ABRO 2026 — Ontwerpdocumenten hoofdstuk 4 (Cyber) Zes one-pagers: van minimale opstelling tot migratieanalyse · ABRO 2026 · niveau-indicatie per document
Elk document beschrijft één ontwerppatroon: wat je moet bouwen, welke eisen gelden (ABRO 2026-nummering), welke Goedgekeurde Middelen horen bij welke bouwsteen, de herkomsttoets en de delta t.o.v. ABDO 2019. De patronen bouwen op elkaar voort: 01/01B zijn het startpunt, 02–04 zijn uitbreidingen, 05 doorsnijdt alles, 06 beantwoordt de migratievraag.
Allerkleinste ABRO-opstelling — TBB inzien
Het minimale bouwpakket: twee computers (scrubber + werkstation) en één versleutelde gegevensdrager. Offline, zonder netwerkkoppeling.
Laptop met TBB — lokale configuratie
Het TBB lokaal opgeslagen en verwerkt: schijfvercijfering met Goedgekeurde Middelen, vijf kanalen, gates en fysische maatregelen.
Zero-footprint werkplek (RDS)
Het TBB verlaat nooit het Vertrouwde Netwerk: Linux-thin-client, versleutelde tunnel (OpenVPN-NL), RD-gateway met MFA, Windows-RDS met schijfvercijfering. Het antwoord op het Linux-versleutelingsgat.
Laptop + scrubber + onvertrouwd netwerk
Twee instroomroutes naar het TBB — dragers via de scrubber (fysieke filterpaal) en netwerk via firewall/DMZ (logische filterpaal) — met diode-richtingscontrole.
Logging conform JSCU Logging-essentials
De JSCU-baseline is Windows-only; de ABRO-eis niet. Alle zestien categorieën vertaald naar Linux (auditd, journald, eBPF) plus de eisen rond collectie, bewaring en manipulatiebescherming.
Delta ABDO 2019 ↔ ABRO 2026
Wat verandert er per thema: negen verzwaringen (AI, herkomst, DMZ, ontwikkeling), vijf versoepelingen (telewerken, publieke cloud, air gap) en de niveaubelevenheden.
Authenticatie — biometrie en wachtwoordbeheer
Biometrie: anti-tamper en spoofing-weerstand, cryptografie rond templates, pincode-uitsluiting. Wachtwoordkluis: boven DV is publieke cloud verboden (5.1.1) — lokaal of self-hosted is de robuuste keuze.
Allerkleinste opstelling op Staatsgeheim·Vertrouwelijk
Zelfde patroon als 01, maar de USB-stick valt als goedgekeurde drager weg: alleen Hiddn (t/m C) resteert, plus compartiment-achtige fysieke omhulling, screenfilters overal en de strengere MFA-variant.