OBDO 2 december 2022 Agp 5a Standaardisatie

Vergadering: Forum Standaardisatie 7 december 2022

Agendapunt: FS-20221207.2D

Documentnummer: 2D

Download hier de PDF versie van dit vergaderstuk. Wij kunnen de digitale toegankelijkheid van het PDF bestand niet garanderen.

Rechten: CC0 publieke domein verklaring

Aanbiedingsformulier Overheidsbreed Beleidsoverleg Digitaal Overheid

1. Korte titel	Standaardisatie: IV-meting voorjaar 2022 en mutaties ‘pas toe of leg uit’-lijst
2. Datum behandeling	1 december 2022
3. Aard van de behandeling: (dubbelklikkenopvakjeen ‘ingeschakeld’ aanvinken)	Scrum Hamerstuk Ter besluitvorming  Ter bespreking Ter kennisname Anders: ……….
4. Eerder behandeld in:	PL ICM MFG MT- DO i.o. X Anders: Forum Standaardisatie Niet Uitkomst behandeling in bovenstaand gremium: Overeenstemming (geen toelichting vereist)
5. Voorgeschiedenis / context 6. Samenvatting/ toelichting	1. Meting Informatieveiligheidsstandaarden voorjaar 2022 Dit agendapunt is doorgeschoven uit de ingekorte vergadering van 22 september jl. [bijlagen 1a. rapport en 1b. individuele detailresultaten] Overheidsbreed zijn afsprakengemaakt om moderne internetstandaarden voor websites en e-mail versneld te adopteren. Forum Standaardisatie meet op verzoek van het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) halfjaarlijks de implementatievoortgang van deze afspraken. De afgesproken uiterlijke implementatiedata zijn voor alle standaarden al verstreken, waardoor verwacht mag worden dat alle webapplicaties en e-mailsystemen deze standaarden correct toepassen. In dit document wordt gerapporteerd over de stand van zaken per mei 2022.  Overheden die internetdomeinen niet veilig configureren nemen onnodige risico’s. Het gaat daarbij om een verhoogde kans op phishing uit naam van overheidsorganisaties, en een verhoogde kans op manipulatie en afluisteren van web- en e-mailverkeer. Een prominent voorbeeld van de gevolgen van onveilige configuratie van standaarden is een incident van e-mailphishing namens @overheid.nl in 2018, toen van 200 burgers DigiD-inloggegevens zijn buitgemaakt. De meting laat zien dat bij 53% van de internetdomeinen alle verplichte websitestandaarden correct zijn toegepast. Het gaat om belangrijke beveiligingsstandaarden voor vertrouwelijk webverkeer, en IPv6 voor duurzame bereikbaarheid van online diensten. Bij 44% van de internetdomeinen zijn alle verplichte e-mailstandaarden correct toegepast. Hier gaat het om belangrijke beveiligingsstandaarden om e- mailvervalsing uit naam van de overheid te voorkomen en het e-mailverkeer vertrouwelijk te houden, en ook IPv6 voor duurzame bereikbaarheid van online diensten. Met de meting zijn in totaal 2584 overheidsdomeinen gecontroleerd. Dat is een uitbreiding ten opzichte van voorgaande metingen, in de voorgaande meting zijn 559 overheidsdomeinen gecontroleerd. De 2584 overheidsdomeinen zijn slechts een deelwaarneming van alle overheidsdomeinen, het totaalportfolio heeft vele duizenden meer domeinen. De overheid heeft als geheel geen zicht op het totaalportfolio. Dit rapport toont met diverse doorsnedes inzicht in de stand van zaken per overheidscategorie en per ministerie. De mate van adoptie kan gezien worden als een indicator voor de effectiviteit van sturing op kwaliteit van de informatievoorziening. Op verzoek van het OBDO is in de samenvatting een ‘naming & shaming’-volgorde toegepast. Het Forum Standaardisatie licht regelmatig in gremia zowel de resultaten van de IV- meting als van de Monitor open standaarden toe en de afspraken die hierover in OBDO zijn gemaakt (streefbeeldafspraken, ‘pas toe of leg uit’ overheidsbreed van toepassing). Zo is voorzitter Larissa Zegveld recent bij het CIO Beraad (16 november) en CTO-raad (2 november) geweest voor toelichting en uitleg. 2. Mutaties ‘pas toe of leg uit’-lijst [bijlagen 2a. COINS en 2b. OWMS] a. standaard COINS (gegevensuitwisseling in de bouw) niet meer verplichten of aanbevelen aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst COINS is een standaard voor uitwisselen van samenhangende digitale bouwinformatie tussen opdrachtgevers en opdrachtnemers, zoals functies, GISdata of 2D tekeningen. Dankzij deze standaard kunnen opdrachtgevers en opdrachtnemers in de bouw die software van verschillende leveranciers gebruiken, gemakkelijker samenwerken. COINS heeft echter end of life-status bereikt. De beheerorganisatie BIM-Loket doet geen investeringen meer in de doorontwikkeling en in het beheer van de standaard. Vanuit gebruikersperspectief neemt draagvlak voor de standaard af en stakeholders zoals Rijkswaterstaat en Provincie Gelderland bouwen het gebruik van COINS af. De betrokken experts bij de toetsingsprocedure signaleren dat (internationale) opvolgers beschikbaar zijn en adviseren het BIM-Loket deze opvolgers aan te melden voor de ‘pas toe of leg uit-lijst van Forum Standaardisatie. Ook het BIM-Loket adviseert internationale opvolgers te gebruiken en biedt de bouwcommunity ondersteuning aan. Het niet meer verplichten van een standaard via verwijdering van de ‘pas toe of leg uit’-lijst betekent dat een standaard niet voldoet aan criteria van Forum Standaardisatie voor opname op de lijst. De standaard kan wel gebruikt blijven. Juridische consequenties verwijdering COINS voor langlopende contracten De verwijdering van COINS heeft geen juridische consequenties op langlopende contracten waarin COINS werd uitgevraagd. Dat heeft Rijkswaterstaat (hierna: RWS) bevestigd. RWS is binnen de overheid een van de gebruikers van de standaard COINS. Het Bureau Forum Standaardisatie heeft deze vraag rond juridische consequenties uitgezet bij RWS op advies van het Forum Standaardisatie. b. standaard OWMS (openbaarheid en toegang overheidsinformatie) niet meer verplichten of aanbevelen aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst OWMS draagt bij aan meer toegang en openbaarheid van gepubliceerde overheidsinformatie (zoals artikelen, kamerstukken en bekendmakingen), doordat burgers en bedrijven overheidsinformatie beter kunnen vinden en interpreteren middels eenduidige beschrijving en ordening. OWMS heeft echter end of life-status bereikt. De beheerorganisatie KOOP (Kennis- en Exploitatiecentrum Officiële Overheidspublicaties) doet geen investeringen meer in de doorontwikkeling en in het beheer van de standaard. Er is geen draagvlak voor het gebruik van OWMS voor nieuwe toepassingen omdat KOOP OWMS gaat vervangen voor de nieuwe standaard Thesaurus en Ontologie OverheidsInformatie (TOOI). De betrokken experts bij de toetsingsprocedure adviseren om duidelijk te communiceren dat de standaard na verwijdering nog steeds gebruikt kan worden. Zij adviseren daarnaast de beheerorganisatie KOOP in het bijzonder om te communiceren dat KOOP werkt aan de opvolger (TOOI). Het niet meer verplichten van een standaard via verwijdering van de ‘pas toe of leg uit’-lijst betekent dat een standaard niet voldoet aan criteria van Forum Standaardisatie voor opname op de lijst. De standaard kan wel gebruikt blijven.
7. Beslispunten/ discussiepunten	1. Meting Informatieveiligheidsstandaarden voorjaar 2022 Het OBDO neemt kennis van de ‘Meting Informatieveiligheidstandaarden voorjaar 2022’ en vraagt de CIO Rijk en de koepelorganisaties van de decentrale overheden om de rapportage en adviezen via de CISO- en de CIO-lijn actief onder de aandacht te brengen van individuele organisaties binnen hun achterban en hen op te roepen tot verbetering. Daarbij verzoekt OBDO aan de CIO Rijk en de koepelorganisaties om te onderzoeken hoe richting hun achterban voor de opvolging van de adviezen een stimulerende en faciliterende rol te kunnen vervullen en ook na te gaan welke (delen van de) adviezen overheidsbreed via de OBDO-lijn opgepakt zouden moeten worden (bijvoorbeeld via de lijn van de Architectuurraad). De CIO Rijk en de koepels van de decentrale overheden worden gevraagd in een volgend OBDO-overleg terug te koppelen over hun opvolging hierin. Advies 1: onderzoek welke sturingsmechanismen kunnen worden ingezet om overheidsbrede architectuurafspraken en kwaliteitseisen (beleid) – bijvoorbeeld in de vorm van gemeenschappelijke standaarden en streefbeeldafspraken – effectief te laten landen in de uitvoering bij de individuele overheidsorganisaties (implementatie). Advies 2: organiseer regie op internetdomeinen binnen ministeries en individuele overheidsorganisaties. Jaag dit initieel project- of programmamatig aan, en borg dit vervolgens in de lijnorganisatie. Advies 3: verken of het centrale dienstverleningsconcept rond DNS-beheer van de Rijksoverheid ook kan worden ingezet bij decentrale overheden. Advies 4: zorg ervoor dat naleving van IT-kwaliteitseisen – waaronder ondersteuning van verplichte open standaarden – onderdeel zijn van het leveranciersmanagement van individuele overheidsorganisaties. Vraag leveranciers periodiek naar de planning voor ondersteuning van standaarden. Overweeg om over te stappen als een leverancier onvoldoende meebeweegt. 2. Mutaties ‘pas toe of leg uit’-lijst a. standaard COINS (gegevensuitwisseling in de bouw) Het OBDO stemt in met o standaard COINS (gegevensuitwisseling in de bouw) niet meer verplichten of aanbevelen aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst b. standaard OWMS (openbaarheid en toegang overheidsinformatie) Het OBDO stemt in met o standaard OWMS (openbaarheid en toegang overheidsinformatie) niet meer verplichten of aanbevelen aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst
8. Contactgegevens	Inhoud: 1. Bart Knubben (adviseur) [06-21162373] 2. Hans Laagland (adviseur) [06-21820789] Proces: Joram Verspaget (secretaris) [06-52845592]

