBurgerzaken betreft 5.11. De URL waarop de webapplicatie te bereiken is, betreft: https://iburgerzaken.heemskerk.nl/. Deze applicatie betreft geheel maatwerk en wordt onderhouden door PinkRoccade Local Government. De infrastructuur waarop de webapplicatie draait, wordt onderhouden door PinkRoccade Local Government. Het onderzoek heeft zich gericht op de webomgeving van iBurgerzaken die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers.

Specifiek zijn in scope de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van de audit. De

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

7 van 19

URL www.digid.nl, de token uitwisseling tussen Logius en de webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen. In bijlage B geven wij u een meer gedetailleerde beschrijving van het object van onderzoek. 1.4.2

Serviceorganisatie

Gemeente Heemskerk maakt gebruik van PinkRoccade Local Government voor het beheer en onderhoud van de webapplicatie. Gemeente Heemskerk maakt voor het verschaffen van zekerheid over haar volledige webomgeving zoals beschreven onder het object van onderzoek gebruik van de uitsluitingsmethode (‘carve-out method’). De beschrijving van gemeente Heemskerk van haar systeem sluit daarmee de interne beheersingsdoelstellingen en daarmee verband houdende interne beheersingsmaatregelen van de serviceorganisatie uit. Onze werkzaamheden strekken zich dan ook niet uit tot de interne beheersingsmaatregelen van de serviceorganisatie. Wij hebben geen onderzoek uitgevoerd naar de juistheid van de oordelen die zijn vermeld in de genoemde assurance-rapportage. Wij kunnen dan ook geen enkele verantwoordelijkheid nemen m.b.t. de in die rapportage vermelde oordelen. 1.4.3

Norm ICT-beveiligingsassessments DigiD

Het ‘Normenkader 3.0 voor ICT-beveiligingsassessments DigiD’ bevat 21 beveiligingsrichtlijnen uit de ‘ICT-beveiligingsrichtlijnen voor webapplicaties versie 2015’ van het Nationaal Cyber Security Centrum (NCSC). Daarom zijn we niet in staat om een overkoepelend oordeel af te geven met betrekking tot de beveiliging van de DigiD-aansluiting. Het Ministerie van BZK heeft de richtlijnen geselecteerd waarvan zij vindt dat deze de hoogste impact hebben op de veiligheid van DigiD-webapplicaties. Logius houdt in opdracht van het Ministerie van BZK toezicht op het naleven van de Voorwaarden DigiD, waaronder de uitvoering van DigiDassessments. Wij adviseren gemeente Heemskerk om in aanvulling op de richtlijnen in de vigerende ‘Norm ICT-beveiligingsassessments DigiD’, ook de andere richtlijnen uit de ‘ICT-beveiligingsrichtlijnen voor webapplicaties’ van het NCSC te adopteren. Wij wijzen u erop dat, indien wij aanvullende beveiligingsrichtlijnen zouden hebben onderzocht wellicht andere onderwerpen zouden zijn geconstateerd die voor rapportering in aanmerking zouden zijn gekomen. 1.4.4

Beperkingen met betrekking tot interne beheersingsmaatregelen

Interne beheersingsmaatregelen bij een dienstverlener kunnen, vanwege hun aard, niet alle fouten of omissies voorkomen of ontdekken en corrigeren. Voor wat betreft de werking hebben wij alleen werkzaamheden uitgevoerd naar de interne beheersingsmaatregelen zoals aangegeven in 'Normenkader 3.0 voor ICT-beveiligingsassessments DigiD' voor zover van toepassing binnen de scope van ons onderzoek. Bovendien is het projecteren naar de toekomst van onze oordelen met betrekking tot interne beheersingsmaatregelen om de richtlijnen te bereiken, onderhevig aan het risico dat interne beheersingsmaatregelen ineffectief kunnen worden. Ons oordeel is niet aangepast als gevolg van deze aangelegenheden.

