Document · PDF

[22bb003284] Bijlage 1 behorende bij 22bb3280 - Collegeverklaring ENSIA inzake DigiD en Suwinet 2021 26 april 2022 incl bijlagen GEHEIM OPGEHEVEN

Tijdelijke commissie Bestuur (2022-2026) 9 juni 2022, gemeente RotterdamBij agendapunt: Afwegingskader sensoren, datatoepassing en Al6.557 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Dit document is openbaar gemaakt middels besluit

22bb3765,dd.020622

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Rotterdam

Pagina 1 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA. M2204-1211

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Rotterdam Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Rotterdam voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA' en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021 De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de interne auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en eventuele afwijkingen en waar deze belegd zijn, is opgenomen in de bijlagen: Bijlage 1 DigiD met kenmerk M2204-1211 Bijlage 2 Suwinet met kenmerk M2204-1211

Verklaring college Het college verklaart dat voor DigiD en Suwinet niet aan alle normen wordt voldaan. Wij hebben een verbeterplan opgesteld om aan de normen te voldoen, de acties zijn belegd en worden gemonitord.

' ENSIA ondersteunt de gemeente bij de verantwoor ding over informatiebeveiliging richting de gemeenteraad en de rijksoverh eid. ENSIA gaat uit van de Baseline Inform atiebeveiliging Overheid (BI0) alsmede van informatiebeveiligingsnorm en vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Gro otschalige Topografie (BGT ), Basisregistratie Ondergro nd (RO), de Gezamenlijke Elektro nische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onro erende Zaken (WOZ).

Pagina 2 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Samenvattend beeld

gs ergNegs5Fe

r= rs-rue

m m 5S imm . ll]7 Tf77 "T t

[@%,

-~. ~~-.-~,... , ·1t·i

.II \ 1--::r- 1

--~

vte,

pao

.__

DigiD 1000161 (Mijnloket)

Nee

pf,ff

1e[e

I l

DigiD 1001269 (Mijn KBR)

Niet van toepassing

Nee

DigiD 1002211 (E-Suite)

Niet van toepassing

Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Nee Ja

Ja Niet van toepassing ------

Rotterdam, 19 april 2022 College van B&W gemeente Gemeente Rotterdam De burgemeester,

V.J.M. Roozen

A. Aboutaleb

Naam auditfirma:

Concern Auditing, Gemeente Rotterdam

Naam auditor: Datum

De heer, J.P. Volker

26-0- 202 '\

Pagina 3 van 13

J:'." ... -1" P,-1._, P l,

DigiD 1001749 (Edison)

De secretaris,

rm?rem=9

, __ ,.;

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Tee

.le.-.f<ale

-.-a Cy Uli« £€

Bijlage 1 DigiD - Mijn KBR - 1001269 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Mijn KBR met aansluitnummer 1001269

Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Mijn KBR voor authenticatie wordt gebruikt: Als platform waar burgers op een centrale·plek gemeentelijke diensten en ondersteuning kan aanvragen voor schulddienstverlening. Deze functionaliteit wordt geboden door de volgende webapplicatie: Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door lnnovadis en Previder Deze applicatie is extern benaderbaar via [de] [het] volgende internetadres(sen):

DigiD aansluiting Mijn KBR bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Previder en lnnovadis Applicatie De applicatie in combinatie met de hosting wordt door lnnovadis als SAAS aangeboden door lnnovadis en het betreft een standaardpakket wordt onderhouden door lnnovadis De fysieke en virtuele infrastructuur en services die door Previder worden beheerd betreffen de volgende diensten: Hostingplatfrom Systeembeheer Managed Firewall Servicemanagement Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Mijn KBR. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Previder en lnnovadis. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het· onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s]. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier[s] van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM['s] / Assurance rapportages van de gemeentelijke serviceorganisaties:

7LEI.II.IN el hl" " elelslil7l-El7 EUGINTEW#REWA R Naam serviceorganisatie: lnnovadis en Previder Referentie/rapportnummer:

AAS2021-1195 Rapport dienst van lnnovadis AAS2021-1243 Rapport dienst van Previder

Afgiftedatum:

AAS2021-1243 - 5 November-2021 AAS2021-1195 - 11-Oktober-2021

Naam RE-auditor:

Accoris Audit Services

Ondertekend door RE-auditor:

JR. Möhle RE

Pagina 4 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM's / Assurance rapportage(s) van onze serviceorganisatie(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het Assurance rapport met kenmerk 202201211 Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

r ,C I

L 1

~ II -

[. I

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data-invoercontrole U/WA.04 Normaliseren uitvoer U/WA.05 Cryptografie/ Privacybevordering

Voldoet

U/PW.02 Garanderen webprotocollen U/PW.03 Configureren webserver

Voldoet

U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

Voldoet

Voldoet Voldoet

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

Voldoet Voldoet

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken C.03

C.07

Monitoringfuncties

C.08

Wijzigingen beheer

C.09

Patchmanagement

Voldoet

Pagina 5 van 13

Voldoet

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Digitaal Loket - 1002211 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Digitaal Loket met aansluitnummer 1002211 Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Rotterdam voor authenticatie wordt gebruikt: Een digitaal loket voor burgers en bedrijven met daarin formulieren EN Een producten en diensten catalogus (PDC) Deze functionaliteit wordt geboden door de volgende webapplicatie: De applicatie betreft standaard software en wordt ontwikkeld en onderhouden door Atos. De infrastructuur waarop de applicatie draait wordt beheerd door SSC Twente in de vorm van fysieke hosting. Deze applicatie is extern benaderbaar via [de] [het] volgende internetadres(sen): Het object van zelfevaluatie is de web-omgeving van Rotterdam. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Dimpact. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s].

De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier[s] van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM ['s] / Assurance rapportage[s] van de gemeentelijke serviceorganisatie[s]: ~~~ _1 ~ _ .,:" __- .,,-,~~_::_ h":_1~ ~.:.t<..:.____ -~ _ _.:_~""_: .._'" ~ -~ ~

Naam serviceorganisatie:

Dimpact

Referentie/rapportnummer:

2111R.AH149

Afgiftedatum:

11-11-2021

Naam RE-auditor:

3angles B.V.

Ondertekend door RE-auditor:

drs. A.J.A. Hassing RE RA

Pagina 6 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

~~}I

B.05 U/TV.01

Contractmanagement Identificatie en authenticatie

U/WA.02 Webapplicatiebeheer proces

,..,[d@~T@Si . ~- ~--u[ff Boer

·--1f.\l/-1

I,,

Voldoet

U/WA.03 Automatische data-invoercontrole

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

Voldoet Voldoet

U/WA.05 Cryptografie/ Privacy bevordering

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren webserver U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

Voldoet

Voldoet Voldoet

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

Voldoet Voldoet

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken C.03

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Voldoet

Pagina 7 van 13

. ..

·el~r arer) qt

Voldoet

j%j

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Mijn Loket- 1000161 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Mijn Loket met aansluitnummer 1000161 Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rotterdam "Mijn Loket" voor authenticatie wordt gebruikt: Als platform waar burgers op een centrale plek gemeentelijke diensten en ondersteuning kan aanvragen, zoals afspraak bij stadswinkels, gemeentelijke belastingen, vergunningen en subsidies. Deze functionaliteit wordt geboden door de volgende webapplicatie: Deze applicatie betreft geheel maatwerk en wordt onderhouden door Gemeente Rotterdam. Deze applicatie is extern benaderbaar via het volgende internetadres:

DigiD-aansluiting Gemeente Rotterdam - "Mijn Loket" bevindt zich in de Demilitariseerde Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt deels beheerd door Gemeente Rotterdam in de vorm van fysieke hosting, deels door leverancier Mendix' in de vorm van fysieke hosting. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rotterdam - "Mijn Loket". De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Mendix. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier[s] van de gemeente valt.

