Kennisbank

De methode om je security posture te verhogen met data uit je eigen omgeving in plaats van met aannames: meet eerst wat er feitelijk draait, bepaal daarna pas wat je afdwingt. Dat voorkomt dat je legitiem werk breekt en laat de echte impact zien, meestal kleiner dan gedacht. Dit stuk geeft de drie uitgangspunten, de werkwijze van IST naar SOLL en de volgorde; de uitwerking per laag staat in de handleidingen die eronder hangen.

Voor bestuur, directie en CISO: waarom digitale weerbaarheid nu op tafel ligt, wie waarvoor verantwoordelijk is, en de keuze tussen alles dichtzetten of veilig faciliteren. Met het lagenmodel, een RACI-sjabloon, de naad tussen eigen organisatie en leveranciers, en waarom een resultaatverplichting iets anders is dan een inspanningsverplichting.

Methode om als CISO of ISO in één dag tot de grootste risico's te komen, en tot de maatregel en eigenaar per risico. Niet asset voor asset met geschatte kansen, maar kroonjuwelen tegen een handvol generieke aanvalspaden, met de dekking gemeten op bewijs. De rode cellen zijn de risicolijst. Met de aanvalspaden voor lokale overheid, een invulmatrix en een verzonnen voorbeeld als bijlagen.

Een AI-agent die een API aanroept werkt niet op de bevoegdheid van de medewerker en niet op een eigen staande bevoegdheid, maar op een gedelegeerde taakbevoegdheid met zes velden, een goedkeuringsstap voor gevoelige acties en een audit die vijf vragen beantwoordt. Vertaald naar Entra, Copilot-agents en MCP-koppelingen op gemeentelijke systemen, met de vragen aan de leverancier en het bewijs dat je moet kunnen laten zien.

Wie een eigen AI-voorziening bouwt uit open-source onderdelen (chatomgeving, gateway, vectordatabase, open modellen) valt met die keten onder de zorgplicht van de Cyberbeveiligingswet. Zes maatregelen die dat aantoonbaar maken, van componentenlijst en versie-pinning tot een wachttijd voor nieuwe versies, met de LiteLLM-compromittering van maart 2026 als casus.

Bij een incident met een AI-toepassing kunnen drie meldplichten gelden: Cbw, AVG en AI Act, elk met een eigen drempel en termijn. Voor gemeenten telt onder de Cbw vooral uitval van dienstverlening van vier uur of meer; een lek via een AI-assistent haalt die drempel meestal niet, maar is vaak wel een datalek. Vijf scenario's uitgewerkt, met wat je vooraf regelt.

Contractbijlage informatiebeveiliging, 20 artikelen. Van cloudsoevereiniteit en assurance tot FIDO2, just-in-time beheer, SSDLC en AI. Opgebouwd vanuit de risico's die gemeenten nu zien (identity, werkplek, kwetsbaarheden), verankerd in BIO2. Sjabloon met invulvelden, plakbaar in Word.

Handleiding om als publieke organisatie volledig over te stappen op phishing-resistente authenticatie met passkeys (FIDO2). Waarom het de grootste aanvalsroute afsnijdt, de negen stappen van inzicht tot borging, de keuzes die het verschil maken (geen fallback, device-bound, TAP als enige herstelroute) en wat er in de praktijk tegenzat. Met directiememo, FAQ, managersmail en herstelprocedure als sjablonen.

Handleiding in acht stappen voor de CISO of ISO die een tijdelijk, defensief interventieteam wil neerzetten naast de reguliere IV-lijn. Trigger en nulmeting, team op kunnen, mandaat op één A4, de organisatie meenemen, één dreiging van begin tot eind, ritme, opschalen en afbouwen. Met mandaatprotocol, memo's per gremium en een uitgewerkte voorbeeldcasus als bijlagen.

Wie organiseert de digitale weerbaarheid van de Nederlandse overheid? Open dataset van 83 partijen en 19 concrete diensten, met vijf visualisaties van overlap en gaten. Machineleesbaar, zodat je er je eigen weergave op kunt bouwen.

Kant-en-klare awareness-sessie van veertig minuten voor leidinggevenden. Hoe hacks en datalekken echt beginnen, bij een mens die klikt, plakt, belt of goedkeurt, en wat je er zelf en als team tegen doet. Publiek bekende casussen, invulbare placeholders.