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

8 van 19

1.5

Beoogde gebruikers en doel

Ons assurance-rapport is uitsluitend bestemd voor gemeente Heemskerk en Logius om inzicht te geven in de ICT beveiliging van de webomgeving van de DigiD aansluiting. Logius kan hiermee toezicht houden op de koppeling van DigiD met de webapplicatie van een aangesloten organisatie voor het vertrouwen in en de integriteit van elektronische (overheids)dienstverlening. Bijlage A bevat de beschrijving van de uitgevoerde (test)werkzaamheden en onze oordelen en aanbevelingen ter verbetering van de DigiD-webomgeving. Bijlage B bevat de (uitgebreide) beschrijving van het 'Object van onderzoek'. De bijlagen A en B zijn alleen bestemd voor gemeente Heemskerk. Bijlage C is bedoeld om Logius een totaaloverzicht te verschaffen (‘volledigheid van de scope’) over de resultaten van verschillende assessments, indien gebruik is gemaakt van rapporten inzake serviceorganisatie(s). Bijlage D is bedoeld om Logius een totaaloverzicht te verschaffen (‘identificatie’) over de identificerende kenmerken van het DigiD-assessment, ongeacht of gebruik is gemaakt van rapporten inzake serviceorganisatie(s). Ons assurance-rapport inclusief bijlagen mag alleen worden gebruikt voor het doel waarvoor het is opgesteld door de beoogde gebruikers en dient niet te worden verspreid aan of te worden gebruikt door anderen. 1.6

Verantwoordelijkheden gemeente Heemskerk

Het bestuur van gemeente Heemskerk is verantwoordelijk voor het verlenen van DigiD-diensten, het onderkennen van de beveiligingsrisico’s van de DigiD-webomgeving en het opzetten en implementeren van interne beheersingsmaatregelen om te voldoen aan de vigerende norm ‘Normenkader 3.0 voor ICT-beveiligingsassessments DigiD’. 1.7

Verantwoordelijkheden van de IT-auditor

Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordelen over de opzet en implementatie van interne beheersingsmaatregelen die verband houden met de beveiligingsrichtlijnen in overeenstemming met de hiervoor vermelde criteria. Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële fouten en fraude ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsbeheersing inclusief vastgelegde richtlijnen en procedures inzake de naleving van ethische voorschriften, professionele standaarden en andere relevante wet- en regelgeving. Ons onderzoek om te rapporteren over opzet, bestaan en voor de van toepassing zijnde beveiligingsrichtlijnen uit ‘Normenkader 3.0 voor ICT-beveiligingsassessment DigiD’ de werking van interne beheersingsmaatregelen bestond onder andere uit: 

het verkrijgen van inzicht in de relevante kenmerken van de DigiD-webomgeving;

Datum

 





9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

9 van 19

het vaststellen van de scope van het assessment, inclusief het vaststellen van de maatregelen die bij de serviceorganisatie moeten worden onderzocht; het houden van interviews met verantwoordelijke functionarissen, vooral gericht op het onderkennen van risico’s en het onderzoek in hoeverre deze risico’s worden afgedekt door maatregelen; het evalueren van de opzet, het vaststellen van het bestaan en voor de van toepassing zijnde beveiligingsrichtlijnen uit ‘Normenkader 3.0 voor ICT-beveiligingsassessment DigiD’ de werking van de relevante maatregelen. Dit door middel van het kennis nemen van documentatie, het kennis nemen van de resultaten van de uitgevoerde interne controles en uitgevoerde pentesten, alsmede eigen waarnemingen; het evalueren van de uitkomsten van onze werkzaamheden.

Duijnborgh Audit B.V. F. Kossen RE

Drs. M. El Aarbaoui RE

De bijlagen A en B van dit rapport zijn strikt vertrouwelijk en uitsluitend bestemd voor gemeente Heemskerk.

