# BIO Controles Mapping

**Onze mapping op BIO2 (ISO 27002:2022) is nog niet gemaakt.** Deze tabel volgt de nummering van de oudere BIO (versie 1.04, gebaseerd op ISO 27002:2013). BIO2 (versie 1.3) is gebaseerd op ISO 27001:2023 en ISO 27002:2022 en vervangt de basisbeveiligingsniveaus. BIO2 is het kader van je organisatie: Noveu is geen overheidsorganisatie en heeft geen BIO-verklaring.

## Overzicht

De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader voor informatiebeveiliging bij Nederlandse overheidsorganisaties. Dit document laat per BIO-controle zien wat Noveu vandaag doet en wat ontbreekt.

## BIO Structuur

De oudere BIO (versie 1.04), waarvan deze tabel de nummering volgt, is gebaseerd op ISO 27001/27002:2013 en bevat:
- **Beleid en organisatie** (Hoofdstukken 5-8)
- **Technische maatregelen** (Hoofdstukken 9-14)
- **Operationele processen** (Hoofdstukken 15-18)

## Controle Mapping per Laag

### Infrastructuur Laag

| BIO Controle | Beschrijving | Noveu Implementatie | Bewijs |
|--------------|--------------|---------------------|--------|
| 11.1.1 | Fysieke beveiligingszone | Datacenterpark van Hetzner Online GmbH in Falkenstein (DE), met een omheind terrein onder camerabewaking. De fysieke beveiliging ligt bij Hetzner als sub-verwerker | [Datacenterbeschrijving van Hetzner](https://www.hetzner.com/unternehmen/rechenzentrum/), geraadpleegd 28-09-2026 |
| 11.1.2 | Fysieke toegangsbeveiliging | Toegang tot het datacenterpark alleen via elektronische toegangscontrole (Hetzner) | [Datacenterbeschrijving van Hetzner](https://www.hetzner.com/unternehmen/rechenzentrum/), geraadpleegd 28-09-2026 |
| 11.2.1 | Plaatsing apparatuur | Onze server staat in het datacenterpark van Hetzner in Falkenstein; Hetzner is voor infrastructuur en bedrijfsvoering van zijn datacenterparken gecertificeerd volgens ISO/IEC 27001:2022. Noveu zelf is nog niet gecertificeerd | [Certificering van Hetzner](https://www.hetzner.com/unternehmen/zertifizierung/), geraadpleegd 28-09-2026 |
| 12.3.1 | Back-up van informatie | Back-ups staan in het Hetzner-datacenter in Falkenstein (Duitsland). Versleuteling van back-ups en opslag at rest wordt ingevoerd (gepland oktober 2026) | Geen extern rapport; een hersteltest is gepland (zie 17.2.1) |
| 17.2.1 | Beschikbaarheid IT-diensten | Monitoring en herstel vanuit back-up; een extra kopie buiten deze server, ook in Falkenstein, is in voorbereiding en hersteltests zijn gepland | SLA op /legal/sla (streefwaarde, geen garantie) |

### Platform Laag

| BIO Controle | Beschrijving | Noveu Implementatie | Bewijs |
|--------------|--------------|---------------------|--------|
| 9.1.1 | Toegangsbeheerbeleid | RBAC met principle of least privilege | Rollen per organisatie in Instellingen, Leden in de werkplek |
| 9.2.1 | Registratie gebruikers | Een beheerder nodigt leden uit met een rol (lid of gast) en trekt toegang weer in via Instellingen, Leden in de werkplek; bij de eerste aanmelding maakt het platform het gebruikersprofiel aan. Een koppeling met een extern personeels- of directorysysteem is er niet | Ledenbeheer in de werkplek (Instellingen, Leden) |
| 9.4.1 | Beperking toegang | Toegang volgt de rol binnen de organisatie (beheerder, lid of gast): beheerinstellingen zijn alleen voor beheerders en gastaccounts hebben onder meer geen toegang tot Berichten en Notities. Gebruikers zien hun actieve sessies en beëindigen die zelf. Toegangsregels op basis van locatie of apparaat zijn er niet | Rollen in Instellingen, Leden; sessieoverzicht in de loginomgeving |
| 9.4.2 | Beveiligde aanmeldprocedures | MFA (TOTP) en passkeys zijn beschikbaar en optioneel; verplichte MFA per organisatie is gepland. Aanmelden loopt via een centrale loginomgeving: één Noveu-login via OIDC | Aanmeldbeleid in de loginomgeving |
| 12.4.1 | Gebeurtenis logging | Auditlog per organisatie in de werkplek: wie wat deed, wanneer en vanaf waar, te filteren en te exporteren als CSV (Instellingen, Auditlog). Een centrale SIEM is niet ingericht | CSV-export uit het auditlog |
| 12.4.2 | Bescherming logbestanden | Het auditlog is alleen-toevoegen en beveiligd met een hashketen; de integriteit is per organisatie te controleren in Instellingen, Auditlog | Integriteitscontrole van het auditlog |

