Website voor de overheid: voor overheidsorganisaties en publieke bedrijven

Q: Welke beveiligingsgaranties kunt u een publieke organisatie bieden?

We zijn sinds september 2026 gecertificeerd volgens het Spaanse Nationale Beveiligingsschema (ENS) in categorie midden en volgens ISO/IEC 27001, het kader dat in heel Europa wordt erkend. Het ENS (Real Decreto 311/2022) geldt ook voor bedrijven die diensten aan de Spaanse overheid leveren, en de categorieën MIDDEN en HOOG vereisen certificering door een geaccrediteerde instelling. De details staan op onze pagina certificeringen.

We bouwen, migreren en onderhouden websites en platforms van publieke organisaties: toegankelijk volgens EN 301 549, beveiligd volgens het Spaanse Nationale Beveiligingsschema (ENS), waarvoor we gecertificeerd zijn, op open source en zonder één URL te verliezen bij een versiewissel. Vijftien websites van barcelona.cat en de website van het publieke energiebedrijf van de Generalitat de Catalunya laten het zien.

Mijn project bespreken Bekijk wat we doen

15 Websites van barcelona.cat gebouwd en gemigreerd naar Drupal 10
ENS Categorie midden, gecertificeerd in 2026
RELI Ingeschreven als inschrijver sinds 2019

01 · Requirements Wat de business nodig heeft
02 · Architectuur Gedocumenteerde beslissingen
03 · Code Gereviewd en getest
04 · Deployment Automatisch en omkeerbaar
05 · Performance Core Web Vitals in het groen
06 · Doorontwikkeling Uw team vraagt, wij leveren
Elke metric bepaalt de volgende iteratie

Scroll

Definitie

Wat is webontwikkeling voor de overheid?

Het ontwerpen, bouwen en onderhouden van websites, portalen en platforms van overheden, publieke instellingen en publieke bedrijven, met de eisen die de wet hun oplegt en die een private website niet heeft: verplichte toegankelijkheid, aantoonbare beveiliging, transparantie, meerdere officiële talen en inkoop via aanbesteding.

In Europa steunt de toegankelijkheid van websites en apps van de publieke sector op de norm EN 301 549, die formeel verwijst naar WCAG 2.1 niveau AA. In Nederland geldt voor de overheid het Tijdelijk besluit digitale toegankelijkheid overheid; in Spanje is dat het Real Decreto 1112/2018. Voor beveiliging geldt het Spaanse Nationale Beveiligingsschema (Real Decreto 311/2022) ook voor bedrijven die diensten aan de overheid leveren, en ISO/IEC 27001 is het kader dat in heel Europa wordt erkend.

Samenvatting

Managementsamenvatting

Wat een publieke organisatie van haar webbouwer vraagt, en hoe wij dat waarmaken.

Een overheidswebsite kan zich niet veroorloven wat een private website soms wel doet: dat een schermlezer er niet doorheen komt, dat een migratie links breekt die al jaren in nieuwsbrieven en zoekmachines staan, of dat de leverancier de enige is die weet hoe je publiceert. De lat is dus niet alleen technisch. Het gaat om aantoonbare toegankelijkheid, beveiliging die je in een bestek kunt aantonen, open source die de organisatie naar een andere leverancier kan meenemen en communicatieteams die zelfstandig publiceren.

We hebben het op schaal gedaan. Vier jaar lang bouwden en onderhielden we vijftien websites van het Institut de Cultura de Barcelona binnen barcelona.cat (festivals, musea en inspraakorganen) en migreerden we ze van Drupal 7, 8 en 9 naar Drupal 10 met behoud van content en URL’s. En we bouwden in Laravel de website van L’Energètica, het publieke energiebedrijf van de Generalitat de Catalunya, met transparantieportaal, publieke vacatures en integriteitsmeldpunt in vier talen, binnen een opdracht die in december 2023 werd gegund.

We werken met dezelfde controles die de overheid eist: we zijn sinds september 2026 gecertificeerd voor ENS categorie midden, ISO/IEC 27001 en ISO/IEC 42001, en staan sinds 2019 ingeschreven in het register van inschrijvers van Catalonië. We schrijven in op openbare aanbestedingen en stellen het technische deel van de offerte op met de opsteller van het bestek in gedachten.

