Penetratietest voor Gemeentes, NIS2-compliant.
Burgerportalen en interne gemeentelijke applicaties zijn doelwit én verplichting. Resync levert een handmatige penetratietest met een rapport dat direct bruikbaar is voor ENSIA, BIO-toetsing en richting de toezichthouder. Voor het volledige pentestaanbod, inclusief scope-categorieën en prijsmodel, bekijkt u de overzichtspagina.
Wat de wet werkelijk vraagt.
NIS2 (Network and Information Security Directive 2) is in Nederland geïmplementeerd via de Cyberbeveiligingswet. Gemeentes vallen als "essentiële entiteit" onder het zwaarste regime. De wet vraagt vier dingen die direct relevant zijn voor pentesting:
- Passende technische maatregelen, aantoonbaar, niet alleen op papier
- Periodieke beoordeling van effectiviteit van die maatregelen
- Risicoanalyse op basis van actuele dreiging
- Bestuurlijke aansprakelijkheid, wethouders en gemeentesecretarissen zijn persoonlijk aansprakelijk bij verzuim
Een onafhankelijke penetratietest is in de praktijk de meest robuuste manier om aantoonbaar te voldoen aan punt 1 en 2. Het rapport van Resync is opgebouwd zodat het direct gebruikt kan worden binnen ENSIA-zelfevaluaties, BIO-toetsing en in NIS2-incidentmeldingen richting Nationaal Cyber Security Centrum (NCSC).
De gemeentegrootte bepaalt niet of NIS2 van toepassing is, voor gemeentes geldt de verplichting onafhankelijk van inwoneraantal. Kleine en middelgrote gemeentes hebben dezelfde verplichting als de G4.
Wat Resync test in gemeentelijke omgevingen.
Burgerportalen & "Mijn gemeente"
eHerkenning-koppelingen, IDOR op BSN-gebaseerde resources, dossierinzage en aanvraagflows.
Aanvraag- en vergunningssystemen
Omgevingsvergunningen, subsidieaanvragen, WMO-formulieren. Vaak met bijlage-uploads en gevoelige metadata.
Interne medewerkerapplicaties
Zaaksystemen, basisregistraties (BRP, BAG, BRK), DSO-koppelingen en mid-office componenten.
Publieke websites
De gemeentewebsite zelf, raadsinformatiesystemen, e-mailcampagnes en formulieren, vaak primaire aanvalspaden.
Externe ketenkoppelingen
Diginetwerk, Haal Centraal, omgevingsdienst-integraties en gemeenschappelijke regelingen.
Cloud & SaaS-leveranciers
Configuratie van leveranciersomgevingen (Azure tenants, M365, gespecialiseerde SaaS) en SSO-aansluitingen.
Direct bruikbaar in ENSIA en richting toezicht.
Het rapport is opgebouwd uit drie blokken, geschikt voor zowel college, raad als CISO/IBO:
- Bestuurlijke samenvatting, 1 pagina, leesbaar voor wethouder of gemeentesecretaris
- NIS2/BIO-mapping, bevindingen gekoppeld aan BIO-thema's en NIS2-categorieën
- Technisch detail, reproductiestappen, screenshots, prioriteit en herstelpad voor ontwikkelteam
- Hertest-verklaring, na patching, als formeel bewijs van herstel
Bij een Nederlandse gemeente leverde Resync een NIS2-conforme rapportage op, inclusief hertest-bewijs. Het rapport is gebruikt in het ENSIA-zelfevaluatieproces en als bewijsstuk richting de Rijksinspectie Digitale Infrastructuur (RDI), zonder aanvullende vragen.
Vragen vanuit gemeentes.
Is een pentest verplicht onder NIS2?
Hoe gaan jullie om met gegevens uit de BRP?
Past een pentest in de planning richting ENSIA?
Aantoonbaar NIS2-conform, zonder gedoe.
Eén gesprek over scope, ENSIA-context en planning. Offerte met vaste prijs binnen één werkdag, gratis intake, hertest inbegrepen.
Plan gratis intake → Terug naar home