BIO-compliant software laten maken

De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader voor informatiebeveiliging bij de Nederlandse overheid. Het is gebaseerd op de internationale normen NEN-EN-ISO/IEC 27001 en 27002. De huidige versie is de BIO2, die de eerdere indeling in basisbeveiligingsniveaus (BBN's) vervangt door een explicietere risicogebaseerde aanpak. BIO-compliant software bouwen betekent dat de software de beheersmaatregelen ondersteunt die een overheidsorganisatie nodig heeft om aan de BIO te voldoen: risicogebaseerd ontwerp, logging en monitoring, toegangsbeheer met least-privilege, versleuteling van data en patchbaarheid. Belangrijk: de BIO is een normenkader, geen certificaat — er bestaat geen BIO-keurmerk dat een leverancier kan behalen.

Nee, en die vraag berust op een misverstand dat we graag rechtzetten: de BIO is een normenkader, geen certificeringsschema. Er bestaat geen officieel BIO-certificaat dat een softwareleverancier kan behalen. Wat een leverancier wél kan doen, is software bouwen conform de eisen die de BIO stelt en dat aantoonbaar maken — met technische documentatie, een overzicht van geïmplementeerde beheersmaatregelen, logging- en toegangsmodellen en pentestrapporten. Appfront bouwt op die manier en levert de onderbouwing aan die uw informatiebeveiligingsfunctionaris (CISO) en auditor nodig hebben. Wie zegt 'BIO-gecertificeerd' te zijn, beschrijft iets dat formeel niet bestaat.

De overheidsorganisatie blijft altijd eindverantwoordelijk voor het voldoen aan de BIO; dat kan niet worden uitbesteed. Een gemeente, provincie of waterschap maakt risicoafwegingen, stelt het informatiebeveiligingsbeleid vast en verantwoordt zich daarover. Een softwareleverancier als Appfront vervult een rol in de keten: wij bouwen de software zo dat de organisatie de benodigde beheersmaatregelen kan nemen en aantonen. We maken afspraken over patchen, monitoring, incidentafhandeling en verantwoordelijkheidsverdeling vast in heldere documentatie en, waar relevant, een verwerkersovereenkomst. Zo sluit ons werk aan op uw verantwoording, zonder dat wij die overnemen.

Overheidsorganisaties zijn gehouden aan de BIO en moeten kunnen aantonen dat de software die ze inkopen past binnen hun informatiebeveiligingskader. Daarom stellen inkopers in een Request for Information (RFI) of aanbesteding vragen over hoe een leverancier omgaat met logging, toegangsbeheer, versleuteling, patchmanagement en incidentafhandeling. Ze vragen vaak naar een onderbouwing per BIO-maatregel, naar pentestbeleid en naar de verantwoordelijkheidsverdeling in de keten. Een leverancier die deze vragen concreet en eerlijk kan beantwoorden — inclusief wat wél en niet zijn verantwoordelijkheid is — maakt de afweging voor de inkoper aantoonbaar makkelijker.

BIO-conform bouwen is risicogebaseerd: de zwaarte van de maatregelen volgt uit de gevoeligheid van de gegevens en het risicoprofiel van de toepassing. In de praktijk gaat het om toegangsbeheer met least-privilege en rolgebaseerde autorisatie, sterke authenticatie, versleuteling van gegevens in transit en at rest, uitgebreide en doorzoekbare logging en monitoring, een werkend patch- en kwetsbaarhedenproces, dataminimalisatie, en secrets management. Daarnaast hoort er een proces bij: periodieke pentests, secure development practices en een afgesproken incidentresponse. We stemmen het pakket maatregelen af op uw risicoafweging in plaats van een vaste checklist af te vinken.

ENSIA (Eenduidige Normatiek Single Information Audit) is de manier waarop gemeenten zich jaarlijks verantwoorden over informatiebeveiliging, onder andere voor de BIO en voor specifieke ketens zoals Suwinet en de BAG. Onze software levert hier indirect aan bij: door volledige en exporteerbare logging, helder gedocumenteerde toegangsmodellen en aantoonbare beheersmaatregelen wordt de jaarlijkse ENSIA-verantwoording eenvoudiger te onderbouwen. We maken de software niet 'ENSIA-proof' in uw plaats — de verantwoording blijft van de gemeente — maar we zorgen dat de informatie die u nodig heeft beschikbaar en herleidbaar is.

De BIO richt zich op informatiebeveiliging, de AVG op de bescherming van persoonsgegevens; ze overlappen maar zijn niet hetzelfde. Bij overheidssoftware spelen ze vrijwel altijd samen. Appfront bouwt met dataminimalisatie als uitgangspunt, legt de datastromen vast voor uw verwerkingsregister en richt de beveiligingsmaatregelen zo in dat ze zowel de AVG als de relevante BIO-maatregelen ondersteunen. Waar persoonsgegevens worden verwerkt, maken we afspraken vast in een verwerkersovereenkomst. Zo voldoet u aantoonbaar aan beide kaders zonder dubbel werk.

Ja. Koppelingen met landelijke voorzieningen zoals DigiD, Digikoppeling en de zaakgericht-werken-API's (ZGW) brengen eigen normenkaders en aansluitvoorwaarden met zich mee die naast de BIO gelden. Suwinet is een sprekend voorbeeld: de aansluiting kent een eigen normenkader en strikte eisen aan logging en autorisatie. Appfront bouwt deze koppelingen zo dat ze passen binnen uw bredere BIO-aanpak: met passende versleuteling, autorisatie en logging, en met documentatie die laat zien hoe de koppeling aan de geldende eisen voldoet. We benoemen vooraf eerlijk welke aansluitvoorwaarden en verantwoordelijkheden bij u en bij ons liggen.