Werkruimte:Alle normen

Dit is een werkversie, Schakel naar Alle normen (live versie) of vergelijk beide.

Deze pagina is een concept. Reacties via nora@ictu.nl of tekstvoorstellen in de wiki zijn welkom.

Normen zijn acties die nodig zijn om Privacyprincipes of Beveiligingsprincipes te realiseren. Normen komen voort uit de pdf-versies van de BIO Thema-uitwerkingen (Alle normenkaders) van het Centrum Informatiebeveiliging en Privacybescherming (CIP) en maken ook onderdeel uit van de Information Security Object Repository (ISOR).

Normen en de bovenliggende de privacy- en beveiligingsprincipes uit deze normenkaders worden doorontwikkeld in samenhang met de NORA NORA Verbindende Architectuurafspraken en de thema's Beveiliging en Privacy.

Alle normen in de NORA

In de onderstaande tabel zijn alle normen uit de NORA bijeengebracht. De tekst in de kolommen is te sorteren via kolomtitels. De onderstaande tabel is ook te downloaden in csv-format. Alle eigenschappen van normen worden genoemd en gedefinieerd op de pagina Norm. Er is ook een tabel met alle eigenschappen van alle normen.

ID	Stelling	Realiseert	Norm
APO_B.01.01	In het beleid voor beveiligd ontwikkelen zijn onder meer opgenomen: scheiding van ontwikkel-, test- en productieomgevingen; beveiligingseisen in de SDLC; beveiligingseisen in specificatie- en ontwerpfase; beveiligingscontrolepunten in projecten; beveiligingstesten (regressietests, codescans en penetratietests); beveiligde bewaarplaatsen en versiebeheer voor broncode en configuraties; vereiste kennis, opleiding en vermogen van ontwikkelaars om kwetsbaarheden te voorkomen, detecteren en oplossen alsmede licentie-eisen en alternatieven.	Beleid voor (beveiligd) ontwikkelen	De gangbare principes rondom Security by Design als uitgangspunt voor softwareontwikkeling
APO_B.01.02	Bij uitbesteding van ontwikkelactiviteiten wordt gewaarborgd dat de leverancier voldoet aan de vastgestelde regels voor beveiligd ontwikkelen.	Beleid voor (beveiligd) ontwikkelen	Grip op Secure Software Development als uitgangspunt voor softwareontwikkeling
APO_B.01.03	In het beleid voor beveiligd ontwikkelen zijn de volgende aspecten in overweging genomen: beveiliging van de ontwikkelomgeving; richtlijnen over de beveiliging in de levenscyclus van softwareontwikkeling: beveiliging in de software-ontwikkelmethodologie; beveiligde coderingsrichtlijnen voor elke gebruikte programmeertaal; beveiligingseisen in de ontwikkelfase; beveiligingscontrolepunten binnen de mijlpalen van het project; beveiliging van de versiecontrole; vereiste kennis over toepassingsbeveiliging; het vermogen van de ontwikkelaar om kwetsbaarheden te vermijden, te vinden en te repareren.		Overwegingen bij het beleid voor beveiligd ontwikkelen van software
APO_B.01.04	Technieken voor beveiligd programmeren worden gebruikt voor nieuwe ontwikkelingen en hergebruik van code uit andere bronnen.		Technieken voor beveiligd programmeren
APO_B.02.01	Een formeel vastgestelde ontwikkelmethodologie wordt toegepast.	Systeem-ontwikkelmethode	Software wordt ontwikkeld conform een formeel vastgestelde ontwikkelmethodologie
APO_B.02.02	Softwareontwikkelaars zijn getraind om de ontwikkelmethodologie toe te passen.	Systeem-ontwikkelmethode	Softwareontwikkelaars zijn getraind om de ontwikkelmethodologie toe te passen
APO_B.02.03	Adoptie van ontwikkelmethodologie wordt gemonitord.	Systeem-ontwikkelmethode	Adoptie van ontwikkelmethodologie wordt gemonitord
APO_B.02.04	Standaarden en procedures worden toegepast voor: het specificeren van requirements; het ontwikkelen, bouwen en testen; de overdracht van de ontwikkelde applicatie naar de productie-omgeving; de training van softwareontwikkelaars.	Systeem-ontwikkelmethode	Software wordt ontwikkelen conform standaarden en procedures
APO_B.02.05	De systeem-ontwikkelmethode ondersteunt de vereiste dat te ontwikkelen applicaties voldoen aan: de eisen uit wet- en regelgeving inclusief privacy; de contactuele eisen; het informatiebeveiligingsbeleid van de organisatie; de specifieke beveiligingseisen vanuit de business; het classificatiemodel van de organisatie.	Systeem-ontwikkelmethode	De systeemontwikkelmethode ondersteunt dat de te ontwikkelen applicaties voldoen aan de vereisten
APO_B.02.06	Het ontwikkelen van een applicatie wordt projectmatig aangepakt. Hierbij wordt onder andere aandacht besteed aan: het melden van de start van het project bij de verantwoordelijke voor de beveiligingsfunctie; het gebruik van een classificatiemodel; het toepassen van een assessment voor beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid; het creëren van een risicoregister; het registreren van belangrijke details in een bedrijfsapplicatieregister.	Systeem-ontwikkelmethode	Het softwareontwikkeling wordt projectmatig aangepakt
APO_B.03.01	In het beleid voor informatieclassificatie zijn onder meer opgenomen: een classificatieschema dat expliciet rekening houdt met de eisen op het gebied van vertrouwelijkheid, integriteit en beschikbaarheid; duidelijke classificatiecriteria, gebaseerd op bedrijfsbehoeften rondom het delen of beperken van informatie, de bescherming van beschikbaarheid, integriteit en vertrouwelijkheid, en de potentiële impact bij compromittering; de verantwoordelijkheid van informatie-eigenaren voor het toepassen van de classificatie; regels voor het classificeren, het periodiek herbeoordelen en het actualiseren van classificaties gedurende de gehele levenscyclus van informatie; afstemming met het beleid voor toegangsbeveiliging.	Classificatie van informatie	Dataclassificatie als uitgangspunt voor softwareontwikkeling
APO_B.03.02	In het classificatieschema wordt rekening gehouden met de verplichtingen uit wet- en regelgevingen (onder andere privacy).	Classificatie van informatie	Informatie in alle informatiesystemen is conform expliciete risicoafweging geclassificeerd
APO_B.03.03	Informatie in alle informatiesystemen is door middel van een expliciete risicoafweging geclassificeerd. Hierbij wordt gebruik gemaakt van een vastgestelde impact- en classificatiemethodiek, die onderdeel is van de vastgestelde risicomanagementmethodiek.	Classificatie van informatie	Bij applicatieontwikkeling is informatie beschermd conform de vereisten uit het classificatieschema
APO_B.03.04	In het classificatieschema wordt rekening gehouden met de verplichtingen uit wet- en regelgevingen (onder andere privacy), organisatorische en technische requirements.		Verplichtingen uit wet en regelgeving en organisatorische en technische requirements
APO_B.04.01	Architectuurprincipes zoals ‘security by design’ en ‘security by default’ voor het ontwerpen van beveiliging van informatiesystemen worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle activiteiten over het ontwikkelen van informatiesystemen.	Veilige systeemarchitectuur en technische uitgangspunten	Security by Design als uitgangspunt voor softwareontwikkeling
APO_B.04.02	Voor het beveiligen van informatiesystemen zijn de volgende principes van belang: Defence in depth (beveiliging op verschillende lagen) Secure by default Default deny Fail secure Input van externe applicaties wantrouwen Secure in deployment Bruikbaarheid en beheersbaarheid	Veilige systeemarchitectuur en technische uitgangspunten	Principes voor het beveiligen van informatiesystemen
APO_B.04.03	Beveiliging wordt als een integraal onderdeel van systemontwikkeling behandeld.	Veilige systeemarchitectuur en technische uitgangspunten	Beveiliging is integraal onderdeel van systeemontwikkeling
APO_B.04.04	Ontwikkelaars zijn getraind om veilige software te ontwikkelen.	Veilige systeemarchitectuur en technische uitgangspunten	Ontwikkelaars zijn getraind om veilige software te ontwikkelen
APO_B.05.01	Interne maatregelen voor systeemontwikkeling zijn onverkort van toepassing op uitbestede ontwikkeling, aangevuld met maatregelen die volgen vanuit uitbestedingen.	Uitbestede systeemontwikkeling	Perspectieven bij de Business Impact Analyse
APO_B.05.02	Bij uitbesteding van systeemontwikkeling worden de eisen en verwachtingen gecommuniceerd en overeengekomen. Het uitbestede werk wordt voortdurend gemonitord en beoordeeld om te waarborgen dat aan de verwachtingen wordt voldaan.	Uitbestede systeemontwikkeling	Scenario's voor de Business Impact Analyse
APO_B.05.03	Voor de gehele externe toeleveringsketen worden de volgende punten overwogen: eisen rondom licentieovereenkomsten, eigendom van broncode en intellectuele-eigendomsrechten; contractuele verplichtingen voor beveiligde ontwikkel-, coderings- en testpraktijken; het verstrekken van een relevant dreigingsmodel aan externe ontwikkelaars; acceptatietests voor kwaliteit, nauwkeurigheid en beveiliging van leveringen; het eisen van bewijs dat beveiligings- en privacycapaciteiten voldoen aan een minimaal aanvaardbaar niveau (bijv. via borgingsverslagen); het eisen van bewijs dat voldoende tests zijn uitgevoerd ter voorkoming van kwaadaardige inhoud en bekende kwetsbaarheden; escrowovereenkomsten voor broncode bij continuïteitsrisico’s; het contractuele recht om ontwikkelprocessen en beheersmaatregelen te auditen; beveiligingseisen voor de ontwikkelomgeving van de leverancier; naleving van toepasselijke wet- en regelgeving, waaronder bescherming van persoonsgegevens.	Uitbestede systeemontwikkeling	Vaststelling op welke wijze een eventueel compromitteren invloed heeft op de financiën van de organisatie
APO_B.06.01	Om privacy en gegevensbeschermingsmaatregelen vooraf in het ontwerp mee te nemen, is een Privacy Impact Assessment (PIA) uitgevoerd.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	GEB om vooraf in het ontwerp de privacy en gegevensbeschermingsmaatregelen mee te nemen
APO_B.06.02	Voor het uitvoeren van een Privacy Impact Assessment (PIA) en voor het opvolgen van de uitkomsten is een procesbeschrijving aanwezig.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	Procesbeschrijving voor uitvoeren GEB's en voor opvolgen uitkomsten
APO_B.06.03	Een tot standaard verheven PIA-toetsmodel wordt toegepast. Dit model voldoet aan de in de AVG gestelde eisen.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	PIA-toetsmodel conform AVG-eisen
APO_B.06.03	Een tot standaard verheven Privacy Impact Assessment (PIA)-toetsmodel wordt toegepast. Dit model voldoet aan de in de Algemene Verordening Gegevensbescherming (AVG) gestelde eisen.	Privacy en bescherming persoonsgegevens applicatieontwikkeling (ISOR:Privacy en bescherming van persoonsgegevens (GEB-/ PIA-analyse))	Een tot standaard verheven GEB-toetsmodel wordt toegepast; dit model voldoet aan de in de AVG gestelde eisen
APO_B.06.04	Privacy by design en de Privacy Impact Assessment (PIA) maken onderdeel uit van een tot standaard verheven risicomanagementaanpak.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	Privacy by Design en GEB als onderdeel van een tot standaard verheven risicomanagement aanpak
APO_B.06.05	De risicomanagementaanpak wordt aantoonbaar toegepast, bijvoorbeeld door in de vorm van een plan van aanpak aantoonbaar opvolging te geven aan de aanbevelingen/verbetervoorstellen.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	Risicomanagement aanpak aantoonbaar toegepast
APO_B.06.06	Volgens de AVG worden bij het ontwerp/ontwikkelen van applicaties de principes privacy by design en privacy by default gehanteerd.	Privacy en bescherming persoonsgegevens applicatieontwikkeling	Op basis van de AVG worden de principes Privacy by Design en Privacy by Default gehanteerd
APO_B.07.01	De doelorganisatie beschikt over een ontwikkel- en onderhoudsbeleid.	Kwaliteitsmanagementsysteem	De doelorganisatie beschikt over een ontwikkel en onderhoudsbeleid
APO_B.07.02	De doelorganisatie beschikt over een quality qssurance-methodiek en Quality Security Management-methodiek.	Kwaliteitsmanagementsysteem	De doelorganisatie beschikt over QA- en KMS-methodiek
APO_B.07.03	De ontwikkel- en onderhoudsactiviteiten worden in samenhang georganiseerd en geïmplementeerd.	Kwaliteitsmanagementsysteem	De ontwikkel en onderhoudsactiviteiten worden in samenhang georganiseerd en geïmplementeerd
APO_B.07.04	Er zijn informatie- en communicatieprocessen ingericht.	Kwaliteitsmanagementsysteem	Voor informatie- en communicatie zijn processen ingericht
APO_B.07.05	Op de ontwikkel- en onderhoudsactiviteiten worden kwaliteitsmetingen en inspecties uitgevoerd.	Kwaliteitsmanagementsysteem	Op de ontwikkel- en onderhoudsactiviteiten worden kwaliteitsmetingen en inspecties uitgevoerd
APO_B.07.06	Aan het management worden evaluatierapportages verstrekt.	Kwaliteitsmanagementsysteem	Aan het management worden evaluatierapportages verstrekt
APO_B.07.07	De processen voor de inrichting van de applicatieontwikkeling en het -onderhoud (impactanalyse, ontwerp, realisatietesten en beheer) zijn beschreven en maken onderdeel uit van het kwaliteitsmanagementsysteem.	Kwaliteitsmanagementsysteem	Applicatieontwikkeling- en onderhoudsprocessen zijn beschreven en maken onderdeel uit van KMS
APO_B.08.01	In het beleid voor beveiligd ontwikkelen is opgenomen dat toegang tot broncode, gerelateerde documenten (zoals ontwerpen, specificaties, verificatie- en validatieplannen) en ontwikkelinstrumenten (zoals compilers, builders, integratie-instrumenten en testomgevingen) streng wordt beheerst op basis van bedrijfsbehoeften en rollen, waarbij leestoegang breder kan worden verleend dan schrijftoegang, en schrijftoegang wordt voorbehouden aan aangewezen personeel.	Toegangsbeveiliging op programmacode	Om de toegang tot broncode bibliotheken te beheersen worden richtlijnen in overweging genomen
APO_B.08.02	Bij het beheer van broncode, ontwikkelinstrumenten en softwarebibliotheken worden de volgende richtlijnen in overweging genomen: broncode wordt centraal opgeslagen in een broncodebeheersysteem; wijzigingsbeheerprocedures worden toegepast op het bijwerken van broncode en op het verlenen van toegang tot broncode; ontwikkelaars krijgen geen directe toegang tot de broncode, maar werken uitsluitend via gecontroleerde ontwikkelinstrumenten die activiteiten en autorisaties beheersen; lijsten van programma’s worden bewaard in een beveiligde omgeving waarin lees- en schrijftoegang op passende wijze worden beheerd en toegewezen; een auditlog wordt bijgehouden van alle toegangspogingen tot en alle wijzigingen aan de broncode; wanneer broncode wordt gepubliceerd, worden aanvullende beheersmaatregelen zoals een digitale handtekening overwogen die bijdragen aan het waarborgen van de integriteit ervan.	Toegangsbeveiliging op programmacode	Aanvullende beheersmaatregelen wanneer programmabroncode wordt gepubliceerd
APO_B.09.01	De beveiligingsfunctionaris zorgt onder andere voor: de actualisatie van beveiligingsbeleid; een afstemming van het beveiligingsbeleid met de afgesloten overeenkomsten met onder andere de ketenpartijen; de evaluatie van de effectiviteit van de beveiliging van de ontwikkelde systemen; de evaluatie van de beveiligingsmaatregelen ten aanzien van de bestaande risico’s; de bespreking van beveiligingsissues met ketenpartijen.	Projectorganisatie	Taken van de beveiligingsfunctionaris
APO_B.09.02	De beveiligingsfunctionaris geeft onder andere inzicht in: het beheer en integratie van ontwikkel- en onderhoudsvoorschriften (procedureel en technisch); specifieke beveiligings- en architectuurvoorschriften; afhankelijkheden tussen informatiesystemen.	Projectorganisatie	Inzicht gegeven door de beveiligingsfunctionaris
APO_B.09.03	Voor acceptatietesten van systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd uitgevoerd.		Gestructureerde en geautomatiseerde acceptatietesten binnen systeemontwikkeling.
APO_C.01.01	De projectorganisatie beschikt over controlerichtlijnen voor de evaluatie van de producten die uit de ontwikkelfasen voortvloeien, zoals een requirementsanalyse en de specificatie van software.	Richtlijn evaluatie-ontwikkelactiviteiten	Controle richtlijnen voor de evaluatie van de producten die uit de ontwikkelfasen voorvloeien
APO_C.01.02	De projectorganisatie beschikt over evaluatierichtlijnen voor het evalueren van intern ontwikkelde en extern verworven code die zijn opgeleverd tijdens de ontwikkelfasen: requirementsanalyse, specificatie en programmacode.	Richtlijn evaluatie-ontwikkelactiviteiten	Evaluatierichtlijnen voor het evalueren van intern ontwikkelde en extern verworven code
APO_C.01.03	De projectorganisatie beschikt over controlerichtlijnen die binnen de relevante beheerprocessen, versiebeheer, quality assurance en quality control worden toegepast voor het evalueren van de ontwikkelactiviteiten.	Richtlijn evaluatie-ontwikkelactiviteiten	Controle richtlijnen die binnen de relevante beheerprocessen worden toegepast
APO_C.01.04	De projectorganisatie beschikt over een kwaliteitshandboek waarin procedures zijn opgenomen voor het toepassen van quality assurance- en quality control-methodiek en reviewrichtlijnen voor de ontwikkelde producten.	Richtlijn evaluatie-ontwikkelactiviteiten	Het kwaliteitshandboek bevat procedures voor Quality Control en Quality Assurance methodiek en reviewrichtlijnen
APO_C.01.05	De quality assurance-methodiek wordt conform de richtlijnen nageleefd.	Richtlijn evaluatie-ontwikkelactiviteiten	De Quality Assurance methodiek wordt conform de richtlijnen nageleefd
APO_C.01.06	De projectorganisatie voert controle-activiteiten uit over de ontwikkelactiviteiten en beheerprocessen gerelateerd aan het ontwikkelproces en stelt hierover rapportages op.	Richtlijn evaluatie-ontwikkelactiviteiten	Controleactiviteiten en rapportages over de ontwikkelactiviteiten en bijbehorende beheerprocessen
APO_C.01.07	Periodiek worden het applicatieontwikkelingsproces, de testcycli en de kwaliteit van de programmacode beoordeeld conform de opgestelde richtlijn.	Richtlijn evaluatie-ontwikkelactiviteiten	Het applicatieontwikkelproces, de testcyclus en programmacodekwaliteit worden periodiek beoordeeld
APO_C.02.01	Het versiebeheerproces is beschreven, vastgesteld door het management en toegekend aan een verantwoordelijke functionaris.	Versiebeheer applicatieontwikkkeling	Versiemanagement is beschreven, vastgesteld en toegekend aan een verantwoordelijke functionaris
APO_C.02.02	In het versiebeheerproces is vastgelegd welke applicatie-objecten in het ondersteunend tool, zoals het functioneel en technisch ontwerp en resultaten van sprints bij Agile-ontwikkeling, worden vastgelegd.	Versiebeheer applicatieontwikkkeling	Versiemanagement beschrijft welke applicatieobjecten in het ondersteunend tool worden vastgelegd
APO_C.02.03	Het versiebeheerproces wordt ondersteund met procedures en werkinstructies.	Versiebeheer applicatieontwikkkeling	Versiemanagement wordt ondersteund met procedures en werkinstructies
APO_C.02.04	Een versiebeheertool wordt toegepast die onder andere: het vastleggen van versies van ontwikkelproducten ondersteunt; het vastleggen van versies van programmacode ondersteunt; het vastleggen van versies voorkomend in verschillende omgevingen (zoals Ontwikkel, Test, Acceptatie en Productie (OTAP)) ondersteunt; toegangsmogelijkheden voor verschillende rollen ondersteunt.	Versiebeheer applicatieontwikkkeling	Ondersteuning vanuit het toegepaste versiebeheertool
APO_C.03.01	Het patchmanagementproces en de noodzakelijke patchmanagementprocedures zijn beschreven, vastgesteld door het management en bekendgemaakt aan de ontwikkelaars.	Patchmanagement	Patchmanagement en noodzakelijke patchmanagement procedures zijn beschreven, vastgesteld en bekendgemaakt
APO_C.03.02	De ontwikkelaars zijn bekend met hun formeel vastgelegde verantwoordelijkheden voor patchmanagement.	Patchmanagement	Ontwikkelaars zijn wat betreft patchmanagement bekend met hun formeel vastgelegde verantwoordelijkheden
APO_C.03.03	Het al dan niet uitvoeren van patches voor programmacode is geregistreerd.	Patchmanagement	Het al dan niet uitvoeren van de verworven patches voor programmacode is geregistreerd
APO_C.03.04	Het beheer van technische kwetsbaarheden in de code uit externe bibliotheken omvat minimaal een risicoanalyse van de kwetsbaarheden en eventueel penetratietests en patching.	Patchmanagement	Het beheer van technische kwetsbaarheden in code uit externe bibliotheken
APO_C.03.05	Bij het ontwikkelen van code installeert de ontwikkelaar, tenzij risicoanalyses anders uitwijzen, alle noodzakelijke patches en fixes die door fabrikanten beschikbaar worden gesteld.	Patchmanagement	Installeren van alle noodzakelijke door de leveranciers beschikbaar patches en fixes
APO_C.03.06	Updates/patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is, worden zo spoedig mogelijk doorgevoerd.	Patchmanagement	Updates en patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is
APO_C.04.01	Softwareconfiguratie-items worden conform procedures en met hulpmiddelen vastgelegd.	(Software)configuratiebeheer	Software configuratiescomponenten worden conform procedures vastgelegd
APO_C.04.02	De configuratie-administratie is alleen toegankelijk voor hiertoe geautoriseerd personeel.	(Software)configuratiebeheer	De configuratie administratie is alleen toegankelijk voor hiertoe geautoriseerd personeel
APO_C.04.03	Wijzigingen in softwareconfiguratie-items worden volgens een gestandaardiseerd proces vastgelegd in de Configuration Management Database (CMDB).	(Software)configuratiebeheer	Wijzigingen in softwareconfiguratie conform gestandaardiseerd proces vastgelegd in de CMDB
APO_C.05.01	De projectorganisatie beschikt over een quality assurance-methodiek voor de ontwikkelde softwareproducten en ziet toe op de naleving van deze methodiek.	Quality assurance	Het compliance management proces is gedocumenteerd en vastgesteld
APO_C.05.02	Conform de quality assurance-methodiek is een quality assurance-proces ingericht voor het uitvoeren van quality assurance-activiteiten gedurende alle fasen van de ontwikkelcyclus en waarbij aandacht wordt besteed aan: het evalueren van de requirementsanalyse, het ontwerp, de bouw, het testen en het opleveren van software; het evalueren of de beveiligingscontrols (beleid, methoden en geprogrammeerde mechanismen voor de betrouwbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid) zoals overeengekomen tijdens het risico-assessment zijn ontwikkeld en adequaat functioneren; het vaststellen of de ontwikkelmethodologie is opgevolgd.	Quality assurance	De noodzakelijke eisen voor het compliance proces samengevat en vastgelegd
APO_C.05.03	De resultaten uit de quality assurance-onderzoeken worden geapporteerd aan de verantwoordelijken die verbetermaatregelen initiëren.	Quality assurance	Rapportage van de resultaten uit de QA-onderzoeken aan verbetermaatregelen initiërende verantwoordelijken
APO_C.05.04	Toetsingsafspraken en -resultaten zijn beknopt en Specifiek, Meetbaar, Realistisch en Tijdgebonden (SMART) vastgelegd.	Quality assurance	Toetsingsafspraken en resultaten zijn beknopt en SMART vastgelegd
APO_C.06.01	Het compliance-managementproces, bestaande uit de sub-processen planning, evaluatie, rapportering en correctie/implementatie is gedocumenteerd en vastgesteld door het management.	Compliance-management	De Quality Assurancemethodiek voor de ontwikkelde software producten wordt nageleefd
APO_C.06.02	Voor het compliance-proces hebben de desbetreffende stakeholders de noodzakelijke eisen uit de verschillende bronnen samengevat en vastgelegd. Hierbij is aandacht geschonken aan: wet- en regelgeving (Algemene Verordening Gegevensbescherming (AVG), wet Computercriminaliteit, Encryptie e.d.) die invloed hebben op het ontwikkelen van applicaties; het vertalen van de wet- en regelgeving en het overeengekomen informatiebeveiligingsbeleid, de architectuur en de standaarden tot concrete maatregelen binnen het ontwikkelproces; het rapporteren van de evaluatie van compliance-checks op wet- en regelgeving en overeengekomen beleid, architectuur en standaarden die beschikbaar zijn gesteld aan het management; het vastleggen van de verplichtingen voor security-compliance in een autorisatiematrix.	Compliance-management	Gedurende alle fasen van het ontwikkelcyclus worden Quality Assurance activiteiten uitgevoerd
APO_C.07.01	Bij verandering van besturingssystemen wordt onder andere het volgende getest: de toepassingscontrole procedures; het vaststellen of de veranderingen aan het besturingssysteem een permanente karakter hebben; het vaststellen of de veranderingen invloed hebben op de beschikbaarheid van de functionaliteiten van de applicatie en invloed hebben op de beveiliging van de applicatie; het vaststellen dat de juiste veranderingen plaatsvinden aan de bedrijfscontinuïteitsplannen.	Technische beoordeling informatiesystemen	Testen bij verandering van besturingssystemen
APO_C.07.01	De samenhang van de beheersprocessen wordt met een processtructuur vastgelegd.	Beheersorganisatie applicatieontwikkeling	De samenhang van de beheersprocessen wordt door middel van een processtructuur vastgelegd
APO_C.07.02	De belangrijkste functionarissen (stakeholders) voor de beheerorganisatie zijn benoemd en de onderlinge relaties zijn met een organisatieschema inzichtelijk gemaakt.	Beheersorganisatie applicatieontwikkeling	De belangrijkste functionarissen en hun onderlinge relaties zijn inzichtelijk
APO_C.07.03	De taken, verantwoordelijkheden en bevoegdheden voor de beheerprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd.	Beheersorganisatie applicatieontwikkeling	De verantwoordelijkheden zijn aan een specifieke functionaris toegewezen en vastgelegd
APO_C.07.04	De projectorganisatie heeft de taken, verantwoordelijkheden en bevoegdheden voor het uitvoeren van de evaluatie- en beheerswerkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix.	Beheersorganisatie applicatieontwikkeling	De taken, verantwoordelijkheden en bevoegdheden voor de evaluatie- en beheerwerkzaamheden zijn beschreven
APO_U.01.01	Wijzigingsbeheer vindt plaats op basis van een algemeen geaccepteerd beheerraamwerk.	Wijzigingsbeheerprocedure voor applicaties en systemen	Voor het wijzigingsbeheer gelden de algemeen geaccepteerde beheer frameworks
APO_U.01.02	In het wijzigingsbeheerproces is minimaal aandacht besteed aan: het administreren van wijzigingen, met de resultaten van het testplan; een risicoafweging van mogelijke gevolgen van de wijzigingen, inclusief een beschreven rollbackplan; de goedkeuringsprocedure voor wijzigingen.	Wijzigingsbeheerprocedure voor applicaties en systemen	Medewerkers (programmeurs) krijgen de juiste autorisatie om werkzaamheden te kunnen uitvoeren
APO_U.01.03	De procedure voor wijzigingsbeheer omvat onder meer: een formeel proces voor nieuwe systemen en belangrijke wijzigingen, inclusief documentatie, specificatie, impactbeoordeling, testen, kwaliteitscontrole en beheerde implementatie; toegewezen verantwoordelijkheden en handhaving om beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen gedurende de gehele levenscyclus; integratie van wijzigingsbeheer voor ICT-infrastructuur en -software waar mogelijk; planning en beoordeling van impact (inclusief afhankelijkheden), autorisatie, communicatie naar belanghebbenden, testen en acceptatie, implementatie met inzet- en terugvalprocedures, registratie van wijzigingen, actualisatie van bedieningsdocumentatie, gebruikersprocedures en continuïteitsplannen.	Wijzigingsbeheerprocedure voor applicaties en systemen	Nieuwe systemen en belangrijke wijzigingen aan bestaande systemen volgen een formeel wijzigingsproces
APO_U.01.04	Enkele elementen van procedures voor wijzigingsbeheer zijn: Alle wijzigingsverzoeken/Request for Changes (RFC’s) verlopen volgens een formele wijzigingsprocedure (ter voorkoming van ongeautoriseerde wijzigingsaanvragen). Het generieke wijzigingsproces heeft aansluiting met functioneel beheer. Wijzigingen worden doorgevoerd door bevoegde medewerkers. Van elk wijzigingsverzoek wordt de impact op de geboden functionaliteit beoordeeld. Uitvoering en bewaking van de verantwoordelijkheden/taken zijn juist belegd. Aanvragers van wijzigingen worden periodiek geïnformeerd over de status van hun wijzigingsverzoek.		Elementen van de procedures voor wijzigingsbeheer
APO_U.02.01	De procedures en maatregelen voor het installeren van software op operationele systemen omvatten onder meer: installatie en updates van operationele software uitsluitend door geautoriseerde en opgeleide beheerders; installatie van alleen goedgekeurde uitvoerbare code; installatie en updates van software pas na uitgebreide en geslaagde tests, inclusief een roll-backstrategie; gebruik van configuratiebeheer en auditlogging voor alle wijzigingen; archivering van oude versies voor noodtoegang tot gegevens; risicoafweging bij upgrades, patches, niet-ondersteunde (open source) en verouderde software; monitoring en beheersing van extern geleverde software; beperkte en gemonitorde toegang voor leveranciers; strikte rolgebaseerde regels voor gebruikersinstallaties op basis van least privilege, met vastlegging van toegestane en verboden softwaretypen.	Beperking software-installatie applicatieontwikkeling	Beleid ten aanzien van het type software dat mag worden geïnstalleerd
APO_U.02.02	Het risico van installatie door gebruikers van niet-geautoriseerde software moet worden beheerst.	Beperking software-installatie applicatieontwikkeling	Het toekennen van rechten om software te installeren vindt plaats op basis van 'Least Privilege'
APO_U.02.03	De rechten worden verleend met de rollen van de type gebruikers en ontwikkelaars.		De rechten verleend op basis van de rollen van het typen gebruikers en ontwikkelaars
APO_U.03.01	De programmacode voor functionele specificaties is reproduceerbaar, waarbij aandacht wordt besteed aan: gebruikte tools; gebruikte licenties; versiebeheer; documentatie van code ontwerp, omgeving, afhankelijkheden, dev/ops en gebruikte externe bronnen.	Richtlijn programmacode	De programmacode voor functionele specificaties is reproduceerbaar
APO_U.03.02	De (programma)code wordt aantoonbaar veilig gecreëerd.	Richtlijn programmacode	Programmacode wordt aantoonbaar veilig gecreëerd
APO_U.03.03	De (programma)code is effectief, veranderbaar en testbaar waarbij gedacht kan worden aan: het juist registreren van bugs in de code; het voorkomen van herintroductie van bugs in de code; het binnen 72 uur corrigeren van beveiligingsfixes; het vastleggen van afhankelijkheden van development en operations (dev/ops) van applicatie (relatie tussen software-objecten); het adequaat documenteren van software-interface, koppelingen en Application Programming Interfaces (API’s).	Richtlijn programmacode	Programmacode is effectief, veranderbaar en testbaar
APO_U.03.04	Over het gebruik van de vocabulaire, applicatie-framework en toolkits zijn afspraken gemaakt.	Richtlijn programmacode	Over het gebruik van vocabulaire, applicatieframework en toolkits zijn afspraken gemaakt
APO_U.03.05	Voor het ontwikkelen van programmacode wordt gebruik gemaakt van gestandaardiseerde vocabulaire zoals de NEN-ISO/IEC 25010 Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models.	Richtlijn programmacode	Voor het ontwikkelen van programmacode wordt gebruik gemaakt van gestandaardiseerde vocabulaire
APO_U.03.06	Ontwikkelaars hebben kennis van algemene beveiligingsfouten, vastgelegd in een extern Common Vulnerability and Exposures (CVE)- systeem.	Richtlijn programmacode	Ontwikkelaars hebben kennis van algemene en vastgelegde beveiligingsfouten
APO_U.03.07	Het gebruik van programmacode uit externe programmabibliotheken mag pas worden gebruikt na getest te zijn.	Richtlijn programmacode	Gebruik van programmacode uit externe programmabibliotheken
APO_U.04.01	De functionele eisen worden geanalyseerd en bepaald met verschillende invalshoeken (zoals stakeholders, business en wet- en regelgeving) en vastgelegd in een functioneel ontwerp.	Analyse en specificatie informatiesysteem	Functionele eisen van nieuwe informatiesystemen worden geanalyseerd en in Functioneel Ontwerp vastgelegd
APO_U.04.02	Het functioneel ontwerp wordt gereviewd, waarna verbeteringen en of aanvullingen op het functioneel ontwerp plaatsvinden.	Analyse en specificatie informatiesysteem	Het Functioneel Ontwerp wordt gereviewd waarna verbeteringen en/of aanvullingen plaatsvinden
APO_U.04.03	Met een goedgekeurd functioneel ontwerp wordt een technisch ontwerp vervaardigd dat ook ter review wordt aangeboden aan de kwaliteitsfunctionaris en beveiligingsfunctionaris.	Analyse en specificatie informatiesysteem	Op basis van een goedgekeurd Functioneel Ontwerp wordt een Technisch Ontwerp vervaardigd
APO_U.04.04	Alle vereisten worden gevalideerd door een peer review of prototyping (Agile-ontwikkelmethode).	Analyse en specificatie informatiesysteem	Alle vereisten worden gevalideerd door peer review of prototyping
APO_U.04.05	Parallel aan het vervaardigen van het functioneel ontwerp en technisch ontwerp worden acceptatie-eisen vastgelegd.	Analyse en specificatie informatiesysteem	Acceptatie-eisen worden vastgelegd parallel aan het Functioneel Ontwerp en Technisch Ontwerp
APO_U.05.01	Informatiebeveiliging is een integraal onderdeel van projectmanagement bij alle projecten (ongeacht complexiteit, omvang of discipline) en omvat onder meer: beoordeling en behandeling van informatiebeveiligingsrisico’s in een vroeg stadium en periodiek gedurende de gehele projectlevenscyclus, als onderdeel van het projectrisicobeheer; vaststelling van informatiebeveiligingseisen voor door het project te leveren producten of diensten, gebaseerd op nalevingseisen uit informatiebeveiligingsbeleid, onderwerpspecifieke beleidsregels, regelgeving en andere methoden; beheersing van informatiebeveiligingsrisico’s gerelateerd aan de projectuitvoering, waaronder interne en externe communicatie; periodieke beoordeling van de voortgang en effectiviteit van de risicobehandeling door geschikte personen of de projectstuurgroep; definitie en toewijzing van verantwoordelijkheden en bevoegdheden voor informatiebeveiliging aan gespecificeerde projectrollen.	Informatiebeveiliging in projectmangement	Een expliciete risicoafweging wordt uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen
APO_U.05.02	Bij alle projecten worden informatiebeveiligingseisen vastgesteld, waarbij wordt gehouden met: welke informatie het betreft (vaststelling en classificatie), de bijbehorende beveiligingsbehoeften en mogelijke bedrijfsimpact bij ontoereikende beveiliging; bescherming van beschikbaarheid, integriteit en vertrouwlijkheid van informatie en gerelateerde bedrijfsmiddelen; authenticatie-eisen op basis van vereiste betrouwbaarheid van identiteiten; processen voor toegangsverlening en autorisatie voor klanten, gebruikers, technische gebruikers en externe leveranciers; informeren van gebruikers over hun plichten en verantwoordelijkheden; eisen afgeleid uit bedrijfsprocessen; eisen vanuit andere informatiebeveiligingsbeheersmaatregelen; naleving van wettelijke, regelgevende en contractuele verplichtingen; het vereiste niveau van vertrouwen dat derden zullen voldoen aan de beleidsregels, met inbegrip van relevante beveiligingsclausules in overeenkomsten of contracten.	Informatiebeveiliging in projectmangement	De Handreikingen: "Risicoanalysemethode" en "Risicomanagement ISO-27005
APO_U.05.03	Bij nieuwe informatiesystemen en bij significante wijzigingen op bestaande informatiesystemen moet een expliciete risicoafweging op basis van de door de organisatie vastgestelde risicomanagementmethodiek worden uitgevoerd, om risico's te identificeren en in voldoende mate te beheersen en ook voor het vaststellen van de beveiligingseisen.	Informatiebeveiliging in projectmangement	Informatiebeveiligingseisen
APO_U.05.04	Voor informatiesystemen worden onder andere de volgende informatiebeveiligingseisen in overweging genomen: authenticatie eisen van gebruikers; toegangsbeveiligingseisen; eisen over beschikbaarheid, integriteit en vertrouwelijkheid; eisen afgeleid uit bedrijfsprocessen; eisen gerelateerd aan interfaces voor het registreren en monitoren van systemen.		Overwogen informatiebeveiligingseisen
APO_U.06.01	Het ontwerpen van applicaties is gebaseerd op eisen voor verschillende typen informatie, zoals: gebruikers-, beveiligings- en kwaliteitseisen; business-vereisten (onder andere nut, noodzaak en kosten); eisen die voortvloeien uit risico-assessments, dreigingsanalyse en prioritering ervan en technische beveiligingsreviews (en de prioritering daarvan); eisen die voortvloeien uit de Business Impact Analyse (BIA) en Privacy Impact Assessment (PIA).	Applicatie-ontwerp	Het ontwerpen van applicaties is gebaseerd op eisen voor verschillende typen informatie
APO_U.06.02	Bij het ontwerp van applicaties is informatie verkregen uit verschillende mogelijke connecties met de te ontwerpen applicatie, zoals: mogelijke invoerbronnen voor data en connecties met andere applicaties (componenten); connecties tussen modules binnen de applicatie en connecties met andere applicaties; gebruik van opslagmechanisme voor informatie, toegang tot databases en ander type storage; uitvoer van informatie naar andere applicaties en beveiliging hiervan; mogelijke transmissie van data tussen applicaties.	Applicatie-ontwerp	Bij het ontwerp is informatie verkregen uit connecties met de te ontwerpen applicatie
APO_U.06.03	Het ontwerp is mede gebaseerd op een beveiligingsarchitectuur, waarin aandacht is besteed aan: performance, capaciteit, continuïteit, schaalbaarheid, connectiviteit en comptabiliteit.	Applicatie-ontwerp	Het ontwerp is mede gebaseerd op een beveiligingsarchitectuur
APO_U.07.01	Bereikcontroles worden toegepast en gegevens worden gevalideerd.	Applicatiefunctionaliteit	Bereikcontroles worden toegepast en gegevens worden gevalideerd
APO_U.07.02	Geprogrammeerde controles worden ondersteund.	Applicatiefunctionaliteit	Geprogrammeerde controles worden ondersteund
APO_U.07.03	Het uitvoeren van onopzettelijke mutaties wordt tegengegaan.	Applicatiefunctionaliteit	Het uitvoeren van onopzettelijke mutaties wordt tegengegaan
APO_U.07.04	Voorzieningen voor het genereren van een fout- en uitzonderingsrapportage zijn beschikbaar.	Applicatiefunctionaliteit	Voorzieningen voor het genereren van fouten- en uitzonderingsrapportage zijn beschikbaar
APO_U.07.05	Voorzieningen voor het achteraf vaststellen van een betrouwbare verwerking (JVT) zijn beschikbaar (onder andere audit trail).	Applicatiefunctionaliteit	Voorzieningen voor het achteraf vaststellen van een betrouwbare verwerking zijn beschikbaar
APO_U.07.06	Opgeleverde/over te dragen gegevens worden gevalideerd.	Applicatiefunctionaliteit	Opgeleverde en over te dragen gegevens worden gevalideerd
APO_U.07.07	De controle op de juistheid, volledigheid en tijdigheid van de input (ontvangen gegevens) en op de verwerking en de output van gegevens (versterkte gegevens) worden uitgevoerd.	Applicatiefunctionaliteit	Controle op de juistheid, volledigheid en tijdigheid van input en op de verwerking en output van gegevens
APO_U.07.08	Met vastgestelde en geautoriseerde procedures wordt voorkomen dat gegevens buiten de applicatie om (kunnen) worden benaderd.	Applicatiefunctionaliteit	Voorkomen wordt dat gegevens buiten de applicatie om (kunnen) worden benaderd
APO_U.07.09	Gegevens worden conform vastgestelde beveiligingsklasse gevalideerd op plausibiliteit, volledigheid en bedrijfsgevoeligheid.	Applicatiefunctionaliteit	Gegevens worden conform vastgestelde beveiligingsklasse gevalideerd
APO_U.08.01	Gedocumenteerde standaarden en procedures worden beschikbaar gesteld voor het bouwen van programmacode die ook het volgende specificeren: dat een goedgekeurde methode voor applicatiebouw wordt gehanteerd; dat mechanismen worden gebruikt waarmee zekerheid wordt verkregen dat de applicatie voldoet aan good practices voor applicatiebouw (methode voor het ontwikkelen van veilige programmacode).	Applicatiebouw	Voor het bouwen van programmacode worden gedocumenteerde standaarden en procedures beschikbaar gesteld
APO_U.08.02	Veilige methodes worden toegepast om te voorkomen dat veranderingen kunnen worden aangebracht in de basiscode of in software-packages.	Applicatiebouw	Veilige methodes ter voorkoming van veranderingen in basis code of in software packages
APO_U.08.03	Voor het creëren van programmacode wordt gebruik gemaakt van best practices (gestructureerde programmering).	Applicatiebouw	Voor het creëren van programma code wordt gebruik gemaakt van good practices
APO_U.08.04	Het gebruik van onveilig programmatechnieken is niet toegestaan.	Applicatiebouw	Geen gebruik van onveilig programmatechnieken
APO_U.08.05	De programmacode is beschermd tegen ongeautoriseerde wijzigingen.	Applicatiebouw	(Applicatie)code is beschermd tegen ongeautoriseerde wijzigingen
APO_U.08.06	Activiteiten van applicatiebouw worden gereviewd.	Applicatiebouw	Activiteiten van applicatiebouw worden gereviewd
APO_U.08.07	De ontwikkelaars zijn adequaat opgeleid en zijn in staat om binnen het project de noodzakelijke en in gebruik zijnde tools te hanteren.	Applicatiebouw	De ontwikkelaars zijn adequaat opgeleid en in staat de noodzakelijke en gebruikte tools te hanteren
APO_U.09.01	Het testen van de beveiliging wordt uitgevoerd op basis van een verzameling van functionele en niet-functionele eisen en omvat onder meer: beveiligingsfuncties zoals authenticatie van gebruikers, toegangsbeperking en cryptografie; toepassing van de regels voor veilig coderen; toepassing van beveiligde configuraties zoals besturingssystemen, firewalls en andere beveiligingscomponenten.	Systeemacceptatietest	Functionarissen testen functionele requirements
APO_U.09.02	Testplannen worden vastgesteld en staan in verhouding tot het belang, de aard en mogelijke impact van de verandering. Het testplan omvat onder meer: een gedetailleerd schema van de activiteiten en tests; input en verwachte output onder allerlei omstandigheden; criteria om de resultaten te evalueren; een besluit over verdere acties naarmate nodig is.	Systeemacceptatietest	In de infrastructuur wordt specifiek getest vanuit beveiligingsoptiek
APO_U.09.03	Voor acceptatietesten van systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd uitgevoerd.	Systeemacceptatietest	Gestandaardiseerde en geautomatiseerde acceptatietesten binnen systeemontwikkeling.
APO_U.09.04	Bij de acceptatietest wordt getoetst of het geleverde product overeenkomt met hetgeen is afgesproken. Hierbij is de testfocus onder andere gericht is op: het testen van de functionele requirements; het testen van de business rules voor de betrokken bedrijfsprocessen; de beveiligingseisen die verband houden met betrokken bedrijfsprocessen.	Systeemacceptatietest	Validatie van functionele, procesmatige en beveiligingseisen binnen acceptatietesten
APO_U.09.05	Testresultaten worden formeel geëvalueerd en door de betrokken informatiesysteemeigenaar beoordeeld, waarna - na te zijn goedgekeurd - overgegaan wordt naar de volgende fase.	Systeemacceptatietest	Formele beoordeling en goedkeuring van testresultaten voor faseovergang
APO_U.10.01	Voor acceptatietesten van (informatie)systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd worden uitgevoerd.		Voor acceptatietesten van (informatie)systemen worden gestructureerde testmethodieken gebruikt
APO_U.10.01	De volgende richtlijnen worden toegepast om operationele gegevens die voor testdoeleinden worden gebruikt, te beschermen: de toegangsbeveiligingsprocedures die gelden voor besturingssystemen gelden ook voor testsystemen; voor elke keer dat besturingsinformatie naar een testomgeving wordt gekopieerd, wordt een afzonderlijke autorisatie verkregen; besturingsinformatie wordt onmiddellijk na voltooiing van het testen uit een testomgeving verwijderd; van het kopiëren en gebruiken van besturingsinformatie wordt verslaglegging bijgehouden om in een audittraject te voorzien.	Beschermen testgegevens	Richtlijnen worden toegepast om operationele gegevens die voor testdoeleinden worden gebruikt te beschermen
APO_U.10.02	Van de resultaten van de testen wordt een verslag gemaakt.		Van de resultaten van de testen wordt een verslag gemaakt
APO_U.10.03	Testresultaten worden formeel geëvalueerd en door de betrokken informatiesysteemeigenaar beoordeeld, waarna - na te zijn goedgekeurd - overgegaan wordt naar de volgende fase.		Testresultaten worden formeel geëvalueerd en beoordeeld
APO_U.10.04	Acceptatietesten worden uitgevoerd in een representatieve acceptatie-testomgeving. Deze omgeving is vergelijkbaar met de toekomstige productieomgeving.		Acceptatietesten worden uitgevoerd in een representatieve acceptatietest omgeving
APO_U.10.05	Voordat tot acceptatie in de productieomgeving wordt overgegaan, worden acceptatiecriteria vastgesteld en passende testen uitgevoerd.		Vastgestelde acceptatiecriteria en passend uitgevoerde tests voorafgaand aan acceptatieproductie overgang
APO_U.10.06	Tenzij geanonimiseerd worden productiegegevens niet gebruikt als testgegevens.		Tenzij geanonimiseerd worden productiegegevens niet gebruikt als testgegevens
APO_U.10.07	Bij de acceptatietest wordt getoetst of het geleverde product overeenkomt met hetgeen is afgesproken. Hierbij is de testfocus onder andere gericht is op: het testen van de functionele requirements; het testen van de business rules voor de betrokken bedrijfsprocessen; de beveiligingseisen die verband houden met betrokken bedrijfsprocessen.		Bij acceptatietest wordt getoetst of het geleverde product overeenkomt met hetgeen is afgesproken
APO_U.11.01	Het scheidingsniveau tussen de ontwikkel-, test- en productieomgevingen is geïdentificeerd en geïmplementeerd, waarbij rekening is gehouden met de volgende aspecten: fysieke of logische scheiding van omgevingen (bijv. verschillende domeinen); gedocumenteerde regels en autorisaties om software naar andere omgevingen te verplaatsen; geen toegang tot ontwikkelinstrumenten of systeemhulpmiddelen vanuit productie, tenzij noodzakelijk; duidelijke identificatielabels voor omgevingen om fouten te voorkomen; geen gevoelige informatie naar ontwikkel- of testomgevingen kopiëren zonder gelijkwaardige beveiliging; bescherming van ontwikkel- en testomgevingen door patching van tools en bibliotheken, beveiligde configuraties, toegangsbeveiliging, monitoring van veranderingen en omgevingen, alsmede regelmatige back-ups; scheiding van taken zodat één persoon niet zelfstandig wijzigingen in ontwikkeling én productie kan doorvoeren.	Scheiding van ontwikkel-, test- en productieomgevingen	Uitgangspunt voor systeemontwikkeling trajecten is een expliciete risicoafweging
APO_U.11.02	In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar kan hiervan worden afgeweken.		Logisch en/of fysiek gescheiden Ontwikkel, Test, Acceptatie en Productie omgevingen
APO_U.11.02	In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar kan hiervan worden afgeweken.		Beleid voor testrestricties in productieomgevingen en uitzonderingsprocedure.
APO_U.11.02	In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar kan hiervan worden afgeweken.	Scheiding van ontwikkel-, test- en productieomgevingen	Verbod op testen in de productieomgeving tenzij goedgekeurd door de proceseigenaar
APO_U.11.03	Significante wijzigingen in de productieomgeving worden altijd getest voordat zij in productie gebracht worden. Alleen met voorafgaande goedkeuring door de proceseigenaar kan hiervan worden afgeweken.	Scheiding van ontwikkel-, test- en productieomgevingen	Verplicht testen van significante wijzigingen in de productieomgeving voorafgaand aan productie
APO_U.11.04	De taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen in de ontwikkel-, test-, acceptatie- en productie- omgevingen worden uitgevoerd volgens onderkende rollen.	Scheiding van ontwikkel-, test- en productieomgevingen	Vastlegging van taken, verantwoordelijkheden en bevoegdheden per rol in ontwikkel-, test-, acceptatie- en productieomgevingen
APO_U.11.05	Voor remote-werkzaamheden is een werkwijze vastgelegd.	Scheiding van ontwikkel-, test- en productieomgevingen	Vastgelegde werkwijze voor remote-werkzaamheden
APO_U.11.06	Ontwikkelaars hebben geen toegang tot de productieomgeving.	Scheiding van ontwikkel-, test- en productieomgevingen	Ontwikkelaars hebben geen toegang tot de productieomgeving
APO_U.11.07	Voor het kopiëren/verplaatsen van configuratie-items tussen de omgevingen gelden overdrachtsprocedures.	Scheiding van ontwikkel-, test- en productieomgevingen	Overdrachtsprocedures voor kopiëren en verplaatsen van configuratie-items tussen omgevingen
APO_U.11.08	De overdracht van de ontwikkel- naar de testomgeving vindt gecontroleerd plaats met een implementatieplan.	Scheiding van ontwikkel-, test- en productieomgevingen	Gecontroleerde overdracht van ontwikkel- naar testomgeving via een implementatieplan
APO_U.11.09	De overdracht van de test- naar de acceptatie-omgeving vindt procedureel door daartoe geautoriseerde personen plaats.	Scheiding van ontwikkel-, test- en productieomgevingen	De overdracht naar de Productieomgeving vindt gecontroleerd plaats
APO_U.11.10	De overdracht naar de productie-omgeving vindt procedureel door daartoe geautoriseerde personen plaats.	Scheiding van ontwikkel-, test- en productieomgevingen	Geautoriseerde en procedurele overdracht naar de productieomgeving
APO_U.12.01	Koppelingen tussen applicaties worden uitgevoerd met vastgestelde procedures en richtlijnen.	Applicatiekoppeling	Koppelingen tussen applicaties worden uitgevoerd volgens vastgestelde procedures en richtlijnen
APO_U.12.02	Van het type koppelingen is een overzicht aanwezig.	Applicatiekoppeling	Van het type koppelingen is een overzicht aanwezig
APO_U.12.03	Koppelingen worden uitgevoerd via geautoriseerde opdrachten.	Applicatiekoppeling	Koppelingen worden uitgevoerd op basis van geautoriseerde opdrachten
APO_U.12.04	De uitgevoerde koppelingen worden geregistreerd.	Applicatiekoppeling	De uitgevoerde koppelingen worden geregistreerd
APO_U.13.01	Welke ongeoorloofde en onjuiste activiteiten gelogd moeten worden, is vastgelegd.	Logging en monitoring	Vastgelegd is welke ongeoorloofde en onjuiste activiteiten gelogd moeten worden
APO_U.13.02	Informatie over autorisatie(s) wordt vastgelegd.	Logging en monitoring	Informatie ten aanzien van autorisatie(s) wordt vastgelegd
APO_U.13.03	De loggegevens zijn beveiligd.	Logging en monitoring	De loggegevens zijn beveiligd
APO_U.13.04	De locatie van de vastlegging van de loggegevens is vastgesteld.	Logging en monitoring	De locatie van de vastlegging van de loggegevens is vastgesteld
APO_U.13.05	De applicatie geeft signalen aan de beveiligingsfunctionarissen dat loggegevens periodiek geëvalueerd en geanalyseerd moeten worden.	Logging en monitoring	De applicatie geeft signalen dat loggegevens periodiek geëvalueerd en geanalyseerd moet worden
APO_U.13.06	De frequentie (wanneer) van monitoring en het rapporteren hierover (aan wie wat) is vastgelegd.	Logging en monitoring	De frequentie (wanneer) van monitoring en het rapporteren hierover is vastgelegd
APO_U.14.01	De architect heeft een actueel document van het te ontwikkelen informatiesysteem opgesteld. Het document: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd.	Applicatie-architectuur	De architect heeft een actueel document van het te ontwikkelen informatie systeem opgesteld
APO_U.14.02	Het architectuurdocument wordt actief onderhouden.	Applicatie-architectuur	Het architectuur document wordt actief onderhouden
APO_U.14.03	De voorschriften, methoden en technieken voor applicatiearchitectuur worden toegepast.	Applicatie-architectuur	De voorschriften en de methoden en technieken ten aanzien van applicatie architectuur worden toegepast
APO_U.14.04	Tussen in- en uitstroom van gegevens en de inhoud van de gegevensberichten bestaat een aantoonbare samenhang.	Applicatie-architectuur	Samenhang tussen in- en uitstroom van gegevens en de inhoud van gegevensberichten
APO_U.14.05	Het is aantoonbaar dat de onderliggende infrastructuurcomponenten beveiligd zijn met beveiligingsbaselines (onder andere uitschakeling van overbodige functionaliteiten).	Applicatie-architectuur	Dat de onderliggende infrastructuurcomponenten beveiligd zijn op basis van security baselines aantoonbaar