### Applicatie Laag

| BIO Controle | Beschrijving | Noveu Implementatie | Bewijs |
|--------------|--------------|---------------------|--------|
| 10.1.1 | Cryptografiebeleid | TLS 1.2 of hoger voor verkeer, TLS 1.3 wordt ondersteund. Versleuteling van back-ups en opslag at rest wordt ingevoerd (gepland oktober 2026) | Certificaten |
| 10.1.2 | Sleutelbeheer | Sleutelbeheer voor de versleuteling at rest wordt ingericht zodra die is ingevoerd (gepland oktober 2026); geheimen worden geroteerd volgens een intern draaiboek. Een HSM gebruiken we niet | Intern rotatiedraaiboek |
| 14.1.2 | Beveiligen applicatiediensten | Wijzigingen lopen via pull requests op GitHub en krijgen een codereview, vaak met een geautomatiseerde reviewer (Codex). Een verplichte review per wijziging is nog niet technisch afgedwongen. Een externe penetratietest is nog niet uitgevoerd (zie 18.2.1) | Pull-requestgeschiedenis op GitHub |
| 14.2.1 | Beveiligd ontwikkelbeleid | Broncode staat in GitHub; de hoofdtak van elke repository is organisatiebreed beschermd tegen geforceerd overschrijven en verwijderen. Dependabot controleert de afhankelijkheden op een vast schema (wekelijks of maandelijks, per pakkettype) en opent updates als pull request. Statische codeanalyse en een scan van container-images zijn niet ingericht | Organisatieregel voor de hoofdtak en Dependabot-meldingen in GitHub |

### Service Laag

| BIO Controle | Beschrijving | Noveu Implementatie | Bewijs |
|--------------|--------------|---------------------|--------|
| 16.1.1 | Verantwoordelijkheden procedures | Beveiligingsmeldingen komen binnen op security@noveu.eu. Het incidentdraaiboek bevat een meldschema per ernstniveau, maar de rollen en contactpersonen daarin zijn nog niet op naam ingevuld; een RACI-matrix is er nog niet | security.txt op noveu.eu en het Incident Response Draaiboek (Resources) |
| 16.1.2 | Rapporteren beveiligingsgebeurtenissen | Monitoring met Prometheus op een aparte monitoringserver; alarmen gaan via Alertmanager als pushbericht en mail naar het technische team, en een aparte wachter bewaakt de alarmketen zelf. Er is geen 24/7-piket | Alarmregels en meldingshistorie in de monitoring |
| 16.1.4 | Beoordelen beveiligingsgebeurtenissen | Ernstbepaling in drie niveaus (Sev1 tot en met Sev3) volgens de beslisboom in ons incidentdraaiboek; monitoringalarmen hebben een vaste prioriteit. Incidenten leggen we intern vast met oorzaak en herstel | Incident Response Draaiboek (Resources) en het interne incidentlog |
| 16.1.5 | Respons beveiligingsincidenten | Incidentrespons volgens interne draaiboeken; een SOC is er niet | Interne draaiboeken |
| 18.2.1 | Onafhankelijke beoordeling | Er is nog geen externe audit uitgevoerd; Noveu zelf is nog niet gecertificeerd | Nog geen |

## Bewijsset per Audit (in ontwerp)

### Beoogd bewijspakket

Dit is het beoogde pakket per audit. De Compliance Console die het samenstelt, is in ontwerp; vandaag leveren we technische en organisatorische bewijsstukken op aanvraag.

1. **Toegangslogboeken**: Wie heeft wanneer wat benaderd
2. **Patch status rapporten**: Vulnerability en patch compliance
3. **Incident tijdlijnen**: Alle security events met responstijden
4. **Configuratie baselines**: Hardening status per systeem
5. **MFA coverage rapport**: Percentage gebruikers met MFA
6. **Backup test rapporten**: Recovery point/time actuals
7. **Penetration test rapport**: Externe security assessment

### Export Formaten

- PDF voor management rapportages
- CSV voor data analyse

## Classificatie Niveaus

De oudere BIO (versie 1.04) kende drie basisbeveiligingsniveaus. BIO2 vervangt die door een risicoafweging per organisatie. Informatie die als staatsgeheim is gerubriceerd, valt buiten ons aanbod. Noveu is niet extern getoetst tegen de BIO of BIO2.

## Implementatie Ondersteuning

Noveu biedt:
- **Quickscan** van je huidige situatie, met een actieplan
- **Bewijsstukken op aanvraag**: technische en organisatorische maatregelen voor je auditor

---

*Laatste wijziging (02-10-2026): het bewijs bij 9.1.1 noemt wat de werkplek echt heeft (rollen per organisatie in Instellingen, Leden in de werkplek) en het bewijs bij 12.3.1 zegt dat er geen extern rapport is en dat een hersteltest is gepland. Eerder (30-09-2026): bovenaan staat nu dat de mapping op BIO2 nog niet gemaakt is en dat deze tabel de oudere nummering volgt. TLS noemt 1.2 of hoger, de aanmeldrij noemt MFA als optioneel met verplichte MFA per organisatie gepland, de basisbeveiligingsniveaus staan niet meer in een tabel, en de SIEM- en GRC-exportformaten en de periodieke compliance scans zijn weg. Eerder: versleuteling van back-ups en opslag at rest staat als "wordt ingevoerd (gepland oktober 2026)", volgens de gemeten stand. Eerder: de rijen voor logging, logbescherming, sleutelbeheer, incidentrespons en onafhankelijke beoordeling noemen de werkelijke stand (auditlog met hashketen in de werkplek; geen SIEM, geen HSM, geen SOC en nog geen externe audit). De rijen voor registratie, toegangsbeperking, ontwikkeling, meldingen en beoordeling van incidenten noemen wat er echt is (ledenbeheer, rollen, pull requests met review, Dependabot, monitoring zonder 24/7-piket) en wat ontbreekt. De classificatietabel volgde de BBN-indeling van de BIO, zonder vinkjes en zonder staatsgeheim.*  
*Nummering volgens de oudere BIO (ISO 27002:2013); een mapping op BIO2 (ISO 27002:2022) is nog niet gemaakt.*