Hoe lang duurt een DigiD aansluitaudit gemiddeld?
Een DigiD aansluitaudit duurt gemiddeld vier tot acht weken van start tot definitieve rapportage, afhankelijk van de voorbereiding van de organisatie en de complexiteit van de aansluiting. Organisaties die hun documentatie op orde hebben en snel reageren op vragen, zitten doorgaans aan de onderkant van die bandbreedte. In dit artikel beantwoorden we de meest gestelde vragen over de doorlooptijd, van voorbereiding tot auditverklaring, zodat u precies weet waar u aan toe bent.
Wat bepaalt de doorlooptijd van een DigiD aansluitaudit?
De doorlooptijd van een DigiD aansluitaudit wordt bepaald door drie factoren: de volledigheid van de aangeleverde documentatie, de complexiteit van de technische omgeving en de snelheid waarmee uw organisatie reageert op bevindingen of aanvullende vragen. Wie goed voorbereid is, kan het proces aanzienlijk verkorten.
Een belangrijke variabele is of uw organisatie gebruikmaakt van een SaaS-oplossing. In dat geval heeft uw IT-leverancier een TPM (Third Party Mededeling) nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen, zodat zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij uw organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit kan de doorlooptijd bij de gebruikersorganisatie verkorten, maar vraagt wel dat de TPM tijdig beschikbaar is.
Daarnaast speelt de planning een rol. Rond de jaarlijkse deadline van 1 mei is de vraag naar audits het grootst, wat kan betekenen dat auditkantoren minder flexibel zijn in hun beschikbaarheid. Een vroege start in het jaar geeft u meer ruimte.
Wat is een DigiD aansluitaudit precies?
Een DigiD aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het gaat hier nadrukkelijk niet om een jaarlijkse audit, maar om een eenmalige toets die plaatsvindt op het moment dat een organisatie een nieuwe aansluiting in gebruik neemt. Na succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
Een belangrijk kenmerk van de aansluitaudit is dat deze uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op de werking ervan. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er nog niet, waardoor een werkingstoets op dat moment niet mogelijk is. Zodra de aansluiting is opgenomen in de reguliere auditcyclus, worden de maatregelen in volgende audits ook op werking beoordeeld.
Hoe lang duurt de voorbereiding op een DigiD audit?
De voorbereiding op een DigiD audit duurt gemiddeld één tot drie weken, afhankelijk van hoe actueel uw beleidsdocumenten, risicoanalyses en technische documentatie zijn. Organisaties die hun informatiebeveiliging continu bijhouden, zijn doorgaans binnen een week klaar om de audit te starten.
Tijdens de voorbereiding verzamelt u de documenten die de auditor nodig heeft om het assessment uit te voeren. Denk aan:
- Het actuele informatiebeveiligingsbeleid
- Technische documentatie van de DigiD-aansluiting
- Risicoanalyses en maatregelenregisters
- Logbestanden en toegangsbeheerrapportages
- Eventuele TPM van uw SaaS-leverancier
Hoe vollediger u deze informatie aanlevert, hoe minder heen-en-weercommunicatie er nodig is. Ontbrekende documenten zijn een van de meest voorkomende oorzaken van vertraging in het auditproces. Het loont dan ook om vooraf een checklist door te lopen en intern te inventariseren wat er al beschikbaar is en wat nog aangemaakt of bijgewerkt moet worden.
Hoe lang duurt de uitvoering van het assessment zelf?
De feitelijke uitvoering van het DigiD assessment, inclusief documentbeoordeling, interviews en eventuele technische controles, duurt doorgaans één tot twee weken. De exacte duur hangt af van de omvang van de aansluiting en het aantal normen dat getoetst moet worden.
Bij een standaard DigiD aansluiting doorloopt de auditor alle normen uit het officiële normenkader van Logius. Wanneer een TPM van de leverancier beschikbaar is, beperkt de auditor zich bij de gebruikersorganisatie tot de normen die niet al door de leverancier zijn afgedekt. Dit maakt het assessment compacter en efficiënter.
Na de uitvoering stelt de auditor een conceptrapportage op. U krijgt de gelegenheid om hierop te reageren voordat de definitieve versie wordt vastgesteld. Deze reviewronde neemt doorgaans enkele werkdagen in beslag en is onderdeel van een zorgvuldig auditproces.
Wanneer is een heraudit nodig en hoeveel tijd kost dat?
Een heraudit is nodig wanneer een organisatie bij de initiële audit niet voldoet aan alle gestelde normen en Logius bepaalt dat herstel aangetoond moet worden. De termijn voor een heraudit verschilt per organisatie en situatie, omdat Logius de rapportages individueel beoordeelt en op basis van de ernst van de bevindingen een hersteltermijn bepaalt.
Er bestaat geen vaste, uniforme deadline voor heraudits. Afhankelijk van de ernst van de tekortkomingen kan de hersteltermijn variëren van twee tot zes maanden. Het is dus belangrijk om na ontvangst van de beoordeling van Logius direct actie te ondernemen, zodat u voldoende tijd heeft om de benodigde maatregelen te implementeren en de heraudit te laten uitvoeren.