APO_U.14.06	De relatie tussen de persoonsgegevens die gebruikt worden binnen de applicatie en de persoonsgegevens, van interne en externe ontvangers van de door de applicatie opgeleverde gegevens, is inzichtelijk.	Applicatie-architectuur	De relatie tussen de persoonsgegevens is inzichtelijk
APO_U.15.01	Het tool ondersteunt alle fasen van het ontwikkelproces voor het documenteren van analyses, specificaties, programmatuur, testen en rapportages.	Tooling ontwikkelmethode	Het tool ondersteunt alle fasen van het ontwikkelproces
APO_U.15.02	Het tool biedt een bepaald framework voor het structureren van de ontwikkelfasen en het bewaken van afhankelijkheden.	Tooling ontwikkelmethode	Framework voor het structuren van de ontwikkelfasen en het bewaken van afhankelijkheden
APO_U.15.03	Het tool beschikt over faciliteiten voor versie- en releasebeheer.	Tooling ontwikkelmethode	Het tool beschikt over faciliteiten voor versie- en releasebeheer
APO_U.15.04	Het tool beschikt over faciliteiten voor: het registreren van eisen en wensen; het afhandelen van fouten; het beveiligen van registraties (programmacode); het continu integreren van componenten; het kunnen switchen tussen de fasen: specificeren, ontwikkelen en testen.	Tooling ontwikkelmethode	Faciliteiten van het tool
APO_U.15.05	Het tool beschikt over faciliteiten voor de koppelingen met externe bronnen.	Tooling ontwikkelmethode	Het tool beschikt over faciliteiten voor de koppelingen met externe bronnen
CLD_B.01.01	Er zijn in lijn met het Rijksbreed cloudbeleid specifieke beleidsregels die de veiligheid bij het gaan inzetten van clouddiensten waarborgt.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Informeren welke wet- en regelgeving van toepassing is op clouddiensten
CLD_B.01.02	Het informatiebeveiligingsbeleid van de CSC bevat onderwerp specifieke beleidsregels voor cloudcomputing.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Selecteren relevante wettelijke eisen ter bescherming van persoonsgegevens
CLD_B.01.03	Het informatiebeveiligingsbeleid van de CSC voor cloudcomputing is consistent met de aanvaardbare niveaus van informatiebeveiligingsrisico’s van de organisatie voor zijn informatie- en andere bedrijfsmiddelen.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Identificeren vereisten die van toepassing zijn
CLD_B.01.04	Bij het definiëren van het informatiebeveiligingsbeleid voor cloudcomputing moet de CSC rekening houden met: informatie die is opgeslagen in de cloudcomputing-omgeving kan onderworpen zijn aan toegang en beheer door de CSP; bedrijfsmiddelen kunnen worden onderhouden in de cloudcomputing-omgeving, bijvoorbeeld applicatieprogramma's; processen kunnen draaien op een gevirtualiseerde clouddienst met meerdere tenants; de gebruikers van de clouddienst en de context waarin zij de clouddienst gebruiken; de clouddienstbeheerders van de CSC die bevoorrechte toegang hebben; de geografische locaties van de organisatie van de CSP en de landen waar de CSP de CSC-gegevens kan opslaan (zelfs tijdelijk).	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Voorzien zekerheid over van toepassing zijnde wettelijke eisen en contractuele vereisten
CLD_B.01.05	Bij het definiëren van het informatiebeveiligingsbeleid voor clouddiensten moet de CSP rekening houden met: de basisvereisten voor informatiebeveiliging die van toepassing zijn op het ontwerp en de implementatie van de clouddienst; risico's van geautoriseerde insiders; multi-tenancy en CSC-isolatie (inclusief virtualisatie); toegang tot CSC-middelen door personeel van de CSP; toegangscontroleprocedures, bijvoorbeeld sterke authenticatie voor administratieve toegang tot clouddiensten; communicatie met CSC's tijdens wijzigingsbeheer; virtualisatiebeveiliging; toegang tot en bescherming van CSC-gegevens; levenscyclusbeheer van CSC-accounts; communicatie over inbreuken en richtlijnen voor het delen van informatie ter ondersteuning van onderzoeken en forensisch onderzoek; de verplaatsing of overdracht van bedrijfsmiddelen, inclusief informatie.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Treffen van maatregelen en benoemen verantwoordelijkheden om te voldoen aan gestelde eisen
CLD_B.01.06	Door de CSC zijn de basisvereisten voor het beveiligen van de verschillende applicaties vastgesteld en gedocumenteerd.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Vaststellen alle van toepassing zijnde wet- en regelgeving
CLD_B.01.07	Het informatiebeveiligingsbeleid voor cloudcomputing moet zijn goedgekeurd door het voor cloudcomputing verantwoordelijke management.	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Managementgoedkeuring van informatiebeveiligingsbeleid voor cloudcomputing
CLD_B.01.08	Het management van de CSP heeft een informatiebeveiligingsbeleid goedgekeurd en gecommuniceerd naar interne en externe medewerkers en de CSC’s	Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten	Vaststelling en communicatie van informatiebeveiligingsbeleid door de CSP
CLD_B.02.01	De processen van de CSC voor het aanschaffen, gebruiken, beheren en beëindigen van clouddiensten behoren overeenkomstig de informatiebeveiligingseisen van de organisatie te worden opgesteld.	Rollen en verantwoordelijkheden bij informatiebeveiliging in de keten CSC-CSP	Aangeven hoe cloudbeveiligingsstrategie bedrijfsdoelstellingen ondersteunt
CLD_B.02.02	De CSC moet met de CSP overeenstemming bereiken over een passende toewijzing van rollen en verantwoordelijkheden op het gebied van informatiebeveiliging, en bevestigen dat hij de toegewezen rollen en verantwoordelijkheden kan vervullen. De rollen en verantwoordelijkheden op het gebied van informatiebeveiliging van beide partijen moeten in de leveranciersovereenkomst worden vastgelegd.	Rollen en verantwoordelijkheden bij informatiebeveiliging in de keten CSC-CSP	Aangeven hoe te beschermen tegen bedreigingen en aandacht te besteden aan beveiligingscontext
CLD_B.02.03	De CSP moet een passende toewijzing van rollen en verantwoordelijkheden op het gebied van informatiebeveiliging overeenkomen en documenteren met zijn CSC's, CSP's en leveranciers.	Rollen en verantwoordelijkheden bij informatiebeveiliging in de keten CSC-CSP	Ondersteunen in behalen van bedrijfsdoelen door samenhang van beveiligingsmaatregelen
CLD_B.02.04	De CSC moet zijn relatie met de ondersteunings- en zorgfunctie van de CSP identificeren en beheren.	Rollen en verantwoordelijkheden bij informatiebeveiliging in de keten CSC-CSP	Beheer van de relatie tussen CSC en ondersteuningsfuncties van de CSP
CLD_B.02.05	Bij de toewijzing van rollen en verantwoordelijkheden moet rekening worden gehouden met de CSC-gegevens en de CSC-aanvragen, waarbij de CSP de verwerker is.	Rollen en verantwoordelijkheden bij informatiebeveiliging in de keten CSC-CSP	Rollen en verantwoordelijkheden bij verwerking van CSC-gegevens en -aanvragen door de CSP
CLD_B.03.01	De CSP moet de CSC informeren over de geografische locaties van de organisatie van de CSP en de landen waar de CSP de CSC-gegevens kan opslaan. Bij het bepalen van de geografische locaties wordt ook gekeken naar alle plaatsen waar (vandaan) verwerking, inclusief (technische) beheeractiviteiten, plaatsvinden.	Identificeren van de relevante wet- en regelgeving	Vastleggen bepalingen over exit-regeling
CLD_B.03.02	De CSC moet de autoriteiten identificeren die relevant zijn voor de gecombineerde werking van de CSC en de CSP.	Identificeren van de relevante wet- en regelgeving	Overgaan tot exit buiten verstrijken contractperiode
CLD_B.03.03	De CSC houdt, naast de wet- en regelgeving die voor de CSC geldt (zie ook B.04), rekening met de voor de CSP geldende wet- en regelgeving.	Identificeren van de relevante wet- en regelgeving	Afstemming van wet- en regelgeving tussen CSC en CSP
CLD_B.03.04	De CSP moet de CSC informeren over de jurisdicties die van toepassing zijn op de clouddienst.	Identificeren van de relevante wet- en regelgeving	Transparantie over toepasselijke jurisdicties bij clouddiensten
CLD_B.03.05	De CSP moet zijn eigen relevante wettelijke vereisten identificeren (bijvoorbeeld met betrekking tot encryptie). Deze informatie moet ook aan de CSC worden verstrekt wanneer daarom wordt gevraagd.	Identificeren van de relevante wet- en regelgeving	Identificatie en verstrekking van wettelijke vereisten door de CSP
CLD_B.03.06	De CSC moet bewijs vragen van de naleving door de CSP van de relevante regelgeving en normen die vereist zijn voor de activiteiten van de CSC. Dergelijk bewijs kunnen de certificeringen zijn die door externe auditors zijn geproduceerd.	Identificeren van de relevante wet- en regelgeving	Verificatie van naleving door de CSP via bewijs en certificeringen
CLD_B.03.07	De CSP moet de CSC voorzien van bewijs van zijn huidige naleving van de toepasselijke wetgeving en contractuele vereisten.	Identificeren van de relevante wet- en regelgeving	Aantoonbare naleving van wetgeving en contractuele verplichtingen door de CSP
CLD_B.03.08	De CSC dient te verifiëren dat de set cryptografische controles die van toepassing zijn op het gebruik van een clouddienst voldoet aan relevante afspraken, wet- en regelgeving.	Identificeren van de relevante wet- en regelgeving	Toetsing van cryptografische maatregelen aan wet- en regelgeving
CLD_B.03.09	De CSP moet beschrijvingen verstrekken van de door de CSP geïmplementeerde cryptografische controles aan de CSC voor het beoordelen van de naleving van toepasselijke overeenkomsten, wet- en regelgeving.	Identificeren van de relevante wet- en regelgeving	Inzicht in cryptografische controles ter beoordeling van compliance
CLD_B.04.01	De CSC voldoet aan de wet en regelgeving: a. de eisen uit het Voorschrift Informatiebeveiliging Rijksdienst (VIR) ; b. het voorschrift Informatiebeveiliging Rijksdienst – Bijzondere Informatie (VIRBI) ; c. de BIO , de regels omtrent archiveren ; d. de AVG ; e. de Wet Open Overheid (WOO) ; f. de Wet Politiegegevens (WPG) .	Waarborgen van de wet- en regelgeving bij de selectie van een CSP	Bevatten organisatorisch en technische georiënteerde maatregelen in cloudbeveiligingsbeleid
CLD_B.04.02	Landen met een actief cyberprogramma dat gericht is tegen Nederlandse belangen worden uitgesloten van het kunnen aanbieden van een clouddienst. Mocht er een risico zijn op dreiging van statelijke actoren, wordt voortijdig dreigings- en beveiligingsadvies ingewonnen van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en/of Militaire Inlichtingen- en Veiligheidsdienst (MIVD). Voor de overige landen sluiten aan bij het Europese beleid op dit terrein dat waarborgen biedt tegen misbruik van de informatie die in een cloud is opgeslagen.	Waarborgen van de wet- en regelgeving bij de selectie van een CSP	Beleid voor landselectie en geopolitieke risico’s bij cloudgebruik
CLD_B.04.03	De opslag en verwerking van persoonsgegevens voldoet aan de vereisten inzake doorgiften van persoonsgegevens (hoofdstuk V van de AVG), en daarbij wordt voldaan aan één van de onderstaande eisen: . opslag en verwerking binnen de EER of, . in landen waarvoor een adequaatheidsbesluit bestaat, of, . op basis van een passend doorgiftemechanisme dat voldoet aan de vereisten (van art. 46, hoofdstuk V) van de AVG, zoals een modelcontract (standaard contractbepalingen of ‘standard contractual clauses’). Indien niet aantoonbaar aan één van die eisen (a, b of c) is voldaan, dan wordt voor die verwerking en alle daarbij behorende subverwerkingen de uitgevoerde (pre-scan of formele) Data Protectie Impact Assessment (DPIA) zo spoedig mogelijk na vaststelling aan CIO Rijk toegezonden. De opslag en verwerking van bijzondere persoonsgegevens voldoet aan eisen a. of b. Als aan c. wordt voldaan geldt aanvullend de eis ‘pas-toe-of-leg-uit’ (comply or explain), met minimaal een uitgevoerde (pre-scan of formele) DPIA, die zo spoedig mogelijk na vaststelling aan CIO Rijk wordt toegezonden.	Waarborgen van de wet- en regelgeving bij de selectie van een CSP	AVG-conforme doorgifte en verwerking van persoonsgegevens in de cloud
CLD_B.04.04	De CSC kan de locaties (locatie/land) van de gegevensverwerking en -opslag, inclusief gegevensback-ups, specificeren volgens de contractueel beschikbare opties. De CSP ondersteunt de keuze tot specificatie door middel van een cloudarchitectuur. De vastlegging van de architectuur is gebaseerd op de behoeften van materiedeskundigen van de CSC, zodat de CSC de geschiktheid van de clouddienst kan beoordelen met betrekking tot de wettelijke en regelgevende vereisten.	Waarborgen van de wet- en regelgeving bij de selectie van een CSP	Beheer en specificatie van datalocaties binnen cloudarchitecturen
CLD_B.05.01	Er behoren informatiebeveiligingseisen te worden vastgesteld voor alle bedrijfsprocessen die gebruik gaan maken van de clouddienst(en).	Risicoafweging bij de selectie van een clouddienst van een CSP	Bevatten diverse aspecten in systeembeschrijving
CLD_B.05.02	Bij het selecteren van een CSC wordt rekening gehouden met: onderbouwing van de noodzaak (subsidiariteit) van het cloudgebruik; privacyvoorwaarden en het vooraf onderhandelen daarover; kaders voor publieke waarden zoals voor open source, mensenrechten en duurzaamheid.	Risicoafweging bij de selectie van een clouddienst van een CSP	SLA/systeembeschrijving bevat specificatie van jurisdictie inzake data-opslag, verwerking en back-up-locatie
CLD_B.05.03	Tijdens de risicoanalyse is het Strategisch Leveranciersmanagement voor de Rijksoverheid (SLM) geraadpleegd.	Risicoafweging bij de selectie van een clouddienst van een CSP	SLA/systeembeschrijving bevat specificatie voor publicatie-vereisten en onderzoeksmogelijkheden
CLD_B.05.04	Er is een DPIA (gegevensbeschermingseffectbeoordeling), inclusief een relevante risicoafweging op basis van de CIO Rijk implementatierichtlijn, waarbij de besluitvorming toetsbaar en auditeerbaar is.	Risicoafweging bij de selectie van een clouddienst van een CSP	SLA/systeembeschrijving bevat specificatie met betrekking tot beschikbaar zijn van valide certificaten
CLD_B.05.05	De CSC beschrijft in de toegespitste risicoanalyse ten minste de volgende onderdelen: 1. De context van het cloudgebruik en de karakteristieken van het betreffende cloudgebruik zoals: de beoogde baten; de selectie van de hoofdleverancier en zijn toeleverancier; het type dienstverlening (publieke, private, hybride, community cloud en IaaS, SaaS, PaaS); de gevoeligheid van de type gegevens; de geografische regio van verwerking en opslag van gegevens. 2. De relevante risico’s waarbij aandacht is voor: a. de C2000 criteria van het Rijksbreed cloudbeleid. Als er sprake is van risico’s voortkomende uit deze criteria wordt conform cloudbeleid tijdig dreigings- en beveiligingsadvies ingewonnen van AIVD en/of MIVD. Indien nationale veiligheidsrisico’s niet voldoende kunnen worden beheerst, worden waar mogelijk dergelijke partijen uitgesloten ; b. de public cloud risicoscenario’s van het Nationaal Bureau voor Verbindingsbeveiliging (NBV); c. de vergelijking met de on-premise verwerking; d. risico’s voor veiligheid van personen voor wie er extra risico’s zijn indien persoonsgegevens gelekt worden ; e. continuïteitsrisico’s onder meer voor de uitvoering van taken. 3. De analyse van de getroffen technische en organisatorische maatregelen waaruit blijkt dat CSC en de CSP voldoen aan de gestelde informatiebeveiligingseisen. Hierbij is aandacht voor: a. het door de cloudleverancier toelaten van verantwoordingsonderzoeken of rapportages daarover; b. een beschrijving van de exitstrategie; c. de wijze waarop de leverancier zijn leveranciers beoordeeld, onder meer voor ketenrisico’s; d. de beoordeling van de opzet, bestaan en, bij de eerste actualisatie, de werking van de maatregelen; e. de afweging dat de risico’s voldoende gemitigeerd worden met eventuele rest-risico’s en de borging daarvan. 4. Hoe is geregeld dat de CSP controle en verantwoordingsonderzoeken toelaat of daarover rapporteert. Er bestaat een 'right-to audit' voor de opdrachtgevende organisatie of is er hierover contractueel voldoende zekerheid via (SLM).	Risicoafweging bij de selectie van een clouddienst van een CSP	Integrale risicoanalyse en beheersmaatregelen voor cloudgebruik binnen de CSC
CLD_B.05.06	De risicoanalyse is formeel vastgesteld conform een mandateringsregeling.	Risicoafweging bij de selectie van een clouddienst van een CSP	Formele vaststelling van de risicoanalyse conform mandaatregeling
CLD_B.05.07	Risico’s moeten bekend en voldoende gemitigeerd zijn en blijven.	Risicoafweging bij de selectie van een clouddienst van een CSP	Borging en continue mitigatie van geïdentificeerde risico’s
CLD_B.06.01	Indien er persoonsgegevens verwerkt gaan worden, dient voorafgaand aan feitelijke verwerking een pre-scan DPIA uitgevoerd te worden en voor hoog-risico verwerkingen een formele DPIA. De DPIA is formeel vastgesteld zijn, conform een mandateringsregeling.	Risicoafweging voorafgaand aan de verwerking van persoonsgegevens	Hebben CSP-verantwoordelijkheden
CLD_B.06.02	In een pre-scan DPIA moeten ten minste de volgende onderdelen herkenbaar zijn : a. Een beschrijving van de verwerking inclusief een beschrijving van het type persoonsgegevens (content, telemetrie, diagnostisch, website en helpdesk), de omvang van de gegevensset de omvang van de verwerking, de betrokkenen en het te ondersteunen proces. b. Omschrijving van de gebruikersgroepen waaronder de afnemers van de dienst en de afnemers van de informatie. c. Voor de formele DPIA dient het rijksbrede model toegepast te worden. d. Indien geen DPIA wordt uitgevoerd, een beschrijving hoe voldaan wordt aan de gestelde privacy-eisen, de beoordeling dat de maatregelen daarvoor feitelijk functioneren en de (lage) rest-risico’s. Bij overdracht naar landen buiten de EER zonder een adequaatheidsbesluit , is een DPIA nodig conform aanbevelingen van de European Dataprotection Board (EDPB) en bij bijzondere persoonsgegevens extra terughoudendheid conform cloudbeleid en dezelfde aanbevelingen van de EDPB.	Risicoafweging voorafgaand aan de verwerking van persoonsgegevens	Goedkeuren organisatie van risicomanagementproces
CLD_B.06.03	Indien geen formele DPIA nodig is, moet op een andere wijze aantoonbaar worden voldaan aan de AVG, waaronder een onderbouwing van de rechtmatigheid, proportionaliteit, noodzaak (subsidiariteit) e.d.	Risicoafweging voorafgaand aan de verwerking van persoonsgegevens	Beschrijven risicomanagementproces
CLD_B.06.04	Bij de opslag en verwerking van een basisregistratie in de public cloud geeft CIO Rijk hieraan voorafgaand een advies, waarbij het advies wordt gegeven op basis van minimaal: de uitleg waarom cloudgebruik noodzakelijk is; de risicoanalyse; bij verwerking van persoonsgegevens, de (pres-scan of formele) DPIA en eventueel	Risicoafweging voorafgaand aan de verwerking van persoonsgegevens	Voorafgaand CIO Rijk-advies bij cloudgebruik voor basisregistraties
CLD_B.07.01	De CSP en de CSC verzamelen en analyseren informatie die beschikbaar is in geselecteerde interne en externe bronnen over bestaande of opkomende dreigingen teneinde weloverwogen maatregelen mogelijk te maken om te voorkomen dat de dreigingen schade aan de betrokken organisatie toebrengen.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Treffen maatregelen voor beveiliging IT-functionaliteiten
CLD_B.07.02	De CSP en de CSC informeren iedereen van de organisaties en elkaar, waarbij de bedreiging impact kan hebben op de hele organisatie, nauwkeurig en gedetailleerd, zodat de partijen snel en doeltreffend kunnen handelen op basis van de informatie.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Treffen technische beveiligingsmaatregelen tegen bescherming van infrastructuur
CLD_B.07.03	De toepaste risicomanagementaanpak: is in lijn met het informatiebeveiligingsbeleid; is gedocumenteerd volgens een uniforme structuur; is gebaseerd op erkende standaarden en methoden; beslaat de gehele levenscyclus van de clouddienst vanaf de start bij de verwerving van de clouddienst tot en met de beëindiging van de clouddienst; bevat afspraken tussen de CSC en de CSP, zodat de samenwerking op elkaar aansluit.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Bewaken en beheersen IT-infrastructuur
CLD_B.07.04	De CSC moet zijn informatiebeveiligingseisen voor de clouddienst bepalen en vervolgens beoordelen of de door een CSP aangeboden diensten aan deze eisen kunnen voldoen.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Inrichten infrastructuur met betrouwbare hardware- en software-componenten
CLD_B.07.05	Voor deze analyse moet de CSC informatie over de informatiebeveiligingscapaciteiten opvragen bij de CSP.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Hebben van gedocumenteerde standaarden en procedures om hoofd te bieden tegen cyberaanvallen
CLD_B.07.06	De CSP moet informatie verstrekken aan de CSC’s over de informatiebeveiligingsmogelijkheden die zij gebruiken. Deze informatie moet informatief zijn, zonder informatie vrij te geven die nuttig kan zijn voor iemand met kwade bedoelingen.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Gebalanceerde informatieverstrekking over beveiligingsmaatregelen door de CSP
CLD_B.07.07	De CSP biedt CSC’s richtlijnen en aanbevelingen voor het veilig gebruik van de aangeboden clouddienst. De daarin opgenomen informatie is bedoeld om de CSC te helpen bij het veilig configureren, installeren en gebruiken van de clouddienst, voor zover van toepassing op de clouddienst en onder de verantwoordelijkheid van de cloudgebruiker. Het type en de reikwijdte van de verstrekte informatie is gebaseerd op de behoeften van materiedeskundigen van de CSC die informatiebeveiligingseisen stellen, deze implementeren of de implementatie verifiëren.	Afspraken over risicomanagement tijdens de inzet van de clouddienst	Richtlijnen en ondersteuning door de CSP voor veilig gebruik van clouddiensten
CLD_B.08.01	De Cloud Service Provider (CSP) heeft een proceseigenaar voor het Bedrijfscontinuïteitsmanagement (BCM)-proces benoemd en hem verantwoordelijk gegeven voor het vormgeven van BCM en compliancy met het uitgestippeld beleid.	Bedrijfscontinuïteitsmanagement	Benoemen proceseigenaar voor BCM-proces en geven verantwoordelijkheden
CLD_B.08.02	De verantwoordelijke voor bedrijfscontinuïteitsmanagement (BCM) stelt zeker dat adequate resources beschikbaar zijn voor het uitvoeren van een effectief BCM-proces.	Bedrijfscontinuïteitsmanagement	Zeker stellen adequate resources voor uitvoeren van BCM-proces
CLD_B.08.03	Het management van de Cloud Service Provider (CSP) committeert zich aan de vastgestelde bedrijfscontinuïteitsmanagement (BCM)-vereisten.	Bedrijfscontinuïteitsmanagement	Committeren aan vastgestelde BCM-vereisten
CLD_B.08.04	Het bedrijfscontinuïteitsmanagement (BCM)-beleid en beleid voor business impact analyses zijn vastgesteld en gecommuniceerd.	Bedrijfscontinuïteitsmanagement	Vaststellen en communiceren BCM- en BIA-beleid
CLD_B.08.05	Het beleid en de procedures voor het vaststellen van de impact van storingen van cloud-services zijn gedocumenteerd en gecommuniceerd, waarbij aandacht wordt besteed aan: beschikbaarheid van data en functionaliteit in relatie tot vendor lock-in en transitie naar andere Cloud Service Providers (CSP's) of exit-strategie (voor de mogelijke op risicoanalyse gebaseerde scenario’s); identificatie van kritische producten en services; identificaties van afhankelijkheden, processen, en business partners en derde partijen; consequenties van verstoringen; schattingen van vereiste resources voor herstel.	Bedrijfscontinuïteitsmanagement	Documenteren en communiceren beleid en procedures voor vaststellen van storingsimpact van cloudservices
CLD_B.08.06	De Cloud Service Provider (CSP) beschikt over een gedocumenteerd raamwerk voor het plannen van bedrijfscontinuïteit waarin onder andere aandacht wordt besteed aan: definiëren van de scope waarbij rekening wordt gehouden met de afhankelijkheden; toegankelijkheid van deze plannen voor verantwoordelijke functionarissen; toewijzen van een verantwoordelijke voor de review, update en goedkeuring; definiëren van communicatiekanalen; herstelprocedures; methode voor het implementeren van het bedrijfscontinuïteitsmanagement (BCM)-plan; continu verbeteringsproces van het BCM-plan; relaties met beveiligingsincidenten.	Bedrijfscontinuïteitsmanagement	Beschikken over gedocumenteerd raamwerk voor plannen van bedrijfscontinuïteit
CLD_B.08.07	Business impact analyses en continuïteitsplannen worden geverifieerd, geactualiseerd en regelmatig getest.	Bedrijfscontinuïteitsmanagement	Verifiëren, actualiseren en testen business impact analyses en continuïteitsplannen
CLD_B.08.08	Bij het testen wordt aandacht besteed aan de beïnvloeding van Cloud Service Consumers (CSC’s) (tenants) en derde partijen.	Bedrijfscontinuïteitsmanagement	Besteden aandacht aan beïnvloeden van CSC’s (tenants) en derde partijen bij testen
CLD_B.08.09	De voorzieningen van de computercentra zijn veilig gesteld en worden gemonitord (bewaakt), onderhouden en regelmatig getest.	Bedrijfscontinuïteitsmanagement	Veiligstellen, monitoren, onderhouden en testen computercentra-voorzieningen
CLD_B.09.01	Voor de opslag, de verwerking en het transport van data zijn beschikbaarheids-, integriteits- en vertrouwelijkheidsmaatregelen getroffen.	Privacy en bescherming persoonsgegevens clouddiensten	Treffen maatregelen voor opslag, verwerking en transport van data
CLD_B.09.02	Ter bescherming van data en privacy zijn beveiligingsmaatregelen getroffen, in de vorm van data-analyse, Data Privacy Impact Assessment (DPIA), sterke toegangsbeveiliging en encryptie.	Privacy en bescherming persoonsgegevens clouddiensten	Treffen maatregelen zoals data-analyse, DPIA, sterke toegangsbeveiliging en encryptie
CLD_B.09.03	Aan data en middelen waarin/waarop zich data bevindt, wordt door de verwerkingsverantwoordelijke een classificatie toegekend gebaseerd op het datatype, de waarde, de gevoeligheid en het kritische gehalte voor de organisatie.	Privacy en bescherming persoonsgegevens clouddiensten	Toekennen classificatie aan data en middelen waarin/waarop zich data bevindt
CLD_B.09.04	Data gerelateerd aan e-commerce en verstuurd via publieke netwerken is adequaat geclassificeerd en beschermd tegen fraude, ongeautoriseerde toegang en aantasten/corrumperen van data.	Privacy en bescherming persoonsgegevens clouddiensten	Classificeren en beschermen data gerelateerd aan e-commerce en verstuurd via publieke netwerken
CLD_B.09.05	De Cloud Service Provider (CSP) past een uniforme classificatie toe voor informatie en middelen die relevant is voor de ontwikkeling en het aanbieden van clouddiensten.	Privacy en bescherming persoonsgegevens clouddiensten	Toepassen informatie- en middelenclassificatie, relevant voor ontwikkelen en aanbieden van clouddiensten
CLD_B.09.06	Het eigenaarschap van de middelen die deel uitmaken van de clouddiensten is vastgesteld.	Privacy en bescherming persoonsgegevens clouddiensten	Vaststellen eigenaarschap van middelen die deel uitmaken van clouddiensten
CLD_B.09.07	In de overeenkomst tussen de Cloud Service Provider (CSP) en de Cloud Service Consumer (CSC) is bij het beëindigen van de clouddienst het eigenaarschap vastgelegd rond het gebruik, het retourneren en het verwijderen van data (data objects) en de fysieke middelen die data bevatten.	Privacy en bescherming persoonsgegevens clouddiensten	Vastleggen eigenaarschap in overeenkomst tussen CSP en CSC bij beëindigen van clouddienst
CLD_B.09.08	De Cloud Service Provider (CSP) specificeert en documenteert op welke locatie (in welk land) de data worden opgeslagen.	Privacy en bescherming persoonsgegevens clouddiensten	Specificeren en documenteren opslag op welke locatie data
CLD_B.10.01	De beveiligingsfunctie, die geleid wordt door een Chief Security Officer (CSO), ondersteunt de Cloud Service Provider (CSP) voor het bewerkstelligen en promoten van het cloud-beveiligingsbeleid door het: ontwikkelen en onderhouden van een beveiligingsstrategie en het -beleid; ontwikkelen van beveiligingsstandaarden, procedures en richtlijnen; definiëren van een set beveiligingsdiensten; coördineren van beveiliging door de gehele organisatie; monitoren van de effectiviteit van clouddienstreglementen; bieden van overzicht van en het doen van onderzoeken naar beveiligingsdiensten.	Beveiligingsorganisatie clouddiensten	Bewerkstelligen en promoten cloudbeveiligingsbeleid
CLD_B.10.02	De beveiligingsfunctie voorziet in proactieve ondersteuning van: activiteiten van cloud-risicoassessment; classificeren van informatie en systemen; gebruik van encryptie; beveiligen van gerelateerde projecten; ontwikkelen van bedrijfscontinuïteitsprogramma en beveiligingsaudits.	Beveiligingsorganisatie clouddiensten	Voorzien beveiligingsfunctie in proactieve ondersteuning van bepaalde processen/middelen
CLD_B.10.03	De Cloud Service Provider (CSP) heeft de informatiebeveiligingsorganisatie een formele positie binnen de gehele organisatie gegeven.	Beveiligingsorganisatie clouddiensten	Geven positie van informatiebeveiligingsorganisatie binnen organisatie
CLD_B.10.04	De Cloud Service Provider (CSP) heeft de verantwoordelijkheden bij informatiebeveiliging voor het definiëren, coördineren en evalueren beschreven en toegewezen aan specifieke functionarissen.	Beveiligingsorganisatie clouddiensten	Benoemen functionarissen voor informatiebeveiliging en onderlinge relaties inzichtelijk maken
CLD_B.10.05	De taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd in een autorisatiematrix.	Beveiligingsorganisatie clouddiensten	Toewijzen verantwoordelijkheden voor definiëren, coördineren en evalueren van informatiebeveiliging
CLD_B.10.06	De belangrijkste functionarissen (stakeholders) voor informatiebeveiliging zijn benoemd en de onderlinge relaties zijn met een organisatieschema inzichtelijk gemaakt.	Beveiligingsorganisatie clouddiensten	Vastleggen taken, verantwoordelijkheden en bevoegdheden in autorisatiematrix
CLD_B.10.07	De verantwoordings- en rapportagelijnen tussen de betrokken functionarissen zijn vastgesteld.	Beveiligingsorganisatie clouddiensten	Vaststellen verantwoordings- en rapportagelijnen tussen betrokken functionarissen
CLD_B.10.08	Het type, de frequentie en de eisen voor de inhoudelijke rapportages zijn vastgesteld.	Beveiligingsorganisatie clouddiensten	Vaststellen type, frequentie en eisen voor inhoudelijke rapportages
CLD_B.11.01	Het raamwerk bevat de volgende aspecten: beveiligingsbeleid van de Cloud Service Provider (CSP) met principes en wet- en regelgeving; functioneel; typen en scope van de clouddiensten; zoneringsmodel voor scheiding tussen Cloud service Consumers (CSC’s); trust framework (afspraken en maatregelen ter bevordering van de vertrouwensrelatie); Service Level Agreements (SLA’s) en valide certificaten; risicomanagement.	Clouddienstenarchitectuur	Bevatten diverse aspecten voor raamwerk
CLD_B.11.02	De onderlinge samenhang tussen IT-functionaliteiten die bij het aanbieden, gebruiken en onderhouden van clouddiensten zijn betrokken, benoemd en beschreven.	Clouddienstenarchitectuur	Beschrijven van de samenhang tussen IT-functionaliteiten bij clouddienst-aanbieding, -gebruik en -onderhoud
CLD_C.01.01	De CSC houdt het cloudgebruik en de risico’s daarvan bij. Dit wordt bij wezenlijke wijzigingen en ten minste jaarlijks geactualiseerd. 1. De registratie bevat ten minste de volgende zaken: a. het organisatieonderdeel; b. het bedrijfsproces en de verantwoordelijke lijnmanager; c. inzicht in de risico’s via een actuele risicoanalyse en DPIA; en d. de leverancier van de public clouddienst en de afgenomen clouddiensten. Dit gebeurt als onderdeel van het rapportageproces voor het IB-beeld, conform de departementale taken en volgens het besluit CIO-stelsel.	Registratie cloudgebruik en bijhouden risicoanalyses	Beschikken over richtlijnen voor inrichting van service-management-organisatie
CLD_C.01.02	De CSC actualiseert de toegespitste risicoanalyse, exitstrategie en (pre-scan of formele) DPIA bij wezenlijke wijzigingen in de dienstverlening of in de functionaliteit, de technische inrichting, de geografische inrichting of de toeleveranciers, inclusief de te nemen passende acties. Dit vindt ten minste iedere drie jaar plaats of vaker als daar aanleiding toe is. Indien analyses op basis van het cloudbeleid met CIO Rijk moeten worden gedeeld, worden de geactualiseerde analyses opnieuw gedeeld met CIO Rijk.	Registratie cloudgebruik en bijhouden risicoanalyses	Beschrijven en inrichten relevante beheerprocessen
CLD_C.01.03	Voor bestaande clouddiensten moet conform de BIO2 een risicoanalyse zijn uitgevoerd. Ook deze analyses worden binnen hun huidige levenscyclus en ten minste binnen drie jaar herijkt aan het cloudbeleid en het implementatiekader.	Registratie cloudgebruik en bijhouden risicoanalyses	Richtlijnen voor uitvoeren controle-activiteiten en evalueren van en rapporteren over prestaties
CLD_C.01.04	De CSC verifieert regelmatig de criteria die gebruikt worden om de risico’s te meten en om vast te stellen of ze steeds consistent zijn met de wet- en regelgeving, organisatiedoelstellingen, de strategie en het beleid. Daarbij wordt de context van de organisatie steeds in beschouwing genomen.	Registratie cloudgebruik en bijhouden risicoanalyses	Periodieke verificatie van risicocriteria in lijn met wetgeving en organisatiedoelstellingen
CLD_C.02.01	De CSC moet om gedocumenteerd bewijs vragen dat de implementatie van informatiebeveiligingscontroles en richtlijnen voor de clouddienst in overeenstemming is met eventuele beweringen van de CSP. Dergelijk bewijsmateriaal kan certificeringen volgens relevante normen omvatten, zoals ISO 27001, ISAE 3402 en SOC2 (type I of II).	Onpartijdige beoordeling CSP	Verifiëren van criteria voor risicometing en vaststelling consistentie van criteria
CLD_C.02.02	Voor de governance van de clouddienstverlening aan de CSC heeft de CSP een compliance-proces ingericht, waarmee continue compliance op wet- en regelgeving en het overeengekomen cloudbeveiligingsbeleid vorm wordt gegeven.	Onpartijdige beoordeling CSP	Monitoren en evalueren risico’s voor behouden risicobeeld en tijdige vaststelling van veranderingen
CLD_C.02.03	De CSP moet gedocumenteerd bewijs aan de CSC verstrekken om zijn bewering over het implementeren van informatiebeveiligingscontroles te onderbouwen.	Onpartijdige beoordeling CSP	Richten op diverse zaken met betrekking tot monitoren van risico
CLD_C.02.04	Wanneer overeen is gekomen dat er individuele CSC-audits worden gehouden dan zijn het beleid en de instructies (inclusief concepten en richtlijnen) voor het plannen en uitvoeren van audits gedocumenteerd, gecommuniceerd en beschikbaar gesteld en volgens een uniforme structuur gedocumenteerd. Hierbij is er duidelijkheid over de doelstellingen, de verdeling van rollen en verantwoordelijkheden tussen CSC en de CSP, inclusief de kwalificatievereisten voor personeel en de toepasselijke wettelijke en regelgevende vereisten.	Onpartijdige beoordeling CSP	Uitvoeren monitoringsactiviteiten en mitigeren risico’s
CLD_C.02.05	De CSP zorgt ervoor dat de jaarlijkse rapportage, de uitkomsten van de periodieke servicerapportages en de uitkomsten uit de continue compliance op het cloudbeveiligingsbeleid op elkaar aansluiten.	Onpartijdige beoordeling CSP	Adresseren diverse elementen bij monitoring en reviewen
CLD_C.02.06	Wanneer individuele CSC-audits voor de CSP onpraktisch zijn of de risico’s voor de informatiebeveiliging kunnen vergroten, moet de CSP onpartijdig bewijs leveren dat de informatiebeveiliging wordt geïmplementeerd en geëxploiteerd in overeenstemming met het beleid en de procedures van de CSP. Daartoe controleren deskundigen die de toepassing van de relevante en toepasselijke wettelijke, regelgevende, zelfopgelegde en contractuele vereisten op het beleid, de regels en de normen, inclusief de werking van het information security management system (ISMS). Dit gebeurt met regelmatige tussenpozen, ten minste jaarlijks.	Onpartijdige beoordeling CSP	Onafhankelijke toetsing van informatiebeveiliging bij de CSP
CLD_C.02.07	Het onpartijdige bewijs moet beschikbaar worden gesteld aan potentiële CSC’s voordat een contract wordt aangegaan.	Onpartijdige beoordeling CSP	Beschikbaarheid van auditbewijs voor potentiële CSC’s
CLD_C.02.08	De CSP behoort periodieke onpartijdige beoordelingen te plannen en te initiëren en hierover te rapporteren aan de CSC.	Onpartijdige beoordeling CSP	Planning en rapportage van periodieke onafhankelijke beoordelingen
CLD_C.02.09	De CSP behoort zo nodig op basis van de rapportering corrigerende maatregelen te initiëren. Hiertoe worden geïdentificeerde kwetsbaarheden en afwijkingen onderworpen aan een risicobeoordeling en worden vervolgmaatregelen gedefinieerd en opgevolgd. Hiertoe wordt een op risico gebaseerd correctief actieplan gehanteerd, waarbij de herstelstatus beoordeeld kan worden en gerapporteerd wordt aan de relevante belanghebbenden.	Onpartijdige beoordeling CSP	Corrigerende maatregelen en opvolging op basis van auditbevindingen
CLD_C.03.01	De samenhang tussen de processen van de CSC en van de CSP in een afgestemde processtructuur wordt gecontroleerd op efficiëntie.	Beheerorganisatie CSC-CSP inzet clouddiensten	Inrichten compliance-proces voor governance van clouddienstverlening
CLD_C.03.02	De CSC en de CSP houden de taken en verantwoordelijkheden voor de uitvoering van de beheer(s)werkzaamheden bij en de bijbehorende bevoegdheden zijn actueel, zodat deze bijdragen aan de effectiviteit van de ketenafspraken.	Beheerorganisatie CSC-CSP inzet clouddiensten	Registreren reguliere rapportages in administratie
CLD_C.03.03	De belangrijkste functionarissen (aanspreekpunten) voor de beheerorganisatie in de keten CSC-CSP zijn actueel en de onderlinge relaties zijn met een organisatieschema inzichtelijk onderhouden.	Beheerorganisatie CSC-CSP inzet clouddiensten	Aansluiten compliance-proces op ISMS
CLD_C.03.04			Uit laten voeren onderzoek op inrichting en beheersing van clouddiensten
CLD_C.03.05	Bij de assessment wordt door de derde partij zowel de cloud-omgeving als de administratie betrokken.		Betrekken cloud-omgeving en administratie bij assessment
CLD_C.03.06	De Cloud Service Provider (CSP) zorgt ervoor dat de uitkomsten uit de jaarlijkse assurance- rapportage (Third Party Mededeling (TPM)), de uitkomsten van de periodieke servicerapportages en de uitkomsten uit de continue compliance op het cloud-beveiligingsbeleid op elkaar aansluiten.		Aansluiten uitkomsten uit diverse rapportages e.d.
CLD_C.04.01	Richtlijnen en afspraken voor het monitoren en rapporteren over informatiebeveiliging van de cloudomgeving zijn vastgesteld en worden toegepast conform U.11.	Controle op de afhandeling van beveiligingsgebeurtenissen	Beschikbaar stellen informatie over beheer van technische kwetsbaarheden
CLD_C.04.02	Het rapporteren over de informatiebeveiliging is gerelateerd aan: geformuleerde strategische- en bedrijfsdoelen; risico’s die het bereiken van de strategische doelen kunnen beïnvloeden; beveiligingsincidenten, zoals cybersecurity-aanvallen.	Controle op de afhandeling van beveiligingsgebeurtenissen	Definiëren en vaststellen rollen en verantwoordelijkheden
CLD_C.04.03	Het rapporteren vindt plaats op basis van: het verzamelen van informatie uit interne en externe bronnen; het inzicht door verzamelde informatie uit de combinatie van Key Performance Indicators (KPI’s) en Key Risk Indicators (KRI’s).	Controle op de afhandeling van beveiligingsgebeurtenissen	Installeren patches en treffen mitigerende maatregelen
CLD_C.04.04	Op vaste tijdstippen worden statistieken vastgesteld, gemonitord en gerapporteerd over de identificatie en het herstel van kwetsbaarheden.	Controle op de afhandeling van beveiligingsgebeurtenissen	Definiëren tijdspad waarbinnen gereageerd moet worden op aankondiging kwetsbaarheid
CLD_C.04.05	Informatiebeveiligingsrapportages worden in samenhang met rapportages uit andere beheerdisciplines (compliance en assurance-management en vulnerability-management) geanalyseerd.	Controle op de afhandeling van beveiligingsgebeurtenissen	Uitvoeren penetratietests op ICT-componenten
CLD_C.04.06	Aantoonbaar wordt opvolging gegeven aan verbetervoorstellen uit analyserapportages.	Controle op de afhandeling van beveiligingsgebeurtenissen	Verhelpen technische zwakheden door patchmanagement
CLD_C.04.07	De beveiligingsplannen van de CSC en de CSP worden periodiek geactualiseerd en toegewezen aan de hiervoor verantwoordelijke functionarissen.	Controle op de afhandeling van beveiligingsgebeurtenissen	Registreren en rapporteren evaluaties van technische kwetsbaarheden
CLD_C.04.08	Het beleid en de procedures voor het tijdige beheer van beveiligingsincidenten vaststellen, documenteren, goedkeuren, communiceren, toepassen, evalueren en onderhouden. Minstens jaarlijks worden het beleid en de procedures beoordeeld en geüpdatet.	Controle op de afhandeling van beveiligingsgebeurtenissen	Communiceren verbeteringsvoorstellen uit evaluatierapportages en communiceren met de verantwoordelijken
CLD_C.04.09	De processen, procedures en technische maatregelen ter ondersteuning van bedrijfsprocessen om informatiebeveiligingsgebeurtenissen te beoordelen zijn gedefinieerd, geïmplementeerd en geëvalueerd.	Controle op de afhandeling van beveiligingsgebeurtenissen	Inrichting en evaluatie van processen voor beoordeling van informatiebeveiligingsgebeurtenissen
CLD_C.05.01	Minimaal jaarlijks worden de contractuele vereisten en SLA’s gecontroleerd voor alle diensten die een CSP aan de CSC levert. Wanneer niet aan de contractuele vereisten en SLA’s wordt voldaan, wordt dit in samenspraak tussen de CSC en de CSP besproken en worden de problemen opgelost.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Vaststellen en toepassen richtlijnen en afspraken voor monitoren en rapporteren
CLD_C.05.02	De CSC evalueert het beleid en de procedures voor bedrijfscontinuïteitsbeheer (BCM) en operationele weerbaarheid. De evaluatie van het up-to-date houden van het beleid en de procedures gebeurt minstens jaarlijks.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Monitoren en rapporteren over informatiebeveiliging is gerelateerd doelen, risico en beveiligingsincidenten
CLD_C.05.03	Herstelprocedures worden door de CSP regelmatig getest, tenminste jaarlijks. Met de tests kan worden beoordeeld of zowel de contractuele afspraken met de CSC als de specificaties voor de maximaal toelaatbare downtime (Recovery Time Objective, RTO) en het maximaal toelaatbare dataverlies (Recovery Point Objective, RPO) worden nageleefd (zie U.21). Afwijkingen van de specificaties worden gemeld aan de CSC.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Monitoren informatiebeveiliging en rapportages op basis van verzamelde informatie en inzicht
CLD_C.05.04	Het beleid en de procedures voor cryptografie, encryptie en sleutelbeheer (zie U.10) worden minstens jaarlijks beoordeeld.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Analyseren informatiebeveiligingsrapportages in samenhang
CLD_C.05.05	Voer een audit uit van encryptie- en sleutelbeheersystemen, encryptiebeleid en bijbehorende processen met een frequentie die evenredig is aan de risicoblootstelling van het systeem, waarbij de audit bij voorkeur continu maar ten minste jaarlijks en na eventuele beveiligingsgebeurtenissen plaatsvindt.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Opvolgen verbeteringsvoorstellen uit analyse-rapportages
CLD_C.05.06	Registreer en bewaak belangrijke levenscyclusbeheergebeurtenissen om auditing en rapportage over het gebruik van cryptografische sleutels mogelijk te maken.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Actualiseren beveiligingsplannen en toewijzen aan verantwoordelijken
CLD_C.05.07	Door de CSC worden voor het veilig houden van de applicaties de effectiviteit van de basisvereisten gecontroleerd en de versies van de basisvereisten beheerd. Zo nodig worden de vereisten, de documentatie en de communicatie verbeterd.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Beheer en evaluatie van basisvereisten voor applicatiebeveiliging
CLD_C.05.08	De CSP bewaakt, versleutelt en beperkt de communicatie tussen segmenten/omgevingen tot alleen geverifieerde en geautoriseerde verbindingen. De CSP controleert deze configuraties ten minste jaarlijks en ondersteunt ze met een gedocumenteerde rechtvaardiging van alle toegestane services, protocollen, poorten en compenserende controles.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Beveiligde communicatie en netwerksegmentatie door de CSP
CLD_C.05.09	Als penetratietesten onderdeel zijn van de beveiligingstests, genoemd als onderdeel in de leveranciersovereenkomst, dan worden voor het periodiek uitvoeren van penetratietesten door onpartijdige derde partijen de processen, procedures en technische maatregelen gedefinieerd, geïmplementeerd en geëvalueerd.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Inrichting en uitvoering van penetratietesten
CLD_C.05.10	Het beleid, de procedures en de voorzieningen voor retourneren, verplaatsen en verwijderen van bedrijfsmiddelen, inclusief de daarvoor benodigde interoperabiliteit en portabiliteit worden, in lijn met U.02, minstens jaarlijks beoordeeld en geüpdatet.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Periodieke evaluatie van processen voor bedrijfsmiddelenbeheer
CLD_C.05.11	De CSC hanteert een informatiebeveiligingsprogramma met daarin de aandachtspunten voor de inzet van de clouddiensten. De afspraken in de leveranciersovereenkomst en de objecten in dit thema-document kan daarvoor input zijn.	Controle op de afspraken uit leveranciersovereenkomst en SLA	Informatiebeveiligingsprogramma voor cloudgebruik binnen de CSC
CLD_C.06.01	De samenhang van processen wordt in een processtructuur vastgelegd.	Beheerorganisatie clouddiensten	Vastleggen samenhang van processen in processtructuur
CLD_C.06.02	De Cloud Service Provider (CSP) heeft de taken en verantwoordelijkheden voor de uitvoering van de beheer(s)werkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix.	Beheerorganisatie clouddiensten	Beschrijven taken, verantwoordelijkheden en bevoegdheden voor uitvoeren beheer(s)werkzaamheden
CLD_C.06.03	De belangrijkste functionarissen (stakeholders) voor de beheersingsorganisatie zijn benoemd en de onderlinge relaties zijn met een organisatieschema inzichtelijk gemaakt.	Beheerorganisatie clouddiensten	Benoemen functionarissen voor beheersingsorganisatie en inzichtelijk maken onderlinge relaties
CLD_U.01.01	De CSC moet de rollen en verantwoordelijkheden op het gebied van de dienstverlening waaronder informatiebeveiliging met betrekking tot de clouddienst bevestigen, zoals beschreven in de serviceovereenkomst. Deze kunnen de volgende processen omvatten: malware bescherming; back-up; cryptografische controles; kwetsbaarheidsbeheer; probleembehandeling; technische nalevingscontrole; beveiligingstests; auditing; verzamelen, onderhouden en beschermen van bewijsmateriaal, inclusief logboeken en audittrails; bescherming van informatie bij beëindiging van de dienstverleningsovereenkomst; authenticatie en toegangscontrole; identiteits- en toegangsbeheer.	Leveranciersovereenkomsten	Maken transparante dienstverlening
CLD_U.01.02	De serviceovereenkomst tussen de CSC en de CSP bevat in ieder geval de volgende bepalingen en/of voorwaarden: de omvang, kenmerken en locatie van zakelijke relaties en aangeboden diensten; de informatiebeveiligingseisen; het verandermanagementproces; de mogelijkheid tot registratie en monitoring; de incidentbeheer- en communicatieprocedures; het recht op audit en beoordeling door derden; beëindiging van de dienst; vereisten voor interoperabiliteit en portabiliteit; de vereisten voor het waarborgen van de privacy van degene waarvan de gegevens worden verwerkt.	Leveranciersovereenkomsten	Treffen beveiligingsmaatregelen op basis van internationale standaarden
CLD_U.01.03	De CSP moet als onderdeel van een overeenkomst de relevante informatiebeveiligingsmaatregelen specificeren die de CSP zal implementeren om misverstanden tussen de CSP en de CSC te voorkomen.	Leveranciersovereenkomsten	Contractuele vastlegging van informatiebeveiligingsmaatregelen door de CSP
CLD_U.01.04	De relevante informatiebeveiligingsmaatregelen die de CSP zal implementeren, kunnen variëren afhankelijk van het type clouddienst dat de CSC gebruikt.	Leveranciersovereenkomsten	Leveranciersovereenkomsten
CLD_U.01.05	Als een CSP clouddiensten van collega-CSP’s gebruikt, moet de CSP ervoor zorgen dat de informatiebeveiligingsniveaus voor zijn eigen CSC’s worden gehandhaafd of overschreden.	Leveranciersovereenkomsten	Borging van informatiebeveiliging bij inzet van sub-CSP’s
CLD_U.01.06	Wanneer de CSP clouddiensten levert op basis van een toeleveringsketen, moet de CSP informatiebeveiligingsdoelstellingen aan leveranciers verstrekken en elk van de leveranciers verzoeken risicobeheeractiviteiten uit te voeren om de doelstellingen te bereiken en geeft de CSC gedetailleerde informatie over het toepassen van de informatiebeveiligingsdoelstellingen en het periodiek uitvoeren van beveiligingsbeoordelingen in de hele toeleveringsketen.	Leveranciersovereenkomsten	Beheer van informatiebeveiliging binnen de toeleveringsketen
CLD_U.01.07	De CSP geeft de CSC duidelijkheid over hoe derde partijen wier diensten bijdragen aan het aanbieden van de clouddienst, met daarin: hoe de risico’s die voortvloeien uit de inkoop van diensten van derden zijn beperkt; duidelijkheid dat hier sprake is van een subverwerker in het kader van de AVG; duidelijkheid over het gebruik van erkende industriestandaards; duidelijkheid over toepasselijke wettelijke en regelgevende vereisten; eisen aan het omgaan met kwetsbaarheden, beveiligingsincidenten en storingen. Met daarbij de: specificaties voor de contractuele overeenstemming van deze eisen; specificaties voor het monitoren van deze eisen; en specificaties om deze eisen ook toe te passen op door de derde partijen gebruikte dienstverleners, voor zover de door deze dienstverleners geleverde diensten ook bijdragen aan het aanbieden van de clouddienst.	Leveranciersovereenkomsten	Transparantie en beheersing van risico’s bij inzet van derde partijen
CLD_U.02.01	Een exitstrategie borgt de continuïteit van bedrijfsprocessen en het opruimen van data bij beëindiging van de dienstverlening. De borging gaat zowel via maatregelen voor de eigen organisatie, waaronder budget, als via contractuele afspraken met de leverancier. Onderdelen in de exitstrategie zijn: voorwaarden aan de CSP (en toeleveranciers) met aandacht voor dataportabiliteit, serviceportabiliteit en datavernietiging inclusief de processen en voorzieningen die daarvoor nodig zijn; een alternatieve CSP of interne landingsplaats; een strategie, voorwaarden en budget, voor direct vertrek in verband met een crisis of plotselinge (geopolitieke) ontwikkelingen; een strategie en budget bij de reguliere afloop van de overeenkomst.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Op waarde schatten en beschrijven van risico’s rond middelen vallend binnen clouddienstenscope
CLD_U.02.02	Er is een exitstrategie opgenomen in de overeenkomst met de CSP. Hierin staat hoe, bij beëindiging van de overeenkomst, data worden overgedragen en hoe wordt geregeld dat de verzameling data bij de leverancier vernietigd wordt.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Evalueren risico’s op basis van risico-acceptatiecriteria
CLD_U.02.03	In de overeenkomst met de CSP wordt met betrekking tot de exitstrategie de volgende aspecten vastgelegd, voor zover deze van toepassing zijn op de clouddienst: soort, omvang en formaat van de gegevens die de CSP aan de CSC verstrekt; definitie van het tijdsbestek waarbinnen de CSP de gegevens aan de CSC ter beschikking stelt; definitie van het tijdstip vanaf welk de CSP de gegevens ontoegankelijk maakt voor de CSC en deze verwijdert; de verantwoordelijkheden en verplichtingen van de CSC’s om mee te werken aan het verstrekken van de gegevens. De definities zijn gebaseerd op de behoeften van materiedeskundigen van de CSC, zodat de CSC de geschiktheid van de clouddienst kan beoordelen met betrekking tot de afhankelijkheid van de CSP en de wettelijke en regelgevende vereisten.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Contractuele borging van exitstrategie en gegevensoverdracht