Verwijzingen naar open bronnen en tooling met een specifiek, afgebakend doel: credential-kennisbank, threat modeling in één HTML-bestand, web-reconnaissance, extern aanvalsoppervlak. Per bron kort wat het is en wanneer je het inzet.

Meet met Defender for Endpoint en Advanced Hunting wat er op je werkplekken feitelijk draait, en beperk daarna pas. Met zes KQL-query's voor PowerShell, Win+R, mshta en ClickFix, een configuratiecheck die "aan" onderscheidt van "gekoppeld en actief", en het advies om PowerShell te beheersen met Constrained Language Mode in plaats van te blokkeren.

Twee lagen die met Microsoft 365 E5 grotendeels afgedekt kunnen worden, maar in de praktijk vaak op standaard of "deels" staan. Toets de feitelijke inrichting van Defender for Office, Conditional Access, app-consent en legacy authentication, met per punt wat "goed" eruitziet. In veel gemeenten komt het merendeel van de incidenten via e-mail en identiteit binnen, niet via de werkplek.

Logs van systemen, applicaties en netwerk centraal verzamelen en bewaren, zodat je bij een incident zicht en bewijs hebt. Dit is de fundering onder elke vorm van detectie: zonder logverzameling valt er niets te monitoren, hoe je de opvolging ook organiseert. Met de stappen, het bewijs dat je aan het eind kunt laten zien, en een vergelijking van de vier routes waaruit je daarna kiest.

Een SIEM die je zelf bezit maar samen met een externe partij beheert: jij houdt de regie en het eigendom van data en detectieregels, de partij brengt schaal en dekking buiten kantooruren. Past bij organisaties die zelf securitycapaciteit hebben of opbouwen. Met de taakverdeling, de use-cases en het bewijs dat de opvolging binnen de afgesproken tijd gebeurt.

Monitoring en detectie volledig uitbesteden aan een Managed Security Service Provider, wanneer een eigen securityteam er niet is en ook niet snel komt. Snel operationeel en zonder eigen nachtrooster, maar met leveranciersafhankelijkheid en beperkte kennisopbouw. Met de scope-eisen, de SLA-afspraken en het bewijs dat de opvolgtijden gehaald worden.

Managed Detection and Response combineert detectie met een responsteam dat namens jou ingrijpt: een besmette machine isoleren, een account blokkeren, binnen een vooraf afgesproken mandaat. De snelste daadwerkelijke respons zonder eigen team, maar je geeft een handelingsmandaat uit handen. Met de mandaatvraag, het oefenscenario en het bewijs dat de containment werkt.

Meerdere organisaties delen een SOC: gedeelde kosten, gedeelde schaarse expertise, en de regie blijft publiek. Past bij kleine en middelgrote organisaties die al samenwerken of dat willen. Met de governance, de verwerkersafspraken tussen deelnemers en het bewijs dat de opvolging binnen de afgesproken tijd gebeurt.

Beheerders krijgen aparte accounts per tier: identity en kroonjuwelen, servers en infrastructuur, werkplekken. Een account uit de ene tier kan niet inloggen op een lagere, zodat een gecompromitteerde werkplek geen beheerrechten oplevert. Met de indeling, de logon-beperkingen en het bewijs dat de scheiding technisch is afgedwongen.

Beheertaken gebeuren vanaf een apart gehard werkstation zonder e-mail en zonder browsen, zodat een phishingmail of besmette website nooit op dezelfde machine landt als de beheersessie. Met de inrichting, de uitzonderingen en het bewijs dat de toegestane toegang technisch is afgedwongen.

Permanente beheerrollen vervangen door rechten die je per keer activeert, met een reden en een tijdslimiet. Zo is het aantal accounts met staande rechten op elk moment vrijwel nul, en levert een gestolen beheeraccount buiten een activering niets op. Met de uitfasering, de noodaccounts en het activeringslogboek als bewijs.

Een aparte fysieke sleutel eisen voor beheertaken, zodat een gecompromitteerde werkplek geen beheerrechten oplevert. De zwaarste vorm van authenticatie op de zwaarste rechten. Met de uitgifte, het herstelproces en het bewijs dat de eis technisch is afgedwongen.