De overige normen worden afgedekt door onderstaande TPM / Assurance rapportage van de gemeentelijke serviceorganisatie:

Pagina 8 van 13

2-0 -2o2

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

ICT-leverancier

'" t ea

;·

Naam serviceorganisatie.

,,,-····a '-...., 11

Mendix

Referentie/rapportnummer.

844FO8A2- 7805-4557-A326-80754C462C5E

Afgiftedatum:

29 november 2021

Naam RE-auditor:

Mazars N.V.

Ondertekend door RE-auditor:

N. Verhagen RE AA

De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor, De conclusie van de auditor is opgenomen in het Assurance rapport met kenmerk 202201211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm, -

}

Voldoet

B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

Voldoet Niet

Voldoet

U/WA.02

Webapplicatiebeheer proces Automatische data-invoercontrole

Voldoet

Voldoet Niet

Normaliseren uitvoer Cryptografie/ Privacybevordering

Voldoet

Voldoet Niet

U/WA.03 U/WA.04 U/WA.05

Voldoet Niet Voldoet Voldoet Niet

Voldoet

Voldoet Voldoet Niet

Voldoet

Voldoet Niet

Toegang tot beheermechanismen

Voldoet

Hardening van platformen

Voldoet

DMZ Protectie- en detectiemechanismen

Voldoet Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet Niet

Voldoet

Voldoet Niet

C.03

Vulnerability-assessments

Voldoet

Penetratietesten

Voldoet Voldoet

Voldoet

C.04

Voldoet

C.06

Signaleringsfuncties

Voldoet

c.07

Monitoringfuncties

Voldoet

Voldoet Voldoet Voldoet

U/PW.02

Garanderen webprotocollen

U/PW.03

Configureren webserver

U/PW.05 U/PW.O7 U/NW.03 U/NW.04

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Pagina 9 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Edison W&I Rotterdam - 1001749 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Edison W&I Rotterdam met aansluitnummer 1001749 Gemeente Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting "Edison_&I Gemeente Rotterdam" voor authenticatie wordt gebruikt

Deze applicatie wordt onderhouden door Wigo4it. De applicatie Edison is door Wigo4it ontwikkeld en gehost. De combinatie van applicatie en hosting wordt door Wigo4it als SAAS aan gemeente Rotterdam aangeboden DigiD aansluiting Edison W&I Gemeente Rotterdam bevindt zich in de Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Edison W&I Gemeente Rotterdam. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s]. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Voor zowel de applicatie als voor de hosting hebben we Wigo4it overeenkomsten afgesloten, waarin onder meer afspraken over informatiebeveiliging in het algemeen en het ICT-beveiligingsassessment DigiD in het kader van ENSIA in het bijzonder zijn gemaakt.

Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / Assurance rapportage van de leverancier(s):

Referentie/rapportnummer:

Wigo4it AAS2022-1317

Afgiftedatum:

18-Maart-2022

Naam RE-auditor:

Accoris

Ondertekend door RE-auditor:

N.M. van der Meij RE

Naam serviceorganisatie:

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

agarwz. ,gerryrrrsa =,yr,ageg --.:r· ~

B.05

Contractmanagement

U/TV.01 Identificatie en authenticatie U/WA.02 Webapplicatiebeheer proces

~i-·~~1- .1, 11.

, ,

(. !

...

