01 Welkom

De FNC Tool (Framework & Norm Compliance) is een hulpmiddel dat leveranciers, compliance-officers en auditors helpt om de ABRO 2026 — Algemene Beveiligingseisen voor Rijksoverheidsopdrachten — in kaart te brengen en te koppelen aan bestaande certificeringen en normenkaders.

Voor wie is deze tool?

• Leveranciers die willen weten welke ABRO-eisen voor hen gelden
• Compliance-officers die de dekking van bestaande certificeringen willen beoordelen
• Auditors en inkopers die een snelle mapping nodig hebben
• Beveiligingsfunctionarissen die de gap-analyse willen uitvoeren

Hoe werkt het?

U selecteert in de zijbalk welke certificeringen uw organisatie heeft. De tool berekent direct welke ABRO-eisen volledig gedekt zijn, welke deels, en waar de gaps zitten. U kunt filteren op hoofdstuk, TBB-niveau, framework of zoekterm, en de resultaten exporteren naar CSV of PDF.

02 De homepagina

De homepagina (home.html) is het startpunt. U vindt hier:

• Globale zoekbalk — zoek door alle eisen, events, controls en pagina's
• Tegels — snelle toegang tot ABRO Eisen, Typen toepassingen, ABDO Vergelijking, JSCU Logging, Gap Analyse en Kennisbank
• Over FNC Tool — samenvatting van wat de tool biedt
• Cache-knop — onderaan kunt u de cache wissen en de tool opnieuw laden

Navigeren

Gebruik de zijbalk links om tussen pagina's te wisselen. Op mobiel opent u de zijbalk met de hamburger-knop linksboven. De actieve pagina is gemarkeerd met een blauwe balk.

03 ABRO Eisen bekijken

De pagina ABRO 2026 Eisen (index.html) bevat alle 445 eisen, verdeeld over 5 hoofdstukken: Bestuur, Personeel, Fysiek, Cyber en Cloud.

Filters gebruiken

• TBB — toon alleen eisen voor een specifiek TBB-niveau (1 t/m 4)
• Dekking — filter op volledig gedekt, deels gedekt of niet gedekt (gap)
• Framework — toon alleen eisen die mappen naar een specifiek framework (bijv. ISO 27001)
• Zoek — zoek op trefwoord, eis-nummer of controle (bijv. NATO SECRET, VGB B, A.5.1)

Hoofdstukken

Klik op een hoofdstuk-kaart op het dashboard of in de zijbalk om direct naar dat hoofdstuk te springen. Per hoofdstuk ziet u hoeveel eisen er zijn en hoe de dekking verdeeld is.

TBB-niveaus

Elke eis toont de relevante TBB-niveaus (1 t/m 4) als gekleurde badges. Dat helpt u snel zien welke eisen gelden voor welk soort gerubriceerde informatie.

Eis-details

Klik op een rij om de details open te klappen: volledige tekst, framework-mappings, en een veld om een eigen notitie toe te voegen.

04 Framework mapping begrijpen

Per eis zien we in welke mate bestaande frameworks dezelfde of vergelijkbare control dekken:

• Volledig gedekt — de eis is één-op-één gedekt door tenminste één geselecteerd framework
• Deels gedekt — er is een gedeeltelijke mapping; aanvullende maatregelen nodig
• Gap — geen van de geselecteerde frameworks dekt deze eis

Certificeringen selecteren

In de zijbalk links staat een blok "Certificeringen leverancier" met checkboxes:

• ISO 27001:2022 / ISO 27002:2022
• NIST CSF 2.0
• BIO 2.0
• CSA CCM v4
• ABDO 2019
• ISO 45001
• JSCU Logging Essentials
• EN 50131 / EN 50600
• Wpbr / Screening

Vink aan wat uw organisatie heeft. De dekkingsberekening gebeurt direct.

