Backlog

Wat er open staat in de commons, over alle repositories heen, op een pagina. De pagina wordt bij elke build opnieuw gemaakt uit de open issues en pull requests op GitHub en uit de data van de aanvalspaden. Alleen het blok hieronder is met de hand geschreven: welke drie dingen nu voorgaan is een keuze, geen berekening.

De lijsten eronder staan op volgorde van hoe hard iemand ze mist, niet van hoe lang ze open staan.

Waar het werk gebeurt: in de issues van de repo waar het landt. Een open bouwplan heeft een issue met het label plan, een stuk dat de kennisbank nog mist heet schrijfopdracht, en iets dat er nog helemaal niet is heet idee. Wat een script zelf kan zien, zoals een barriere zonder handleiding, staat hier zonder issue: het verdwijnt vanzelf zodra het gat dicht is.

Nu aan de beurt

dpiacheck fase O (issue .github#20). Uitgevoerde camera-DPIA's verwerken tot een maatregelencatalogus met herkomst. Tijdgebonden: de bron is bereikbaar tot en met 12-11-2026; zonder trekker voor die datum sluit fase O met de stopregel. Bouwwerk en redactie, alleen te doen met toegang tot de bronorganisatie.
De AI-securitylijn, fase 0 en 1 (issue kennisbank#83, plan). Na het VNG-webinar over de beveiliging van AI: bij de vijf AI-stukken verwijzen naar wat VNG, IBD, TNO en CPB al hebben; in de security-annex een lid "geen AI zonder toestemming"; en een stuk over de configuratiekeuzes bij Copilot en vergelijkbare assistenten, de vraag uit de chat waar niemand een antwoord op had. Schrijfwerk, vóór 1 december.
De beleidsset verder op maat (issue kennisbank#62, plan). De set staat sinds 14-10 weer online, herschreven op BIO 2.0 versie 1.3, met een generator die uit contextvragen per organisatie een eigen set maakt, en sinds 15-10 met AI-hulp met een eigen sleutel. Open: stukken van andere organisaties en IBD-materiaal verwerken als regel of blok per domein. Schrijfwerk: dit vraagt iemand die beleid heeft vastgesteld, geen bouwer.

Privacy vullen, tot 12 oktober het eerste punt hier, is gedaan: het vakgebied telt negen stukken, van datalekken en het verwerkingsregister tot de rechten van betrokkenen en de Wpg. De applicatiecheck stond tot 15 oktober op drie en staat nu in de open plannen eronder: bouwwerk dat ook na 1 december kan, terwijl de AI-securitylijn hangt aan een gesprek dat nu loopt.

Er staat schrijfwerk naast bouwwerk, en dat is met opzet. Een commons komt niet vooruit op code alleen: de zelfcheck wijst mensen naar plekken waar nog niets staat, en dat dicht je met kennis uit de praktijk. Zolang dit lijstje alleen bouwklussen bevat, meet het maar de helft.

Open plannen 12

Bouwwerk met een uitgeschreven plan erachter, in de repo waar het landt. Het planbestand is het waarom, het issue is de stand.

.github#20 dpiacheck fase O: de oogst van 27 camera-DPIA's, stoppen bij minder dan vijf bruikbaar
.github#32 Statuut B16: elk stuk zegt wat een agent ermee kan
aanvalspaden#5 AI-hulp stap 2 en 3: de zelfcheck, daarna CSIR
aanvalspaden#6 Diepte 1: kroonjuwelen maal clusters, met procescheck als bron
applicatiecheck#3 F1 tot F4: regels als data, toets.py, parsers, de pagina en de AI-hulp
kennisbank#62 Beleidsset op maat: BIO 2.0, gegenereerd uit contextvragen
kennisbank#83 AI-securitylijn: vier sporen na het VNG-webinar beveiliging van AI
kennisbank#84 Bronnenregister vullen: per item verwijzen naar wat anderen al hebben
kennisbank#85 Ingang en vulling: jaarritme, eerste honderd dagen, status eerlijker, tweede herkomst
kennisbank#86 GRC als één risicogestuurde PDCA-ronde: stap 10 tot en met 12
normen#14 Normwijzer: fase 0 tot en met 5
weerbaarheid-game#2 Weerbaarheidsgame v2: inhoud naar spel.json, vier scenario's, dossier, toegankelijkheid

Gaten uit de zelfcheck 6

Hier stuurt de zelfcheck iemand naartoe en staat nog niets: barrieres zonder handleiding. Dit is de vraagkant, en daarom staat het bovenaan. De lijst is geen issue maar volgt uit mappingen/gevraagd.json in de aanvalspaden, en verdwijnt vanzelf zodra de kennisbank het stuk heeft. Op Van aanvalspad naar norm staat per barriere een knop om mee te schrijven.

