Beveiliging bij DPP Host
Laatst gecontroleerd op 30 september 2026
DPP Host wordt geëxploiteerd door Qubites ApS in Denemarken. Op deze pagina leest u wat we doen om paspoorten en klantgegevens veilig te houden, en hoe we ervoor staan bij elke beheersmaatregel van ISO/IEC 27002:2022.
Hoe we ervoor staan
DPP Host is niet gecertificeerd volgens ISO/IEC 27001.
We hebben onze eigen maatregelen getoetst aan de 93 beheersmaatregelen van ISO/IEC 27002:2022 en het resultaat op 30 september 2026 gecontroleerd. Geen auditor heeft dit nagekeken. Hieronder staat elke beheersmaatregel met zijn status.
- 28 Geregeld Werkt nu al, en we kunnen het aantonen.
- 53 Deels geregeld Een deel werkt al. De rest is benoemd en heeft een eigenaar.
- 7 Gepland Heeft een eigenaar en een vastgelegde aanleiding om te starten. Er werkt nog niets.
- 5 Niet van toepassing Geldt niet voor DPP Host. De reden is vastgelegd.
Wat we doen
Waar uw gegevens staan
De database, de inlogdienst en de serverfuncties draaien in Frankfurt (EU). Gepubliceerde paspoorten, afbeeldingen en bestanden van leveranciers worden opgeslagen in Cloudflare R2, onder EU-jurisdictie. Sommige gegevens worden buiten de EU verwerkt. Zo levert Cloudflare pagina’s vanuit het datacenter dat het dichtst bij de bezoeker ligt, bewaart Resend kopieën van de e-mails die we versturen 30 dagen in de Verenigde Staten, en worden koppelingen met AI-apps opgeslagen in Cloudflare Workers KV, dat niet tot de EU beperkt is.
Wie wat kan zien
Elke databasetabel heeft toegangsregels per rij. Leden van de ene organisatie kunnen de gegevens van een andere organisatie niet lezen. De openbare sleutel die de website gebruikt, kan geen enkele tabel lezen of beschrijven. Gegevens van de eigenaarsdiensten staan los van de paspoorten en komen nooit in de openbare kopieën terecht.
Geen publicatie zonder tussenkomst van een mens
Een AI-assistent of een integratie kan een paspoort voorbereiden. Iemand van uw organisatie logt opnieuw in en keurt het goed. Alleen een API-sleutel die van een beheerder het recht om te publiceren heeft gekregen, kan zelfstandig publiceren.
Sleutels
API-sleutels worden één keer getoond en alleen als hash met sleutel opgeslagen. Ze verlopen, kunnen met een overgangsperiode worden vernieuwd en werken niet meer zodra degene die ze heeft aangemaakt de organisatie verlaat.
Onderweg en in opslag
Alle verbindingen gebruiken TLS met HSTS. De site, het dashboard en de paspoortpagina’s sturen een Content Security Policy mee. Opgeslagen gegevens worden door onze aanbieders versleuteld.
Back-ups en continuïteit
Gepubliceerde paspoorten worden geleverd vanuit een statische kopie die online blijft als het dashboard of de database uitvalt. Elk gepubliceerd paspoort wordt elke nacht gekopieerd naar een aparte EU-bucket. Ons doel is gepubliceerde paspoorten binnen 8 uur te herstellen, met hooguit 24 uur aan gegevensverlies. Gepubliceerde paspoorten blijven 10 tot 15 jaar na publicatie online, en een schriftelijk afbouwplan legt vast hoe ze online blijven als DPP Host stopt.
Integriteit
Elke gepubliceerde versie heeft een inhoudshash met een onafhankelijke tijdstempel. Iedereen kan controleren dat de versie niet is gewijzigd.
Incidenten
We hebben een schriftelijke procedure voor incidenten en datalekken. Die omvat de meldplicht binnen 72 uur volgens de AVG en het meldings- en actiemechanisme van de digitaledienstenverordening.
De 93 beheersmaatregelen
ISO/IEC 27002:2022 bevat 93 beheersmaatregelen in vier groepen. Elke rij geeft het nummer van de beheersmaatregel, de titel ervan in de norm en onze status op 30 september 2026. Wat we per beheersmaatregel doen, en waar, blijft intern; die informatie is beschikbaar onder NDA.
