Document · PDF

J1. Assurance NOREA richtlijn 3000D ICT-beveiliging

Gemeenteraad 7 juli 2026, gemeente RenswoudeBij agendapunt: Accoris - Assurance NOREA richtlijn 3000D ICT-beveiliging4.183 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeente Renswoude Assurance NOREA richtlijn 3000D ICT-beveiliging

Accoris Audit Services B.V. Assurance NOREA richtlijn 3000D Datum: 22 januari 2026 Kenmerk: AAS2025-3132 Dit document bevat 21 pagina‘s

Het creëren van een transparante wereld

ICT-beveiligingsassessment DigiD Aansluiting 1002427 - Gemeente Renswoude

Rapportage-template DigiD-Assessment Aan

Management gemeente Renswoude en Logius

Datum

22-01-2026

Van

P.C.M. Holierhoek RE RA AAS2025-3132

Aansluiting :

1002427 - Gemeente Renswoude Gemeente Renswoude

Inhoudsopgave 1 1.1 1.2 1.3 1.4

1.5 1.6 1.7

Assurance-rapport van de onafhankelijke IT-auditor Onze oordelen De basis voor onze oordelen Van toepassing zijnde criteria Aangelegenheden met betrekking tot de reikwijdte van ons onderzoek 1.4.1 Object van onderzoek

3 3 4 5 6 6

1.4.2

Service organisatie(s)

1.4.3

Norm ICT-beveiligingsassessments DigiD

1.4.4

Beperkingen met betrekking tot interne beheersingsmaatregelen

Beoogde gebruikers en doel Verantwoordelijkheden van de DigiD dienstverlener Verantwoordelijkheden van de IT-auditor

8 9 9

Bijlage A - Beschrijving van de testresultaten van de auditor

Bijlage B – Object van onderzoek

Bijlage C – Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting van gemeente Renswoude

Bijlage D - Totaaloverzicht ICT-beveiligingsassessment DigiD

Assurance-rapport van de onafhankelijke ITauditor Aan

Management gemeente Renswoude en Logius

Datum

22-01-2026

Van

P.C.M. Holierhoek RE RA AAS2025-3132

Aansluiting :

1002427 - Gemeente Renswoude Gemeente Renswoude

Aan:

Bestuur gemeente Renswoude

1.1

Onze oordelen Wij hebben een DigiD-beveiligingsassessment met redelijke mate van zekerheid uitgevoerd op de webomgeving van DigiD-aansluiting 1002427 - Gemeente Renswoude van gemeente Renswoude (hierna: 'de DigiD Dienstverlener). Per beveiligingsrichtlijn hebben wij hieronder vermeld of wordt voldaan aan de beveiligingsrichtlijn. Om de leesbaarheid van dit rapport te vergroten zijn de oordelen in deze tabel weergegeven als “voldoet” of “voldoet niet”. Hierbij moet “voldoet” ingeval het oordeel is beperkt tot opzet en bestaan worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief is opgezet en geïmplementeerd op (06-01-2026)”. “Voldoet niet” moet ingeval het oordeel is beperkt tot opzet en bestaan worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief zijn opgezet en/of geïmplementeerd op (06-01-2026)”.

Bij beveiligingsrichtlijnen waarbij ook de effectieve werking wordt vastgesteld moet “voldoet” worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn effectief werkten tijdens de controleperiode van 01-07-2025 tot 31-12-2025”. “Voldoet niet” moet vervolgens worden geïnterpreteerd als “Wij zijn van oordeel dat de getoetste interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn niet in alle materiële opzichten effectief werkten tijdens de controleperiode van 01-07-2025 tot 31-12-2025”. De criteria waarvan wij gebruik hebben gemaakt bij het vormen van ons oordeel zijn de criteria die zijn beschreven in de sectie ' Van toepassing zijnde criteria'. Onze oordelen zijn gevormd op basis van de van de aangelegenheden die in dit assurance-rapport zijn uiteengezet.

1.2

Beschrijving van de beveiligingsrichtlijn

Oordeel opzet en bestaan

Oordeel werking

B.01

De organisatie formuleert een informatiebeveiligingsbeleid en besteedt hierin specifiek aandacht aan webapplicatie gerelateerde onderwerpen zoals dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer.

Voldoet

N.v.t.

B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

Voldoet

N.v.t.

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

Voldoet in opzet [1]

Geen oordeel [2]

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

Voldoet in opzet [1]

Geen oordeel [2]

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacy bevorderende en cryptografische technieken.