CLD_U.02.04	De CSP behoort alle bedrijfsmiddelen van de CSC die ze in hun bezit hebben bij beëindiging van hun dienstverband, contract of overeenkomst te retourneren.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Retournering van CSC-bedrijfsmiddelen bij beëindiging
CLD_U.02.05	De CSP hanteert voor het verhuis- of overdrachtsverzoek van bedrijfsmiddelen van de CSC, een schriftelijke of cryptografisch verifieerbare autorisatie.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Geautoriseerde overdracht van CSC-bedrijfsmiddelen
CLD_U.02.06	De CSP moet informatie verstrekken over de regelingen voor de tijdige teruggave en verwijdering van eventuele bedrijfsmiddelen van CSC bij beëindiging van de overeenkomst. De beschrijving moet alle bedrijfsmiddelen vermelden en het schema voor de beëindiging van de overeenkomst documenteren.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Transparantie over teruggave en verwijdering van bedrijfsmiddelen
CLD_U.02.07	De regelingen voor het retourneren en verwijderen van bedrijfsmiddelen moeten in de overeenkomst worden gedocumenteerd en moeten tijdig worden uitgevoerd. In de regelingen moet worden gespecificeerd welke bedrijfsmiddelen moeten worden teruggegeven en verwijderd.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Contractuele vastlegging van retournering en verwijdering van bedrijfsmiddelen
CLD_U.02.08	De CSC moet bevestiging vragen dat de CSP beschikt over het beleid en de procedures voor het veilig verwijderen of hergebruiken van hulpbronnen.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Verificatie van beleid voor veilige verwijdering van hulpbronnen
CLD_U.02.09	De CSP moet ervoor zorgen dat er tijdig regelingen worden getroffen voor de veilige verwijdering of hergebruik van hulpbronnen (bijvoorbeeld apparatuur, gegevensopslag, bestanden, geheugen).	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Tijdige en veilige verwijdering of hergebruik van hulpbronnen
CLD_U.02.10	De CSP moet waarborgen dat gevoelige gegevens en gelicentieerde software zijn verwijderd of veilig zijn overschreven voordat de opslagruimte wordt verwijderd of hergebruikt. De verwijdering omvat gegevens van en over de CSC, inclusief metadata en gegevens die zijn opgeslagen in de back-ups van gegevens. Hiertoe worden door de industrie geaccepteerde methoden toegepast. De verwijdering voorkomt herstel met forensische middelen.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Veilige en onherstelbare verwijdering van gevoelige gegevens
CLD_U.02.11	De overeenkomst tussen CSC en CSP bevat bepalingen die de toegang van de CSC tot gegevens specificeert bij beëindiging van het contract, met daarin: het gegevensformaat; hoelang de gegevens worden bewaard; de omvang van de gegevens die worden bewaard en ter beschikking worden gesteld aan de CSC; het beleid voor het verwijderen van gegevens.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Toegang tot en beheer van gegevens bij contractbeëindiging
CLD_U.02.12	Om interoperabiliteit en portabiliteit mogelijk te maken, biedt de CSP applicatie-interface(s) aan, zodat CSC hun gegevens geautomatiseerd kan verplaatsen of verwijderen en biedt hiervoor cryptografisch veilige en gestandaardiseerde netwerkprotocollen.	Retourneren Verplaatsen en verwijderen van bedrijfsmiddelen (ISOR:Risico-assessment)	Ondersteuning van dataportabiliteit en interoperabiliteit door de CSP
CLD_U.02.12	Om interoperabiliteit en portabiliteit mogelijk te maken, biedt de CSP applicatie-interface(s) aan, zodat CSC hun gegevens geautomatiseerd kan verplaatsen of verwijderen en biedt hiervoor cryptografisch veilige en gestandaardiseerde netwerkprotocollen.	Retourneren, verplaatsen en verwijderen van bedrijfsmiddelen	Ondersteuning van dataportabiliteit en interoperabiliteit via veilige API’s
CLD_U.03.01	Door de CSC en de CSP worden de basisvereisten voor het beveiligen van applicaties toegepast en up-to-date gehouden.	Veilige software	Waarborgen continuïteit door voldoende logische of fysieke meervoudig uitgevoerde systeemfuncties
CLD_U.03.02	De CSC vraagt bij de CSP informatie op over de door de CSP gebruikte informatiebeveiligingsmaatregelen binnen de ontwikkelingscyclus, ook wanneer (een deel van) de ontwikkeling bij een toeleverancier plaatsvindt. Deze informatie moet informatief zijn, zonder informatie vrij te geven die nuttig kan zijn voor iemand met kwade bedoelingen.	Veilige software	Waarborgen van continuïteitseisen door specifieke in systeemarchitectuur beschreven maatregelen
CLD_U.03.03	De CSP waarborgt dat nieuwe informatiesystemen/software, upgrades en nieuwe versies veilig zijn door deze te testen op de vereisten voor het beveiligen van applicaties en ze tijdig te implementeren. De CSP doet dit door daar waar mogelijk te voldoen aan de principes van continuous delivery.	Veilige software	Veilige ontwikkeling en implementatie van software binnen de clouddienst
CLD_U.03.04	De CSP voorziet de componenten/software binnen de clouddienst van malwarebescherming. Als er beveiligingsprogramma’s zijn opgezet met handtekening en gedrag gebaseerde detectie en verwijdering van malware, worden deze beveiligingsprogramma’s minimaal dagelijks bijgewerkt.	Veilige software	Malwarebescherming en actuele beveiligingsmaatregelen binnen de clouddienst
CLD_U.04.01	De CSP houdt in het wijzigingsbeheerproces rekening met het bestaan van wijzigingen die een negatief effect kunnen hebben op de CSC.	Wijzigingsbeheer	Herstellen data en clouddiensten bij calamiteiten en beschikbaar stellen
CLD_U.04.02	De CSP verstrekt de CSC informatie over wijzigingen aan de clouddienst die een negatief effect kunnen hebben op de clouddienst. Het volgende helpt de CSC bij het bepalen welk effect de wijzigingen kunnen hebben op de informatiebeveiliging: categorieën van de wijzigingen; geplande datum en tijd van de wijzigingen; technische beschrijving van de wijzigingen aan de clouddienst en onderliggende systemen; melding van de start en voltooiing van de wijzigingen.	Wijzigingsbeheer	Monitoren proces van herstelbaar beveiligen van data
CLD_U.04.03	Wanneer een CSP een clouddienst aanbiedt die afhankelijk is van een keten-CSP, kan het nodig zijn dat de CSP de CSC op de hoogte stelt van wijzigingen die door de keten-CSP worden veroorzaakt.	Wijzigingsbeheer	Testen functioneren van herstelfuncties en resultaten daarvan delen
CLD_U.05.01	De CSC moet beschikken over een procedure voor het identificeren van cloudspecifieke licentievereisten voordat wordt toegestaan dat gelicentieerde software in een clouddienst wordt geïnstalleerd.	Intellectuele eigendomsrechten	‘State of the art’ beveiligen gegevenstransport met cryptografie, met zelf uitgevoerd sleutelbeheer
CLD_U.05.02	De CSP informeert de CSC over het clouddienstspecifieke deploymentmodel, zodat duidelijk is wat de impact van de elasticiteit en schaalbaarheid is, waarbij de software op meer systemen of processorkernen kan gaan draaien dan is toegestaan door de licentievoorwaarden.	Intellectuele eigendomsrechten	‘State of the art’ binnen clouddienst opgeslagen gegevens beveiligen met encryptie
CLD_U.05.03	De CSP moet een proces opzetten voor het reageren op klachten over intellectuele eigendomsrechten.	Intellectuele eigendomsrechten	Afhandeling van klachten over intellectuele eigendomsrechten door de CSP
CLD_U.06.01	De CSC moet informatie opvragen over de kloksynchronisatie die wordt gebruikt voor de systemen van de CSP.	Kloksynchronisatie	Vastleggen gegarandeerde overeengekomen opslagduur en voldoen aan Archiefwet
CLD_U.06.02	De CSP moet informatie verstrekken aan de CSC over de klok die wordt gebruikt door de systemen van de CSP, en informatie over hoe de CSC lokale klokken kan synchroniseren met de klok van de clouddienst.	Kloksynchronisatie	Raadplegen gegevens, onafhankelijk van technologie gedurende bewaartermijn
CLD_U.06.03	Gegevens worden zo mogelijk gearchiveerd met Write Once Read Many (WORM)-technologie, waarmee de integriteit van de data wordt gegarandeerd.		Archiveren gegevens met behulp van WORM-technologie
CLD_U.06.04	Voorafgaand aan het voor onderhoudsdoeleinden wijzigen van opslagmedia, wordt de data van de Cloud Service Consumer (CSC), inclusief de back-up van gegevens en metadata veilig gewist of vernietigd.		Wissen of vernietigen CSC-data voorafgaand aan voor onderhoudsdoeleinden wijzigen van opslagmedia
CLD_U.06.05	verwijderd		Wissen CSC-data bij beëindigen van contractrelatie
CLD_U.07.01	De inventaris van de bedrijfsmiddelen, inclusief de informatie van de CSC, moet rekening houden met hetgeen is opgeslagen in de cloudcomputing-omgeving.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Permanente isolatie van gegevens binnen een multi-tenant architectuur
CLD_U.07.02	De registraties van de inventaris moeten aangeven waar de bedrijfsmiddelen, inclusief de informatie van de CSC, worden bewaard, bijvoorbeeld door de identificatie van de clouddienst.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Garanderen isolatie van CSC-gegevens door logische scheiding van andere CSC’s-data
CLD_U.07.03	De inventaris van bedrijfsmiddelen van de CSP moet expliciet het volgende identificeren: CSC-gegevens; van clouddiensten afgeleide gegevens.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Verlenen bevoegdheden voor inzien of wijzigen en/of encryptiesleutels plus loggen rechtengebruik
CLD_U.07.04	De classificatie en labeling weerspiegelt de beschermingsbehoeften van de informatie die het verwerkt, opslaat of verzendt.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Classificatie en labeling afgestemd op beschermingsbehoeften van informatie
CLD_U.07.05	De classificatie wordt volgens een uniform schema bepaald. Het schema biedt beschermingsniveaus voor de doelstellingen voor de bescherming van vertrouwelijkheid, integriteit, beschikbaarheid en authenticiteit.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Uniform classificatieschema voor informatiebeveiliging
CLD_U.07.06	De leveranciersovereenkomst beschrijft de mapping tussen de classificaties van de CSP en de CSC, zodat de CSC kan nagaan of de genomen maatregelen de beschermingsbehoeften van de CSC weerspiegelt.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Afstemming van classificaties tussen CSP en CSC
CLD_U.07.07	De CSP registreert bedrijfsmiddelen met de informatie die nodig is voor het kunnen beheren van informatiebeveiligingsrisico’s, inclusief de maatregelen die zijn genomen om deze risico’s gedurende de gehele levenscyclus te beheersen. Wijzigingen in deze informatie worden geregistreerd.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Registratie en beheer van bedrijfsmiddelen en beveiligingsmaatregelen
CLD_U.07.08	De CSC labelt informatie en bijbehorende bedrijfsmiddelen die in de cloudcomputing-omgeving worden bewaard. Dit in overeenstemming met de door de CSC vastgestelde procedures voor labeling, zodat labeling het automatiseren van het beheer van de informatieverwerking mogelijk maakt.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Labeling van informatie door de CSC binnen de cloudomgeving
CLD_U.07.09	De CSP documenteert alle servicefunctionaliteiten en maakt deze openbaar, zodat de CSC’s hun informatie en bijbehorende bedrijfsmiddelen kunnen classificeren en labelen.	Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen	Transparantie van servicefunctionaliteiten ter ondersteuning van classificatie en labeling
CLD_U.08.01	Om de toegang tot clouddiensten door gebruikers van clouddiensten van een CSC te beheren, moet de CSP gebruikersregistratie- en uitschrijvingsfuncties en specificaties voor het gebruik van deze functies aan de CSC verstrekken.	Identiteits en toegangsmanagement	Realiseren diverse scheidingen van clouddienstverlening
CLD_U.08.02	De CSC moet verifiëren dat de beheersprocedure van de CSP voor het toekennen van geheime authenticatie-informatie, zoals wachtwoorden, voldoet aan de eisen van de CSC.	Identiteits en toegangsmanagement	Verificatie van beheerprocedures voor geheime authenticatie-informatie
CLD_U.08.03	De CSP moet informatie verstrekken over procedures voor het beheer van de geheime authenticatie-informatie van de CSC, inclusief de procedures voor het toewijzen van dergelijke informatie en voor gebruikersauthenticatie.	Identiteits en toegangsmanagement	Transparantie over beheer van authenticatie-informatie en gebruikersauthenticatie
CLD_U.08.04	De CSP moet functies bieden voor het beheer van de toegangsrechten van de gebruikers van de clouddiensten van de CSC, en specificaties voor het gebruik van deze functies.	Identiteits en toegangsmanagement	Beheer van toegangsrechten binnen clouddiensten
CLD_U.08.05	De CSC geeft duidelijkheid over een al dan niet vereiste integratie en in gebruik zijnde, dan wel geplande, voorziening voor identiteits- en toegangsbeheertechnologie.	Identiteits en toegangsmanagement	Afstemming over inzet van identiteits- en toegangsbeheer door de CSC
CLD_U.08.06	Wanneer de CSC al een voorziening voor identiteits- en toegangsbeheertechnologie, al dan niet bij een andere CSP, inzet, moet de CSP voor zijn clouddiensten en de bijbehorende beheerinterfaces een eenvoudige integratie en eenvoudig beheer van de gebruikersidentiteiten tussen de systemen van de CSC en de clouddienst mogelijk maken en zodoende het gebruik van meerdere clouddiensten voor de CSC te vergemakkelijken, inclusief SSO.	Identiteits en toegangsmanagement	Integratie en interoperabiliteit van identiteits- en toegangsbeheer (incl. SSO)
CLD_U.09.01	De CSC zorgt ervoor dat de toegang tot informatie in de clouddienst wordt beperkt in overeenstemming met zijn toegangscontrolebeleid en dat dergelijke beperkingen worden gerealiseerd. Dit omvat het beperken van de toegang tot clouddiensten, clouddienstfuncties en CSC-gegevens die in de service worden bewaard.	Beperking toegang tot informatie en speciale toegangsrechten	Specificeren welke maatregelen op welke positie in informatieketen moeten worden genomen
CLD_U.09.02	De CSP moet toegangscontroles bieden waarmee de CSC de toegang tot zijn clouddiensten, zijn clouddienstfuncties en de CSC-gegevens die in de dienst worden bewaard, kan beperken.	Beperking toegang tot informatie en speciale toegangsrechten	Uitrusten voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeter
CLD_U.09.03	De CSP zorgt ervoor dat het rol-gebaseerd uitgeven van toegangsrechten mogelijk is, zodat functiescheiding plaatsvindt, inclusief de scheiding tussen operationele en toezichthoudende functies.	Beperking toegang tot informatie en speciale toegangsrechten	Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie
CLD_U.09.04	De CSP zorgt ervoor dat het verlenen en wijzigen van gebruikersaccounts en toegangsrechten op basis van het least privilege-principe mogelijk is, zodat gebruikers precies genoeg toegangsrechten krijgen om hun werk te doen.	Beperking toegang tot informatie en speciale toegangsrechten	Toegangsbeheer op basis van het least privilege-principe
CLD_U.09.05	De CSP informeert de CSC, wanneer interne of externe medewerkers van de CSP de gegevens van de CSC lezen of schrijven die in de clouddienst zijn verwerkt, opgeslagen of verzonden of er toegang toe hebben gehad zonder voorafgaande toestemming van de CSC. De informatie wordt verstrekt telkens wanneer de gegevens van de CSC niet zijn gecodeerd, de encryptie is/was uitgeschakeld voor toegang of de contractuele overeenkomsten dergelijke informatie niet expliciet uitsluiten. De informatie bevat de oorzaak, het tijdstip, de duur, het type en de omvang van de toegang. De informatie is voldoende gedetailleerd om materiedeskundigen van de CSC in staat te stellen de risico's van de toegang te beoordelen. De informatie wordt verstrekt conform de contractuele afspraken, dan wel binnen 72 uur na toegang.	Beperking toegang tot informatie en speciale toegangsrechten	Meldplicht en transparantie bij ongeautoriseerde toegang tot CSC-gegevens
CLD_U.09.06	De CSC gebruikt voldoende authenticatietechnieken (bijvoorbeeld meervoudige authenticatie) om de beheerders van clouddiensten van de CSC te authenticeren voor de administratieve mogelijkheden van een clouddienst in overeenstemming met de geïdentificeerde risico’s.	Beperking toegang tot informatie en speciale toegangsrechten	Sterke authenticatie voor beheerders door de CSC
CLD_U.09.07	De CSP gebruikt afdoende authenticatietechnieken, zoals tweefactor- of multifactorauthenticatie, om de beheerders van clouddiensten van de CSC te authenticeren voor de voorzieningen voor het beheer van een clouddienst in overeenstemming met de geïdentificeerde risico’s.	Beperking toegang tot informatie en speciale toegangsrechten	Sterke authenticatie voor beheeractiviteiten door de CSP
CLD_U.09.08	Speciale toegangsrechten zijn gepersonaliseerd, beperkt in de tijd op basis van een risicobeoordeling en toegewezen indien nodig voor de uitvoering van taken (need-to-know-principe).	Beperking toegang tot informatie en speciale toegangsrechten	Toekenning van speciale toegangsrechten volgens need-to-know en risicobeoordeling
CLD_U.09.09	Het gebruik van speciale toegangsrechten wordt gelogd om eventueel misbruik van bevoorrechte toegang in verdachte gevallen op te sporen.	Beperking toegang tot informatie en speciale toegangsrechten	Beheer van speciale toegangsrechten volgens need-to-know-principe
CLD_U.09.10	Informatie van het loggen van gebeurtenissen van de gebruikers van de CSC en de toegang tot metadata betreffende de gegevens van de CSC is door de CSP beperkt door: het beperken van bewaarperiode; het verwijderen van de gegevens, wanneer verdere bewaring niet langer nodig is voor het doel van de verzameling.	Beperking toegang tot informatie en speciale toegangsrechten	Logging en beheersing van gebruik van speciale toegangsrechten
CLD_U.10.01	De CSC behoort cryptografie te implementeren voor de gebruikte clouddiensten, tenzij anders blijkt uit een risicoanalyse. Cryptografie moet de geïdentificeerde risico’s afdoende te beperken, ongeacht of deze cryptografische oplossing door de CSC of door de CSP wordt geleverd.	Gebruik van cryptografie	Bieden toegang tot bevoegde services, IT-diensten en data
CLD_U.10.02	Wanneer de CSP cryptografie aanbiedt, moet de CSC alle door de CSP verstrekte informatie beoordelen om te bevestigen of de cryptografische mogelijkheden: voldoen aan de beleidsvereisten van de CSC; compatibel zijn met elke andere cryptografische bescherming die door de CSC wordt gebruikt; van toepassing zijn op gegevens in rust en in beweging naar, van en binnen de clouddienst.	Gebruik van cryptografie	Verlenen toegang aan beheerders
CLD_U.10.03	De CSP moet de CSC informatie verstrekken waar cryptografie wordt gebruikt, zodat de CSC kan bepalen of de informatie afdoende is beschermd. Daar waar gegevens van CSC’s via openbare netwerken worden overgedragen, geeft de CSP aan op welke wijze sterke encryptie en authenticatie de informatie afdoende beschermd. De informatie moet duidelijkheid geven omtrent: het gebruik van sterke encryptieprocedures en veilige netwerkprotocollen overeenkomt met de vastgestelde normenkaders; het gebruik van encryptie aansluit bij de dataclassificatieschema’s en rekening houdt met het communicatiekanaal, het type, de sterkte en de kwaliteit van de encryptie; het roteren van de cryptografische sleutels in overeenstemming is met de berekende cryptoperiode; het deactiveren van de cryptografische sleutels op het moment van hun vervaldatum of wanneer de entiteit niet langer is gegarandeerd; voldaan wordt aan de eisen voor het veilig genereren, opslaan, archiveren, opvragen, distribueren, intrekken en verwijderen van de sleutels; voldaan wordt aan de van toepassing zijnde juridische, regelgevende, zelfopgelegde of contractuele vereisten voor informatiebeveiliging voor zowel CSC als CSP.	Gebruik van cryptografie	Krijgen toegang tot IT-diensten en data
CLD_U.10.04	De CSP moet de CSC ook informatie verstrekken over alle mogelijkheden die hij biedt die de CSC kan helpen bij het toepassen van zijn eigen cryptografische bescherming.	Gebruik van cryptografie	Toekennen bevoegdheden voor gebruikers via formele procedures
CLD_U.10.05	De CSP biedt de CSC de mogelijkheid om eigen cryptografische sleutels te gebruiken en te beheren.	Gebruik van cryptografie	Beperken toegang tot IT-diensten en data door technische maatregelen en implementeren
CLD_U.10.06	De CSC moet de cryptografische sleutels voor elke clouddienst identificeren en procedures voor sleutelbeheer implementeren.	Gebruik van cryptografie	Toepassing van cryptografische standaarden en richtlijnen
CLD_U.10.07	Cryptografische toepassingen voldoen aan passende standaarden van het Forum Standaardisatie. De sterkte van de cryptografie wordt gebaseerd op de actuele adviezen van het NCSC en de Unit Weerbaarheid van de AIVD.	Gebruik van cryptografie	Inzicht in sleutelbeheerprocedures bij gebruik van CSP-functionaliteit
CLD_U.10.09	De CSC mag de CSP niet toestaan de encryptiesleutels voor cryptografische operaties op te slaan en te beheren wanneer de CSC gebruik maakt van zijn eigen sleutelbeheer of van een afzonderlijke en aparte sleutelbeheerdienst.	Gebruik van cryptografie	Scheiding van sleutelbeheer tussen CSC en CSP
CLD_U.10.10	De privésleutels die voor de versleuteling worden gebruikt, zijn alleen bekend bij de CSC, in overeenstemming met de toepasselijke wettelijke en regelgevende verplichtingen en vereisten. Uitzonderingen volgen een gespecificeerde procedure. De procedures voor het gebruik van private sleutels, inclusief eventuele uitzonderingen, moeten contractueel worden overeengekomen tussen CSC en CSP.	Gebruik van cryptografie	Exclusieve controle en contractuele borging van privésleutels door de CSC
CLD_U.11.01	De CSC moet zijn vereisten voor het registreren van gebeurtenissen definiëren en verifiëren dat de clouddienst aan deze vereisten voldoet.	Logging en monitoring	Uitwerken cryptografiebeleid
CLD_U.11.02	De CSC moet informatie opvragen bij de CSP over de monitoringmogelijkheden die voor elke clouddienst beschikbaar zijn.	Logging en monitoring	Hanteren PKI-overheidseisen en ISO 11770 voor sleutelbeheer
CLD_U.11.03	De CSP heeft applicaties en infrastructuren zodanig geïmplementeerd en geconfigureerd dat gebruikerstoegang van de CSP en de CSC en intra-tenanttoegang worden gemonitord.	Logging en monitoring	Versleutelen gevoelige data en private-sleutelgebruik baseren op gecontroleerde overeengekomen procedure
CLD_U.11.04	De CSC moet bepalen of de door de CSP geleverde logmogelijkheden geschikt zijn en of dat de CSC aanvullende logmogelijkheden moet kunnen hebben.	Logging en monitoring	Beoordeling van logmogelijkheden door de CSC
CLD_U.11.05	De CSP moet mogelijkheden bieden waarmee de CSC specifieke, voor de CSC relevante, aspecten van de werking van de clouddiensten kan monitoren. Bijvoorbeeld om te monitoren en te detecteren of de clouddienst wordt gebruikt als platform om anderen aan te vallen, of dat er gevoelige gegevens uit de clouddienst lekken.	Logging en monitoring	Monitoringmogelijkheden voor beveiliging en gebruik van clouddiensten
CLD_U.11.06	De CSC moet informatie opvragen over de kloksynchronisatie die wordt gebruikt voor de systemen van de CSP.	Logging en monitoring	Inzicht in kloksynchronisatie van CSP-systemen
CLD_U.11.07	De CSP moet informatie verstrekken aan de CSC over de klok die wordt gebruikt door de systemen van de CSP, en informatie over hoe de CSC lokale klokken kan synchroniseren met de klok van de clouddienst.	Logging en monitoring	Afstemming en synchronisatie van klokken tussen CSC en CSP
CLD_U.11.08	Als de CSC bewerking op de log mag uitvoeren, moeten die bewerkingen worden geregistreerd.	Logging en monitoring	Logging van bewerkingen op loggegevens
CLD_U.11.09	Het gebruik van de monitoringmogelijkheden is voorzien van passende toegangscontroles. De mogelijkheden bieden alleen toegang tot informatie over de eigen clouddienst van de CSC.	Logging en monitoring	Toegangsbeheer voor monitoringfunctionaliteiten
CLD_U.11.10	De CSP moet de CSC documentatie verstrekken over de mogelijkheden voor servicemonitoring. Monitoring moet gegevens opleveren die consistent zijn met de gebeurtenislogboeken en helpen bij de SLA-voorwaarden.	Logging en monitoring	Documentatie en ondersteuning van servicemonitoring door de CSP
CLD_U.12.01	Wanneer de clouddienst multi-tenancy omvat, moet de CSP aangeven in welke mate wordt voldaan aan de veilige multi-tenancy en gerelateerde richtlijnen voor een veilige opslag van gegevens, zoals beschreven in ISO/IEC 27040.	Toegangsbeveiliging in een multi-tenant-omgeving	Treffen maatregelen in koppelpunten met externe of onvertrouwde zones
CLD_U.12.02	De CSP moet rekening houden met de risico’s die gepaard gaan met het draaien van door CSC geleverde software binnen de door de CSP aangeboden clouddiensten.	Toegangsbeveiliging in een multi-tenant-omgeving	Ontwerpen en configureren netwerkcomponenten om netwerkconnecties te beperken en te monitoren
CLD_U.12.03	De CSP moet passende logische scheiding van CSC-gegevens, (gevirtualiseerde) applicaties, besturingssystemen, opslag en netwerken afdwingen voor: de scheiding van middelen en gegevens die worden gebruikt door de CSC in een omgeving met meerdere tenants; de scheiding tussen de beheervoorzieningen van de CSP en de middelen die door de CSC worden gebruikt.	Toegangsbeveiliging in een multi-tenant-omgeving	Scheiden CSP-beheeractiviteiten en CSC-data
CLD_U.12.04	Wanneer de clouddienst multi-tenancy omvat, moet de CSP informatiebeveiligingscontroles implementeren om te zorgen voor een passende isolatie van bronnen die door verschillende tenants worden gebruikt.	Toegangsbeveiliging in een multi-tenant-omgeving	Scheiden dataverkeer in gezamenlijk gebruikte netwerkomgevingen
CLD_U.12.05	De CSP zorgt voor de hardening van de virtuele machines in de multi-tenant-omgeving, om aan de beveiligingsvereisten van de CSC te voldoen.	Toegangsbeveiliging in een multi-tenant-omgeving	Bewaken en analyseren dataverkeer op kwaadaardige elementen
CLD_U.12.06	De Cloud Service Provider (CSP) heeft Intrusion Detection Prevention (IDP) en Intrusion Detection System (IDS) geïntegreerd in een allesomvattend Security Information and Event Management (SIEM), zodat beveiligingsgebeurtenissen en onbekende apparatuur vanuit de benodigde technische maatregelen worden opgemerkt en correctieve maatregelen kunnen worden genomen.		Integreren Intrusion Detection Prevention en Intrusion Detection System in SIEM
CLD_U.12.07	Bij ontdekte nieuwe dreigingen worden deze, rekening houdend met geldende juridische kaders, verplicht gedeeld binnen de overheid, waaronder met het Nationaal Cyber Security Centrum (NCSC) (alleen voor rijksoverheidsorganisaties) of de sectorale Computer Emergency Response Team (CERT), bij voorkeur door geautomatiseerde mechanismen (threat intelligence sharing).		Delen nieuwe dreigingen binnen overheid
CLD_U.13.01	De CSC stelt eisen aan het scheiden van netwerken in de door met meerdere tenants gedeelde cloudomgeving om isolatie van een aangeboden clouddienst te bereiken. De CSC verifieert dat de CSP aan deze vereisten voldoet.	Netwerksegmentatie en koppelvlakken	Functioneren orkestratietechnologie met heterogene systemen en mogelijk wereldwijde cloud-implementatie
CLD_U.13.02	De CSP moet scheiding van netwerktoegang afdwingen in de volgende gevallen: segregatie tussen tenants in een omgeving met meerdere tenants; scheiding tussen de interne beheeromgeving van de CSP en de cloudomgeving van de CSC.	Netwerksegmentatie en koppelvlakken	Beschrijven functionele samenhang van service-componenten
CLD_U.13.03	De CSP heeft specifieke beveiligingseisen ontworpen, gepubliceerd en voorzien voor het tot stand brengen van verbindingen binnen het netwerk van de CSP. De beveiligingseisen definiëren voor het verantwoordelijkheidsgebied van de CSP: in welke gevallen de beveiligingszones gescheiden moeten worden en in welke gevallen CSC’s logisch dan wel fysiek gescheiden moeten worden; welke communicatierelaties en welke netwerk- en applicatieprotocollen per geval zijn toegestaan; hoe het dataverkeer voor beheer en monitoring van elk netwerkniveau wordt gescheiden; welke interne, locatieoverschrijdende communicatie is toegestaan, en; welke netwerkoverschrijdende communicatie is toegestaan.	Netwerksegmentatie en koppelvlakken	Zorgen voor benodigde informatie voor orkestratie van cloudservices
CLD_U.13.04	Waar nodig moet de CSP de CSC helpen bij het verifiëren van de door de CSP geïmplementeerde segregatie.	Netwerksegmentatie en koppelvlakken	Verificatie van segregatie door de CSP met ondersteuning aan de CSC
CLD_U.13.05	Bij de configuratie van virtuele netwerken moet er sprake zijn van consistentie van configuraties tussen virtuele en fysieke netwerken geverifieerd op basis van het netwerkbeveiligingsbeleid van de CSP.	Netwerksegmentatie en koppelvlakken	Consistente configuratie van virtuele en fysieke netwerken
CLD_U.13.06	De CSP definieert en documenteert informatiebeveiligingsbeleid voor de configuratie van het virtuele netwerk. Dit beleid is consistent met het beveiligingsbeleid voor het fysieke netwerk.	Netwerksegmentatie en koppelvlakken	Beleid voor beveiligde configuratie van virtuele netwerken
CLD_U.13.07	De CSP moet ervoor zorgen dat de virtuele netwerkconfiguratie overeenkomt met het informatiebeveiligingsbeleid, ongeacht de middelen die worden gebruikt om de configuratie te creëren.	Netwerksegmentatie en koppelvlakken	Naleving van beveiligingsbeleid binnen netwerkconfiguraties
CLD_U.13.08	De CSP scheidt het dataverkeer van CSC’s op netwerkniveau, zodat de vertrouwelijkheid en integriteit van de verzonden gegevens is gegarandeerd.	Netwerksegmentatie en koppelvlakken	Netwerksegmentatie ter bescherming van CSC-dataverkeer
CLD_U.13.09	De CSP bewaakt, versleutelt en beperkt de communicatie tussen segmenten/omgevingen tot alleen geverifieerde en geautoriseerde verbindingen. Controleer deze configuraties ten minste jaarlijks en ondersteun deze met een gedocumenteerde rechtvaardiging van alle toegestane services, protocollen, poorten en compenserende controles.	Netwerksegmentatie en koppelvlakken	Beveiligde en gecontroleerde communicatie tussen netwerksegmenten
CLD_U.13.10	Door de CSP zijn op de koppelpunten met externe of onvertrouwde zones maatregelen getroffen om mogelijke aanvallen die de beschikbaarheid van de informatievoorziening negatief beïnvloeden (bijvoorbeeld Distributed Denial of Service attacks (DDos)-aanvallen) te signaleren en hierop te reageren, zodat (tegen)maatregelen met betrekking tot correlerende gebeurtenissen kunnen worden geïnitieerd.	Netwerksegmentatie en koppelvlakken	Detectie en mitigatie van aanvallen op netwerkkoppelpunten
CLD_U.13.11	Het dataverkeer dat de CSP binnenkomt of uitgaat, wordt in relatie tot de aard van de te beschermen gegevens/informatiesystemen bewaakt en geanalyseerd op kwaadaardige elementen middels detectievoorzieningen.	Netwerksegmentatie en koppelvlakken	Monitoring en analyse van netwerkverkeer op kwaadaardige activiteiten
CLD_U.14.01	De CSC heeft voor alle informatie(systemen) in selectielijsten de bewaartermijn vastgelegd, rekening houdend met de eigen bedrijfsdoelstellingen en wet- en regeling, zoals de archiefwet en privacywetgeving. De CSC heeft deze termijnen ook praktisch ingeregeld en toetst periodiek de werking hiervan.	Beschermen van registraties	Hebben beschikbare gegevens om interoperabiliteit van cloudservices te garanderen
CLD_U.14.02	De CSP bewaart, archiveert en verwijdert gegevens in overeenstemming met de vereisten van de CSC en toepasselijke wet- en regelgeving.	Beschermen van registraties	Gebruiken beveiligde netwerkprotocollen voor import en export van data
CLD_U.14.03	De CSC moet informatie opvragen bij de CSP over de bescherming van door de CSP verzamelde en opgeslagen gegevens die relevant zijn voor het gebruik van clouddiensten door de CSC.	Beschermen van registraties	Opvragen van informatie over gegevensbescherming door de CSC
CLD_U.14.04	De CSP moet informatie verstrekken aan de CSC over de bescherming van gegevens die door de CSP worden verzameld en opgeslagen met betrekking tot het gebruik van clouddiensten door de CSC.	Beschermen van registraties	Verstrekking van informatie over gegevensbescherming door de CSP
CLD_U.15.01	Wanneer door de CSP het gebruik van systeemhulpmiddelen is toegestaan, moet de CSC de systeemhulpmiddelen identificeren die in zijn cloudomgeving moeten worden gebruikt, en ervoor zorgen dat deze de werking van de clouddienst niet verstoren.	Inzicht in de beschikbare speciale systeemhulpmiddelen	Vastleggen beleidsregel-overtreding
CLD_U.15.02	De CSP moet de vereisten identificeren voor alle systeemhulpmiddelen die binnen de clouddienst worden gebruikt.	Inzicht in de beschikbare speciale systeemhulpmiddelen	Hebben SIEM- en/of SOC-regels over te rapporteren incident
CLD_U.15.03	De CSP moet ervoor zorgen dat elk gebruik van systeemhulpmiddelen die de normale bedrijfs- of beveiligingsprocedures kunnen omzeilen, strikt beperkt blijft tot bevoegd personeel, en dat het gebruik van dergelijke hulpmiddelen regelmatig wordt beoordeeld en gecontroleerd.	Inzicht in de beschikbare speciale systeemhulpmiddelen	Hanteren en beoordelen lijst van alle kritische activa
CLD_U.15.04	Aan logboeken en bewaking worden strenge eisen gesteld. Voor de kritieke componenten zijn geavanceerde beveiligingen voor logboeken en bewaking gedefinieerd.		Stellen eisen aan logboeken en bewaking
CLD_U.15.05	De toegang tot en het beheer van de loggings- en monitoringsfunctionaliteit is beperkt tot geselecteerde en geautoriseerde medewerkers van de Cloud Service Provider (CSP).		Beperken toegang tot en beheer van loggings- en monitoringsfunctionaliteit tot CSP-medewerkers
CLD_U.15.06	Wijzigingen in logging en monitoring worden gecontroleerd door onafhankelijke en geautoriseerde medewerkers. (Logregels mogen nooit worden gewijzigd; deze zijn immers bedoeld om als bewijslast te kunnen gebruiken.)		Controleren wijzigingen in logging en monitoring
CLD_U.16.01	Procedures voor administratieve handelingen in een cloudcomputing-omgeving moeten worden gedefinieerd, gedocumenteerd en gecontroleerd.	Gedocumenteerde bedieningsprocedures	Specificeren minimale zaken voor architectuur
CLD_U.16.02	De CSP moet documentatie over de kritieke operaties en procedures verstrekken aan de CSC’s.	Gedocumenteerde bedieningsprocedures	Documentatie van kritieke operaties en procedures door de CSP
CLD_U.16.03	De CSC moet procedures documenteren voor kritieke operaties waarbij een storing onherstelbare schade kan veroorzaken aan bedrijfsmiddelen in de cloudcomputing-omgeving.	Gedocumenteerde bedieningsprocedures	Vastlegging van procedures voor kritieke operaties door de CSC
CLD_U.16.04	De CSP heeft in een document vastgelegd dat en hoe toezicht wordt gehouden op kritieke operaties, inclusief de technische maatregelen om detectietools, bedreigingssignaturen en indicatoren van onjuiste handelingen wekelijks of vaker bij te werken.	Gedocumenteerde bedieningsprocedures	Toezicht en beveiligingsmaatregelen bij kritieke operaties door de CSP
CLD_U.17.01	De CSC moet de volgende items toevoegen aan bewustmakings-, opleidings- en trainingsprogramma’s voor bedrijfsmanagers van clouddiensten, beheerders van clouddiensten, integrators van clouddiensten en gebruikers van clouddiensten, inclusief relevante werknemers en contractanten: normen en procedures voor het gebruik van clouddiensten; informatiebeveiligingsrisico’s met betrekking tot clouddiensten en hoe deze risico’s worden beheerd; systeem- en netwerkomgevingsrisico’s bij het gebruik van clouddiensten; toepasselijke wettelijke en regelgevende overwegingen.	Bewustwording, opleiding en training	Versleutelen CSC-data op transport en in rust
CLD_U.17.02	De CSP moet documentatie over de kritieke operaties en procedures verstrekken aan de CSC’s.	Bewustwording Opleiding en training (ISOR:Multi-tenant architectuur)	Gescheiden inrichten virtuele machine-platforms voor CSC’s
CLD_U.17.02	Er moeten door de CSC voorlichtings-, onderwijs- en trainingsprogramma’s op het gebied van informatiebeveiliging over clouddiensten worden aangeboden aan het management en de toezichthoudende managers, inclusief die van bedrijfsonderdelen.	Bewustwording Opleiding en training (ISOR:Multi-tenant architectuur)	Bewustwording en training over cloudbeveiliging binnen de CSC
CLD_U.17.03	De CSP moet zorgen voor bewustwording, opleiding en training voor werknemers, en CSC’s, zoals dienstverleners of leveranciers wier diensten bijdragen aan het aanbieden van de clouddienst, verzoeken hetzelfde te doen, met betrekking tot de juiste omgang met CSC-gegevens en van clouddiensten afgeleide gegevens. Deze gegevens kunnen informatie bevatten die vertrouwelijk is voor een CSC of onderworpen zijn aan specifieke beperkingen, waaronder wettelijke beperkingen, met betrekking tot toegang en gebruik door de CSP.	Bewustwording Opleiding en training (ISOR:Multi-tenant architectuur)	Hardenen virtuele machine-platforms
CLD_U.17.03	De CSP moet zorgen voor bewustwording, opleiding en training voor werknemers, en CSC’s, zoals dienstverleners of leveranciers wier diensten bijdragen aan het aanbieden van de clouddienst, verzoeken hetzelfde te doen, met betrekking tot de juiste omgang met CSC-gegevens en van clouddiensten afgeleide gegevens. Deze gegevens kunnen informatie bevatten die vertrouwelijk is voor een CSC of onderworpen zijn aan specifieke beperkingen, waaronder wettelijke beperkingen, met betrekking tot toegang en gebruik door de CSP.	Bewustwording Opleiding en training (ISOR:Multi-tenant architectuur)	Bewustwording en training over gegevensbescherming door de CSP en ketenpartners
CLD_U.18.01	De CSC dient informatie op te vragen bij de CSP over het beheer van technische kwetsbaarheden die van invloed kunnen zijn op de geleverde clouddiensten.	Beheer van technische kwetsbaarheden	Opvragen van informatie over kwetsbaarhedenbeheer door de CSC
CLD_U.18.02	De CSP moet aan CSC van de clouddienst informatie beschikbaar stellen over het beheer van technische kwetsbaarheden die van invloed kunnen zijn op de geleverde clouddiensten.	Beheer van technische kwetsbaarheden	Verstrekking van informatie over kwetsbaarhedenbeheer door de CSP
CLD_U.18.03	De CSP informeert de CSC periodiek over de status van incidenten die de CSC raken, of betrekt CSC waar passend en noodzakelijk bij de oplossing. Zodra een incident vanuit het perspectief van de CSP is opgelost, wordt de CSC geïnformeerd over de ondernomen acties.	Beheer van technische kwetsbaarheden	Communicatie en opvolging van incidenten door de CSP
CLD_U.18.04	De CSC identificeert technische kwetsbaarheden waar hij verantwoordelijk voor is. De CSC voorkomt nadelige gevolgen en heeft daartoe een proces gedefinieerd en ingericht.	Beheer van technische kwetsbaarheden	Identificatie en beheersing van technische kwetsbaarheden door de CSC
CLD_U.18.05	Als de kans op misbruik en de verwachte schade beide hoog zijn (bijvoorbeeld met de NCSC-Inschalingsmatrix beveiligingsadviezen of leveranciersbeveiligingsadviezen), worden passende mitigerende maatregelen zo snel mogelijk, maar uiterlijk binnen een week getroffen.	Beheer van technische kwetsbaarheden	Tijdige mitigatie van kritieke kwetsbaarheden
CLD_U.19.01	De CSP moet de CSC mechanismen bieden voor: het aan de CSP melden van door de CSC gedetecteerde informatiebeveiligingsgebeurtenissen; het aan de CSC rapporteren over door de CSP gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC kunnen volgen van de status van gerapporteerde informatiebeveiligingsgebeurtenissen.	Melden van informatiebeveiligingsgebeurtenissen	Mechanismen voor melding, rapportage en opvolging van beveiligingsincidenten
CLD_U.19.02	De CSC moet informatie opvragen bij de CSP over door de CSC te hanteren mechanismen voor: het aan de CSP melden van door de CSC gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC ontvangen van rapporten over door de CSP gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC kunnen volgen van de status van gerapporteerde informatiebeveiligingsgebeurtenissen.	Melden van informatiebeveiligingsgebeurtenissen	Afstemming over incidentmanagementprocessen tussen CSC en CSP
CLD_U.19.03	De CSP moet essentiële informatie verstrekken, zoals telefoonnummers, e-mailadressen en servicetijden voor zowel de CSC als de CSP.	Melden van informatiebeveiligingsgebeurtenissen	Beschikbaarheid van contactinformatie voor incidentafhandeling
CLD_U.19.04	De CSP beheert en verwijst naar een dagelijks bijgewerkt online register van bekende kwetsbaarheden die van invloed zijn op de CSP en op door de CSP geleverde middelen. Bij iedere kwetsbaarheid wordt aangegeven of er software-updates (bijvoorbeeld een patch of update) beschikbaar zijn, wanneer deze uitgerold worden en of deze door de CSP, de CSC of beiden samen moet worden geïnstalleerd. De bij de kwetsbaarheid opgenomen informatie vormt een geschikte basis voor risicobeoordeling en eventuele vervolgmaatregelen aan de CSC. Het online register is eenvoudig toegankelijk voor elke CSC.	Melden van informatiebeveiligingsgebeurtenissen	Transparantie over kwetsbaarheden via een actueel register
CLD_U.19.05	De CSP heeft, in lijn met de toepasselijke wet- en regelgeving, een procedure opgesteld voor het beheren en beantwoorden van verzoeken om openbaarmaking van persoonsgegevens door wetshandhavingsautoriteiten en rapporteert de CSC over de te volgen procedure. De CSP meldt een openbaarmaking aan de CSC, volgens een opgestelde meldingsprocedure, tenzij dit verboden is, zoals bij een strafrechtelijke eis om de vertrouwelijkheid van een rechtshandhavingsonderzoek te bewaren.	Melden van informatiebeveiligingsgebeurtenissen	Beheer en melding van verzoeken tot gegevensverstrekking door autoriteiten
CLD_U.19.06	Wanneer een informatiebeveiligingsgebeurtenis wordt gedetecteerd door de CSC of door de CSP, behoort dit onmiddellijk aan de andere partij te worden gemeld.	Melden van informatiebeveiligingsgebeurtenissen	Wederzijdse meldplicht bij informatiebeveiligingsgebeurtenissen
CLD_U.20.01	De CSC moet de toewijzing van verantwoordelijkheden voor het beheer van informatiebeveiligingsincidenten verifiëren en ervoor zorgen dat deze voldoet aan de eisen van de CSC.	Opvolging informatiebeveiligingsincidenten	Verificatie van verantwoordelijkheden voor incidentbeheer door de CSC
CLD_U.20.02	Als onderdeel van de dienstspecificaties moet de CSP de toewijzing van verantwoordelijkheden en procedures voor het beheer van informatiebeveiligingsincidenten tussen de CSC en de CSP definiëren.	Opvolging informatiebeveiligingsincidenten	Vastlegging van verantwoordelijkheden en procedures voor incidentbeheer
CLD_U.20.03	De CSP moet de CSC documentatie verstrekken over: de omvang van de informatiebeveiligingsincidenten die de CSP aan de CSC zal rapporteren; het niveau van openbaarmaking van de detectie van informatiebeveiligingsincidenten en de daarmee samenhangende reacties; het beoogde tijdsbestek waarbinnen meldingen van informatiebeveiligingsincidenten zullen plaatsvinden; de procedure voor het melden van informatiebeveiligingsincidenten; contactgegevens voor de afhandeling van problemen met betrekking tot informatiebeveiligingsincidenten; alle rechtsmiddelen die van toepassing kunnen zijn als zich bepaalde informatiebeveiligingsincidenten voordoen.	Opvolging informatiebeveiligingsincidenten	Documentatievereisten voor rapportage van informatiebeveiligingsincidenten
CLD_U.20.04	Nadat een beveiligingsincident, volgens een responsplan voor beveiligingsincidenten is afgehandeld, wordt door de CSP de rapportage ter definitieve bevestiging naar de CSC gestuurd.	Opvolging informatiebeveiligingsincidenten	Rapportage en bevestiging na afhandeling van beveiligingsincidenten
CLD_U.20.05	De CSP definieert en implementeert processen, procedures en technische maatregelen voor meldingen van beveiligingsinbreuken in de (toeleverings)keten. De CSP rapporteert aan de CSC inbreuken op de beveiliging en veronderstelde inbreuken op de beveiliging, inclusief eventuele relevante inbreuken op de (toeleverings)keten, volgens de toepasselijke SLA’s en wet- en regelgeving.	Opvolging informatiebeveiligingsincidenten	Beheer en melding van beveiligingsincidenten in de toeleveringsketen
CLD_U.20.06	De CSP meldt een incident onmiddellijk als een incident aanzienlijke gevolgen heeft voor de continuïteit van zijn essentiële dienst, ook als de CSP niet valt onder de jurisdictie van Nederland, bij de Nederlandse minister van Justitie en Veiligheid en de bevoegde autoriteit. De CSP onderhoudt daartoe contactpunten voor toepasselijke regelgevende instanties, nationale en lokale wetshandhavingsinstanties en andere juridische bevoegde autoriteiten.	Opvolging informatiebeveiligingsincidenten	Meldplicht bij ernstige incidenten richting autoriteiten
CLD_U.20.07	De CSC en de CSP moeten overeenstemming bereiken over de procedures om te reageren op verzoeken om potentieel digitaal bewijsmateriaal of andere informatie vanuit de cloudcomputing-omgeving.	Opvolging informatiebeveiligingsincidenten	Afstemming over omgang met digitaal bewijsmateriaal en informatieverzoeken
CLD_U.21.01	Wanneer de CSC gebruik maakt van meerdere CSP’s, dan behoort de CSC ervoor te zorgen dat er een adequate organisatiestructuur is die is voorbereid op een verstoring, deze verzacht en erop reageert, ondersteund door personeel met de nodige verantwoordelijkheid, autoriteit en competentie.	Waarborgen van de bedrijfscontinuïteit	Organisatie en paraatheid voor verstoringen bij multi-cloudgebruik
CLD_U.21.02	De CSP draagt zorg voor redundantie in middelen en voor een redelijke minimale afstand ervan in overeenstemming met de toepasselijke industrienormen en rekening houdend met calamiteiten, zoals natuurrampen. De CSP informeert de CSC over mogelijke restrisico’s in het kader van de BIA van de CSC.	Waarborgen van de bedrijfscontinuïteit	Redundantie en restrisicocommunicatie door de CSP
CLD_U.21.03	De CSC beschrijft de ICT-continuïteitseisen als resultaat van de bedrijfsimpactanalyse (BIA).	Waarborgen van de bedrijfscontinuïteit	Vaststelling van ICT-continuïteitseisen op basis van de BIA
CLD_U.21.04	Wanneer de CSC gebruik maakt van meerdere CSP’s, dan behoort de CSC strategieën voor ICT-continuïteit te identificeren en selecteren waarin opties voor voorafgaand aan, tijdens en na een verstoring in overweging worden genomen. Op basis van de strategieën behoren plannen te worden opgesteld, geïmplementeerd en getest om na een (ver)storing van essentiële processen het vereiste beschikbaarheidsniveau van ICT-diensten binnen de vereiste tijdsbestekken te halen.	Waarborgen van de bedrijfscontinuïteit	Strategieën en plannen voor ICT-continuïteit bij multi-cloudgebruik
CLD_U.21.05	De CSP behoort de impact van een storing op de clouddienst of onderneming te bepalen en ervoor te zorgen dat ICT-continuïteitsplannen de volgende ICT-continuïteitsinformatie omvatten: de maximaal aanvaardbare tijdsperiode (RTO) van elke geprioriteerde ICT-dienst en de procedures voor het herstel van die componenten; de maximale redelijke periode waarin gegevens verloren kunnen gaan en niet kunnen worden hersteld (RPO) van de als informatie gedefinieerde geprioriteerde ICT-middelen en de procedures om de informatie te herstellen.	Waarborgen van de bedrijfscontinuïteit	Bepaling van RTO en RPO binnen ICT-continuïteitsplanning
CLD_U.21.06	De serviceovereenkomst tussen de CSC en de CSP bevat informatie over hoe en in welke mate de continuïteit van de clouddienstverlening is gewaarborgd. In een rampenresponsplan is beschreven hoe te herstellen van natuurrampen en door de mens veroorzaakte rampen.	Waarborgen van de bedrijfscontinuïteit	Contractuele borging van continuïteit en rampenherstel
CLD_U.21.07	De CSC waarborgt dat de in de serviceovereenkomst beschreven informatie over de continuïteit van de clouddienstverlening voldoet aan de continuïteitseisen als resultaat van de BIA.	Waarborgen van de bedrijfscontinuïteit	Toetsing van continuïteitsafspraken aan BIA-eisen door de CSC
CLD_U.22.01	De CSC zorgt ervoor dat de overeengekomen capaciteit die door de clouddienst wordt geleverd, voldoet aan de eisen van de CSC, ook bij capaciteitstekorten of uitval van personeel en IT-middelen.	Capaciteitsbeheer clouddiensten	Borging van voldoende capaciteit van clouddiensten door de CSC
CLD_U.22.02	De CSC moet het gebruik van clouddiensten monitoren en hun capaciteitsbehoeften voorspellen om de prestaties van de clouddiensten in de loop van de tijd te garanderen.	Capaciteitsbeheer clouddiensten	Monitoring en prognose van capaciteitsbehoeften door de CSC
CLD_U.22.03	Afhankelijk van het type clouddienst kan de CSC systeembronnen inzetten die aan hem zijn toegewezen. Daarbij kan de CSP het beheer/gebruik controleren en monitoren om overbelasting van de systeembronnen te voorkomen en een goede performance te bereiken.	Capaciteitsbeheer clouddiensten	Beheer en controle van systeembronnen binnen clouddiensten
CLD_U.22.04	De CSP moet de totale capaciteit van de middelen monitoren om informatiebeveiligingsincidenten veroorzaakt door tekorten aan middelen te voorkomen. De CSP identificeert daartoe gebruikstrends, zodat de CSP aan toekomstige capaciteitsvereisten kan voldoen.	Capaciteitsbeheer clouddiensten	Capaciteitsmonitoring en trendanalyse door de CSP
CLD_U.23.01	Het moet duidelijk zijn als de CSC verantwoordelijk is voor het implementeren van back-upmogelijkheden wanneer de CSP deze niet biedt, omdat dit geen onderdeel uitmaakt van het type clouddienst.	Back-up van informatie	Verantwoordelijkheid voor back-upvoorzieningen binnen clouddiensten
CLD_U.23.02	De CSP moet de specificaties van zijn back-upmogelijkheden aan de CSC verstrekken. De specificaties moeten, indien van toepassing, de volgende informatie bevatten: omvang en planning van back-ups; back-upmethoden en gegevensformaten, inclusief encryptie, indien relevant; bewaartermijnen voor back-upgegevens; procedures voor het verifiëren van de integriteit van back-upgegevens; procedures en tijdschema’s voor het herstellen van gegevens vanaf een back-up; procedures om de back-upmogelijkheden te testen; opslaglocatie van back-ups.	Back-up van informatie	Specificatie en transparantie van back-upmogelijkheden door de CSP
CLD_U.23.03	Back-upmaatregelen voor individuele systemen en diensten behoren regelmatig te worden getest om te waarborgen dat ze voldoen aan de doelstellingen van incidentrespons- en bedrijfscontinuïteitsplannen. Dit behoort te worden gecombineerd met een test van de herstelprocedures en te worden gecontroleerd aan de hand van de volgens het bedrijfscontinuïteitsplan vereiste hersteltijd. In het geval van kritische systemen en diensten behoren back-upmaatregelen betrekking te hebben op de informatie, toepassingen en gegevens van alle systemen die nodig zijn om het gehele systeem na een calamiteit te herstellen.	Back-up van informatie	Testen en valideren van back-up- en herstelprocedures
CLD_U.23.04	Wanneer de CSP back-upmogelijkheden levert als onderdeel van de clouddienst, moet de CSC de specificaties van de back-upmogelijkheden opvragen bij de CSP.	Back-up van informatie	Opvragen van back-upspecificaties door de CSC
CLD_U.23.05	De CSP moet de CSC veilige en gescheiden toegang bieden tot back-ups, zoals virtuele snapshots van een virtuele machine of de opslag, als een dergelijke dienst aan CSC’s wordt aangeboden.	Back-up van informatie	Veilige en gescheiden toegang tot back-ups door de CSP