5 Organisatorische beheersmaatregelen
37 beheersmaatregelen: 14 geregeld, 21 deels geregeld, 2 gepland, 0 niet van toepassing.
| Nr. | Beheersmaatregel | Status |
|---|---|---|
| 5.1 | Beleidsregels voor informatiebeveiliging | Deels geregeld |
| 5.2 | Rollen en verantwoordelijkheden | Geregeld |
| 5.3 | Functiescheiding | Deels geregeld |
| 5.4 | Managementverantwoordelijkheden | Geregeld |
| 5.5 | Contact met overheidsinstanties | Deels geregeld |
| 5.6 | Contact met speciale belangengroepen | Deels geregeld |
| 5.7 | Informatie en analyses over dreigingen | Deels geregeld |
| 5.8 | Informatiebeveiliging in projectmanagement | Geregeld |
| 5.9 | Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen | Geregeld |
| 5.10 | Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen | Geregeld |
| 5.11 | Retourneren van bedrijfsmiddelen | Gepland |
| 5.12 | Classificeren van informatie | Geregeld |
| 5.13 | Labelen van informatie | Deels geregeld |
| 5.14 | Overdragen van informatie | Geregeld |
| 5.15 | Toegangsbeveiliging | Geregeld |
| 5.16 | Identiteitsbeheer | Geregeld |
| 5.17 | Beheren van authenticatie-informatie | Deels geregeld |
| 5.18 | Toegangsrechten | Deels geregeld |
| 5.19 | Informatiebeveiliging in leveranciersrelaties | Deels geregeld |
| 5.20 | Adresseren van informatiebeveiliging in leveranciersovereenkomsten | Deels geregeld |
| 5.21 | Beheren van informatiebeveiliging in de ICT-keten | Deels geregeld |
| 5.22 | Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten | Deels geregeld |
| 5.23 | Informatiebeveiliging voor het gebruik van clouddiensten | Geregeld |
| 5.24 | Plannen en voorbereiden van incidentbeheer | Deels geregeld |
| 5.25 | Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen | Geregeld |
| 5.26 | Reageren op informatiebeveiligingsincidenten | Deels geregeld |
| 5.27 | Leren van incidenten | Geregeld |
| 5.28 | Verzamelen van bewijsmateriaal | Deels geregeld |
| 5.29 | Informatiebeveiliging tijdens een verstoring | Deels geregeld |
| 5.30 | ICT-gereedheid voor bedrijfscontinuïteit | Deels geregeld |
| 5.31 | Wettelijke, statutaire, regelgevende en contractuele eisen | Deels geregeld |
| 5.32 | Intellectuele eigendomsrechten | Geregeld |
| 5.33 | Beschermen van registraties | Deels geregeld |
| 5.34 | Privacy en bescherming van persoonsgegevens | Deels geregeld |
| 5.35 | Onafhankelijke beoordeling van informatiebeveiliging | Gepland |
| 5.36 | Naleving van beleid, regels en normen | Deels geregeld |
| 5.37 | Gedocumenteerde bedieningsprocedures | Geregeld |
6 Mensgerichte beheersmaatregelen
8 beheersmaatregelen: 0 geregeld, 3 deels geregeld, 5 gepland, 0 niet van toepassing.
| Nr. | Beheersmaatregel | Status |
|---|---|---|
| 6.1 | Screening | Gepland |
| 6.2 | Arbeidsovereenkomst | Gepland |
| 6.3 | Bewustwording van, opleiding en training in informatiebeveiliging | Deels geregeld |
| 6.4 | Disciplinaire procedure | Gepland |
| 6.5 | Verantwoordelijkheden na beëindiging of wijziging van het dienstverband | Gepland |
| 6.6 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten | Gepland |
| 6.7 | Werken op afstand | Deels geregeld |
| 6.8 | Melden van informatiebeveiligingsgebeurtenissen | Deels geregeld |
7 Fysieke beheersmaatregelen
14 beheersmaatregelen: 0 geregeld, 10 deels geregeld, 0 gepland, 4 niet van toepassing.
| Nr. | Beheersmaatregel | Status |
|---|---|---|
| 7.1 | Fysieke beveiligingszones | Deels geregeld |
| 7.2 | Fysieke toegangsbeveiliging | Deels geregeld |
| 7.3 | Beveiligen van kantoren, ruimten en faciliteiten | Deels geregeld |
| 7.4 | Monitoren van de fysieke beveiliging | Niet van toepassing |
| 7.5 | Beschermen tegen fysieke en omgevingsdreigingen | Deels geregeld |
| 7.6 | Werken in beveiligde zones | Niet van toepassing |
| 7.7 | ‘Clear desk’ en ‘clear screen’ | Deels geregeld |
| 7.8 | Plaatsen en beschermen van apparatuur | Deels geregeld |
| 7.9 | Beveiligen van bedrijfsmiddelen buiten het terrein | Deels geregeld |
| 7.10 | Opslagmedia | Deels geregeld |
| 7.11 | Nutsvoorzieningen | Niet van toepassing |
| 7.12 | Beveiligen van bekabeling | Niet van toepassing |
| 7.13 | Onderhoud van apparatuur | Deels geregeld |
| 7.14 | Veilig verwijderen of hergebruiken van apparatuur | Deels geregeld |
8 Technologische beheersmaatregelen
34 beheersmaatregelen: 14 geregeld, 19 deels geregeld, 0 gepland, 1 niet van toepassing.