05 Gap Analyse uitvoeren

1. Open de pagina ABRO 2026 Eisen of klik op de tegel Gap Analyse op de homepagina.
2. Selecteer in de zijbalk de certificeringen die uw organisatie bezit (meerdere tegelijk is mogelijk).
3. Bekijk het dashboard: totaal aantal eisen, volledig gedekt, deels, en gaps.
4. Klik op het tabblad Gap Analyse om alleen de niet-gedekte eisen te zien.
5. Filter eventueel op TBB-niveau om alleen gaps voor uw toepassingsgebied te zien.
6. Exporteer de gap-lijst naar PDF of print hem direct.

05a ABRO Werkblad

Het ABRO Werkblad is een aparte werkomgeving om per eis aan te geven of deze van toepassing is op uw organisatie. Anders dan de ABRO Eisen pagina (die frameworks vergelijkt), focust het Werkblad op uw eigen beoordeling.

Invulhulp — Profiel

1. Selecteer bovenaan uw hoogste TBB-niveau (1, 2, 3 of 4).
2. Kies het type toepassing: access-to-site, fysieke opslag, digitale opslag of clouddienst.
3. De tool toont welke ABRO-hoofdstukken dan van toepassing zijn.
4. Klik op Toepassen op werkblad om automatisch te filteren.

Per eis beoordelen

1. Per eis kiest u een status: Van toepassing, Nader te bepalen, Niet van toepassing, of laat open.
2. Voeg een notitie toe per eis (bv. welke maatregel al genomen is, wie verantwoordelijk is).
3. Klik op de TBB-kolom om een aangepast TBB-niveau voor die specifieke eis in te stellen.
4. Voortgangsstatistieken bovenaan tonen hoeveel u al beoordeeld heeft.

Selectief printen

Via de knop Print / PDF ▾ kunt u printen op basis van uw keuze:

• Huidige selectie (gebruikt actieve filters)
• Alleen eisen met notitie
• Alleen van toepassing
• Nader te bepalen
• Van toepassing + nader
• Alles zonder filters

Importeren — eerder werkblad terugzetten

Een eerder geëxporteerd werkblad kunt u weer inlezen, bijvoorbeeld na een audit, op een nieuw apparaat of om resultaten met een collega te delen.

1. Klik rechtsboven op Import.
2. Kies een eerder geëxporteerd .csv- of .xlsx-bestand.
3. De tool leest per eis-ID de kolommen Status en Notitie en zet die terug in het werkblad.
4. Bestaande beoordelingen worden overschreven door de geïmporteerde waarden.

06 Notities toevoegen

Bij elke eis kunt u een eigen notitie plaatsen — bijvoorbeeld uw interpretatie, de implementatiestatus of een verwijzing naar een intern document.

1. Ga naar de pagina ABRO 2026 Eisen.
2. Klik op een eis om de details te openen.
3. Scroll naar het veld Notitie onderaan.
4. Typ uw tekst en klik op Opslaan.

Notities worden opgeslagen in de localStorage van uw browser op dit apparaat. Ze worden meegenomen in de CSV-export.

07 Export — CSV, Excel en PDF

CSV export

1. Stel eerst uw filters in (hoofdstuk, TBB, framework, zoek).
2. Klik rechtsboven op Export CSV.
3. Er wordt een .csv-bestand gedownload met alle gefilterde eisen, dekking, frameworks en uw notities.
4. Open het bestand in Excel, Numbers of Google Sheets.

Excel export (.xlsx)

1. Klik rechtsboven op Export Excel.
2. Er wordt een echt .xlsx-bestand gedownload met geformatteerde kolommen en geoptimaliseerde breedtes.
3. Direct te openen in Microsoft Excel, Numbers of Google Sheets zonder importwizard.
4. Werkt ook op zowel ABRO Eisen als ABRO Werkblad.

PDF export

1. Stel filters naar wens in.
2. Klik op Export PDF.
3. Het printdialoog opent. Kies Opslaan als PDF als doel.
4. Klik op Opslaan en kies een locatie.