CVZ_B.01.01	Het beleid of de richtlijnen omschrijven het aanvaardbaar gebruik van communicatiefaciliteiten.	Beleid en procedures voor informatietransport	Beleid of richtlijnen omschrijven het aanvaardbaar gebruik van communicatiefaciliteiten
CVZ_B.01.02	Het beleid of de richtlijnen omschrijven het toepassen van cryptografie voor de bescherming van de vertrouwelijkheid, integriteit en authenticiteit van informatie.	Beleid en procedures voor informatietransport	Beleid of richtlijnen omschrijven het toepassen van cryptografie
CVZ_B.01.03	Het beleid of de richtlijnen omschrijven welk type verkeer niet over draadloze netwerken verstuurd mag worden.	Beleid en procedures voor informatietransport	Beleid of richtlijnen omschrijven welk type verkeer niet over draadloze netwerken verstuurd mag worden
CVZ_B.01.04	De procedures beschrijven het beveiligen van informatie tegen onderscheppen, kopiëren, wijzigen, foutieve routering en vernietiging.	Beleid en procedures voor informatietransport	Procedures beschrijven het beveiligen van informatie
CVZ_B.01.05	De procedures beschrijven het opsporen van en beschermen tegen malware die kan worden overgebracht met elektronische communicatie (zie paragraaf 12.2.1 van de ISO 27002 2017).	Beleid en procedures voor informatietransport	Procedures beschrijven het opsporen van en beschermen tegen malware
CVZ_B.01.06	De procedures beschrijven het beschermen van als bijlage gecommuniceerde gevoelige informatie.	Beleid en procedures voor informatietransport	Procedures beschrijven het beschermen van als bijlage gecommuniceerde gevoelige informatie
CVZ_B.01.07	E-mailberichten worden met vastgelegde procedures en richtlijnen veilig en geautomatiseerd doorgestuurd.	Beleid en procedures voor informatietransport	E-mail berichten worden conform vastgelegde procedures en richtlijnen veilig en geautomatiseerd doorgestuurd
CVZ_B.02.01	Overeenkomsten over informatietransport bevatten onder andere de volgende elementen: directieverantwoordelijkheden voor het beheersen en notificeren van overdracht, verzending en ontvangst; procedures voor het waarborgen van de traceerbaarheid en onweerlegbaarheid; speciale en vereiste beheersmaatregelen voor het beschermen van gevoelige informatie, zoals cryptografie; het handhaven van een bewakingsketen voor informatie tijdens de verzending; acceptabele niveaus van toegangsbeveiliging.	Overeenkomst voor informatietransport	Elementen in overeenkomsten over informatietransport
CVZ_B.02.02	In de overeenkomst behoren alle betrokken partijen expliciet genoemd te zijn.	Overeenkomst voor informatietransport	In de overeenkomst behoren alle betrokken partijen expliciet genoemd zijn
CVZ_B.03.01	In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt: Wanneer cryptografie ingezet wordt. Wie verantwoordelijk is voor de implementatie. Wie verantwoordelijk is voor het sleutelbeheer. Welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast. De wijze waarop het beschermingsniveau wordt vastgesteld. Bij communicatie tussen organisaties wordt het beleid onderling vastgesteld	Cryptografiebeleid voor communicatie	In het cryptografiebeleid uitgewerkte onderwerpen
CVZ_B.03.02	Aanvullend bevat het cryptografiebeleid voor communicatieservices het volgende: Welk typen gegevens moeten voor welke communicatievorm worden versleuteld. Welk typen gegevens elektronisch worden ondertekend. Aan welke standaarden cryptografische toepassingen dienen te voldoen. In hoeverre backward compatibility voor algoritmen en protocollen voor netwerken mag worden toegepast.	Cryptografiebeleid voor communicatie	Aanvullende onderdelen in het cryptografiebeleid
CVZ_B.04.01	In de organisatiestructuur voor het netwerkbeheer zijn onder andere de volgende beheersingsprocessen benoemd: configuratie-, performance-, fault- en beveiligingsbeheer (security management).	Organisatiestructuur netwerkbeheer	In de organisatiestructuur voor netwerkbeheer zijn beheersingsprocessen benoemd
CVZ_B.04.02	De beheer(sings)processen hebben volgens het informatiebeveiligingsbeleid een formele positie binnen de gehele organisatie.	Organisatiestructuur netwerkbeheer	De beheer(sing)processen hebben een formele positie binnen de gehele organisatie
CVZ_B.04.03	De taken en verantwoordelijkheden van de verantwoordelijke functionarissen voor deze processen zijn duidelijk gedefinieerd.	Organisatiestructuur netwerkbeheer	De taken en verantwoordelijkheden van de verantwoordelijke functionarissen zijn duidelijk gedefinieerd
CVZ_C.01.01	De naleving van het netwerkbeveiligingsbeleid wordt periodiek getoetst en geëvalueerd door een audit met tenminste de volgende elementen: netwerktopologie/-ontwerp met principes als ‘defence in depth’ en ‘inbraak betekent geen doorbraak’; identificatie- en authenticatiemechanismen; autorisatiemechanismen en een actuele administratie van de uitgegeven rechten; actuele beleidsregels voor de netwerkbeveiliging; aanwijzingen voor hardening van netwerkcomponenten; verifieerbare auditlogoplossing.	Naleving richtlijnen netwerkbeheer en evaluaties	De naleving van netwerkbeveiligingsbeleid wordt periodiek getoetst en geëvalueerd
CVZ_C.02.01	De controlelijst voor een veilige inrichting van netwerk(diensten) is samengesteld vanuit: een actueel beveiligingsbeleid; gerelateerde security operation-documentatie; specifieke beveiligingsarchitectuur voor netwerk en communicatie(diensten); het beleid voor toegang tot security gateway services; bedrijfscontinuïteitsplannen; relevante beveiligingscondities voor netwerkverbindingen.	Compliance-toets netwerkbeveiliging	Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s
CVZ_C.02.02	Informatiesystemen worden jaarlijks gecontroleerd op de technische naleving van beveiligingsnormen en risico’s op de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarhedenanalyses of penetratietesten.	Compliance-toets netwerkbeveiliging	Checklist voor veilige inrichting van netwerk(diensten)
CVZ_C.02.03	De resultaten worden gerapporteerd aan het verantwoordelijke management.	Compliance-toets netwerkbeveiliging	Resultaten worden gerapporteerd aan het verantwoordelijke management
CVZ_C.03.01	De teststrategie voor netwerkbeveiliging is vastgelegd en geactualiseerd en bevat tenminste de volgende onderzoekselementen: de robuustheid van het ontwerp met principes als ‘defence in depth’ en ‘inbraak betekent geen doorbraak’; de sterkte van Identificatie-, Authenticatie en Autorisatie (IAA)-mechanismen en de relevantie van uitgegeven rechten; de juiste implementatie van de beleidsregels voor netwerkbeveiliging; de verificatie van de hardening van netwerkcomponenten; de verificatie van de auditlogoplossing; de bruikbaarheid en functionele doelmatigheid van beveiligingsmaatregelen; informatie over gebeurtenissen en incidenten, gerapporteerd door servicepersoneel en eindgebruikers.	Evalueren robuustheid netwerkbeveiliging	De teststrategie voor netwerkbeveiliging is vastgelegd en geactualiseerd
CVZ_C.04.01	Zeer belangrijke onderdelen van netwerkbeveiliging zijn het: via auditlogging en continue monitoring en gekoppeld aan detectie registreren van gebeurtenissen; onderzoek uit te voeren en vervolgens; snel reageren.	Evalueren netwerkgebeurtenissen (monitoring)	Zeer belangrijke onderdelen van netwerkbeveiliging
CVZ_C.04.02	Continue bewaking via monitoring legt de volgende informatie vast: auditlogs vanuit de netwerkcomponenten: firewalls, router, servers etc.; analyse-informatie vanuit Intrusion Detection Systems (IDS); resultaten vanuit netwerkscanningsactiviteiten.	Evalueren netwerkgebeurtenissen (monitoring)	Continue bewaking via monitoring
CVZ_C.05.01	De communicatievoorzieningen worden geïdentificeerd en gedefinieerd.	Beheersorganisatie netwerkbeveiliging	De communicatievoorzieningen worden geïdentificeerd en gedefinieerd
CVZ_C.05.02	Beheerderstaken vereisen in sommige gevallen vergaande bevoegdheden met risico’s voor de doelorganisatie. Het beleggen van de juiste verantwoordelijkheden en toezien op het beoogde gebruik daarvan vergt extra aandacht, te weten: De entiteit die verantwoordelijk is voor de communicatievoorzieningen wordt bepaald en de taken en details, vanuit de verantwoordelijkheid zijn actueel, vastgelegd en bekend. De rollen en (speciale) bevoegdheden van netwerkbeheerders zijn gedefinieerd en gedocumenteerd. De netwerkbeheerders zijn en blijven goed opgeleid en competent voor de uitvoering van hun taken. De coördinatie en het overzicht van informatiebeveiligingsaspecten van dienstverleners is geïdentificeerd gedocumenteerd en wordt continu gemonitord.	Beheersorganisatie netwerkbeveiliging	Beheerderstaken vereisen bevoegdheden met risico’s voor de doelorganisatie
CVZ_U.01.01	De voorbereiding van veilige netwerkontwerpen omvat tenminste de volgende stappen: identificatie van middelen (assets); inventarisatie van functionele eisen; beoordeling van functionele eisen in de context van het beoogd gebruik; evaluatie van bekende toepassingsmogelijkheden en hun beperkingen; evaluatie van bestaande ontwerpen en implementaties.	Richtlijn voor netwerkbeveiliging	Stappen ter voorbereiding van veilige netwerkontwerpen
CVZ_U.01.02	Leidende ontwerpprincipes, zoals ‘defence in depth’ (of anders geformuleerd ‘inbraak betekent geen doorbraak’) worden gehanteerd. Robuustheid (resilience) van het ontwerp bepaalt de beschikbaarheid van netwerken, zoals door het toepassen van redundancy, back-up van configuratiegegevens en snel beschikbare reservedelen.	Richtlijn voor netwerkbeveiliging	Leidende ontwerpprincipes worden gehanteerd of anders geformuleerd: “inbraak betekent geen doorbraak”
CVZ_U.01.03	Netwerkbeveiliging is gebaseerd op International Telecommunication Union - Telecommunications sector (ITU-T) X.80x (zie de ISO 27001 2017 Annex C).	Richtlijn voor netwerkbeveiliging	Netwerkbeveiliging is gebaseerd op ITU-T X.80x
CVZ_U.01.04	Netwerkontwerpen zijn gestructureerd gedocumenteerd in actuele overzichten.	Richtlijn voor netwerkbeveiliging	Netwerkontwerpen zijn gestructureerd gedocumenteerd in actuele overzichten
CVZ_U.01.05	De implementatie van netwerkbeveiliging is gebaseerd op het netwerkontwerp zoals in norm U.01.04 is bedoeld en is in richtlijnen samengevat conform de ISO 27033-2 2012.	Richtlijn voor netwerkbeveiliging	De implementatie van netwerkbeveiliging is gebaseerd op netwerkontwerp en in richtlijnen samengevat
CVZ_U.01.06	Netwerken zijn zo opgezet dat ze centraal beheerd kunnen worden.	Richtlijn voor netwerkbeveiliging	Netwerken zijn zo opgezet dat ze centraal beheerd kunnen worden
CVZ_U.02.01	Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt. De risicoafweging bepaalt onder welke voorwaarden de leveranciers toegang krijgen. Uit een registratie blijkt hoe de rechten zijn toegekend.	Beveiligde inlogprocedure	Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt
CVZ_U.02.02	Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen op basis van minimaal twee-factorauthenticatie.	Beveiligde inlogprocedure	Toegang vanuit een niet-vertrouwde zones naar een vertrouwde zone
CVZ_U.02.03	Toegang tot netwerken is beperkt tot geautoriseerde gebruikers (en geautoriseerde applicaties). Drie gebieden waarvoor expliciete inlogmechanismen worden toegepast, zijn: Remote login, Voor gebruikers die van buiten inloggen op de door de organisatie beheerde bedrijfsnetwerken. Versterkte authenticatie, Voor toepassingen waarbij de ‘standaard’-authenticatie van gebruikers (en applicaties) kan worden gecompromitteerd. Single Sign-On, Voor situaties waarbij netwerken worden geacht authenticatie-checks uit te voeren voor verschillende toepassingen.	Beveiligde inlogprocedure	Toegang tot netwerken is beperkt tot geautoriseerde gebruikers
CVZ_U.03.01	Voor het beheer van netwerkapparatuur zijn verantwoordelijkheden en procedures vastgesteld.	Netwerkbeveiligingsbeheer	Voor het beheer van netwerkapparatuur zijn verantwoordelijkheden en procedures vastgesteld
CVZ_U.03.02	Netwerken worden geregistreerd en gemonitord conform vastgelegde procedures en richtlijnen.	Netwerkbeveiligingsbeheer	Netwerken worden geregistreerd en gemonitord conform vastgelegde procedures en richtlijnen
CVZ_U.03.03	Beheeractiviteiten worden nauwgezet gecoördineerd, zowel om de dienstverlening voor de organisatie te optimaliseren als om te waarborgen dat beheersmaatregelen consistent in de hele informatieverwerkende infrastructuur worden toegepast.	Netwerkbeveiligingsbeheer	Beheeractiviteiten worden nauwgezet gecoördineerd
CVZ_U.03.04	Ter bescherming tot netwerkdiensten en/of - voor zover noodzakelijk - van toepassingen zijn voor het beperken van de toegang procedures opgesteld.	Netwerkbeveiligingsbeheer	Ter bescherming tot netwerkdiensten en/of -toepassingen zijn voor procedures opgesteld
CVZ_U.03.05	De functies van operationeel netwerkbeheer en overige computerbewerkingen zijn gescheiden.	Netwerkbeveiligingsbeheer	De functies van operationele netwerkbeheer en overige computerbewerkingen zijn gescheiden
CVZ_U.03.06	Systemen worden voorafgaand aan de toegang tot het netwerk geauthentiseerd.	Netwerkbeveiligingsbeheer	Systemen worden voorafgaand aan de toegang tot het netwerk geauthentiseerd
CVZ_U.04.01	Voor de vertrouwelijkheids- of geheimhoudingsovereenkomsten worden de volgende elementen in overweging genomen: de looptijd van een overeenkomst; de benodigde acties bij beëindiging; de acties van ondertekenaars bij onbevoegde openbaarmaking van informatie; hoe het eigendom van vertrouwelijke informatie zich verhoudt tot de bescherming; het toegelaten gebruik van vertrouwelijke informatie en de rechten van de ondertekenaar om informatie te gebruiken; de voorwaarden voor het teruggeven of vernietigen van informatie na beëindiging; de acties in geval van schending van de overeenkomst; de privacyregelgeving (Algemene Verordening Gegevensbescherming (AVG) en Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG)).	Vertrouwelijkheids- of geheimhoudingsovereenkomst	Elementen ter overweging bij vertrouwelijkheids- of geheimhoudingsovereenkomsten
CVZ_U.05.01	Bij draadloze verbindingen zoals wifi en bij bedrade verbindingen buiten het gecontroleerd gebied wordt gebruik gemaakt van encryptiemiddelen waarvoor het Nationaal Bureau voor Verbindingsbeveiliging (NBV) een positief inzetadvies heeft afgegeven.	Beveiliging netwerkdiensten	Binnenkomend en uitgaand dataverkeer wordt bewaakt en geanalyseerd op kwaadaardige elementen
CVZ_U.05.02	De noodzakelijke beveiligingsmechanismen in de vorm van technische beveiligingsfuncties, zoals segmentatie, detectie en protectie, monitoring en versleuteling van het dataverkeer zijn vastgelegd in een overeenkomst.	Beveiliging netwerkdiensten	Ontdekte nieuwe dreigingen vanuit de analyse worden gedeeld binnen de overheid
CVZ_U.05.03	Beveiligingsmechanismen voor communicatie worden voorzien op de volgende Open Systems Interconnection (OSI)-lagen: Applicatieniveau, Voor authenticiteit, integriteit, vertrouwelijkheid en onweerlegbaarheid: encryptie. Transportniveau, Voor veilige point to point-verbindingen: encryptie. Netwerkniveau, Voor veilige communicatie tussen devices, encryptie, firewalls en netwerkverbindingen: Virtual Private Network (VPN).	Beveiliging netwerkdiensten	Bij draadloze verbindingen wordt gebruik gemaakt van encryptiemiddelen
CVZ_U.05.04	Het dienstverleningsniveau wordt afgestemd op de volgende eisen: de vereiste performance en beschikbaarheid van het netwerk; de toegestane verbindingstypen; de toegestane netwerkprotocollen; de toegepaste applicaties op de te leveren netwerkservices; de beoogde architectuur- en ontwerpprincipes.	Beveiliging netwerkdiensten	Eisen op basis waarvan het dienstverleningsniveau wordt afgestemd
CVZ_U.05.05	Het dataverkeer dat de organisatie binnenkomt of uitgaat, wordt bewaakt/geanalyseerd op kwaadaardige elementen middels detectie-voorzieningen (zoals beschreven in de richtlijn voor implementatie van detectie-oplossingen), zoals het Nationaal Detectie Netwerk of GDI, die worden ingezet op basis van een risico-inschatting, mede aan de hand van de aard van de te beschermen gegevens en informatiesystemen.	Beveiliging netwerkdiensten	De noodzakelijke beveiligingsmechanismen zijn vastgelegd in een overeenkomst
CVZ_U.05.06	Bij ontdekte nieuwe dreigingen vanuit de analyse op kwaadaardige elementen worden deze, rekening houdend met de geldende juridische kaders, verplicht gedeeld binnen de overheid, waaronder met het Nationaal Cyber Security Centrum (NCSC) of de sectorale Computer Emergency Response Team (CERT), bij voorkeur door geautomatiseerde mechanismen (threat intelligence sharing).	Beveiliging netwerkdiensten	Beveiligingsmechanismen voor communicatie worden voorzien op de OSI lagen
CVZ_U.06.01	Het netwerk is in (logische of fysieke) domeinen (of zones) opgedeeld op grond van risico’s voor onderlinge negatieve beïnvloeding van informatiesystemen binnen een domein en het beoogde betrouwbaarheidsniveau.	Zonering en filtering	Alle gescheiden groepen hebben een gedefinieerd beveiligingsniveau
CVZ_U.06.02	Alle gescheiden groepen hebben een gedefinieerd beveiligingsniveau.	Zonering en filtering	Het netwerk is opgedeeld op grond van risico’s voor onderlinge negatieve beïnvloeding
CVZ_U.06.03	Perimeters van netwerkzones worden nauwkeurig gedefinieerd en de gecontroleerde doorgang van de informatie tussen netwerkdomeinen wordt beheerst met een gateway (bijvoorbeeld een firewall en een filterende router).	Zonering en filtering	Perimeters van netwerkzones worden nauwkeurig gedefinieerd en de gecontroleerde doorgang wordt beheerst
CVZ_U.06.04	Draadloze toegang tot gevoelige domeinen wordt behandeld als een externe verbinding en wordt beveiligd met de eisen geldend voor externe verbindingen.	Zonering en filtering	Draadloze toegang tot gevoelige domeinen wordt behandeld als externe verbinding
CVZ_U.07.01	Voor de beveiliging van elektronische berichten gelden de vastgestelde standaarden tegen phishing en afluisteren van de ‘pas- toe-of-leg-uit’- lijst van het Forum Standaardisatie.	Elektronische berichten	Voor de beveiliging van elektronische berichten gelden de vastgestelde standaarden tegen phishing en afluisteren
CVZ_U.07.02	Voor veilige berichtenuitwisseling met basisregistraties wordt, conform de ‘pas-toe-of-leg-uit-lijst van het Forum Standaardisatie, gebruik gemaakt van de actuele versie van Digikoppeling.	Elektronische berichten	Voor veilige berichtenuitwisseling met basisregistraties wordt gebruik gemaakt van Digikoppeling
CVZ_U.07.03	Bij web- en mailverkeer van gevoelige gegevens wordt gebruik gemaakt van Public Key Infrastructure (PKI)-Overheid-certificaten. Gevoelige gegevens zijn onder andere digitale documenten binnen de overheid waar gebruikers rechten aan kunnen ontlenen.	Elektronische berichten	Bij web- en mailverkeer van gevoelige gegevens wordt gebruik gemaakt van PKI-Overheid certificaten
CVZ_U.07.04	Om zekerheid te bieden over de integriteit van het elektronische bericht, wordt voor elektronische handtekeningen gebruik gemaakt van de Advanced Electronic Signatures (AdES) Baseline Profile standaard of de European Telecommunications Standards Institute (ETSI) TS 102 176-1 (en relevante standaarden uit de pas-toe-of-leg-uit lijst van het Forum Standaardisatie).	Elektronische berichten	Voor elektronische berichten wordt gebruik gemaakt van de AdES Baseline Profile standaard of ETSI TS 102 176-1
CVZ_U.07.05	Voor de beveiliging van het elektronische berichtenverkeer worden passende maatregelen getroffen, zoals: de berichten te beschermen tegen onbevoegde toegang, wijziging of weigering van dienstverlening met het classificatieschema van de organisatie; een correcte adressering en het transport van het bericht waarborgen; de herstelbaarheid van onderbroken communicatie en de beschikbaarheid van de dienst; de wettelijke bepalingen zoals eisen voor elektronische handtekeningen; het toestemming verkrijgen van het verantwoordelijke management en de gegevenseigenaren, voorafgaand aan het gebruiken van externe openbare diensten zoals instant messaging, sociale netwerken of het delen van bestanden; de twee-factorauthenticatie voor de toegang vanuit de openbaar toegankelijke netwerken.	Elektronische berichten	Voor de beveiliging van elektronische berichtenverkeer worden passende maatregelen getroffen
CVZ_U.08.01	Met de communicerende partijen worden afspraken gemaakt over: de wederzijdse authenticatie; de bevoegdheden voor het gebruik van de dienst; de integriteit en vertrouwelijkheid van transacties, belangrijke documenten en de onweerlegbaarheid van de ontvangst; een passende verificatie voor de controle van de transactie.	Toepassingen via openbare netwerken	Met communicerende partijen worden afspraken gemaakt
CVZ_U.09.01	Voor elke gateway of firewall bestaat een actueel configuratiedocument dat de complete configuratie en de functionele eisen van de gateway of firewall beschrijft.	Gateways en firewalls	Voor elke gateway of firewall bestaat een actueel configuratiedocument
CVZ_U.09.02	De filterfunctie van gateways en firewalls zijn instelbaar.	Gateways en firewalls	De filterfunctie van gateways en firewalls is instelbaar
CVZ_U.09.03	Gebeurtenissen worden vastgelegd in auditlogs en worden, indien aanwezig, doorgegeven aan centrale systemen zoals Security Information and Event Management (SIEM).	Gateways en firewalls	Gebeurtenissen worden vastgelegd in auditlogs en worden doorgegeven aan centrale systemen zoals SIEM
CVZ_U.09.04	Uitsluitend toegestaan netwerkverkeer wordt doorgelaten.	Gateways en firewalls	Uitsluitend toegestaan netwerkverkeer wordt doorgelaten
CVZ_U.10.01	De end-to-end-connectie: wordt gecreëerd door scheiding van de adresseringsruimte en routeringen tussen Virtual Private Network (VPN’s) over het onderliggende netwerk; geeft garanties dat de interne structuur van het onderliggende netwerk niet zichtbaar is voor andere netwerken; biedt bescherming tegen denial of service attacks en ongeautoriseerde toegang; biedt bescherming tegen label spoofing (het mogelijk injecteren van foute labels).	Virtual Private Networks (VPN) (ISOR:Virtual Private Networks (VPN))	De end-to-end
CVZ_U.11.01	Voor het waarborgen van de vertrouwelijkheid van communicatie tussen de zender en ontvanger wordt versleuteling toegepast op een of meer van de juiste verbindingslagen (Open Systems Interconnection (OSI)-laag 1 t/m 7). Public Key Infrastructure (PKI) faciliteert deze functie.	Cryptografische services	Voor het waarborgen van de vertrouwelijkheid wordt versleuteling toegepast op één of meer verbindingslagen
CVZ_U.11.02	Voor het waarborgen van de integriteit van de communicatie tussen de zender en ontvanger wordt een digitale ondertekening toegepast. Toepassingsvoorbeelden zijn: communicatieprotocollen die de ontvangst onweerlegbaar maken; applicatieprotocollen die de signatuur van de zender gebruiken voor onweerlegbaarheid van de ontvangst en de integriteit van de ontvangen data.	Cryptografische services	Voor het waarborgen van de integriteit van communicatie wordt digitale ondertekening toegepast
CVZ_U.11.03	Cryptografische beheersmaatregelen moeten expliciet aansluiten bij de standaarden op de ‘pas-toe-of-leg-uit’-lijst van het Forum Standaardisatie.	Cryptografische services	Cryptografische beheersmaatregelen sluiten aan bij de Pas-Toe-of-Leg-Uit standaarden
CVZ_U.11.04	Cryptografische algoritmen voldoen aan de hoogst mogelijke industrie-standaarden, voor de sterkte, met een voor de toepassing en contextrelevante sleutellengte en algoritme, zoals uit de Forum Standaardisatie-lijst: Advanced Encryption Standard (AES); Sleutellengte 128 bit voor ‘lichte’ en 192 of 256 bits voor ‘zware’ toepassingen.	Cryptografische services	Cryptografische algoritmen voldoen aan de hoogst mogelijke industriestandaarden
CVZ_U.12.01	Omdat draadloze netwerken altijd en overal fysiek benaderbaar zijn, worden de volgende algemene maatregelen en beveiligingslagen altijd toegepast: Netwerktoegangscontrole (Institute of Electrical and Electronics Engineers (IEEE) 802.1x) en apparaat-authenticatie (Extensible Authentication Protocol - Transport Layer Security (EAP-TLS)) beschermt netwerken tegen aansluiting van ongeautoriseerde gebruikers. Integriteitcontrolemechanismen voorkomen man-in-the-middle attacks. Encryptie op netwerkniveau; het sterkst mogelijke algoritme/protocol wordt standaard toegepast met backwards- compatibility-mogelijkheden voor de ondersteuning van oudere of minder sterke protocollen. Autorisatie van mobiele clients, bijvoorbeeld via Media Access Control (MAC)-adresfiltering. Toegangscontrole van eindgebruikers, bijvoorbeeld via Role Based Access Control (RBAC). Niet toegestane typen netwerkverkeer worden geblokkeerd. Niet benodigde functies zijn altijd uitgeschakeld (hardening). Bekende kwetsbaarheden in de systeemsoftware worden doorlopend opgelost (patching en patchmanagement).	Draadloze toegang	Algemene maatregelen en ‘beveiligingslagen’ voor draadloze netwerken
CVZ_U.13.01	Voor de beheersing van netwerken worden de volgende minimumeisen toegepast: de identificatie van alle soorten netwerkverbindingen die worden gebruikt; een actuele lijst van toegestane en gebruikte protocollen; een actuele lijst van gebruikte netwerktoepassingen; een continu onderzoek naar beveiligingsrisico’s voor netwerken; een actuele netwerktopologie en daarvoor geldende beveiligingseisen.	Netwerkconnectie	Voor de beheersing van netwerken worden minimumeisen
CVZ_U.13.02	Netwerken worden bewaakt op het beoogd gebruik en overtreding van het beveiligingsbeleid wordt gelogd.	Netwerkconnectie	Netwerken worden bewaakt op het beoogd gebruik en overtreding van securitybeleid gelogd
CVZ_U.14.01	Alvorens logisch toegang te verkrijgen tot een netwerk wordt de authenticiteit van een aangesloten netwerkdevice gecontroleerd (Extensible Authentication Protocol - Transport Layer Security (EAP-TLS)).	Netwerkauthenticatie	Authenticiteit van aangesloten netwerkdevices wordt gecontroleerd
CVZ_U.14.02	Alleen de specifiek voor het netwerk toegestane netwerk-devices worden logisch gekoppeld met de in het netwerk aanwezige clients en informatiesystemen (Institution of Electrical Engineers (IEE) 802.1x).	Netwerkauthenticatie	Alleen specifiek toegestane netwerkdevices worden gekoppeld met de aanwezige clients en informatiesystemen
CVZ_U.15.01	Netwerkbeveiligingsbeheer omvat activiteiten, methoden, procedures en gereedschappen voor administratie, onderhoud en veilig beschikbaar stellen van netwerkverbindingen. Met name geldt daarbij: Administratie: Het continue actualiseren van de netwerktopologie. Het beheersen en ‘huishouden’ van netwerk-resources en de wijze waarop die beschikbaar zijn gesteld. Beschikbaarheidsbeheer: Het zorgdragen dat netwerkfaciliteiten constant beschikbaar zijn en dat het netwerk wordt gemonitord, zodat onderbrekingen zo vroeg mogelijk worden ontdekt en verholpen. Incidentmanagement: Het zorgdragen dat op alle incidenten en bevindingen actie wordt ondernomen, met rapportage. Technische kwetsbaarhedenmanagement: Het verzamelen en uitvoeren van beveiligingsupgrades, zoals het aanbrengen van patches tegen kwetsbaarheden in firmware of netwerk-Operating Software (OS) en het nemen van preventieve maatregelen voor fysieke kwetsbaarheden, zoals ongeautoriseerde toegang tot netwerkbekabeling. Het verhelpen van fysieke kwetsbaarheden in het netwerk zoals bescherming tegen ongeautoriseerde (fysieke) toegang van netwerksegmenten.	Netwerkbeheeractiviteiten	Netwerkbeveiligingsbeheer omvat activiteiten, methoden, procedures en gereedschappen voor administratie
CVZ_U.15.02	Netwerkbeheer omvat het doorvoeren van logische en fysieke wijzigingen in netwerken, zoals patching van netwerkbekabeling in netwerkverdeelkasten.	Netwerkbeheeractiviteiten	Netwerkbeheer omvat het doorvoeren van logische én fysieke wijzigingen in netwerken
CVZ_U.16.01	Overtredingen van het actuele netwerkbeleid (afwijkingen van de baseline) worden geregistreerd en vastgelegd in auditlogs.	Vastleggen en monitoring netwerkgebeurtenissen (events) (ISOR:Vastleggen en monitoring van netwerkgebeurtenissen (events))	Overtredingen van het actuele netwerkbeleid worden geregistreerd en vastgelegd in auditlogs
CVZ_U.16.02	Het beoordelen van overtredingen wordt geautomatiseerd uitgevoerd bijvoorbeeld met SIEM of functioneel gelijkwaardige systemen en beoordeeld door deskundigen.	Logging en monitoring communicatievoorzieningen	Het beoordelen van overtredingen wordt geautomatiseerd uitgevoerd en beoordeeld door deskundigen
CVZ_U.17.01	De beveiligingsarchitectuur staat niet op zichzelf, maar is verweven met de architectuur van het te beveiligen systeem.	Netwerkbeveiligingsarchitectuur	De beveiligingsarchitectuur is verweven met de architectuur van het te beveiligen systeem
CVZ_U.17.02	De beveiligingsarchitectuur is gelaagd, zoals: het Nederlandse Overheid Referentie Architectuur (NORA)-beveiligingsmetamodel; SABSA®.	Netwerkbeveiligingsarchitectuur	De beveiligingsarchitectuur is gelaagd
CVZ_U.17.03	De netwerktopologie is in kaart gebracht en wordt continu actueel gehouden.	Netwerkbeveiligingsarchitectuur	De netwerk topologie is in kaart gebracht en wordt continu actueel gehouden
HVI_B.01.01	De organisatie heeft een huisvesting Informatievoorzieningen (IV)-beleid opgesteld dat: doelstellingen en principes van de huisvesting IV-beveiliging bevat; specifieke verantwoordelijkheden en rollen bevat; processen voor het behandelen van afwijkingen en afzonderingen bevat; procesmatig tot stand komt, bijvoorbeeld: voorbereiden, ontwikkelen, vaststellen/goedkeuren, communiceren, implementeren, evalueren en aanpassen.	Huisvesting informatievoorzieningenbeleid	Er is een huisvesting informatievoorzieningenbeleid
HVI_B.01.02	Beleidsregels over het huisvesting informatievoorzieningen (IV)-beleid behandelen eisen die voortkomen uit: Bedrijfsstrategie Wet- en regelgeving Huidige en verwachte bedreigingen op huisvesting IV	Huisvesting informatievoorzieningenbeleid	Beleidsregels huisvesting informatievoorzieningen
HVI_B.01.03	Beleidsregels zijn gerelateerd aan specifieke onderwerpen over huisvesting informatievoorzieningen (IV), zoals: Fysieke beveiligingszone Fysieke toegangsbeveiligingspersoneel	Huisvesting informatievoorzieningenbeleid	Beleidsregels verwijzen naar specifieke huisvesting onderwerpen
HVI_B.02.01	De verantwoordelijke voor de huisvesting informatievoorzieningen (IV)-organisatie stelt vast welke wetgeving van toepassing is voor huisvesting-IV.	Wet- en regelgeving Huisvesting IV	Vaststellen toepasselijkheid wetgeving
HVI_B.02.02	Het huisvesting informatievoorzieningen (IV)-beleid waarover de huisvesting IV-organisatie en de klant overeenstemming hebben bereikt, is mede gerelateerd aan alle relevante en specifiek geldende wet- en regelgeving en contractuele verplichtingen.	Wet- en regelgeving Huisvesting IV	Klant en organisatie hebben overeenstemming over wet- en regelgeving en contractuele verplichtingen
HVI_B.03.01	Personen of afdelingen, die door de directie verantwoordelijk zijn gesteld voor de levenscyclus van een huisvesting informatievoorzieningen (IV)-bedrijfsmiddel, zijn als eigenaar benoemd.	Eigenaarschap Huisvesting IV	Voor de levenscyclus van een bedrijfsmiddel verantwoordelijken zijn als eigenaar benoemd
HVI_B.03.02	Het eigenaarschap van een huisvesting informatievoorzieningen (IV)-bedrijfsmiddel wordt toegekend bij het ontstaan en of bij de verwerving van het middel.	Eigenaarschap Huisvesting IV	Het eigenaarschap van bedrijfsmiddelen wordt toegekend bij ontstaan en/of verwerving van het bedrijfsmiddel
HVI_B.03.03	De eigenaar van het huisvesting informatievoorzieningen (IV)-bedrijfsmiddel is verantwoordelijk voor het juiste beheer gedurende de gehele levenscyclus ervan.	Eigenaarschap Huisvesting IV	De eigenaar is verantwoordelijk voor het juiste beheer gedurende de hele bedrijfsmiddel-levenscyclus
HVI_B.03.04	De eigenaar van het bedrijfsmiddel zorgt ervoor dat: bedrijfsmiddelen geïnventariseerd worden; bedrijfsmiddelen passend worden geclassificeerd; toegangsbeperkingen en classificatie van belangrijke bedrijfsmiddelen worden gedefinieerd, en periodiek beoordeeld; bedrijfsmiddelen met juiste procedures worden verwijderd of vernietigd.	Eigenaarschap Huisvesting IV	Inventariseren, classificeren, verwijderen en vernietigen bedrijfsmiddellen
HVI_B.04.01	De gangbare principes rondom 'Security by design' zijn uitgangspunt voor de ontwikkeling van software en systemen.	Certificering	Gangbare principes zijn uitgangspunt voor de ontwikkeling van software en systemen
HVI_B.04.02	Huisvesting informatievoorzieningen (IV) die ingezet wordt voor de organisatie is minimaal ISO 27001 (Managementsystemen voor informatiebeveiliging) en ISO 50001 (Energiemanagement) gecertificeerd.	Certificering	Certificeringseisen van de ingezette Huisvesting Informatievoorziening
HVI_B.05.01	De eisen en specificaties voor huisvesting informatievoorzieningen (IV) zijn onderdeel van het eisenpakket dat is opgesteld bij de verwerving van de voorzieningen.	Contractmanagement	Het eisenpakket bij verwerving van Huisvestingsvoorzieningen bevat de gestelde eisen en specificaties
HVI_B.05.02	Het verwerven van huisvesting informatievoorzieningen (IV) vindt uitsluitend plaats met een overeenkomst of andere formele afspraak.	Contractmanagement	Verwerven huisvesting IV-voorzieningen met afspraak of overeenkomst
HVI_B.05.03	De bij Service Level Agreements (SLA’s) en Dossier Afspraken en Procedures (DAP’s) betrokken rollen Contractmanagement en Service Level Management zijn vastgelegd.	Contractmanagement	Vastleggen betrokken rollen Contractmanagement en Service Level Management
HVI_B.05.04	Afspraken met en activiteiten van leveranciers zijn contractueel vastgelegd in Service Level Agreement (SLA’s) en Dossier Afspraken en Procedures (DAP’s).	Contractmanagement	Afspraken contractueel vastgeleggen in SLA’s en DAP’s
HVI_B.05.05	De levering van voorzieningen wordt periodiek geëvalueerd door een onafhankelijke partij.	Contractmanagement	Evalueren levering van voorzieningen
HVI_B.06.01	De huisvesting IV-organisatie heeft de te leveren diensten en bijbehorende dienstenniveaus beschreven.	Service Level Management	Beschrijven van de te leveren Huisvestingservices, met bijbehorende service niveau
HVI_B.06.02	Deze dienstenniveaus zijn in lijn met het huisvesting IV- beveiligingsbeleid.	Service Level Management	De Service Levels zijn in lijn met het beveiligingsbeleid van de Huisvesting Informatievoorziening
HVI_B.06.03	De dienstenniveaus zijn onder andere gericht op de aspecten: beschikbaarheid, openstelling, vertrouwelijkheid (zonering) en herstel (disaster recovery).	Service Level Management	De aspecten waarop de Service Levels o.a. zijn gericht
HVI_B.07.01	De organisatie heeft geïnventariseerd welke data en apparatuur bedrijfskritisch zijn.	In- en externe bedreigingen	De organisatie heeft geïnventariseerd welke data en apparatuur bedrijf kritisch zijn
HVI_B.07.02	Tegen bedreigingen van buitenaf zijn beveiligingsmaatregelen genomen op basis van een expliciete risicoafweging.	In- en externe bedreigingen	Tegen externe bedreigingen zijn beveiligingsmaatregelen genomen o.b.v. een expliciete risicoafweging
HVI_B.07.03	Bij huisvesting van bedrijfsmiddelen wordt rekening gehouden met de kans op gevolgen van rampen veroorzaakt door de natuur en menselijk handelen.	In- en externe bedreigingen	Bij huisvesting van bedrijfsmiddelen wordt rekening gehouden met de gevolgen van rampen
HVI_B.07.04	De aanwezige brandblusapparatuur wordt jaarlijks op geschiktheid gekeurd door de brandweer of een hiertoe erkend keuringsinstituut.	In- en externe bedreigingen	De brandweer keurt de aanwezige brandblusapparatuur jaarlijks op geschiktheid
HVI_B.08.01	Binnen huisvesting Informatievoorzieningen (IV) nemen alle medewerkers regelmatig deel aan beveiligingsbewustwording (bijvoorbeeld I-bewustzijn) en trainingsprogramma’s of nemen deel aan workshops hierover.	Training en bewustwording	Awareness-activiteiten m.b.t. de binnen de Huisvesting Informatievoorziening actieve medewerkers
HVI_B.08.02	Aan de medewerkers wordt regelmatig training (e-learning) aangeboden en zij worden regelmatig op de hoogte gesteld van de ontwikkelingen rond rekencentrumbeveiliging met brochures en nieuwsberichten.	Training en bewustwording	Aanbod van training en op de hoogte stellen van ontwikkelingen rond Rekencentrum beveiliging
HVI_B.09.01	Binnen de huisvestingsorganisatie hebben de verantwoordelijken voor huisvesting Informatievoorzieningen (IV) een formele positie.	Organisatiestructuur huisvesting IV	De verantwoordelijken voor de Huisvesting-IV hebben een formele positie
HVI_B.09.02	Voor huisvesting Informatievoorzieningen (IV) is een organisatieschema beschikbaar.	Organisatiestructuur huisvesting IV	Er is een Huisvestingsorganisatieschema beschikbaar
HVI_B.09.03	Het organisatieschema toont de rollen/functionarissen binnen de huisvesting Informatievoorzieningen (IV)-organisatie.	Organisatiestructuur huisvesting IV	Het organisatieschema toont de rollen/functionarissen binnen de Huisvestingsorganisatie
HVI_B.09.04	De taken, verantwoordelijkheden en bevoegdheden van de functionarissen binnen huisvesting Informatievoorzieningen (IV) zijn expliciet vastgelegd en belegd.	Organisatiestructuur huisvesting IV	De taken, verantwoordelijkheden en bevoegdheden van de functionarissen zijn expliciet belegd
HVI_C.01.01	De huisvesting Informatievoorzieningen (IV)-organisatie beschikt over richtlijnen voor de controle van bedrijfsmiddelen.	Controle-richtlijnen huisvesting IV	De Huisvesting-IV organisatie beschikt over richtlijnen voor controle van bedrijfsmiddelen
HVI_C.01.02	De huisvesting Informatievoorzieningen (IV)-organisatie beschikt over geautomatiseerde middelen voor een effectieve ondersteuning van de controle-activiteiten.	Controle-richtlijnen huisvesting IV	Beschikking over geautomatiseerde middelen voor effectieve ondersteuning van de controle activiteiten
HVI_C.01.03	De huisvesting Informatievoorzieningen (IV)-organisatie beschikt over richtlijnen voor het uitvoeren van een registratie, statusmeting, analyse, rapportage en evaluatie.	Controle-richtlijnen huisvesting IV	Beschikking over richtlijnen voor registratie, statusmeting, analyse, rapportage en evaluatie
HVI_C.01.04	De huisvesting Informatievoorzieningen (IV)-organisatie beschikt over richtlijnen voor het evalueren van de huisvesting IV-organisatie.	Controle-richtlijnen huisvesting IV	Er zijn richtlijnen voor het evalueren van de Huisvesting-IV organisatie
HVI_C.01.05	De huisvesting Informatievoorzieningen (IV)-organisatie heeft de taken, verantwoordelijkheden en bevoegdheden van controlefunctionarissen vastgelegd.	Controle-richtlijnen huisvesting IV	Vastlegging van taken, verantwoordelijkheden en bevoegdheden van controle functionarissen
HVI_C.02.01	Voor kwetsbare voorzieningen (binnen en buiten het gebouw) zijn duidelijke onderhoudsbepalingen gesteld.	Onderhoudsplan	Verantwoordelijke functionaris laat het vastgoed onderhouden o.b.v. vastgesteld onderhoudsplan
HVI_C.02.02	Het vastgoed (onder andere gebouwen) wordt op alle locaties van de huisvesting van de rekencentra onderhouden met een vastgesteld onderhoudsplan.	Onderhoudsplan	Voor kwetsbare voorzieningen zijn duidelijke onderhoudsbepalingen gesteld
HVI_C.03.01	Het bedrijfscontinuïteitsmanagementsysteem (BCMS) is: beschreven; goedgekeurd door het management; toegekend aan een verantwoordelijke functionaris. Het behandeld onder andere: planning, uitvoering van de scope, rapporteren en bespreken van verbetervoorstellen.	Continuïteitsbeheer	Het BCMS is beschreven, goedgekeurd, toegekend en behandeld door het management
HVI_C.03.02	De beoordelingsrapportage bevat kwetsbaarheden en verbetervoorstellen en worden gecommuniceerd met verantwoordelijken/eigenaren van systemen waarin kwetsbaarheden en zwakheden gevonden zijn.	Continuïteitsbeheer	De beoordelingsrapportage wordt gedeeld met systeemverantwoordelijken
HVI_C.03.03	Een continuïteitsplan is opgesteld, met daarin activiteiten, rollen en verantwoordelijkheden, uit te voeren validaties, escalatiepaden en signaleringsrapportage over continuïteit.	Continuïteitsbeheer	Het continuïteitsplan bevat activiteiten, rollen en verantwoordelijkheden en rapportages
HVI_C.03.04	De herstelprocessen en -procedures voor de huisvesting Informatievoorzieningen (IV)-organisatie zijn gedocumenteerd.	Continuïteitsbeheer	De herstelprocessen en -procedures voor de Huisvesting-IV-dienst zijn gedocumenteerd
HVI_C.03.05	Er is gezorgd voor afdoende uitwijkfaciliteiten zodat bij calamiteiten de serviceverlening binnen de daartoe gestelde termijn voortgezet kan worden.	Continuïteitsbeheer	Realisatie van afdoende uitwijkfaciliteiten
HVI_C.03.06	Gebruik van de uitwijkfaciliteit(en) en het draaiboek worden periodiek op correctheid en doelmatigheid getest.	Continuïteitsbeheer	Gebruik van de uitwijkfaciliteit(en) en draaiboek worden periodiek getest
HVI_C.03.07	De huisvesting Informatievoorzieningen (IV)-organisatie is verantwoordelijk voor het beheer, periodiek testen en controleren van uitwijkvoorzieningen.	Continuïteitsbeheer	Verantwoordelijkheid voor beheer, testen, en controleren van uitwijkvoorzieningen
HVI_C.04.01	De belangrijkste functionarissen (stakeholders) voor de beheersorganisatie zijn benoemd en de relaties tussen hen zijn met een organisatieschema inzichtelijk gemaakt.	Beheersorganisatie huisvesting IV	Er zijn functionarissen voor de beheersorganisatie benoemd
HVI_C.04.02	De verantwoordelijkheden voor de beheersprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd.	Beheersorganisatie huisvesting IV	Verantwoordelijkheden zijn toegewezen en vastgelegd
HVI_C.04.03	De organisatie heeft de taken en verantwoordelijkheden voor de uitvoering van de beheerwerkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix.	Beheersorganisatie huisvesting IV	Verantwoordelijkheden zijn beschreven en vastgelegd
HVI_C.04.04	De samenhang van de processen wordt met een processtructuur vastgelegd.	Beheersorganisatie huisvesting IV	De samenhang van processen is in een processtructuur vastgelegd.
HVI_U.01.01	Personeel behoort alleen dankzij ‘need-to-know’ bekend te zijn met het bestaan van of de activiteiten binnen een beveiligd gebied.	Richtlijn gebieden en ruimten	Personeel is op grond van ‘need-to-know’ bekend met het beveiligd gebied
HVI_U.01.02	Zonder toezicht wordt niet gewerkt in beveiligde gebieden. Dit is zowel om veiligheidsredenen als om geen gelegenheid te bieden voor kwaadaardige activiteiten.	Richtlijn gebieden en ruimten	In beveiligde gebieden wordt slechts onder toezicht gewerkt
HVI_U.01.03	Leegstaande beveiligde ruimten behoren fysiek afgesloten en periodiek geïnspecteerd te zijn.	Richtlijn gebieden en ruimten	Leegstaande beveiligde ruimten worden fysiek afgesloten en periodiek geïnspecteerd
HVI_U.01.04	Tenzij goedgekeurd wordt beeld- en geluidsopnameapparatuur, zoals in mobiele apparatuur niet toegelaten in de beveiligde ruimten.	Richtlijn gebieden en ruimten	Foto-, video-, audio- of andere opnameapparatuur wordt niet toegelaten
HVI_U.01.05	Bezoekers van kritieke faciliteiten: worden slechts toegang geboden voor vastgestelde doeleinden; worden continu aan toezicht onderworpen; worden gemonitord bij aankomst en vertrek; krijgen instructie over de beveiliging van de omgeving en van de noodprocedures en worden bewust gemaakt van de beveiligingsregels; wordt verteld dat het gebruik van beeld- en geluidopnamemateriaal/apparatuur niet is toegestaan; dragen verplicht een badge.	Richtlijn gebieden en ruimten	Richtlijnen m.b.t. bezoek tot kritieke faciliteiten
HVI_U.02.01	Voor elk van de geïdentificeerde bedrijfsmiddelen is het eigenaarschap toegekend (zie paragraaf 8.1.2 van de ISO 27002) en de classificatie van het bedrijfsmiddel is geïdentificeerd (zie paragraaf 8.2 van de ISO 27002).	Bedrijfsmiddelen-inventaris	Eigenaarschap en classificatie is toegekend aan elk van de geïdentificeerde bedrijfsmiddelen
HVI_U.02.02	De huisvesting Informatievoorzieningen (IV)-organisatie identificeert de bedrijfsmiddelen, die voor huisvesting IV relevant zijn in de levenscyclus van informatie en documenteert het belang daarvan, waarbij: de levenscyclus van informatie (aanmaak, verwerking, opslag, overdracht, verwijdering en vernietiging) omvat; de documentatie onderhouden wordt in speciale of bestaande inventarislijsten indien van toepassing.	Bedrijfsmiddelen-inventaris	Identificatie en documentatie van bedrijfsmiddelen voor de Huisvesting-IV
HVI_U.02.03	De inventarislijst van de bedrijfsmiddelen is nauwkeurig, actueel, consistent en conform andere inventarisoverzichten.	Bedrijfsmiddelen-inventaris	Actualiteit, consistentie en overeenstemming van de inventarislijst van bedrijfsmiddelen
HVI_U.02.04	De huisvesting Informatievoorzieningen (IV)-organisatie heeft inventarisoverzichten, waarvoor geldt: inventarisoverzichten van bedrijfsmiddelen helpen zeker te stellen dat doeltreffende bescherming plaatsvindt; inventarisoverzichten kunnen vereist zijn voor: financieel (beheer van bedrijfsmiddelen), verzekeringen, gezondheid en veiligheidsredenen e.d.	Bedrijfsmiddelen-inventaris	Doeltreffende bescherming is zekergesteld m.b.v. inventarisoverzichten
HVI_U.03.01	Er wordt voor het inrichten van beveiligde zones gebruik gemaakt van de volgende standaarden: Kader Rijkstoegangsbeleid 2010 Normenkader Beveiliging Rijkskantoren (NkBR) 2016 Beveiligingsvoorschrift Rijksdienst (BVR) 2013	Fysieke zonering	Voorschriften voor het inrichten van beveiligde zones
HVI_U.03.02	Beveiligingszones worden gedefinieerd waarbij de locatie en de sterkte van elke zone afhangen van de beveiligingseisen van de bedrijfsmiddelen die zich binnen de zone bevinden en van de resultaten van een risicobeoordeling.	Fysieke zonering	Locatie en sterkte beveiligingszone afhankelijk van risico en eisen bij bedrijfsmiddelen
HVI_U.03.03	Informatieverwerkende faciliteiten die worden beheerd door de organisatie zijn fysiek of logisch gescheiden van informatieverwerkende faciliteiten die door externe partijen worden beheerd.	Fysieke zonering	Informatieverwerkende faciliteiten zijn gescheiden van extern beheerde faciliteiten
HVI_U.03.04	Alle medewerkers dragen zichtbaar een identificatiemiddel en informeren beveiligingspersoneel als zij in de niet publieke ruimten personen zonder begeleiding en zonder zichtbaar identificatiemiddel tegenkomen.	Fysieke zonering	Het dragen van identificatiemiddellen en het melden van personen zonder zichtbaar identificatiemiddel
HVI_U.03.05	Elke fysieke toegang wordt gecontroleerd en fysiek of elektronisch in een logboek vastgelegd.	Fysieke zonering	Elke fysieke toegang wordt gecontroleerd en in een logboek vastgelegd
HVI_U.04.01	Belangrijke faciliteiten zijn zo gelegen dat ze niet voor iedereen toegankelijk zijn.	Beveiligingsfaciliteiten	Belangrijke faciliteiten moeten zo te worden gesitueerd dat ze niet voor iedereen toegankelijk zijn
HVI_U.04.02	Faciliteiten zijn zo geconfigureerd dat wordt voorkomen dat vertrouwelijke informatie of activiteiten van buitenaf zichtbaar en hoorbaar zijn; voor zover van toepassing wordt ook elektromagnetische afscherming overwogen.	Beveiligingsfaciliteiten	Vertrouwelijke informatie en activiteiten zijn van buitenaf zichtbaar of hoorbaar
HVI_U.04.03	Adresboeken en interne telefoonboeken waarin locaties worden aangeduid met faciliteiten die vertrouwelijke informatie verwerken, zijn niet vrij toegankelijk voor onbevoegden.	Beveiligingsfaciliteiten	Adresboeken en telefoonboeken bevattende vertrouwelijke locaties zijn niet vrij toegankelijk
HVI_U.04.04	Sleutelbeheer is ingericht op basis van een sleutelplan (zie ook het Normenkader Beveiliging Rijkskantoren (NKBR) 2016 paragraaf 5.4).	Beveiligingsfaciliteiten	Sleutelbeheer is ingericht op basis van een sleutelplan
HVI_U.05.01	Nutsvoorzieningen: zijn conform de technische beschrijving van de fabrikant en de lokale wettelijke eisen; worden regelmatig onderzocht, om te beoordelen of hun capaciteit toereikend is voor de groei van het bedrijf en de interactie met andere nutsvoorzieningen; worden regelmatig geïnspecteerd en getest, om te waarborgen dat ze correct functioneren; zijn zo nodig voorzien van een alarmsysteem, om disfunctioneren op te sporen; beschikken voor zover nodig over meervoudige voeding met een verschillende fysieke route.	Nutsvoorzieningen	De nutsvoorzieningen
HVI_U.05.02	Noodverlichting en (nood)communicatiemiddelen zijn aanwezig.	Nutsvoorzieningen	Noodverlichting en (nood)communicatiemiddelen moeten aanwezig zijn
HVI_U.05.03	Nabij nooduitgangen en ruimten waar apparatuur aanwezig is, zijn noodschakelaars en knoppen waarmee stroom, water, gas of andere voorzieningen kunnen worden uitgeschakeld.	Nutsvoorzieningen	Aanwezigheid van noodschakelaars en -knoppen bij nooduitgangen of ruimten waar apparatuur aanwezig is
HVI_U.05.04	Voor de netwerkverbinding(en) is redundantie verkregen via meerdere routes en vanaf meer dan één aanbieder.	Nutsvoorzieningen	Redundantie voor de netwerkverbinding via meerdere routes vanaf meer dan één aanbieder
HVI_U.06.01	Apparatuur en informatieverwerkende- en opslagfaciliteiten worden zodanig geplaatst, dat onbevoegden hier geen toegang toe hebben en beveiligd zijn tegen onbevoegde kennisname van gegevens.	Apparatuur-positionering	Onbevoegden hebben geen toegang tot apparatuur, informatie verwerkende- en opslagfaciliteiten
HVI_U.06.02	Apparatuur wordt beschermd tegen bedreiging (zoals overspanningen, blikseminslag, diefstal, weglekken van informatie door elektromagnetische straling) van buitenaf.	Apparatuur-positionering	Apparatuur wordt beschermd tegen externe bedreigingen
HVI_U.07.01	Apparatuur wordt onderhouden volgens de door de leverancier aanbevolen intervallen voor servicebeurten en voorschriften.	Apparatuur-onderhoud	Apparatuur wordt op aanbevolen intervallen voor servicebeurten en voorschriften onderhouden
HVI_U.07.02	Reparaties en onderhoudsbeurten aan apparatuur worden alleen uitgevoerd door bevoegd onderhoudspersoneel.	Apparatuur-onderhoud	Reparaties en onderhoudsbeurten aan apparatuur worden uitgevoerd door bevoegd onderhoudspersoneel
HVI_U.07.03	Reparaties van en onderhoud aan apparatuur (hardware) worden op locatie en door bevoegd personeel uitgevoerd, tenzij geen data (meer) op het apparaat aanwezig of toegankelijk is.	Apparatuur-onderhoud	Reparatie en onderhoud van apparatuur vindt plaats op locatie en door bevoegd personeel
HVI_U.07.04	Van alle vermeende en daadwerkelijke fouten en van al het preventieve en correctieve onderhoud worden registraties bijgehouden.	Apparatuur-onderhoud	Alle vermeende en daadwerkelijke fouten en elk preventieve en correctieve onderhoud wordt geregistreerd
HVI_U.07.05	Voldaan wordt aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd.	Apparatuur-onderhoud	Er wordt voldaan aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd
HVI_U.07.06	Voordat apparatuur na onderhoud weer in bedrijf wordt gesteld, wordt een inspectie uitgevoerd om te waarborgen dat niet met de apparatuur geknoeid is en dat deze niet slecht functioneert.	Apparatuur-onderhoud	Voorafgaand aan in bedrijfstelling wordt apparatuur op functioneren en knoeien geïnspecteerd
HVI_U.08.01	Voorgaand aan verwijdering of hergebruik, behoort te worden gecontroleerd of apparatuur opslagmedia bevat.	Apparatuur-verwijdering	Voorgaand aan verwijdering of hergebruik wordt gecontroleerd of apparatuur opslag media bevat
HVI_U.08.02	Het verwijderen van apparatuur vindt plaats met vastgestelde procedurestappen: Inleveren, Bij beëindiging van het gebruik of bij een defect worden apparaten en informatiedragers bij de beheersorganisatie ingeleverd. Verwijderen, De beheerorganisatie zorgt voor een verantwoorde verwijdering van data, zodat geen data meer op het apparaat aanwezig of toegankelijk is. Vernietigen, Als verwijdering niet mogelijk is, wordt de data vernietigd. Afvoeren, De beheerorganisatie zorgt voor een verantwoorde afvoer. Het afvoeren of vernietigen wordt per bedrijfseenheid geregistreerd.	Apparatuur-verwijdering	Het verwijderen van apparatuur vindt plaats volgens vastgestelde procedurestappen