Meting Informatieveiligheidstandaarden overheid voorjaar 2022

Inclusief IPv6

Datum document: 26 augustus 2022 

Status document: Definitief t.b.v. SO OBDO

02-11-2022: plaatsing figuren op pagina’s 6 en 7 gecorrigeerd (omgewisseld) 

08-11-2022: aanvullende correcties in enkele grafieken, opmaak en spelfouten

Inhoudsopgave

Leeswijzer 3

1. Samenvatting 4
   • Adviezen 4
   • Websitestandaarden 6
     • Totaalbeeld websites per overheidscategorie (incl. IPv6) 6
     • Websitebeveiligingsstandaarden (excl. IPv6) 7
   • E-mailstandaarden 8
     • Totaalbeeld e-mail per overheidscategorie (incl. IPv6) 8
     • E-mailstandaarden voor bestrijding van phishing (excl. IPv6) 9
     • E-mailstandaarden voor vertrouwelijk e-mailverkeer (excl. IPv6) 10
2. Adoptie per websitebeveiligingsstandaard 13
3. Adoptie per e-mailbeveiligingsstandaard 14
   • E-mailstandaarden voor bestrijding van phishing 14
   • E-mailstandaarden voor vertrouwelijk e-mailverkeer1 4
4. Adoptie IPv6 voor websites en e-mai l16
   • IPv6 voor webverkeer per overheidscategorie 16
   • IPv6 voor webverkeer per ministerie 16
   • IPv6 voor e-mailverkeer per overheidscategorie 17
   • IPv6 voor e-mailverkeer per ministerie 18
5. Adoptie per overheidscategorie 19
   • Centrale overheid 19
   • Provincies 20
   • Waterschappen 21
   • Gemeenten 22
   • Gemeenschappelijke regelingen 23
6. Adoptie per ministerie 24
   • Totaalbeeld websitestandaarden (incl.IPv6) 24
   • Totaalbeeld e-mailstandaarden (incl.IPv6 ) 24
   • Ministerie van Algemene Zaken 26
   • Ministerie van Binnenlandse Zaken en Koninkrijksrelaties 27
   • Ministerie van Buitenlandse Zaken 28
   • Ministerie van Defensie 29
   • Ministerie van Economische Zaken en Klimaat 30
   • Ministerie van Financiën 31
   • Ministerie van Infrastructuur en Waterstaat 32
   • Ministerie van Justitie en Veiligheid 33
   • Ministerie van Landbouw, Natuur en Voedselkwaliteit 34
   • Ministerie van Onderwijs, Cultuur en Wetenschap 35
   • Ministerie van Sociale Zaken en Werkgelegenheid 36
   • Ministerie van Volksgezondheid, Welzijn en Sport 37
7. Achtergrond 38
   • Om welke standaarden gaat het 38
   • Om welke internetdomeinen gaat het 39
   • Hoe wordt gemeten 39
   • Wat wordt niet gemeten 40
   • Over de standaarden 40
     • Webstandaarden 40
     • E-mailstandaarden 42

Bijlage: individuele resultaten per internetdomein

Leeswijzer

Dit rapport is piramidaal gestructureerd en begint in hoofdstuk 1 met de conclusies, adviezen, en het totaalbeeld.

Hoofdstukken 2 en 3 gaan in op het algehele beeld rond de adoptie van respectievelijk websitebeveiligingsstandaarden en e-mailbeveiligingsstandaarden.

Hoofdstuk 4 gaat in op de adoptie van IPv6 voor websites en e-mail.

Hoofdstuk 5 en 6 gaan dieper in op de adoptiegraad per standaard van respectievelijk de verschillende overheidscategorieën en ministeries.

Hoofdstuk 7 beschrijft de achtergrond van de meting, waaronder de beleidsmatige afspraken, desbetreffende standaarden en de methodiek.

De bijlagen geven detailinzicht per internetdomein, gecategoriseerd naar overheidscategorie of ministerie.

1. Samenvatting

Overheidsbreed zijn afspraken gemaakt om moderne internetstandaarden voor websites en e-mail versneld te adopteren. Forum Standaardisatie meet op verzoek van het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) halfjaarlijks de implementatievoortgang van deze afspraken. De afgesproken uiterlijke implementatiedata zijn voor alle standaarden al verstreken, waardoor verwacht mag worden dat alle webapplicaties en e-mailsystemen deze standaarden correct toepassen. In dit document wordt gerapporteerd over de stand van zaken per mei 2022.

Overheden die internetdomeinen niet veilig configureren nemen onnodige risico’s. Het gaat daarbij om een verhoogde kans op phishing uit naam van overheidsorganisaties, en een verhoogde kans op manipulatie en afluisteren van web- en e-mailverkeer. Een prominent voorbeeld van de gevolgen van onveilige configuratie van standaarden is een incident van e-mailphishing namens @overheid.nl in 2018, toen van 200 burgers DigiD-inloggegevens zijn buitgemaakt.

De meting laat zien dat bij 53% van de internetdomeinen alle verplichte websitestandaarden correct zijn toegepast. Het gaat om belangrijke beveiligingsstandaarden voor vertrouwelijk webverkeer, en IPv6 voor duurzame bereikbaarheid van online diensten.

Bij 44% van de internetdomeinen zijn alle verplichte e-mailstandaarden correct toegepast. Hier gaat het om belangrijke beveiligingsstandaarden om e-mailvervalsing uit naam van de overheid te voorkomen en het e-mailverkeer vertrouwelijk te houden, en ook IPv6 voor duurzame bereikbaarheid van online diensten.

Met de meting zijn in totaal 2584 overheidsdomeinen gecontroleerd. Dat is een uitbreiding ten opzichte van voorgaande metingen, in de voorgaande meting zijn 559 overheidsdomeinen gecontroleerd. De 2584 overheidsdomeinen zijn slechts een deelwaarneming van alle overheidsdomeinen, het totaalportfolio heeft vele duizenden meer domeinen. De overheid heeft als geheel geen zicht op het totaalportfolio. Dit rapport toont met diverse doorsnedes inzicht in de stand van zaken per overheidscategorie en per ministerie. De mate van adoptie kan gezien worden als een indicator voor de effectiviteit van sturing op kwaliteit van de informatievoorziening.

1.1. Adviezen

Zeven jaar na het maken van de eerste streefbeeldafspraak, en ruim twee jaar na het maken van de laatste, is geen van de streefbeelden voor de overheid als geheel gehaald. Het ontbreekt aan effectieve sturingsmechanismen om overheidsbrede afspraken eenduidig te laten landen en nageleefd te krijgen binnen individuele overheidsorganisaties. Zodra de Wet Digitale Overheid van kracht wordt kunnen standaarden wettelijk worden verplicht, zoals

reeds is voorgenomen met HTTPS en HSTS. Ook hier speelt de vraag hoe deze verdergaande verplichtingen de operationele werkvloer bereiken, en hoe vervolgens gestuurd wordt op naleving van de verplichtingen.

Positieve uitschieters binnen overheidscategorieën en tussen ministeries zijn vaak te verklaren vanuit proactieve sturing (regie) op de toepassing van standaarden, bijvoorbeeld vanuit een CIO- of CISO-office (voorbeelden: CIO BZK en CISO VWS). Proactieve sturing op de omvang en kwaliteitsaspecten van het internetdomeinportfolio is noodzakelijk om risico’s voor zowel organisaties als burgers te kunnen beheersen. Als handreiking heeft Forum Standaardisatie vijf basisprincipes voor regie op internetdomeinen op een rij gezet. Voor de Rijksoverheid heeft het Rijksprogramma voor Duurzaam Digitale Informatiehuishouding (RDDI), in samenwerking met Forum Standaardisatie, in 2021 de Handreiking BeheerInternetdomeinen Rijksoverheid gepubliceerd.

Het komt regelmatig voor dat websites of e-maildiensten decentraal ingekocht worden, terwijl er centrale (overheids)dienstverlening bestaat waarmee dezelfde diensten efficiënter geleverd kunnen worden. Met regie op internetdomeinen kan er beter op gestuurd worden dat centrale dienstverlening ook wordt benut.