De scope van een heraudit is beperkter dan die van de oorspronkelijke audit, omdat alleen de normen waarop tekortkomingen zijn vastgesteld opnieuw worden beoordeeld. De totale doorlooptijd van een heraudit hoeft daardoor niet per definitie korter te zijn dan die van de aansluitaudit zelf: de benodigde hersteltijd en de implementatie van maatregelen kunnen de totale doorlooptijd aanzienlijk beïnvloeden.
Wat is de totale doorlooptijd van aanvraag tot auditverklaring?
Van de eerste aanvraag tot de definitieve auditverklaring bedraagt de totale doorlooptijd van een DigiD aansluitaudit gemiddeld vier tot acht weken. Organisaties met een nieuwe DigiD aansluiting of een minder volwassen informatiebeveiligingspositie kunnen rekening houden met de bovenkant van deze bandbreedte.
Een globale tijdlijn ziet er als volgt uit:
- Aanvraag en planning: enkele dagen tot een week
- Voorbereiding en documentaanlevering: één tot drie weken
- Uitvoering van het assessment: één tot twee weken
- Conceptrapportage en reviewronde: één week
- Definitieve rapportage: enkele werkdagen
Na afronding van de audit ontvangt u de definitieve rapportage inclusief bijlagen. Deze moet u binnen twee maanden na afronding indienen bij Logius. Houd hier rekening mee bij het plannen van uw audit, zeker als u te maken heeft met de jaarlijkse deadline van 1 mei.
Hoe kun je de DigiD audit zo snel mogelijk afronden?
De snelste manier om een DigiD audit af te ronden is vroeg beginnen, uw documentatie op orde hebben en snel reageren op vragen van de auditor. Organisaties die deze drie punten goed invullen, kunnen het proces terugbrengen tot vier weken of minder.
Concrete stappen om de doorlooptijd te verkorten:
- Start de voorbereiding minimaal twee maanden voor de gewenste afrondingsdatum
- Controleer vooraf of uw SaaS-leverancier een actuele TPM beschikbaar heeft
- Zorg dat beleidsdocumenten en risicoanalyses up-to-date zijn
- Wijs intern een contactpersoon aan die snel kan schakelen met de auditor
- Reageer tijdig op conceptrapportages en aanvullende vragen
- Plan de audit buiten het drukke voorjaarsseizoen als dat mogelijk is
Bij een nieuwe DigiD aansluiting is het extra belangrijk om direct de juiste stappen te zetten. Houd er daarbij rekening mee dat de aansluitaudit uitsluitend toetst op opzet en bestaan van de maatregelen. Een goede auditor zal u bij de intake duidelijk informeren over wat er nodig is en wat de verwachte planning is, zodat u geen tijd verliest aan onnodige heen-en-weercommunicatie.
Hoe BKBO helpt bij uw DigiD aansluitaudit
Wij zijn sinds 2012 gespecialiseerd in DigiD assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Onze aanpak is gericht op een zo efficiënt mogelijke doorlooptijd, zonder dat dit ten koste gaat van de kwaliteit of volledigheid van het onderzoek.
Wat wij bieden:
- Complete audits volgens het officiële normenkader van Logius, inclusief toetsing op opzet en bestaan bij aansluitaudits
- Heldere, concrete rapportages inclusief bijlagen voor tijdige indiening
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Gecertificeerde register-IT-auditors met diepgaande kennis van overheidssystemen
- Vaste prijzen en een transparante werkwijze, zonder verrassingen achteraf
- Begeleiding bij de overgang naar de reguliere jaarlijkse DigiD-auditcyclus na afronding van de aansluitaudit
Wilt u weten wat wij voor uw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.
Een DigiD aansluitaudit duurt gemiddeld vier tot acht weken van start tot definitieve rapportage, afhankelijk van de voorbereiding van de organisatie en de complexiteit van de aansluiting. Organisaties die hun documentatie op orde hebben en snel reageren op vragen, zitten doorgaans aan de onderkant van die bandbreedte. In dit artikel beantwoorden we de meest gestelde vragen over de doorlooptijd, van voorbereiding tot auditverklaring, zodat u precies weet waar u aan toe bent.
Wat bepaalt de doorlooptijd van een DigiD aansluitaudit?
De doorlooptijd van een DigiD aansluitaudit wordt bepaald door drie factoren: de volledigheid van de aangeleverde documentatie, de complexiteit van de technische omgeving en de snelheid waarmee uw organisatie reageert op bevindingen of aanvullende vragen. Wie goed voorbereid is, kan het proces aanzienlijk verkorten.
Een belangrijke variabele is of uw organisatie gebruikmaakt van een SaaS-oplossing. In dat geval heeft uw IT-leverancier een TPM (Third Party Mededeling) nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen, zodat zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij uw organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit kan de doorlooptijd bij de gebruikersorganisatie verkorten, maar vraagt wel dat de TPM tijdig beschikbaar is.
