Document · PDF

RIB 26 040 Bijlage B Over de DigiD aansluitingen bij de collegeverklaring ENSIA 2025

Forum Stad en Samenleving 14 april 2026, gemeente RijswijkBij agendapunt: Lijst van ingekomen stukken: vaststelling wijze van afdoening3.813 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Belastingbalie - 1003797 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Belastingbalie met aansluitnummer 1003797 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Belastingbalie voor authenticatie wordt gebruikt: • Digitale Balie is het portaal voor burgers op internet dat belastingplichtigen in staat stelt om zelf gegevens over de ontvangen aanslagen in te zien en die te betalen.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Digitale Balie • Versie: 2.13.3 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • belastingbalie.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Belastingbalie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door BakerWare BV. DigiD-aansluiting Gemeente Rijswijk - Belastingbalie bevindt zich in de Demilitarized Zone (DMZ).

De infrastructuur waar deze applicatie op draait, wordt beheerd door BakerWare BV met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • BakerWare BV Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

1 juli 2025 tot en met 31 december 2025

1/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

BakerWare B.V.

Referentie/rapportnummer:

TPM: BKBO/250520-02/1/TPM Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 27-09-2025 Sub-TPM: N.v.t.

Controleperiode:

TPM: 1 januari 2025 - 31 juli 2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: drs. M.B.H. IJpelaar, drs. M.T.C. Akay Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk VDB.20260225.01.

2/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

U/WA.02 Webapplicatiebeheerproces

Opzet en bestaan

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

3/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Parkeren - 1002318 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Parkeren met aansluitnummer 1002318 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Parkeren voor authenticatie wordt gebruikt: • CityPermit is het online parkeervergunningen en ontheffingen systeem voor gemeenten waarmee zij burgers en bedrijven hun parkeerzaken automatisch via het internet kunnen laten regelen. Het aanvragen, wijzigen en verlenen van parkeervergunningen en ontheffingen.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: CityPermit • Versie: 2.2 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://parkeren.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Parkeren. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Sigmax Law Enforcement B.V..

DigiD-aansluiting Gemeente Rijswijk - Parkeren bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Sigmax Law Enforcement B.V. met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Sigmax Law Enforcement B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

01-07-2025 - 31-12-2025

4/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Sigmax Law Enforcement B.V.

Referentie/rapportnummer:

TPM: 2510R.AH114 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 02-10-2025 Sub-TPM: N.v.t.

Controleperiode:

TPM: 01-04-2025 - 30-09-2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: drs. A.J.A. Hassing RE RA Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

5/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

6/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - eDiensten Burgerzaken - 1003611 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken met aansluitnummer 1003611 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk eDiensten Burgerzaken voor authenticatie wordt gebruikt: • De eDienst Burgerzaken stelt de inwoners in de gelegenheid om informatie op te vragen uit de BRP en of door te geven binnen het burgerzaken domein. Zo is het onder andere mogelijk om uittreksels en afschriften aan te vragen en huwelijken of geboortes door te geven. Ook kunnen inwoners wijzigingen in hun situatie doorgeven aan de gemeente zoals verhuizingen en of emigraties.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: eDiensten Burgerzaken • Versie: Continuous Delivery – 1 september 2025 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • edienstenburgerzaken.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken.

De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Centric Netherlands B.V.. DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Centric Netherlands B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

1 juli 2025 tot en met 31 december 2025

7/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Centric Netherlands B.V.

Referentie/rapportnummer:

TPM: JMA/TLA/YPO/ 990367/604105 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 01-09-2025 Sub-TPM: N.v.t.

Controleperiode:

TPM: 1 oktober 2024 tot en met 31 augustus 2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: J. Martens RE Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

8/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

U/WA.02 Webapplicatiebeheerproces

Opzet en bestaan

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

9/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Bijlage 1 DigiD - formulieren.rijswijk.nl - 1004679 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting formulieren.rijswijk.nl met aansluitnummer 1004679 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting formulieren.rijswijk.nl voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers met onder meer het inzien van van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Simform en Pip • Versie: 1.89.1 en 2.122.2 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • formulieren.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting formulieren.rijswijk.nl. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Shift2. DigiD-aansluiting formulieren.rijswijk.nl bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Shift2 met beheervorm Saas. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Shift2.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

1 juli 2025 tm 31 dec 2025

10/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Shift2

Referentie/rapportnummer:

TPM: 214/422400/2025/23962_43 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 07-10-2025 Sub-TPM: N.v.t.

Controleperiode:

TPM: 1 april 2025 tot 30 september 2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: drs. F.W. Hanekamp RE Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

11/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Voldoet in opzet

Voldoet

Werking

Voldoet

Geen oordeel

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

12/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Mijnhulpvraag - 1005651 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag met aansluitnummer 1005651 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Mijnhulpvraag voor authenticatie wordt gebruikt: • Het ondersteunen van cliëntprocessen voor Wmo, Jeugd en Steunpunt Rijswijk (voorheen: Sociaal Wijkteam). Het cliëntportaal voorziet in het uitwisselen van documenten met cliënt.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: MijnGemeente • Versie: 2025-9.3.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://mijnhulpvraag.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door ZorgNed Automatisering BV. DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag bevindt zich in de Demilitarized Zone (DMZ).

De infrastructuur waar deze applicatie op draait, wordt beheerd door ZorgNed Automatisering BV met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • ZorgNed Automatisering BV. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2025

Controleperiode:

01-07-2025 - 31-12-2025

13/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

ZorgNed Automatisering BV

Referentie/rapportnummer:

TPM: ZORGNED/DIGID/1005651 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 29-09-2025 Sub-TPM: N.v.t.

Controleperiode:

TPM: 01-01-2025 - 31-08-2025 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: MJ van Zitteren RE Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

14/15

Gemeente Rijswijk - 26.009937 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

15/15

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Rijswijk&id=7237d65c-11f3-4b61-8a62-3771eca5c453