browser de-werkplek-dichtzetten: Hoe je een browserbaseline uitrolt met een extensiebeleid en beperkingen op gegevensdragers, zonder het werk van redacteuren en ontwikkelaars te breken, en hoe je aantoont dat de baseline op alle werkplekken staat.
devicecode ingangen-naast-de-sterke-inlog: Hoe je Device Code Flow blokkeert zonder de beheerde uitzonderingen (kiosk, gedeelde apparaten) te breken, en hoe je aantoont dat de uitzonderingen beperkt blijven.
dmarc mail-als-kanaal: Hoe je SPF, DKIM en DMARC naar handhaving brengt zonder legitieme post te blokkeren, inclusief het traject langs alle verzendende partijen.
elevation beheerrechten-scheiden: Hoe je herauthenticatie afdwingt op het moment van verhogen, en hoe je voorkomt dat beheerders het omzeilen.
origin de-buitenrand-afschermen: Hoe je afdwingt dat de origin alleen via de beschermde route bereikbaar is, en hoe je controleert dat er geen omweg is blijven staan.
ddosresponse opvolging-en-detectie: Hoe je een DDoS-response oefent met provider en SOC, en welke afspraken je vooraf maakt over opschaling en communicatie.

Schrijfopdrachten 18

Onderwerpen die de kennisbank nog mist en die aan geen barriere hangen: grotendeels restanten uit de catalogus van de oude security-shop. Het issue draagt de catalogustekst al, dus dit is eerder cureren en plaatsen dan schrijven vanaf nul.

kennisbank#22 Uit de catalogus: Vier-ogenprincipe voor kritieke wijzigingen
kennisbank#23 Uit de catalogus: BIO 2.0 / NIS2 assuranceproces
kennisbank#24 Uit de catalogus: Bewustwording gericht op trust abuse
kennisbank#25 Uit de catalogus: SBOM-beheer
kennisbank#26 Uit de catalogus: Secure code signing
kennisbank#27 Uit de catalogus: Tenantisolatie en cloud-soevereiniteit
kennisbank#28 Uit de catalogus: Identity- en endpoint-eisen voor leveranciersbeheer
kennisbank#29 Uit de catalogus: Secrets management
kennisbank#30 Uit de catalogus: API-authenticatie en autorisatie
kennisbank#31 Uit de catalogus: API rate limiting en throttling
kennisbank#32 Uit de catalogus: API-misbruikdetectie
kennisbank#33 Uit de catalogus: Cloud Security Posture Management (CSPM)
kennisbank#34 Uit de catalogus: SaaS-security monitoring
kennisbank#35 Uit de catalogus: East-west traffic monitoring
kennisbank#36 Uit de catalogus: UEBA / anomaliedetectie
kennisbank#37 Uit de catalogus: Proactieve threat hunting
kennisbank#38 Uit de catalogus: IOC- en threat-intelligence-correlatie
kennisbank#44 Oogst: het vCISO-tooling-onderzoek uit de archiefrepo naar referenties-tooling

Ideeen 5

Sprongen: iets dat er nog helemaal niet is en waar nog geen plan voor ligt.

.github#1 Angsthaas
.github#3 raakt-mij
.github#4 leveranciersadvisories-nl
.github#19 Idee: een vCISO-dirigent die redeneert langs NIST CSF en tooling aanstuurt
security-commons-nl.github.io#10 llms.txt voor agents: maatwerkregel per stuk, llms-full.txt en een blok beleid op maat

Zonder label 5

Open issues die nog geen van de drie labels dragen.

kennisbank#57 Linkcheck: verwijzingen nalopen
kennisbank#94 PLC (IBD): proportioneel leveranciers- en contractbeheer opnemen bij leveranciers-inkoop en -contract
kennisbank#95 EN 18286: eerste geharmoniseerde norm onder de AI-verordening (art. 17 QMS)
kennisbank#96 Rijksbreed Beleidskader Cryptografie en PQC-tijdpad als bron voor de BIO2-beleidsset
kennisbank#97 AI Risk Map v1.3 (riskframework.org, CC BY-SA 4.0): opnemen als risicotaxonomie? licentie checken

Onderhoud 1

Open pull requests, meestal van de robot die afhankelijkheden bijhoudt.

security-commons-nl.github.io#16 deps: bump marked from 18.0.14 to 18.1.0 in the npm group

Hoe dit werkt

Issues voor wat mensen bedenken, een gegenereerde pagina voor wat het systeem zelf ziet. Dat is het besluit van 30 augustus 2026, na het opruimen van een projectbord dat niemand bijhield: een bord naast de issues wordt binnen een maand een tweede waarheid. Deze pagina is geen bord. Hij toont de issues zoals ze zijn, en de gaten zoals de data ze ziet. Wil je iets veranderen, doe dat in het issue of in de repo; deze pagina volgt vanzelf. De volgorde en het waarom per plan staan in plannen/, met de roadmap als tekening.