Antwoorden per BIO2-maatregel en GIBIT-artikel, met de nee-rijen erbij.
Een gemeente of andere overheidsklant legt de BIO2 en de GIBIT op aan de leverancier. De BIO2 vraagt om het aantonen van de werking van maatregelen, en dat doen de vastleggingen die Opafra schrijft. De antwoorden hieronder volgen de maatregelnummers van de BIO2 en de artikelnummers van de VNG GIBIT 2023 en zijn in eigen woorden, en ze bevatten wat Opafra niet beantwoordt.
17 BIO2-maatregelen en 10 GIBIT-bepalingen gelezen. Alle 27 staan hieronder.
Eerst de BIO2, want dat is de norm waar het GIBIT-contract naar verwijst. Opafra beantwoordt van de 17 BIO2-maatregelen er 9 volledig, 6 gedeeltelijk en 2 niet. Daarna de GIBIT zelf: daarvan beantwoordt Opafra er geen enkele volledig, 6 gedeeltelijk en 4 niet. De pagina over de Cyberbeveiligingswet legt de wet achter deze vragen uit.
Wat de BIO2 van de leverancier vraagt
Artikel 29.1 van de GIBIT verwijst naar de gemeentelijke ICT-kwaliteitsnormen, en die vragen dat de dienst de gemeente laat voldoen aan de BIO. De BIO2 (versie 1.3, 9 januari 2026) vraagt organisaties de opzet, het bestaan en de werking van hun maatregelen aan te tonen. De werking is wat de vastleggingen laten zien. De maatregelen zijn per nummer genoemd en in eigen woorden weergegeven, omdat de BIO auteursrechtelijk beschermde NEN-tekst bevat. Geen van deze maatregelen is in de BIO2 grijs gemarkeerd: ze vallen alle binnen de reikwijdte van de Cyberbeveiligingswet. Zie de pagina over de BIO.
9 rijen
Ja, uit de vastlegging
Het antwoord is een vastlegging die Opafra schrijft, voor werk dat via Opafra loopt.
| Maatregel of bepaling | Wat de vastlegging geeft |
|---|---|
| 5.17.01Is multifactorauthenticatie ingesteld, minstens voor accounts met beheerrechten en voor diensten die vanaf internet bereikbaar zijn? | Inloggen bij Opafra gebruikt multifactorauthenticatie, en SSH-toegang gebruikt certificaten van vijf minuten per persoon. |
| 5.18.01Wordt het aanmaken en wijzigen van accounts met bijzondere rechten bewaakt, en geldt een ongeautoriseerde wijziging als incident? | Elke wijziging van een rol of toekenning staat in het auditlog, met wie het deed en wanneer. |
| 5.18.02Worden alle verleende toegangsrechten minstens eens per jaar beoordeeld? | De ondertekende toegangsreview per omgeving: iedereen met toegang, de beslissing per persoon, de beoordelaar en de datum. |
| 8.02.01Worden toegekende of gebruikte bijzondere rechten minstens elk kwartaal beoordeeld op opzet, bestaan en werking? | De toegangsreview op een kwartaalinterval, met de toekenningen die ook echt zijn gebruikt. |
| 8.05.01Krijgen externe leveranciers pas netwerktoegang na een risicobeoordeling vooraf die voorwaarden en duur vastlegt, en is vastgelegd hoe rechten zijn verleend? | Een toekenning met einddatum draagt een reden, een met naam genoemde goedkeurder en een venster. De vastlegging van toegang is het register van wat is verleend. |
| 8.13.04Wordt de herstelprocedure minstens jaarlijks getest, of na een grote wijziging? | De hersteltest volgens schema legt het resultaat vast en de tijd die het herstel kostte. |
| 8.15.01Bevat een logregel minstens de actie, het object, het resultaat, de herkomst, de uitvoerder en het tijdstip? | Het auditlog bewaart de actie, het onderdeel, de uitkomst, het IP-adres, de uitvoerder en het tijdstip. |
| 8.18.02Wordt het gebruik van systeemhulpprogramma's vastgelegd en minstens zes maanden bewaard? | Elke run en de commando's per host worden vastgelegd. Er wordt niets automatisch verwijderd. |
| 8.31.02Worden belangrijke wijzigingen in productie eerst getest, met uitzonderingen alleen na voorafgaande goedkeuring van de procesverantwoordelijke? | De proefrun per host gaat vooraf aan de run, en de goedkeuring is gebonden aan de revisie die draait. |
6 rijen
Gedeeltelijk
De vastlegging is een deel van het antwoord. De rest is een beleid, een document of een systeem dat Opafra niet ziet.
| Maatregel of bepaling | Wat de vastlegging geeft, en wat niet |
|---|---|
| 8.32.01Omvat wijzigingsbeheer het vastleggen van wijzigingen met testresultaten, een risicobeoordeling met terugdraaiplan en de goedkeuringsprocedure? | De vastlegging van de wijziging toont de proefrun en de goedkeuring. De risicobeoordeling en het terugdraaiplan zijn tekst die uw team in het plan schrijft, en het terugdraaien van wat een run op een server deed is niet gebouwd. |
| 5.20.03Toont de leverancier jaarlijks, via een onafhankelijke beoordeling door een derde, dat hij voldoet qua opzet, bestaan en werking? | De vastleggingen zijn het bewijs van de werking. De onafhankelijke beoordeling zelf is die van de auditor. |
| 5.20.04Valideert de organisatie de rapportages van de leverancier zelf, en staat het contract een externe audit toe? | De auditor van de klant krijgt een gratis alleen-lezenweergave, en de exports. De validatie en de contractafspraak liggen bij de afnemer. |
| 5.22.01Beoordeelt de procesverantwoordelijke de leverancier jaarlijks op het geleverde bewijs? | De exports voeden die beoordeling. De beoordeling zelf doet de afnemer. |
| 8.08.01Worden waarschuwingen over kwetsbaarheden met een hoog risico binnen een week verholpen? | Patchruns en hun termijnen worden vastgelegd, en ook de reden als een server wordt overgeslagen. Opafra scant niet op kwetsbaarheden. |
| 8.15.05Worden onterechte wijzigingen of verwijdering van loggegevens als incident gemeld? | De database weigert het wijzigen en verwijderen van een auditlogregel. Het melden van een poging is het proces van uw team. |
2 rijen
Nee, niet van Opafra
Dit zijn de rijen waar het eerlijke antwoord nee is, of waar het antwoord een document is en geen vastlegging.