Voldoet

N.v.t.

U/NW.06

Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

Voldoet

N.v.t.

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Voldoet

De basis voor onze oordelen [1] Bestaan - Non-occurrence - voldoet in opzet. Voor beveiligingsrichtlijn U/TV.01 en U/WA.02 hebben wij vastgesteld dat gemeente Renswoude maatregelen heeft ontworpen met betrekking tot deze norm. Vanwege het feit dat zich geen situatie heeft voorgedaan waarop deze maatregel betrekking heeft, hebben wij het bestaan niet kunnen vaststellen. [2] Werking – non-occurrence - geen oordeel. Voor beveiligingsrichtlijn U/TV.01 en U/WA.02 hebben wij vastgesteld dat de organisatie maatregelen heeft ontworpen (opzet). Wij zijn van oordeel dat de organisatie in opzet voldoet aan deze norm. Vanwege non-occurrence kan de effectieve werking niet worden vastgesteld en daarom geven wij daarover geen oordeel.

Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, waaronder de NOREA Richtlijn 3000D ’Assurance-opdrachten door IT-auditors (Directeopdrachten)’ en de nadere regels zoals opgenomen in de Handreiking DigiD 2025 (versie 1.0) van NOREA. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van de DigiD Dienstverlener en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA. Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor onze oordelen <behalve die normen waarvoor wij geen oordeel konden geven>.

1.3

Van toepassing zijnde criteria Voor deze opdracht hanteren wij het 'Normenkader 3.0 voor ICTbeveiligingsassessments DigiD' dat door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is vastgesteld. Het Ministerie BZK heeft uit de NCSC ICTBeveiligingsrichtlijnen voor Webapplicaties versie 2015 de 21 beveiligingsrichtlijnen geselecteerd waarvan zij vindt dat deze de hoogste impact op de veiligheid van DigiD hebben en heeft deze vermeld in het 'Normenkader 3.0 voor ICTbeveiligingsassessments DigiD'. Het 'Normenkader 3.0 voor ICTbeveiligingsassessments DigiD' bestaat uit 21 richtlijnen die zijn gebaseerd op de NCSC ICT-Beveiligingsrichtlijnen voor Webapplicaties versie 2015. De versie 3.0 geldt vanaf 1 augustus 2022. De geselecteerde 21 beveiligingsrichtlijnen worden tevens aangeduid als de 21 DigiD-normen. De criteria waarvan gebruik wordt gemaakt bij het uitvoeren van de assuranceopdracht houden in dat: •

de risico’s die het voldoen aan de beveiligingsrichtlijnen in gevaar brengen en daarmee de betrouwbaarheid van DigiD aantasten, werden onderkend;

•

de onderkende interne beheersingsmaatregelen, indien zij werkzaam zijn zoals beschreven, een redelijke mate van zekerheid zouden verschaffen dat die risico’s het voldoen aan beveiligingsrichtlijnen niet zouden verhinderen;

•

de interne beheersingsmaatregelen die verband houden met de beveiligingsrichtlijnen op afdoende wijze zijn opgezet en daadwerkelijk zijn geïmplementeerd;

•

de interne beheersingsmaatregelen die verband houden met een selectie van specifieke beveiligingsrichtlijnen gedurende de controleperiode effectief hebben gewerkt.

1.4

Aangelegenheden met betrekking tot de reikwijdte van ons onderzoek

1.4.1

Object van onderzoek Het object van onderzoek was de webomgeving van DigiD-aansluiting 1002427 Gemeente Renswoude. Gemeente Renswoude biedt de volgende functionaliteit aan waarvoor DigiD aansluiting 1002427 - Gemeente Renswoude ter authenticatie wordt gebruikt: •

Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

SIMform, versie 1.89.1

•

PIP, versie 2.122.2 (gemeente Renswoude maakt hiervan geen gebruik).

De URL waarop de webapplicatie te bereiken is, betreft: https://www.renswoude.nl/ Deze applicatie betreft een geheel standaard pakket en wordt onderhouden door Shift2. De infrastructuur waarop de applicatie draait wordt beheerd door Amazon Web Services. Aanvullende assurance waarop wordt ‘gesteund’ is ontleend aan: DigiD-assurancerapport, 15 oktober 2025, 214/422400/2025/23962_41, Afier ITAuditors B.V., F.W. Hanekamp RE, 1 april 2025 tot 30 september 2025. Zie bijlage C en D. Het onderzoek heeft zich gericht op de webapplicatie die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers. Specifiek zijn in scope de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van de audit. De URL www.digid.nl, de token uitwisseling tussen Logius en de webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen.

