Open spreekuur: 'Pas toe of leg uit' in de praktijk

Open spreekuur: Wdo en AMvB HTTPS/ HSTS

Per 1 juli treedt de Wet digitale overheid (Wdo) inwerking. Met de inwerkingtreding van de Wet digitale overheid worden overheden ook verplicht hun publiek toegankelijke websites te beveiligen met de open standaarden HTTPS en HSTS. Artikel 3 van Wdo geeft een grondslag voor het verplichten van deze (en in de toekomst mogelijk ook andere) open standaarden.

Verplichtingen versus afspraken

In dit Open Spreekuur gaan we in op wat deze wettelijke verplichting via een Algemene Maatregel van Bestuur van de open standaarden HTTPS en HSTS voor jouw organisatie betekent. Wat is de achtergrond van wettelijk verplichten van open standaarden? En wat is het verschil tussen ‘wettelijk verplichting’, ‘pas toe of leg uit’ en ‘streefbeeldafspraak’ van het Forum Standaardisatie?

In gesprek

Barbera Veltkamp praat je bij. Barbera is coördinerend wetgevingsjurist bij de wetgevingsafdeling van Ministerie van Binnenlandse Zaken en is de penvoerder van onder andere de Wdo en het Besluit beveiligde verbindingen (verplichting van HTTPS en HSTS).

Daarnaast zitten de adviseurs van het Forum Standaardisatie klaar voor je vragen over deze nieuwe verplichting.

Lees ook:

• Veelgestelde vragen over verplichting HTTPS en HSTS voor overheidswebsites
• 'Pas toe of leg uit'-beleid
• Wet digitale overheid
• Streefbeeldafspraken
• Open standaarden HTTPS en HSTS

Open spreekuur: security.txt verplicht voor overheid

Per 25 mei 2023 is security.txt toegevoegd aan de 'Pas toe of leg uit'-lijst van Forum Standaardisatie. Dit betekent dat Nederlandse gemeenten, provincies, rijk, waterschappen en alle uitvoeringsorganisaties verplicht zijn om deze open standaard toe te passen.

Waarom security.txt?

De standaard beschrijft een tekstbestand genaamd security.txt waarin je contactinformatie kan publiceren op je webserver. Beveiligingsonderzoekers en ethische hackers kunnen dankzij deze informatie direct met de juiste afdeling of persoon contact opnemen als zij een kwetsbaarheid vinden. Dit kan het verhelpen van de kwetsbaarheden versnellen. En dat geeft cybercriminelen minder kans om er misbruik van te maken.

De verplichting sluit aan bij de Baseline Informatiebeveiliging Overheid (BIO), die voorschrijft dat overheidsorganisaties een procedure moeten hebben voor het ontvangen en afhandelen van kwetsbaarheidsmeldingen. Een zogenoemde Coordinated Vulnerability Disclosure (CVD) procedure. Security.txt leidt ethische hackers direct naar de juiste ingang voor deze procedure.

Gebruik binnen de overheid

Begin 2023 is een meting gedaan met Internet.nl. Daaruit kwam naar voren dat bijna 20% van de gemeten overheidswebsites een security.txt-bestand heeft. Met de verplichting wil het Forum Standaardisatie het gebruik verder vergroten. “Hoe meer websites dit implementeren, hoe beter we gebruik kunnen maken van het goede werk van ethisch hackers. De overheid geeft hierin het goede voorbeeld”, aldus Theo Peters (CTO bij VNG Realisatie en lid van Forum Standaardisatie).

De meting laat ook zien dat verschillende Rijksoverheidsorganisaties al verwijzen naar het centrale security.txt-bestand van NCSC. Forum Standaardisatie roept alle Rijksoverheidsorganisaties die gebruik willen maken van het centrale CVD-beleid van de Rijksoverheid, op om dat ook te doen. NCSC heeft daarvoor een Handreiking security.txt

met uitleg gepubliceerd.

Gebruik door bedrijfsleven

In oktober 2022 deden het Digital Trust Center (DTC) en een groot aantal ambassadeurs een oproep aan bedrijven en IT-dienstverleners om security.txt te gebruiken. Sinds die oproep is het aantal Nederlandse domeinnamen dat voorzien is van een security.txt-bestand gegroeid naar ruim 88.000.