08 Kennisbank gebruiken

De pagina Kennisbank (diamond.html) geeft achtergrond bij de modellen en methodieken die in de ABRO voorkomen:

• Diamond Model — dreigingsanalyse met 4 componenten: Adversary, Capability, Infrastructure, Victim
• Cyber Kill Chain — de 7 fasen van een gerichte aanval (Lockheed Martin)
• MITRE ATT&CK — kennisbank met tactieken, technieken en procedures van aanvallers
• MITRE D3FEND — defensieve tegenhanger: 6 tactieken (Model, Harden, Detect, Isolate, Deceive, Evict) met directe koppeling naar ATT&CK-technieken
• Supply Chain Security — risico's en maatregelen in de toeleveringsketen
• Incident Response — aanpak volgens NIST SP 800-61 Rev. 3 en CSF 2.0
• Zero Trust — "never trust, always verify"-principe
• Shared Responsibility — verdeling van verantwoordelijkheden in de cloud

Gebruik deze pagina als referentie bij het schrijven van uw beveiligingsplan of als training voor uw team.

09 JSCU Logging — Event ID lookup & werkblad

De pagina JSCU Logging bevat 194 Windows Event IDs in 16 categorieën, die door de Joint Sigint Cyber Unit Nederland zijn aangewezen als baseline voor detectie en forensisch onderzoek. De pagina werkt zowel als naslag als als werkblad: per Event ID kunt u vastleggen of de logging in uw omgeving actief is.

Logging Index — categorie-chips

Bovenaan de pagina staat een index met chips per categorie (bijv. Account Activity, Microsoft Defender, Sysmon). Per chip ziet u het aantal Event IDs in die categorie.

• Klik op een chip om alleen events uit die categorie te tonen.
• Klik op Toon alles om het filter te wissen.
• De actieve chip licht in JSCU-groen op.

Event ID opzoeken

1. Typ in de zoekbalk een Event ID (bijv. 4624), categorie, subcategorie, channel, provider of GPO-pad.
2. De tabel filtert direct op uw invoer; bij een exacte categorie-match licht de bijbehorende chip op.
3. Per event ziet u: Event ID, subcategorie, beschrijving, provider, channel, level en het volledige GPO-pad om het in te schakelen.

JSCU Werkblad — status & notitie per Event ID

Per regel kunt u uw eigen beoordeling vastleggen:

• Status: Te beoordelen (default), Actief, Niet actief of N.v.t.
• Notitie: vrije tekst — bv. SIEM-regelnaam, GPO waarin het is ingeschakeld, of een uitzondering.

Bovenaan de tabel staat een statistiekenbalk met de tellingen per status; deze ververst direct bij elke wijziging. Alles wordt automatisch lokaal opgeslagen in localStorage (sleutel fnc:jscuWerkblad).

Export, import & reset

1. Export JSON — download een JSON-bestand met alle status-waarden en notities (datum in bestandsnaam).
2. Import JSON — lees een eerder geëxporteerd bestand weer in. Bestaande waarden worden samengevoegd; geïmporteerde waarden hebben voorrang.
3. Reset werkblad — wist alle status-waarden en notities. De event-data zelf blijft staan.

Gebruik in SIEM

Deze baseline is bedoeld als vertrekpunt voor uw SIEM/SOAR-configuratie. Aanbevolen retentie is minimaal 6 maanden. Complementair aan AV, IDS en EDR. Gebruik het werkblad om te documenteren welke events u al verwerkt — handig als bewijslast bij audits.

10 TBB Stelsel

Het TBB-stelsel (Te Beschermen Belangen) bepaalt welke ABRO-eisen op uw opdracht van toepassing zijn. Er zijn 4 niveaus:

• TBB 4 — Dep. VERTROUWELIJK — nadeel voor ministerie(s)
• TBB 3 — Stg. CONFIDENTIEEL — schade aan Staat / bondgenoten
• TBB 2 — Stg. GEHEIM — ernstige schade
• TBB 1 — Stg. ZEER GEHEIM — zeer ernstige schade

TBB-bepaling

Het TBB-niveau wordt bepaald door de opdrachtgever (Rijksoverheid). U ontvangt dit als onderdeel van de aanbesteding of opdrachtverlening. Als leverancier kunt u het niet zelf bepalen.