Centralisering van dienstverlening heeft veelal een positief effect op de toepassing van standaarden. Wanneer een gemeenschappelijke dienstverlener een standaard consequent toepast heeft dit een hefboomeffect. Dit is zichtbaar bij diverse dienstverleningsconcepten; bijvoorbeeld de centrale registrarrol die de Dienst Publiek en Communicatie (AZ/DPC) vervult voor de Rijksoverheid, maar ook bij gemeenschappelijke dienstverleners voor web en e- maildiensten, zoals SSC-ICT, DICTU en diverse regionale dienstverleners.

Overheden besteden hun e-mailvoorzieningen steeds vaker uit aan clouddienstverleners. Een aantal van dit soort dienstverleners ondersteunen niet alle verplichte standaarden. Conform het open standaardenbeleid zou formeel moeten worden gekozen voor dienstverlening die de

standaarden wel ondersteunt. Indien hiervan is afgeweken is het belangrijk dat overheden hun dienstverleners alsnog blijven vragen om ondersteuning van verplichte standaarden. Diverse dienstverleners geven in informele gesprekken aan dat een gebrek aan klantvraag een reden is om niet te investeren in ondersteuning van de voor overheid verplichte standaarden.

1.2. Websitestandaarden

1.2.1. Totaalbeeld websites per overheidscategorie (incl. IPv6)

Onderstaande cijfers laten zien in welke mate de verschillende overheidscategorieën alle afgesproken websitestandaarden voor veilig en modern webverkeer toepassen (inclusief IPv6). Gemeenten en waterschappen lopen gemiddeld gezien ver voor op de andere categorieën. De gemeenschappelijke regelingen lopen ver achter. Waarschijnlijk zijn de streefbeeldafspraken niet doorgesijpeld naar deze instanties, hoewel zij in veel gevallen gefinancierd worden vanuit de andere overheden.

Totaal Centraleoverheid	53%
	50%
Provincies Waterschappen Gemeenten Gemeenschappelijke regelingen	59%
	87%
	89%
	26%

Hoofdstuk 2 gaat in meer detail in op de specifieke websitebeveiligingsstandaarden, hoofdstuk 4 gaat in op IPv6.

1.2.2. Websitebeveiligingsstandaarden (excl. IPv6)

Door toepassing van websitebeveiligingsstandaarden wordt de verbinding met overheidswebsites beter beveiligd, zodat criminelen niet zomaar uitgewisselde gegevens kunnen onderscheppen of manipuleren.

Deze paragraaf laat het totaalbeeld per overheidscategorie en het totaalbeeld per ministerie zien (zonder IPv6).

1.2.2.1. Adoptie per overheidscategorie

De achterblijvers zijn met name te vinden bij de centrale overheid en de gemeenschappelijke regelingen. De centrale overheid is getalsmatig oververtegenwoordigd in de meting doordat er veel secundaire internetdomeinen (campagnesites, projectsites, etc.) zijn meegenomen. Er is geen goed beeld van secundaire internetdomeinen van decentrale overheden, hoewel we weten dat gemeenten wel honderden websites in beheer kunnen hebben.

% volledige adoptie websitebeveiligingsstandaarden	Aantal webdomeinen
Overheidscategorie
Totaal	60%	2558
Centrale overheid	57%	1769
Provincies	73%	22
Waterschappen	90%	30
Gemeenten	91%	359
Gemeenschappelijkeregelingen	37%	378

Voor meer details per overheidscategorie zie hoofdstuk 5.

1.2.2.2. Adoptie per ministerie

Wanneer wordt gekeken naar de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – dan vallen de ministeries van Infrastructuur en Waterstaat (36%), Landbouw, Natuur en Voedselkwaliteit en Economische Zaken en Klimaat (beide 47%), en Justitie en Veiligheid en Onderwijs, Cultuur en Wetenschap (beide 53%) in negatieve zin op.

% volledige adoptie websitebeveiligingsstandaarden	Aantal webdomeinen
Ministerie
Ministerievan AlgemeneZaken(AZ)	92%	24
MinisterievanBinnenlandseZaken(BZK)	66%	315
MinisterievanBuitenlandseZaken(BZ)	64%	78
MinisterievanDefensie(Def)	85%	13
MinisterievanEconomischeZakenenKlimaat(EZK)	47%	142
Ministerie van Financiën (Fin)	75%	62
Ministerie vanInfrastructuurenWaterstaat(I&W)	36%	317
MinisterievanJustitieenVeiligheid(J&V)	53%	214
MinisterievanLandbouw,Natuuren Voedselkwaliteit(LNV)	47%	82
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	53%	132
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	64%	59
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	69%	331

Voor meer details per ministerie zie hoofdstuk 6.

1.3. E-mailstandaarden

1.3.1. Totaalbeeld e-mail per overheidscategorie (incl. IPv6)

Onderstaande cijfers laten zien in welke mate de verschillende overheidscategorieën alle afgesproken websitestandaarden voor veilig en modern e-mailverkeer (inclusief IPv6) toepassen. De centrale overheid loopt voorop in de toepassing van deze standaarden. Dat komt met name door een hoge mate van gebruik van gemeenschappelijke dienstverleners die de standaarden correct toepassen. Lokale overheden lopen achter, enerzijds komt dit door een hogere mate van gebruik van clouddiensten die niet alle standaarden ondersteunen.

Anderzijds zal bij gemeenschappelijke regelingen het gebrek aan bewustzijn een rol spelen.

% volledige adoptie e-mailstandaarden
Overheidscategorie
Totaal	44%
Centrale overheid	55%
Provincies	15%
Waterschappen	7%
Gemeenten	28%
Gemeenschappelijke regelingen	10%

Hoofdstuk 3 gaat in meer detail in op de specifieke e-mailbeveiligingsstandaarden, hoofdstuk 4 gaat in op IPv6.

1.3.2. E-mailstandaarden voor bestrijding van phishing (excl. IPv6)

Door toepassing van e-mailstandaarden voor het bestrijden van phishing wordt e-mailverkeer met de overheid beter beveiligd, zodat criminelen niet zomaar overheidsdomeinen kunnen misbruiken als afzenddomein voor bijvoorbeeld phishing-aanvallen.

Deze paragraaf laat het totaalbeeld per overheidscategorie en het totaalbeeld per ministerie zien (zonder IPv6).

1.3.2.1. Adoptie per overheidscategorie

De waterschappen en gemeenten zijn positieve uitschieters in deze categorie. Wel gaat het bij deze categorieën voornamelijk om primaire domeinnamen. Er is geen inzicht in secundaire domeinnamen die in gebruik zijn, die waarschijnlijk gezamenlijk in de duizenden lopen. De gemeenschappelijke regelingen, waar lokale overheden vaak in participeren, scoren slecht met 40% goed geconfigureerde e-maildomeinen.

%volledigeadoptiealle'anti-phishing' standaarden	Aantal e-maildomeinen
Overheidscategorie
Totaal	63%	2584
Centraleoverheid	64%	1787
Provincies	55%	22
Waterschappen	80%	30
Gemeenten	81%	359
Gemeenschappelijkeregelingen	40%	386

Voor meer details per overheidscategorie zie hoofdstuk 5.

1.3.2.2. Adoptie per ministerie

Wanneer wordt gekeken naar de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – dan vallen de ministeries van Algemene Zaken (96%) en Sociale Zaken en Werkgelegenheid (83%) positief op. Bijna alle ministeries met een portfolio kleiner dan 100 internetdomeinen scoren rond de 70% en hoger. Positieve opvaller met een portfolio groter dan 100 internetdomeinen is het ministerie van Binnenlandse Zaken met 71% volledige adoptie van anti-phishing standaarden voor haar portfolio van 319 gecontroleerde internetdomeinen. De ministeries van Justitie en Veiligheid (53%), Onderwijs, Cultuur en Wetenschap (55%), en Infrastructuur en Waterstaat (56%), hebben nog veel werk te verzetten om e-mailvervalsing namens haar domeinnamen te

voorkomen.

%volledigeadoptiealle'anti-phishing' standaarden	Aantal e-maildomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	96%	24
MinisterievanBinnenlandseZaken(BZK)	71%	319
MinisterievanBuitenlandseZaken(BZ)	69%	78
MinisterievanDefensie(Def)	71%	14
MinisterievanEconomischeZakenenKlimaat(EZK)	62%	143
Ministerie van Financiën (Fin)	76%	63
Ministerie vanInfrastructuurenWaterstaat(I&W)	56%	317
MinisterievanJustitieenVeiligheid(J&V)	53%	220
MinisterievanLandbouw,Natuuren Voedselkwaliteit(LNV)	70%	83
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	55%	133
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	83%	59
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	64%	334

Voor meer details per ministerie zie hoofdstuk 6.

1.3.3. E-mailstandaarden voor vertrouwelijk e-mailverkeer (excl. IPv6)

Door toepassing van e-mailstandaarden voor vertrouwelijk e-mailverkeer wordt e-mailverkeer met de overheid beter beveiligd, zodat criminelen niet zomaar e-mails kunnen onderscheppen of manipuleren.

