| name | nora-architectuur |
| description | Helpt bij het ontwerpen van overheidssystemen conform de Nederlandse Overheid Referentie Architectuur (NORA), inclusief basisprincipes, afgeleide principes, informatiebeveiliging (BIO), en de GDI (Generieke Digitale Infrastructuur). Biedt richtlijnen voor architectuurprincipes, standaarden en voorzieningen. Gebruik deze skill wanneer de gebruiker vraagt over 'NORA', 'referentiearchitectuur', 'enterprise architectuur overheid', 'government architecture', 'NORA principes', 'basisprincipes overheid', 'afgeleide principes', 'BIO', 'Baseline Informatiebeveiliging Overheid', 'informatiebeveiliging overheid', 'information security government', 'GDI', 'Generieke Digitale Infrastructuur', 'voorzieningen overheid', 'Diginetwerk', 'Digipoort', 'Digikoppeling', 'Digilevering', 'Stelsel van Basisregistraties', 'basisregistratie', 'FORUM standaardisatie', 'pas toe of leg uit', 'comply or explain', 'open standaarden overheid', 'lijsten open standaarden', 'verplichte standaard', 'architectuurprincipe overheid', 'TOGAF overheid', 'ArchiMate overheid', 'PETRA', 'WILMA', 'ROSA', 'domeinarchitectuur', of wanneer de gebruiker een systeem wil ontwerpen volgens Nederlandse overheidsarchitectuurprincipes en -standaarden. |
| model | sonnet |
| allowed-tools | ["WebFetch(*)","Bash(gh api *)","Bash(gh search *)"] |
NORA — Nederlandse Overheid Referentie Architectuur
Ontwerp overheidssystemen conform de NORA-principes, BIO-beveiligingseisen en verplichte open standaarden.
Bron: NORA Online | BIO | Forum Standaardisatie
NORA — overzicht
NORA is de overkoepelende enterprise-architectuur voor de gehele Nederlandse overheid. Alle domeinarchitecturen zijn ervan afgeleid.
Domeinarchitecturen
| Architectuur | Domein | Afgeleid van NORA |
|---|
| GEMMA | Gemeenten | Ja |
| PETRA | Provincies | Ja |
| WILMA | Waterschappen | Ja |
| ROSA | Onderwijs | Ja |
| EAR | Rijksdienst | Ja |
| ZIRA | Zorg en welzijn | Ja |
Basisprincipes (BP)
De 10 NORA-basisprincipes gelden voor alle overheidsorganisaties:
| # | Principe | Beschrijving | Implicatie voor software |
|---|
| BP01 | Proactief | Afnemers krijgen de dienstverlening waar zij recht op hebben | Automatisch attenderen op rechten/regelingen |
| BP02 | Vindbaar | Afnemers kunnen dienstverlening eenvoudig vinden | Publiceren op overheid.nl, API-catalogus |
| BP03 | Toegankelijk | Afnemers hebben eenvoudig toegang tot dienstverlening | DigiD/eHerkenning, digitoegankelijk (WCAG) |
| BP04 | Standaard | Afnemers ervaren uniformiteit in de dienstverlening | NL Design System, huisstijl, consistente UX |
| BP05 | Gebundeld | Afnemers krijgen gebundelde dienstverlening | Integrale dienstverlening, levensgebeurtenissen |
| BP06 | Transparant | Afnemers weten wat de overheid doet met hun gegevens | Privacyverklaring, verwerkingsregister, Woo |
| BP07 | Noodzakelijk | Afnemers worden niet lastiggevallen met onnodige vragen | Dataminimalisatie, eenmalige gegevensvraag |
| BP08 | Vertrouwelijk | Afnemers kunnen erop vertrouwen dat gegevens niet worden misbruikt | AVG, BIO, versleuteling |
| BP09 | Betrouwbaar | Afnemers kunnen erop vertrouwen dat de dienst beschikbaar is | SLA's, redundantie, monitoring |
| BP10 | Ontvankelijk | Afnemers kunnen input leveren over de dienstverlening | Feedbackmechanisme, klachtenprocedure |
Afgeleide principes (AP)
Selectie van de belangrijkste afgeleide principes voor softwareontwikkeling:
Dienstverlening
| # | Principe | Toelichting |
|---|
| AP01 | Digitaal tenzij | Diensten primair digitaal; alternatief kanaal beschikbaar |
| AP02 | Eenmalige uitvraag | Gegevens niet opnieuw vragen als ze al bekend zijn bij de overheid |
| AP04 | Betrouwbare dienst | 99,5%+ beschikbaarheid; graceful degradation |
| AP05 | Ontkoppeld | Componenten zijn losjes gekoppeld; API-first |
Informatiebeveiliging
| # | Principe | Toelichting |
|---|
| AP12 | Beveiligde verbindingen | TLS 1.2+; PKIoverheid-certificaten |
| AP13 | Informatiebeveiligingsbeleid | Conform BIO (NEN-ISO 27001/27002) |
| AP17 | Controleerbaarheid | Audittrail van alle significante acties |
| AP40 | Encryptie | Persoonsgegevens en gevoelige data versleuteld in opslag en transport |
Interoperabiliteit
| # | Principe | Toelichting |
|---|
| AP41 | Open standaarden | Gebruik verplichte open standaarden (Forum Standaardisatie) |
| AP42 | Open data | Data openbaar tenzij wettelijke uitzondering |
| AP44 | Herbruikbare componenten | Gebruik bestaande GDI-voorzieningen |
BIO — Baseline Informatiebeveiliging Overheid
De BIO is het basisnormenkader voor informatiebeveiliging bij de overheid, gebaseerd op ISO 27001/27002.