De zwakke routes naast je sterke authenticatie opruimen: verouderde protocollen, herstelroutes en accounts die nog zonder sterke methode inloggen. Een sterke voordeur naast een open achterdeur is geen maatregel. Met de sanering en het bewijs dat er geen omweg meer is.

Sessietokens binden aan het apparaat en de sessieduur beperken, zodat een gestolen token buiten zijn context niets waard is. Dit is de tegenmaatregel tegen cookie-replay na een adversary-in-the-middle-aanval. Met de inrichting, de gebruikersimpact en het bewijs van dekking.

De beheerportalen van je clouddiensten dichtzetten: wie mag erbij, vanaf welk apparaat, en met welke authenticatie. Een cloudportaal is bereikbaar vanaf elke plek ter wereld, dus de toegangsvoorwaarden zijn je enige grens. Met de inrichting en het bewijs dat de beperking geldt.

Rechten in cloudomgevingen terugbrengen tot wat werkelijk gebruikt wordt, op basis van gemeten gebruik in plaats van aanname. Verdieping op het beheersen van toegang tot cloudportalen. Met de meetmethode, de uitfasering en het bewijs dat overtollige rechten weg zijn.

Beheerhandelingen, rolwijzigingen en privileged activiteiten worden vastgelegd, lang genoeg bewaard om een incident te reconstrueren, en er wordt op gealarmeerd. Zonder deze laag is achteraf niet vast te stellen wie wat deed. Met de retentiekeuze, de alerting en het bewijs dat de escalatie is getest.

Beheertoegang loopt via een bastion of jump host in plaats van rechtstreeks vanaf internet, met sterke authenticatie en sessieregistratie op dat ene punt. Zo verklein je het aanvalsoppervlak tot een systeem dat je echt kunt bewaken. Met de inrichting, de alternatieven en het bewijs dat er geen directe route meer is.

Ontdekken en blijven bewaken wat er vanaf internet van je organisatie te zien is, inclusief de diensten die niemand meer kent. Wat je niet weet dat bestaat, patch je niet. Met de ontdekmethode, het eigenaarschap per dienst en het bewijs dat de lijst actueel blijft.

Continu scannen op kwetsbaarheden met een spoedprocedure voor wat actief wordt misbruikt, en gemeten doorlooptijden per risicoklasse. Een jaarlijkse scan is geen kwetsbaarhedenbeheer. Met de inrichting, de opvolging en het bewijs dat bevindingen ook echt dichtgaan.

Niet elke kwetsbaarheid is even dringend: exposure management weegt bereikbaarheid, misbruik in het wild en de waarde van het systeem mee, zodat je de scanlijst omzet in een werkbare volgorde. Verdieping bovenop scannen. Met de weging, de bronnen en het bewijs dat prioriteit onderbouwd is.

Patchen van besturingssysteem en third-party software met controle op dekking, zodat je niet alleen weet dat er gepatcht wordt maar ook op hoeveel apparaten het niet lukt. Met risicogestuurde termijnen, versnelde uitrol bij actief misbruik en de achterblijverslijst als bewijs.

Risicogestuurd extern laten pentesten, met herstel van de relevante bevindingen en een hertest die aantoont dat ze dicht zijn. Een test zonder opvolging levert een rapport op, geen beveiliging. Met de scopekeuze, de opvolging en de hertest als bewijs.

Beveiliging van webapplicaties en API-koppelingen testen in de ontwikkelketen, met scanning op afhankelijkheden erbij, zodat kwetsbaarheden worden gevonden voordat ze live staan. Met de plek in de pijplijn, wat blokkerend is voor livegang, en het bewijs van herstel.

Endpointdetectie met tamper protection en bewaakte dekking, plus de mogelijkheid om een besmet apparaat snel te isoleren. Een EDR die op de helft van de apparaten draait, is geen dekking. Met de uitrol, de dekkingsmeting en de isolatietest als bewijs.

Leg je controls naast de volledige aanvalsketen, van ClickFix via infostealer tot exfiltratie, met de MITRE-fasen erbij. Per fase een chokepoint waar je knijpt of zicht krijgt, en of dat preventie, detectie of herstel is. Maakt zichtbaar waar meerdere lagen op elkaar liggen en welke restrisico's je bewust accepteert.