Omdat we alleen kunnen testen of de e-mailontvangst van de betreffende overheden voldoende veilig e-mailverkeer mogelijk maakt, hebben we internetdomeinen zonder een

ontvangende mailserver niet meegenomen in de statistieken. Hierdoor is het aantal gecontroleerde domeinen minder dan bij de standaarden voor bestrijding van phishing.

Deze paragraaf laat het totaalbeeld per overheidscategorie en het totaalbeeld per ministerie zien (zonder IPv6).

1.3.3.1. Adoptie per overheidscategorie

De centrale overheid en gemeenten scoren over het algemeen het beste op deze standaarden. Het gebruik van gemeenschappelijke e-maildienstverleners geeft daarbij een hefboomeffect. Lokale overheden maken veel meer gebruik van clouddiensten voor e- mailverkeer, die de standaarden DNSSEC en DANE over het algemeen niet ondersteunen. Dit is met name zichtbaar in de adoptiegraad bij provincies, gemeenschappelijke regelingen en waterschappen.

Overheidscategorie

% volledige adoptie alle 'veilig e- mailtransport' standaarden

Aantal ontvangende e- maildomeinen

Totaal	40%	1493
Centrale overheid Provincies Waterschappen Gemeenten	50%	730
	19%	18
	24%	30
	45%	354
Gemeenschappelijke regelingen	19%	361

Voor meer details per overheidscategorie zie hoofdstuk 5.

1.3.3.2. Adoptie per ministerie

Wanneer wordt gekeken naar de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – dan valt op dat ministeries die actief sturen op toepassing van standaarden beter scoren, zoals de ministeries van Volksgezondheid, Welzijn en Sport, Sociale Zaken en Werkgelegenheid en Binnenlandse Zaken en Koninkrijksrelaties. Ook het ministerie van Economische Zaken en Klimaat scoort relatief hoger, omdat de meeste e-mail door de huisleverancier wordt verzorgd. Het ministerie van Buitenlandse Zaken is een negatieve opvaller met slechts 8% volledige adoptie van standaarden voor veilig e- mailtransport.

%volledigeadoptiealle'veilige-mailtransport'standaarden	Aantal ontvangendee-maildomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	20%	5
MinisterievanBinnenlandseZaken(BZK)	59%	80
MinisterievanBuitenlandseZaken(BZ)	8%	13
MinisterievanDefensie(Def)	17%	7
MinisterievanEconomischeZakenenKlimaat(EZK)	60%	77
MinisterievanFinanciën(Fin)	54%	24
MinisterievanInfrastructuurenWaterstaat(I&W)	34%	119
MinisterievanJustitieenVeiligheid(J&V)	51%	110
MinisterievanLandbouw,NatuurenVoedselkwaliteit(LNV)	41%	37
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	24%	77
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	62%	13
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	67%	168

Voor meer details per ministerie zie hoofdstuk 6.

2. Adoptie per websitebeveiligingsstandaard

Dit hoofdstuk toont de algehele adoptiegraad per websitebeveiligingsstandaard.

Hoofdstukken 5 en 6 gaan in meer detail in op de adoptiegraad van specifieke standaarden per respectievelijk overheidscategorie en ministerie.

Onderstaande statistieken tonen onder meer aan dat bij een kwart van de internetdomeinen de TLS- en HSTS-configuraties niet op orde zijn. Overheden moeten HTTPS en HSTS toepassen conform de ICT-beveiligingsrichtlijnen voor webapplicaties, en configureren hun TLS- verbindingen conform de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

webbeveiligin gsstandaard
Alle overheden (n =	89%	75%	92% 75%
2558)

3. Adoptie per e-mailbeveiligingsstandaard

Dit hoofdstuk toont de algehele adoptiegraad per e-mailbeveiligingsstandaard.

Hoofdstukken 5 en 6 gaan in meer detail in op de adoptiegraad van specifieke standaarden per respectievelijk overheidscategorie en ministerie.

3.1. E-mailstandaarden voor bestrijding van phishing

Om phishingmails uit naam van overheidsorganisaties (inclusief bewindspersonen) te

voorkomen, moet voor 28% van de internetdomeinen nog een strikt DMARC-beleid worden ingesteld. Het streefbeeld was om dit eind 2019 voor elkaar te hebben.

3.2. E-mailstandaarden voor vertrouwelijk e- mailverkeer

Bij één op de vijf e-mailservers is de STARTTLS-configuratie niet toekomstvast geconfigureerd. Overheden dienen hun TLS-verbindingen te configureren op basis van de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

DANE is de minst toegepaste standaard uit de meting met een adoptiegraad van 46%. DNSSEC bij mailserverdomein en DANE zorgen in samenhang voor geauthenticeerde versleuteling van e-mailtransport tussen de verzendende en ontvangende mailserver. Dit voorkomt dat een actieve aanvaller zomaar mailverkeer kan afluisteren.

De grootste implementatiedrempel voor DNSSEC en DANE is leveranciersondersteuning door met name clouddienstverleners. Het is belangrijk dat overheden die nog niet voldoen hun leverancier blijven vragen om ondersteuning van deze standaarden.

STARTTLS configuratie conform NCSC richtlijn	DNSSEC bij mailserverdo mein	DANE
		% adoptie per standaard 'veilig e- mailtransport'
Alle overheden (n = 1493)	81%	57%	46%

4. Adoptie IPv6 voor websites en e-mail

IPv6 is de open internetstandaard die iedere internetgebruiker nodig heeft om ook in de toekomst onbelemmerd gebruik te kunnen maken van internet. Er zijn verschillende goede redenen om voor IPv6 te kiezen, juist ook als overheid: groei en innovatie van internet, directere en snellere dienstverlening, en tegengaan van fraude.

De overheid heeft ook een voorbeeldfunctie om moderne internetstandaarden zoals IPv6 te gebruiken. Deze standaarden zorgen er namelijk voor dat het internet nu en in de toekomst voor iedereen wereldwijd veiliger en toegankelijker wordt waardoor ook nieuwe innovatie kan plaatsvinden. Brede ondersteuning van IPv6 binnen Nederland is ook belangrijk voor onze mondiale concurrentiepositie.

4.1. IPv6 voor webverkeer per overheids categorie

De gemeenschappelijke regelingen scoren ver onder de maat bij het gebruik van IPv6 voor webverkeer. De overheidsbrede afspraken hebben onvoldoende doorwerking gehad naar deze instanties, ondanks dat zij meestal gefinancierd worden vanuit de andere overheden.

De centrale overheid scoort relatief lager dan de andere lokale overheden. Dat komt doordat er onevenredig veel secundaire webdomeinen in deze categorie zijn meegenomen. Deze secundaire webdomeinen zijn vaak gehost bij externe dienstverleners die niet goed aangestuurd zijn op het toepassen van IPv6 voor websites en webapplicaties.

Overheidscategorie	% adoptie IPv6 voor webverkeer	Aantal webdomeinen
Totaal	70%	2558
Centrale overheid	68%	1769
Provincies	82%	22
Waterschappen	97%	30
Gemeenten	94%	359
Gemeenschappelijke regelingen	49%	378

4.2. IPv6 voor webverkeer per ministerie

Positieve uitschieters – met een klein webportfolio – zijn de ministeries van Algemene Zaken (100%) en Defensie (92%). Negatieve opvaller is het ministerie van Economische Zaken (51%), terwijl dit beleidsmatig de aanjager is van IPv6 richting het bedrijfsleven. Dit ministerie heeft nog een uitdaging om de voorbeeldfunctie waar te maken.

%adoptieIPv6voorwebverkeer	Aantal webdomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	100%	24
MinisterievanBinnenlandseZaken(BZK)	83%	315
MinisterievanBuitenlandseZaken(BZ)	63%	78
MinisterievanDefensie(Def)	92%	13
MinisterievanEconomischeZakenenKlimaat(EZK)	51%	142
Ministerie van Financiën (Fin)	66%	62
Ministerie vanInfrastructuurenWaterstaat(I&W)	58%	317
MinisterievanJustitieenVeiligheid(J&V)	65%	214
MinisterievanLandbouw,Natuuren Voedselkwaliteit(LNV)	72%	82
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	58%	132
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	75%	59
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	75%	331

4.3. IPv6 voor e-mailverkeer per overheidscategorie

Ook bij het gebruik van IPv6 voor e-mailverkeer scoren de gemeenschappelijke regelingen ver onder de maat met een adoptiegraad van slechts 33%. Ook de waterschappen komen daar niet ver boven met 43%. Vermoedelijk zit er voor de centrale overheid (52%) nog rek in het adoptiepercentage door ongebruikte mailservers uit de domeinconfiguratie te verwijderen.

Overheidscategorie	% adoptie IPv6 voor e-mailverkeer	Aantal ontvangende e- maildomeinen
Totaal	50%	1493
Centrale overheid	52%	730
Provincies	72%	18
Waterschappen	43%	30
Gemeenten	64%	354
Gemeenschappelijke regelingen	33%	361

4.3. IPv6 voor e-mail verkeer per ministerie

Wanneer wordt gekeken naar de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – dan valt in eerste instantie het ministerie van Defensie op, die helemaal geen IPv6 e-mailverkeer mogelijk maakt. Ook de ministeries van Buitenlandse Zaken (15%) en Algemene Zaken (20%) hebben ondanks een klein portfolio aan ontvangen e-maildomeinen een erg lage adoptiegraad.

