Gemeente Raalte_Bijlage 1a DigiD 2025 - iBurgerzaken 1002569 ENSIA

Gemeente Raalte – 7206-2026 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Raalte - 1002569 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Raalte met aansluitnummer 1002569 Gemeente Raalte biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Raalte voor authenticatie wordt gebruikt: • De webapplicatie iBurgerzaken gebruikt DigiD ter authenticatie van burgers bij het aanvragen van diverse online-diensten, zoals het aanvragen van een akte of afschrift burgerlijke stand, het doen van geboorteaangifte, het doen van aangifte van verhuizing of vestiging in de gemeente, etc. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: iBurgerzaken • Versie: 5.9.1 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • Https://iburgerzaken.Raalte.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Raalte. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door Pink Roccade L.G. DigiD-aansluiting Gemeente Raalte bevindt zich in de Demilitarized Zone (DMZ).

De infrastructuur waar deze applicatie op draait, wordt beheerd door Pink Roccade L.G. met beheervorm SaaS. Gemeente Raalte heeft de DigiD web-omgeving uitbesteed aan: • Pink Roccade L.G. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

01-07-2025 - 31 - 12 - 2025

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Pink Roccade L.G.

Referentie/rapportnummer:

TPM: 20251013 DBA-PRLG DigiD iBurgerzaken Raalte Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 13-10-2025 Sub-TPM: N.v.t.

1/3

Gemeente Raalte – 7206-2026 - Bijlage 1 DigiD

SaaS-leverancier Controleperiode:

TPM: 01-04-2025 – 30-09-2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: F. Kossen Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 202603ENSIA Raalte.

2/3

Gemeente Raalte – 7206-2026 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

Voldoet

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

Voldoet

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

Voldoet

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Voldoet

Voldoet

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Behoort bij ons assurancerapport van 17 maart 2026 met kenmerk 202603ENSIARaalte

3/3