In bijlage B geven wij u een meer gedetailleerde beschrijving van het object van onderzoek. 1.4.2

Service organisatie(s) De DigiD dienstverlener maakt gebruik van Shift2 voor het beheer van de webapplicatie. De infrastructuur waarop de applicatie draait wordt beheerd door

Amazon Web Services. De DigiD dienstverlener maakt voor het verschaffen van zekerheid over haar volledige webomgeving zoals beschreven onder het object van onderzoek gebruik van de uitsluitingsmethode (‘carve-out method’). De beschrijving van de dienstverlener van haar systeem sluit daarmee de interne beheersingsdoelstellingen en daarmee verband houdende interne beheersingsmaatregelen van de serviceorganisatie uit. Onze werkzaamheden strekken zich dan ook niet uit tot de interne beheersingsmaatregelen van de serviceorganisatie. Wij hebben geen onderzoek uitgevoerd naar de juistheid van de oordelen die zijn vermeld in de genoemde assurance-rapportage(s). Wij kunnen dan ook geen enkele verantwoordelijkheid nemen m.b.t. de in die rapportage vermelde oordelen. 1.4.3

Norm ICT-beveiligingsassessments DigiD Het 'Normenkader 3.0 voor ICT-beveiligingsassessments DigiD' bevat 21 beveiligingsrichtlijnen uit de ‘ICT-beveiligingsrichtlijnen voor webapplicaties versie 2015’ van het Nationaal Cyber Security Centrum (NCSC). Daarom zijn we niet in staat om één overkoepelend oordeel af te geven met betrekking tot de beveiliging van de DigiD-aansluiting. Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft de richtlijnen geselecteerd waarvan zij vindt dat deze de hoogste impact hebben op de veiligheid van DigiD-webapplicaties. Logius houdt in opdracht van BZK toezicht op het naleven van de Voorwaarden DigiD, waaronder de uitvoering van DigiDassessments. Wij adviseren de DigiD dienstverlener om in aanvulling op de richtlijnen in de vigerende ‘Norm ICT-beveiligingsassessments DigiD’, ook de andere richtlijnen uit de ‘ICT-beveiligingsrichtlijnen voor webapplicaties versie 2015’ van het NCSC te adopteren. Wij wijzen u erop dat, indien wij aanvullende beveiligingsrichtlijnen zouden hebben onderzocht wellicht andere onderwerpen zouden zijn geconstateerd die voor rapportering in aanmerking zouden zijn gekomen.

1.4.4

Beperkingen met betrekking tot interne beheersingsmaatregelen Interne beheersingsmaatregelen bij een serviceorganisatie kunnen, vanwege hun aard, niet alle fouten of omissies voorkomen of ontdekken en corrigeren. Voor wat betreft de werking hebben wij alleen werkzaamheden uitgevoerd naar de interne beheersingsmaatregelen zoals aangegeven in 'Normenkader 3.0 voor ICTbeveiligingsassessments DigiD' voor zover van toepassing binnen de scope van ons onderzoek. Bovendien is het projecteren naar de toekomst van onze oordelen met betrekking tot de interne beheersingsmaatregelen om de doelstellingen te bereiken, onderhevig aan het risico dat interne beheersingsmaatregelen ineffectief kunnen worden. Ons oordeel is niet aangepast als gevolg van deze aangelegenheden.

1.5

Beoogde gebruikers en doel Ons assurance-rapport is uitsluitend bestemd voor de DigiD dienstverlener en Logius om inzicht te geven in de ICT beveiliging van de webomgeving van DigiD aansluiting. Logius kan hiermee toezicht houden op de koppeling van DigiD met de webapplicatie van een aangesloten organisatie voor het vertrouwen in en de integriteit van elektronische (overheids)dienstverlening. Bijlage A bevat de beschrijving van de uitgevoerde (test)werkzaamheden en onze oordelen en aanbevelingen ter verbetering van de DigiD-webomgeving. Bijlage B bevat de (uitgebreide) beschrijving van het 'Object van onderzoek'. De bijlagen A en B zijn alleen bestemd voor de DigiD dienstverlener. Bijlage C is bedoeld om Logius een totaaloverzicht te verschaffen (‘volledigheid van de scope’) over de resultaten van verschillende assessments, indien gebruik is gemaakt van rapporten inzake serviceorganisatie(s). Bijlage D is bedoeld om Logius een totaaloverzicht te verschaffen (‘identificatie’) over de identificerende kenmerken van het DigiD-assessment, ongeacht of gebruik is gemaakt van rapporten inzake serviceorganisatie(s). Ons assurance-rapport en bijlagen mogen enkel worden gebruikt door de beoogde gebruikers en/ of verspreidingskring voor het doel waarvoor deze zijn opgesteld en dient niet te worden verspreid aan of te worden gebruikt door anderen.