Structuur
| Aspect | Detail |
|---|
| Basis | NEN-ISO/IEC 27001:2017 en 27002:2017 |
| Scope | Rijksoverheid, gemeenten, provincies, waterschappen |
| BBN-niveaus | Basisbeveiligingsniveaus 1, 2 en 3 |
| Toezicht | CIO Rijk, VNG/IBD (gemeenten), IPO (provincies) |
Basisbeveiligingsniveaus (BBN)
| BBN | Beschrijving | Wanneer | Voorbeeld |
|---|
| BBN 1 | Basisbescherming openbare informatie | Websites met alleen openbare info | Openbare website |
| BBN 2 | Standaardbescherming | Vertrouwelijke en persoonsgegevens | Zaaksysteem, HR-systeem |
| BBN 3 | Verhoogde bescherming | Staatsgeheimen, bijzonder gevoelig | Inlichtingendiensten |
BIO-maatregelen per categorie
| ISO-hoofdstuk | Onderwerp | Kernmaatregelen |
|---|
| 5 | Informatiebeveiligingsbeleid | Beleidsdocument, rollen, verantwoordelijkheden |
| 6 | Organisatie | CISO aanstellen, taken en bevoegdheden |
| 7 | Personeel | Screening, bewustwording, geheimhouding |
| 8 | Asset management | Classificatie, eigenaarschap, CMDB |
| 9 | Toegangsbeveiliging | RBAC, least privilege, MFA, wachtwoordbeleid |
| 10 | Cryptografie | TLS 1.2+, AES-256, PKIoverheid |
| 12 | Beveiliging bedrijfsvoering | Patchmanagement, malwarebescherming, logging |
| 13 | Communicatiebeveiliging | Netwerksegmentatie, VPN, Diginetwerk |
| 14 | Systemen acquisitie/ontwikkeling | Secure SDLC, SAST/DAST, dependency scanning |
| 16 | Incidentmanagement | Incidentresponsplan, meldplicht (AP, NCSC) |
| 17 | Bedrijfscontinuiteit | BCP, DR-plan, RPO/RTO |
| 18 | Compliance | Audits, penetratietests, certificering |
BIO-maatregelen voor softwareontwikkeling (hfst. 14)
| Maatregel | BIO-ref | Beschrijving |
|---|
| Secure development policy | 14.2.1 | Richtlijnen voor veilig ontwikkelen |
| Change control | 14.2.2 | Wijzigingsbeheer voor applicaties |
| Technical review | 14.2.3 | Review na platformwijzigingen |
| Secure coding | 14.2.5 | OWASP Top 10 mitigatie, input validation |
| Secure development environment | 14.2.6 | Gescheiden OTAP-omgevingen |
| Security testing | 14.2.8 | SAST, DAST, penetratietest |
| System acceptance testing | 14.2.9 | Beveiligingsacceptatietest |
BIO compliance in code
import logging
import json
from datetime import datetime
class BIOAuditLogger:
"""Auditlogging conform BIO 12.4 (Basisbeveiligingsniveau 2)."""
def __init__(self):
self.logger = logging.getLogger("bio.audit")
def log_event(
self,
event_type: str,
actor: str,
resource: str,
action: str,
result: str,
details: dict | None = None,
):
"""
Log een beveiligingsrelevante gebeurtenis.