Voldoet Voldoet

Voldoet

U/WA.03 Automatische data-invoercontrole U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografie/ privacy bevordering

Voldoet

U/PW.02 Garanderen webprotocollen U/PW.03 Configureren webserver

Voldoet

Voldoet Niet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ U/NW.04 Protectie- en detectiemechanismen U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

Voldoet Voldoet

Voldoet

C.03 C.04

Vulnerability-assessments

Voldoet

Penetratietesten Signaleringsfuncties

Voldoet Voldoet

Voldoet

C.06

Voldoet

Voldoet Voldoet

Voldoet

U/NW.06 Hardening van netwerken

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Voldoet

Patchmanagement

Pagina 11 van 13

Voldoet Voldoet

...

le de-ff.ale Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

0Le, @€ 26-e.-ze.

Bijlage 2 Gebruik van Suwinet

Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers [wel][niet] door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Rotterdam heeft een deel van de Suwinet taken uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm. De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt.

~-------~ -

Naam serviceorganisatie:

Wigo4it

Referentie/rapportnummer:

AAS2021-1098 (Suwinet DKD Inlezen)

Afgiftedatum:

29 oktober 2021

Naam RE-auditor:

N.M. van der Meij RE

Ondertekend door RE-auditor:

Gebruik van Suwinet voor SUWl-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: -.---------------f Participatiewet (Pw) Binnen de gemeente Ja a

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Binnen de gemeente

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Binnen de gemeente

Gebruik van Suwinet voor niet-SUWl-taken Voor de volgende niet-SUWl-taken wordt Suwinet op de volgende plaatsen gebruikt:

~ Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

~ -pl' F e@Ir. fir.,

Er wordt niet gebruik gemaakt van Suwinet

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Er wordt niet gebruik gemaakt van Suwinet

Adresonderzoek door Burgerzaken

Er wordt niet gebruik gemaakt van Suwinet

Nee

Pagina 12 van 13

Nee

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Naleving BIO-maatregelen Met uitzondering van de volgende maatregelen voldoen de interne beheersingsmaatregelen voor de SUWI-taken op 31 december 2021 in opzet en bestaan aan de doelstellingen uit de verantwoordingsrichtlijn GeVS 2020: ofte1rei.%

. .

9tee/ei.# i,1Ie %LEE±te%tl. -.

Gemeente Rotterdam

Participatiewet (Pw)/IOW/IOAZ

9.2.5 10.1.1 12.1.1 12.4.1

Gemeente Rotterdam

Participatiewet (Pw)/IOW/IOAZ

7.2.2 9.2.5

EET ZEEF-REE 9gag

Per 1 februari 2022 voldoen we als Gemeente Rotterdam aan alle bovenstaande BIO normen voor Suwinet. De bevindingen dateren van de stand per 31-12-21, de applicatie GUS is niet meer in gebruik.

Pagina 13 van 13

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Rotterdam

Pagina 1 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Rotterdam Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Rotterdam voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de interne auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en eventuele afwijkingen en waar deze belegd zijn, is opgenomen in de bijlagen: Bijlage 1 DigiD met kenmerk M2204-1211 Bijlage 2 Suwinet met kenmerk M2204-1211

'ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

Pagina 2 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Samenvattend beeld

DigiD 1000161 (Mijnloket)

Nee

DigiD 1001269 (Mijn KBR)

Niet van toepassing

DigiD 1001749 (Edison)

Nee

DigiD 1002211 (E-Suite)

Niet van toepassing

Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Nee Ja

Ja Niet van toepassing

Rotterdam, 19 april 2022 College van B&W gemeente Gemeente Rotterdam De secretaris,

De burgemeester,

V.J.M. Roozen

A. Aboutaleb

Naam auditfirma:.