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

10 van 19

Bijlage A - Beschrijving van de testresultaten van de auditor Per beveiligingsrichtlijn hebben wij hieronder vermeld of wordt voldaan aan de beveiligingsrichtlijn. Om de leesbaarheid van dit rapport te vergroten zijn de oordelen in deze tabel weergegeven als “voldoet” of “voldoet niet”. Hierbij moet “voldoet” ingeval het oordeel is beperkt tot opzet en bestaan worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief is opgezet en geïmplementeerd op 31 december 2025”. “Voldoet niet” moet ingeval het oordeel is beperkt tot opzet en bestaan worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief zijn opgezet en/of geïmplementeerd op 31 december 2025”. Bij beveiligingsrichtlijnen waarbij ook de effectieve werking wordt vastgesteld moet “voldoet” worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief werkten tijdens de controleperiode van 1 juli 2025 tot en met 31 december 2025”.

“Voldoet niet” moet vervolgens worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief werkten tijdens de controleperiode van 1 juli 2025 tot en met 31 december 2025”. Nr B.01

Beschrijving van de beveiligingsrichtlijn De organisatie formuleert een informatiebeveiligingsbeleid en besteedt hierin specifiek aandacht aan webapplicatiegerelateerde onderwerpen zoals dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer.

Korte beschrijving van de uitgevoerde werkzaamheden Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk het eigenaarschap t.a.v. de DigiD webapplicatie adequaat en op een hoog organisatorisch niveau heeft inricht; - de eigenaar passende bevoegdheden heeft; - in het beleid expliciet aandacht is besteed aan het stelsel van beveiligingsmaatregelen t.a.v. het functioneel beheer van de webapplicatie; - de toegangsvoorziening (U/TV.01), dataclassificatie (U/WA.05) en

Conclusie

Aanbeveling

Opzet en bestaan: Voldoet

Geen

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

11 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken. Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.02

Korte beschrijving van de uitgevoerde werkzaamheden kwetsbaarhedenbeheer (U/NW.06) in het beleid zijn geadresseerd. Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk een overeenkomst, SLA en een verwerkersovereenkomst heeft afgesloten met PinkRoccade Local Government. In deze overeenkomsten zijn beveiligingseisen en wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld. Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk een proces heeft ingericht voor het toekennen, controleren en intrekken van autorisaties binnen de applicatie; - het proces conform de beschrijving wordt uitgevoerd.

Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk beschikt over een incidentmanagement procedure;

Conclusie

Aanbeveling

Opzet en bestaan: Voldoet

Geen

Opzet en bestaan: Voldoet Werking: Voldoet

Geen

Opzet en bestaan: Voldoet Werking: Voldoet

Geen

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

12 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken. U/NW.06 Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Korte beschrijving van de uitgevoerde werkzaamheden - (beveiligings) incidenten conform het beschreven proces worden behandeld. Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk een dataclassificatie heeft uitgevoerd voor de DigiD aansluiting. Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - DNSSEC (DNS Security Extension) voor de URL van het object van onderzoek op de juiste wijze is geconfigureerd. Op basis van documentatieonderzoek, interviews, (deel)waarnemingen en testen hebben wij vastgesteld dat: - gemeente Heemskerk kennis neemt van de release notes betreffende wijzigingen die extra aandacht behoeven; - gemeente Heemskerk de wijziging waar nodig test op correcte werking (functioneel) en de eventuele testbevindingen, fouten, en/of suggesties ter verbetering ter kennis te stelt aan de leverancier.