1.6

Verantwoordelijkheden van de DigiD dienstverlener Het bestuur van de DigiD dienstverlener is verantwoordelijk voor het verlenen van DigiD-diensten, het onderkennen van de beveiligingsrisico’s van de DigiDwebomgeving en het opzetten en implementeren van interne beheersingsmaatregelen om te voldoen aan de vigerende norm ‘Normenkader 3.0 voor ICT-beveiligingsassessments DigiD '.

1.7

Verantwoordelijkheden van de IT-auditor Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordelen over de opzet en implementatie van interne beheersingsmaatregelen die verband houden met de beveiligingsrichtlijnen in overeenstemming met de hiervoor vermelde criteria. Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële fouten en fraude ontdekken. Wij passen de ‘Reglement Kwaliteitsbeheersing NOREA (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsbeheersing inclusief vastgelegde richtlijnen en procedures inzake de naleving van ethische voorschriften, professionele standaarden en andere relevante wet- en regelgeving. Ons onderzoek om te rapporteren over opzet, bestaan en voor de van toepassing zijnde beveiligingsrichtlijnen uit 'Normenkader 3.0 voor ICT-beveiligingsassessment DigiD' de werking van interne beheersingsmaatregelen bestond onder andere uit: •

het verkrijgen van inzicht in de relevante kenmerken van de DigiDwebomgeving;

•

het vaststellen van de scope van de assessment, inclusief het vaststellen van de maatregelen die bij de service organisatie moeten worden onderzocht;

•

het houden van interviews met verantwoordelijke functionarissen, vooral gericht op het onderkennen van risico’s en het onderzoek in hoeverre deze risico’s worden afgedekt door maatregelen;

•

het evalueren van de opzet, het vaststellen van het bestaan en voor de van toepassing zijnde beveiligingsrichtlijnen uit 'Normenkader 3.0 voor ICTbeveiligingsassessment DigiD' de werking van de relevante maatregelen. Dit door middel van het kennis nemen van documentatie, het kennis nemen van de resultaten van de uitgevoerde interne controles en uitgevoerde pentesten, alsmede eigen waarnemingen;

•

het evalueren van de uitkomsten van onze werkzaamheden.

Zoetermeer, 22-01-2026

P.C.M. Holierhoek RE RA Directie

Bijlage A - Beschrijving van de testresultaten van de auditor Deze bijlage is uitsluitend bestemd voor gemeente Renswoude.

Bijlage B – Object van onderzoek Deze bijlage is uitsluitend bestemd voor gemeente Renswoude.

Bijlage C – Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting van gemeente Renswoude Deze bijlage richt zich op het ten dienste van Logius inzichtelijk maken van de wijze waarop gemeente Renswoude gebruik heeft gemaakt van serviceorganisaties die betrekking hebben op het object van onderzoek van DigiD-aansluiting 1002427 - Gemeente Renswoude. Als input voor de hierna vermelde samenvatting is, naast de voorliggende rapportage, gebruik gemaakt van de volgende rapportage(s): Omschrijving assurancerapportage

(Sub)Serviceorganisatie

DigiD assurancerapportage

Shift2

SOC2 assurancerapportage

Amazon Web Services

SOC Continued Operations Letter

Amazon Web Services

Serviceorganisatie voor webapplicatie

Subserviceorganisatie voor infrastructuur

Bij serviceorganisatie getoetste beveiligingsrichtlijnen

Referentie /

B.01, B.05, U/TV.01, U/WA.02, U/WA.03, U/WA.04, U/WA.05, U/PW.02, U/PW.03, U/PW.05, U/PW.07, U/NW.03, U/NW.04, U/NW.05, U/NW.06, C.03, C.04, C.06, C.07, C.08, C.09.