Typen toepassingen

Op de pagina TBB Stelsel vindt u een sectie Typen toepassingen. Per type (access-to-site, fysieke opslag, digitale opslag, clouddienst) ziet u welke ABRO-hoofdstukken gelden.

11 VGB-aanvraag (UVO proces)

Medewerkers die toegang nodig hebben tot gerubriceerde informatie moeten een Verklaring van Geen Bezwaar (VGB) hebben. Deze wordt aangevraagd via de UVO (Unit Veiligheidsonderzoeken).

1. Functieprofiel opstellen — welke functies bij uw organisatie toegang nodig hebben en op welk TBB-niveau.
2. Aanwijzing vertrouwensfunctie — schriftelijk vastleggen dat de functie vertrouwelijk is.
3. VGB-aanvraag indienen via de UVO met onderliggende stukken van de medewerker.
4. Veiligheidsonderzoek door AIVD of MIVD (afhankelijk van context en TBB-niveau).
5. VGB afgegeven — medewerker mag worden ingezet op de vertrouwensfunctie.
6. Herhaalonderzoek elke 5 jaar (TBB 2/1 vaker) of bij verandering functie of omstandigheden.

12 Dark mode

U kunt wisselen tussen licht en donker thema:

1. Klik onderaan de zijbalk op Donker thema.
2. Het thema wisselt direct en wordt onthouden voor uw volgende bezoek.
3. Om terug te gaan: klik op Licht thema.

De voorkeur wordt opgeslagen in uw browser en geldt voor alle pagina's van de tool.

13 Globale zoekfunctie

Bovenaan elke pagina (of op de homepagina) staat een globale zoekbalk. Deze doorzoekt alles tegelijk:

• Alle 445 ABRO-eisen
• Alle 194 JSCU Event IDs
• Framework-controls (ISO, NIST, BIO, CCM, etc.)
• Namen van pagina's

Gebruik

1. Klik in de zoekbalk of druk op / (waar ondersteund).
2. Typ minimaal 2 tekens.
3. Resultaten verschijnen gegroepeerd per categorie (ABRO, JSCU, ISO, etc.).
4. Klik op een resultaat om direct naar die eis, event of pagina te springen.

14 Instellen als iPad app (PWA)

De FNC Tool kan als app op uw iPad worden geïnstalleerd — compleet met icoon op het beginscherm en lokale werking. Dit heet een Progressive Web App (PWA).

Installatie op iPad / iPhone

1. Open Safari op uw iPad of iPhone. (Werkt niet in Chrome of Firefox op iOS.)
2. Ga naar de URL van de FNC Tool, bijvoorbeeld https://uwdomein.nl/fnc/home.html.
3. Tik bovenaan of onderaan het scherm op het deel-icoon — een vierkantje met een pijl omhoog.
4. Scroll in het deel-menu omlaag tot u de optie "Zet op beginscherm" (of Add to Home Screen) ziet. Tik erop.
5. Stel de naam in (voorgesteld: FNC Tool) en pas eventueel aan.
6. Tik rechtsboven op Voeg toe.
7. Het app-icoon staat nu op uw beginscherm.
8. Na de eerste keer openen werkt de tool lokaal dankzij de service worker.

Installatie op Android

1. Open Chrome op Android.
2. Ga naar de URL van de tool.
3. Tik op het menu (drie puntjes) → App installeren of Toevoegen aan startscherm.
4. Bevestig. Het icoon verschijnt op uw homescreen.

Installatie op desktop (Chrome / Edge)

1. Open de URL in Chrome of Edge.
2. Klik rechts in de adresbalk op het installatie-icoontje (een scherm met pijl omlaag).
3. Bevestig. De tool opent vanaf dat moment in een eigen venster.