Concern Auditing, Gemeente Rotterdam

Naam auditor: Datum

De heer, J.P. Volker

2b-OLA.-'2.D~

Pagina 3 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Tee de.I.f<ale ? .tLs £e ,

Bijlage 1 DigiD - Mijn KBR - 1001269 Totaaloverzicht getoetste normen ICT-beveiligingsassessment

-..-e é

DigiD-aansluiting Mijn KBR met aansluitnummer 1001269 Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Mijn KBR voor authenticatie wordt gebruikt: Als platform waar burgers op een centrale plek gemeentelijke diensten en ondersteuning kan aanvragen voor schulddienstverlening. Deze functionaliteit wordt geboden door de volgende webapplicatie: Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door lnnovadis en Previder Deze applicatie is extern benaderbaar via [de] [het] volgende internetadres(sen):

DigiD aansluiting Mijn KBR bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Previder en lnnovadis Applicatie De applicatie in combinatie met de hosting wordt door lnnovadis als SAAS aangeboden door lnnovadis en het betreft een standaardpakket wordt onderhouden door lnnovadis De fysieke en virtuele infrastructuur en services die door Previder worden beheerd betreffen de volgende diensten: Hostingplatfrom Systeembeheer Managed Firewall Servicemanagement Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Mijn KBR. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Previder en lnnovadis. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s]. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

[@hitste. Naam serviceorganisatie: Referentie/rapportnummer: Afgiftedatum: Naam RE-auditor: Ondertekend door RE-auditor:

lnnovadis en Previder AAS2021-1195 Rapport dienst van lnnovadis AAS2021-1243 Rapport dienst van Previder AAS2021-1243 - 5 November-2021 AAS2021-1195 - 11-Oktober-2021 Accoris Audit Services J.R. Möhle RE

Pagina 4 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

-~ h #Ni# , @+ "ie s.e .

··

~£~~~ ;~

~-~ffl< ~~r ¥ .t

gt8s

. ,~. ~ ,,,,~ ~ _j.~. J4-

~ es@ s f" site@th..

tf%

ad#h:

1r~<;;j-:._ ~---~~-·- 1J_,; ~

~ er.jf.723ff1r'o ~'- ¥-- ~~-,~ ¾

~~.,

ill#t:LL@tat1ia@a@9#es. l#3. a"lilt flue

Contractmanagement

Voldoet

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

8.05 U/TV.01

U/WA.03 Automatische data-invoercontrole

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/WA.04 Normaliseren uitvoer Voldoet

U/WA.05 Cryptografie/ Privacybevordering U/PW.03 Configureren webserver

Voldoet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ U/NW.04 Protectie- en detectiemechanismen

Voldoet

Voldoet Voldoet

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties Monitoringfuncties

Voldoet

C.08

Wijzigingen beheer

Voldoet

C.09

Patch management

Voldoet

C.07

Voldoet

Pagina 5 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Digitaal Loket - 1002211 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Digitaal Loket met aansluitnummer 1002211 Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Rotterdam voor authenticatie wordt gebruikt: Een digitaal loket voor burgers en bedrijven met daarin formulieren EN Een producten en diensten catalogus (PDC) Deze functionaliteit wordt geboden door de volgende webapplicatie: De applicatie betreft standaard software en wordt ontwikkeld en onderhouden door Atos. De infrastructuur waarop de applicatie draait wordt beheerd door SSC Twente in de vorm van fysieke hosting. Deze applicatie is extern benaderbaar via [de] [het] volgende internetadres(sen): Het object van zelfevaluatie is de web-omgeving van Rotterdam. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Dimpact. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s].

~--~ Naam serviceorganisatie:

Dimpact

Referentie/rapportnummer:

2111R.AH149

Afgiftedatum:

11-11-2021

Naam RE-auditor:

3angles B.V.

Ondertekend door RE-auditor:

drs. A.J.A. Hassing RE RA

Pagina 6 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

~ - ------. -" 11'~l #ft;;'tï f[k~ ~ f1@f 5 Te i eplftn3ref. )l e

B za

MR@'

#eg.ge.