Positieve opvallers zijn de ministeries met een proactieve (projectmatige) sturing op toepassing van standaarden. Het gaat daarbij om de ministeries van Sociale Zaken en Werkgelegenheid (77%), Volksgezondheid, Welzijn en Sport (73%), en Binnenlandse Zaken en Koninkrijksrelaties (69%).

%adoptieIPv6voore-mailverkeer	Aantalontvangendee- maildomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	20%	5
MinisterievanBinnenlandseZaken(BZK)	69%	80
MinisterievanBuitenlandseZaken(BZ)	15%	13
MinisterievanDefensie(Def)	0%	7
MinisterievanEconomischeZakenenKlimaat(EZK)	36%	77
Ministerie van Financiën (Fin)	50%	24
Ministerie vanInfrastructuurenWaterstaat(I&W)	38%	119
MinisterievanJustitieenVeiligheid(J&V)	55%	110
MinisterievanLandbouw,Natuuren Voedselkwaliteit(LNV)	32%	37
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	44%	77
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	77%	13
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	73%	168

5. Adoptie per overheidscategorie

De volgende paragrafen tonen de adoptiestatistieken per beveiligingsstandaard per overheidscategorie.

5.1. Centrale overheid

DNSSEC voor webdomein	TLS- configuratie conform NCSC richtlijn	HTTPS doorverwijzin g	HSTS
% adoptie per webbeveiligin gsstandaard
Centrale overheid (n = 1769)	89%	72%	91%	75%

DKIM	DMARC- configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Centrale overheid (n = 1787)	78%	74%	86%

STARTTLS configuratie conform NCSC richtlijn	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e- mailtransport'
Centrale overheid (n = 730)	80%	66%	55%

5.2. Provincies

DNSSEC voor webdomein	TLS- configuratie conform NCSC richtlijn	HTTPS doorverwijzin g	HSTS
% adoptie per webbeveiligin gsstandaard
Provincies (n = 22)	95%	95%	82%	91%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Provincies (n = 22)	82%	68%	77%

STARTTLS configuratie conform NCSC richtlijn	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e- mailtransport'
Provincies (n = 18)	81%	28%	19%

DKIM DMARC-configuratie SPF-configuratie (~all (quarantine of reject) of -all) % adoptie per standaard 'anti- phishing' Waterschappen (n = 30) 97% 87% 93%

STARTTLS configuratie DNSSEC bij DANE conform NCSC richtlijn mailserverdomein % adoptie per standaard 'veilig e- mailtransport' Waterschappen (n = 30) 79% 40% 24%

DNSSEC voor TLS- HTTPS HSTS webdomein configuratie doorverwijzin % adoptie per conform NCSC g webbeveiliginrichtlijn gsstandaard Waterschappen 100% 97% 100% 93% (n = 30)

5.3. Waterschappen

5.4. Gemeenten

DNSSEC voor webdomein	TLS- configuratie conform NCSC richtlijn	HTTPS doorverwijzin g	HSTS
% adoptie per webbeveiligin gsstandaard
Gemeenten (n = 359)	99%	94%	99%	97%

DKIM	DMARC- configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Gemeenten (n = 359)	99%	86%	95%

STARTTLS configuratie conform NCSC richtlijn	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e- mailtransport'
Gemeenten (n = 354)	86%	57%	53%

DNSSEC voor TLS- HTTPS HSTS webdomein configuratie doorverwijzin % adoptie per conform NCSC g webbeveiliginrichtlijn gsstandaard Gemeenschapp 80% 66% 92% 52% elijke regelingen (n = 378)

DKIM DMARC- SPF- configuratie configuratie (quarantine of (~all of -all) reject) % adoptie per standaard 'anti- phishing' Gemeenschappeli 82% 48% 84% jkeregelingen(n = 386)

STARTTLS DNSSEC bij DANE configuratie mailserverdomei conform NCSC n richtlijn % adoptie per standaard 'veilig e-mailtransport' Gemeenschappelijk 80% 39% 25% e regelingen (n = 361)

5.5. Gemeenschappelijke regelingen

% adop 100%	tie standaard 82%	en 'anti-phishing' geme	entelijke regelingen (n = 386) 84%
80% 60%	48%
20% 0%	DKIM	DMARC-configuratie ( of reject)	quarantine SPF-configuratie (~all of -all)

% ado 100%	ptie standaarden	'veilig e-mailtransp = 361)	ort' gemeentelijke regelingen (n
80% 60%	80%	39%
40% 20% 0% STARTTLS c NC	onfiguratie conform SC richtlijn	DNSSEC bij mailserv	25% erdomein DANE

6. Adoptie per ministerie

6.1. Totaalbeeld websitestandaarden (incl.IPv6)

Onderstaande cijfers laten zien in welke mate de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – alle afgesproken websitestandaarden voor veilig en modern webverkeer toepassen (inclusief IPv6).

%volledigeadoptiewebsitestandaarden	Aantal webdomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	92%	24
MinisterievanBinnenlandseZaken(BZK)	58%	315
MinisterievanBuitenlandseZaken(BZ)	59%	78
MinisterievanDefensie(Def)	85%	13
MinisterievanEconomischeZakenenKlimaat(EZK)	30%	142
Ministerie van Financiën (Fin)	59%	62
Ministerie vanInfrastructuurenWaterstaat(I&W)	34%	317
MinisterievanJustitieenVeiligheid(J&V)	44%	214
MinisterievanLandbouw,Natuuren Voedselkwaliteit(LNV)	42%	82
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	43%	132
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	61%	59
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	63%	331

Over het algemeen hebben ministeries met een klein webportfolio, zoals de ministeries van Algemene Zaken en Defensie, een hoge mate van adoptie. Ook ministeries als Buitenlandse Zaken en Financiën, met een relatief beperkt portfolio, scoren hoger dan gemiddeld. De ministeries van Binnenlandse Zaken en Volksgezondheid hebben een relatief hoge adoptiegraad afgezet tegen de hoge omvang van hun portfolio. Dit komt omdat zij in de voorgaande jaren actief (projectmatig) hebben gestuurd op toepassing van standaarden.

6.2. Totaalbeeld e-mailstandaarden (incl.IPv6)

Onderstaande cijfers laten zien in welke mate de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – alle afgesproken e- mailstandaarden voor veilig en modern e-mailverkeer toepassen (inclusief IPv6).

%volledigeadoptiee-mailstandaarden	Aantal e-maildomeinen
Ministerie
MinisterievanAlgemeneZaken(AZ)	83%	24
MinisterievanBinnenlandseZaken(BZK)	66%	319
MinisterievanBuitenlandseZaken(BZ)	69%	78
MinisterievanDefensie(Def)	46%	14
MinisterievanEconomischeZakenenKlimaat(EZK)	37%	143
Ministerie van Financiën (Fin)	41%	63
Ministerie vanInfrastructuurenWaterstaat(I&W)	54%	317
MinisterievanJustitieenVeiligheid(J&V)	47%	220
MinisterievanLandbouw,NatuurenVoedselkwaliteit(LNV)	51%	83
MinisterievanOnderwijs,CultuurenWetenschap(OCW)	42%	133
MinisterievanSocialeZakenenWerkgelegenheid(SZW)	80%	59
MinisterievanVolksgezondheid,WelzijnenSport(VWS)	58%	334

Vergelijkbaar met de adoptie van websitestandaarden, zien we dat ministeries met een beperkt portfolio, of actieve sturing op toepassing van standaarden, over het algemeen een hogere adoptiegraad bereiken.

De volgende paragrafen tonen de adoptiestatistieken per beveiligingsstandaard per ministerie.