| Nr. | Beheersmaatregel | Status |
|---|---|---|
| 8.1 | Eindapparaten van gebruikers | Deels geregeld |
| 8.2 | Speciale toegangsrechten | Deels geregeld |
| 8.3 | Beperking toegang tot informatie | Geregeld |
| 8.4 | Toegangsbeveiliging op broncode | Deels geregeld |
| 8.5 | Beveiligde authenticatie | Deels geregeld |
| 8.6 | Capaciteitsbeheer | Deels geregeld |
| 8.7 | Bescherming tegen malware | Deels geregeld |
| 8.8 | Beheer van technische kwetsbaarheden | Deels geregeld |
| 8.9 | Configuratiebeheer | Geregeld |
| 8.10 | Wissen van informatie | Deels geregeld |
| 8.11 | Maskeren van gegevens | Geregeld |
| 8.12 | Voorkomen van gegevenslekken | Deels geregeld |
| 8.13 | Back-up van informatie | Deels geregeld |
| 8.14 | Redundantie van informatieverwerkende faciliteiten | Deels geregeld |
| 8.15 | Logging | Deels geregeld |
| 8.16 | Monitoren van activiteiten | Deels geregeld |
| 8.17 | Kloksynchronisatie | Geregeld |
| 8.18 | Gebruik van speciale systeemhulpmiddelen | Deels geregeld |
| 8.19 | Installeren van software op operationele systemen | Geregeld |
| 8.20 | Beveiliging van netwerkcomponenten | Deels geregeld |
| 8.21 | Beveiliging van netwerkdiensten | Deels geregeld |
| 8.22 | Netwerksegmentatie | Geregeld |
| 8.23 | Toepassen van webfilters | Niet van toepassing |
| 8.24 | Gebruik van cryptografie | Deels geregeld |
| 8.25 | Beveiligen tijdens de ontwikkelcyclus | Geregeld |
| 8.26 | Toepassingsbeveiligingseisen | Geregeld |
| 8.27 | Veilige systeemarchitectuur en technische uitgangspunten | Geregeld |
| 8.28 | Veilig coderen | Geregeld |
| 8.29 | Testen van de beveiliging tijdens ontwikkeling en acceptatie | Geregeld |
| 8.30 | Uitbestede systeemontwikkeling | Deels geregeld |
| 8.31 | Scheiding van ontwikkel-, test- en productieomgevingen | Deels geregeld |
| 8.32 | Wijzigingsbeheer | Geregeld |
| 8.33 | Testgegevens | Geregeld |
| 8.34 | Bescherming van informatiesystemen tijdens audits | Geregeld |
Leveranciers
DPP Host draait op de diensten van deze leveranciers. Bij elke leverancier staan de certificeringen die hij op zijn eigen beveiligingspagina vermeldt, gecontroleerd op 30 september 2026 en daarna eens per jaar opnieuw. Ze gelden voor de leverancier, niet voor DPP Host: onze eigen status staat hierboven.
| Leverancier | Wat de leverancier voor DPP Host doet | Certificeringen volgens de leverancier |
|---|---|---|
| Cloudflare | Edge-netwerk, Workers, R2-opslag, DNS, e-mailroutering | ISO/IEC 27001, 27701 en 27018; SOC 2 Type II; PCI DSS |
| Supabase | Database, inlogdienst en serverfuncties in Frankfurt | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Broncode en CI | ISO/IEC 27001; SOC 1 en SOC 2 Type 2 |
| Resend | Verzending van e-mails | SOC 2 Type II |
| Scaleway | Externe kopieën: gebouwd, voorlopig uitgeschakeld | ISO/IEC 27001; HDS |
Documenten en certificering
De volledige Verklaring van Toepasselijkheid en onze beleidsdocumenten zijn op aanvraag beschikbaar onder NDA: hello@dpphost.eu.
Certificering: zodra een klant of de EU-regels voor aanbieders van diensten voor digitale productpaspoorten dat vereisen.
Beveiligingsmeldingen: hello@dpphost.eu. Privacy: privacy@dpphost.eu. We publiceren geen uptimegarantie.
Statussen zoals gecontroleerd op 30 september 2026. Deze pagina verandert wanneer de Verklaring van Toepasselijkheid verandert.