DTC gebruikt security.txt om het Nederlandse bedrijfsleven sneller te kunnen waarschuwen (notificeren) bij een ernstige cyberdreiging en juicht de verplichting voor overheden toe. "Hopelijk helpt de erkenning door Forum Standaardisatie om de acceptatie van deze eenvoudige maatregel die bijdraagt aan een digitaal veiliger ondernemend bedrijfsleven verder te vergroten.", aldus Projectleider Notificatiedienst Kim van der Veen.

Aan de slag

• security.txt op 'Pas toe of leg uit'-lijst (Forum Standaardisatie)
• Test een website op security.txt (Internet.nl)
• Handreiking security.txt voor organisaties van Rijksoverheid (NCSC)
• Stappenplan security.txt in 5 minuten (DTC)
• Security.txt voor IT-dienstverleners (DTC)

Open spreekuur: hergebruik lijst Open Standaarden

Sinds kort stelt het Forum Standaardisatie de lijst open standaarden beschikbaar als linked open data. Hiervoor is het Forum Standaardisatie Kennismodel (FSKM) ontwikkeld. Welke informatie over standaarden kan ik als linked open data hergebruiken? En wat is het FSKM precies? Heb je interesse in hergebruik van onze lijst open standaarden? En wil je weten hoe je informatie over standaarden als linked open data kunt hergebruiken in je eigen website?

Vragen?

Hans Laagland van het Bureau Forum Standaardisatie beantwoorden al uw vragen. Of stel ze via de mail.

Linked Opendata

Forum Standaardisatie vindt het belangrijk de lijst open standaarden te brengen naar de platformen waar gebruikers zitten. Daarom biedt het Forum Standaardisatie de lijst open standaarden aan als open data voor hergebruik via NORA platform. Deze is bereikbaar via NORA's linked data server. Hiervoor heeft het Forum Standaardisatie in samenwerking met NORA Beheerteam een kennismodel opgezet, namelijk Forum Standaardisatie Kennismodel (FSKM). Dit model werkt volgens linked data-principes. Uiteindelijk bevordert hergebruik de zichtbaarheid van de standaarden en draagt dit bij aan stimuleren van de adoptie.Kom  langs op ons Open Spreekuur met Joris Dirks van #NORA Beheerteam en de adviseurs van Forum Standaardisatie praten je bij. Meer informatie vind je ook op de website van NORA.

Lees ook

• HortiCube: Linked Data voor de voedsel- en sierteeltindustrie
• Slimmer samenwerken in de spoorbranche met OTL en Linked Data
• Linked data: wie, wat en waar in het onderwijs
• De Nederlandse bibliografie als linked open data
• Linked Aquo, de standaard voor waterbeheerders
• Hulp gevraagd: meting gebruik van linked data bij de overheid

Internetroutering via RPKI

Sinds 30 maart is er een streefbeeldafspraak voor RPKI; Alle ICT-systemen van de overheid dienen voor het einde van 2024 gebruik te maken van de standaard RPKI, zodat de internetroutering van de overheid veiliger wordt. Maar hoe werkt dat? En hoe regel je dit? Kom naar het open spreekuur over RPKI. De adviseurs van Forum Standaardisatie praten u persoonlijk bij en zitten klaar voor al uw vragen.

Meer weten? Kom naar het open spreekuur open standaarden op woensdag 12 april 2023. Gebruik daarbij onderstaande link naar Webex:

Vragen?

Benjamin Broersma en Bart Knubben van het Bureau Forum Standaardisatie beantwoorden al uw vragen. Of stel ze via de mail.

De RPKI afspraak

Alle ICT-systemen van de overheid dienen voor het einde van 2024 gebruik te maken van de standaard RPKI, zodat de internetroutering van de overheid veiliger wordt. Dit doel stelde het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) op 30 maart vast in een streefbeeldafspraak. Het betekent dat RPKIniet alleen bij nieuwe aanschaffen vereist is, maar ook op alle bestaande overheidssystemen geïmplementeerd moet worden.

Bekijk ook:

• Nieuwsbericht over RPKI Streefbeeld
• Internetroutering met de open standaard RPK

Beslisboom Open Standaarden op TenderNed

Plaatst u regelmatig ICT-aanbestedingen in TenderNed? Vanaf 1 februari 2023 komt u de Beslisboom Open Standaarden tegen!

