Assessmentsproces Digitaal Fundament Overheid
Het DFO‑assessmentsproces is ontworpen om Nederlandse overheidsorganisaties op een gestructureerde, herhaalbare en aantoonbare manier inzicht te geven in hun volwassenheidsniveau voor de acht belangrijkste beveiligingsmaatregelen. In plaats van een oppervlakkige checklist‑benadering legt dit proces de nadruk op bewijs, samenhang en risicogerichtheid. Het doel is om niet alleen te bevestigen welke maatregelen zijn geïmplementeerd, maar vooral om te beoordelen in hoeverre deze in de praktijk effectief bijdragen aan het verlagen van het risico op veelvoorkomende cyberaanvallen.
De assessment start met een duidelijke afbakening van scope en doelstellingen. De organisatie bepaalt welke onderdelen van de omgeving worden meegenomen, zoals specifieke departementen, shared services of cloudomgevingen, en stemt dit af met betrokken stakeholders zoals de CISO, security‑officers, lijnmanagement en leveranciers. Vervolgens wordt per DFO‑strategie bekeken welke beleidsdocumenten, procesbeschrijvingen, technische configuraties en loggegevens beschikbaar zijn om het werkelijke volwassenheidsniveau te onderbouwen. Hierbij wordt expliciet aandacht besteed aan de context van de Nederlandse publieke sector, waaronder BIO‑eisen, toezichtsverwachtingen en eventuele sectorale richtlijnen.
Na de scopingfase volgt een fase van systematische bewijsverzameling. Voor elke maatregel wordt vastgesteld welke vormen van bewijs nodig zijn om het geclaimde volwassenheidsniveau te kunnen aantonen. Dit kan variëren van configuratie‑exports uit endpoint‑ of identity‑oplossingen tot auditlogs, change‑managementdossiers, penetratietestrapporten en rapportages uit kwetsbaarhedenscanners. Belangrijk is dat het bewijs niet alleen laat zien dat een instelling bestaat, maar ook dat de maatregel structureel en consistent wordt toegepast in de dagelijkse operatie.
De technische verificatie vormt de kern van het assessmentsproces. Hierin worden configuraties, policies en technische instellingen grondig beoordeeld. Dit omvat onder andere het uitvoeren van configuratiereviews in bijvoorbeeld Microsoft 365, Azure of endpointbeheersystemen, het draaien van compliance‑ en securityscans en het uitvoeren van steekproeven in productiesystemen. Waar mogelijk worden geautomatiseerde controlemiddelen ingezet om herhaalbare metingen te doen, bijvoorbeeld via scripts, compliance‑policies of security‑benchmarks. De uitkomsten van deze verificaties worden gespiegeld aan de criteria van het DFO‑volwassenheidsmodel, zodat helder wordt op welk niveau elke maatregel daadwerkelijk functioneert.
Een belangrijk kwaliteitselement in dit proces is de onafhankelijkheid van de beoordeling. Idealiter wordt de assessment uitgevoerd of ten minste gevalideerd door een onafhankelijke partij, zoals een interne auditafdeling, een externe auditor of een gespecialiseerd securityadviesbureau. Dit verkleint de kans op wensdenken en zorgt voor een objectiever beeld van de werkelijke weerbaarheid. Tegelijkertijd blijft de eigen organisatie nauw betrokken, zodat kennis over de omgeving, uitzonderingen en historische keuzes wordt meegenomen in de interpretatie van de resultaten.
De resultaten van de assessment worden niet alleen op detailniveau vastgelegd, maar ook samengevat in een helder overzicht per maatregel en per volwassenheidsniveau. Voor bestuurders en management wordt een begrijpelijke managementsamenvatting opgesteld waarin de belangrijkste bevindingen, risico’s en prioriteiten worden uitgelegd zonder technisch jargon. Voor security‑ en IT‑teams wordt een meer gedetailleerd rapport opgesteld met concrete bevindingen, verbeterpunten en verwijzingen naar onderliggende bewijsstukken. Dit maakt het mogelijk om zowel strategisch als operationeel gericht vervolgacties te definiëren.
Tenslotte vormt de assessment de basis voor een realistische en haalbare verbeterroadmap. Op basis van de huidige volwassenheid en de gewenste doelstelling (bijvoorbeeld ML2 of ML3) worden stappen in de tijd uitgezet, rekening houdend met beschikbaar budget, capaciteit, afhankelijkheden en lopende projecten. Maatregelen die direct impact hebben op het reduceren van kansrijke aanvalsscenario’s krijgen daarbij prioriteit. Door de uitkomsten periodiek te herhalen ontstaat een cyclisch verbeterproces waarin de organisatie stap voor stap toegroeit naar een hoger volwassenheidsniveau en dit niveau aantoonbaar weet vast te houden.
Voor de volledige en formele beschrijving van de volwassenheidscriteria per maatregel wordt steeds verwezen naar de aparte pagina over het DFO‑volwassenheidsmodel binnen de "Nederlandse Baseline voor Veilige Cloud". Door het assessmentsproces strikt aan dit model te koppelen, blijft de beoordeling transparant, vergelijkbaar tussen organisaties en goed uitlegbaar aan auditors, toezichthouders en andere belanghebbenden.