Logo Security Commons NL: een uil boven gebouwen van de publieke sectorSecurity Commons NL

Open source · zonder account · gratis

Praktische kennis en tools voor security, privacy en continuïteit

Gemaakt door en voor publieke organisaties: gemeenten, provincies, waterschappen en uitvoeringsorganisaties. Alles werkt vandaag in je browser. Van ons allemaal.

Doe de zelfcheck Open de kennisbank

Je bent op de voorkant: alle kennis en tools staan hieronder, direct te openen in je browser. De broncode staat op github.com/security-commons-nl, voor wie wil meelezen of meebouwen.

Begin bij je rol

Geen tijd om rond te kijken? Per rol drie stukken om mee te beginnen.

CISO

Waar staan we, en wat moet ik regelen?

  1. De zelfcheck langs achttien aanvalspaden
  2. Val ik onder de Cbw?
  3. Wie doet wat: de stelselkaart security-gremia

ISO

Wat moet ik doen, en hoe toon ik het aan?

  1. De normwijzer: per maatregel wat je kunt doen
  2. De meting op exports die je al hebt
  3. Security Annex voor leveranciers

Privacy officer

Hoe regel ik de privacykant?

  1. Een DPIA in vijf stappen, met sjablonen
  2. De AVG in de normwijzer
  3. Publicatiescan: persoonsgegevens in openbare stukken

Bestuurder

Hoe stuur ik op weerbaarheid?

  1. Sturen op weerbaarheid in plaats van op maatregelen
  2. De weerbaarheidsgame voor college en directie
  3. Learning digitale veiligheid voor managers

Direct aan de slag

Voor CISO's, ISO's, privacy officers en bestuurders bij gemeenten, provincies, waterschappen en uitvoeringsorganisaties. Alles hieronder werkt vandaag, in je browser, zonder account en zonder factuur. De kern is een keten van vier vragen rond de achttien aanvalspaden van de publieke sector:

Waar sta ik? aanvalspaden Eén instrument rond vier vragen CISO's en ISO's bij publieke organisaties Hoe pak ik het aan? kennisbank Werkende kennis uit de publieke sector, en de weg naar honderden stukken van de IBD, CIP en het Rijk Security-, privacy- en continuïteitsprofessionals Wat toon ik aan? normen Per maatregel wat de norm vraagt, wat je eraan kunt doen en welk bewijs je dan hebt CISO's, ISO's, privacy officers en bouwers van instrumenten
  1. Hoe sta ik ervoor? De zelfcheck: een uur, alleen te doen, achttien paden en drie acties voor morgen.
  2. Hoe pak ik het aan? Per barriere een handleiding in de kennisbank, met de alternatieven ernaast, en een uitnodiging waar er nog geen is.
  3. Wat toon ik hiermee aan? De normwijzer: per maatregel uit BIO 2.0 (en daarmee ISO 27001), NIST CSF 2.0, de AVG en het Wpg-kader wat de norm vraagt, wat je eraan kunt doen en welk bewijs je dan hebt. Ook andersom: typ wat je doet en zie welke norm dat raakt.
  4. Wat zegt mijn eigen data? De meting: 41 meetregels op exports die je al hebt, van firewallconfig tot een Linux-dump, met per aanvalspad het bewijs en de witte vlekken hardop.

Zoek je iets om te lezen of te hergebruiken, begin dan bij de kennisbank; die is ingedeeld op vakgebied, met de telling per vakgebied bovenaan, en doorzoekbaar op onderwerp, op barriere uit de zelfcheck en op norm (zoek op NIS2 of Cbw en je krijgt precies de stukken die daaraan hangen).

Sommige instrumenten hebben een opt-in AI-hulp die het invoerwerk overneemt, met je eigen sleutel bij je eigen leverancier. Wat dat inhoudt, wat er wel en niet naar buiten gaat en hoe je zelf bepaalt hoe groot het risico is, staat op AI-hulp met je eigen sleutel.

Alle projecten

Vaststellen hoe je ervoor staat

Zelfcheck, meting en toetsing: van een uur alleen aan tafel tot bewijs uit je eigen exports.

aanvalspadenin je browserprototypeEén instrument rond vier vragen: zelfcheck (18 paden, 3 acties voor morgen), risicoanalyse en meting (41 items uit exports en hostdumps, bewijs per barriere); gekoppeld aan normverankering en handleidingenCISO's en ISO's bij publieke organisatiesZelfcheck procescheckin je browserprototypeBIA en BIV-classificatie per bedrijfsproces, met RTO en RPO, de businesscontext en de blast radius: wat valt om als een component uitvaltCISO's, informatiebeveiligers en proceseigenarenLive tool csir-assessment-toolin je browserprototypeDe Cybersecurity Implementatierichtlijn Objecten (CSIR): objectclassificatie langs 6 criteria, bepalen van 127 controls en 268 maatregelen, en uitwerken tot dossierCISO's, ISO's en objectbeheerders van tunnels, gemalen, bruggen en sluizenLive tool applicatiecheckin je browserconceptToont uit de applicatie zelf aan wat de BIO2 vraagt: configuratie-export en logsample deterministisch getoetst. Eerste toepassing: een zaaksysteemISO's en CISO's die een kritische applicatie toetsenOntwerp policy-as-codein je browserconceptBeleid en normen (BIO 2.0, ISO 27001, AVG) als uitvoerbare, toetsbare regels in plaats van alleen tekstCISO's, ISO's en platformteamsOntwerp

Aanpakken en inrichten

Werkende kennis en draaiboeken uit de praktijk van publieke organisaties, met de keuzes die het verschil maken.

