Gemeente Raalte_Bijlage 1b DigiD 2025 - iParticipatie 1005599 ENSIA

Gemeente Raalte – 2026-74 - Bijlage 1 DigiD

Bijlage 1 DigiD - iParticipatie - 1005595 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting iparticipatie met aansluitnummer 1005595 Gemeente Deventer biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting iParticipatie voor authenticatie wordt gebruikt:

•

Biedt de mogelijkheid voor burgers om via vragenlijsten aanvragen te doen voor levensonderhoud, bijzondere bijstand, BBZ of BBK.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: iParticipatie • Versie: 3.9.1 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://iparticipatie.deventer.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting iParticipatie . De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door PinkRoccade Local Government. DigiD-aansluiting iParticipatie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door PinkRoccade Local Government met beheervorm SAAS. Gemeente Deventer heeft de DigiD web-omgeving uitbesteed aan: • PinkRoccade Local Government. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm.

De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

01-07-2025- 31-12-2025

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

PinkRoccade Local Government

Referentie/rapportnummer:

TPM: 20251103 DBA-PRLG Dev DigiD iParticipatie Sub-TPM: N.v.t.

Oordeelsdatum:

TPM:

1/3

23-10-2025

Gemeente Raalte – 2026-74 - Bijlage 1 DigiD

SaaS-leverancier Sub-TPM: N.v.t. Controleperiode:

TPM: 01-01-2025 - 30-06-2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: J.R. Möhle Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 202603ENSIARaalte.

2/3

Gemeente Raalte – 2026-74 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

Voldoet

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Voldoet

Voldoet

Voldoet

Werking

Voldoet

Voldoet

Voldoet

U/WA.02 Webapplicatiebeheerproces

U/WA.03 Automatische data-invoercontrole

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

Voldoet

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Voldoet

Voldoet

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Voldoet

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Voldoet

Werking

Niet van toepassing

Voldoet

Voldoet

Behoort bij ons assurancerapport van 17 maart 2026 met kenmerk 202603ENSIARaalte

3/3