Wat is NORA?
NORA (Nederlandse Overheid Referentie Architectuur) is de landelijke referentiearchitectuur die met gezamenlijke principes, kwaliteitsdoelen, begrippen, standaarden en bouwstenen richting geeft aan de digitale inrichting van Nederlandse overheidsorganisaties, zodat zij kunnen samenwerken, gegevens uitwisselen en burgers en bedrijven betrouwbaar bedienen. NORA is geen systeem of software, maar een gedeeld kader van architectuurafspraken. ICTU beheert NORA in opdracht van de directie Digitale Overheid van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), en de inhoud staat sinds 2013 openbaar als wiki op NORA Online.
NORA is het gemeenschappelijke vertrekpunt waarop sectorale architecturen zoals GEMMA (gemeenten), WILMA (waterschappen), PETRA (provincies) en MARIJ (Rijk) voortbouwen.
🧠 Waarom bestaat NORA?
De Nederlandse overheid bestaat uit honderden zelfstandige organisaties: ministeries, uitvoeringsorganisaties, gemeenten, provincies en waterschappen. Zonder gemeenschappelijke afspraken bouwt elk van hen eigen systemen, met eigen begrippen en koppelvlakken. NORA voorkomt dat met vier doelen:
- Samenhang creëren - tussen overheidsdomeinen, ketens, diensten en systemen
- Hergebruik stimuleren - van oplossingen, standaarden en generieke voorzieningen
- Beleid vertalen - van wetgeving en beleidsdoelen naar organisatorische en technische eisen
- Interoperabiliteit bevorderen - zodat gegevens zonder maatwerk tussen organisaties kunnen stromen
NORA richt zich nadrukkelijk op de dienstverlening aan burgers en bedrijven. Een burger hoeft niet te weten welke organisatie achter een dienst zit; de architectuur moet dat onzichtbaar maken.
📜 Hoe is NORA ontstaan?
| Periode | Mijlpaal |
|---|---|
| 2006 | ICTU publiceert vroege versies van NORA als architectuur voor de “elektronische overheid”, vooral gericht op architecten |
| 2007 | De staatssecretaris van BZK vraagt om een nieuwe, breder toepasbare versie |
| 2009 | NORA 3.0 wordt aangeboden en leidend gemaakt voor de informatiearchitecturen in het hele overheidsdomein |
| 2013 | NORA verhuist naar een openbare wiki (NORA Online) die de NORA-gemeenschap samen onderhoudt |
| 2023 | Per 1 januari vervangen kernwaarden, kwaliteitsdoelen en 17 architectuurprincipes de oude basisprincipes en afgeleide principes, na een besluit van de NORA Gebruikersraad in 2022 |
NORA is in lijn gebracht met het European Interoperability Framework (EIF) van de Europese Commissie. Een Europese evaluatie uit 2016 beoordeelde de aansluiting als sterk, met meertaligheid als belangrijkste uitzondering.
🧱 Hoe is NORA opgebouwd?
De kern van NORA bestaat uit de Verbindende Architectuurafspraken en een uitwerking van het vijflaagsmodel. Dat model ordent architectuurvraagstukken van wet- en regelgeving tot techniek:
| Laag | Waar gaat het over? | Voorbeeld |
|---|---|---|
| Grondslagenlaag | Wet- en regelgeving, beleid en bestuurlijke afspraken | AVG, BIO, Wet digitale overheid |
| Organisatorische laag | Diensten, processen, rollen en samenwerking in ketens | Wie levert welke dienst aan wie? |
| Informatielaag | Begrippen, gegevens en informatiemodellen | Basisregistraties zoals BRP en BAG |
| Applicatielaag | Applicaties en hun functies en koppelvlakken | Zaaksystemen, gegevensdiensten |
| IT-infrastructuurlaag | Netwerken, platforms en generieke voorzieningen | Diginetwerk, hosting, Logging |
Dit vijflaagsmodel sluit aan bij de bekende indeling in Businessarchitectuur, Informatiearchitectuur, Applicatiearchitectuur en Technische architectuur, en laat zich goed modelleren in ArchiMate of plaatsen binnen een TOGAF-aanpak.
Daarnaast deelt NORA referentiesets van begrippen, standaarden en bouwstenen. Een bouwsteen is een herbruikbare component die in verschillende contexten bruikbaar is. Voorbeelden zijn DigiD, eHerkenning, MijnOverheid, Digikoppeling, Digipoort, Diginetwerk en de basisregistraties (BRP, BAG, BRK, BGT, BRO, Handelsregister). Welke bouwstenen tot de Generieke Digitale Infrastructuur (GDI) horen, bepaalt de Programmeringsraad GDI.
