Besluit beveiligde verbinding met overheidswebsites en -webapplicaties

In dit besluit wordt verstaan onder:
a. HSTS: «HTTP Strict Transport Security», IETF RFC 6797;
b. HTTPS: «HyperText Transfer Protocol Secure», IETF RFC 9110;
c. TLS-richtlijnen: de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS), versie 2.1.1, gepubliceerd op https://www.ncsc.nl/documenten/publicaties/2021/januari/19/ict-beveiligingsrichtlijnen-voor-transport-layer-security-2.1;
d. Webapplicatie-richtlijnen: de ICT-Beveiligingsrichtlijnen voor Webapplicaties, versie 2015, gepubliceerd op https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ict-beveiligingsrichtlijnen-voor-webapplicaties

Bestuursorganen als bedoeld in artikel 1:1, eerste lid, onderdeel a, van de Algemene wet bestuursrecht, beveiligen hun publiek toegankelijke websites en webapplicaties door toepassing van HTTPS en HSTS, met dien verstande dat:
a. de standaarden worden geconfigureerd overeenkomstig de instellingen die de status voldoende of goed krijgen in de TLS-richtlijnen;
b. een bezoeker wordt doorverwezen naar de HTTPS-versie op de bezochte domeinnaam voordat naar andere domeinnamen wordt doorverwezen overeenkomstig maatregel 5 bij beveiligingsrichtlijn U/WA.05 van de Webapplicatie-richtlijnen; en
c. een HSTS-geldigheidsduur van tenminste twaalf maanden (max-age=31536000) wordt gehanteerd.

Dit besluit treedt in werking met ingang van 1 juli 2023

Dit besluit wordt aangehaald als: Besluit beveiligde verbinding met overheidswebsites en -webapplicaties.