Alleen toegestane software en scripts laten draaien, met een trustmodel in plaats van een uitzonderingenlijst. Verdieping op de werkplekanalyse: eerst meten wat er draait, dan afdwingen. Met de auditfase, de uitrol en het bewijs van dekking.

Het netwerk opdelen in zones die aansluiten op je processen, met regels die daadwerkelijk worden afgedwongen in plaats van getekend. Zo komt een aanvaller die binnen is niet vanzelf overal. Met de zonebepaling, de handhaving en het bewijs dat de grenzen zijn getoetst.

Segmentatie doortrekken tot op werklastniveau, zodat ook binnen een zone niet alles met alles kan praten. Verdieping voor wie de zones al op orde heeft. Met de aanpak, de valkuilen en het bewijs van de afgedwongen regels.

Vertrouw niet op de netwerktekening maar op de configuratie en het verkeer. Stel uit hit-counts, routeringstabellen en flow-logs vast welke regels te breed staan, of oost-west-verkeer werkelijk langs de firewall gaat en of beheertoegang beperkt is. Met de werkwijze om brede regels veilig te versmallen via schaduwregels, en het bewijs dat je aan het eind kunt laten zien.

Een web application firewall met rate limiting en Layer 7-bescherming voor je publieke diensten, die bekende aanvalspatronen blokkeert en tijd koopt wanneer een patch nog niet uitgerold kan worden. Met de overgang van detecteren naar blokkeren, het beheersen van vals-positieven en het bewijs van dekking.

Volumetrische aanvallen laten afvangen bij een upstream partij, met robuuste en redundante DNS eronder. Zonder deze laag kan een aanval je dienstverlening plat leggen ongeacht wat je zelf hebt ingericht. Met de afspraken vooraf, de opschaling en het bewijs dat de mitigatie daadwerkelijk actief is.

Back-ups die niet gewijzigd of gewist kunnen worden, ook niet door een gecompromitteerd beheeraccount, met beheer dat gescheiden is van de rest. De aanvaller zoekt tegenwoordig eerst de back-up. Met de inrichting, de scheiding en het bewijs dat de onveranderbaarheid technisch is afgedwongen.

Periodiek daadwerkelijk terugzetten en meten of je de afgesproken hersteltijd en het maximale dataverlies haalt. Een back-up die nooit is teruggezet, is een aanname. Met de opzet van de test, de RTO en RPO uit de BIA, en het testverslag als bewijs.

Het ransomware- en crisisherstelplan oefenen met de lijn erbij, inclusief isolatie, besluitvorming en de volgorde waarin je herstelt. Een plan dat nooit is geoefend, werkt niet op de dag dat het nodig is. Met de opzet van de tabletop, de rollen en het oefenverslag als bewijs.

Vooraf vastleggen wie wat zegt tijdens een cyberincident, aan medewerkers, inwoners, pers en toezichthouder, met kanalen die werken als de eigen omgeving plat ligt. Verdieping op de crisisoefening. Met de rollen, de kanalen en het bewijs dat het is geoefend.

Vastgelegde en geoefende procedures voor de incidenttypen die je het vaakst treffen: een overgenomen account, een phishing- of BEC-melding, en misbruik van een externe kwetsbaarheid. Met de rollen, de escalatie en de oefenverslagen als bewijs dat er echt gehandeld wordt.

In beeld brengen welke kritieke processen op welke systemen en leveranciers leunen, en wat er omvalt als er een uitvalt. Uit bronnen die je vaak al hebt. Met de opbouw, het actueel houden en het overzicht als bewijs.

Kritieke leveranciers periodiek en risicogestuurd beoordelen, met een aangewezen eigenaar en actuele onderbouwing in plaats van een ingevulde vragenlijst uit het verleden. Met de cyclus, de weging en het bewijs dat de beoordeling ook echt plaatsvindt.

De technische maatregelen van kritieke leveranciers toetsen in plaats van aannemen, met pentest- en exitverplichtingen in het contract. Verdieping op de leveranciersbeoordeling. Met de eisen, de exitafspraken en het bewijs dat er getoetst is.

Een procedure voor datalekken in negen stappen, van melding tot evaluatie, met per stap wie het doet en wie eindverantwoordelijk is. Met een afwegingskader van acht vragen voor de keuze melden bij de Autoriteit Persoonsgegevens en bij de betrokkene, de vragen voor het meldformulier in het servicedesksysteem, een brief om de betrokkene te informeren en een sjabloon voor de kwartaalevaluatie.