🎯 Welke principes en kwaliteitsdoelen hanteert NORA?
NORA formuleert 17 architectuurprincipes (NAP01 tot en met NAP17). Elk principe draagt bij aan een of meer van 20 kwaliteitsdoelen, die zijn afgeleid van vijf kernwaarden: Vertrouwen, Veilig, Toekomstgericht, Doeltreffend en Doelmatig.
| Principe | Naam | Relevantie voor IT/OT |
|---|---|---|
| NAP06 | Hergebruik vóór kopen vóór maken | Generieke voorzieningen in plaats van eigen koppelingen per installatie |
| NAP07 | Bouw diensten modulair op | Losse lagen voor data, analyse en besturing |
| NAP08 | Standaardiseer waar mogelijk | Open standaarden zoals OPC UA in plaats van maatwerkprotocollen |
| NAP10 | Neem gegevens als fundament | Meetdata als betrouwbare, herbruikbare bron |
| NAP12 | Informeer bij de bron | Data ophalen bij het meetpunt, niet bij kopieën |
| NAP13 | Beheers risico’s voortdurend | Continue risicobeoordeling, ook van OT-assets |
| NAP14 | Verifieer altijd | Sluit aan bij Zero Trust: geen impliciet vertrouwen |
| NAP16 | Voorkom onnodige complexiteit | Eenvoudige, controleerbare koppelvlakken tussen IT en OT |
De kernwaarde Veilig omvat de kwaliteitsdoelen beschikbaar, integer en vertrouwelijk: de klassieke drie-eenheid uit de informatiebeveiliging.
🔁 Hoe verhoudt NORA zich tot GEMMA, WILMA, PETRA en MARIJ?
NORA is het landelijke kader; domeinarchitecturen werken het uit voor hun eigen sector. Samen vormen ze de NORA Familie, een gemeenschap van architecten en architecturen in de publieke sector zonder strikte hiërarchie.
| Architectuur | Doelgroep | Toelichting |
|---|---|---|
| GEMMA | Gemeenten | Gemeentelijke Modelarchitectuur, beheerd door VNG Realisatie |
| WILMA | Waterschappen | Referentiearchitectuur voor de waterschappen, met veel OT-raakvlakken |
| PETRA | Provincies | Provinciale enterprise- en referentiearchitectuur |
| MARIJ | Rijksoverheid | Rijksbrede modelarchitectuur uit 2008; op NORA Online inmiddels als vervangen gemarkeerd |
NORA wordt vaak de moederarchitectuur genoemd. Dat klopt inhoudelijk, maar formeel bouwen sectorarchitecturen voort op NORA zonder dat er een bindende rangorde is.
🔐 Hoe ondersteunt NORA informatiebeveiliging?
NORA bevat zelf geen beveiligingsmaatregelen, maar verbindt architectuur met de geldende kaders:
- BIO - de Baseline Informatiebeveiliging Overheid is het verplichte normenkader; NORA plaatst die in de grondslagenlaag
- Security by Design en Privacy by Design - principes als Pas doelbinding toe (NAP11) en Verifieer altijd (NAP14) dwingen beveiliging en privacy al in het ontwerp af
- Standaarden - NORA verwijst naar open standaarden zoals Digikoppeling en PKIoverheid voor veilige gegevensuitwisseling en authenticatie
- Wetgeving - sinds 15 augustus 2026 gelden de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, de Nederlandse invulling van NIS2, ook voor veel publieke organisaties
NORA maakt expliciet hoe publieke diensten veilig, betrouwbaar en rechtmatig aangeboden kunnen worden.
🏭 Wat betekent NORA voor OT en IT/OT-convergentie?
NORA is primair geschreven voor IT binnen de overheid, maar veel overheidsorganisaties beheren ook OT: waterschappen met gemalen en zuiveringen, Rijkswaterstaat met sluizen, bruggen en tunnels, gemeenten met verkeersregelinstallaties en openbare verlichting. Juist daar komt OT-convergentie samen met NORA.