HVI_U.09.01	In het beveiligingsbeleid is geborgd dat het invoeren en afvoeren van bedrijfsmiddelen met een vaste procedure plaatsvindt. Onderdeel van deze procedure is een formeel toestemmingstraject.	Bedrijfsmiddelenverwijdering	Het toestemmingstraject voor in- en afvoeren van bedrijfsmiddelen is in het beveiligingsbeleid geborgd
HVI_U.09.02	Medewerkers en gebruikers van externe partijen, die bevoegd zijn om toe te staan dat bedrijfsmiddelen van de locatie worden meegenomen, worden geïdentificeerd.	Bedrijfsmiddelenverwijdering	Identificatie van externe personen die bedrijfsmiddelen van de locatie mogen (laten) nemen
HVI_U.09.03	Aan de afwezigheid van bedrijfsmiddelen worden tijdsgrenzen gesteld en geverifieerd wordt dat ze tijdig worden teruggebracht.	Bedrijfsmiddelenverwijdering	Tijdsgrenzen aan de afwezigheid ern terugbrengen van bedrijfsmiddelen worden geverifieerd
HVI_U.09.04	Voor zover nodig en gepast wordt het meenemen en de terugkeer van bedrijfsmiddelen geregistreerd.	Bedrijfsmiddelenverwijdering	Meenemen en terugkeer van bedrijfsmiddelen worden geregistreerd
HVI_U.09.05	De identiteit, rol en connectie van iedereen die bedrijfsmiddelen hanteert of gebruikt, worden gedocumenteerd en deze documenten moeten samen met de apparatuur, informatie of software worden geretourneerd.	Bedrijfsmiddelenverwijdering	Documentatie van ieders identiteit, rol en connectie die bedrijfsmiddelen hanteert of gebruikt
HVI_U.10.01	Er is een procedure voor het omgaan met verdachte brieven en pakketten in postkamers en laad- en losruimten.	Laad- en loslocatie	Een procedure beschrijft het omgaan met verdachte brieven en pakketten
HVI_U.10.02	Toegang tot een laad- en loslocatie van buiten het gebouw wordt beperkt tot geïdentificeerd en bevoegd personeel.	Laad- en loslocatie	Toegang van buitenaf tot laad- en loslocaties wordt beperkt tot geïdentificeerd en bevoegd personeel
HVI_U.10.03	De laad- en loslocaties zijn zo ontworpen dat goederen kunnen worden geladen en gelost zonder dat de leverancier toegang heeft tot andere delen van het gebouw.	Laad- en loslocatie	Eisen aan de laad- en loslocatie
HVI_U.10.04	De buitendeuren van een laad- en loslocatie moeten beveiligd zijn als de binnendeuren open zijn.	Laad- en loslocatie	De buitendeuren van een laad- en loslocatie moeten beveiligd te zijn als de binnendeuren open zijn
HVI_U.10.05	Inkomende materialen worden bij binnenkomst op de locatie geregistreerd volgens de procedures voor bedrijfsmiddelenbeheer.	Laad- en loslocatie	Inkomende materialen worden bij binnenkomst op de locatie geregistreerd
HVI_U.10.06	Inkomende en uitgaande zendingen worden, voor zover mogelijk, fysiek gescheiden.	Laad- en loslocatie	Inkomende en uitgaande zendingen moeten, voor zover mogelijk, fysiek te worden gescheiden
HVI_U.10.07	Inkomende materialen worden gecontroleerd op mogelijke aanwijzingen voor vervalsing tijden het transport. Bij ontdekte vervalsing wordt dit direct aan het beveiligingspersoneel gemeld.	Laad- en loslocatie	Inkomende materialen worden gecontroleerd op mogelijke aanwijzingen voor vervalsing
HVI_U.11.01	Kabels worden bij voorkeur ondergronds aangelegd.	Bekabeling	Kabels worden bij voorkeur ondergronds aangelegd
HVI_U.11.02	Huisvesting Informatievoorzieningen (IV) is ingericht met de volgende best practices: TIA-942: Telecommunication Infrastructure Standard for Data Centers NEN-EN 50600: Europese normenreeks voor datacenters NPR 5313: Richtlijn voor datacenters (2014)	Bekabeling	De huisvesting van de Rekencentra is ingericht op basis van “Best Practices”
HVI_U.11.03	Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk door onbevoegden.	Bekabeling	Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk door onbevoegden
HVI_U.12.01	De aanwezige architectuurvoorschriften voor de fysieke inrichting van huisvesting Informatievoorzieningen (IV) worden actief onderhouden.	Huisvesting IV-architectuur	De architectuurvoorschriften voor de Huisvesting-IV worden actief onderhouden
HVI_U.12.02	De inrichting van huisvesting Informatievoorzieningen (IV) en bekabelingen zijn gedocumenteerd.	Huisvesting IV-architectuur	De inrichting van de Huisvesting-IV voorzieningen en bekabelingen zijn gedocumenteerd
HVI_U.12.03	Het document met de inrichting van huisvesting Informatievoorzieningen (IV) en de bekabeling: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd.	Huisvesting IV-architectuur	Aan het architectuurdocument gestelde eisen
Huisv_B.01.01			Aan - door de organisatie opgesteld - Huisvestingsbeleid gestelde eisen
Huisv_B.01.02			Beleidsregels behandelen uit bedrijfsstrategie wet- en regelgeving en bedreigingen voorkomende eisen
Huisv_B.01.03			Aan specifieke onderwerpen gerelateerde beleidsregels m.b.t. Huisvesting Informatievoorziening
Huisv_U.02.04 vervallen	Voor elk van de geïdentificeerde bedrijfsmiddelen behoort het eigenaarschap te worden toegekend (zie 8.1.2) en de classificatie te worden geïdentificeerd (zie 8.2).		Eigenaarschap en classificatie van elk van de bedrijfsmiddelen is geïdentificeerd en toegekend
LTV_C.03.01	Logbestanden van applicaties en systemen bevatten uitzonderingen, informatiebeveiligingsgebeurtenissen en informatie over wanneer en door wie welke gegevens zijn aangebracht, gemuteerd en gewijzigd.		Uitzonderingen, informatiebeveiligingsgebeurtenissen en informatie over wanneer en door wie welke gegevens zijn aangebracht, gemuteerd en gewijzigd worden opgeslagen in logbestanden van applicaties en systemen
LTV_C.03.04	Bij ontdekte nieuwe dreigingen (aanvallen) worden deze binnen geldende juridische kaders gedeeld binnen de overheid middels (geautomatiseerde) threat intelligence sharing mechanismen.		Nieuwe dreigingen worden binnen geldende juridische kaders gedeeld
LTV_C.04.03	De verantwoordelijkheden voor de beheersprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd.		De verantwoordelijkheden voor de beheersprocessen zijn toegewezen en vastgelegd
MDW_B.01.01	Er is een middlewarecomponentenbeleid vanuit de klant-organisatie waarin de eisen voor deze componenten zijn gedefinieerd en vastgesteld. Er moet speciale aandacht zijn voor het beschermen van de componenten tegen ransomware-aanvallen.	Beleid middlewarecomponenten	Middlewarecomponentenbeleid en bescherming tegen ransomware-aanvallen
MDW_B.01.02	De leverancier heeft het beleid voor middlewarecomponenten gereviewd en zo nodig verbeteringen daarop voorgesteld.	Beleid middlewarecomponenten	Review en verbetervoorstellen voor middlewarecomponentenbeleid
MDW_B.01.03	Op basis van een expliciete risicoafweging is bepaald wat het maximaal toegestane dataverlies is (in de middlewareomgeving) en wat de maximale hersteltijd is na een incident.	Beleid middlewarecomponenten	Risicoafweging voor maximaal dataverlies en hersteltijd in de middlewareomgeving
MDW_B.01.04	Het back-upproces via middlewarecomponenten voorziet in opslag van de back-up op een locatie, waarbij een incident op de ene locatie niet kan leiden tot schade op de andere locatie.	Beleid middlewarecomponenten	Back-upproces en gescheiden opslaglocaties voor middlewarecomponenten
MDW_B.01.05	De restoreprocedure wordt minimaal jaarlijks getest of na een grote wijziging om de betrouwbaarheid te waarborgen als ze in noodgevallen uitgevoerd moet worden.	Beleid middlewarecomponenten	Periodiek testen van de restoreprocedure voor betrouwbaarheid bij noodgevallen
MDW_B.01.06	De opzet en de instelling van integratiefuncties in middleware voldoet aan de geldende eisen voor softwareontwikkeling.	Beleid middlewarecomponenten	Integratiefuncties in middleware volgens eisen voor softwareontwikkeling
MDW_B.01.07	Voor de toegang tot configuratie en beheer van integratiefuncties worden speciale toegangsrechten gehanteerd.	Beleid middlewarecomponenten	Speciale toegangsrechten voor configuratie en beheer van integratiefuncties
MDW_B.01.08	Aan data en middelen waarin/waarop zich data bevindt, wordt door de verwerkingsverantwoordelijke een classificatie toegekend, die gebaseerd is op datatype, waarde, gevoeligheid en kritische gehalte voor de organisatie.	Beleid middlewarecomponenten	Dataclassificatie op basis van waarde, gevoeligheid en kritische gehalte
MDW_B.01.09	Data gerelateerd aan e-commerce en verstuurd via publieke netwerken is adequaat geclassificeerd en beschermd tegen fraude, ongeautoriseerde toegang en aantasten/corrumperen van data.	Beleid middlewarecomponenten	Classificatie en bescherming van e-commerce data op publieke netwerken
MDW_B.02.01	Het beleid voor informatieoverdracht omvat ten minste de volgende elementen: de regels en procedures zijn afgestemd op het classificatieniveau van de informatie; de regels en procedures bieden bescherming tegen risico's zoals ongeautoriseerde toegang, wijziging, onderschepping, kopiëren, vernietiging of denial-of-service; onderwerp-specifieke richtlijnen over toegestane en aanbevolen methoden voor informatieoverdracht (digitaal, fysiek, verbaal, intern/extern); Richtlijnen voor de opslag en verwijdering van bedrijfsgegevens, inclusief berichten en overgedragen informatie; aandacht voor relevante wettelijke, regelgevende en contractuele verplichtingen; gedefinieerde verantwoordelijkheden, inclusief contactgegevens van betrokken partijen (zowel intern als extern); eisen voor het waarborgen van traceerbaarheid en de integriteit van de bewakingsketen, bijvoorbeeld middels registratie van overdrachten en mechanismen voor onweerlegbaarheid (elektronische handtekening).	Beleid informatietransport	Beleid en richtlijnen voor veilige informatieoverdracht
MDW_B.02.02	Organisaties hanteren op basis van bewuste keuzes, procedures voor de uitwisseling van data via integratiefuncties van middlewarecomponenten.	Beleid informatietransport	Procedures voor data-uitwisseling via integratiefuncties van middlewarecomponenten
MDW_B.02.03	De (klant)organisatie heeft met een Privacy Impact Assessment (PIA) bepaald en vastgelegd welke applicaties en systemen berichten met elkaar en met partner organisaties uit mogen wisselen.	Beleid informatietransport	Privacy Impact Assessment voor toegestane berichtenuitwisseling tussen systemen
MDW_B.03.01	In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt: Wanneer cryptografie ingezet wordt. Wie verantwoordelijk is voor de implementatie. Wie verantwoordelijk is voor het sleutelbeheer. Welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast. De wijze waarop het beschermingsniveau vastgesteld wordt. Bij communicatie tussen organisaties wordt het beleid onderling vastgesteld.	Data en privacy	Cryptografiebeleid: inzet, verantwoordelijkheden en normen
MDW_B.03.02	Middlewarefuncties mogen uitsluitend, toegestane en geformaliseerde bewerkingen uitvoeren op bedrijfs- en persoonsgebonden data.	Data en privacy	Toegestane bewerkingen van middlewarefuncties op bedrijfs- en persoonsgegevens
MDW_B.03.03	Ter bescherming van data en van privacy zijn beveiligingsmaatregelen getroffen, in de vorm van een data-analyse, PIA, sterke toegangsbeveiliging en encryptie.	Data en privacy	Beveiligingsmaatregelen ter bescherming van data en privacy
MDW_B.03.04	Er is een back-upbeleid waarin de eisen voor het bewaren en beschermen zijn gedefinieerd en vastgesteld. Er moet speciale aandacht zijn voor het beschermen van de back-up tegen ransomware-aanvallen en genomen maatregelen om de integriteit van de back-up te behouden.	Data en privacy	Back-upbeleid en bescherming tegen ransomware en integriteitsverlies
MDW_B.03.05	Opslagsystemen zijn opgenomen in een disaster recovery- en de bedrijfscontinuïteitsplanning.	Data en privacy	Opslagsystemen in disaster recovery- en bedrijfscontinuïteitsplanning
MDW_B.04.01	De structuur van organisatie en techniek, geleverd door interne IT- leveranciers of partnerorganisaties bevat de volgende aspecten: beveiligingsbeleid van de klantorganisatie op basis van principes en wet- en regelgeving; functioneel: type en scope van de middlewarediensten; zoneringsmodel voor scheiding tussen organisatie van klanten; trust framework (afspraken en maatregelen ter bevordering van vertrouwensrelatie); risicomanagement; beschrijving van de samenhang op hoofdlijnen.	Middlewarearchitectuur en certificering	Organisatie- en technische structuur voor middlewarediensten en samenwerking
MDW_B.04.02	De structuur geleverd door de externe IT- en cloud-leveranciers voldoet aan relevante internationale standaarden zoals bijvoorbeeld NIST en CIF of gelijkwaardig.	Middlewarearchitectuur en certificering	Structuur van externe IT- en cloudleveranciers volgens internationale standaarden
MDW_B.04.03	IT-leveranciers die de CIF-Code of Practice (of gelijkwaardig) naleven, zullen zich op een open en transparante manier gedragen, wat rationele besluitvorming en beheer door inkopers van hun diensten mogelijk maakt.	Middlewarearchitectuur en certificering	Transparantie en verantwoord handelen volgens de CIF Code of Practice
MDW_C.01.01	Vooraf vastgestelde regels voor het evalueren/controleren van middlewarefunctionaliteiten.	Evaluatierichtlijnen	Vooraf vastgestelde evaluatieregels voor middlewarefunctionaliteiten
MDW_C.01.02	De leverancier beschikt over geautomatiseerde middelen voor een effectieve ondersteuning van de controle-activiteiten.	Evaluatierichtlijnen	Geautomatiseerde ondersteuning van controle-activiteiten door de leverancier
MDW_C.01.03	De leverancier beschikt over richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie.	Evaluatierichtlijnen	Richtlijnen voor registratie, meting, analyse, rapportage en evaluatie door de leverancier
MDW_C.01.04	De leverancier heeft de taken, verantwoordelijkheden en bevoegdheden van controlefunctionarissen vastgelegd.	Evaluatierichtlijnen	Vastlegging van taken, verantwoordelijkheden en bevoegdheden van controlefunctionarissen
MDW_C.02.02	De naleving van het beleid voor Bewaken en Herstellen wordt door de leverancier periodiek getoetst en geëvalueerd, waarbij tenminste wordt bepaald: welke afwijkingen er zijn tussen beleid en uitvoering; welke maatregelen worden getroffen om de uitvoering (weer) te laten voldoen aan het beleid.	Evaluatie naleving beleid	Periodieke toetsing en evaluatie van naleving van het beleid voor Bewaken en Herstellen
MDW_C.03.01	Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s van de feitelijke veiligheid. Dit kan door middel van (geautomatiseerde) kwetsbaarheidsanalyses, penetratietesten of red-teamingstesten. Internetfacing-informatiesystemen worden bij voorkeur continue getest op zwakheden en kwetsbaarheden.	Beoordeling middlewarefunctionaliteit	Jaarlijkse technische controle en continue testing van informatiesystemen op beveiligingsnormen en kwetsbaarheden
MDW_C.03.03	De resultaten van de onafhankelijke beoordelingen worden geregistreerd en gerapporteerd aan het management dat de beoordelingen heeft geïnitieerd. Indien nodig initieert het management corrigerende maatregelen.	Beoordeling middlewarefunctionaliteit	Onafhankelijke en competente uitvoering van periodieke beoordelingen
MDW_C.03.04	De leverancier voert periodiek controles uit op de toegekende autorisaties voor middlewarefunctionaliteiten.	Beoordeling middlewarefunctionaliteit	Periodieke controle op toegekende autorisaties voor middlewarefunctionaliteiten
MDW_C.03.05	De leverancier beschikt over richtlijnen voor het beoordelen van de technische omgeving van middlewarefunctionaliteiten.	Beoordeling middlewarefunctionaliteit	Richtlijnen voor beoordeling van de technische omgeving van middlewarefunctionaliteiten
MDW_C.03.06	De toegekende autorisaties aan gebruikers en de daarbij behorende rechten zijn afgestemd met de klant en de wijze waarop dit wordt gelogd is gedefinieerd. Voor beheerders wordt bij voorkeur PAM toegepast.	Beoordeling middlewarefunctionaliteit	Afstemming van gebruikersautorisaties en logging, met toepassing van PAM voor beheerders
MDW_C.03.07	De leverancier rapporteert de afwijkingen op de toegang tot middleware, inclusief de reden hiervan.	Beoordeling middlewarefunctionaliteit	Rapportage van afwijkingen op toegang tot middleware inclusief oorzaak
MDW_C.04.01	In de rapportages wordt, onder andere, aandacht besteed aan: implementatieactiviteiten van middlewarefunctionaliteiten en getroffen maatregelen/voorzieningen hieromtrent; de performance van de services; incidenten over middlewarefunctionaliteiten die mogelijk invloed hebben gehad op de beschikbaarheid, integriteit en vertrouwelijkheid van informatie-verwerkende systemen; analyse van incidenten en mogelijke verbeteringsvoorstellen.	Rapporteren middlewarefunctionaliteiten	Rapportage over implementatie, performance, incidenten en verbetervoorstellen van middlewarefunctionaliteiten
MDW_C.05.01	De verantwoordelijke functionaris analyseert periodiek: de gelogde gebruikers-en activiteitengegevens betreffende middlewarefunctionaliteiten; het optreden van verdachte gebeurtenissen en mogelijke schendingen van de beveiligingseisen; eventuele ongeautoriseerde toegang tot en wijzigingen/verwijderen van logbestanden van middlewarefunctionaliteiten.	Monitoren gebruikers- en beheerdersactiviteiten	Periodieke analyse van loggegevens, verdachte gebeurtenissen en ongeautoriseerde toegang bij middlewarefunctionaliteiten
MDW_C.05.02	De verzamelde loginformatie van middlewarefunctionaliteiten wordt in samenhang geanalyseerd.	Monitoren gebruikers- en beheerdersactiviteiten	Samenhangende analyse van loginformatie van middlewarefunctionaliteiten
MDW_C.05.03	Periodiek worden de geanalyseerde en beoordeelde gelogde (gesignaleerde) gegevens aan de eigenaren van middlewarefunctionaliteit aan het management gerapporteerd.	Monitoren gebruikers- en beheerdersactiviteiten	Periodieke rapportage van geanalyseerde loggegevens aan eigenaren en management
MDW_U.01.01	De leverancier past formele richtlijnen en procedures toe voor het installeren, onderhouden en toekennen van de toegang tot de middlewareomgeving/producten en het verzorgen van back-up/herstel.	Richtlijnen en procedures middlewarefunctionaliteit	Richtlijnen en procedures voor beheer en toegang tot de middlewareomgeving
MDW_U.01.02	Er zijn formele intake-procedures voor het in beheer nemen van middlewareproducten.	Richtlijnen en procedures middlewarefunctionaliteit	Formele intakeprocedures voor het in beheer nemen van middlewareproducten
MDW_U.01.03	Middlewareproducten mogen als onderdeel van de IT-infrastructuur pas na het doorlopen van een formeel afgesproken acceptatietraject beschikbaar worden gesteld.	Richtlijnen en procedures middlewarefunctionaliteit	Formeel acceptatietraject voor ingebruikname van middlewareproducten
MDW_U.01.04	De bedieningsprocedures voor middleware omvatten onder meer: verantwoordelijkheden van betrokken personen; instructies voor beveiligde installatie, configuratie en onderhoud van de systemen; instructies voor het omgaan met fouten, uitzonderlijke omstandigheden en beperkingen op systeemhulpmiddelen; ondersteunings- en escalatiecontacten, inclusief externe contacten; procedures voor opnieuw opstarten en herstellen bij systeemstoringen; beheer van audittrajecten, systeemlogs en videobewakingssystemen. monitoring van capaciteit, prestaties en beveiliging.	Richtlijnen en procedures middlewarefunctionaliteit	Bedieningsprocedures voor beheer, monitoring en herstel van middleware
MDW_U.02.01	De verantwoordelijkheden aan beheerders zijn toegewezen op basis van beleidsregels voor de beveiliging van middlewarefunctionaliteiten.	Rollen en verantwoordelijkheden middlewarefunctionaliteit	Toewijzing van beheerdersverantwoordelijkheden volgens middlewarebeveiligingsbeleid
MDW_U.02.02	Verantwoordelijkheden voor bovengenoemde activiteiten bij middlewarefunctionaliteiten zijn toebedeeld aan specifieke functionarissen en rollen.	Rollen en verantwoordelijkheden middlewarefunctionaliteit	Toewijzing van rollen en verantwoordelijkheden voor middlewareactiviteiten
MDW_U.02.03	De rollen en (speciale) bevoegdheden van beheerders van middlewarefunctionaliteiten zijn gedefinieerd en gedocumenteerd.	Rollen en verantwoordelijkheden middlewarefunctionaliteit	Definitie en documentatie van rollen en bevoegdheden van middlewarebeheerders
MDW_U.03.01	Middlewarefunctionaliteiten, zoals databases, opslagbeheer en integratiefuncties mogen niet buiten reguliere paden om door gebruikers te benaderen zijn.	Toegang tot middlewarefunctionaliteit	Beperkingen op directe toegang tot middlewarefunctionaliteiten door gebruikers
MDW_U.03.02	Gebruikers verkrijgen toegang tot de middlewarefunctionaliteiten volgens de gedefinieerde reguliere paden en met goedkeurde additionele hulpmiddelen: Beheerders identificeren zich op basis van (versterkte) authenticatie en via Privileged Access Management (PAM). Gebruikers (systemen) identificeren zich met bijzondere middelen (PKIo e.d.). API-sleutels moeten regelmatig gevalideerd worden, als verantwoordelijkheid van de eigen organisatie.	Toegang tot middlewarefunctionaliteit	Toegang tot middlewarefunctionaliteiten via reguliere paden en geauthenticeerde hulpmiddelen
MDW_U.03.03	Gegevens binnen middlewarecomponenten (of die door middlewarefunctionaliteiten worden geboden) mogen niet ongeautoriseerd worden gewijzigd.	Toegang tot middlewarefunctionaliteit	Bescherming tegen ongeautoriseerde wijziging van gegevens in middlewarecomponenten
MDW_U.03.04	Middlewarecomponenten zijn beschermd tegen ongeoorloofde toegang doordat: • onnodige of onveilige gebruikersaccounts zijn verwijderd; • belangrijke beveiliging-gerelateerde parameters juist zijn ingesteld.	Toegang tot middlewarefunctionaliteit	Beveiliging van middlewarecomponenten tegen ongeoorloofde toegang
MDW_U.06.01	In de middlewarearchitectuur zijn detectiemechanismen actief voor het vastleggen en detecteren van aanvallen (mechanismen leveren input aan een SIEM-systeem of gelijkwaardig).	Logging en monitoring middleware	Detectiemechanismen voor aanvaldetectie in de middlewarearchitectuur
MDW_U.06.02	De te registreren acties worden centraal opgeslagen (in een SIEM-systeem of gelijkwaardig).	Logging en monitoring middleware	Centrale opslag van geregistreerde acties in een SIEM-systeem
MDW_U.06.03	Er is vooraf bepaald wat te doen bij het uitvallen van loggingsmechanismen (alternatieve paden).	Logging en monitoring middleware	Procedure bij uitval van loggingsmechanismen
MDW_U.06.04	De (online of offline) bewaartermijn voor logging is vastgesteld en komt tot uitdrukking in de configuratie-instellingen van binnen het softwarepakket.	Logging en monitoring middleware	Vastgestelde bewaartermijnen voor logging in configuratie-instellingen
MDW_U.07.01	Het ontwerp van middleware van informatiesystemen is gedocumenteerd, waarbij onder andere beschreven is: de functies die door elke component worden geleverd; de geactiveerde interactie met andere systemen; op welke wijze configuratie en deployment mogelijk is.	Ontwerpdocumentatie	Gedocumenteerd ontwerp van middlewarearchitectuur en componentinteracties
MDW_U.07.02	Documentatie van een (her)ontwerp is bij voorkeur in een repository opgeslagen, om op eenvoudige wijze de impact van een aanpassing te kunnen bepalen.	Ontwerpdocumentatie	Opslag van ontwerpdocumentatie in een repository voor impactanalyse
MDW_U.08.01	Voor dataopslag dienen uitsluitend adequate encryptiealgoritmen en -methoden van maskering te worden toegepast, zoals aangegeven op de ‘pas-toe-en-leg-uit lijst’ van het Forum Standaardisatie.	Vertrouwelijkheid en integriteit data	Encryptie en datamaskering voor veilige dataopslag volgens Forum Standaardisatie
MDW_U.08.02	Waar mogelijk dient een centraal toepasbaar sleutelbeheersysteem te worden toegepast voor de generatie en archivering van cryptosleutels.	Vertrouwelijkheid en integriteit data	Centraal sleutelbeheersysteem voor generatie en archivering van cryptosleutels
MDW_U.08.03	De sterkte van de cryptografie wordt gebaseerd op de actuele adviezen van het NCSC en de Unit Weerbaarheid van de AIVD.	Vertrouwelijkheid en integriteit data	Cryptografische sterkte gebaseerd op adviezen van NCSC en AIVD
MDW_U.08.04	Er zijn (contractuele) afspraken over reservecertificaten van een alternatieve leverancier als uit de risicoafweging blijkt dat deze noodzakelijk zijn als onderdeel van gereedheid voor bedrijfscontinuïteit.	Vertrouwelijkheid en integriteit data	Afspraken over reservecertificaten voor waarborging van bedrijfscontinuïteit
MDW_U.09.01	De beveiliging van opslagfaciliteiten bevat verschillende lagen van redundancy, waarmee ‘single points of failure’ worden voorkomen en de overeengekomen beschikbaarheid van data kan worden gegarandeerd.	Betrouwbare dataopslag	Beveiliging en redundantie van opslagfaciliteiten voor beschikbaarheid van data
MDW_U.09.02	Redundancy moet zoveel mogelijk worden benut.	Betrouwbare dataopslag	Maximale benutting van redundantie
MDW_U.09.03	De technische betrouwbaarheid van opslagsystemen mag de effectiviteit van beveiligingsfuncties niet kunnen beïnvloeden.	Betrouwbare dataopslag	Technische betrouwbaarheid van opslagsystemen en de onafhankelijkheid van beveiligingsfuncties
MDW_U.09.04	Kwetsbaarheden van opslagsystemen dienen proactief te worden verholpen om hun impact op de betrouwbaarheid te beperken.	Betrouwbare dataopslag	Proactief verhelpen van kwetsbaarheden in opslagsystemen
MDW_U.10.01	Back-upinformatie is beschermd tegen ongeautoriseerde toegang, bijvoorbeeld met encryptie.	Dataherstel	Bescherming van back-upinformatie tegen ongeautoriseerde toegang
MDW_U.10.02	Uitsluitend geautoriseerde personen hebben toegang tot back-upmedia.	Dataherstel	Toegangsbeheersing voor back-upmedia
MDW_U.10.03	Kopieën voor bedrijfs-kritische informatie worden met passende zorg voor betrouwbaarheid, fout-tolerantie en performance gemaakt en beheerd.	Dataherstel	Beheer van kopieën van bedrijfskritische informatie voor betrouwbaarheid en performance
MDW_U.10.04	Op basis van een expliciete risicoafweging is bepaald wat het maximaal toegestane dataverlies is en wat de maximale hersteltijd is na een incident.	Dataherstel	Risicoafweging voor maximaal toegestaan dataverlies en hersteltijd
MDW_U.10.05	Periodiek (minimaal jaarlijks en na een grote wijziging) wordt getest of herstel van back-updata werkt en of disaster recovery van opslagsystemen functioneert.	Dataherstel	Periodieke tests van herstel van back-updata en disaster recovery
MDW_U.11.01	Er is een verwijderinstructie waarin is opgenomen dat van verwijderbare media die herbruikbaar zijn en die de organisatie verlaten de onnodige inhoud onherstelbaar verwijderd is.	Schonen data en media	Verwijderinstructie voor onherstelbare verwijdering van inhoud op herbruikbare media
MDW_U.11.02	Voor het wissen van alle data op het medium, wordt data onherstelbaar verwijderd of onbeschikbaar gemaakt; Er wordt gecontroleerd of alle data onherstelbaar verwijderd is. Hiervan wordt verslag gemaakt; Er wordt gebruik gemaakt van producten waarvoor de Unit Weerbaarheid van het Nationaal Bureau voor Verbindingsbeveiliging (NBV) een positief inzetadvies afgegeven heeft.	Schonen data en media	Onherstelbare verwijdering van data op media conform NBV-richtlijnen
MDW_U.12.01	Er kunnen uitsluitend berichten van en met geauthentiseerde gebruikers en systemen worden uitgewisseld.	Beveiliging berichtenverkeer	Berichtuitwisseling uitsluitend met geauthenticeerde gebruikers en systemen
MDW_U.12.02	De applicaties en systemen die berichten uitwisselen zijn bekend.	Beveiliging berichtenverkeer	Registratie van applicaties en systemen voor berichtuitwisseling
MDW_U.12.03	Fout of onvolledig uitgewisselde data wordt herkend en hersteld.	Beveiliging berichtenverkeer	Herkenning en herstel van fout of onvolledig uitgewisselde data
MDW_U.12.04	Het dataverkeer van of naar de vertrouwde omgeving, wordt bewaakt/geanalyseerd op verdacht verkeer met detectievoorzieningen.	Beveiliging berichtenverkeer	Bewaking en analyse van dataverkeer op verdacht verkeer met detectievoorzieningen
MDW_U.12.05	Geavanceerde en/of gekwalificeerde elektronische handtekeningen moeten voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie.	Beveiliging berichtenverkeer	Vereisten voor geavanceerde elektronische handtekeningen conform AdES Baseline Profiles
MDW_U.12.06	Maak bij openbaar webverkeer van gevoelige gegevens gebruik van ten minste publiek vertrouwde Organization Validated-certificaten. Maak bij intern webverkeer voor gevoelige gegevens gebruik van ten minste publieke vertrouwde OV-certificaten of private PKIo-certificaten. Hogere eisen aan certificaten kunnen voortvloeien uit een risicoanalyse, aansluitvoorwaarden of wetgeving.	Beveiliging berichtenverkeer	Certificaatvereisten voor webverkeer met gevoelige gegevens op basis van risicoanalyse
MDW_U.12.07	Internetfacing-informatiesystemen en e-mail- berichtenverkeer moeten blijvend voldoen aan de verplichte standaarden, zie hiervoor de website van het Forum Standaardisatie. Hierop wordt gestuurd met de metingen van internet.nl. Daarbij dienen alle onderdelen te worden ingesteld zodat een optimale beveiliging wordt bereikt zonder afbreuk te doen aan de functionaliteit van de geboden dienst.	Beveiliging berichtenverkeer	Naleving van verplichte standaarden voor internetfacing-systemen en e-mailverkeer conform Forum Standaardisatie
MDW_U.13.01	De doorvoercapaciteit van de integratievoorziening wordt bewaakt op: behalen van gestelde capaciteitsdoelen; voorkomende piek- en dal-perioden; voorkomende bottlenecks zoals overbelasting inclusief te lange netwerk queues, latency en netwerk jitter.	Capaciteitsbeheer middleware	Bewaking van doorvoercapaciteit en prestaties van de integratievoorziening
MDW_U.13.02	Netwerken waar integratievoorzieningen gebruik van maken, worden bewaakt op DoS- en DDoS-aanvallen.	Capaciteitsbeheer middleware	Monitoring van netwerken op DoS- en DDoS-aanvallen
MDW_U.13.03	De resultaten van monitoractiviteiten worden gereviewd en gepresenteerd aan de eigenaren van de bedrijfsprocessen. (De aanbieder wordt daarbij geacht een plan B te hebben als de limieten van de dienstverlening structureel behaald/overschreden worden.)	Capaciteitsbeheer middleware	Review en rapportage van monitorresultaten aan proceseigenaren
PRIV_B.01.01.01	Het beleid geeft duidelijkheid over hoe de verantwoordelijken hun verantwoordelijkheid voor de naleving van de beginselen en de rechtsgrondslagen invullen en dit kunnen aantonen ("verantwoordingsplicht")AVG Art. 5 lid 2.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid; duidelijkheid over naleving en verantwoordingsplicht
PRIV_B.01.01.02	Het privacybeleid is tot stand gekomen langs een cyclisch proces dat voldoet aan een gestandaardiseerd patroon met daarin de elementen: voorbereiden, ontwikkelen, goedkeuren, communiceren, uitvoeren, implementeren en evalueren.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid; cyclisch proces
PRIV_B.01.01.03	Het topmanagement van de organisatie heeft het privacybeleid vastgelegd, bekrachtigd en gecommuniceerd binnen de organisatie, met daarin de visie op privacybescherming en richtlijnen voor het - in overeenstemming met de wet - rechtmatig, behoorlijk en transparant verwerken van persoonsgegevens.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid; vastgesteld en gecommuniceerd
PRIV_B.01.01.04	De organisatie heeft vastgesteld en vastgelegd welke wet- en regelgevingen gelden.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid i.r.t. wet- en regelgeving
PRIV_B.01.01.05	In het beleid is vastgelegd en bekrachtigd op welke wijze invulling wordt gegeven aan de eisen van de sectorspecifieke wetgeving.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid i.r.t. sectorspecifieke wetgeving.
PRIV_B.01.01.06	In het beleid is vastgelegd of een gedragscode wordt gehanteerd waarin de uitvoering van de AVG nader wordt geconcretiseerd voor de eigen organisatie of branche, en met welke frequentie deze gedragscode en de naleving ervan worden gecontroleerd en geëvalueerd door de verantwoordelijke en - indien aangesteld - de Functionaris voor Gegevensbescherming (FG)AVG Art. 25 en Art. 64 lid 2.	Privacy Beleid geeft duidelijkheid en sturing	Privacybeleid i.r.t. gedragscode
PRIV_B.01.02.01	Beschreven is hoe gewaarborgd wordt dat verantwoordelijken vooraf aantoonbaar maatregelen hebben genomen door het conform PRIV_U.03: Kwaliteitsmanagement toepassen van Privacy by Design, het uitvoeren van DPIA's en het gebruik van standaard instellingen.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijving van privacy by design
PRIV_B.01.02.02	Beschreven is hoe gewaarborgd wordt dat persoonsgegevens, conform PRIV_U.01: Doelbinding gegevensverwerking, voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat de gegevens niet op een met die doeleinden onverenigbare wijze worden verwerkt.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijving van de doeleinden voor het verzamelen
PRIV_B.01.02.03	Beschreven is hoe gewaarborgd wordt dat, conform PRIV_U.01: Doelbinding gegevensverwerking, de verwerking toereikend, ter zake dienend en beperkt is tot "minimale gegevensverwerking"; tot wat noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van minimalisatie van verwerken
PRIV_B.01.02.04	Beschreven is hoe gewaarborgd wordt dat, conform PRIV_U.03: Kwaliteitsmanagement, de persoonsgegevens juist zijn en zo nodig worden geactualiseerd en waarbij alle redelijke maatregelen moeten zijn genomen om de persoonsgegevens die onjuist zijn, gelet op de doeleinden waarvoor zij worden verwerkt, onverwijld te wissen of te rectificeren.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van juistheid en actualiteit van de gegevens
PRIV_B.01.02.05	Beschreven is hoe gewaarborgd wordt dat, conform PRIV_U.04: Beveiligen van de verwerking van persoonsgegevens, passende technische en organisatorische beveiligingsmaatregelen worden getroffen, zoals pseudonimisering van persoonsgegevens, zodat duidelijk is hoe een veilige verwerking wordt gewaarborgd en hoe de persoonsgegevens onder meer worden beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van passende technische en organisatorische maatregelen
PRIV_B.01.02.06	Beschreven is hoe gewaarborgd wordt dat, conform PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens en PRIV_C.02: Toegang gegevensverwerking voor betrokkenen, de persoonsgegevens op een wijze worden verwerkt die voor het publiek en de betrokkene transparant is en het de betrokkene mogelijk maakt zijn rechten uit te oefenen. Hierbij is specifiek aandacht voor de bescherming van kinderen.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van transparante verwerking
PRIV_B.01.02.07	Beschreven is hoe gewaarborgd wordt dat, conform U.06, persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor zij worden verwerkt en in welke vorm de opslag moet plaatsvinden zodanig dat na deze periode de betrokkenen niet langer zijn te identificeren.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van maximale bewaartermijnen
PRIV_B.01.02.08	Beschreven is hoe gewaarborgd wordt dat, conformPRIV_U.07: Doorgifte persoonsgegevens, persoonsgegevens slechts worden doorgegeven wanneer formeel afdoende garanties zijn vastgelegd, zodat aangetoond kan worden dat ook bij de doorgifte aan de AVG wordt voldaan en dat aangegeven kan worden wat in verwerkersovereenkomsten en samenwerkingsovereenkomsten moet worden vastgelegd.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van garanties bij doorgifte
PRIV_B.01.02.09	Beschreven is hoe gewaarborgd wordt hoe verantwoordelijken, conform PRIV_C.01: Intern toezicht, aantonen dat - gedurende en na de verwerking - de verwerking ten aanzien van de betrokkene behoorlijk is en hoe dit door middel van het bijhouden van een register, conform PRIV_U.02: Register van verwerkingsactiviteiten, en een dossier kan worden aangetoond.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van behoorlijke verwerking
PRIV_B.01.02.10	Beschreven is hoe gewaarborgd wordt dat, conform PRIV_C.03: Meldplicht Datalekken, bij een inbreuk in verband met persoonsgegevens (datalek of 'personal data breach') de betrokkenen en de AP worden geïnformeerd als deze inbreuk waarschijnlijk een risico inhoudt voor de rechten en/of vrijheden van natuurlijke personen.	Privacy Beleid geeft duidelijkheid en sturing	Invulling wettelijke beginselen; beschrijven van informeren bij inbreuk
PRIV_B.02.01.01	De eindverantwoordelijke voor een gegevensverwerking is degene die het doel en de middelen van de gegevensverwerking heeft vastgesteld; het is te allen tijde duidelijk wie deze verantwoordelijke is.	Organieke inbedding	Verdeling taken en verantwoordelijkheden
PRIV_B.02.01.02	De verwerkingsverantwoordelijke en de verwerker hebben (de beschikking over) een Functionaris voor de Gegevensbescherming, als ten minste één van de volgende situaties aan de orde is: Het betreft een overheidsinstantie of overheidsorgaan: de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; Een stelselmatige observatie op grote schaal is vereist: een verwerkingsverantwoordelijke of de verwerker is hoofdzakelijk belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regel-matige en stelselmatige observatie op grote schaal van betrokkenen vereisen; De gegevens betreffen bijzondere categorieën persoonsgegevens, strafrechtelijke veroordelingen of strafbare feiten: de verwerkingsverantwoordelijke of de verwerker is hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens, conform U.01/04 of AVG (Algemene Verordening Gegevensbescherming) Art. 9, en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten, conform U.01/05 of AVG (Algemene Verordening Gegevensbescherming) Art. 10 (zie PRIV_U.01: Doelbinding gegevensverwerking). In overige situaties kunnen of moeten, indien wettelijk verplicht, de verwerkingsverantwoordelijke of de verwerker of verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, een FG hebben aangewezen.	Organieke inbedding	Functionaris Gegevensbescherming
PRIV_B.02.01.03	Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken om de rechtmatigheid van de gegevensverwerking te garanderen schriftelijk vastgesteld en vastgelegd in een overeenkomst.	Organieke inbedding	Verdeling taken en verantwoordelijkheden i.r.t. overeenkomsten
PRIV_B.02.01.04	De taken, verantwoordelijkheden en bevoegdheden zijn duidelijk belegd in een TVB-matrix (Taken, Verantwoordelijkheden, Bevoegdheden) waarbij ook de onderlinge relaties tussen de verschillende verantwoordelijken en verwerkers inzichtelijk zijn gemaakt.	Organieke inbedding	Verdeling taken en verantwoordelijkheden i.r.t. TVB-matrix
PRIV_B.02.02.01	Gekoppeld aan het privacybeleid voorziet de organisatie voldoende en aantoonbaar in de benodigde middelen voor de uitvoering ervan.	Organieke inbedding	Benodigde middelen
PRIV_B.02.03.01	De rapportage- en verantwoordingslijnen tussen de betrokken verantwoordelijken, verwerkers en - indien aangesteld - de FG zijn vastgesteld en vastgelegd.	Organieke inbedding	Rapporteringslijnen
PRIV_B.03.01.01	Wanneer waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen bestaat, in het bijzonder wanneer gelet op de aard, de omvang, de context en de doeleinden nieuwe technologieën worden gebruik, wordt voorafgaand aan de verwerking een gegevensbeschermingseffectbeoordeling (DPIA) uitgevoerd AVG art. 35 lid 1.	Risicomanagement, Privacy by Design en de DPIA	Het beoordelen van de privacyrisico's, hoog risico
PRIV_B.03.01.02	Wanneer een Functionaris voor de Gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een DPIA diens advies in.	Risicomanagement, Privacy by Design en de DPIA	Het beoordelen van de privacyrisico's, advies van FG
PRIV_B.03.01.03	Ten minste wanneer sprake is van een verandering van het risico dat de verwerkingen inhoudt, verricht de verwerkingsverantwoordelijke een toetsing om te beoordelen of de gewijzigde verwerking overeenkomstig de gegevensbeschermingseffect beoordeling (DPIA) wordt uitgevoerdAVG Art. 35 lid 11..	Risicomanagement, Privacy by Design en de DPIA	Het beoordelen van de privacyrisico's, bij wijzigingen
PRIV_B.03.01.04	Wanneer uit een DPIA blijkt dat de verwerking een hoog risico kan opleveren (als de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken), dan raadpleegt de verwerkingsverantwoordelijke voorafgaand aan de verwerking de AP hieroverAVG Art. 36..	Risicomanagement, Privacy by Design en de DPIA	Het beoordelen van de privacyrisico's, i.r.t. DPIA
PRIV_B.03.02.01	De maatregelen bestaan uit technische en organisatorische maatregelen.	Risicomanagement, Privacy by Design en de DPIA	Passende maatregelen, technisch en organisatorisch
PRIV_B.03.02.02	Passende maatregelen zijn genomen door bij het ontwerp de principes van gegevensbescherming te hanteren (privacy by design) en door het hanteren van standaardinstellingen (privacy by default)AVG Art. 25.	Risicomanagement, Privacy by Design en de DPIA	Passende maatregelen, passend
PRIV_B.03.02.03	De maatregelen zijn blijvend passend door het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA's)	Risicomanagement, Privacy by Design en de DPIA	Passende maatregelen, continuïteit
PRIV_B.03.02.04	De resultaten van de DPIA worden gebruikt om de organisatie (beter) bewust te maken van het van belang om aan privacy te doen.	Risicomanagement, Privacy by Design en de DPIA	Passende maatregelen i.r.t. de DPIA
PRIV_B.03.03.01	Van alle verwerkingen waarop een DPIA is uitgevoerd is een DPIA-rapportage beschikbaar, waardoor bekend is welke risico's bestaan en welke maatregelen genomen (moeten) worden.	Risicomanagement, Privacy by Design en de DPIA	Aantonen onderkende risico's en maatregelen
PRIV_B.03.03.02	Een procesbeschrijving is aanwezig voor het uitvoeren van DPIA's en voor het opvolgen van de uitkomsten.	Risicomanagement, Privacy by Design en de DPIA	Aantonen uitvoeren DPIA en opvolgen DPIA uitkomsten
PRIV_B.03.03.03	De risicomanagement aanpak wordt aantoonbaar toegepast, bijvoorbeeld door in de vorm van een plan van aanpak aantoonbaar opvolging te geven aan de aanbevelingen/verbetervoorstellen uit de DPIA's.	Risicomanagement, Privacy by Design en de DPIA	Aantonen aanpak risicomanagement
PRIV_B.03.03.04	Een tot standaard verheven DPIA toetsmodel wordt toegepast; dit model voldoet aan de in de AVG gestelde eisen.	Risicomanagement, Privacy by Design en de DPIA	Aantonen toepassen DPIA toetsmodel
PRIV_B.03.03.05	Privacy by Design en de DPIA maken onderdeel uit van een tot standaard verheven risicomanagement aanpak.	Risicomanagement, Privacy by Design en de DPIA	Aantonen privacy by design
PRIV_C.01.01.01	De verantwoordelijke en - indien aangesteld - de Functionaris voor gegevensbescherming controleert of de gegevensverwerkingen voldoen aan de wettelijke verplichtingen. Hiertoe worden periodiek compliancy assessments uitgevoerd en de resultaten geregistreerd.	Intern toezicht	Toezien op het voldoen aan de wettelijke verplichtingen
PRIV_C.01.01.02	Als blijkt dat niet voldaan wordt aan de eisen van de AVG, dan rapporteert de verantwoordelijke over de te nemen maatregelen om de privacyschending te beëindigen. De evaluatierapportages worden beschikbaar gesteld aan het management.	Intern toezicht	Evaluatierapportage bij niet voldoen
PRIV_C.01.01.03	Er is een planning van activiteiten in het kader van het beoordelen van de compliancy.	Intern toezicht	Planmatige controle op compliancy
PRIV_C.01.02.01	Aangetoond is dat, conform PRIV_U.01: Doelbinding, de persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt.	Intern toezicht	Rechtmatigheid van de verwerking aantonen
PRIV_C.01.02.02	Aangetoond is dat, conform PRIV_U.01: Doelbinding, de verwerking toereikend is, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale gegevensverwerking).	Intern toezicht	Rechtmatigheid aangetoond, toereikende verwerking
PRIV_C.01.02.03	Aangetoond is dat, conform PRIV_U.01: Doelbinding, de verwerking ten aanzien van de betrokkene rechtmatig is.	Intern toezicht	Rechtmatigheid aantonen
PRIV_C.01.02.04	Bij het aantonen van de rechtmatigheid wordt gebruik gemaakt van de overeenkomsten voor de doorgiften zoals beschreven in PRIV_U.07: Doorgifte persoonsgegevens.	Intern toezicht	Rechtmatigheid aangetoond, gebruik van overeenkomsten voor doorgifte
PRIV_C.01.02.05	Aangetoond is dat, conform PRIV_U.04: Beveiligen van de verwerking van persoonsgegevens, passende technische en organisatorische maatregelen op een dusdanige manier worden verwerkt, dat een passende beveiliging ervan gewaarborgd is en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (integriteit en vertrouwelijkheid).	Intern toezicht	Gewaarborgde bescherming
PRIV_C.01.02.06	Aangetoond is dat, conform PRIV_U.03: Kwaliteitsmanagement, de persoonsgegevens juist zijn en zo nodig worden geactualiseerd en waarbij alle redelijke maatregelen moeten zijn genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren.	Intern toezicht	Juiste en actuele gegevens
PRIV_C.01.02.07	Aangetoond is dat de wijze van verwerken ten aanzien van de betrokkene 'behoorlijk' is, conform B.03: Risicomanagement, Privacy by Design en de DPIA.	Intern toezicht	Aantoonbaar behoorlijke verwerking
PRIV_C.01.02.08	Aangetoond is dat de persoonsgegevens op een wijze worden verwerkt die voor de betrokkene transparant is, conform PRIV_U.05: ISOR:Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens, PRIV_U.02: Register van verwerkingsactiviteiten en PRIV_C.02 Toegang gegevensverwerking voor betrokkenen.	Intern toezicht	Aantoonbaar transparante verwerking
PRIV_C.01.02.09	De verwerkingsverantwoordelijke toont compliancy aan door middel van een dossier (al dan niet door een Functionaris voor de Gegevensbescherming bijgehouden)AVG Art. 5 lid 2.	Intern toezicht	Compliancydossier
PRIV_C.01.02.10	Bij het aantonen van het compliant en het compleet zijn van het dossier wordt gebruik gemaakt van het register (PRIV_U.02: Register van verwerkingsactiviteiten).	Intern toezicht	Compliancy en compleetheid aantonen met het gegevensregister
PRIV_C.02.01.01	De betrokkene krijgt op verzoek uitsluitsel over het al dan niet verwerken van hem betreffende persoonsgegevens.	Toegang gegevensverwerking voor betrokkenen	Informatie aan betrokkene over de verwerking van persoonsgegevens
PRIV_C.02.01.02	De inzage over de verwerkte persoonsgegevens bevat de volgende informatieAVG Art. 15: De verwerkingsdoeleinden; De betrokken categorieën persoonsgegevens; De ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; Indien mogelijk: de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen of, als dat niet mogelijk is, de criteria om die termijn te bepalen; Dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat zijn persoonsgegevens te rectificeren of te wissen of de verwerking van de hem betreffende persoonsgegevens te beperken, alsmede het recht tegen die verwerking bezwaar te maken; Dat de betrokkene het recht heeft klacht in te dienen bij de AP; Wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; Het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, inclusief nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene; Bij doorgifte aan een derde land of een internationale organisatie en op verzoek van betrokkene de informatie over van de passende waarborgen; Op verzoek van betrokkene een kopie van de persoonsgegevens die worden verwerkt.	Toegang gegevensverwerking voor betrokkenen	Welke informatie wordt verstrekt
PRIV_C.02.01.03	De inzage doet geen afbreuk aan de rechten en vrijheden van anderenAVG Art. 14 lid 4.	Toegang gegevensverwerking voor betrokkenen	Geen afbreuk aan rechten en vrijheden van anderen
PRIV_C.02.02.01	De informatie is onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek verstrektAVG Art. 12 lid 3 en 4, tenzij: De complexiteit van de verzoeken en van het aantal verzoeken verlenging nodig maakt, en: De informatie binnen een termijn van nog eens twee maanden worden verstrekt, en: De betrokkene binnen één maand na ontvangst van het verzoek in kennis wordt gesteld van een dergelijke verlenging.	Toegang gegevensverwerking voor betrokkenen	Tijdige verstrekking op verzoek van betrokkene
PRIV_C.02.02.02	Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, dan: Is de betrokkene onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek meegedeeld waarom het verzoek zonder gevolg is gebleven, en: Is de betrokkene geïnformeerd over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.	Toegang gegevensverwerking voor betrokkenen	Tijdig informeren bij geen gevolg aan verzoek van betrokkene
PRIV_C.02.03.01	De communicatie vindt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is, plaats in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taalAVG Art. 12 lid 1. Hierbij kan gebruik gemaakt worden van gestandaardiseerde iconen om het overzicht te houdenAVG Art. 12 lid 7.	Toegang gegevensverwerking voor betrokkenen	Passende, begrijpelijke en toegankelijke wijze van informeren
PRIV_C.02.03.02	De informatie is schriftelijk of met andere middelen en als dit passend is met inbegrip van elektronische middelen verstrekt.	Toegang gegevensverwerking voor betrokkenen	Informatie wordt schriftelijk en/of elektronisch verstrekt
PRIV_C.02.03.03	Op verzoek van de betrokkene is de informatie mondeling meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.	Toegang gegevensverwerking voor betrokkenen	Mondelinge informatieverstrekking
PRIV_C.02.03.04	Het verstrekken van de informatie en de communicatie zijn kosteloos, tenzij de verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn. Als de verzoeken buitensporig zijn, met name vanwege hun repetitieve karakter, en dit kan worden aangetoond, dan mag de verwerkingsverantwoordelijke ofwel: Een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan, ofwel: Weigeren gevolg te geven aan het verzoek.	Toegang gegevensverwerking voor betrokkenen	Kosteloos, tenzij onredelijk
PRIV_C.02.03.05	De verantwoordelijke beschikt over gegevens ter identificatie van de betrokkene om hem zijn rechten te laten doen gelden. Deze gegevens worden niet behouden, verkregen of verwerkt als er geen doeleinden zijn (overeenkomstig PRIV_U.01: Doelbinding gegevensverwerking) om nog persoonsgegevens van betrokkene te verwerkenAVG Art. 11. Als identificatie niet mogelijk is wordt de betrokkene daarvan indien mogelijk in kennis gesteld.	Toegang gegevensverwerking voor betrokkenen	Gegevens ter identificatie van de betrokkene
PRIV_C.02.04.01	De verantwoordelijke verstrekt geen informatie als de verwerking berust op een wettelijke bepaling, waarbij een specifieke uitzondering geldtAVG Art. 23.	Toegang gegevensverwerking voor betrokkenen	Specifieke uitzonderingsgronden
PRIV_C.03.01.01	Een datalek is op basis van de AVG gemeld bij de AP, tenzij een uitzondering van toepassing is.	Meldplicht Datalekken	Datalek melden aan de AP
PRIV_C.03.01.02	De melding aan de AP bevat ten minsteAVG Art. 33a lid 3: De aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; De naam en de contactgegevens van de Functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen; De waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; De maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.	Meldplicht Datalekken	Eisen aan de melding aan AP
PRIV_C.03.01.03	Een datalek is gemeld aan betrokkene, tenzij een uitzondering van toepassing is (zie /04.02).	Meldplicht Datalekken	Datalek melden aan betrokkene
PRIV_C.03.01.04	In de melding aan de betrokkene wordt van de aard van de inbreuk in verband met persoonsgegevens ten minste het volgende omschreven of meegedeeldAVG Art. 33, lid 3b, 3c en 3d: De naam en de contactgegevens van de Functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen; De waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; De maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.	Meldplicht Datalekken	Eisen aan de melding aan betrokkene
PRIV_C.03.01.05	De melding aan de betrokkene is in duidelijke en eenvoudige taal.	Meldplicht Datalekken	Duidelijke en eenvoudige taal
PRIV_C.03.02.01	Een verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging, zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.	Meldplicht Datalekken	Inbreuk melden aan verwerkingsverantwoordelijke
PRIV_C.03.02.02	De melding aan de AP heeft plaatsgevonden zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat de verwerkingsverantwoordelijke er kennis van heeft genomen.	Meldplicht Datalekken	Termijn voor melden aan AP