Een procedure voor alle rechten van betrokkenen onder de AVG en de Wpg, met zes stappen van ontvangst tot evaluatie, een uitwerking per recht en tips voor verzoeken onder de Wpg. Met 25 brieven voor elke fase van een inzage- of verwijderverzoek (identificatie, verduidelijking, uitstel, besluit, beëindiging), het overzicht van persoonsgegevens dat bij een besluit hoort, en een privacyverklaring voor medewerkers.

Een lichte DPIA-werkwijze voor gemeenten. De kennishouder beschrijft het proces zelf, privacy officer en security officer schuiven aan in drie overleggen, en de proceseigenaar beslist over de maatregelen. Met een compact sjabloon van tien hoofdstukken, voorgevulde teksten voor camera's op grond van gerechtvaardigd belang, een vragenlijst en een security-assessment van de leverancier.

Drie stappenplannen in zes stappen (nieuw proces, gewijzigd proces, nieuw project) met doorlooptijden per stap, een standaardset van twaalf privacy-eisen voor het programma van eisen bij een aanbesteding plus zeven eisen voor zelfontwikkeling, en een checklist van negen punten voor een privacyvriendelijke website met een jaarlijkse controle van de cookiebanner.

Een procedure in vijf stappen voor alle privacyovereenkomsten (verwerkersovereenkomst, gezamenlijke verantwoordelijkheid, gegevensuitwisseling): rol bepalen, opstellen, reviewen, archiveren en jaarlijks controleren, met een extra checklist voor Wpg-verwerkers. Met eigen sjablonen voor een gegevensuitwisselingsovereenkomst tussen zelfstandige verantwoordelijken en een interne BRP-gegevensleveringsovereenkomst, een ingevulde bijlage met beveiligingsmaatregelen en een toelichting op de bijlagen.

Hoe een privacyteam vier registers van verwerkingen centraal beheert en publiceert, met de proceseigenaar als eindverantwoordelijke voor de actualiteit en een kennishouder die twee keer per jaar een controlemail krijgt. Met een RACI over elf taken en een invulhulp per veld, van risicoclassificatie en DPIA-status tot algoritme en doorgifte buiten de EER.

Drie stukken voor gemeenten met boa's: een DPIA-sjabloon dat de Wpg-artikelen naast de AVG-structuur zet, een sjabloon voor een verbeterplan na een interne of externe Wpg-audit, en een ingevulde privacyverklaring die per boa-domein uitlegt welke werkprocessen politiegegevens verwerken en welke gegevens dat zijn.

Het hele privacybeleid van een samenwerking van gemeenten in vijf lagen: een strategisch privacybeleid met besturingsmodel, het actuele privacybeleid (met hoofdstukken over de Wpg en AI), een addendum waarmee de gemeenteraad het beleid voor zichzelf vaststelt, een beleid privacy by design met acht maatregelen en een formulier, en een privacyhandboek dat per onderwerp zegt wat een medewerker moet doen.

Voor een DPIA hoef je niets zelf te bouwen. Het Rijk heeft een invulhulp die de plichttoets uitrekent en het Rijksmodel invult, de Informatiebeveiligingsdienst heeft een handreiking met sjablonen en een bibliotheek met 27 uitgevoerde gemeentelijke DPIA's om van te lenen. Deze wegwijzer zet ze in de volgorde waarin je ze gebruikt.

Hoe je samen met de lijn vaststelt welke processen echt niet mogen uitvallen, welke continuiteitseisen daarbij horen en in welke volgorde je herstelt. Met de vuistregels per proces als checklist, en het deel dat meestal ontbreekt, namelijk hoe je die keuze houdbaar houdt als de organisatie verandert.

Een basissjabloon voor een business impact analyse en een risicoanalyse dat elke overheidslaag kan gebruiken: een blad per dienst met identificatie, impact per tijdvenster, hersteleisen, afhankelijkheden en terugval, en een risicotabel met dezelfde impactschaal. Met een vergelijking van tien bestaande formats, wat elk ervan mist, en de vier keuzes die je maakt voordat je het sjabloon invult.