6.3. Ministerie van Algemene Zaken

DNSSEC voor webdomein	TLS- configuratie conform NCSC richtlijn	HTTPS doorverwijzin g	HSTS
% adoptie per webbeveiligin gsstandaard
Ministerie van Algemene Zaken (n = 24)	100%	100%	96%	96%

DKIM	DMARC- configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Algemene Zaken (n = 24)	96%	100%	100%

STARTTLS configuratie conform NCSC richtlijn	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e- mailtransport'
Ministerie van Algemene Zaken (n = 5)	60%	100%	20%

6.4. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (n = 315)	94%	74%	90%	86%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (n = 319)	77%	87%	82%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (n = 80)	80%	79%	62%

6.5. Ministerie van Buitenlandse Zaken

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Buitenlandse Zaken (n = 78)	77%	77%	93%	84%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti-phishing'
Ministerie van Buitenlandse Zaken (n = 78)	81%	74%	83%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Buitenlandse Zaken (n = 13)	83%	15%	8%

6.6.  Ministerie van Defensie

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Defensie (n = 14)	100%	92%	85%	85%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti-phishing'
Ministerie van Defensie (n = 14)	93%	86%	79%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Defensie (n = 7)	50%	100%	67%

6.7. Ministerie van Economische Zaken en Klimaat

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Economische Zaken en Klimaat (n = 142)	90%	69%	88%	64%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti-phishing'
Ministerie van Economische Zaken en Klimaat (n = 143)	80%	69%	86%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdom ein	DANE
% adoptie per standaard 'veilig e- mailtransport'
Ministerie van Economische Zaken en Klimaat (n = 77)	82%	73%	64%

6.8. Ministerie van Financiën

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Financiën (n = 62)	92%	87%	92%	85%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti-phishing'
Ministerie van Financiën (n = 63)	84%	81%	92%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Financiën (n = 24)	75%	79%	54%

6.9. Ministerie van Infrastructuur en Waterstaat

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Infrastructuur en Waterstaat (n = 317)	88%	53%	89%	65%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Infrastructuur en Waterstaat (n = 317)	73%	65%	85%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Infrastructuur en Waterstaat (n = 119)	68%	57%	47%

6.10. Ministerie van Justitie en Veiligheid

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Justitie en Veiligheid (n = 214)	85%	72%	88%	67%

DKIM	DMARC-configuratie (quarantineofreject)	SPF-configuratie (~all of -all)
%adoptieper standaard'anti- phishing'
Ministerie van Justitie en Veiligheid (n = 220)	74%	65%	84%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Justitie en Veiligheid (n = 110)	80%	65%	51%

DKIM DMARC-configuratie SPF-configuratie (quarantine of reject) (~all of -all) % adoptie per standaard 'anti- phishing' Ministerie van Landbouw, 82% 72% 90% Natuur en Voedselkwaliteit (n = 83)

STARTTLS configuratie DNSSEC bij DANE conform NCSC mailserverdomein % adoptie per standaard 'veilig e-mailtransport' Ministerie van Landbouw, 79% 62% 41% Natuur en Voedselkwaliteit (n = 37)

DNSSEC TLS- HTTPS HSTS voor configuratie doorverwijzin % adoptie per webdom conform NCSC g webbeveiligingsstaein ndaard Ministerie van 85% 67% 95% 71% Landbouw, Natuur en Voedselkwaliteit (n = 82)

6.11. Ministerie van Landbouw, Natuur en Voedselkwaliteit

% adoptie per	webbeveiligi en	ngsstandaard Min Voedselkwaliteit ( 67%	isterie van Landbo n = 82) 95%	uw, Natuur
100% 85% 80%				71%
40% 20% 0% DNSSEC voor webdom	ein TLS-confi NC	guratie conform HTT SC richtlijn	PS doorverwijzing	HSTS

6.12. Ministerie van Onderwijs, Cultuur en Wetenschap

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Onderwijs, Cultuur en Wetenschap (n = 132)	82%	74%	91%	69%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Onderwijs, Cultuur en Wetenschap (n = 133)	76%	63%	83%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Onderwijs, Cultuur en Wetenschap (n = 77)	74%	45%	33%

6.13. Ministerie van Sociale Zaken en Werkgelegenheid

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Sociale Zaken en Werkgelegenheid (n = 59)	92%	69%	97%	86%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Sociale Zaken en Werkgelegenheid (n = 59)	90%	90%	92%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Sociale Zaken en Werkgelegenheid (n = 13)	85%	77%	77%

6.14. Ministerie van Volksgezondheid, Welzijn en Sport

DNSSEC voor webdom ein	TLS- configuratie conform NCSC	HTTPS doorverwijzin g	HSTS
			% adoptie per webbeveiligingssta ndaard
Ministerie van Volksgezondheid, Welzijn en Sport (n = 331)	91%	83%	93%	80%

DKIM	DMARC-configuratie (quarantine of reject)	SPF-configuratie (~all of -all)
% adoptie per standaard 'anti- phishing'
Ministerie van Volksgezondheid, Welzijn en Sport (n = 334)	80%	75%	90%

STARTTLS configuratie conform NCSC	DNSSEC bij mailserverdomein	DANE
% adoptie per standaard 'veilig e-mailtransport'
Ministerie van Volksgezondheid, Welzijn en Sport (n = 168)	91%	74%	69%

7. Achtergrond

Sinds 2015 biedt het Platform Internetstandaarden de mogelijkheid om via de website Internet.nl domeinen te toetsen op het gebruik van verschillende moderne internetstandaarden, waaronder een aantal informatieveiligheidstandaarden en IPv6, die op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie staan. In datzelfde jaar is Forum Standaardisatie gestart om met behulp van Internet.nl een halfjaarlijkse meting van de adoptiegraad van informatieveiligheidsstandaarden voor overheidsdomeinen (web en e-mail) uit te voeren.

Die metingen hebben ertoe geleid dat het Nationaal Beraad in februari 2016 de ambitie uitsprak bepaalde standaarden versneld te willen adopteren. Dit betekent concreet dat voor deze standaarden niet langer het tempo van ‘pas toe of leg uit’ wordt gevolgd (d.w.z. wachten op een volgend investeringsmoment en dan de standaarden implementeren), maar dat actief wordt ingezet op implementatie van de standaarden op de kortere termijn.

Na de eerste interbestuurlijke afspraak zijn er door het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) drie aanvullende streefbeeldafspraken met verschillende uiterlijke implementatiedeadlines gemaakt. Van websites en e-mail van de overheid wordt vereist dat deze na het verlopen van de deadlines aan de standaarden en juiste configuratie voldoet.

Onderdeel van de afspraken is dat Forum Standaardisatie de voortgang van de adoptie meet en inzichtelijk maakt. De halfjaarlijkse Meting Informatieveiligheidstandaarden is ook onderdeel van de jaarlijkse Monitor Open Standaarden.

7.1. Om welke standaarden gaat het

Het Nationaal Beraad en het OBDO hebben streefbeeldafspraken gemaakt met betrekking tot de volgende standaarden:

UITERLIJKE IMPLEMENTATIE-DATUM	STANDAARDEN
EIND 2017	HTTPSenTLS: beveiligde verbindingen van website ‘met gevoelige gegevens’ DNSSEC: integriteit domeinnaam-gegevens SPF: echtheidswaarmerk ter preventie mailspoofing DKIM: echtheidswaarmerk ter preventie mailspoofing DMARC: beleid en rapportage ter preventie mailspoofing

EIND 2018	HTTPS, TLS en HSTS conform de TLS-richtlijnen van NCSC: beveiligde verbindingen van alle websites
EIND 2019	STARTTLS en DANE: encryptie van mailverkeer SPF en DMARC: het instellen van strikt beleid voor deze emailstandaarden
EIND 2021	IPv6 (naast IPv4): moderne internetadressering van overheidswebsites en e-maildomeinen van e overheid

7.2. Om welke internetdomeinen gaat het

In totaal zijn in deze meting 2584 internetdomeinen van overheidsorganisaties getoetst, bestaande uit:

• Alle internetdomeinen uit het Websiteregister Rijksoverheid;
• Alle internetdomeinen uit het Register van Overheidsorganisaties op overheid.nl;
• Internetdomeinen uit voorgaande

De lijst betreft een selectie van alle overheidsdomeinnamen. De lijst is niet volledig en kan dat ook niet zijn omdat de overheid momenteel geen overzicht heeft over alle domeinnamen. De gemeten internetdomeinen zijn bij lange na niet alle domeinen waar het OBDO direct en indirect voor verantwoordelijk is. Zo heeft het ministerie van AZ zicht op meer dan 9.000 internetdomeinen van de Rijksoverheid waarvan het overzicht niet openbaar is gepubliceerd. Een 100%-score op de gemeten domeinen garandeert geenszins dat hiermee alle overheidsdomeinen beschermd zijn tegen bijvoorbeeld phishing.

7.3. Hoe wordt gemeten

De meting geeft de stand van zaken weer van mei 2022. De meting laat zien of op een domeinnaam de standaarden worden toegepast. De resultaten zijn voorgelegd aan een aantal koepelorganisaties en stakeholders en begin juli geactualiseerd indien nodig.

De meting wordt uitgevoerd middels een bulktoets via de API van Internet.nl. Voor de web- standaarden wordt het hoofddomein getoetst met de toevoeging www. (dus: www.forumstandaardisatie.nl), omdat het gebruikelijk is dat de website daarop bereikbaar is. Voor de maildomeinen wordt getoetst zonder enig voorvoegsel omdat dat doorgaans gebruikt wordt als e-maildomein (dus @forumstandaardisatie.nl).

Op Internet.nl is eenvoudig te testen of een website of e-mail een aantal moderne internetstandaarden ondersteunen, ook de standaarden waarover streefbeeldafspraken zijn gemaakt zijn onderdeel van de test. De score die een domeinnaam op Internet.nl kan halen (namelijk max. 100%) heeft een directe relatie met het resultaat uit deze meting, aangezien deze meting alle standaarden bevat die de Internet.nl score kunnen beïnvloeden.

De website Internet.nl is een initiatief van het Platform Internetstandaarden. In het platform participeren verschillende partners uit de internetgemeenschap (zoals Internet Society, RIPE NCC, SIDN en SURFnet) en Nederlandse overheid (Forum Standaardisatie, het Ministerie van Economische Zaken en Klimaat, en NCSC). Het uitgangspunt is dat Internet.nl de adviezen van Forum Standaardisatie en NCSC met betrekking tot de Internetstandaarden volgt.