PRIV_C.03.02.03	Als de melding aan de AP niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.	Meldplicht Datalekken	Motivering bij vertraagde melding
PRIV_C.03.02.04	De melding aan de betrokkene gebeurt onverwijld.	Meldplicht Datalekken	Directe melding aan betrokkene
PRIV_C.03.03.01	De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.	Meldplicht Datalekken	Registratie en documentatie van de inbreuken
PRIV_C.03.03.02	De documentatie stelt de AP in staat de naleving te controleren.	Meldplicht Datalekken	Naleving controleren op basis van documentatie
PRIV_C.03.03.03	De documentatie bevat de noodzakelijke gegevens plus de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.	Meldplicht Datalekken	Noodzakelijke gegevens in de documentatie
PRIV_C.03.03.04	Het feit dat de kennisgeving is gedaan zonder onredelijke vertraging moet worden vastgesteld, met name rekening houdend met de aard en de ernst van de inbreuk in verband met persoonsgegevens en de gevolgen en negatieve effecten voor de betrokkeneAVG overweging 87.	Meldplicht Datalekken	Kennisgeving vastleggen
PRIV_C.03.04.01	De verantwoordelijke hoeft het datalek niet te melden aan de AP als: Het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, of: Wanneer melding afbreuk zou doen aan een zwaarwegend belang; De verantwoordelijke een aanbieder is van openbare elektronische communicatiediensten zoals bedoeld in de TelecommunicatiewetAVG Art. 95.	Meldplicht Datalekken	Uitzondering op meldplicht aan AP
PRIV_C.03.04.02	De verantwoordelijke hoeft het datalek niet te melden aan de betrokkene als: Het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, en/of: De verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling, en/of: De verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het bij het eerste streepje bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen, of: De mededeling onevenredige inspanningen zou vergen; in dat geval komt in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd, of: Het een verwerking is die berust op een andere wettelijke bepaling waarvoor een specifieke meldplicht geldt AVG Art. 23; UAVG Art. 42, of: De organisatie een financiële onderneming is in de zin van de Wet op het financieel toezichtUAVG Art. 42. De verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit plaatsvindt, die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteitAVG overweging 18.	Meldplicht Datalekken	Uitzondering op meldplicht aan betrokkene
PRIV_U.01.01.01	Het doel is welbepaald en uitdrukkelijk omschreven nog vóórdat de gegevensverwerking begint en wordt niet tijdens het verzamelproces of het verwerkingsproces vastgesteld of gewijzigdAVG Art. 5 lid 1 en overweging 50.	Doelbinding gegevensverwerking	Tijdig, welbepaald en uitdrukkelijk omschreven, voorafgaand aan begin van de verwerking
PRIV_U.01.01.02	Van alle gegevens zijn de rechtmatige gronden en de doeleinden van de verzameling en verwerking welbepaald en uitdrukkelijk omschreven en gerechtvaardigdAVG Art. 5 lid 1b.	Doelbinding gegevensverwerking	Tijdig, welbepaald en uitdrukkelijk omschreven; doeleinden en rechtmatigheid
PRIV_U.01.01.03	Het doel is zodanig vastgelegd (welbepaald) dat het een kader biedt waaraan getoetst kan worden of de gegevens noodzakelijk zijn voor het doel en bij verdere verwerking of de verwerking verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verstrektAVG Art. 6 lid 4.	Doelbinding gegevensverwerking	Tijdig, welbepaald en uitdrukkelijk omschreven; noodzaak en verenigbaarheid
PRIV_U.01.01.04	Het doel is uitdrukkelijk omschreven, dus niet te vaag of te ruim, maar nauwkeurig, specifiek, meetbaar, acceptabel, realistisch en tijdgebonden.	Doelbinding gegevensverwerking	Tijdig, welbepaald en uitdrukkelijk omschreven; SMART
PRIV_U.01.02.01	De persoonsgegevens zijn toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale gegevensverwerking, ook wel dataminimalisatie genoemd).	Doelbinding gegevensverwerking	Doeleinden; toereikend, ter zake dienend en beperkt
PRIV_U.01.02.02	De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaanAVG Art. 6 lid 1: De betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; De verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Deze rechtsgrond moet zijn vastgesteld bij het Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing isAVG Art. 6 lid 3; De verwerking is noodzakelijk om vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Deze rechtsgrond moet zijn vastgesteld bij het Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing isAVG Art. 6 lid 3; De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. Dit onderdeel (punt 6) geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun wettelijke taken.	Doelbinding gegevensverwerking	Doeleinden; rechtmatigheid
PRIV_U.01.02.03	Persoonsgegevens moeten ten opzichte van de betrokkene behoorlijk en transparant worden verwerktAVG Art. 5. Hiertoe moet/moeten: De gegevensverwerking transparant te zijn (PRIV_U.02: Register van verwerkingsactiviteiten en PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens). De gegevens juist te zijn en zo nodig te worden bijgewerkt (PRIV_U.03: Kwaliteitsmanagement). De gegevens passend te worden beveiligd (PRIV_U.04: Beveiligen van de verwerking van persoonsgegevens). De gegevens niet langer dan noodzakelijk te worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren is (PRIV_U.06: Bewaren van persoonsgegevens). Nota Bene: De AVG is niet van toepassing op de persoonsgegevens van overleden personen AVG overweging 27.	Doelbinding gegevensverwerking	Doeleinden; transparant, behoorlijk en veilig
PRIV_U.01.03.01	De verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, is alleen mogelijk wanneer: De verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld en de verwerkingsverantwoordelijke bij de beoordeling van de verenigbaarheid onder meer rekening houdt metAVG Art. 6 lid 4: Ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verdere verwerking; Het kader waarin de persoonsgegevens zijn verzameld, met name wat betreft de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke; De aard van de persoonsgegevens, met name of bijzondere categorieën persoonsgegevens worden verwerktAVG Art. 9 en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerktAVG Art. 10; De mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; Het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. Of: De verdere verwerking plaatsvindt op basis van de toestemming van betrokkene. Of: Wanneer de verdere verwerking berust op een wettelijke bepaling waarbij een specifieke uitzondering geldt.	Doelbinding gegevensverwerking	Verdere verwerking i.r.t. andere doelen
PRIV_U.01.03.02	Wanneer de verwerkingsverantwoordelijke zich een verdere verwerking voorneemt dan moet de verwerkingsverantwoordelijke de betrokkene nog vóór die verdere verwerking informatie over dat andere doel en andere noodzakelijke informatie verstrekken (zie PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens). Wanneer de oorsprong van de persoonsgegevens niet aan de betrokkene kan worden meegedeeld, omdat verschillende bronnen zijn gebruikt, moet algemene informatie worden verstrektAVG overweging 61.	Doelbinding gegevensverwerking	Vooraf in kennis stellen van (voornemen tot) verdere verwerking
PRIV_U.01.04.01	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleindenUAVG Art. 22. UAVG art. 22 lid 2a is de invulling van AVG Art. 9 lid 2a. Hierbij is nagegaan of in het Unierecht of lidstatelijk is bepaald of betrokkene het verbod mag opheffen. Voorbeeld BSN: in Nederland kan een persoon niet zelf alsnog toestemming geven voor de verwerking van het BSN bij het ontbreken van een wettelijke grondslag.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; uitdrukkelijke toestemming
PRIV_U.01.04.02	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking noodzakelijk is met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het sociale zekerheids- en sociale beschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedtAVG Art. 9 lid 2b. Tevens geldt hierbij dat het verbod om gegevens over gezondheid te verwerken niet van toepassing is indien de verwerking geschiedt door bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn, en voor zover de verwerking noodzakelijk isUAVG Art 30 lid 1 voor: Een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene; of De reïntegratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid. Hierbij worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Indien de verwerkingsverantwoordelijke persoonlijk gegevens verwerkt en op hem niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden meegedeeld aan anderen die bevoegd zijn tot verwerking daarvanUAVG Art. 30 lid 4. NB: bij algemene maatregel van bestuur kunnen nadere regels worden gesteld (UAVG Art 30 lid 6).	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; noodzaak i.r.t verplichtingen en specifieke rechten
PRIV_U.01.04.03	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te gevenUAVG art. 22 lid 2b ; AVG Art. 9 lid 2c.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; noodzaak, vitale belangen, onmacht
PRIV_U.01.04.04	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking verricht wordt door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrektUAVG Art. 22 lid 2c (ofwel: AVG Art. 9 lid 2d).	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; ledenadministratie, gerechtvaardigde activiteiten
PRIV_U.01.04.05	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaaktUAVG Art. 22 lid 2d (ofwel: AVG Art. 9 lid 2e).	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; openbaar gemaakt door betrokkene
PRIV_U.01.04.06	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsbevoegdheidUAVG Art. 22 lid 2e (ofwel: AVG Art. 9 lid 2f).	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; i.r.t. rechtsvordering, gerechten
PRIV_U.01.04.07	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht: Nationaalrechtelijke algemene uitzonderingenUAVG Art. 23: De verwerking is noodzakelijk ter voldoening aan een volkenrechtelijke verplichting; De gegevens worden verwerkt door de Autoriteit persoonsgegevens of een ombudsman als bedoeld in Art. 9:17 van de Algemene wet bestuursrecht (AWB), en voor zover de verwerking noodzakelijk is voor de uitvoering van de hun wettelijk opgedragen taken, onder voorwaarde dat bij die uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad; of De verwerking is noodzakelijk in aanvulling op de verwerking van persoonsgegevens van strafrechtelijke aard voor de doeleinden waarvoor deze gegevens worden verwerkt. Uitzonderingen inzake verwerking van persoonsgegevens waaruit ras of etnische afkomst blijktUAVG Art. 25: Verwerking met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is; of Verwerking met het doel personen van een bepaalde etnische of culturele minderheidsgroep een bevoorrechte positie toe te kennen teneinde feitelijke nadelen, verband houdende met de grond ras of etnische afkomst, op te heffen of te verminderen, en slechts voor zover: De verwerking voor dat doel noodzakelijk is; De gegevens betrekking hebben op het geboorteland van de betrokkene, diens ouders of diens grootouders, dan wel op andere, bij wet vastgestelde criteria op grond waarvan op objectieve wijze vastgesteld kan worden of iemand tot een bepaalde etnische of culturele minderheidsgroep behoort; en De betrokkene tegen de verwerking geen schriftelijk bezwaar heeft gemaakt. De verwerking van persoonsgegevens waaruit politieke opvattingen blijken voor vervulling openbare functiesUAVG Art. 26: de verwerking geschiedt met het oog op de eisen die met betrekking tot politieke opvattingen in redelijkheid kunnen worden gesteld in verband met de vervulling van functies in bestuursorganen en adviescolleges. De verwerking van persoonsgegevens waaruit religieuze of levensbeschouwelijke overtuigingen blijken voor geestelijke verzorgingUAVG Art. 27: De verwerking geschiedt door andere instellingen dan de instellingen, bedoeld in artikel 22, tweede lid, onderdeel c, en voor zover de verwerking noodzakelijk is met het oog op de geestelijke verzorging van de betrokkene, tenzij deze daartegen schriftelijk bezwaar heeft gemaakt. Hierbij worden geen persoonsgegevens aan derden verstrekt zonder toestemming van de betrokkene. De verwerking van genetische gegevensUAVG Art. 28: De verwerking vindt plaats met betrekking tot de betrokkene bij wie de desbetreffende gegevens zijn verkregen. Hierbij is het verbod om genetische gegevens te verwerken uitsluitend niet van toepassing, indien: De betrokkene uitdrukkelijke toestemming heeft gegeven; en Bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Deze toestemming is niet vereist, indien het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning vergt. De verwerking van biometrische gegevensUAVG Art. 29: de verwerking vindt plaats ten behoeve van de unieke identificatie van een persoon, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Voor al deze verwerkingen is bepaald dat de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; gevoelige gegevens, noodzakelijke uitzonderingen wgs. zwaarwegend algemeen belang
PRIV_U.01.04.08	De verwerking van gegevens over gezondheid vindt niet plaats, tenzij de verwerking geschiedt doorUAVG Art. 30 lid 2: Scholen, voor zover de verwerking met het oog op de speciale begeleiding van leerlingen of het treffen van bijzondere voorzieningen in verband met hun gezondheidstoestand noodzakelijk is; Een reclasseringsinstelling, een bijzondere reclasseringsambtenaar, de raad voor de kinderbescherming, de gecertificeerde instelling, bedoeld in artikel 1.1 van de Jeugdwet, of de rechtspersoon, bedoeld in artikel 256, eerste lid, of artikel 302, tweede lid, van Boek 1 van het Burgerlijk Wetboek, voor zover de verwerking noodzakelijk is voor de uitvoering van de aan hen opgedragen wettelijke taken; of: Onze Minister en Onze Minister van Justitie en Veiligheid voor zover de verwerking in verband met de tenuitvoerlegging van vrijheidsbenemende maatregelen noodzakelijk is. Hierbij worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Indien de verwerkingsverantwoordelijke persoonlijk gegevens verwerkt en op hem niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden meegedeeld aan anderen die bevoegd zijn tot verwerking daarvanUAVG Art. 30 lid 4.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; gezondheidsgegevens
PRIV_U.01.04.09	De verwerking van bijzondere categorieën persoonsgegevens vindt niet plaats, tenzij de verwerking noodzakelijk is voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van zorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerkerAVG Art. 9 lid 2h). De verwerking geschiedt doorUAVG Art. 30 lid 3) : Hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk. Hierbij geldt dat het verbod om andere bijzondere categorieën persoonsgegevens te verwerken niet van toepassing is, indien de verwerking noodzakelijk is in aanvulling op deze verwerking met het oog op een goede behandeling of verzorging van de betrokkeneUAVG Art. 30 lid 5 ; of Verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht of financiële dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1:1 van die wet, voor zover de verwerking noodzakelijk is voor: De beoordeling van het door de verzekeraar te verzekeren risico en de betrokkene geen bezwaar heeft gemaakt, of: De uitvoering van de overeenkomst van verzekering dan wel het assisteren bij het beheer en de uitvoering van de verzekering. Hierbij worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Indien de verwerkingsverantwoordelijke persoonlijk gegevens verwerkt en op hem niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden meegedeeld aan anderen die bevoegd zijn tot verwerking daarvanUAVG Art. 30 lid 4. Als voorwaarde en waarborg geldt: de gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels tot geheimhouding is gehoudenAVG Art. 9 lid 3. Bij algemene maatregel van bestuur kunnen nadere regels worden gesteld UAVG Art 30 lid 6.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; voorwaarden verwerking i.v.m. gezondheidszorg
PRIV_U.01.04.10	De verwerking van bijzondere categorieën van persoonsgegevens vindt niet plaats, tenzij de verwerking plaatsvindt vanuit het algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheimAVG Art. 9 lid 2i).	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens; algemeen belang i.r.t volksgezondheid
PRIV_U.01.04.11	De verwerking van bijzondere categorieën van persoonsgegevens vindt niet plaats, tenzij de verwerking noodzakelijk is met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig AVG art. 89, lid 1, waarbijAVG Art. 9 lid 2j ; UAVG Art.24: Het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost; en Bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. De definitie van 'wetenschappelijk of historisch onderzoek' is te vinden in AVG overweging 159.	Doelbinding gegevensverwerking	Bijzondere categorieën persoonsgegevens, m.b.t. specifieke doeleinden met algemeen belang
PRIV_U.01.05.01	Persoonsgegevens van strafrechtelijke aard mogen worden verwerktUAVG Art. 32. indien: De betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden; De verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon, indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven; De verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt; De verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering, of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid.	Doelbinding gegevensverwerking	Persoonsgegevens van strafrechtelijke aard
PRIV_U.01.05.02	Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (inclusief een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag) of daarmee verband houdende veiligheidsmaatregelen mogen worden verwerktUAVG Art. 33. indien: De verwerking geschiedt door organen die krachtens de wet zijn belast met de toepassing van het strafrecht, alsmede door verwerkingsverantwoordelijken die deze hebben verkregen krachtens de Wet politiegegevens (WPG) of de Wet justitiële en strafvorderlijke gegevens (WJSG); De verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken, indien: De verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken; en Bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad; of: De verwerking noodzakelijk is in aanvulling op de verwerking van gegevens over gezondheid, bedoeld in de UAVG Art. 30, derde lid, aanhef en onderdeel a, met het oog op een goede behandeling of verzorging van de betrokkene; Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt door de verwerkingsverantwoordelijke die deze gegevens ten eigen behoeve verwerkt: Ter beoordeling van een verzoek van betrokkene om een beslissing over hem te nemen of aan hem een prestatie te leveren, of: Ter bescherming van zijn belangen voor zover het gaat om strafbare feiten die zijn of op grond van feiten en omstandigheden naar verwachting zullen worden gepleegd jegens hem of jegens personen die in zijn dienst zijn; Persoonsgegevens van strafrechtelijke aard over personeel in dienst van de verwerkingsverantwoordelijke mogen uitsluitend worden verwerkt, indien dit geschiedt overeenkomstig de regels die zijn vastgesteld in overeenstemming met de procedures in de Wet op de ondernemingsraden voor zover het persoonsgegevens van strafrechtelijke aard over personeel in dienst van de verwerkingsverantwoordelijke betreft; Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt, indien: Door verwerkingsverantwoordelijken die optreden krachtens een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus (WPBR); Door een verwerkingsverantwoordelijke die tevens rechtspersoon is en in dezelfde groep is verbonden als bedoeld in artikel 2:24b van het Burgerlijk Wetboek, of: Door een verwerkingsverantwoordelijke die hiervoor van de AP een vergunning heeft verkregen.	Doelbinding gegevensverwerking	Persoonsgegevens van strafrechtelijke aard; eisen aan de verwerking
PRIV_U.01.05.03	De verwerking van de gegevens over personeel in dienst van de verwerkingsverantwoordelijke, vindt plaats overeenkomstig regels die zijn vastgesteld in overeenstemming met de procedure als bedoeld in de Wet op de ondernemingsradenUitvoeringswet AVG art. 31 lid 2..	Doelbinding gegevensverwerking	Strafrechtelijke veroordelingen en strafbare feiten, i.r.t. de OR
PRIV_U.01.05.04	Het verbod om persoonsgegevens te verwerken, is niet van toepassing voor zover dit noodzakelijk is in aanvulling op de verwerking van strafrechtelijke gegevens voor de doeleinden waarvoor deze gegevens worden verwerktUitvoeringswet AVG art. 31 lid 3..	Doelbinding gegevensverwerking	Strafrechtelijke veroordelingen en strafbare feiten, verwerking voor de doeleinden waarvoor deze gegevens worden verwerkt.
PRIV_U.01.05.05	De verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen is toegestaan indien dit geschied door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken indien de verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaadUitvoeringswet AVG art. 31 lid 4..	Doelbinding gegevensverwerking	Strafrechtelijke veroordelingen en strafbare feiten, t.b.v. verwerkingsverantwoordelijken bij noodzakelijke verwerking
PRIV_U.01.06.01	Het bepalen van een nummer dat ter identificatie van een persoon bij wet is voorgeschreven wordt slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden die bij de wet zijn bepaaldUAVG Art. 46: Overheidsorganen kunnen bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun publieke taak (dus met een specifieke wettelijke grondslag) gebruik maken van het burgerservicenummer (BSN), zonder dat daarvoor nadere regelgeving vereist is. Voor instellingen die geen beroep kunnen doen op Wabb Art. 10 dient het gebruik te zijn voorgeschreven in sectorale wetgeving. De (anno 2019) in de maak zijnde wet Digitale overheid (voorheen: Wet generieke digitale infrastructuur - GDI) maakt het noodzakelijk dat er ook voor private partijen een wettelijke grondslag komt voor het verwerken van het BSN in het kader van authenticatieMvt bij de GDI pag. 15.	Doelbinding gegevensverwerking	Nationaal identificerend nummer
PRIV_U.01.07.01	Een betrokkene wordt niet onderworpen aan een geautomatiseerde individuele besluitvorming, tenzij het besluitAVG Art. 22 lid 1: Noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, of: Is toegestaan bij de wet- en regelgeving die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, of: Berust op de uitdrukkelijke toestemming van de betrokkene.	Doelbinding gegevensverwerking	Geautomatiseerde besluitvorming; niet, tenzij
PRIV_U.01.07.02	Indien geautomatiseerde besluitvorming plaatsvindt heeft de verwerkingsverantwoordelijke passende maatregelen getroffen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten AVG Art. 22 lid 2. Indien de verwerkingsverantwoordelijke geen bestuursorgaan is, dan zijn passende maatregelen in ieder geval getroffen indien het recht op menselijke tussenkomst, het recht voor betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten, zijn geborgdUAVG Art. 40.	Doelbinding gegevensverwerking	Geautomatiseerde besluitvorming; passende maatregelen m.b.t. rechten en vrijheden en gerechtvaardigde belangen
PRIV_U.01.07.03	Indien geautomatiseerde besluitvorming plaatsvindt, waarbij bijzondere categorieën persoonsgegevens worden gebruikt, dan zijn daarbij passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene getroffenAVG Art. 22 lid 3.	Doelbinding gegevensverwerking	Geautomatiseerde besluitvorming i.r.t. bijzondere categorieën van persoonsgegevens
PRIV_U.01.08.01	De verwerking van bijzondere categorieën persoonsgegevens ten behoeve van wetenschappelijk onderzoek of statistiek en archivering in het algemeen belang vindt plaats voor zover deze aan de vereisen uit /04.11 voldoenUAVG Art. 24 ; AVG Art. 9 lid 2j.	Doelbinding gegevensverwerking	Eisen aan het verwerken van (bijzondere) persoonsgegevens voor specifieke doelen met algemeen belang
PRIV_U.01.08.02	Verwerking van persoonsgegevens ten behoeve van wetenschappelijk onderzoek of archivering vindt alleen plaats, als passende technische en organisatorische maatregelen zijn getroffen om de rechten en vrijheden van de betrokkene te beschermen doorAVG Art. 5 lid 1e: Minimale gegevensverwerking te garanderen; Ervoor te zorgen dat de betrokkene niet meer geïdentificeerd kan worden, bijvoorbeeld door middel van pseudonimisering of anonimisering.	Doelbinding gegevensverwerking	Het verwerken van persoonsgegevens voor specifieke doelen met algemeen belang; passende maatregelen
PRIV_U.02.01.01	Elke verwerkingsverantwoordelijke houdt een register bij van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden, tenzij er een uitzonderingsgrond is (PRIV_U.02.01.06: Register van verwerkerkingen niet bijhouden). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerkingsverantwoordelijke.	Register van verwerkingsactiviteiten	Register van verwerkingsverantwoordelijke
PRIV_U.02.01.02	Het register van de verwerkingsverantwoordelijke met de verwerkingsactiviteiten bevat alle volgende gegevensAVG Art. 30 lid 1: De naam en de contactgegevens van: De verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en: In voorkomend geval: Van de vertegenwoordiger van de verwerkingsverantwoordelijke, en: Van de Functionaris voor Gegevensbescherming; De verwerkingsdoeleinden; Een beschrijving van de categorieën van betrokkenen; Een beschrijving van de categorieën persoonsgegevens; De categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt; Bij doorgiften aan een derde land of een internationale organisatie: De doorgifte van verstrekte persoonsgegevens; De vermelding van dat derde land of die internationale organisatie; De documenten inzake de passende waarborgen; De beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist (indien mogelijk); Een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (indien mogelijk).	Register van verwerkingsactiviteiten	Inhoud van het register van verwerkingsactiviteiten
PRIV_U.02.01.03	De verwerker houdt een register bij van alle categorieën van verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijke plaatsvinden, tenzij er een uitzonderingsgrond is (PRIV_U.02.01.06: Register van verwerkerkingen niet bijhouden). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerker.	Register van verwerkingsactiviteiten	Register van verwerker, categorieën van verwerkingsactiviteiten
PRIV_U.02.01.04	Het register van de verwerker met alle categorieën van verwerkingsactiviteiten bevat alle volgende gegevensAVG Art. 30 lid 1: De naam en de contactgegevens van: De verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en: In voorkomend geval: Van de vertegenwoordiger van de verwerkingsverantwoordelijke, en: Van de Functionaris voor gegevensbescherming; De categorieën van verwerkingen die voor rekening van iedere verwerkingsverantwoordelijke zijn uitgevoerd; Bij doorgiften aan een derde land of een internationale organisatie: De doorgifte van verstrekte persoonsgegevens De vermelding van dat derde land of die internationale organisatie De documenten inzake de passende waarborgen; Een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (indien mogelijk).	Register van verwerkingsactiviteiten	Register van verwerker, inhoud van het register
PRIV_U.02.01.05	Het register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld.	Register van verwerkingsactiviteiten	Register van verwerker, in schriftelijke elektronische vorm
PRIV_U.02.01.06	Het register hoeft niet te worden bijgehouden indien: De onderneming of organisaties minder dan 250 personen in dienst heeft, Het niet waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, De verwerking incidenteel is, en: Geen verwerking plaatsvindt van bijzondere categorieën van gegevens of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten.	Register van verwerkingsactiviteiten	Register van verwerker, niet bijgehouden als …
PRIV_U.02.02.01	De registers van de verwerkingsverantwoordelijke en van de verwerker geven één samenhangend beeld.	Register van verwerkingsactiviteiten	De registers geven een samenhangend beeld
PRIV_U.02.02.02	Op verzoek van de AP wordt middels de registers een actueel beeld gegeven.	Register van verwerkingsactiviteiten	Actueel beeld voor de AP
PRIV_U.02.02.03	De onderlinge samenhang (gegevensstromen) en afhankelijkheden zijn benoemd en beschreven tussen: De bedrijfsprocessen; Organisaties en organisatieonderdelen; De verwerkingen; De locaties waar persoonsgegevens worden opgeslagen; De gegevensuitwisselingen (binnen en buiten de eigen organisatie); De systemen.	Register van verwerkingsactiviteiten	Beschrijving gegevensstromen
PRIV_U.02.02.04	Bij wijzigingen in bestaande en nieuwe verwerkingen worden de resultaten vanuit de gegevensbeschermingseffectbeoordeling (DPIA) meegenomen als onderdeel van de opname van de verwerking in het register.	Register van verwerkingsactiviteiten	Resultaten DPIA in register
PRIV_U.03.01.01	De verwerkingsverantwoordelijke heeft de nodige maatregelen getroffen om de juistheid en nauwkeurigheid van persoonsgegevens te waarborgen..	Kwaliteitsmanagement	Maatregelen i.r.t. juistheid en nauwkeurigheid
PRIV_U.03.01.02	De verwerkingsverantwoordelijke voert periodiek controles uit op de juiste werking van de getroffen maatregelen en brengt hierover rapportages uit aan het hogere management.	Kwaliteitsmanagement	Controle op juistheid en nauwkeurigheid
PRIV_U.03.02.01	Op verzoek van betrokkene worden onjuiste persoonsgegevens gerectificeerdAVG Art. 16 lid 1.	Kwaliteitsmanagement	Rectificatie op verzoek van betrokkene
PRIV_U.03.02.02	Op verzoek van betrokkene worden onvolledige persoonsgegevens vervolledigd (met inachtneming van de doeleinden van de verwerking), onder meer op basis van een aanvullende verklaring van betrokkeneAVG Art. 16 lid 1.	Kwaliteitsmanagement	Aanvulling op verzoek van betrokkene
PRIV_U.03.02.03	Op verzoek van de betrokkene worden de hem betreffende persoonsgegevens gewist wanneer een van de volgende gevallen van toepassing isAVG Art. 17 lid 1: De persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt; De betrokkene trekt de toestemming waarop de verwerking berust in en er is geen andere rechtsgrond voor de verwerking; De betrokkene maakt bezwaar tegen de verwerking en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking. De persoonsgegevens zijn onrechtmatig verwerkt; De persoonsgegevens moeten worden gewist om te voldoen aan een in het wettelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust; De persoonsgegevens van kinderen jonger dan 16 jaar zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij.	Kwaliteitsmanagement	Gegevens wissen op verzoek van de betrokkene
PRIV_U.03.02.04	Bij bezwaar van betrokkene wordt de verwerking gestaakt, tenzij er dwingende gerechtvaardigde gronden voor de verwerking kunnen worden aangevoerd die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvorderingAVG Art. 21 lid 1.	Kwaliteitsmanagement	Staken van de verwerking op verzoek van betrokkene
PRIV_U.03.02.05	Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen om verwerkingsverantwoordelijken die de persoonsgegevens verwerken ervan op de hoogte te stellen, dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar of kopie of reproductie van die persoonsgegevens te wissenAVG Art. 17 lid 2.	Kwaliteitsmanagement	Maatregelen na openbaarmaking van persoonsgegevens
PRIV_U.03.02.06	Op verzoek van betrokkene wordt de verwerking beperkt, indien: De juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren; De verwerking onrechtmatig en de betrokkene zich verzet tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan; De verwerkingsverantwoordelijke de persoonsgegevens niet meer nodig heeft voor de verwerkingsdoeleinden, maar de betrokkene deze nodig heeft voor de instelling, uitoefening of onderbouwing van een rechtsvordering, of: De betrokkene bezwaar heeft gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.	Kwaliteitsmanagement	Beperking van de verwerking op verzoek van de betrokkene
PRIV_U.03.02.07	De betrokkene heeft het recht de hem betreffende persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrektAVG Art. 20, als de verwerking berust op: Toestemming van betrokkene, of: Een overeenkomst waarbij de betrokkene partij is of de verwerking via geautomatiseerde procedés wordt verricht; en geldt niet als: De verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend; Het afbreuk doet aan de rechten en vrijheden van anderen.	Kwaliteitsmanagement	Recht op ongehinderde overdracht van gegevens
PRIV_U.03.02.08	De betrokkene kan de gegevens rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere laten overdragen indien PRIV_U.03.02.07: Recht op ongehinderde overdracht van gegevens' geldt en dit technisch mogelijk is.	Kwaliteitsmanagement	Rechtstreekse overdracht
PRIV_U.03.03.01	De verwerkingsverantwoordelijke stelt iedere ontvanger, aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie, gegevenswissing of verwerkingsbeperking, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoektAVG Art. 19.	Kwaliteitsmanagement	Notificatie bij rectificatie, gegevenswissing of verwerkingsbeperking
PRIV_U.03.03.02	De verwerkingsverantwoordelijke informeert op verzoek van de betrokkene aan wie hij de mededeling van correctie heeft gedaan.	Kwaliteitsmanagement	Geïnformeerd, betrokkene aan wie correctie mededelingen zijn verstrekt
PRIV_U.03.03.03	De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het correctieverzoek informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging.	Kwaliteitsmanagement	Informatie over afwikkeling correctieverzoek
PRIV_U.03.03.04	Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt; tenzij de betrokkene anderszins verzoektAVG Art. 12 lid 3.	Kwaliteitsmanagement	Elektronische verwerking van het verzoek
PRIV_U.03.03.05	De verwerkingsverantwoordelijke reageert schriftelijk of met andere middelen; indien passend met elektronische middelen. Als de betrokkene daarom verzoekt kan de informatie, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is, mondeling worden meegedeeldAVG Art. 12 lid 1.	Kwaliteitsmanagement	Geïnformeerd, schriftelijk of op andere wijze
PRIV_U.03.03.06	Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven en informeert hij hem over de mogelijkheid om een klacht in te dienen bij de AP en beroep bij de rechter in te stellenAVG Art. 12 lid 4.	Kwaliteitsmanagement	Informatie over geen gevolg geven aan het correctieverzoek
PRIV_U.03.03.07	Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven en informeert hij hem over de mogelijkheid om een klacht in te dienen bij de AP en beroep bij de rechter in te stellenAVG Art. 11 en 12; zie ook AVG overweging 57.	Kwaliteitsmanagement	Identificatie van betrokkene
PRIV_U.04.01.01	De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de toegang beperkt is tot diegenen die toegang moeten hebben voor het uitvoeren van hun functie of taken of tot diegenen die daartoe wettelijk zijn gehoudenAVG Art. 32 lid 3.	Beveiligen van de verwerking van persoonsgegevens	Toegang wordt beperkt
PRIV_U.04.01.02	Persoonsgegevens zijn fysiek beveiligd tegen diefstal en ongewenste toegang: Als persoonsgegevens op fysieke wijze bestaan, zijn deze ook fysiek beschermd. De wijze van verzameling van gegevens is niet privacygevoelig.	Beveiligen van de verwerking van persoonsgegevens	Fysieke beveiliging, wijze van verzamelen
PRIV_U.04.01.03	Persoonsgegevens zijn organisatorisch beveiligd door middel van maatregelen voor de inrichting van de organisatie, welke zijn opgenomen in een informatiebeveiligingsplan.	Beveiligen van de verwerking van persoonsgegevens	Organisatorische beveiliging, planmatig, aantoonbaar
PRIV_U.04.01.04	De maatregelen waarborgen een passend beveiligingsniveau en bevatten onder meerAVG Art. 32; dit is 'het informatiebeveiligingsartikel': De pseudonimisering en versleuteling van persoonsgegevens; Het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; Het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; Een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.	Beveiligen van de verwerking van persoonsgegevens	Passend beveiligingsniveau
PRIV_U.04.02.01	De technische, organisatorische en fysieke beveiligingsmaatregelen bieden voor alle verwerkingen van persoonsgegevens een passend beschermingsniveau en dit kan worden aangetoond. De maatregelen zijn daartoe proportioneel en subsidiair.	Beveiligen van de verwerking van persoonsgegevens	Passend beschermingsniveau, proportioneel en subsidiair
PRIV_U.04.02.02	De beveiligingsmaatregelen zijn gebaseerd op een analyse van het verwerkingsrisico (risicoanalyse). Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met verwerkingsrisico's als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatigAVG Art. 32 lid 2.	Beveiligen van de verwerking van persoonsgegevens	Risicoanalyse
PRIV_U.04.02.03	Het aansluiten bij een goedgekeurde gedragscode of een goedgekeurde certificering kan worden gebruikt om aan te tonen dat de maatregelen passend zijn.	Beveiligen van de verwerking van persoonsgegevens	Gedragscode, certificering
PRIV_U.05.01.01	De toestemming van de betrokkene wordt verkregen voorafgaand aan de verwerkingAVG Art. 6 lid 1, het doorgeven aan derden en het verder verwerkenAVG Art. 14 lid 3. Dit geldt voor persoonsgegevens die via betrokkenen of anderen worden of zijn verkregen.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Toestemming van de betrokkene vooraf
PRIV_U.05.01.02	Informatie over de niet van betrokkene verkregen persoonsgegevens wordt binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens aan betrokkene verstrektAVG Art. 14 lid 3.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Informatie over niet van betrokkene verkregen persoonsgegevens
PRIV_U.05.02.01	Het verzoek om toestemming wordt in een begrijpelijke en gemakkelijk toegankelijke vorm opgesteld, in duidelijke en eenvoudige taal zodanig dat precies duidelijk is waarvoor betrokkene toestemming geeft en zodanig dat een duidelijk onderscheid kan worden gemaakt van andere aangelegenheden waarvoor eventueel ook toestemming wordt gevraagdAVG Art. 7 lid 2.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Informatievereisten bij verzoek om toestemming
PRIV_U.05.02.02	Wanneer persoonsgegevens bij de betrokkene worden verzameld, ontvangt de betrokkene de volgende informatieAVG Art. 13: De identiteit en contactgegevens van de verantwoordelijke en, in voorkomend geval, zijn of haar vertegenwoordiger; In voorkomend geval de contactgegevens van de Functionaris voor gegevensbescherming; De verwerkingsdoeleinden en ook de rechtsgrond van de gegevensverwerking; De gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde indien de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind isAVG Art. 6.1f; In voorkomend geval de ontvangers of categorieën van ontvangers van persoonsgegevens; In voorkomend geval dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of internationale organisatie of een adequaatheidsbesluit van de commissie bestaat, welke de passende waarborgen zijn en hoe deze kunnen worden ingezien; De periode dat de gegevens worden opgeslagen of de criteria ter bepaling van die termijn; Dat de betrokkene recht heeft op inzage, rectificatie of wissing of beperking van de hem betreffende verwerking en het recht heeft bezwaar tegen de verwerking te maken en dat de betrokkene het recht heeft op gegevensoverdraagbaarheid; Dat de betrokkene zijn toestemming te allen tijde kan intrekken (voor zover de verwerking is gebaseerd op de rechtsgrond toestemming); Dat de betrokkene een klacht mag indienen bij de AP; Of de verstrekking een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten; Of de betrokkene verplicht is de gegevens te verstrekken en wat de mogelijke gevolgen zijn als deze de gegevens niet verstrekt; Of geautomatiseerde besluitvorming en/of profilering bestaat en in die gevallen nuttige informatie over de onderliggende logica alsmede het belang en de verwachte gevolgen voor de betrokkene; Informatie over het andere doel, wanneer een verwerking gaat plaatsvinden voor een ander doel dan waarvoor de persoonsgegevens zijn verzameld.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Informatie aan betrokkene
PRIV_U.05.02.03	Wanneer persoonsgegevens bij een ander dan de betrokkene worden verzameld, ontvangt de betrokkene de volgende informatieAVG Art. 7: De identiteit en de contactgegevens van de verwerkingsverantwoordelijke en in voorkomend geval van de vertegenwoordiger van de verwerkingsverantwoordelijke; In voorkomend geval de contactgegevens van de Functionaris voor gegevensbescherming; De verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd en de rechtsgrond voor de verwerking; De betrokken categorieën persoonsgegevens; In voorkomend geval de ontvangers of categorieën van ontvangers van de persoonsgegevens; Als persoonsgegevens aan een ontvanger in een derde land of aan een internationale organisatie wordt doorgegeven, wordt informatie gegeven over hoe een kopie kan worden verkregen over de waarborgen of voorschriften of waar ze kunnen worden geraadpleegd; De periode gedurende welke de persoonsgegevens zullen worden opgeslagen of indien dat niet mogelijk is de criteria om die termijn te bepalen; Indien van toepassing de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde; Dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage, en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid; Wanneer verwerking is gebaseerd is op toestemming van betrokkene, heeft de betrokkene het recht de toestemming te allen tijde in te trekken. Dit doet geen afbreuk aan de rechtmatigheid van de verwerking op basis van de toestemming van vóór de intrekking; Dat de betrokkene het recht heeft een klacht in te dienen bij een AP; De bron waar de persoonsgegevens vandaan komen en in voorkomend geval of zij afkomstig zijn van openbare bronnen; Het bestaan van geautomatiseerde besluitvorming (inclusief profilering) inclusief de informatie over de onderliggende logica en het belang en de verwachte gevolgen van die verwerking voor de betrokkene.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Informatie aan betrokkene indien andere bron
PRIV_U.05.03.01	De verplichting tot het verstrekken van informatie geldt niet, indien: De betrokkene reeds over de informatie beschikt; Het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen; De verwezenlijking van de doeleinden van de verwerking onmogelijk dreigt te worden of ernstig in het gedrang dreigt te brengen; in dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie; Het verkrijgen of verstrekken van de gegevens uitdrukkelijk wettelijk is voorgeschreven en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen, of: De persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim, waaronder een statutaire geheimhoudingsplicht; Wanneer de verwerking berust op een wettelijke bepaling, waarbij een specifieke uitzondering geldt; Het de verwerking betreft van persoonsgegevens die deel uitmaken van archiefbescheiden en die op grond van de Archiefwet niet voor vernietiging in aanmerking komen en zijn overgebracht naar een archiefbewaarplaats. Zie Mvt UAVG, toelichting bij art. 41.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Informeren bij toestemming soms niet verplicht
PRIV_U.05.04.01	De toestemming moet door de betrokkene vrijelijk gegeven kunnen worden. Bij de beoordeling of dit vrijelijk gebeurt, is gekeken of de verwerking noodzakelijk is voor de uitvoering van een met de betrokkene overeengekomen overeenkomstAVG Art. 14 lid 4.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Toestemming vrijelijk gegeven
PRIV_U.05.04.02	Bij aanbieden van een dienst aan een kind en het kind is jonger dan 16 jaar, dan is de toestemming of machtiging tot toestemming verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagtAVG Art. 8.	Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens	Toestemming indien kind jonger is dan 16 jaar
PRIV_U.06.01.01	Als de bewaartermijnen verlopen, zijn de gegevens verwijderd, vernietigd of geanonimiseerd.	Bewaren van persoonsgegevens	Maatregelen na verlopen bewaartermijn
PRIV_U.06.01.02	De verantwoordelijke bepaalt na elke verwerking van persoonsgegevens of er nog redenen zijn om de betreffende persoonsgegevens te bewaren.	Bewaren van persoonsgegevens	Bewaking van de noodzaak tot bewaren
PRIV_U.06.02.01	Van alle persoonsgegevens is de bewaartermijn vastgesteld en bekrachtigd.	Bewaren van persoonsgegevens	Bewaartermijnen worden vastgesteld en bekrachtigd
PRIV_U.06.02.02	De bewaartermijn is de maximale periode waarin de persoonsgegevens noodzakelijk worden bewaard om het doel van de verwerking te bereiken of niet langer dan de termijn die verankerd is in sectorspecifieke wetgevingAVG Art. 5 lid 1e.	Bewaren van persoonsgegevens	Maximale bewaartermijn
PRIV_U.06.02.03	Als in sectorspecifieke wetgeving een bewaartermijn is vastgelegd voor specifieke persoonsgegevens, dan geldt die bewaartermijn.	Bewaren van persoonsgegevens	Sectorspecifieke bewaartermijnen
PRIV_U.06.02.04	Wanneer persoonsgegevens voor langere perioden worden opgeslagen, dan worden ze louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden verwerktAVG art. 5 lid 1e en zijn voor de rechten en vrijheden van de betrokkene ("opslagbeperking") passende waarborgen getroffen in overeenstemming met de AVGAVG art. 89 lid 1.	Bewaren van persoonsgegevens	Langere opslagperiode voor specifieke doelen (onderzoek, statistiek)
PRIV_U.07.01.01	Bij doorgifte aan een andere verantwoordelijke zijn: De respectieve verantwoordelijkheden duidelijk, zodat door alle partijen aan de AVG-verplichtingen voldaan kan worden, met name met betrekking totAVG Art. 26 lid 1: De uitoefening van de rechten van de betrokkene, conform PRIV_C.02: Toegang gegevensverwerking voor betrokkenen, en: Het informeren van de betrokkenen bij ontvangst van de persoonsgegevens, conform PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens De regeling met de respectieve verantwoordelijkheden aan de betrokkene beschikbaar gesteldAVG Art. 26 lid 3.	Doorgifte persoonsgegevens	De onderlinge verantwoordelijkheden
PRIV_U.07.02.01	De verwerking door een verwerker is in een overeenkomst of andere rechtshandeling vastgelegdAVG Art. 28 lid 2, met daarin: Het onderwerp en de duur van de verwerking. De aard en het doel van de verwerking waarvoor de persoonsgegevens worden verstrekt, inclusief: Welke persoonsgegevens worden verstrekt aan de verwerker; Hoe dataminimalisatie is toegepast; Het soort persoonsgegevens, inclusief de classificatie van de persoonsgegevens; De categorieën van betrokkenen, en: De rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven.	Doorgifte persoonsgegevens	Afdoende garanties formeel vastgelegd
PRIV_U.07.02.02	In de overeenkomst of andere rechtshandeling met de verwerker is bepaald dat: De persoonsgegevens uitsluitend verwerkt worden op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften; De gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden; De beveiliging van de verwerking is geborgd, conform PRIV_U.04: Beveiligen van de verwerking van persoonsgegevens, inclusief: Welke medewerkers van de verwerker toegang tot de persoonsgegevens nodig hebben. Welke procedure wordt gevolgd in geval van een datalek. In welke landen de persoonsgegevens worden opgeslagen. De vereisten aan de verwerkers gelden ook als vereisten voor het in dienst nemen van een andere verwerker. Passende technische en organisatorische maatregelen zijn genomen als betrokkene zijn rechten doet gelden, inclusief: Hoe de betrokkene wordt geïnformeerd over het uitbesteden van de persoonsgegevens aan de verwerker; Het contact dat de verwerker mag hebben met de betrokkenen. De verwerkingsverantwoordelijke bijstand wordt verleend om te voldoen aan zijn verplichtingen ten aanzien van het borgen de van beveiliging van de verwerking. Na afloop van de verwerkingsdiensten, naar gelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens worden wist of deze aan hem terugbezorgd worden en bestaande kopieën worden verwijderd, conform PRIV_U.06: Bewaren van persoonsgegevens. De verwerker alle informatie aan de verwerkingsverantwoordelijke ter beschikking stelt en bijdraagt ten behoeve van audits en om aan te kunnen tonen dat hij aan zijn verplichtingen voldoet, waaronder inspecties. De verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis stelt als naar zijn mening een instructie inbreuk oplevert op de AVG of op andere wet- en regelgeving inzake gegevensbescherming.	Doorgifte persoonsgegevens	Bepalingen overeengekomen met de verwerker
PRIV_U.07.02.03	De overeenkomst of de rechtshandeling is in schriftelijke vorm, waaronder elektronische vorm, opgesteld.	Doorgifte persoonsgegevens	Schriftelijk vastleggen
PRIV_U.07.03.01	Als een verwerkingsverantwoordelijke of verwerker niet in de EU is gevestigd, dan is door de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoordiger in de EU aangewezen, tenzij: Sprake is van een incidentele verwerking die geen grootschalige verwerking van bijzondere categorieën persoonsgegevens betreft, of: Bij de verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten en waarbij de kans gering is dat zij een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Het een verwerking door een overheidsinstantie of overheidsorgaan betreft.	Doorgifte persoonsgegevens	Vertegenwoordiger in de EU
PRIV_U.07.03.02	De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over het toepassen van passende technische en organisatorische maatregelen bieden, (zie PRIV_B.03: Risicomanagement, Privacy by Design en de DPIA), door de verwerker.	Doorgifte persoonsgegevens	Afdoende garanties voor passende maatregelen
PRIV_U.07.03.03	Een verwerker laat een verwerking pas door een andere verwerker uitvoeren als voorafgaand een specifieke of algemene schriftelijke toestemming is van de verwerkingsverantwoordelijkeAVG Art. 28 lid 1.	Doorgifte persoonsgegevens	Toestemming voor het door een andere verwerker laten uitvoeren van de verwerking
PRIV_U.07.04.01	De verwerking vindt niet plaats als er een rechterlijke uitspraak of een besluit van een administratieve autoriteit is van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken en waarbij dit niet erkend of afdwingbaar is gemaakt dat dit is gebaseerd op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand tussen het verzoekende derde landen en de EU of een lidstaatAVG Art. 48.	Doorgifte persoonsgegevens	Uitzonderingsgrond voor de verwerking
PRIV_U.07.04.02	De doorgifte kan worden beperkt als in de wet- en regelgeving of bepalingen om gewichtige redenen van openbaar belang uitdrukkelijk grenzen worden gesteld aan de doorgifte van specifieke categorieën persoonsgegevens aan een derde land of een internationale organisatie.	Doorgifte persoonsgegevens	Uitzonderingsgrond voor doorgifte
PRIV_U.07.05.01	Doorgifte naar buiten de EU is alleen toegestaan, wanneer naar het oordeel van de Europese Commissie in het derde land, in het gebied of in één of meerdere nader bepaalde sectoren in het derde land, of bij de internationale organisatie in kwestie een passend beschermingsniveau is gewaarborgdAVG Art. 45.	Doorgifte persoonsgegevens	Adequaatheidsbesluit
PRIV_U.07.06.01	Wanneer door de Europese commissie geen adequaatheidsbesluit is genomen, dan zijn passende waarborgen geboden doordat erAVG Art. 46: Een juridisch bindend en afdwingbaar instrument is tussen overheidsinstanties of -organen; Door de AP goedgekeurde bindende bedrijfsvoorschriften zijn; standaardbepalingen zijn inzake gegevensbescherming die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn vastgesteld ; Standaardbepalingen zijn inzake gegevensbescherming die door een AP zijn vastgesteld en die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn goedgekeurd ; Een goedgekeurde gedragscode is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen toe te passen, waaronder waarborgen voor de rechten van de betrokkenen; Een goedgekeurd certificeringmechanisme is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen, of: Door de AP passende waarborgen zijn, waarbij er met name: Contractbepalingen zijn tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie, of: Bepalingen zijn opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen.	Doorgifte persoonsgegevens	Passende waarborgen bij afwezigheid adequaatheidsbesluit