15 Lokaal gebruik

Na uw eerste bezoek is de volledige tool opgeslagen in uw browser via een service worker. U heeft daarna geen internet meer nodig. Ideaal voor beveiligde werkplekken of onderweg.

Wanneer moet u vernieuwen?

• Als de tool wordt bijgewerkt (nieuwe versie) — open de tool dan één keer met internet om de update te ontvangen.
• Als u nieuwe functies mist of foutmeldingen krijgt.

Gebruik de knop Cache wissen & vernieuwen onderaan de homepagina om handmatig te verversen.

16 Cache wissen

In sommige gevallen is het nodig de cache handmatig te wissen:

• Na een update die niet automatisch wordt geladen
• Bij vreemde weergavefouten
• Wanneer u een schone start wilt

Via de tool

1. Ga naar de homepagina.
2. Scroll naar onder.
3. Klik op Cache wissen & vernieuwen.
4. De pagina herlaadt zichzelf met een schone cache.

17 Privacy & data

• Niets wordt verstuurd. De tool heeft geen backend, geen analytics, geen trackers.
• Alles draait lokaal in uw browser.
• Notities worden opgeslagen in localStorage op uw apparaat.
• Themavoorkeur (licht/donker) wordt ook lokaal opgeslagen.
• Er is geen inlog, geen account, geen cookiebanner nodig.

Het is veilig om de tool te gebruiken in een gerubriceerde of afgeschermde omgeving — er zijn geen externe verbindingen (behalve het laden van fonts, dat met fallback werkt).

18 FAQ — Veelgestelde vragen

Kan ik de tool gebruiken zonder internet?

Na uw eerste bezoek cached de service worker alle bestanden, zodat de tool ook zonder netwerk bruikbaar blijft.

Worden mijn notities gesynchroniseerd tussen apparaten?

Nee. Notities worden lokaal per apparaat opgeslagen. Exporteer ze via CSV als u ze wilt delen of overzetten.

Wordt het JSCU Werkblad meegenomen in een export?

Het JSCU Werkblad heeft een eigen Export/Import (JSON), los van de ABRO CSV/XLSX. Bewaar de JSON als bewijs of om over te zetten.

Welke browser kan ik het beste gebruiken?

Chrome, Edge, Safari en Firefox werken allemaal. Voor installatie als iPad-app heeft u Safari nodig.

Kan ik de tool zelf uitbreiden met eigen frameworks?

Ja, de tool is open — de mapping staat in frameworks-ref.js en abro-data.js. Geavanceerd gebruik; vraag uw beheerder.

Ik zie een fout bij het opslaan van een notitie — wat nu?

Mogelijk is de localStorage vol of geblokkeerd (bijvoorbeeld in privé-modus). Probeer het in een normaal venster en controleer browserinstellingen.

Hoe vraag ik een VGB aan?

Via de UVO (Unit Veiligheidsonderzoeken). Zie de TBB-pagina voor het proces of hoofdstuk 11 in deze handleiding.

De cijfers kloppen niet met wat ik verwacht — wat gaat er mis?

Controleer of de juiste certificeringen zijn aangevinkt, en of u per ongeluk een filter actief heeft laten staan (bijv. TBB-niveau of framework).

Kan ik de export-PDF branden met mijn eigen logo?

Dat zit niet standaard in de tool. U kunt wel na het exporteren de PDF bewerken in een PDF-editor om een logo of kopregel toe te voegen.

Is de tool gecertificeerd of officieel goedgekeurd?

Nee. De tool is een hulpmiddel en pretendeert geen officiële interpretatie. Zie de disclaimer op de homepagina.

Hoe vaak wordt de tool bijgewerkt?

Bij wijzigingen in de ABRO, frameworks of aanvullende feedback. Open de tool af en toe met internet-verbinding om nieuwe versies te ontvangen.