kennisbankleeswerkin gebruikWerkende kennis uit de publieke sector, en de weg naar honderden stukken van de IBD, CIP en het Rijk: security, privacy, continuïteit en governanceSecurity-, privacy- en continuïteitsprofessionalsLeesbare versie ai-gebruik-in-beeldleeswerkin gebruikDraaiboek om AI-gebruik in de organisatie feitelijk te meten (CISO + FG): meetregimes, bronnen met bewijslast, run-log en 15 KQL-query'sCISO's, FG's en securityteams bij publieke organisatiesLeesbare versie

Aantonen en overtuigen

Wat je met een maatregel aantoont in BIO 2.0, NIST CSF, Wpg en AVG, en hoe je het gesprek met bestuurders voert.

normendatasetin gebruikPer maatregel wat de norm vraagt, wat je eraan kunt doen en welk bewijs je dan hebt; voor BIO 2.0, NIST CSF 2.0, AVG en Wpg, met de normbronnen als dataset erachter (JSON met herkomst en vingerafdruk)CISO's, ISO's, privacy officers en bouwers van instrumentenNormwijzer weerbaarheid-gamein je browserin gebruikGespreksinstrument voor college en directie: het maakt zichtbaar wat er stukgaat als een schakel uitvalt, en welke noodoplossing er dan wel of niet isCollege van B&W, directies, bestuurdersLive tool

Veilig delen en publiceren

Documenten anonimiseren en publicaties nalopen voordat ze de deur uit gaan.

anonimizer-browserin je browserin gebruikBrowser-versie van de anonimizer: gevoelige gegevens uit documenten verwijderen, documenten verlaten de browser nooitBeleidsmedewerkers, juristen en iedereen die ad-hoc een document anonimiseertLive tool anonimizer-locallokaal scriptin gebruikAI-tool om gevoelige gegevens uit documenten te verwijderen, CLI voor batchverwerkingCISO's, ISO's en power users die regelmatig documenten anonimiserenLeesbare versie publicatiescanlokaal scriptin gebruikScant openbare publicaties (bekendmakingen, raadsinformatie, website) op onbedoeld gepubliceerde persoonsgegevens; deterministischCISO's, ISO's, privacy officers en griffiemedewerkersLeesbare versie

Gearchiveerd: security-posture-tool en iamscan (beide opgegaan in aanvalspaden/meting op 03-09-2026: hun 41 checklist-items en toetsregels staan nu als data in meting/regels.json, en het instrument leest paden.json rechtstreeks in plaats van een kopie; het waren applicaties met een installatie), cisochat (ontwerp voor een vCISO-agent, geen code; een agent is een gehoste applicatie en hoort niet in de commons, gearchiveerd 03-09-2026; het idee leeft als issue .github#19, zijn normbron zit in normen), blast-radius (wat valt om als een component uitvalt; opgegaan in procescheck op 03-09-2026), grc-platform (ISMS/PIMS/BCMS-applicatie; de commons levert sinds 02-09-2026 alleen instrumenten en scripts), hosting-bouwblokken (referentiearchitecturen en IaC om applicaties te hosten; de commons host niets meer, besluit 02-09-2026), anonimizer-web (Flask-UI, vervangen door anonimizer-browser), beleid-assistent (opgegaan in cisochat als capability beleidsondersteuning) en security-shop (catalogus van patronen, opgegaan in de kennisbank als handleidingen per barriere).

Tooling van anderen. Open tools en kennisbanken van buiten de commons die we bruikbaar vinden, met per bron wat het is, wanneer je het inzet en welke wegingen erbij horen: Externe referenties: security-tooling en kennisbanken in de kennisbank.

Waarom dit bestaat

Publieke organisaties werken voor informatiebeveiliging, privacy en continuiteit intensief samen met marktpartijen. Dat is waardevol, maar wie de inrichting van zijn governance aan de markt overlaat, geeft de regie uit handen. Daarom bouwen we samen: een organisatie die het wiel opnieuw uitvindt is kwetsbaar, tien die kennis en tooling delen vormen een beweging. Publiek geld betekent publieke code. AI is een middel, nooit een doel, en altijd controleerbaar. De volledige principes staan in PRINCIPLES.md.

Meedoen

Dit is geen verkooppraatje; er is niets te kopen. Begin met kijken, draai het lokaal, geef feedback of bouw mee. Open een discussion of een issue in een van de repositories. Nog nooit een issue geopend? In CONTRIBUTING.md staat per project een formulier dat je alleen hoeft in te vullen, ook zonder GitHub-account of Git-ervaring, en wat je daarna van ons mag verwachten.

In voorbereiding, als richting en niet als toezegging: websitecompliance, digitale soevereiniteit, code-repoveiligheid en aanvalsoppervlak (OSINT). Een tool verschijnt hierboven in de lijst zodra hij werkt; tot die tijd bestaat hij niet.

Onderliggende infrastructuur

Eén repo bevat geen op zichzelf staand product, maar maakt een ander wel mogelijk:

Over dit platform

Hoe het geheel in elkaar zit, welke repositories er zijn en hoe ze samenhangen, staat in ARCHITECTUUR.md. De opt-in AI-hulp in de instrumenten staat uitgelegd op AI-hulp met je eigen sleutel: eigen sleutel, eigen leverancier, een voorstel in plaats van een wijziging. Wat er open staat, over alle repositories heen, staat op de backlog: open plannen, schrijfopdrachten en ideeen als issue, de gaten die uit de data volgen, en bovenaan waar we nu aan werken.

Deze community staat momenteel op GitHub. Op termijn zullen we overstappen naar een EU-gebaseerd alternatief (zoals Codeberg), in lijn met onze principes van digitale soevereiniteit.

Een initiatief van de publieke sector, voor de publieke sector.