PRIV_U.07.06.02	Als bindende bedrijfsvoorschriften worden gebruikt om passende waarborgen te bieden, dan: Zijn die juridisch bindend of van toepassing en worden deze gehandhaafd door alle betrokken leden van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen; met inbegrip van hun werknemers; Kunnen betrokkenen uitdrukkelijk afdwingbare rechten toekennen met betrekking tot de verwerking van hun persoonsgegevens, en: Zijn de hier beknopt weergegeven elementen vastgelegd zie voor de volledige weergave AVG Art. 47 lid 1: De structuur en de contactgegevens; De toepassing van de algemene beginselen inzake gegevensbescherming; De rechten van betrokkenen; De aanvaarding van aansprakelijkheid voor alle inbreuken; De wijze waarop informatie wordt verschaft over de bindende bedrijfsvoorschriften; De taken van elke Functionaris voor gegevensbescherming, of elke andere persoon of entiteit die is belast met het toezicht op: De naleving van de bindende bedrijfsvoorschriften binnen het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, Opleiding, en: De behandeling van klachten; De klachtenprocedures; De bestaande procedures om te controleren of de bindende bedrijfsvoorschriften zijn nageleefd; De procedures om die veranderingen in de regels te melden, te registreren en aan de AP te melden; De procedure voor samenwerking met de AP; De procedures om eventuele wettelijke voorschriften aan de AP te melden, en: De passende opleiding inzake gegevensbescherming voor personeel.	Doorgifte persoonsgegevens	Passende waarborgen bij aanwezigheid adequaatheidsbesluit
PRIV_U.07.06.03	Wanneer de verwerking niet had mogen plaatsvinden, dan wordt door de verwerkings¬verantwoordelijke de doorgifte beëindigd en de AP en de betrokkenen hierover geïnformeerdAVG art. 49..	Doorgifte persoonsgegevens	Passende waarborgen, beëindigen van doorgifte en informeren van betrokkene
PRIV_U.07.07.01	De doorgifte mag ook plaatsvinden alsAVG Art. 49: De betrokkene uitdrukkelijk heeft ingestemd met de voorgestelde doorgifte, na te zijn ingelicht over de risico's die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen, tenzij dit door een overheidsinstantie ten behoeve van een openbare bevoegdheid wordt verricht; De doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen, tenzij dit door een overheidsinstanties ten behoeve van een openbare bevoegdheid wordt verricht; De doorgifte noodzakelijk is voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de verwerkingsverantwoordelijke en een andere natuurlijke persoon of rechtspersoon gesloten overeenkomst, tenzij dit door een overheidsinstanties ten behoeve van een openbare bevoegdheid wordt verricht; De doorgifte noodzakelijk is wegens gewichtige redenen van algemeen belang, dat is erkend bij de wet- en regelgeving; De doorgifte noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering; De doorgifte noodzakelijk is voor de bescherming van de vitale belangen van de betrokkene of van andere personen, als de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven; De doorgifte verricht is vanuit een register dat volgens het Wettelijk recht is bedoeld om het publiek voor te lichten en dat door eenieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen kan worden geraadpleegd, maar alleen voor zover in het geval in kwestie wordt voldaan aan de in het wettelijk recht vastgestelde voorwaarden voor raadpleging; De doorgifte aan derde landen of internationale organisaties is gebaseerd op internationale overeenkomsten die door de lidstaten zijn gesloten vóór 24 mei 2016 en die overeenkomsten in overeenstemming zijn met het vóór die datum toepasselijke Unierecht en nog niet is gewijzigd, vervangen of ingetrokkenAVG Art. 96.	Doorgifte persoonsgegevens	Afwijking voor een specifieke situatie
SVP_B.01.01	De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor het onderhouden van servers.	Beleid voor beveiligde inrichting en onderhoud	Gangbare principes rondom security by design zijn uitgangspunt voor het onderhouden van server
SVP_B.01.02	In het beleid voor beveiligd inrichten en onderhouden zijn de volgende aspecten in overweging genomen: het toepassen van richtlijnen/standaarden voor de configuratie van servers en besturingssystemen; het gebruik van hardeningsrichtlijnen; het toepassen van standaard images; het beperken van toegang tot krachtige faciliteiten en instellingen voor hostparameter; het beschermen tegen ongeautoriseerde toegang.	Beleid voor beveiligde inrichting en onderhoud	Overwegingen betreffende het beleid voor beveiligd inrichting en onderhoud
SVP_B.02.01	De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor het inrichten van servers.	Inrichtingsprincipes voor serverplatform	Gangbare principes rondom Security by design zijn uitgangspunt voor het inrichten van servers
SVP_B.02.02	Voor het beveiligd inrichten van servers zijn de volgende beveiligingsprincipes van belang: defence in depth (beveiliging op verschillende lagen); secure by default; least privilege (minimaal toegangsniveau); fail secure, waarbij informatie door een systeemfout niet toegankelijk is voor onbevoegde personen en niet kan worden gemanipuleerd of gewijzigd; eenduidige naamgevingsconventie; minimalisatie van single points of failure.	Inrichtingsprincipes voor serverplatform	Beveiligingsprincipes voor het beveiligd inrichten van servers
SVP_B.03.01	Van het in te richten serverplatform is een actueel architectuurdocument opgesteld. Dit document: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd; wordt actief onderhouden.	Serverplatform-architectuur	Eisen aan het architectuurdocument van het in te richten van het serverplatform
SVP_B.03.02	In het architectuurdocument is vastgelegd welke uitgangspunten, principes, beveiligingsvoorschriften, eisen en overwegingen gelden voor het inrichten van serverplatforms.	Serverplatform-architectuur	In het architectuurdocument voor servers platforms vastgelegde inrichtings eisen
SVP_C.01.01	De organisatie beschikt over richtlijnen voor het beoordelen van de technische omgeving van servers en besturingssystemen.	Richtlijn evaluatie ontwikkelactiviteiten	Richtlijnen voor het beoordelen van de technische omgeving van servers en besturingssystemen
SVP_C.01.02	De organisatie beschikt over geautomatiseerde middelen voor effectieve ondersteuning van de controle-activiteiten.	Richtlijn evaluatie ontwikkelactiviteiten	De organisatie beschikt over geautomatiseerde middelen voor effectieve ondersteuning van de controle activiteiten
SVP_C.01.03	De organisatie beschikt over richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie.	Richtlijn evaluatie ontwikkelactiviteiten	Richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie
SVP_C.01.04	De organisatie heeft de taken, verantwoordelijkheden en bevoegdheden van controle-functionarissen vastgelegd.	Richtlijn evaluatie ontwikkelactiviteiten	De taken, verantwoordelijkheden en bevoegdheden (TVB’s) van controle functionarissen zijn vastgelegd
SVP_C.02.01	Technische naleving wordt bij voorkeur beoordeeld met geautomatiseerde instrumenten die technische rapporten vervaardigen en geïnterpreteerd door een technisch specialist.	Beoordeling technische serveromgeving	Eisen aan het vervaardigen en interpreteren van technische naleving
SVP_C.02.02	Periodiek worden, na verkregen toestemming van het management, penetratietests of kwetsbaarheidsbeoordelingen uitgevoerd.	Beoordeling technische serveromgeving	Periodiek uitvoeren van penetratietests of kwetsbaarheidbeoordelingen
SVP_C.02.03	De uitvoering van dergelijke tests worden gepland en gedocumenteerd en zijn herhaalbaar.	Beoordeling technische serveromgeving	Uitvoering van tests worden gepland en gedocumenteerd en zijn herhaalbaar
SVP_C.02.04	Beoordeling van technische naleving wordt uitsluitend uitgevoerd door competente en bevoegde personen of onder toezicht van het management.	Beoordeling technische serveromgeving	Eisen aan het beoordelen van technische naleving
SVP_C.03.01	De logbestanden worden beschermd tegen ongeautoriseerd manipuleren en worden beoordeeld om vast te stellen wie welke activiteit heeft uitgevoerd.	Logbestanden beheerders	Eisen aan het beschermen van de logbestanden
SVP_C.03.02	Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheeractiviteiten.	Logbestanden beheerders	Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheer activiteiten
SVP_C.04.01	Logbestanden van gebeurtenissen bevatten, voor zover relevant: gebruikersidentificaties; systeemactiviteiten; data, tijdstippen en details van belangrijke gebeurtenissen zoals de registratie van geslaagde en geweigerde pogingen om toegang te krijgen tot het systeem en tot bronnen van informatie; identiteit of indien mogelijk de locatie van de apparatuur en de systeemidentificatie; systeemconfiguratieveranderingen; gebruik van speciale bevoegdheden; alarmen die worden afgegeven door het toegangsbeveiligingssysteem; activering en de-activering van beschermingssystemen, zoals antivirussystemen en inbraakdetectiesystemen; verslaglegging van transacties die door gebruikers in toepassingen zijn uitgevoerd.	Logging	Eisen aan de inhoud van de logbestanden van gebeurtenissen
SVP_C.05.01	De verantwoordelijke functionaris analyseert periodiek: de gelogde gebruikers- en activiteitengegevens van servers en serverplatforms; het optreden van verdachte gebeurtenissen en mogelijke schendingen van de beveiligingseisen; eventuele ongeautoriseerde toegang tot en wijzigingen/verwijderen van logbestanden.	Monitoring	Eisen aan de periodieke beoordeling van de logbestanden
SVP_C.05.02	De verzamelde log-informatie wordt in samenhang geanalyseerd.	Monitoring	De verzamelde loginformatie wordt in samenhang geanalyseerd
SVP_C.05.03	Periodiek worden de geanalyseerde en beoordeelde gelogde (gesignaleerde) gegevens aan de systeemeigenaren en/of aan het management gerapporteerd.	Monitoring	Eisen aan de periodieke rapportage over de analyse van de logbestanden
SVP_C.05.04	De rapportages uit de beheerdisciplines compliancy-management, vulnerability assessment, penetratietest en logging en monitoring worden op aanwezigheid van structurele risico’s geanalyseerd en geëvalueerd.	Monitoring	Analyse en evaluatie van beheer-, log- en penetratietest rapportages op structurele risico’s
SVP_C.05.05	De analyserapportage bevat informatie over kwetsbaarheden, zwakheden en misbruik en wordt gecommuniceerd met verantwoordelijk management.	Monitoring	Eisen aan de inhoud en verspreiding van de loganalyse
SVP_C.05.06	De eindrapportage bevat, op basis van analyses, verbetervoorstellen.	Monitoring	De eindrapportage bevat verbeteringsvoorstellen op basis van analyses
SVP_C.06.01	De beveiligingsfunctionaris zorgt onder andere voor: de actualisatie van beveiligingsbeleid voor servers en besturingssystemen; de afstemming van het beveiligingsbeleid in de afgesloten overeenkomsten met onder andere de ketenpartijen; de evaluatie van de effectiviteit van de beveiliging van de ontwikkelde systemen; de evaluatie van de beveiligingsmaatregelen ten aanzien van de bestaande risico’s; de bespreking van beveiligingsissues met ketenpartijen; het verschaffen van inzicht in de afhankelijkheden tussen servers binnen de infrastructuur.	Beheersorganisatie servers en serverplatforms	Activiteiten van de beveiligingsfunctionaris
SVP_C.06.02	Het beveiligingsbeleid geeft onder andere inzicht in: inrichtings-, onderhouds- en beheervoorschriften (procedureel en technisch); specifieke beveiligings- en architectuurvoorschriften; afhankelijkheden tussen servers binnen de infrastructuur.	Beheersorganisatie servers en serverplatforms	Inhoud van het beveiligingsbeleid
SVP_U.01.01	Voor bedieningsactiviteiten die samenhangen met informatieverwerking en communicatiefaciliteiten, zoals de procedures voor het starten en afsluiten van de computer, back-up, onderhoud van apparatuur, zijn gedocumenteerde procedures opgesteld.	Bedieningsprocedure	Gedocumenteerde procedures voor bedieningsactiviteiten
SVP_U.01.02	Wijzigingen aan bedieningsprocedures voor systeemactiviteiten worden formeel door het hoger management goedgekeurd.	Bedieningsprocedure	Formele goedkeuring vereist voor wijzigingen aan bedieningsprocedures voor systeemactiviteiten
SVP_U.01.03	In de bedieningsprocedures zijn de bedieningsvoorschriften opgenomen, onder andere voor: de installatie en configuratie van systemen; de verwerking en behandeling van informatie, zowel geautomatiseerd als handmatig; de back-up; de eisen voor de planning, met inbegrip van onderlinge verbondenheid met andere systemen; de voorschriften voor de afhandeling van fouten of andere uitzonderlijke omstandigheden die tijdens de uitvoering van de taak kunnen optreden, waaronder beperkingen van het gebruik van systeemhulpmiddelen; de ondersteunings- en escalatiecontacten, waaronder externe ondersteuningscontacten door onverwachte bedienings- of technische moeilijkheden; het beheer van audit- en systeemlogbestandinformatie; de procedures voor het monitoren van activiteiten.	Bedieningsprocedure	In de bedieningsprocedures opgenomen bedieningsvoorschriften
SVP_U.02.01	De documentatie conform de standaarden omvat: het bieden van gestandaardiseerde firmwareconfiguraties; het gebruik van gestandaardiseerde en vooraf bepaalde server-images voor het bouwen/configureren van servers; het wijzigen van de standaardwaarden van leveranciers- en andere beveiligingsparameters; het uitschakelen of beperken van onnodige functies en services; het beperken van de toegang tot krachtige beheerhulpmiddelen en hostparameter-instellingen (bijvoorbeeld Windows 'Register-editor'); het beschermen tegen ongeoorloofde toegang; het uitvoeren van standaard beveiligingsbeheerpraktijken.	Standaarden voor serverconfiguratie	Eisen aan de "gedocumenteerde standaarden"
SVP_U.03.01	Een formeel beleid wordt toegepast waarin het ongeautoriseerde gebruik van software is verboden.	Malwareprotectie serverplatform	In beleid vastgelegd formeel verbod op het ongeautoriseerde gebruik van software
SVP_U.03.02	Procedures zijn beschreven en verantwoordelijkheden benoemd voor de bescherming tegen malware.	Malwareprotectie serverplatform	Gebruikers zijn voorgelicht over risico’s van surfgedrag en klikken op onbekende links
SVP_U.03.03	Severs zijn voorzien van (actuele) software die malware opspoort en daartegen beschermt.	Malwareprotectie serverplatform	Het downloaden van bestanden is beheerst en beperkt
SVP_U.03.04	Gebruikers zijn voorgelicht over de risico’s ten aanzien van surfgedrag en het klikken op onbekende links.	Malwareprotectie serverplatform	Servers zijn voorzien van up-to-date anti-malware
SVP_U.03.05	Het downloaden van bestanden is beheerst en beperkt op basis van een risicoanalyse en het principe ‘need-of-use’.	Malwareprotectie serverplatform	Voor de bescherming tegen malware zijn procedures beschreven en verantwoordelijkheden benoemd
SVP_U.03.06	Servers en hiervoor gebruikte media worden als voorzorgsmaatregel routinematig gescand op malware. De uitgevoerde scan omvat alle bestanden die op de server moeten worden opgeslagen.	Malwareprotectie serverplatform	Servers en hiervoor gebruikte media worden routinematig gescand op malware
SVP_U.03.07	De malware-scan wordt op alle omgevingen uitgevoerd.	Malwareprotectie serverplatform	De malware scan wordt op alle omgevingen uitgevoerd
SVP_U.03.08	De gebruikte anti-malwaresoftware en bijbehorende herstelsoftware zijn actueel en worden ondersteund door periodieke updates.	Malwareprotectie serverplatform	De anti-malware software wordt regelmatig geüpdate
SVP_U.04.01	Als de kans op misbruik en de verwachte schade beide hoog zijn (NCSC-classificatie kwetsbaarheidswaarschuwingen), worden patches zo snel mogelijk, maar uiterlijk binnen een week geïnstalleerd. In de tussentijd worden op basis van een expliciete risicoafweging mitigerende maatregelen getroffen.	Technische kwetsbaarhedenbeheer serverplatform	Eisen aan het installeren van patches en tussentijdse mitigerende maatregelen
SVP_U.04.02	Voor een doeltreffende kwetsbaarhedenanalyse van serverplatforms en servers is informatie aanwezig over beschikbaarheid van: (onderlinge) afhankelijkheden; software ten aanzien van versienummers en toepassingsstatus; verantwoordelijken voor de software.	Technische kwetsbaarhedenbeheer serverplatform	Informatie-eisen voor het uitvoeren van een doeltreffende kwetsbaarhedenanalyse
SVP_U.04.03	Om een doeltreffend beheerproces voor technische kwetsbaarheden vast te stellen, zijn: de rollen en verantwoordelijkheden in samenhang met beheer van technische kwetsbaarheden vastgesteld; de middelen om technische kwetsbaarheden te bepalen, vastgesteld.	Technische kwetsbaarhedenbeheer serverplatform	Verantwoordelijkheden, rollen en middelen om technische kwetsbaarheden beheren
SVP_U.04.04	Voor de technische kwetsbaarheden zijn voor een doeltreffend beheerproces de activiteiten afgestemd op het incidentbeheerproces.	Technische kwetsbaarhedenbeheer serverplatform	De activiteiten zijn afgestemd op het incident
SVP_U.04.05	Het kwetsbaarhedenbeheerproces wordt uitgevoerd voor: de identificatie van bekende technische kwetsbaarheden; een hoog-over-inzicht in de kwetsbaarheden in de technische infrastructuur van de organisatie; de relevantie, gericht op de mate waarin het serverplatform en de servers kunnen worden blootgesteld aan bedreigingen; het prioriteit geven aan herstel van onderkende kwetsbaarheden.	Technische kwetsbaarhedenbeheer serverplatform	Het kwetsbaarheden beheerproces
SVP_U.04.06	Technische kwetsbaarheden worden via de patchmanagementprocessen en/of het wijzigingsbeheer hersteld.	Technische kwetsbaarhedenbeheer serverplatform	Procesmatig herstel van technische kwetsbaarheden
SVP_U.04.07	Het kwetsbaarhedenbeheerproces wordt regelmatig gemonitord en geëvalueerd.	Technische kwetsbaarhedenbeheer serverplatform	Het kwetsbaarheden beheerproces wordt regelmatig gemonitord en geëvalueerd
SVP_U.05.01	Het patchmanagementproces is beschreven, goedgekeurd door het management en toegekend aan een verantwoordelijke functionaris.	Patchmanagement serverplatform	Patchmanagement is beschreven, goedgekeurd en toegekend
SVP_U.05.02	Een technisch mechanisme zorgt voor (semi-)automatische updates.	Patchmanagement serverplatform	Een technisch mechanisme zorgt voor (semi-)automatische updates
SVP_U.05.03	Configuratiebeheer geeft het inzicht waarmee servers worden gepatcht.	Patchmanagement serverplatform	Op basis van inzicht vanuit configuratiebeheer worden de servers gepatcht
SVP_U.05.04	Het patchbeheerproces bevat methoden om: patches te testen en te evalueren voordat ze worden geïnstalleerd; patches te implementeren op servers die niet toegankelijk zijn via het bedrijfsnetwerk; om te gaan met mislukte of niet uitgevoerde patches; te rapporteren over de status van het implementeren van patches; acties te bepalen als een technische kwetsbaarheid niet met een patch kan worden hersteld of een beschikbare patch niet kan worden aangebracht.	Patchmanagement serverplatform	Eisen aan het Patchmanagement
SVP_U.05.05	De patchmanagementprocedure is actueel en beschikbaar.	Patchmanagement serverplatform	De Patchmanagement procedure is actueel en beschikbaar
SVP_U.05.06	De rollen en verantwoordelijkheden voor patchmanagement zijn vastgesteld.	Patchmanagement serverplatform	De rollen en verantwoordelijkheden voor Patchmanagement zijn vastgesteld
SVP_U.05.07	De volgende aspecten van een patch worden geregistreerd: de beschikbare patches; hun relevantie voor de systemen/bestanden; het besluit tot wel/niet uitvoeren; de testdatum en het resultaat van de patchtest; de datum van implementatie; het patchresultaat.	Patchmanagement serverplatform	Registratie van de aspecten van een patch
SVP_U.05.08	Ter ondersteuning van de patchactiviteiten is op het juiste (organisatorische) niveau een opgestelde patchrichtlijn vastgesteld en geaccordeerd.	Patchmanagement serverplatform	Een patchrichtlijn is opgesteld, vastgesteld en geaccordeerd.
SVP_U.05.09	Alleen beschikbare patches van een legitieme (geautoriseerde) bron mogen worden geïmplementeerd.	Patchmanagement serverplatform	Alleen beschikbare patches van een legitieme (geautoriseerde) bron worden geïmplementeerd
SVP_U.05.10	De risico’s die verbonden zijn aan het installeren van de patch worden beoordeeld (de risico’s die worden gevormd door de kwetsbaarheid worden vergeleken met het risico van het installeren van de patch).	Patchmanagement serverplatform	De risico’s verbonden aan het installeren van de patch worden beoordeeld
SVP_U.05.11	Wanneer voor een gepubliceerde technische kwetsbaarheid geen patch beschikbaar is, worden andere beheersmaatregelen overwogen, zoals: het uitschakelen van functionaliteit of diensten; het aanpassen of toevoegen van toegangsbeveiligingsmaatregelen, bijvoorbeeld firewalls, rond de grenzen van netwerken; het vaker monitoren om de werkelijke aanvallen op te sporen; het kweken van bewustzijn over de kwetsbaarheid.	Patchmanagement serverplatform	Wanneer een niet patch beschikbaar is, worden andere beheersmaatregelen overwogen
SVP_U.06.01	Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd door: het definiëren en overeenkomen van de doelstellingen en reikwijdte van de geplande werkzaamheden; het autoriseren van individuele sessies; het beperken van toegangsrechten (binnen doelstellingen en reikwijdte); het loggen van alle ondernomen activiteiten; het gebruiken van unieke authenticatiereferenties voor elke implementatie; het toewijzen van toegangsreferenties aan individuen in plaats van gedeeld; het intrekken van toegangsrechten en het wijzigen van wachtwoorden onmiddellijk nadat het overeengekomen onderhoud is voltooid; het uitvoeren van een onafhankelijke beoordeling van onderhoudsactiviteiten op afstand.	Beheer op afstand	Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd
SVP_U.06.02	Het op afstand onderhouden van servers wordt strikt beheerd door: het verifiëren van de bron van de verbinding op afstand; het bepalen van de toestemming voordat toegang wordt verleend voor de connectiviteit; het beperken van het aantal gelijktijdige externe verbindingen; het bewaken van activiteiten gedurende de gehele duur van de verbinding; het uitschakelen van de verbinding zodra de geautoriseerde activiteit voltooid is.	Beheer op afstand	Het op afstand onderhouden van servers wordt strikt beheerd
SVP_U.06.03	Het serverplatform is zodanig ingericht, dat dit op afstand kan worden geconfigureerd en beheerd en dat automatisch kan worden gecontroleerd of vooraf gedefinieerde parameters en drempelwaarden worden aangetast of overschreden.	Beheer op afstand	Het serverplatform is zodanig ingericht, dat deze op afstand wordt geconfigureerd en beheerd
SVP_U.06.04	Handmatige interventie wordt niet toegepast, tenzij geautoriseerd en gedocumenteerd.	Beheer op afstand	Handmatige interventie wordt niet toegepast, tenzij geautoriseerd en gedocumenteerd
SVP_U.06.05	Alle externe toegang tot servers vindt versleuteld plaats.	Beheer op afstand	Alle externe toegang tot servers vindt versleuteld plaats
SVP_U.07.01	Het onderhoud van servers wordt uitgevoerd met richtlijnen die invulling geven aan de volgende eisen: Onderhoud wordt uitgevoerd volgens de door de leverancier aanbevolen intervallen voor servicebeurten. Alleen bevoegd onderhoudspersoneel voert reparaties en onderhoudsbeurten uit. Van alle vermeende en daadwerkelijke fouten en van al het preventieve en correctieve onderhoud wordt een registratie bijgehouden. Voor onderhoud vanuit interne of externe locaties worden passende maatregelen getroffen. Voordat servers na onderhoud weer in bedrijf worden gesteld, vindt een inspectie plaats om te waarborgen dat niet is geknoeid met de server en dat deze nog steeds of weer goed functioneert.	Server-onderhoud	Het onderhoud van servers wordt uitgevoerd op basis van richtlijnen
SVP_U.08.01	Van de server(s): wordt informatie die niet meer nodig is, vernietigd door verwijderen of overschrijven, gebruikmakend van technieken die het onmogelijk maken de oorspronkelijke informatie terug te halen; worden opslagmedia die niet meer nodig zijn en die vertrouwelijke of door auteursrecht beschermde informatie bevatten fysiek vernietigd.	Verwijderen of hergebruiken serverapparatuur	Niet meer benodigde opslagmedia en informatie van servers worden vernietigd
SVP_U.08.02	Voorafgaand aan verwijdering of hergebruik van servers wordt gecontroleerd of de server opslagmedia bevat en of de informatie is vernietigd.	Verwijderen of hergebruiken serverapparatuur	Gecontroleerd wordt of te verwijderen servers nog opslagmedia en/of informatie is bevat
SVP_U.09.01	Een servers is zodanig geconfigureerd dat onderstaande functies zijn verwijderd of uitgeschakeld: niet-essentiële en overbodige (redundant) services; het kunnen uitvoeren van gevoelige transacties en scripts; krachtige beheer-hulpmiddelen; het ‘run’-commando en ‘command’-processors; de ‘auto-run’-functie.	Hardenen server	Servers zijn zodanig geconfigureerd dat bepaalde functies zijn verwijderd of uitgeschakeld
SVP_U.09.02	Een servers is zodanig geconfigureerd dat gebruik van onderstaande functies wordt beperkt: communicatiediensten die inherent vatbaar zijn voor misbruik; communicatieprotocollen die gevoelig zijn voor misbruik.	Hardenen server	Servers zijn zodanig geconfigureerd dat gebruik van bepaalde functies wordt beperkt
SVP_U.09.03	Servers worden beschermd tegen ongeoorloofde toegang doordat: onnodige of onveilige gebruikersaccounts zijn verwijderd; belangrijke beveiliging gerelateerde parameters zijn gewijzigd; time-out faciliteiten worden gebruikt, die: automatisch na een vooraf bepaalde periode van inactiviteit sessies sluiten en een blanco scherm tonen op de beheerschermen; vereisen dat opnieuw wordt ingelogd voordat een beheerscherm zich herstelt.	Hardenen server	Servers worden beschermd tegen ongeoorloofde toegang
SVP_U.10.01	De servers zijn geconfigureerd volgens gedocumenteerde standaarden/procedures die betrekking hebben op: het inrichten van standaard firmware-configuraties; het gebruik van gestandaardiseerde vooraf bepaalde serverimages voor het bouwen/configureren van servers; het wijzigen van de standaardwaarden en andere beveiligingsparameters van de leverancier(s); het verwijderen, uitschakelen en/of beperken van onnodige functies en services; het beperken van de toegang tot krachtige beheerhulpmiddelen en host-parameterinstellingen; het beschermen tegen ongeoorloofde toegang; het uitvoeren van standaard beveiligingsbeheerpraktijken.	Serverconfiguratie	De Servers zijn geconfigureerd in overeenstemming met gedocumenteerde standaarden/procedures
SVP_U.10.02	De servers zijn geconfigureerd volgens een gestandaardiseerde en vooraf bepaald serverimage.	Serverconfiguratie	De servers zijn geconfigureerd conform een gestandaardiseerde serverimage
SVP_U.10.03	Toegang tot serverparameterinstellingen en krachtige beheerinstrumenten zijn: beperkt tot een gelimiteerd aantal geautoriseerde personen; beperkt tot specifiek omschreven situaties; gekoppeld aan specifieke en gespecificeerde autorisatie.	Serverconfiguratie	Toegang tot serverparameter en krachtige beheerinstrumenten is beperkt
SVP_U.11.01	Fysieke servers die worden gebruikt om virtuele servers te hosten, worden beschermd tegen: onbeheerde en ad hoc-inzet van virtuele servers (zonder juiste procedures aanvraag, creëren en schonen); overbelasting van resources ((CPU), geheugen en harde schijf) door het stellen van een limiet voor het aanmaken van het aantal virtuele servers op een fysieke host server.	Virtualisatie serverplatform	Fysieke servers worden gebruikt om virtuele servers te hosten en worden beschermd
SVP_U.11.02	Hypervisors worden geconfigureerd om: virtuele servers onderling (logisch) te scheiden met vertrouwelijkheidseisen en om te voorkomen dat informatie wordt uitgewisseld tussen discrete omgevingen; de communicatie tussen virtuele servers te coderen; de toegang te beperken tot een beperkt aantal geautoriseerde personen; de rollen van hypervisoradministrators te scheiden.	Virtualisatie serverplatform	Hypervisors worden geconfigureerd
SVP_U.11.03	Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures, die de bescherming omvat van: fysieke servers die worden gebruikt voor het hosten van virtuele servers; hypervisors die zijn geassocieerd met virtuele servers; virtuele servers die op een fysieke server worden uitgevoerd.	Virtualisatie serverplatform	Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures
SVP_U.11.04	Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors, waaronder: het toepassen van standaard beveiligingsrichtlijnen voor fysieke en logische toegang; het hardenen van de fysieke en virtuele servers; het wijzigingsbeheer en de malwareprotectie; het toepassen van monitoring en van netwerk gebaseerde beveiliging.	Virtualisatie serverplatform	Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors
SVP_U.12.01	Gebruikers (beheerders) kunnen op hun werkomgeving niets zelf installeren, anders dan via de ICT-leverancier wordt aangeboden of wordt toegestaan (whitelist).	Beperking software-installatie serverplatform	Op de werkomgeving kan niets zelf worden geïnstalleerd, anders dan via de ICT-leverancier wordt aangeboden of toegestaan
SVP_U.12.02	De organisatie past een strikt beleid toe voor het installeren en gebruiken van software.	Beperking software-installatie serverplatform	De organisatie past een strikt beleid toe ten aanzien van het installeren en gebruiken van software.
SVP_U.12.03	Het principe van least-privilege wordt toegepast.	Beperking software-installatie serverplatform	Het principe van least-privilege wordt toegepast
SVP_U.12.04	De rechten van beheerders worden verleend op basis van rollen.	Beperking software-installatie serverplatform	De rechten van beheerders worden verleend op basis van rollen
SVP_U.13.01	De systemen zijn met een standaard referentietijd voor gebruik geconfigureerd, zodanig dat gebruik gemaakt wordt van een consistente en vertrouwde datum- en tijdbron en dat gebeurtenislogboeken nauwkeurige tijdstempels gebruiken.	Kloksynchronisatie	De systemen zijn met een standaard referentietijd voor gebruik geconfigureerd
SVP_U.13.02	De interne en externe eisen voor weergave, synchronisatie en nauwkeurigheid van tijd en de aanpak van de organisatie om een referentietijd met externe bron(nen) te verkrijgen en hoe de interne klokken betrouwbaar te synchroniseren zijn gedocumenteerd.	Kloksynchronisatie	De interne en externe eisen voor weergave, synchronisatie en nauwkeurigheid van tijd zijn gedocumenteerd.
SVP_U.14.01	Het ontwerp van elk serverplatform en elke server is gedocumenteerd, waarbij onder andere beschreven is: dat in het ontwerp rekening is gehouden met de principes van de beveiligingsarchitectuur en beveiligingsvereisten; dat in het ontwerp rekening is gehouden met de risico’s van voorzienbare ontwikkelingen in het gebruik van IT door de organisatie.	Ontwerpdocument	Het ontwerp van elk serverplatform en elke server is gedocumenteerd
SWP_B.01.01	In het verwervingsbeleid voor softwarepakketten zijn regels vastgesteld die bij de verwerving van softwarepakketten in acht dienen te worden genomen. De regels kunnen onder andere betrekking hebben op: analyse van de context waarin het softwarepakket moet functioneren; mobiliseren van kennis die bij het verwerven van belang is; vaststelling van de eigenaarschap van data; tijdige scholing van de betrokken medewerkers; naleven van contractuele verplichtingen.	Verwervingsbeleid softwarepakketten	Regels voor beleid bij verwerving softwarepakketten
SWP_B.01.02	De verwerving van een softwarepakket vindt plaats met een business case, waarbij verschillende toepassingsscenario’s worden overwogen: bedrijfsfuncties vanuit een softwarepakket in een eigen rekencentrum; bedrijfsfuncties als Software as a Service (SaaS) aangeboden; hybridevorm van IT-dienstverlening, waarbij SaaS-dienstverlening wordt aangevuld door diensten vanuit het eigen rekencentrum.	Verwervingsbeleid softwarepakketten	Verwerven softwarepakket met business case
SWP_B.01.03	Verwerving van een softwarepakket vindt plaats met een functioneel ontwerp, waarin de beoogde functionele en niet-functionele requirements zijn uitgewerkt in een op te stellen softwarepakket van eisen en wensen.	Verwervingsbeleid softwarepakketten	Verwerven softwarepakket met functioneel ontwerp
SWP_B.01.04	Leveranciers zijn ISO 27001-gecertificeerd.	Verwervingsbeleid softwarepakketten	Leveranciers zijn gecertificeerd
SWP_B.02.01	De overeenkomsten en documentatie omvatten afspraken over: procedures voor levenscyclusmanagement, actualisaties en patches; beveiligingseisen voor fysieke toegang, monitoring en beheer op afstand; verplichtingen voor leveranciers om vertrouwelijke informatie van de klant te beschermen; het bepalen van aanvullende beveiligingseisen zoals het recht op een audit; de bewaking van informatiebeveiligingsprestaties met overeengekomen beveiligingsafspraken voor externe leveranciers; het vaststellen van een methode voor het afsluiten, beëindigen, verlengen en heronderhandelen van contracten met externe leveranciers (exit-strategie); de wijze van rapportage over de dienstverlening.	Informatiebeveiligingsbeleid voor leveranciersrelaties	Overeenkomsten en documentatie omvatten afspraken
SWP_B.03.01	De klant legt in de overeenkomst bepalingen over exit vast dat: De exit-bepaling geldt zowel bij het einde van de overeenkomst als om valide redenen aangedragen door de klant (zie norm B.03.02 bij conformiteitsindicator Condities). De overeenkomst (en eventuele verwerkersovereenkomst) duurt voort totdat de exit-regeling helemaal is uitgevoerd. De opzegtermijn voldoende tijd geeft om te kunnen migreren. Data en configuratiegegevens (indien relevant) pas na succesvolle migratie verwijderd mogen worden. Door een onafhankelijke partij wordt gecontroleerd en vastgesteld dat alle data is gemigreerd. De exit-regeling wordt aangepast/anders ingevuld als de software die gebruikt wordt voor de clouddienst is gewijzigd.	Exit-strategie softwarepakketten	Vastleggen exit-bepalingen in overeenkomst
SWP_B.03.02	De klant kan, buiten het verstrijken van de contractperiode, besluiten over te gaan tot exit wanneer sprake is van aspecten die gerelateerd zijn aan: Contracten: niet beschikbaar zijn van de afgesproken prestatie; eenzijdige wijziging door de leverancier van het Service Level Agreement (SLA); prijsverhoging. Geleverde prestatie/ondersteuning: onvoldoende compensatie voor storingen; niet leveren van de afgesproken beschikbaarheid of prestatie; gebrekkige ondersteuning. Clouddienst(en): nieuwe eigenaar of nieuwe strategie; einde van de levensduur van clouddiensten als softwarepakket; achterwege blijvende features.	Exit-strategie softwarepakketten	Besluiten over te gaan tot exit
SWP_B.04.01	Bij de afleiding van de bedrijfsfuncties worden stakeholders uit het veranderingsgebied betrokken.	Bedrijfs- en beveiligingsfuncties	Betrekken stakeholders bij afleiden bedrijfsfuncties
SWP_B.04.02	Voor het afleiden van bedrijfs- en beveiligingsfuncties worden formele methoden voor een gegevensimpactanalyse toegepast, zoals een (Business Impact Analyse) BIA en Data Protection Impact Assessment (DPIA) en wordt rekening gehouden met het informatieclassificatie-beleid.	Bedrijfs- en beveiligingsfuncties	Toepassen methoden voor gegevensimpactanalyse
SWP_B.04.03	Het softwarepakket dekt de eisen van de organisatie zodanig dat geen maatwerk noodzakelijk is. Wanneer de functionaliteit door een SaaS (Software as a Service)-leverancier wordt aangeboden via een app-centre, dan wordt het volgende onderzocht en overeengekomen: Wie zijn de leveranciers of contractpartners van apps? Wie is verantwoordelijk voor het goed functioneren van de app en de continuïteit?	Bedrijfs- en beveiligingsfuncties	Afdekken organisatie-eisen voor softwarepakketten
SWP_B.04.04	Het softwarepakket biedt de noodzakelijke veilige interne en externe communicatie-, koppelings- (interfaces) en protectiefuncties, bij voorkeur gerelateerd aan open standaarden.	Bedrijfs- en beveiligingsfuncties	Bieden veilige interne en externe communicatie-, koppelings- (interfaces) en protectiefuncties
SWP_B.04.05	De documentatie van het softwarepakket beschrijft alle componenten voor de beveiligingsfuncties die ze bevatten.	Bedrijfs- en beveiligingsfuncties	Beschrijven componenten voor beveiligingsfuncties
SWP_B.05.01	Communicatie en opslag van informatie door softwarepakketten is passend bij de classificatie van de gegevens, al dan niet beschermd door versleuteling.	Cryptografie Softwarepakketten	Passende gegevensclassificatie bij informatiecommunicatie en -opslag
SWP_B.05.02	In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt: Wie verantwoordelijkheid is voor de implementatie en het sleutelbeheer. Het bewaren van geheime authenticatie-informatie tijdens verwerking, transport en opslag. De wijze waarop de normen van het Forum Standaardisatie worden toegepast.	Cryptografie Softwarepakketten	Uitwerken cryptografiebeleid
SWP_B.06.01	De beveiligingsarchitectuur ondersteunt een bedrijfsbreed proces voor het implementeren van samenhangende beveiligingsmechanismen en tot stand brengen van gemeenschappelijke gebruikersinterfaces en Application Programming Interfaces (API’s), als onderdeel van softwarepakketten.	Beveiligingsarchitectuur	Ondersteunen proces voor beveilgingsmechnismen
SWP_B.06.02	Er zijn beveiligingsprincipes voorgeschreven waaraan een te verwerven softwarepakket getoetst moet worden, zoals: Security by default, Standaard instellingen van beveiligingsparameters. Fail secure, Tijdens systeemstoringen in het softwarepakket is informatie daarover niet toegankelijk voor onbevoegde personen. Defence in depth, Gelaagde, diepgaande bescherming, die niet afhankelijk is van één beveiligingsmethode). Default deny, Het voorkomen van ongeautoriseerde toegang.	Beveiligingsarchitectuur	Voorschrijven beveiligingsprincipes
SWP_C.01.01	De mate waarin de leveranciersovereenkomsten worden nageleefd, wordt geverifieerd.	Evaluatie leveranciersdienstverlening	Verifiëren mate van naleving leveranciersovereenkomsten
SWP_C.01.02	De door leveranciers opgestelde rapporten over de dienstverlening worden beoordeeld en zijn de basis voor besprekingen met de leveranciers voor zover dit is opgenomen in de overeenkomst.	Evaluatie leveranciersdienstverlening	Beoordelen rapporten over dienstverlening
SWP_C.01.03	Leveranciersaudits worden uitgevoerd in samenhang met rapportages over de dienstverlening.	Evaluatie leveranciersdienstverlening	Uitvoeren leveranciersaudits
SWP_C.01.04	Er wordt inzicht gegeven in de complete verslaglegging van leveranciersaudits.	Evaluatie leveranciersdienstverlening	Geven inzicht in verslaglegging leveranciersaudits
SWP_C.01.05	Vastgestelde problemen worden opgelost en beheerd.	Evaluatie leveranciersdienstverlening	Oplossen en beheren problemen
SWP_C.02.01	De leverancier heeft versiebeheer adequaat geregeld en stelt de klant tijdig op de hoogte van de actueel te gebruiken versies.	Versiebeheer softwarepakketten	Regelen adequaat versiebeheer
SWP_C.02.02	Het versiebeheerproces wordt ondersteund met procedures en werkinstructies.	Versiebeheer softwarepakketten	Ondersteunen versiebeheer met procedures en werkinstructies
SWP_C.03.01	Het patchmanagementproces en de noodzakelijke patchmanagementprocedures zijn beschreven, vastgesteld door het management en bekendgemaakt aan de ontwikkelaars.	Patchmanagement softwarepakketten	Beschrijven, vaststellen en bekendmaken patchmanagementproces en -procedures
SWP_C.03.02	Het beheer van technische kwetsbaarheden in code omvat minimaal een risicoanalyse van de kwetsbaarheden en eventueel penetratietests en patching.	Patchmanagement softwarepakketten	Technisch kwetsbaarheden beheer omvat minimaal risicoanalyse
SWP_C.03.03	Actualisaties/patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is, worden zo snel mogelijk geïnstalleerd.	Patchmanagement softwarepakketten	Installeren patches voor kwetsbaarheden
SWP_U.01.01	Tussen de leverancier en klant is een procedure afgesproken voor het tijdig actualiseren/opwaarderen van verouderde softwarepakketten uit de technische stack.	Levenscyclusmanagement softwarepakketten	Afspreken procedure voor tijdig actualiseren verouderde software
SWP_U.01.02	De leverancier onderhoudt een registratie van de gebruikte softwarestack. Hierin is de vermelding van de uiterste datum dat ondersteuning plaatsvindt opgenomen, waardoor inzicht bestaat in de door de leverancier ondersteunde versies van de software.	Levenscyclusmanagement softwarepakketten	Onderhouden registratie gebruikte softwarestack
SWP_U.01.03	Technologische innovaties van softwarepakketten worden aan de klant gecommuniceerd en de toepassing daarvan wordt afgestemd met de klant voor implementatie.	Levenscyclusmanagement softwarepakketten	Communiceren technologische innovaties van softwarepakketten
SWP_U.02.01	Bij nieuwe softwarepakketten en bij wijzigingen op bestaande softwarepakketten moet een expliciete risicoafweging worden uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen, uitgaande van de Baseline Informatiebeveiliging Overheid (BIO).	Beperking wijziging softwarepakket	Uitvoeren expliciete risicoafweging bij nieuwe software
SWP_U.02.02	Wijzigingen in, door leveranciers geleverde, softwarepakketten worden, voor zover mogelijk en haalbaar, ongewijzigd gebruikt.	Beperking wijziging softwarepakket	Ongewijzigd gebruiken gewijzigde softwarepakketten
SWP_U.02.03	Indien vereist worden de wijzigingen door een onafhankelijke beoordelingsinstantie getest en gevalideerd (dit geldt waarvoor mogelijk ook voor software in de cloud).	Beperking wijziging softwarepakket	Testen en valideren van wijzigingen
SWP_U.03.01	Een adequate risicobeheersing bij de klant impliceert een voorbereiding op het voor korte of lange termijn wegvallen van leveranciersondersteuning: met disaster recovery procedures voor herstel van de applicatie-functionaliteit en data; door een contractuele uitwijklocatie; door de mogelijkheid van dataconversie naar alternatieve IT-systemen.	Bedrijfscontinuïteit	Adequate risicobeheersing
SWP_U.03.02	De data behorende bij het softwarepakket en de beoogde bedrijfsmatige bewerking van de gegevens kan worden hersteld binnen de overeengekomen maximale uitvalsduur.	Bedrijfscontinuïteit	Herstellen data softwarepakket en bedrijfsmatige bewerking gegevens
SWP_U.03.03	Periodiek wordt de beoogde werking van de disaster recovery herstelprocedures in de praktijk getest. Met cloud-leveranciers worden continuïteitsgaranties overeengekomen.	Bedrijfscontinuïteit	Testen werking herstelprocedures voor disaster recovery
SWP_U.04.01	Het softwarepakket zorgt dat de invoer in een gestandaardiseerde vorm komt, zodat deze herkend en gevalideerd kan worden.	Input-/output-validatie	Zorgen voor gestandaardiseerde vorm
SWP_U.04.02	Foute, ongeldige of verboden invoer wordt geweigerd of onschadelijk gemaakt. Het softwarepakket (of Software as a Service (SaaS)) voert deze controle van de invoer uit aan de serverzijde en vertrouwt niet op maatregelen aan de clientzijde.	Input-/output-validatie	Weigeren foute, ongeldige of verboden invoer
SWP_U.04.03	Het softwarepakket (of Software as a Service (SaaS)) valideert alle invoer die de gebruiker aan het softwarepakket verstrekt.	Input-/output-validatie	Valideren verstrekte invoer aan softwarepakket
SWP_U.04.04	Binnen het softwarepakket zijn beveiligingsmechanismen ingebouwd om bij import van gegevens, zogenaamde ‘ingesloten’ aanvallen te detecteren.	Input-/output-validatie	Ingebouwde mechnismen om aanvallen te detecteren
SWP_U.04.05	Alle uitvoer wordt naar een veilig formaat geconverteerd.	Input-/output-validatie	Uitvoer naar veilig formaat converteren
SWP_U.05.01	Softwarepakketten hergebruiken nooit sessie-tokens in URL-parameters of foutberichten.	Sessiebeheer	Niet hergebruiken token-sessies
SWP_U.05.02	Softwarepakketten genereren alleen nieuwe sessies met een gebruikersauthenticatie.	Sessiebeheer	Genereren nieuwe sessie met gebruikersauthenticatie
SWP_U.05.03	Sessies hebben een specifiek einde en worden automatisch ongeldig gemaakt wanneer: ze niet langer nodig zijn; gebruikers hun sessie expliciet hebben laten verlopen; de limiet voor het verlopen van de harde sessies is bereikt.	Sessiebeheer	Automatisch ongeldig maken sessies
SWP_U.06.01	De opdrachtgever specificeert de classificatie van gegevens.	Gegevensopslag	Specificeren gegevensclassificatie
SWP_U.06.02	Indien van een gegeven niet de classificatie van vertrouwelijkheid is vastgesteld, wordt het gegeven per default veilig opgeslagen.	Gegevensopslag	Per default velig opslaan gegeven
SWP_U.06.03	Het softwarepakket voorkomt dat wachtwoorden in leesbare vorm worden opgeslagen door gebruik van hashing in combinatie met salts en minimaal 10.000 rounds of hashing.	Gegevensopslag	Voorkomen opslag wachtwoorden in leesbare vorm
SWP_U.06.04	Gegevens worden door het softwarepakket deugdelijk versleuteld opgeslagen met passende standaarden voor cryptografie, tenzij door de gegevenseigenaar is gedocumenteerd dat dit niet noodzakelijk is. Cryptografische toepassingen voldoen aan passende standaarden.	Gegevensopslag	Versleuteld opslaan van gegevens met cryptografiestandaarden
SWP_U.06.05	Te beschermen gegevens worden door het softwarepakket alleen opgeslagen als dat nodig is voor het doel en voor de kortst mogelijke tijd, zijnde de kortste periode tussen het vervullen van de toepassing en de door wet- of regelgeving verplichte periode.	Gegevensopslag	Opslag gegevens als nodig voor doel en korste tijd
SWP_U.07.01	Cryptografische toepassingen voldoen aan passende standaarden.	Communicatie	Voldoen aan passende standaarden
SWP_U.07.02	Het platform waarop het softwarepakket draait, zorgt voor de versleuteling van communicatie tussen de applicatieserver en webserver en tussen de applicatie en database. De webserver forceert versleuteling tussen de webserver en client.	Communicatie	Versleutelen communicatie tussen applicatie- en webserver
SWP_U.07.03	De opdrachtgever specificeert de classificatie van de gegevens die worden uitgewisseld en waarvoor versleuteling plaatsvindt.	Communicatie	Specificeren classificatie van uit te wisselen gegevens
SWP_U.07.04	Het softwarepakket zorgt waar mogelijk voor verificatie dat het certificaat: is ondertekend door een vertrouwde Certificate Authority (CA); een valide geldigheidsduur heeft; nog geldig is en niet is ingetrokken.	Communicatie	Zorgen voor certificaatverificatie
SWP_U.07.05	De versleutelde communicatie van het softwarepakket kan zodanig worden geconfigureerd, dat er geen terugval naar niet of onvoldoende versleutelde communicatie ontstaat.	Communicatie	Configureren versleutelde communicatie softwarepakket
SWP_U.08.01	De authenticiteit wordt bereikt bij het zekerstellen van de volgende twee activiteiten: Alle gebruikers zijn juist geauthentiseerd voordat ze toegang krijgen tot (modulen van) het softwarepakket. Gebruikers kunnen veilig worden toegevoegd, verwijderd en/of geüpdatet in functies/functionaliteiten.	Authenticatie	Bereiken authenticiteit
SWP_U.08.02	De configuratie van de identificatie- en authenticatievoorziening waarborgt dat de geauthentiseerde persoon inderdaad de geïdentificeerde persoon is.	Authenticatie	Waarborgen dat geauthentiseerde persoon de geïdentificeerde persoon is
SWP_U.08.03	Het inlogmechanisme is robuust tegen herhaaldelijke, geautomatiseerde of verdachte pogingen om wachtwoorden te raden (brute-forcing of password spraying en hergebruik van gelekte wachtwoorden).	Authenticatie	Robuust zijn tegen wachtwoorden raden
SWP_U.09.01	Het softwarepakket biedt mechanismen, waarmee gebruikers, overeenkomstig hun verleende rechten en rollen, alleen informatie met specifiek belang kunnen inzien en verwerken die ze nodig hebben voor de uitoefening van hun taak.	Toegangsautorisatie	Bieden mechnismen om informatie in te zien en verwerken voor uitoefening taak
SWP_U.09.02	Beheer(ders)functies van softwarepakketten worden extra beschermd, waarmee misbruik van rechten wordt voorkomen.	Toegangsautorisatie	Beschermen beheer(ders)functies
SWP_U.10.01	De rechten voor toegang tot gegevens en functies in het softwarepakket zijn op een beheersbare wijze geordend, gebruik makend van autorisatiegroepen.	Autorisatiebeheer	Ordenen rechten voor toegang tot gegevens en functies
SWP_U.10.02	Met taken, verantwoordelijkheden en bevoegdheden zijn verenigbare taken en autorisaties geïdentificeerd.	Autorisatiebeheer	Identificeren verenigbare taken en autorisaties
SWP_U.11.01	In de architectuur van het softwarepakket zijn detectiemechanismen actief voor het detecteren van aanvallen.	Logging	Actief zijn van detectiemechanismen
SWP_U.11.02	De te registreren acties worden centraal opgeslagen.	Logging	Centraal opslaan te registreren acties
SWP_U.11.03	Er is vooraf bepaald wat te doen bij het uitvallen van loggingsmechanismen (alternatieve paden).	Logging	Bepalen acties bij uitval loggingsmechanismen
SWP_U.11.04	De (online of offline) bewaartermijn voor logging is vastgesteld en komt tot uitdrukking in de configuratie-instellingen van binnen het softwarepakket.	Logging	Vaststellen bewaartermijn voor logging
SWP_U.12.01	Het softwarepakket maakt tijdens verwerking gebruik van veilige API’s op basis waarvan additionele gegevens uit externe bronnen kunnen worden ingelezen en verwerkt.	Application Programming Interface (API)	Gebruik maken van veilige API's tijdens verwerking
SWP_U.12.02	Application Programming Interface (API)-URL’s geven geen gevoelige informatie, zoals de API-sleutel, sessie-tokens enz. weer.	Application Programming Interface (API)	Niet weergegeven van gevoelige informatie
SWP_U.12.03	Het softwarepakket maakt gebruik van veilige Application Programming Interfaces (API’s), die (automatisch) gebruikersdata scheiden van applicatiecode, waarmee injectie kwetsbaarheden zoals Structured Query Language (SQL) injection en Cross-Site Scripting (XSS) te voorkomen.	Application Programming Interface (API)	Gebruik maken van veilige API's die gebruikersdata scheiden
SWP_U.12.04	Het softwarepakket gebruikt veilige Application Programming Interfaces (API’s) die bufferlengtes controleren, waarmee kwetsbaarheden als Buffer- en Integer overflow worden voorkomen.	Application Programming Interface (API)	Veilige API's gebruiken
SWP_U.13.01	Het softwarepakket biedt een flexibel quotummechanisme voor het importeren van gegevens uit externe bronnen.	Gegevensimport	Bieden flexibel quotummechanisme
SWP_U.13.02	Binnen het softwarepakket zijn beveiligingsmechanismen ingebouwd om bij import van gegevens, ‘ingesloten’ aanvallen te detecteren.	Gegevensimport	Beveiligingsmechanismen inbouwen voor detectie ingesloten aanvallen
SWP_U.13.03	Het softwarepakket accepteert geen extreem grote bestanden, die buffers of het werkgeheugen kunnen ‘overspoelen’ en daarmee een Denial-of-Service (DoS)-aanval kunnen veroorzaken.	Gegevensimport	Geen grote bestanden accepteren
SWP_U10.03	Er bestaat een proces voor het definiëren en onderhouden van de autorisaties.	Autorisatiebeheer	Proces voor definiëren en onderhouden van autorisaties
TBV_B.01.01	De regels om de fysieke en logische toegang tot informatie en andere gerelateerde bedrijfsmiddelen te beheersen worden vastgesteld, gedocumenteerd en onderhouden in een toegangsbeveiligingsbeleid.	Toegangsbeveiligingsbeleid	Eisen aan het Toegangvoorzieningsbeleid
TBV_B.01.02	Bij de bescherming van logische- en fysieke toegang wordt rekening gehouden met relevante wet- en regelgeving en contractuele verplichtingen met betrekking tot het beperken van de toegang tot gegevens of diensten.	Toegangsbeveiligingsbeleid	Aandacht voor wetgeving en verplichtingen
... meer resultaten