De meting geeft geen inzicht in het risiconiveau van een bepaald domein. Zo is het aannemelijk dat de aantrekkelijkheid van misbruik hoger is bij domeinen van grote uitvoerders (zoals phishing met aanmaningen) dan bij domeinen van kleine gemeenten.

7.4. Wat wordt niet gemeten

In de meting wordt alleen gekeken naar de toepassing van standaarden op domeinnamen. Er wordt in de meting (nog) niet gekeken naar de validatie op de standaarden. Dat betekent dat de volgende zaken niet worden gemeten:

• validatie van DNSSEC door de DNS-resolver van een overheidsorganisatie;
• validatie van de DMARC-, DKIM- en SPF-kenmerken door ontvangende mailservers van een overheidsorganisatie;
• validatie van DANE-kenmerken door verzendende mailservers van een

overheidsorganisatie.

7.5. Over de standaarden

Er worden zowel web- als mailstandaarden gemeten. Hieronder per standaard een korte uitleg over wat deze doet. Overigens is meer (technische) informatie over wat er wordt getoetst te vinden op Internet.nl.

7.5.1. Webstandaarden

Wij meten het gebruik van de beveiligingsstandaarden en IPv6 voor het web ook op domeinen die alleen gebruikt worden voor mail omdat dit vaak wel domeinnamen zijn die re-directen naar het hoofddomein. Ook hiervoor moeten de standaarden juist worden toegepast en burgers weten vaak niet hoe deze domeinen worden gebruikt. Als redirects worden toepast dan moeten ook de doorverwijzende domeinen met HTTPS beveiligd zijn, anders is de beginschakel niet veilig en daarmee is ook de gehele keten onveilig. Dit geldt ook wanneer een zogenaamde ‘parking page’ wordt getoond. Alleen als een geregistreerd domein geen webpagina bevat dan is HTTPS niet nodig (en niet mogelijk).

STANDAARD	BESCHRIJVING
DNSSEC	Domain Name System (DNS) is het registratiesysteem van namen en bijbehorende internetnummers en andere domeinnaaminformatie. Het is vergelijkbaar met een telefoonboek. Dit systeem kan worden bevraagd om namen naar nummers te vertalen en omgekeerd. Er is getest of de domeinnaam ondertekend is met DNSSEC, zodat de integriteit van de DNS-informatie is beschermd. De streefbeeldafspraak was om hier vóór 2018 aan te voldoen.
TLS CF. NCSC	Als een bezoeker een onbeveiligde HTTP-verbinding heeft met een website, dan kan een kwaadwillende eenvoudig gegevens onderweg afluisteren of aanpassen, of zelfs het contact volledig overnemen. TLS behoort bovendien zodanig geconfigureerd te zijn dat deze voldoet aan de aanbevelingen van het Nationaal Cyber Security Center (NCSC). Zodat de vertrouwelijkheid, de authenticiteit en integriteit van een bezoek aan een website is gegarandeerd. De streefbeeldafspraak was om hier voor 2019 aan te voldoen.
HTTPS REDIRECT	Er wordt getest of een webserver bezoekers automatisch doorverwijst van HTTP naar HTTPS op dezelfde domeinnaam óf dat deze ondersteuning biedt voor alleen HTTPS en niet voor HTTP. Op Internet.nl heet deze subtest ‘HTTPS Redirect’. De streefbeeldafspraak was om hier voor 2019 aan te voldoen.
HSTS	HSTS zorgt ervoor dat een browser eist dat een website altijd HTTPS blijft gebruiken na het eerste contact over HTTPS. Dit helpt voorkomen dat een derde -bijvoorbeeld een kwaadaardige WiFi hotspot- een browser kan omleiden naar een valse website. Door HTTPS samen met HSTS te gebruiken wordt het gebruik van beveiligde verbindingen zoveel mogelijk afgedwongen. De streefbeeldafspraak was om hier vóór 2019 aan te voldoen.
IPV6 WEB	Internet Protocol versie 6 (IPv6) maakt communicatie van data tussen ICT-systemen op het Internet mogelijk. Er wordt getest of alle nameservers (minimaal twee) en tenminste één webserver een IPv6- adres hebben en bereikbaar zijn. Er wordt ook getest of de IPv6 website gelijk lijkt aan de IPv4 website. De streefbeeldafspraak was om hier vóór 2022 aan te voldoen.

7.5.2. E-mailstandaarden

Wij meten het gebruik van anti-phishing standaarden ook op domeinen waarvan een organisatie geen e-mail verstuurt. Dit is relevant omdat ook die domeinen worden misbruikt (burgers weten vaak niet dat deze domeinen niet door de organisatie worden gebruikt), en juist domeinen waarvandaan niet gemaild wordt, makkelijk kunnen worden geblokkeerd met behulp van SPF en DMARC (met respectievelijk de policies –all en p=reject).

STANDAARD	BESCHRIJVING
DMARC POLICY	Met DMARC kan een e-mailprovider kenbaar maken hoe andere (ontvangende) mailservers om dienen te gaan met de resultaten van de SPF- en/of DKIM-controles van ontvangen e-mails. Dit gebeurt door het publiceren van een DMARC beleid in het DNS-record van een domein. Zolang er geen beleid is ingesteld weet de ontvanger nog niet wat te doen met verdachte e-mail. De configuratie moet op orde zijn. (Opm: Actieve policies zijn ~all en –all voor SPF, en p=quarantine en p=reject voor DMARC) Er wordt gecontroleerd of de syntax van de DMARC-record correct is en of deze een voldoende strikte policy bevat. De streefbeeldafspraak was om hier voor 2020 aan te voldoen.
DKIM	Met DKIM kunnen e-mailberichten worden gewaarmerkt. De ontvanger van een e-mail kan op die manier controleren of een e- mailbericht écht van de afzender afkomstig is en of het bericht onderweg ongewijzigd is gebleven. Getest wordt of de domeinnaam DKIM ondersteunt. Voor non-mail domeinen waar dit goed is ingesteld heeft DKIM verder geen toegevoegde waarde. In de meting wordt dit weergegeven middels de score “NVT” (niet van toepassing) voor DKIM. De streefbeeldafspraak was om hier voor 2018 aan te voldoen.
SPF POLICY	SPF heeft als doel spam te verminderen. SPF controleert of een verzendende mailserver die e-mail namens een domein wil versturen, ook daadwerkelijk gerechtigd is om dit te mogen doen. Getest wordt of de syntax van de SPF-record geldig is en of deze een voldoende strikte policy bevat om misbruik van het domein door phishers en spammers tegen te gaan. De streefbeeldafspraak was om hier voor 2020 aan te voldoen.

STARTTLS CF. NCSC	STARTTLS in combinatie met DANE gaan het afluisteren of manipuleren van mailverkeer tegen. STARTTLS maakt het mogelijk om transportverbindingen tussen e-mailservers op basis van certificaten met TLS te beveiligen. Net zoals bij HTTPS kan er bij STARTTLS gebruik worden gemaakt van verschillende versies van het TLS en verschillende versleutelingsstandaarden (ciphers). Aangezien niet alle versies en combinaties als voldoende veilig worden beschouwd, is het belangrijk om hierin de juiste keuze te maken en ook regelmatig te controleren of de gebruikte instellingen nog veilig zijn. Getest wordt of STARTTLS is geconfigureerd zoals door het NCSC is aanbevolen. De streefbeeldafspraak was om hier vóór 2020 aan te voldoen.
DANE	DANE, dat voortbouwt op DNSSEC, zorgt er in combinatie met STARTTLS voor dat een verzendende e-mailserver de authenticiteit van een ontvangende e-mailserver kan controleren en het kan het gebruik van TLS bovendien afdwingen. Getest wordt of de nameservers van de mailservers één of meer TLSA-records voor DANE bevatten. De streefbeeldafspraak was om hier voor 2020 aan te voldoen.
DNSSEC MX	DNSSEC is een randvoorwaarde voor het instellen van DANE. Daarom wordt getest of de domeinnamen van de mailservers (MX) ondertekend zijn met DNSSEC. Dit in het kader van de streefbeeldafspraak om voor 2020 STARTTLS en DANE te ondersteunen.
IPV6 E- MAIL	Internet Protocol versie 6 (IPv6) maakt communicatie van data tussen ICT-systemen op het Internet mogelijk. Er wordt getest of alle nameservers (minimaal twee) van het e-maildomein en alle mailservers (MX) een IPv6-adres hebben en bereikbaar zijn. De streefbeeldafspraak was om hier vóór 2022 aan te voldoen.

<<Bijlage mist>>

2A Verwijdering COINS

Vergadering:	Overheidsbreed Beleidsoverleg Digitale Overheid donderdag 1 december 2022
Documentnummer:	2a
Aan:	Overheidsbreed Beleidsoverleg Digitale Overheid
Van:	Forum Standaardisatie
Datum:	donderdag 1 december 2022
Versie:	1.0
Bijlagen:	FS-20220420.5B-Forumadvies-COINS

Ter besluitvorming

Forumadvies COINS

Advies en samenvatting

Het Forum Standaardisatie adviseert om de standaard COINS (gegevensuitwisseling in de bouw) niet meer te verplichten of aan te bevelen aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst. COINS is een standaard voor uitwisselen van samenhangende digitale bouwinformatie tussen opdrachtgevers en opdrachtnemers.