- - ) 1- lg« grifr

ie %

il l [-,

r { [e{ }

(el

Voldoet

Voldoet Voldoet

Voldoet

Voldoet Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren webserver

Voldoet

U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

Voldoet Voldoet

U/NW.03 DMZ U/NW.04 Protectie- en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken C.03 Vulnerability-assessments

Voldoet

B.05 U/TV.01

Contractmanagement Identificatie en authenticatie

Voldoet Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data-invoercontrole U/WA.04 Normaliseren uitvoer U/WA.05 Cryptografie/ Privacy bevordering

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07 C.08

Monitoringfuncties

Voldoet

Wijzigingenbeheer

Voldoet

C.09

Patch management

Voldoet

Pagina 7 van 13

$tj

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Mijn Loket - 1000161 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Mijn Loket met aansluitnummer 1000161 Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rotterdam "Mijn Loket" voor authenticatie wordt gebruikt: Als platform waar burgers op een centrale plek gemeentelijke diensten en ondersteuning kan aanvragen, zoals afspraak bij stadswinkels, gemeentelijke belastingen, vergunningen en subsidies. Deze functionaliteit wordt geboden door de volgende webapplicatie: Deze applicatie betreft geheel maatwerk en wordt onderhouden door Gemeente Rotterdam. Deze applicatie is extern benaderbaar via het volgende internetadres:

DigiD-aansluiting Gemeente Rotterdam - "Mijn Loket" bevindt zich in de Demilitariseerde Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt deels beheerd door Gemeente Rotterdam in de vorm van fysieke hosting, deels door leverancier Mendix in de vorm van fysieke hosting. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rotterdam - "Mijn Loket". De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Mendix. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier[s] van de gemeente valt.

De overige normen worden afgedekt door onderstaande TPM / Assurance rapportage van de gemeentelijke serviceorganisatie:

Pagina 8 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

ICT-leverancier

··- .

±a

ril$

Mendix

Naam serviceorganisatie' Referentie/rapportnummer:

844FD8A2- 7805-4557-A326-80754C462C5E

Afgiftedatum:

29 november 2021

Naam RE-auditor:

Mazars N.V.

Ondertekend door RE-auditor:

N. Verhagen RE AA

De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het Assurance rapport met kenmerk 202201211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm.

,-------,-,-----~ ~ --------,

I I

I '

»r s

t.-1

1. I-

Voldoet

Identificatie en authenticatie

Voldoet Niet

Voldoet

Voldoet Niet

U/WA.02

Webapplicatiebeheer proces Automatische data-invoercontrole

Voldoet Voldoet Niet

Voldoet

U/WA.03 U/WA.04

Voldoet Voldoet Niet

8.05 U/TV.01

Contractmanagement

Normaliseren uitvoer

U/WA.05

Cryptografie/ Privacybevordering

U/PW.02 U/PW.03

Garanderen webprotocollen

U/PW.05

Toegang tot beheermechanismen

Configureren webserver

Voldoet

Voldoet Niet

Voldoet

Voldoet Voldoet Niet

Voldoet Niet

Voldoet

U/PW.07

Hardening van platformen

U/NW.03 U/NW.04

DMZ

Voldoet Voldoet

Voldoet

Protectie- en detectiemechanismen

Voldoet

Scheiding beheer- en productieomgeving

Voldoet

U/NW.05 U/NW.06

Hardening van netwerken

Voldoet Niet

Voldoet

Voldoet Niet

C.03

Voldoet Voldoet

Voldoet

C.04

Vulnerability-assessments Penetratietesten

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Pagina 9 van 13

Voldoet

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Bijlage 1 DigiD - Edison W&I Rotterdam - 1001749 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Edison W&I Rotterdam met aansluitnummer 1001749 Gemeente Rotterdam biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting "Edison y&I Gemeente Rotterdam" voor authenticatie wordt gebruikt:

Deze applicatie wordt onderhouden door Wigo4it. De applicatie Edison is door Wigo4it ontwikkeld en gehost. De combinatie van applicatie en hosting wordt door Wigo4it als SMS aan gemeente Rotterdam aangeboden DigiD aansluiting Edison W&I Gemeente Rotterdam bevindt zich in de Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Edison W&I Gemeente Rotterdam. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD" van Logius. Gemeente Rotterdam heeft een deel van de DigiD web-omgeving uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie[s]. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie[s]. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Voor zowel de applicatie als voor de hosting hebben we Wigo4it overeenkomsten afgesloten, waarin onder meer afspraken over informatiebeveiliging in het algemeen en het ICT-beveiligingsassessment DigiD in het kader van ENSIA in het bijzonder zijn gemaakt.

Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat-niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / Assurance rapportage van de leverancier(s):

tettat Naam serviceorganisatie: Referentie/rapportnummer:

Wigo4it AAS2022-1317

Afgiftedatum:

18-Maart-2022

Naam RE-auditor:

Accoris

Ondertekend door RE-auditor:

N.M. van der Meij RE

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

Voldoet Voldoet

Voldoet

Voldoet Voldoet

Voldoet

Voldoet Voldoet

Voldoet

Voldoet Niet Voldoet

Voldoet Niet

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

Voldoet Voldoet

B.05 Contractmanagement U/TV.01 Identificatie en authenticatie U/WA.02 Webapplicatiebeheer proces U/WA.03 Automatische data-invoercontrole U/WA.04 Normaliseren uitvoer U/WA.05 Cryptografie/ privacy bevordering

Voldoet

U/PW.02 Garanderen webprotocollen U/PW.03 Configureren webserver U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

U/NW.06 Hardening van netwerken

Voldoet

Voldoet Voldoet

Voldoet

Voldoet Voldoet Voldoet

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten Signaleringsfuncties

Voldoet Voldoet

Voldoet

C.06 C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Voldoet

Pagina 11 van 13

Voldoet

le def.ale

{f Lua. @€

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

oz.. F

26e

Bijlage 2 Gebruik van Suwinet

Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Rotterdam heeft een deel van de Suwinet taken uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm. De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt.

Sf »f%." Naam serviceorganisatie:

Wigo4it

Referentie/rapportnummer:

AAS2021-1098 (Suwinet DKD Inlezen)

Afgiftedatum:

29 oktober 2021

Naam RE-auditor:

N.M. van der Meij RE

Ondertekend door RE-auditor:

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt:

1-:r:\.'

1, ~(-:: 1- \_·.,

Participatiewet (Pw)

Binnen de gemeente

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Binnen de gemeente

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Binnen de gemeente

1it

I 1

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWl-taken wordt Suwinet op de volgende plaatsen gebruikt: ~ -- - - - -- ~ - - Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

~ ~ pol ] [@EürÉr.ii@ "# Rh'yd±f - --@

~ -

Er wordt niet gebruik gemaakt van Suwinet

-- -

Nee I

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders Er wordt niet gebruik gemaakt van Suwinet

Nee

Adresonderzoek door Burgerzaken

Nee

Er wordt niet gebruik gemaakt van Suwinet

Pagina 12 van 13

Gemeentelijk kenmerk collegeverklaring ENSIA: M2204-1211

Naleving BIO-maatregelen Met uitzondering van de volgende maatregelen voldoen de interne beheersingsmaatregelen voor de SUWl-taken op 31 december 2021 in opzet en bestaan aan de doelstellingen uit de verantwoordingsrichtlijn GeVS 2020:

Gemeente Rotterdam

Participatiewet (Pw)/IOW/IOAZ

9.2.5 10.1.1 12.1.1 12.4.1

Gemeente Rotterdam

Participatiewet (Pw)/IOW/IOAZ

7.2.2 9.2.5

Per 1 februari 2022 voldoen we als Gemeente Rotterdam aan alle bovenstaande BIO normen voor Suwinet. De bevindingen dateren van de stand per 31-12-21, de applicatie GUS is niet meer in gebruik.

Pagina 13 van 13

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=RotterdamRaad&id=747f079f-0dca-4789-8a6d-3103cc117e6d