Een bepaald voorkomen van iets.

Naar de pagina met de definitie van ‘versie’

Een vooraf vastgestelde handelwijze voor het realiseren van doelen.

Naar de pagina met de definitie van ‘beleid’

Een computerprogramma voor gebruikers.

Naar de pagina met de definitie van ‘applicatie’

Een samenhangend en geïntegreerd geheel van componenten die elkaar wederzijds beïnvloeden.

Naar de pagina met de definitie van ‘systeem’

Een entiteit bestaande uit mensen die samenwerken om specifieke doelen te bereiken.

Naar de pagina met de definitie van ‘organisatie’

De betekenis die mensen geven aan gegevens in een context.

Naar de pagina met de definitie van ‘informatie’

De plicht of verplichting om bepaalde taken uit te voeren en daarover verantwoording af te leggen.

Naar de pagina met de definitie van ‘verantwoordelijkheid’

Datgene wat je aanwendt om een doel te bereiken.

Naar de pagina met de definitie van ‘middel’

De representatie van een toekomstige werkelijkheid.

Naar de pagina met de definitie van ‘ontwerp’

Vaststaand, erkend voorbeeld of model.

Naar de pagina met de definitie van ‘standaard’

Een vereenvoudigde representatie van een deel van de werkelijkheid.

Naar de pagina met de definitie van ‘model’

Het deel van de organisatie dat zich bezig houdt met het managen.

Naar de pagina met de definitie van ‘management’

Alle handelingen die relevant zijn voor het instandhouden van iets.

Naar de pagina met de definitie van ‘beheer’

De mogelijkheid van een entiteit om een object te benaderen en te gebruiken.

Naar de pagina met de definitie van ‘toegang’

Een verzameling processtappen die wordt getriggerd om een beoogd resultaat te bereiken.

Naar de pagina met de definitie van ‘proces’

De werking van iets.

Naar de pagina met de definitie van ‘functioneren’

De fundamentele concepten en eigenschappen van een object in zijn omgeving, samen met de leidende principes voor de realisatie en evolutie in de levenscyclus van dat object.

Naar de pagina met de definitie van ‘architectuur’

De specificatie van een proces of een (daaruit samengestelde) workflow en de uitvoerder van elke handeling daarin.

Naar de pagina met de definitie van ‘procedure’

Het geheel van voorzieningen dat nodig is om iets te laten functioneren.

Naar de pagina met de definitie van ‘infrastructuur’

De beschrijving van de koppeling en daaruit voortkomende interactie tussen entiteiten en/of apparaten.

Naar de pagina met de definitie van ‘interface’

Het geheel van bewerkingen die worden uitgevoerd op persoonsgegevens

Naar de pagina met de definitie van ‘verwerking’

Dat wat je produceert.

Naar de pagina met de definitie van ‘product’

Een manier om iets uit te voeren.

Naar de pagina met de definitie van ‘werkwijze’

Het geheel van digitale gegevens en instructies die een computer gebruikt om taken uit te voeren.

Naar de pagina met de definitie van ‘programmatuur’

Een technologie die een virtuele component creëert die zich functioneel hetzelfde gedraagt als een fysieke component, en waarbij het voor de gebruiker/beheerder niet zichtbaar is welke onderliggende fysieke component daarvoor gebruikt wordt.

Naar de pagina met de definitie van ‘virtualisatie’

De hulp die de afnemer ontvangt van de dienstverlener bij het benutten van de dienst.

Naar de pagina met de definitie van ‘ondersteuning’

Een leverancier van de dienstverlener.

Naar de pagina met de definitie van ‘toeleverancier’

Een ondersteunde voorziening.

Naar de pagina met de definitie van ‘dienst’

Een vastgelegde waarneming of bewering over een eigenschap van een object.

Naar de pagina met de definitie van ‘gegeven’

Het plan waarmee een entiteit haar missie wil bereiken.

Naar de pagina met de definitie van ‘strategie’

De opzet, de structuur of het concept van iets.

Naar de pagina met de definitie van ‘raamwerk’

De betekenis of het belang dat aan iets wordt toegekend.

Naar de pagina met de definitie van ‘waarde’

Het plannen, aansturen van, en toezien op werkzaamheden door uitvoerders.

Naar de pagina met de definitie van ‘coördineren’

Een systeem waarbinnen organisaties via afspraken, standaarden en/of voorzieningen samenwerken om bepaalde functionaliteit te realiseren.

Naar de pagina met de definitie van ‘stelsel’

Een systematische werkwijze voor het besturen van, de gedragscode voor, en het toezicht op organisaties.

Naar de pagina met de definitie van ‘governance’

Een samenwerkingsverband tussen entiteiten die, naast hun eigen doelstellingen, een of meer gemeenschappelijke doelstellingen nastreven.

Naar de pagina met de definitie van ‘keten’

Het vermogen van entiteiten en/of apparaten om te kunnen interacteren.

Naar de pagina met de definitie van ‘interoperabiliteit’

Een verzoek vanuit een afnemer aan een dienstverlener waarmee een beroep wordt gedaan op de ondersteuning van een voorziening.

Naar de pagina met de definitie van ‘melding’

De ondersteunde goederen en/of handelingen die de dienstverlener beschikbaar stelt aan de afnemer als onderdeel van de dienst.

Naar de pagina met de definitie van ‘voorziening’

Een combinatie van taken die een entiteit tijdelijk op zich neemt en die afwisselend door verschillende entiteiten kan worden vervuld, aangevuld met bevoegdheden en verantwoordelijkheden.

Naar de pagina met de definitie van ‘rol’

Een fundamentele en algemeen toepasbare regel, gebaseerd op een overtuiging en die geldt als richtlijn.

Naar de pagina met de definitie van ‘principe’

Datgene wat je wil bereiken in de context van een missie.

Naar de pagina met de definitie van ‘doel’

Actief object met eigen wilsbeschikking bij het uitvoeren van handelingen.

Naar de pagina met de definitie van ‘entiteit’

Het geheel van voorzieningen waarmee een gebruiker in zijn informatiebehoefte kan voorzien.

Naar de pagina met de definitie van ‘informatievoorziening’

Een (dreigende) afwijking van het overeengekomen dienstniveau.

Naar de pagina met de definitie van ‘incident’

Iets dat bij overdracht een waarde vertegenwoordigt.

Naar de pagina met de definitie van ‘goed’

Samenhangend geheel van dingen in de werkelijkheid.

Naar de pagina met de definitie van ‘domein’

Een afgebakende hoeveelheid gegevens die een verzender naar een ontvanger stuurt.

Naar de pagina met de definitie van ‘bericht’

De beoogde werking van iets.

Naar de pagina met de definitie van ‘functie’

Fysiek artefact dat handelingen kan uitvoeren.

Naar de pagina met de definitie van ‘apparaat’

Dat wat entiteiten met elkaar hebben besloten.

Naar de pagina met de definitie van ‘afspraak’

Het op elkaar reageren door entiteiten en/of apparaten.

Naar de pagina met de definitie van ‘interactie’

Een verzameling van kenmerkende eigenschappen van een object.

Naar de pagina met de definitie van ‘identiteit’

Het proces waarmee incidenten worden behandeld.

Naar de pagina met de definitie van ‘Herstellen’

De IT-voorzieningen waarop applicaties draaien.

Naar de pagina met de definitie van ‘IT-infrastructuur’

Een functioneel onderdeel van een systeem, bestaande uit meerdere elementen.

Naar de pagina met de definitie van ‘component’

Een generieke structuur die voor meerdere toepassingen herbruikbaar is.

Naar de pagina met de definitie van ‘patroon’

Een korte verklaring over een gewenste toekomst waar een entiteit een bijdrage aan wenst te leveren.

Naar de pagina met de definitie van ‘visie’

Een samenhangende set van handelingen als onderdeel van een processtap.

Naar de pagina met de definitie van ‘activiteit’

Een opdracht om een samenhangende verzameling handelingen uit te voeren.

Naar de pagina met de definitie van ‘taak’

De wet- en regelgeving en/of het beleid die van toepassing zijn.

Naar de pagina met de definitie van ‘grondslag’

Een organisatie die in het recht als rechtssubject is erkend als drager van wettelijke rechten en plichten

Naar de pagina met de definitie van ‘rechtspersoon’

Een herroepbare bevoegdheid die een entiteit verleent aan een andere entiteit om in naam van eerstgenoemde handelingen te verrichten.

Naar de pagina met de definitie van ‘machtiging’

Het bezitten van toestemming om een handeling te mogen verrichten.

Naar de pagina met de definitie van ‘bevoegdheid’

Een natuurlijke persoon die iets gebruikt.

Naar de pagina met de definitie van ‘gebruiker’

Actief object met eigen wilsbeschikking bij het uitvoeren van handelingen.

Naar de pagina met de definitie van ‘entiteit’

Datgene wat je wil bereiken in de context van een missie.

Naar de pagina met de definitie van ‘doel’

Een vereenvoudigde representatie van een deel van de werkelijkheid.

Naar de pagina met de definitie van ‘model’

Een entiteit bestaande uit mensen die samenwerken om specifieke doelen te bereiken.

Naar de pagina met de definitie van ‘organisatie’

Het organiseren van taken om doelen effectief en efficiënt te bereiken.

Naar de pagina met de definitie van ‘managen’

Een verzameling processtappen die wordt getriggerd om een beoogd resultaat te bereiken.

Naar de pagina met de definitie van ‘proces’

Een reeks opeenvolgende handelingen in het procesmodel van een organisatie, waarmee een dienstverleningsverzoek van begin tot eind wordt afgehandeld.

Naar de pagina met de definitie van ‘workflow’

De werking van iets.

Naar de pagina met de definitie van ‘functioneren’

Het op elkaar reageren door entiteiten en/of apparaten.

Naar de pagina met de definitie van ‘interactie’

Een functioneel onderdeel van een systeem, bestaande uit meerdere elementen.

Naar de pagina met de definitie van ‘component’

Een natuurlijke persoon die iets gebruikt.

Naar de pagina met de definitie van ‘gebruiker’

Een entiteit die een dienst levert aan een andere entiteit.

Naar de pagina met de definitie van ‘dienstverlener’

Een ondersteunde voorziening.

Naar de pagina met de definitie van ‘dienst’

De ondersteunde goederen en/of handelingen die de dienstverlener beschikbaar stelt aan de afnemer als onderdeel van de dienst.

Naar de pagina met de definitie van ‘voorziening’

Een samenhangend en geïntegreerd geheel van componenten die elkaar wederzijds beïnvloeden.

Naar de pagina met de definitie van ‘systeem’

Een manier om iets uit te voeren.

Naar de pagina met de definitie van ‘werkwijze’

De hulp die de afnemer ontvangt van de dienstverlener bij het benutten van de dienst.

Naar de pagina met de definitie van ‘ondersteuning’

De betekenis of het belang dat aan iets wordt toegekend.

Naar de pagina met de definitie van ‘waarde’

Een kunstmatig gecreëerd object.

Naar de pagina met de definitie van ‘artefact’

Een vooraf vastgestelde handelwijze voor het realiseren van doelen.

Naar de pagina met de definitie van ‘beleid’

Het bezitten van toestemming om een handeling te mogen verrichten.

Naar de pagina met de definitie van ‘bevoegdheid’