15 Websites van barcelona.cat
D7→D10 Migratie met content en URL’s
3 Certificeringen: ENS, ISO 27001 en ISO 42001

Wat is inbegrepen

Waar een overheidswebsite aan moet voldoen

De eisen die we in elk project controleren, van bestek tot onderhoud.

Toegankelijkheid WCAG 2.2 AA, die de WCAG 2.1 AA dekt waarnaar EN 301 549 verwijst, handmatig getest met toetsenbord en schermlezer
Toegankelijkheidsverklaring volgens EN 301 549, gepubliceerd en bijgewerkt bij elke wijziging van de website
Beveiliging volgens het ENS: persoonlijke toegang, activiteitenlog, back-ups, patches en kwetsbaarhedenbeheer
Open source: Drupal, Laravel of de stack die de organisatie bepaalt, met code en data in eigen handen
Meerdere officiële talen per website, met vertaalprocessen die het communicatieteam zelf beheert
Transparantie, publieke vacatures en integriteitsmeldpunt, met rollen die scheiden wat elke afdeling publiceert
Migraties zonder URL-verlies: inventarisatie, redirects en gecontroleerde content voordat de oude versie uitgaat
Traceerbare deployments: configuratie in git en pipeline, niets met de hand aangepast in productie
Redactionele zelfstandigheid: contenthandleiding en training, zodat het dagelijkse werk niet van de leverancier afhangt

Kernpunten

Wat we doen voor publieke organisaties

Zes soorten projecten die we zien bij overheden, samenwerkingsverbanden en publieke bedrijven.

01
Institutionele websites en websites van voorzieningen

Websites van gemeenten, zelfstandige bestuursorganen, musea, festivals en publieke diensten, met contenttypes die zijn ontworpen voor wie elke dag publiceert. Binnen het centrale platform van de organisatie als dat er is, zoals we deden met de profielen en thema’s van barcelona.cat, en niet ertegenin.
02
Ecosystemen met veel websites

Als een organisatie tientallen websites heeft, is de uitdaging dat er geen enkele achterblijft in versie. Hetzelfde deploymentrecept, dezelfde componentenbasis en dezelfde lat voor toegankelijkheid en beveiliging voor allemaal. We leggen het uit bij Drupal-ontwikkeling.
03
Versie- en platformmigraties

Van Drupal 7, 8 of 9 naar Drupal 10, of van een cms zonder ondersteuning naar een ondersteund cms. Inventarisatie van wat er is, migratie van content en URL’s, redirects en controle vóór de overstap. Zo deden we het met de vijftien websites van het ICUB.
04
Toegankelijkheid en toegankelijkheidsverklaring

Audit volgens WCAG 2.2 AA, correctie in de code (geen overlays) en een toegankelijkheidsverklaring volgens EN 301 549. Hebt u alleen dit deel nodig, kijk dan bij webtoegankelijkheid.
05
Maatwerkplatforms voor publieke bedrijven

Als een cms niet volstaat: beheeromgevingen met rollen per afdeling, publieke vacatures met sollicitaties en documenten, een integriteitsmeldpunt met historie, en data uit de systemen van de organisatie. Zoals de website van L’Energètica in Laravel.
06
Onderhoud en doorlopende beveiliging

Patches, back-ups, monitoring en doorontwikkeling, met elke ingreep zichtbaar vastgelegd. Meer bij website-onderhoud en, als de organisatie haar eigen managementsysteem voor informatiebeveiliging moet voeren, bij Nexo SGSI.

Waarom

Overheidsopdrachten: we schrijven in op aanbestedingen

Wat een technisch bestek vraagt en wat wij in de offerte inbrengen.