Oordeelsdatum

Ondertekend door naam auditor/ auditeenheid

214/422400/2025/23962_41 1 april 2025 tot 30 september 2025

7 oktober 2025

F.W. (Wilfred) Hanekamp RE

B.01, B.05, U/TV.01, U/WA.02, U/PW.02, U/NW.03, U/NW.06, C.03, C.04, C.06, C.07, C.08, C.09

System and Organization Controls (SOC) 2 Report 1 april 2024 tot en met 31 maart 2025

31 maart 2025

Ernst + Young LLP

N.v.t (bridge letter)

SOC Continued Operations Letter 1 augustus 2025

1 augustus 2025

Sara Duffer

Rapportnummer/ controleperiode

Subserviceorganisatie voor infrastructuur

Wij hebben geen onderzoek uitgevoerd naar de juistheid van de oordelen die zijn vermeld in de genoemde assurance-rapportage(s). Wij kunnen dan ook geen enkele verantwoordelijkheid nemen m.b.t. de in die rapportage vermelde oordelen. Wij hebben kennis genomen van de genoemde assurance-rapportage(s) en hebben te behoeve van Logius in onderstaande tabel per beveiligingsrichtlijn aangegeven tot welk oordeel de service auditor is gekomen en of in die rapportages sprake is van aanvullende beheersmaatregelen gebruikersorganisatie (de user entity controls) en of wij deze dan ook hebben getoetst bij de houderorganisatie (gebruikersorganisatie). Nr

Beschrijving van de norm

Getoetst in opdracht van Shift2, 214/422400/2025/23962_41 , 15 oktober 2025, versie 1.89.1

Getoetst in opdracht van Amazon Web Services, SOC 2 Report 3 juni 2025 (inclusief hierbij inclusive getoetste organisaties)

Getoetst in opdracht van gemeente Renswoude (inclusief hierbij inclusive getoetste organisaties)

B.01

De organisatie formuleert een informatiebeveiligingsbeleid en besteedt hierin specifiek aandacht aan webapplicatiegerelateerde onderwerpen zoals dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer.

Opzet en bestaan

Voldoet

Opzet en bestaan

Voldoet

Opzet en bestaan

Voldoet

Voldoet in opzet [1]

AWSCA-2.x

Werking

Geen oordeel [2]

B.05

U/TV.01

AWSCA-1.1 AWSCA-1.2 AWSCA-1.3

AWSCA-11.x

Werking Voldoet

Voldoet

Beschrijving van de norm

Getoetst in opdracht van Shift2, 214/422400/2025/23962_41 , 15 oktober 2025, versie 1.89.1

Getoetst in opdracht van Amazon Web Services, SOC 2 Report 3 juni 2025 (inclusief hierbij inclusive getoetste organisaties)

Getoetst in opdracht van gemeente Renswoude (inclusief hierbij inclusive getoetste organisaties)

AWSCA-2.x U/WA.02

U/WA.03

U/WA.04

U/WA.05

U/PW.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

Opzet en bestaan

n.v.t.

Opzet en bestaan

Voldoet

Voldoet in opzet [1]

Werking

Voldoet

Geen oordeel [2]

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

Opzet en bestaan

n.v.t.

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

Opzet en bestaan

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

Opzet en bestaan

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

Opzet en bestaan

Voldoet

n.v.t.

Voldoet

Opzet en bestaan n.v.t.

n.v.t.

Voldoet

Opzet en bestaan n.v.t.

n.v.t

Voldoet

Opzet en bestaan Voldoet

AWSCA-12.5 U/PW.03

De webserver is ingericht volgens een configuratie-baseline.

Opzet en bestaan

U/PW.05

U/PW.07

U/NW.03

Beschrijving van de norm

Getoetst in opdracht van Shift2, 214/422400/2025/23962_41 , 15 oktober 2025, versie 1.89.1

Getoetst in opdracht van Amazon Web Services, SOC 2 Report 3 juni 2025 (inclusief hierbij inclusive getoetste organisaties)

Getoetst in opdracht van gemeente Renswoude (inclusief hierbij inclusive getoetste organisaties)

Voldoet

n.v.t.

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

Opzet en bestaan

Voldoet

n.v.t

n.v.t.

Voor het configureren van hardeningsrichtlijn beschikbaar.

Opzet en bestaan

Voldoet

n.v.t

n.v.t.

Opzet en bestaan

Voldoet

n.v.t.

platformen

een

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

AWSCA-3.x U/NW.04

U/NW.05

U/NW.06

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectieen protectiemechanismen.

Opzet en bestaan

Voldoet

n.v.t

n.v.t.