Conclusie

Aanbeveling

Opzet en bestaan: Voldoet

Geen

Opzet en bestaan: Voldoet

Geen

Opzet en bestaan: Voldoet Werking: Voldoet

Geen

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

13 van 19

Bijlage B – Object van onderzoek Het object van onderzoek was de webomgeving van de webapplicatie iBurgerzaken. De DigiD-aansluiting is bij Logius bekend onder aansluitnummer ‘1003771’ en aansluitnaam ‘Gemeente Heemskerk’. Gemeente Heemskerk biedt de volgende functionaliteit aan waarvoor DigiD aansluiting 1003771 Gemeente Heemskerk ter authenticatie wordt gebruikt: De webapplicatie iBurgerzaken gebruikt DigiD ter authenticatie van burgers bij het aanvragen van diverse online-diensten, zoals het aanvragen van een akte of afschrift burgerlijke stand, het doen van geboorteaangifte, het doen van aangifte van verhuizing of vestiging in de gemeenten, etc. De door ons onderzochte versie van iBurgerzaken betreft 5.11. De URL waarop de webapplicatie te bereiken is, betreft: https://iburgerzaken.heemskerk.nl/. Deze applicatie betreft geheel maatwerk en wordt onderhouden door PinkRoccade Local Government. De infrastructuur waarop de webapplicatie draait, wordt onderhouden door PinkRoccade Local Government. Het onderzoek heeft zich gericht op de webomgeving van iBurgerzaken die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers.

Specifiek zijn in scope de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van de audit. De URL www.digid.nl, de token uitwisseling tussen Logius en de webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen.

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

14 van 19

Bijlage C – Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-omgeving van gemeente Heemskerk Deze bijlage richt zich op het ten dienste van Logius inzichtelijk maken van de wijze waarop gemeente Heemskerk gebruik heeft gemaakt van serviceorganisatie(s) die betrekking hebben op het object van onderzoek van DigiD-aansluiting met aansluitnummer ‘1003771’ en aansluitnaam ‘Gemeente Heemskerk’. Als input voor de hierna vermelde samenvatting is, naast de voorliggende rapportage, gebruik gemaakt van de volgende rapportage(s): Omschrijving assurancerapportage

Serviceorganisatie

Bij serviceorganisatie getoetste beveiligingsrichtlijnen

Referentie / Rapport-nummer / controleperiode

Oordeelsdatum

Ondertekend door naam auditor/ auditeenheid

DigiD assurance-rapportage

PinkRoccade Local Government

B.01, B.05, U.TV.01, U/WA.02, U/WA.03, U/WA.04, U/WA.05, U/PW.02, U/PW.03, U/PW.05, U/PW.07, U/NW.03, U/NW.04, U/NW.05, U/NW.06, C.03, C.04, C.06, C.07, C.08 en C.09.

20251013 DBAPRLG DigiD iBurgerzaken Heemskerk 1 april 2025 tot en met 30 september 2025

13 oktober 2025

Frank Kossen RE Duijnborgh Audit

Wij hebben geen onderzoek uitgevoerd naar de juistheid van de oordelen die zijn vermeld in de genoemde assurancerapportage(s). Wij kunnen dan ook geen enkele verantwoordelijkheid nemen m.b.t. de in die rapportage(s) vermelde oordelen. Wij hebben kennis genomen van de genoemde assurance-rapportage(s) en hebben ten behoeve van Logius in onderstaande tabel per beveiligingsrichtlijn aangegeven tot welk oordeel de service auditor is gekomen en of in die rapportages sprake is van aanvullende beheersmaatregelen gebruikersorganisatie (de user entity controls) en of wij deze dan ook hebben getoetst bij de dienstverlener (gebruikersorganisatie).

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

15 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

Getoetst bij PinkRoccade Local Government. De oordelen zijn afkomstig uit het rapport van Duijnborgh Audit met kenmerk 20251013 DBA-PRLG DigiD iBurgerzaken Heemskerk d.d. 13 oktober 2025

Getoetst in opdracht van gemeente Heemskerk

B.01

De organisatie formuleert een informatiebeveiligingsbeleid en besteedt hierin specifiek aandacht aan webapplicatiegerelateerde onderwerpen zoals dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer.

Opzet en bestaan Voldoet Werking N.v.t.