| Maatregel of bepaling | Waarom niet |
|---|---|
| 8.16.03Wordt de omgeving bewaakt met een oplossing voor detectie en respons? | Nee. Dat is het werk van een SIEM. Het auditlog is te exporteren als CSV of NDJSON en kan via de API worden opgehaald. |
| 5.21.04Meldt de leverancier wijzigingen in zijn eigen toeleveringsketen tijdens de looptijd van het contract? | Nee. Dat is een contractplicht en geen vastlegging van Opafra. |
Wat het GIBIT-contract vraagt
We lazen de VNG GIBIT 2023 (5 december 2023) in september 2026 in zijn geheel en kozen de tien bepalingen die raken aan toegang, herstel, controle, beveiligingsadviezen en bewijs van derden. Het zijn contractbepalingen en geen vragen, dus elke bepaling is samengevat als de vraag die ze oproept. De GIBIT vraagt in zijn beveiligingshoofdstuk niet naar het goedkeuren van wijzigingen of naar bevoorrechte toegang als zodanig: de vragen liggen op het niveau van een certificaat en een auditrecht.
6 rijen
Gedeeltelijk
De vastlegging is een deel van het antwoord. De rest is een beleid, een document of een systeem dat Opafra niet ziet.
| Maatregel of bepaling | Wat de vastlegging geeft, en wat niet |
|---|---|
| art. 29.3Werkt het ingezette personeel volgens de overeengekomen normen voor informatiebeveiliging? | De vastlegging toont welke medewerkers wat deden op welke server. Of ze de normen volgen, is een kwestie van beleid. |
| art. 29.4Maakt de leverancier periodiek back-ups, met als standaard een maximaal gegevensverlies van 24 uur en een maximale hersteltijd van 16 werkuren? | De hersteltest legt het resultaat vast en de tijd die het herstel kostte, en dat is het bewijs voor de hersteltijd. Dat er back-ups worden gemaakt en hoeveel gegevens verloren zouden gaan, toont ze niet. |
| art. 25.1, 25.4Kan een onafhankelijke deskundige die aan geheimhouding is gebonden de leverancier controleren, met inzage in de relevante gegevens? | De export van het auditlog (CSV of NDJSON) levert de gegevens voor het deel over beheerderstoegang en wijzigingen. De rest van de controle valt erbuiten. |
| art. 10.12 iiiWorden beveiligingsadviezen zo spoedig mogelijk opgevolgd? | Patchruns en hun termijnen worden vastgelegd, en ook de reden als een patch wordt overgeslagen. Opafra scant niet op kwetsbaarheden. |
| art. 21.1Heeft de opdrachtgever toegang tot de gegevens en tot de autorisaties die daarvoor zijn ingesteld? | De toegangsreview toont de autorisaties binnen Opafra. Accounts die op uw eigen servers bestaan, ziet Opafra niet. |
| art. 23.1Kan de opdrachtgever vervanging van personeel eisen? | Een rolwijziging en de vastlegging van toegang tonen wie wanneer toegang kreeg en verloor. De vervanging zelf is een zaak tussen u en uw klant. |
4 rijen
Nee, niet van Opafra
Dit zijn de rijen waar het eerlijke antwoord nee is, of waar het antwoord een document is en geen vastlegging.
| Maatregel of bepaling | Waarom niet |
|---|---|
| art. 29.1Voldoet de leverancier aan de gemeentelijke ICT-kwaliteitsnormen? | Nee. Dit is een normenkader en geen vastlegging, en Opafra beantwoordt het niet vanuit de vastlegging. |
| art. 29.5Rapporteert de leverancier over beveiligingsincidenten? | Nee, niet als functie. Wat Opafra zelf doet bij een incident dat uw organisatie raakt, staat op de beveiligingspagina. |
| art. 35.1Levert de leverancier jaarlijks een derdenverklaring (TPM) of een geldig ISO-certificaat? | Nee. Opafra levert geen certificaat of derdenverklaring. Uw eigen certificaat blijft nodig, en de vastleggingen geven de auditor de steekproeven waar hij om vraagt. |
| art. 28Is er een verwerkersovereenkomst? | Nee. Een verwerkersovereenkomst is een contract en geen vastlegging. |
Beantwoord het hele formulier zelf.
Een ja of gedeeltelijk antwoord hier geldt voor werk dat via Opafra loopt. Het zegt niets over systemen die er niet doorheen lopen, en het is bewijs voor een antwoord, geen verklaring dat iemand aan een eis voldoet. Elk antwoord wijst naar een vastlegging op de bewijspagina.
Beveiligingsvragen die deze pagina niet dekt, gaan naar het contact op de beveiligingspagina.
Voor de CAIQ van CSA staat het antwoordpakket in het Engels.
Stuur ons uw vragenlijst.
Noem het sjabloon dat uw klanten gebruiken. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.