Red Hat OpenShift voldoet grotendeels aan vernieuwde beveiligingsnormen overheid

De audit werd uitgevoerd tussen september 2025 en april 2026. Het doel van de centrale toetsing is om individuele Nederlandse overheidsorganisaties te ontlasten. Zij kunnen de resultaten gebruiken als onderbouwing voor hun eigen verplichte BIO-toetsing bij het gebruik van OpenShift.

Overstap naar BIO 2 en wettelijke verankering

De aanleiding voor de hernieuwde toetsing is de overgang van BIO 1 naar BIO 2. Deze vernieuwde norm is gebaseerd op de internationale ISO 27001- en 27002-standaarden en legt, naast preventie, meer nadruk op detectie, respons en herstel bij incidenten. Waar de BIO 2 in 2025 al verplichte zelfregulering werd binnen de overheid, krijgt het normenkader via de Cyberbeveiligingwet (CBW) ook een wettelijke verankering.

In het onderzoek richtte Capgemini zich op Red Hat als leverancier, het klantportal en het OpenShift-platform zelf. Het beheer van de uiteindelijk ingerichte OpenShift-systemen valt onder de verantwoordelijkheid van de overheidsorganisaties zelf en bleef buiten de scope van deze leverancierstoets.

Resultaten en belangrijkste aandachtspunten

BIO 2 bevat in totaal 120 specifieke overheidsmaatregelen. Capgemini merkte 25 maatregelen aan als niet-relevant voor de leverancier, omdat deze specifiek betrekking hebben op de interne overheidsorganisatie. Van de overgebleven 95 relevante maatregelen scoorden er 82 voldoende.

Bij de dertien overige maatregelen werden aandachtspunten gesignaleerd, die zijn onderverdeeld in twee categorieën:

Red Hat-gerelateerde aandachtspunten

Mobiel gebruik: Onvoldoende duidelijkheid over de inhoud van trainingen rondom extra risico's bij mobiel gebruik door externe medewerkers.

Inventaris derden: Het ontbreken van een afdoende referentie over het opnemen van in gebruik zijnde infrastructuur van derden in de eigen inventaris.

Monitoring en detectie: Er zijn geen voorbeelden aangetroffen van de detectie van accountmisbruik of Ongeautoriseerde accountwijzigingen, mede doordat dit onder vertrouwelijke documentatie of externe IDS-tooling valt.

Ketenbeheer: Geen expliciete verplichting gevonden waarbij de leverancier elke wijziging in de keten van toeleveranciers vooraf schriftelijk moet melden, inclusief risicoanalyse.

Patching en kwetsbaarheden: BIO 2 schrijft het mitigeren van kwetsbaarheden binnen één week voor. Het advies is om risicocategorieën te synchroniseren en realistisch te verwachten mitigatiescenario's af te stemmen.

BIO 2-gerelateerde aandachtspunten

Dynamische standaarden: Verwijzingen in de BIO 2 naar Nederlandse standaarden (zoals van het Forum Standaardisatie, NCSC en Internet.nl) zijn niet altijd eenduidig en veranderen snel. Advies is om deze concreet te maken in de leveranciersafspraken.

Meldtermijnen bij incidenten: De BIO 2 noemt 'wettelijke termijnen' voor incidentmanagement, maar bevat geen concrete tijdslimieten. Concrete afspraken zijn nodig om te kunnen voldoen aan de meldplichten uit de NIS2/CBW en AVG.

Logbestanden: Ook voor het bewaren van incidentlogs ontbreken concrete tijdslimieten per risicocategorie in de normering.

Rolinterpretatie: In de BIO 2 wordt verwezen naar specifieke overheidsrollen (zoals een proceseigenaar), die bij een commerciële leverancier een heel andere invulling kunnen hebben.

Ondersteuning voor overheidsorganisaties

Met de oplevering van het rapport beschikt de overheid over een centraal gevalideerd dossier. Hierdoor hoeven individuele overheidsinstanties, gemeenten, waterschappen en provincies niet afzonderlijk de documentatie en SOC 2-verklaringen van Red Hat te beoordelen, wat de doorlooptijd van eigen interne IT-audits moet verkorten.