Opzet en bestaan Voldoet Werking N.v.t.

B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld. De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken. Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking Voldoet

Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking Voldoet

Opzet en bestaan Voldoet Werking Voldoet Opzet en bestaan Voldoet Werking N.v.t.

Opzet en bestaan Voldoet Werking Voldoet Opzet en bestaan Voldoet Werking N.v.t.

U/TV.01

U/WA.02

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

16 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

Getoetst bij PinkRoccade Local Government. De oordelen zijn afkomstig uit het rapport van Duijnborgh Audit met kenmerk 20251013 DBA-PRLG DigiD iBurgerzaken Heemskerk d.d. 13 oktober 2025

Getoetst in opdracht van gemeente Heemskerk

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

Niet getoetst bij dienstverlener

U/PW.03

De webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen. Voor het configureren van platformen een hardeningsrichtlijn beschikbaar.

Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking

U/PW.07

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

17 van 19

Nr

Beschrijving van de beveiligingsrichtlijn

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICT-

Getoetst bij PinkRoccade Local Government. De oordelen zijn afkomstig uit het rapport van Duijnborgh Audit met kenmerk 20251013 DBA-PRLG DigiD iBurgerzaken Heemskerk d.d. 13 oktober 2025 N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet Werking N.v.t. Opzet en bestaan Voldoet

Getoetst in opdracht van gemeente Heemskerk

Niet getoetst bij dienstverlener

Opzet en bestaan Voldoet Werking N.v.t. Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Niet getoetst bij dienstverlener

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

18 van 19

Nr

C.08

C.09

Beschrijving van de beveiligingsrichtlijn

Getoetst bij PinkRoccade Local Government. De oordelen zijn afkomstig uit het rapport van Duijnborgh Audit met kenmerk 20251013 DBA-PRLG DigiD iBurgerzaken Heemskerk d.d. 13 oktober 2025

systemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd. Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd. Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

Werking Voldoet Opzet en bestaan Voldoet Werking Voldoet Opzet en bestaan Voldoet Werking Voldoet

Getoetst in opdracht van gemeente Heemskerk

Opzet en bestaan Voldoet Werking Voldoet Niet getoetst bij dienstverlener

Datum

9 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260209 DBA-GEM HEE DigiD iBurgerzaken

Pagina

19 van 19

Bijlage D - Totaaloverzicht ICT-beveiligingsassessment DigiD Hieronder treft u een verkort overzicht aan van de identificerende kenmerken en de gebruikte assessmentrapportage die invulling geeft aan het uitgevoerde DigiD-beveiligingsassessment op de webomgeving van de hieronder vermelde DigiD-aansluiting. Aansluiting

Auditor dienstverlener

Object van onderzoek

Serviceorganisatie

Aansluitnummer: Aansluitnaam: Dienstverlener: Naam auditor: Auditorganisatie: Kenmerk rapport: Naam webapplicatie: Versienummer: Omschrijving:

Naam serviceorganisatie: Naam auditor: Auditorganisatie: Kenmerk rapport: Controleperiode: Oordeelsdatum: Rapportdatum:

1003771 Gemeente Heemskerk Gemeente Heemskerk Frank Kossen RE en Drs. Mohamed El Aarbaoui RE Duijnborgh Audit B.V. 20260209 DBA-GEM HEE DigiD iBurgerzaken iBurgerzaken 5.11 De webapplicatie iBurgerzaken gebruikt DigiD ter authenticatie van burgers bij het aanvragen van diverse online-diensten, zoals het aanvragen van een akte of afschrift burgerlijke stand, het doen van geboorteaangifte, het doen van aangifte van verhuizing of vestiging in de gemeenten, etc. PinkRoccade Local Government Frank Kossen RE Duijnborgh Audit 20251013 DBA-PRLG DigiD iBurgerzaken Heemskerk 1 april 2025 tot en met 30 september 2025 13 oktober 2025 13 oktober 2025