Infraplannen.nl biedt een platform voor samenwerking en gegevensuitwisseling tussen overheden, semi-overheden, en andere belanghebbenden binnen de infrastructuursector. Het delen van data via dit platform vereist een zorgvuldige afweging van technische en beveiligingsaspecten.
De ontsluiting van gegevens vindt plaats bij de partij die de data beschikbaar stelt. Dit betekent dat de verantwoordelijkheid voor de beveiliging van de gegevens in overdracht ook ligt bij de leverancier van de data. Infraplannen.nl haalt de gegevens op via de door de leverancier aangeboden interface. Het is daarom cruciaal dat de leverancier adequate beveiligingsmaatregelen implementeert.
Dit document biedt een overzicht van voorlopige richtlijnen en aandachtspunten voor gemeenten, netbeheerders, en andere organisaties die gegevens willen delen via Infraplannen.nl.
Juridische vereisten
AVG-compliance
Voor het delen van gegevens moeten organisaties voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Dit omvat:
Rechtmatigheid van verwerking: Er moet een duidelijke wettelijke grondslag zijn voor de verwerking van gegevens.
Dataminimalisatie: Deel alleen gegevens die strikt noodzakelijk zijn voor het doel.
Afspraken over data-eigenaarschap
Maak duidelijke afspraken over wie de eigenaar is van de gedeelde data en onder welke voorwaarden deze mag worden gebruikt. Overweeg het opstellen van een Data Processing Agreement (DPA) om verantwoordelijkheden vast te leggen.
Technische vereisten
OGC WFS-standaard
Voor het delen van geografische gegevens wordt gebruikgemaakt van de Open Geospatial Consortium Web Feature Service (OGC WFS). De data moet:
Compatibel zijn met de OGC WFS 2.0 of hoger.
Voorzien zijn van heldere metadata conform INSPIRE-richtlijnen voor interoperabiliteit. (Technische documentatie infraplannen.nl)
Dataformaten
Gebruik het gestandaardiseerde dataformaat GeoJSON om compatibiliteit met infraplannen te waarborgen.
Toegang en authenticatie
Infraplannen.nl ondersteunt de volgende implementaties:
OAuth 2.0: Implementeer een op tokens gebaseerde authenticatiemethode voor beveiligde toegang.
Certificate Authentication: : Implementeer een op certificaten gebaseerde authenticatiemethode voor beveiligde toegang.
mTLS: mTLS breidt de beveiliging van TLS uit door wederzijdse authenticatie tussen de client en de server toe te voegen.
API-sleutels: Alternatief kan een API-sleutel worden gebruikt, gekoppeld aan specifieke gebruikers of applicaties.
Versleuteling: Alle communicatie moet plaatsvinden via HTTPS (TLS 1.3).
Organisatorische richtlijnen
Afstemming tussen partijen
Voor een succesvolle samenwerking is het essentieel om duidelijke afspraken te maken over:
Frequentie van gegevenslevering: periodiek of op aanvraag?
Kwaliteit van de data: Zorg dat de gegevens actueel, volledig en nauwkeurig zijn.
Verantwoordelijkheden: Wie is verantwoordelijk voor het beheer, onderhoud en beveiliging van de gegevens?
Gebruik van standaarden
Gemeenten en netbeheerders moeten de standaarden volgen zoals vastgesteld door:
Logius: Voor richtlijnen rond gegevensuitwisseling.
Forum Standaardisatie: Voor open standaarden zoals HTTPS en WFS.
IBD (Informatiebeveiligingsdienst): Voor specifieke beveiligingsrichtlijnen.
Specifieke aandachtspunten voor semi-overheden
Netbeheerders en andere semi-overheden hebben vaak grote datasets met gevoelige informatie, zoals ondergrondse infrastructuur. Voor deze partijen gelden de volgende aanvullende richtlijnen:
Gevoelige gegevens beschermen: Zorg dat gegevens zoals kabels, leidingen of kritieke infrastructuur alleen toegankelijk zijn voor geautoriseerde gebruikers. Infraplannen biedt deze mogelijkheid.
Segmentatie: Splits data in publieke en niet-publieke delen (private, shared and public), zodat alleen noodzakelijke informatie wordt gedeeld. Infraplannen biedt deze mogelijkheid.
Relevante instanties en standaarden
Autoriteit Persoonsgegevens: Handhaving AVG.
Logius: Standaarden voor Digikoppeling en authenticatie.
Forum Standaardisatie: Overzicht verplichte open standaarden.
INSPIRE-richtlijnen: Europese interoperabiliteitsnormen.
NCSC: Adviezen voor cybersecurity.
IBD: Ondersteuning gemeenten op het gebied van informatiebeveiliging.