Met deze beslisboom kunt u nagaan of de relevante open standaarden in beeld zijn.  Maak er gebruik van en attendeer uw opdrachtgever!

Meer weten? Kom naar het open spreekuur open standaarden op woensdag 1 februari 2023. Gebruik daarbij onderstaande link naar Webex:

Vragen? 

Désirée Castillo Gosker van het Bureau Forum Standaardisatie geeft een demo van de Beslisboom en beantwoord al uw vragen. Of stel ze via de mail.

Bekijk ook:

• Beslisboom ontdekt u welke ICT-standaarden van de 'Pas toe of leg uit'-lijst
• Wat moet ik doen als bestuurder, beleidsmedewerker, inkoper, ICT-architect, leverancier en/of projectleider
• Webinar Vragen om open standaarden bij ICT-inkoop

De vogel is gevlogen....

In gesprek met Ton Zijlstra over open standaard ActivityPub, fediverse en Mastodon

Steeds meer mensen zoeken een alternatief voor het microblog Twitter na de overname van Twitter door Elon Musk. Een van deze alternatieven is Mastodon. Mastodon is een gedecentraliseerd sociaal netwerk. Mastodon is opgebouwd uit allemaal afzonderlijke instanties (via servers) die met elkaar zijn verbonden via het gebruik van de open standaard ActivityPub. Zo is Mastodon een voorbeeld van een federatief internet (Fediverse). Dit, in tegensteling tot Twitter dat één centrale control heeft.

In dit Open Spreekuur gaan we nader in op het achterliggende protocol ActivityPub en hoe ActivityPub voor heel verschillende toepassingen wordt gebruikt, waaronder Mastodon. Daarnaast gaan we het hebben over afwegingen t.a.v. gebruik van Mastodon door publieke organisaties (op een algemene server, op je eigen server) en voorbeelden hiervan.

Ton Zijlstra (The Green Land) houdt zich bezig met digitale transformatie, openen van overheiddata by design, en ethiek by design, en is o.a. voorzitter van het bestuur van de Open State Foundation.

Presentatie

Ton Zijlstra gebruikte ondersteunende sheets voor dit onderwerp.

Vragen? 

Stel ze via de mail en/of deel je kennis met vakgenoten.

Peppol BIS, een nieuwe standaard op de Lijst van Aanbevolen Standaarden. Op dit spreekuur praat je bij met Specialist Peppol afsprakenstelsel Patrick van Heyst van Nederlands PEPPOL autoriteit (NPa) en adviseur Hans Laagland (FS).

Je krijgt antwoord op vragen als:

• Wat is PEPPOL BIS en wat betekent dit voor mij?
• Ben ik verplicht de PEPPOL infrastructuur te gebruiken?
• Waarom aanbevolen? En niet verplicht?
• En antwoord op vragen die je zelf inbrengt.

De Peppol BIS standaard kan worden toegepast bij het uitwisselen van bestel, inkoop en facturatie gerelateerde gegevens van 'machine-to-machine'.

Door het gebruik van Peppol BIS kunnen (semi)overheden op een pakketonafhankelijke wijze procurementgegevens met elkaar of met niet-overheidspartijen uitwisselen. Deze uitwisseling van aan bestel, inkoop en facturatie gerelateerde gegevens vindt plaats via elektronische berichten. Doordat Peppol BIS een internationale standaard is, kan deze uitwisseling internationaal plaatsvinden. (semi)overheden hoeven zodoende geen rekening te houden met een diversiteit aan procurementstandaarden en/ of met diverse softwarepakketten.

Gedonder in de 'Cloud'?

In gesprek met Michiel Steltman (directeur van Stichting Digitale Infrastructuur Nederland en lid van Forum Standaardisatie) over Cloud. Aanleiding is de nieuwe cloudstrategie voor overheidsorganisaties. Deze strategie bracht een gesprek op gang over het verbeteren van soevereiniteit en beschermen van data. In dit open spreekuur gaan we het gesprek voeren over cloud en de kansen voor open standaarden hierbij en de relatie met de toekomstige ontwikkelingen van Europese public clouddiensten.

Enkele reacties in de media:
Kritiek op nieuwe cloudkoers van de overheid | iBestuur
Kritiek op nieuwe cloudkoers overheid slaat de plank mis | iBestuur

Vragen? 

