Bijlage 1a (bijlage 1 van collegeverklaring). Onderdeel DigiD 2024 - SaaS-leverancier_DigiD 1005599

Gemeente Raalte – 18962-2025 - Bijlage 1 DigiD

Bijlage 1 DigiD - iParticipatie - 1005599 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting iParticipatie met aansluitnummer 1005599 Gemeente Raalte biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting iParticipatie voor authenticatie wordt gebruikt: • Het opstellen van interactieve webformulieren voor aanvragen.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: iParticpatie • Versie: 3.10.3 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://iparticipatie.raalte.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting iParticipatie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door PinkRoccade Local Government. DigiD-aansluiting iParticipatie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door PinkRoccade Local Government met beheervorm SAAS. Gemeente Raalte heeft de DigiD web-omgeving uitbesteed aan: • PinkRoccade Local Government.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 - 31-12-2024

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

PinkRoccade Local Government

Referentie/rapportnummer:

TPM: AAS2024-2647 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 01-07-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM:

1/3

01-01-2024 – 01-07-2024

Gemeente Raalte – 18962-2025 - Bijlage 1 DigiD

SaaS-leverancier Sub-TPM: N.v.t. Naam RE-auditor

TPM: P.C.M. Holierhoek Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 202503ENSIARaalte.

2/3

Gemeente Raalte – 18962-2025 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

Voldoet

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

U/WA.02 Webapplicatiebeheerproces

U/WA.03 Automatische data-invoercontrole

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

Voldoet

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Voldoet

Voldoet

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

➢ De bovenstaande tabel is geautomatiseerd gevuld met de antwoorden uit de vragenlijst. Controleer iedere cel zorgvuldig. 3/3