Hoe je per kritieke dienst kiest wat er gebeurt als de normale voorziening wegvalt, met de nadruk op clouddiensten, data en leveranciers. Vijf stappen van de hersteleis uit de BIA naar een geteste uitwijkkeuze, met de uitwijkkaart als invulformat: een rij per dienst die laat zien of de gekozen vorm de hersteltijd haalt, wat contractueel geregeld is en wanneer er voor het laatst echt is uitgeweken.

Een bedrijfscontinuïteitsplan dat uitgeprint werkt op de dag dat de ICT eruit ligt: crisisteam, herstelvolgorde, opschaling, drie fasen, scenario's, noodcommunicatie en meldingen, met bereikbaarheidslijst, logboek, crisiskoffer en actiekaarten. Voor elke bestuurslaag, met een termenlijst.

Startpakket voor de organisatie die nog geen team heeft dat een digitale calamiteit bestrijdt. Rolverdeling, logboek, sleutelbesluiten en evaluatie, met de invulformulieren erbij. Te beleggen binnen de eigen bedrijfsvoering, dus zonder eerst de crisisorganisatie te hoeven verbouwen.

Een twee-pager voor de ambtelijke top over wat bedrijfscontinuïteit is, wat de Cbw, de Wwke en de BIO2 erbij zeggen en welke drie vragen een bestuurder stelt. Met een werkinstructie om er met een AI-assistent een eigen versie van te maken, en zes vormen die je op hetzelfde materiaal kunt bouwen, van een kaartje met drie vragen tot een tafeloefening van 45 minuten.

Klikbare toets waarmee een gemeenschappelijke regeling of zbo zelf vaststelt of zij als overheidsinstantie onder de Cyberbeveiligingswet valt. Loopt de vier cumulatieve criteria langs, vraagt per antwoord om het bewijsstuk, en levert geen oordeel maar een ingevuld dossier met de punten die naar een jurist moeten. Rekent in de browser, er gaat niets naar een server.

Klikbare toets waarmee een gemeente per AI-toepassing vastlegt of zij aanbieder of gebruiksverantwoordelijke is, en of de toepassing hoog risico is. Wie zelf een toepassing samenstelt, ook op een ingekocht platform en ook voor intern gebruik, is aanbieder. Bij hoog risico is dat het verschil tussen een gebruikersplicht en een conformiteitsbeoordeling met CE-markering. Levert een classificatiebesluit met onderbouwing. Rekent in de browser.

Een beleidsset informatiebeveiliging voor de 21 BIO 2.0-domeinen die je op maat maakt. Beantwoord een paar contextvragen, zoals wie je IT beheert, waar je systemen draaien en of je onder de Cbw valt, en de generator stelt per domein een conceptbeleid samen met de regels die bij jouw organisatie passen. Elke regel noemt de maatregel die hij invult, elk stuk heeft een controleraamwerk, en een test bewijst dat elke set alle 117 overheidsmaatregelen en 40 ISO-beheersmaatregelen dekt, bij elk antwoord. Zonder antwoorden lees je alle varianten naast elkaar.

Hoe een samenwerking van gemeenten de invoering van BIO 2.0 aanpakt, met de cijfers die in handreikingen ontbreken. Deel 1 (het managementsysteem) in zeven onderdelen met producten, eigenaar en uren per rol, samen 768 uur. Deel 2 (de maatregelen) via beleid per thema, maatregelen in de bestaande beheerprocessen met het bewijs in het ticket, een vaststellingsroute en een volgorde van 21 thema's met de afdeling die eigenaar is. Met de randvoorwaarden en de zes projectrisico's die het plan zelf noemt, en een sjabloon om je eigen plan in te vullen.

Wat governance, risk en compliance is, waarom security, privacy en continuïteit er één stelsel voor nodig hebben, en twee manieren om dat te doen. Een GRC-tool kopen, of een risicoregister bijhouden waarin elk risico uit een aangetoonde fout in een maatregel volgt en de prioriteit wordt uitgerekend, met een AI-assistent als lezer binnen vaste regels. Met het model, een doorgerekend voorbeeld van een verzonnen gemeente, plakbare prompts en een leeg register.

Compleet AI-beleid van vier samenwerkende gemeenten, geanonimiseerd met vertaalsleutel. Waarden met een beslismoment, governance en rollen, drielagenmodel voor tools, AI-geletterdheid. Acht hoofdstukken plus twee bijlagen, ook als markdown om aan te passen of te diffen.