BIO 12.4.1: Gebeurtenissen vastleggen met:
- gebruikersidentificatie (actor)
- type gebeurtenis (event_type)
- datum en tijd (automatisch)
- succes of falen (result)
- bron van de gebeurtenis (resource)
"""
event = {
"timestamp": datetime.utcnow().isoformat() + "Z",
"event_type": event_type,
"actor": actor,
"resource": resource,
"action": action,
"result": result,
}
if details:
event["details"] = details
self.logger.info(json.dumps(event))
audit = BIOAuditLogger()
audit.log_event(
event_type="data_access",
actor="medewerker-12345",
resource="zaak/ZAAK-2026-001",
action="read",
result="success"
)
Verplichte open standaarden (Forum Standaardisatie)
Het Forum Standaardisatie beheert de "pas-toe-of-leg-uit"-lijst van verplichte open standaarden:
Lijsten
| Lijst | Verplichting | Beschrijving |
|---|
| Verplicht (pas-toe-of-leg-uit) | Ja, tenzij onderbouwde uitzondering | Standaarden voor inkoop en gebruik door overheid |
| Aanbevolen | Nee, wel gewenst | Goede praktijkstandaarden |
Selectie verplichte standaarden voor software
| Standaard | Functioneel gebied | Versie |
|---|
| TLS | Internetbeveiliging | 1.2+ (1.3 aanbevolen) |
| HTTPS | Webbeveiliging | Verplicht voor alle overheidswebsites |
| DKIM + DMARC + SPF | E-mailbeveiliging | Verplicht voor overheidsdomeinen |
| DNSSEC | Domeinbeveiliging | Verplicht |
| IPv6 | Netwerk | Verplicht naast IPv4 (dual-stack) |
| RPKI | Routingbeveiliging | Verplicht |
| NL API Design Rules | API-ontwerp | Verplicht voor REST API's |
| OpenAPI 3.x | API-documentatie | Verplicht voor REST API's |
| SAML | Authenticatie | 2.0 |
| OpenID Connect | Authenticatie | 1.0 |
| OAuth 2.0 | Autorisatie | 2.0 |
| Digikoppeling | Berichtenuitwisseling | WUS, ebMS, REST profiel |
| OWMS | Metadata overheidsinfo | 4.0 |
| PDF/A | Documentarchivering | 1b, 2b |
| ODF | Documentuitwisseling | 1.2+ |
| WCAG | Digitale toegankelijkheid | 2.1 (AA) |
| SKOS | Thesauri en taxonomieën | Verplicht voor waardelijsten |
| GML | Geo-informatie | 3.2 |
| WMS/WFS | Geo-services | 1.3/2.0 |
GDI — Generieke Digitale Infrastructuur
De GDI is het stelsel van gemeenschappelijke digitale voorzieningen:
| Voorziening | Functie | Beheerder |
|---|
| DigiD | Authenticatie burgers | Logius |
| eHerkenning | Authenticatie bedrijven | Marktpartijen |
| MijnOverheid | Persoonlijke berichten/post | Logius |
| Digipoort | Berichtenuitwisseling B2G | Logius |
| Digikoppeling | Standaard voor gegevensuitwisseling | Logius |
| Digilevering | Gegevenslevering uit basisregistraties | Logius |
| Diginetwerk | Besloten overheidsnetwerk | Logius |
| Stelsel Basisregistraties | 10 basisregistraties (BRP, BAG, BRK, etc.) | Diverse |
| developer.overheid.nl | API-catalogus | KOOP |
| Standaarden.overheid.nl | Standaardencatalogus | Forum Standaardisatie |
Stelsel van Basisregistraties
| Registratie | Afkorting | Gegevens | Houder |
|---|
| Basisregistratie Personen | BRP | Persoonsgegevens | RvIG |
| Basisregistratie Adressen en Gebouwen | BAG | Adressen, panden | Kadaster |
| Basisregistratie Kadaster | BRK | Kadastrale percelen, eigendom | Kadaster |
| Basisregistratie Topografie | BRT | Topografische kaarten | Kadaster |
| Basisregistratie Grootschalige Topografie | BGT | Gedetailleerde kaarten | SVB-BGT |
| Handelsregister | HR | Bedrijven, KvK-nummers | KVK |
| WOZ | WOZ | Objectwaardering | Gemeenten |
| Basisregistratie Ondergrond | BRO | Bodem, grondwater | TNO |
| Basisregistratie Voertuigen | BRV | Voertuigregistratie | RDW |
| Basisregistratie Inkomen | BRI | Inkomensverhoudingen | Belastingdienst |
Digikoppeling-profielen
| Profiel | Protocol | Gebruik |
|---|
| WUS | SOAP/WSDL | Synchrone bevraging (request-response) |
| ebMS2 | ebXML | Asynchrone berichtenuitwisseling (MSH) |
| REST | REST/JSON | Moderne API-communicatie (nieuwste profiel) |
| Grote Berichten | HTTPS + MSH | Bestanden >20MB |
OTAP en Change Management
| Omgeving | Doel | BIO-eis |
|---|
| Ontwikkel (O) | Development | Geen productiedata |
| Test (T) | Functioneel testen | Geanonimiseerde testdata |
| Acceptatie (A) | Gebruikersacceptatie | Geanonimiseerde data; beveiligingstest |
| Productie (P) | Live omgeving | Volledige BIO-maatregelen |
Implementatie-checklist
Gerelateerde skills
| Skill | Wanneer te gebruiken |
|---|
| gemma-common-ground | GEMMA referentiearchitectuur, Common Ground, Open Zaak/Formulieren |
| zgw-apis | ZGW API-standaarden, Haal Centraal — invulling van NORA-principes |
| overheid-authenticatie | DigiD, eHerkenning — GDI-voorzieningen voor authenticatie |
| avg-privacy | AVG/GDPR — privacy-aspecten van de architectuur |
| llm-security | OWASP LLM Top 10 beveiligingscontrols |
| genai-governance | EU AI Act technische governance-controls |
| digitoegankelijk | WCAG toegankelijkheid — verplichte open standaard |
Meer informatie