Voorbeelden van raakvlakken:
- Smart city - sensoren, verkeerslichten en camera’s die data leveren aan gemeentelijke platforms
- Waterbeheer - Embedded besturingen en SCADA-systemen waarvan meetdata naar beleids- en informatiesystemen moeten
- Assetdata - koppeling van OT-assetinformatie aan basisregistraties en geografische gegevens
| Uitdaging | Hoe NORA helpt |
|---|---|
| OT-beveiliging | BIO als baseline, aangevuld met OT-specifieke maatregelen zoals segmentatie volgens het Purdue Model |
| IT/OT-interoperabiliteit | Vijflaagsmodel om koppelvlakken, gegevensstromen en verantwoordelijkheden te beschrijven |
| Uniform gegevensgebruik | Gedeelde begrippen en informatiemodellen, ook voor IoT-data |
| Eenrichtingsverkeer van data | Principe Informeer bij de bron gecombineerd met een datadiode of edge-laag |
🛠 Hoe past u NORA toe in een IT/OT-project?
Een praktische aanpak voor bijvoorbeeld een waterschap dat telemetrie uit gemalen wil ontsluiten:
- Grondslagen vastleggen - welke wetten en kaders gelden? Denk aan BIO, AVG, de Cyberbeveiligingswet en de eigen sectorarchitectuur (WILMA).
- Dienst en keten beschrijven - wie gebruikt de data (peilbeheer, beleid, publiek) en wie is eigenaar?
- Begrippen en gegevens modelleren - gebruik bestaande informatiemodellen in plaats van eigen definities.
- Koppelvlakken kiezen - open standaarden en bouwstenen boven maatwerk (NAP06 en NAP08).
- Beveiliging in het ontwerp - scheid het besturingsnetwerk van de kantoor-IT, beperk dataverkeer richting OT en regel toegang via IAM.
- Toetsen en bijsturen - stem af met de architectuurfunctie en leg afwijkingen vast; NAP17 vraagt om cyclisch sturen op kwaliteit.
Voor de OT-kant zelf blijven sectorspecifieke beveiligingsrichtlijnen en IEC 62443 leidend; NORA zorgt dat die keuzes passen in het grotere overheidsplaatje.
❓ Veelgestelde vragen
Is NORA verplicht voor overheidsorganisaties?
NORA is in 2009 door de staatssecretaris van BZK leidend gemaakt voor de informatiearchitecturen binnen de hele overheid. In de praktijk werken overheidsorganisaties NORA uit via hun sectorarchitectuur, zoals GEMMA of WILMA. Afwijken kan, maar moet beargumenteerd worden.
Wie beheert NORA?
NORA wordt beheerd door ICTU, in opdracht van de directie Digitale Overheid van het ministerie van BZK. De NORA Gebruikersraad, met vertegenwoordigers uit verschillende overheidslagen, geeft inhoudelijk richting aan de doorontwikkeling.
Wat is het verschil tussen NORA en GEMMA?
NORA is de landelijke referentiearchitectuur voor de hele Nederlandse overheid. GEMMA is de gemeentelijke uitwerking daarvan, met concrete procesmodellen, applicatiefuncties en informatiemodellen voor gemeenten.
Hoeveel architectuurprincipes kent NORA?
NORA kent 17 architectuurprincipes, genummerd NAP01 tot en met NAP17, zoals Hergebruik vóór kopen vóór maken en Verifieer altijd. Sinds 1 januari 2023 vervangen ze de eerdere set van basisprincipes en afgeleide principes en zijn ze gekoppeld aan 20 kwaliteitsdoelen.
Is NORA ook bruikbaar voor operationele technologie?
NORA is geschreven voor IT en dienstverlening, maar de principes gelden net zo goed voor OT-data die overheidsorganisaties gebruiken. Voor de beveiliging van besturingssystemen zelf zijn aanvullende OT-normen zoals IEC 62443 nodig.
Waar vind ik de actuele NORA?
De actuele NORA staat als openbare wiki op NORA Online, waar de NORA-gemeenschap principes, begrippen, standaarden en bouwstenen bijhoudt. Er bestaat dus geen statisch document meer; de wiki is de bron.
📌 Samengevat
NORA is de gemeenschappelijke referentiearchitectuur van de Nederlandse overheid: 17 principes, 20 kwaliteitsdoelen en een vijflaagsmodel die samenwerking, hergebruik en veilige gegevensuitwisseling mogelijk maken.
Sectorarchitecturen zoals GEMMA, WILMA en PETRA werken NORA uit voor hun eigen domein. Waar overheden OT beheren, van gemalen tot verkeerslichten, biedt NORA het kader om IT en OT verantwoord met elkaar te verbinden, binnen de bestuurlijke en juridische context van de overheid.