Binnen de productieomgeving zijn productieverkeer van elkaar afgeschermd.

Opzet en bestaan

Voldoet

n.v.t

n.v.t.

Opzet en bestaan

Voldoet

Voor het configureren van hardeningrichtlijn beschikbaar.

beheer-

netwerken

een

AWSCA-3.x

Beschrijving van de norm

Getoetst in opdracht van Shift2, 214/422400/2025/23962_41 , 15 oktober 2025, versie 1.89.1

Getoetst in opdracht van Amazon Web Services, SOC 2 Report 3 juni 2025 (inclusief hierbij inclusive getoetste organisaties)

Getoetst in opdracht van gemeente Renswoude (inclusief hierbij inclusive getoetste organisaties)

AWSCA-4.x

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

Opzet en bestaan

Voldoet

n.v.t.

AWSCA-3.6 C.04

C.06

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

Opzet en bestaan

Voldoet

n.v.t.

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

Opzet en bestaan

Voldoet

n.v.t.

AWSCA-8.x C.07

De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICTsystemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd.

Opzet en bestaan

Voldoet

n.v.t.

Werking

AWSCA-8.x

Werking

Voldoet

Werking

n.v.t.

Voldoet AWSCA-8.x

Beschrijving van de norm

Getoetst in opdracht van Shift2, 214/422400/2025/23962_41 , 15 oktober 2025, versie 1.89.1

Getoetst in opdracht van Amazon Web Services, SOC 2 Report 3 juni 2025 (inclusief hierbij inclusive getoetste organisaties)

Getoetst in opdracht van gemeente Renswoude (inclusief hierbij inclusive getoetste organisaties)

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Opzet en bestaan

Voldoet

Werking

AWSCA-6.x

Werking

Voldoet

Werking

Voldoet

Voldoet AWSCA-6.x

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

Opzet en bestaan

Voldoet

n.v.t.

Werking

AWSCA-3.16

Werking

Voldoet

Werking

n.v.t.

Voldoet AWSCA-3.16

[1] Bestaan - Non-occurrence - voldoet in opzet. Voor beveiligingsrichtlijn U/TV.01 en U/WA.02 hebben wij vastgesteld dat gemeente Renswoude maatregelen heeft ontworpen met betrekking tot deze norm. Vanwege het feit dat zich geen situatie heeft voorgedaan waarop deze maatregel betrekking heeft, hebben wij het bestaan niet kunnen vaststellen. [2] Werking – non-occurrence - geen oordeel. Voor beveiligingsrichtlijn U/TV.01 en U/WA.02 hebben wij vastgesteld dat de organisatie maatregelen heeft ontworpen (opzet). Wij zijn van oordeel dat de organisatie in opzet voldoet aan deze norm. Vanwege non-occurrence kan de effectieve werking niet worden vastgesteld en daarom geven wij daarover geen oordeel.

Bijlage D - Totaaloverzicht ICT-beveiligingsassessment DigiD Hieronder treft u een verkort overzicht aan van de identificerende kenmerken en de gebruikte assessmentrapportage(s) die invulling geven aan het uitgevoerde DigiD-beveiligingsassessment op de webomgeving van de hieronder vermelde DigiD-aansluiting.

Aansluiting

Auditor aansluithouder Object van onderzoek

Serviceorganisatie A

(Sub)Serviceorganisati eB

1002427: Aansluitnaam: Dienstverlener: Naam auditor: Auditorganisatie: Kenmerk rapport: Naam webapplicatie: Versienummer: Omschrijving: SERVICEORGANISATIE : AUDITOR SERVICEORGANISATIE-A: KENMERK RAPPORT: OORDEELSDATUM: (SUB)SERVICEORGANISATIEB: AUDITOR (SUB)SERVICEORGANISATIE: KENMERK RAPPORT: OORDEELSDATUM: RAPPORTDATUM:

1002427 Gemeente Renswoude Gemeente Renswoude P.C.M. Holierhoek RE RA Accoris Audit Services B.V. AAS2025-3132 SIMform 1.89.1 Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren. Shift2 F.W. (Wilfred) Hanekamp RE 214/422400/2025/23962_41 1 april 2025 tot 30 september 2025 Amazon Web Services Ernst + Young LLP Geen kenmerk 1 april 2024 tot en met 31 maart 2025 met een bridge letter van 1 augustus 2025 3 juni 2025 met een bridge letter van 1 augustus 2025

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/17108417/1