COINS 2.0 heeft end of life-status bereikt. De beheerorganisatie BIM-loket doet geen investeringen meer in de doorontwikkeling en in het beheer van de standaard. Experts signaleren dat (internationale) opvolgers beschikbaar zijn. Vanuit gebruikersperspectief neemt draagvlak voor de standaard af. Belangrijke stakeholders uit de overheid zijn het gebruik van de standaard aan het afbouwen.

Experts onderschrijven wel het nut van een standaard voor het uitwisselen van verschillende soorten bouwinformatie in samenhang. Experts adviseren het BIM Loket potentiële opvolgers aan te melden voor de Lijst Open Standaarden van Forum Standaardisatie.

Het Forumadvies geeft een nadere onderbouwing.

Belang van de standaard: betere gegevensuitwisseling en leveranciersonafhankelijkheid

COINS draagt bij aan betere gegevensuitwisseling doordat COINS systeemonafhankelijke gegevensuitwisseling van samenhangende digitale bouwinformatie tussen opdrachtgevers en opdrachtnemers bevordert.

Dankzij COINS kunnen opdrachtgevers en opdrachtnemers die software van verschillende leveranciers gebruiken, gemakkelijker samenwerken.

Hoe is het proces verlopen?

Eind 2020 tot en met juli 2021 zijn de bouwstandaarden VISI, COINS, NLCS en IFS geëvalueerd. Het Evaluatierapport Bouwstandaarden (juli 2021) adviseerde op basis van advies van de experts COINS niet meer te verplichten aan de overheid.

Op 29 september 2021 heeft het Forum Standaardisatie het Evaluatierapport Bouwstandaarden behandeld en heeft het Forum Standaardisatie besloten op basis van het Evaluatierapport de verwijdering van COINS van de lijst open standaarden in procedure te nemen.

Op 26 november 2021 is een concept expertadvies opgesteld waarop experts in de periode van 12 tot en met 24 december 2021 schriftelijk hebben gereageerd. Aan dit expertonderzoek namen vertegenwoordigers deel uit een brede coalitie van overheid, bedrijfsleven, en koepelorganisatie.

Het Expertadvies is van 28 januari tot 25 februari 2022 ter openbare consultatie gepubliceerd op internetconsultatie.nl. De enige binnengekomen reactie onderschreef de verwijdering van COINS; de reactie is meegenomen in de eindconclusie in het Forumadvies. Op basis van het Expertadvies en de reactie uit de openbare consultatie is het Forumadvies samengesteld.

Het Forum Standaardisatie heeft op 20 april 2022 ingestemd met het Forumadvies, met het verzoek om de juridische consequenties na te gaan van de verwijdering van COINS van de ‘pas toe of leg uit’-status op langlopende contracten waarin COINS werd uitgevraagd (zie onder).

Over de standaard

Met COINS (Constructieve Objecten en de Integratie van Processen en Systemen) kunnen partijen die betrokken zijn bij bouwprojecten, digitale informatie uitwisselen. De informatie- uitwisseling vindt plaats tussen verschillende IT-platforms en -omgevingen van de betrokken partijen. COINS zorgt ervoor dat verschillende soorten informatie in samenhang in één database kunnen worden vastgelegd en uitgewisseld, zoals informatie als functies, eisen- en

objectenbomen, GIS-data, 2D-tekeningen, 3D-modellen, IFC-modellen, en objecttype- bibliotheek.

COINS is een uitwisselformaat, waarbij een combinatie van gegevens uitgewisseld kan worden (meerdere documenten met links onderling). Op basis van COINS kunnen verwijzingen naar documenten (inclusief metagegevens) worden geadministreerd. COINS gaat uit van een kernmodel dat een semantische beschrijving geeft van objecten, hun onderlinge relatie(s) en hun kenmerken.

Nadere toelichting verwijdering COINS i.r.t. juridische consequenties voor langlopende contracten

Het niet meer verplichten of aanbevelen van de standaard COINS aan de overheid via verwijdering van de ‘pas toe of leg uit’-lijst heeft geen juridische consequenties op langlopende contracten waarin COINS werd uitgevraagd. Dat heeft Rijkswaterstaat (hierna: RWS) bevestigd. RWS is binnen de overheid een van de gebruikers van de standaard COINS. COINS is bij lopende contracten van RWS zo goed mogelijk afgebouwd en RWS vraagt COINS niet meer uit. De COINS standaard is niet meer van toepassing bij RWS, onder andere als gevolg van BIT-Toets conclusies (Bureau ICT-toetsing, nu: Adviescollege ICT-Toetsing).

Het Bureau Forum Standaardisatie heeft deze vraag rond juridische consequenties uitgezet bij RWS op advies van het Forum Standaardisatie.

2b Verwijdering OWMS

Vergadering:	Overheidsbreed Beleidsoverleg Digitale Overheid donderdag 1 december 2022
Documentnummer:	2b
Aan:	Overheidsbreed Beleidsoverleg Digitale Overheid
Van:	Forum Standaardisatie
Datum:	donderdag 1 december 2022
Versie:	1.0
Bijlagen:	FS-20220928.3B-Forumadvies-Verwijdering-OWMS

Ter besluitvorming

Forumadvies OWMS

Advies en samenvatting

Het Forum Standaardisatie adviseert om de standaard Overheid.nl Web Metadata Standaard (OWMS) (openbaarheid en toegang overheidsinformatie) niet meer te verplichten of aan te bevelen aan de overheid via verwijdering uit de ‘pas toe of leg uit’-lijst. OWMS beschrijft eigenschappen en structuur van overheidsinformatie op internet.

OWMS heeft end of life-status bereikt. De beheerorganisatie KOOP (Kennis- en Exploitatiecentrum Officiële Overheidspublicaties) doet geen investeringen meer in de doorontwikkeling en in het beheer van de standaard. Er is geen draagvlak voor het gebruik van OWMS voor nieuwe toepassingen omdat KOOP OWMS gaat vervangen voor de nieuwe standaard Thesaurus en Ontologie OverheidsInformatie (TOOI).

Experts adviseren om duidelijk te communiceren dat de standaard na verwijdering nog steeds gebruikt kan worden.

Het Forumadvies geeft een nadere onderbouwing.

Belang van de standaard: meer toegang en openbaarheid

OWMS draagt bij aan meer toegang en openbaarheid van overheidsinformatie doordat burgers en bedrijven overheidsinformatie beter kunnen vinden en interpreteren.

OWMS bevordert deze vindbaarheid door overheidsinformatie op een eenduidige manier te beschrijven en te ordenen. Het gaat om informatie die de overheid op het internet publiceert, zoals artikelen, kamerstukken, bekendmakingen en formulieren.

Hoe is het proces verlopen?

Het Forum Standaardisatie heeft op 7 oktober 2020 groen licht gegeven om de procedure te starten om OWMS niet meer te verplichten of aan te bevelen. Uit gezamenlijk onderzoek van Bureau Forum Standaardisatie en KOOP bleek dat het niet haalbaar was om de verwijdering van OWMS te combineren met de aanmelding van TOOI in één gezamenlijke procedure. Op 3 mei 2022 kwam de expertgroep bijeen voor de verwijdering van OWMS. Aan dit expertonderzoek namen vertegenwoordigers deel uit een coalitie van overheids- en koepelorganisaties.

Het expertadvies is van 24 juni 2022 tot 25 juli 2022 ter openbare consultatie gepubliceerd op internetconsultatie.nl. De enige binnengekomen reactie weersprak de verwijdering van OWMS. Deze reactie en de duiding ervan door de experts zijn opgenomen in de eindconclusie in het Forumadvies. Op basis van het Expertadvies en de reactie uit de openbare consultatie is het Forumadvies samengesteld.

Het Forum Standaardisatie heeft op 28 september 2022 ingestemd met het Forumadvies.

Over de standaard

OWMS (Overheid.nl Web Metadata Standaard) beschrijft eigenschappen en structuur van overheidsinformatie op het internet. De overheid produceert dagelijks ontzettend veel informatie. Deze overheidsinformatie verschilt sterk in vorm, inhoud, publiek, onderwerp, herkomst en actualiteit. Om ervoor te zorgen dat al die overheidsinformatie vindbaar is en in samenhang met andere informatie gepresenteerd kan worden, is het nodig om deze informatie te ordenen. De afspraken die de overheid hierover heeft gemaakt, zijn vastgelegd in de Overheidsbrede Web Metadata Standaard.

OWMS beschrijft met de metadata (dat wil zeggen gegevens die gegevens beschrijven) informatieobjecten die de overheid op het internet publiceert. Het doel van metadata is de eigenschappen van ongestructureerde gegevens (bijvoorbeeld de inhoud van een website) te kenmerken zodat deze meer structuur krijgen en beter te vindbaar en interpreteren zijn.

OWMS laat uitbreiding toe met eigenschappen en waarden voor specifieke toepassingen. Voor een dergelijke toepassing wordt dan een toepassingsprofiel gemaakt.