De meeste overheidsprojecten lopen via een aanbesteding. We staan sinds november 2019 ingeschreven in het register van inschrijvende bedrijven van Catalonië (RELI) en hebben een actieve registratie in SAM.gov, het federale aanbestedingssysteem van de Verenigde Staten. Bestekken voor overheidswebsites vragen meestal hetzelfde: vergelijkbare referenties, een team met omschreven profielen, een toegankelijkheidsplan, gecertificeerde beveiliging en een transitieplan om de dienst over te nemen en weer over te dragen. We stellen de technische offerte op door punt voor punt op die criteria te antwoorden, met echte projecten erachter, niet met een sjabloon. Stelt uw organisatie het bestek op, dan kunnen we ook aangeven wat redelijk is om te vragen.

technische-offerte.yaml

# Wat we in een offerte aantonen

beveiliging:

ens: categorie midden, gecertificeerd

iso_27001: gecertificeerd

toegankelijkheid:

doel: WCAG 2.2 AA (EN 301 549)

registers:

- RELI (Catalonië), sinds 2019

- SAM.gov (Verenigde Staten)

transitie:

code, data en toegang van de organisatie

Midden ENS
Sinds 2019 RELI
WCAG 2.2 AA Toegankelijkheid

Zo werken wij

Hoe we werken

Van bestek of eerste overleg tot een website die de organisatie zelf beheert.

01
Inventarisatie

In kaart brengen wat er is voordat we iets aanraken: websites, versies, modules, content, URL’s, koppelingen, toegang en wie wat publiceert. Zonder inventarisatie verliest een overheidsmigratie links.
02
Architectuur en toegankelijkheid vanaf het ontwerp

Contenttypes, rollen per afdeling, talen en templates die vanaf het eerste component aan WCAG 2.2 AA voldoen, niet achteraf gerepareerd.
03
Ontwikkeling en migratie

Configuratie in git, deployments via pipeline, migratie van content met de bijbehorende URL’s en redirects voor wat verandert. Elke oplevering wordt getest met toetsenbord en schermlezer.
04
Livegang

De oude versie blijft draaien tot de overstap. We controleren content, links en formulieren vóór en na, met een terugvalscenario klaar.
05
Training en zelfstandigheid

Contenthandleiding en training voor redacteuren, zodat het communicatieteam publiceert zonder van ons af te hangen. En onderhoud, als de organisatie dat wil.

Voor wie

Is dit iets voor u?

Dit past als de website een publieke dienst is en aan de wet moet voldoen, niet alleen moet werken.

Voor wie

Gemeenten, provincies en zelfstandige bestuursorganen met websites die gemigreerd of vernieuwd moeten worden.
Publieke bedrijven en samenwerkingsverbanden die transparantie, publieke vacatures en een integriteitsmeldpunt op hun website nodig hebben.
Organisaties met veel websites (voorzieningen, festivals, musea) die zijn blijven hangen op versies zonder ondersteuning.
Afdelingen die een aanbesteding voor een website voorbereiden en een gecertificeerde leverancier met vergelijkbare overheidsprojecten zoeken.
Publieke instellingen die aan EN 301 549 moeten voldoen en niet weten waar ze staan.

Voor wie niet

Opdrachten die alleen de laagste prijs voor een sjabloon zoeken: ons aanbod steunt op echte toegankelijkheid en migraties waarbij niets verloren gaat.
Projecten die ENS-categorie HOOG vereisen: we zijn vandaag gecertificeerd in categorie MIDDEN.
Organisaties die alleen een losse toegankelijkheidsaudit willen: daarvoor is onze dienst webtoegankelijkheid geschikter.

Opleveringen

Wat we opleveren

Wat aan het eind in handen van de organisatie blijft.

Inbegrepen

Website of platform in productie, met code en configuratie in de repository van de organisatie
Toegankelijkheidsrapport WCAG 2.2 AA en toegankelijkheidsverklaring volgens EN 301 549
Overzicht van gemigreerde URL’s en redirects voor de URL’s die veranderen
Deploymentpipeline en technische documentatie
Contenthandleiding en training voor redacteuren
Transitieplan zodat een andere leverancier het kan overnemen als de organisatie dat besluit

Niet inbegrepen

Hosting, licenties van derden en domeincertificaten (apart begroot of door de organisatie geleverd)

