Nora Architectuur

NORA — Nederlandse Overheid Referentie Architectuur

Ontwerp overheidssystemen conform de NORA-principes, BIO-beveiligingseisen en verplichte open standaarden.

Bron: NORA Online | BIO | Forum Standaardisatie

NORA — overzicht

NORA is de overkoepelende enterprise-architectuur voor de gehele Nederlandse overheid. Alle domeinarchitecturen zijn ervan afgeleid.

Domeinarchitecturen

Basisprincipes (BP)

De 10 NORA-basisprincipes gelden voor alle overheidsorganisaties:

Afgeleide principes (AP)

Selectie van de belangrijkste afgeleide principes voor softwareontwikkeling:

Dienstverlening

Informatiebeveiliging

Interoperabiliteit

BIO — Baseline Informatiebeveiliging Overheid

De BIO is het basisnormenkader voor informatiebeveiliging bij de overheid, gebaseerd op ISO 27001/27002.

Structuur

Basisbeveiligingsniveaus (BBN)

BIO-maatregelen per categorie

BIO-maatregelen voor softwareontwikkeling (hfst. 14)

BIO compliance in code

# Voorbeeld: logging conform BIO 12.4

import logging
import json
from datetime import datetime

class BIOAuditLogger:
    """Auditlogging conform BIO 12.4 (Basisbeveiligingsniveau 2)."""

    def __init__(self):
        self.logger = logging.getLogger("bio.audit")

    def log_event(
        self,
        event_type: str,
        actor: str,
        resource: str,
        action: str,
        result: str,
        details: dict | None = None,
    ):
        """
        Log een beveiligingsrelevante gebeurtenis.

        BIO 12.4.1: Gebeurtenissen vastleggen met:
        - gebruikersidentificatie (actor)
        - type gebeurtenis (event_type)
        - datum en tijd (automatisch)
        - succes of falen (result)
        - bron van de gebeurtenis (resource)
        """
        event = {
            "timestamp": datetime.utcnow().isoformat() + "Z",
            "event_type": event_type,
            "actor": actor,          # Gebruikers-ID (NIET BSN)
            "resource": resource,
            "action": action,
            "result": result,         # "success" | "failure" | "denied"
            # NOOIT persoonsgegevens in details
        }
        if details:
            event["details"] = details
        self.logger.info(json.dumps(event))

# Gebruik:
audit = BIOAuditLogger()
audit.log_event(
    event_type="data_access",
    actor="medewerker-12345",
    resource="zaak/ZAAK-2026-001",
    action="read",
    result="success"
)

Verplichte open standaarden (Forum Standaardisatie)

Het Forum Standaardisatie beheert de "pas-toe-of-leg-uit"-lijst van verplichte open standaarden:

Lijsten

Selectie verplichte standaarden voor software

GDI — Generieke Digitale Infrastructuur

De GDI is het stelsel van gemeenschappelijke digitale voorzieningen:

Stelsel van Basisregistraties

Digikoppeling-profielen

OTAP en Change Management

Implementatie-checklist

• NORA-basisprincipes: architectuur getoetst aan de 10 basisprincipes
• BIO-classificatie: basisbeveiligingsniveau (BBN 1/2/3) bepaald
• BIO-maatregelen: alle maatregelen voor het vastgestelde BBN geimplementeerd
• Open standaarden: alle toepasselijke verplichte standaarden uit de "pas-toe-of-leg-uit"-lijst
• TLS 1.2+: alle verbindingen versleuteld met minimaal TLS 1.2
• HTTPS: alle webverkeer via HTTPS; HSTS-header ingesteld
• DNSSEC + DKIM + DMARC + SPF: e-mail- en domeinbeveiliging geconfigureerd
• IPv6: dual-stack (IPv4 + IPv6) ondersteund
• Digikoppeling: gegevensuitwisseling via Digikoppeling-profiel waar vereist
• GDI-voorzieningen: hergebruik van DigiD, eHerkenning, Haal Centraal waar toepasbaar
• OTAP-scheiding: gescheiden omgevingen conform BIO 14.2.6
• Auditlogging: beveiligingsrelevante events gelogd conform BIO 12.4
• Penetratietest: minimaal jaarlijks uitgevoerd door onafhankelijke partij
• API Design Rules: REST API's conform NL API Design Rules + OpenAPI 3.x
• Standaardentoets: architectuur getoetst bij Forum Standaardisatie waar nodig

Gerelateerde skills

Meer informatie

• NORA Online | NORA principes
• BIO | BIO normenkader
• Forum Standaardisatie | Standaardenlijst
• GDI — Generieke Digitale Infrastructuur
• Logius — beheerder GDI-voorzieningen
• Digitale Overheid — beleid en strategie
• NEN-ISO 27001/27002 — basis voor BIO
• NCSC beveiligingsrichtlijnen — aanvullende technische richtlijnen