Bijlage 1b (bijlage 1 bij collegeverklaring). Onderdeel DigiD 2024 - Hosting- en applicatieleverancier_DigiD 1002569

Gemeente Raalte - 18962-2025 - Bijlage 1 DigiD

Bijlage 1 DigiD - Raalte loket - 1002569 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Raalte loket met aansluitnummer 1002569 Gemeente Raalte biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Raalte loket voor authenticatie wordt gebruikt: • De webapplicatie iBurgerzaken gebruikt DigiD ter authenticatie van burgers bij het aanvragen van diverse online-diensten, zoals het aanvragen van een akte of afschrift burgerlijke stand, het doen van geboorteaangifte, het doen van aangifte van verhuizing of vestiging in de gemeente, etc.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: iBurgerzaken. • Versie: 5.2.2. Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://iburgerzaken.raalte.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Raalte loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door Pink Roccade lg. DigiD-aansluiting Raalte loket bevindt zich in de Demilitarized Zone (DMZ).

De infrastructuur waar deze applicatie op draait, wordt beheerd door Pink Roccade L.G. met beheervorm SaaS. Gemeente Raalte heeft de DigiD web-omgeving uitbesteed aan: •

Pink Roccade L.G..

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 - 31 - 12 - 2024

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): Applicatieleverancier Naam applicatieleverancier:

Pink Roccade L.G.

Referentie/rapportnummer:

TPM: 20241011 DBA-PRLG DigiD iBurgerzaken Raalte Sub-TPM: N.v.t.

1/5

Gemeente Raalte - 18962-2025 - Bijlage 1 DigiD

Applicatieleverancier Oordeelsdatum:

TPM: 11-10-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 01-04-2024 - 30-09-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM:

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Frank Kossen, Laurens van Thiel, Mohamed El Aarbaoui Sub-TPM: N.v.t.

Hostingleverancier Naam hostingleverancier:

Pink Roccade L.G.

Referentie/rapportnummer:

TPM: 20241011 DBA-PRLG DigiD iBurgerzaken Raalte Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 11-10-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 01-04-2024 - 30-09-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM:

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Frank Kossen, Laurens van Thiel, Mohamed El Aarbaoui Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 202503ENSIARaalte.

2/5

Gemeente Raalte - 18962-2025 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

Applicatieleverancier

Hostingleverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Voldoet

U/WA.02 Webapplicatiebeheerproces U/WA.03 Automatische data-invoercontrole

Opzet en bestaan

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/NW.05 Scheiding beheeren productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

C.03 Vulnerabilityassessments

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

3/5

Gemeente Raalte - 18962-2025 - Bijlage 1 DigiD

DigiD-norm

Aansluithouder

Applicatieleverancier

Hostingleverancier

Oordeel

Oordeel TPM

Oordeel TPM

Totaaloordeel

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Voldoet

Toetsing op Werking

C.08 Wijzigingenbeheer C.09 Patchmanagement

4/5

Gemeente Raalte - 18962-2025 - Bijlage 1 DigiD

➢ Op deze pagina kan de gemeente in overleg met de auditor beperkingen of bijzonderheden met betrekking tot de oordelen uit de zelfevaluatie opnemen. Als er geen beperkingen of bijzonderheden zijn, dan moet deze pagina verwijderd worden. [Beperkingen of bijzonderheden: … … ]

5/5