Het bewijs

Overheidsprojecten die het onderbouwen

Vier jaar lang bouwden en onderhielden we vijftien websites van het Institut de Cultura de Barcelona op barcelona.cat: de festivals van de stad, haar musea en haar inspraakorganen, in het Catalaans, Spaans en Engels. We migreerden het ecosysteem van Drupal 7, 8 en 9 naar Drupal 10 met behoud van content en URL’s, publiceerden 22 virtuele tentoonstellingen van het gemeentearchief opnieuw en trainden de communicatieteams om zelfstandig te publiceren. Voor L’Energètica, het publieke bedrijf voor hernieuwbare energie van de Generalitat de Catalunya, bouwden we tussen 2024 en 2025 een maatwerkwebsite in Laravel met transparantieportaal volgens de Catalaanse wet 19/2014, publieke vacatures, integriteitsmeldpunt en vier talen; sinds 2026 wordt die gehost door een andere leverancier en draait hij nog steeds op onze code, precies wat een publieke organisatie moet kunnen. Op het gebied van toegankelijkheid voldoet het portaal van de Fundació Ampans aan WCAG 2.1 AA.

15 Websites van barcelona.cat gebouwd en gemigreerd
22 Virtuele tentoonstellingen opnieuw gepubliceerd in Drupal 10
4 Talen van de website van L’Energètica
2009 We bouwen websites sinds

Voor de CTO

Samenvatting voor de technisch verantwoordelijke

Hoe we het onder de motorkap bouwen.

In Drupal werken we met configuratie die naar git wordt geëxporteerd en deployments via pipeline (GitLab CI bij het ICUB, met lokale DDEV-omgevingen), zodat een structuurwijziging wordt beoordeeld en uitgerold, niet met de hand in productie wordt aangepast. Hetzelfde recept werkt voor vijftien websites. Versiemigraties beginnen met een inventarisatie van modules, thema’s en URL’s, en content wordt met de bijbehorende paden gemigreerd; wat verandert, krijgt een redirect.

Toegankelijkheid wordt bij elke oplevering getest met axe-core en handmatig met toetsenbord en schermlezer, omdat automatische tools maar een deel van de barrières vinden. Beveiliging volgt de controles waarvoor we ENS-gecertificeerd zijn: toegang met een persoonlijke sleutel per technicus, inloggegevens in een versleutelde kluis, gecontroleerde back-ups, patches op basis van beveiligingsadviezen en een log van elke ingreep. Voor meertalige websites met veel volume kan vertaling met AI worden ondersteund, met behoud van HTML en links, zoals bij L’Energètica, en met het origineel altijd ongewijzigd.

Technologieën

Drupal 10
Laravel
PHP 8.3
MySQL
PostgreSQL
Redis
Twig
GitLab CI/CD
DDEV
axe-core

Configuratie onder versiebeheer en deployments via pipeline
Migraties met voorafgaande inventarisatie, behouden URL’s en redirects
Toegankelijkheid bij elke oplevering getest, automatisch en handmatig
Persoonlijke toegang, versleutelde inloggegevens en log van ingrepen
Code en data van de organisatie, zonder leveranciersafhankelijkheid

Risico's en hoe wij ze afdekken

De risico’s die we vermijden

Wat we zien als we een bestaande overheidswebsite overnemen.

01
Een migratie die links in nieuwsbrieven, zoekmachines en andere websites breekt

Oplossing
Inventarisatie van URL’s vooraf, migratie van content met de bijbehorende paden en een redirect voor alles wat verandert, gecontroleerd voordat de oude versie uitgaat.
02
Websites die blijven hangen op een versie zonder ondersteuning

Oplossing
Eén deploymentrecept en één updateplanning voor het hele ecosysteem, zodat geen enkele website achterblijft.
03
Toegankelijkheid die bij de lancering klopt en daarna wegzakt

Oplossing
Standaard toegankelijke componenten, controle bij elke oplevering en training voor redacteuren over wat van hen afhangt: alternatieve teksten, koppen en documenten.
04
Vastzitten aan een leverancier die als enige weet hoe je publiceert

Oplossing
Open source, code en data van de organisatie, documentatie en een transitieplan. L’Energètica wisselde in 2026 van leverancier en de website werkt nog steeds.

Technologieën

Technologieën en standaarden

Waarmee we overheidswebsites bouwen en controleren.

Drupal 10
Laravel
PHP
Symfony
MySQL
PostgreSQL
Redis
GitLab CI/CD
WCAG 2.2
EN 301 549
WAI-ARIA
axe-core
ENS
ISO/IEC 27001

Veelgestelde vragen

Veelgestelde vragen over websites voor de overheid

Wat communicatie- en IT-verantwoordelijken ons vragen.