Stel ze in het open spreekuur. 

Heb je vragen over Digikoppeling (standaard voor gegevensuitwisseling)? Op dit spreekuur praat je bij met expert Peter Haasnoot (Informatie Architect Logius).

Je krijgt antwoord op vragen als:

• Uitbreiding van Digikoppeling met RESTAPI; wat betekent dit voor mij?
• Welke extra mogelijkheden heb ik nu?
• Wat kunnen we nog meer verwachten rond Digikoppeling en de roadmap?
• Waar vind ik meer informatie over Digikoppeling?

Digikoppeling is een set van standaarden, die logistieke afspraken bevat voor elektronisch berichtenverkeer tussen (overheids)organisaties. Zoals een brief in een envelop gaat voor verzending, zo gaat een elektronisch bericht in een digitale verpakking. Deze digitale verpakking is Digikoppeling. Digikoppeling gaat niet over de inhoud van het bericht.

Op woensdag 4 mei om 14.00 uur houden we een open spreekuur over open standaarden. In deze bijeenkomst kunt u ons vragen stellen over hoe u de juiste standaarden gebruikt vanaf het moment van aanschaf. Heeft u vragen over het ‘pas toe of leg uit’- beleid of wilt u meer weten over de Monitor Open standaarden? Kom naar het virtuele open spreekuur: open standaarden!

Wilt u vloeiende verbindingen maken, 'vendor lock-in' voorkomen, uw veiligheid op orde, of heeft u zorgen over datakwaliteit en toegankelijkheid? Is de ICT van uw publieke organisatie wel oké? Vaak denken we hier pas goed over na als er weer iets nieuws gekocht moet worden.

Dit spreekuur wordt herhaald op 25 mei 2022. Logische verbinding maken (interoperabel), vendor-lock inn voorkomen, veiligheid nastreven, zorgen voor datakwaliteit en toegankelijkheid. Is de ICT van uw publieke organisatie op orde? Vaak denken we hier pas goed over na als er weer iets nieuws gekocht moet worden.

Bent u ICT inkoper, architect, opdrachtgever en loopt u hier wel eens tegenaan?
Vragen over het ‘pas toe of leg uit’- beleid of meer weten over de Monitor Open standaarden? Kom langs op ons open spreekuur van 14:00 - 15:00 uur.

IPV6

Onder andere Marc Wullings van RIPE vertelde over de IPv6-trainingen die RIPE NCC in samenwerking met Forum Standaardisatie aanbiedt aan overheidsmedewerkers. Het gaat om vaardigheidstrainingen en examens "IPv6 Fundamentals" en “IPv6 security”. De volgende "IPv6 Fundamentals" cursus gaat op donderdag 12 mei van start. Deelname is kosteloos. Geïnteresseerden kunnen zich aanmelden bij RIPE NCC via exams@ripe.net onder vermelding van “NLGOVTFUND2022”. Wacht niet te lang want “vol is vol”. Meer informatie op te vragen via info@forumstandaardisatie.nl.

Robin Gelhard ( Forum Standaardisatie) lichtte toe wat de verplichtingen zijn voor de overheid. Pas toe of leg uit, het streefbeeld informatieveiligheid, en geadviseerde AMvB), de beweegredenen daarvoor, en de laatste meetresultaten.

Met gastspreker Güldeniz Isik van Logius praten we bij over BOMOS. Dit model helpt u om een kwalitatieve open standaard te ontwikkelen en beheren.  Met 5 bezoekers ontdekken we ook dat Europa dit model heeft geadopteerd en te accepteren als standaard.

Naar aanleiding van het succes hebben we een volgend spreekuur ingepland. Op 23 maart schoven 15 mensen bij ons aan tafel. Gastspreker Wilfred Nas, expert over digitale toegankelijkheid was daar een van.  

Op 9 maart hielden we een eerste spreekuur en het bleek een schot in de roos. Samen met gastspreker Koos Steenbergen (ministerie BZK) hebben de deelnemers het onderwerp open source bij de kop gepakt. Ook definities, metaforen, het gebruik van open source, het toepassen van het 'Leg uit'-beleid, leveranciersafhankelijkheid en de corona-app kwamen voorbij.