Aan welke toegankelijkheidsregels moet een overheidswebsite voldoen?

In Europa steunt de toegankelijkheid van websites en apps van de publieke sector op de norm EN 301 549, die formeel verwijst naar WCAG 2.1 niveau AA. In Nederland geldt het Tijdelijk besluit digitale toegankelijkheid overheid; in Spanje het Real Decreto 1112/2018. Wij auditen en bouwen volgens WCAG 2.2 AA, die deze criteria dekt en de nieuwe criteria van versie 2.2 toevoegt.

Welke beveiligingsgaranties kunt u een publieke organisatie bieden?

We zijn sinds september 2026 gecertificeerd volgens het Spaanse Nationale Beveiligingsschema (ENS) in categorie midden en volgens ISO/IEC 27001, het kader dat in heel Europa wordt erkend. Het ENS (Real Decreto 311/2022) geldt ook voor bedrijven die diensten aan de Spaanse overheid leveren, en de categorieën MIDDEN en HOOG vereisen certificering door een geaccrediteerde instelling. De details staan op onze pagina certificeringen.

Schrijft u in op openbare aanbestedingen?

Ja. We staan sinds 7 november 2019 ingeschreven in het register van inschrijvende bedrijven van Catalonië (RELI) en hebben een actieve registratie in SAM.gov (Verenigde Staten). We stellen de technische offerte op met vergelijkbare overheidsprojecten, onze beveiligingscertificeringen en een toegankelijkheids- en transitieplan.

Waarom Drupal voor een overheidswebsite?

Omdat het open source is, beproefd in institutionele omgevingen, sterk in meertaligheid, rollen en publicatieprocessen, en met een community die haar beveiligingsadviezen publiceert. Het is niet de enige optie: als het project eigen logica nodig heeft (publieke vacatures, integriteitsmeldpunt, data uit andere systemen), gebruiken we Laravel, zoals bij L’Energètica.

Hoe migreert u een overheidswebsite zonder URL’s of vindbaarheid te verliezen?

We beginnen met een inventarisatie van alle URL’s en content. We migreren de content met behoud van de paden, sturen alles wat verandert door met een redirect en controleren dat voordat de oude versie uitgaat. Zo migreerden we de vijftien websites van het ICUB van Drupal 7, 8 en 9 naar Drupal 10.

Wat als onze organisatie nog Drupal 7 gebruikt?

Drupal 7 wordt niet meer door de community ondersteund: elke nieuwe kwetsbaarheid blijft zonder officiële patch. Het verstandigst is de migratie naar Drupal 10 te plannen met een inventarisatie vooraf, als project met een eigen budget, en niet te wachten op een incident.

Zijn de code en de data van de organisatie?

Ja. We werken met open source en laten code, configuratie en data in handen van de organisatie, met documentatie en een transitieplan. Besluit ze ooit van leverancier te wisselen, dan kan dat: de website van L’Energètica wordt sinds 2026 door een andere leverancier gehost en draait nog steeds op onze code.

Kunt u werken binnen het centrale platform van een grote gemeente?

Ja, en bij grote gemeenten is dat gebruikelijk. Op barcelona.cat werkten we binnen het Drupal-platform van de gemeente Barcelona, op haar centrale profielen en thema’s, en ontwikkelden we de contenttypes en views die elke voorziening nodig had.

Wat kost een website voor een publieke organisatie?

Dat hangt af van het aantal websites, de migratie, de koppelingen en wat het bestek vastlegt. We publiceren geen tarief: na het bekijken van de inventarisatie of het bestek geven we een vaste prijs per fase. Gaat het project via een aanbesteding, dan bepaalt de procedure zelf het bedrag.

Werkt u ook voor publieke organisaties buiten Spanje?

We werken in het Nederlands, Engels, Spaans, Catalaans, Frans, Duits en Portugees, met de Europese toegankelijkheidsnorm EN 301 549 als referentie en ISO/IEC 27001 als beveiligingskader dat in Europa wordt erkend. Onze overheidsreferenties zijn vandaag Spaans: de gemeente Barcelona en de Generalitat de Catalunya.

Volgende stap