Daarnaast speelt de planning een rol. Rond de jaarlijkse deadline van 1 mei is de vraag naar audits het grootst, wat kan betekenen dat auditkantoren minder flexibel zijn in hun beschikbaarheid. Een vroege start in het jaar geeft u meer ruimte.
Wat is een DigiD aansluitaudit precies?
Een DigiD aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het gaat hier nadrukkelijk niet om een jaarlijkse audit, maar om een eenmalige toets die plaatsvindt op het moment dat een organisatie een nieuwe aansluiting in gebruik neemt. Na succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
Een belangrijk kenmerk van de aansluitaudit is dat deze uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op de werking ervan. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er nog niet, waardoor een werkingstoets op dat moment niet mogelijk is. Zodra de aansluiting is opgenomen in de reguliere auditcyclus, worden de maatregelen in volgende audits ook op werking beoordeeld.
Hoe lang duurt de voorbereiding op een DigiD audit?
De voorbereiding op een DigiD audit duurt gemiddeld één tot drie weken, afhankelijk van hoe actueel uw beleidsdocumenten, risicoanalyses en technische documentatie zijn. Organisaties die hun informatiebeveiliging continu bijhouden, zijn doorgaans binnen een week klaar om de audit te starten.
Tijdens de voorbereiding verzamelt u de documenten die de auditor nodig heeft om het assessment uit te voeren. Denk aan:
- Het actuele informatiebeveiligingsbeleid
- Technische documentatie van de DigiD-aansluiting
- Risicoanalyses en maatregelenregisters
- Logbestanden en toegangsbeheerrapportages
- Eventuele TPM van uw SaaS-leverancier
Hoe vollediger u deze informatie aanlevert, hoe minder heen-en-weercommunicatie er nodig is. Ontbrekende documenten zijn een van de meest voorkomende oorzaken van vertraging in het auditproces. Het loont dan ook om vooraf een checklist door te lopen en intern te inventariseren wat er al beschikbaar is en wat nog aangemaakt of bijgewerkt moet worden.
Hoe lang duurt de uitvoering van het assessment zelf?
De feitelijke uitvoering van het DigiD assessment, inclusief documentbeoordeling, interviews en eventuele technische controles, duurt doorgaans één tot twee weken. De exacte duur hangt af van de omvang van de aansluiting en het aantal normen dat getoetst moet worden.
Bij een standaard DigiD aansluiting doorloopt de auditor alle normen uit het officiële normenkader van Logius. Wanneer een TPM van de leverancier beschikbaar is, beperkt de auditor zich bij de gebruikersorganisatie tot de normen die niet al door de leverancier zijn afgedekt. Dit maakt het assessment compacter en efficiënter.
Na de uitvoering stelt de auditor een conceptrapportage op. U krijgt de gelegenheid om hierop te reageren voordat de definitieve versie wordt vastgesteld. Deze reviewronde neemt doorgaans enkele werkdagen in beslag en is onderdeel van een zorgvuldig auditproces.
Wanneer is een heraudit nodig en hoeveel tijd kost dat?
Een heraudit is nodig wanneer een organisatie bij de initiële audit niet voldoet aan alle gestelde normen en Logius bepaalt dat herstel aangetoond moet worden. De termijn voor een heraudit verschilt per organisatie en situatie, omdat Logius de rapportages individueel beoordeelt en op basis van de ernst van de bevindingen een hersteltermijn bepaalt.
Er bestaat geen vaste, uniforme deadline voor heraudits. Afhankelijk van de ernst van de tekortkomingen kan de hersteltermijn variëren van twee tot zes maanden. Het is dus belangrijk om na ontvangst van de beoordeling van Logius direct actie te ondernemen, zodat u voldoende tijd heeft om de benodigde maatregelen te implementeren en de heraudit te laten uitvoeren.
De scope van een heraudit is beperkter dan die van de oorspronkelijke audit, omdat alleen de normen waarop tekortkomingen zijn vastgesteld opnieuw worden beoordeeld. De totale doorlooptijd van een heraudit hoeft daardoor niet per definitie korter te zijn dan die van de aansluitaudit zelf: de benodigde hersteltijd en de implementatie van maatregelen kunnen de totale doorlooptijd aanzienlijk beïnvloeden.
Wat is de totale doorlooptijd van aanvraag tot auditverklaring?
Van de eerste aanvraag tot de definitieve auditverklaring bedraagt de totale doorlooptijd van een DigiD aansluitaudit gemiddeld vier tot acht weken. Organisaties met een nieuwe DigiD aansluiting of een minder volwassen informatiebeveiligingspositie kunnen rekening houden met de bovenkant van deze bandbreedte.
Een globale tijdlijn ziet er als volgt uit:
- Aanvraag en planning: enkele dagen tot een week
- Voorbereiding en documentaanlevering: één tot drie weken
- Uitvoering van het assessment: één tot twee weken
- Conceptrapportage en reviewronde: één week
- Definitieve rapportage: enkele werkdagen
Na afronding van de audit ontvangt u de definitieve rapportage inclusief bijlagen. Deze moet u binnen twee maanden na afronding indienen bij Logius. Houd hier rekening mee bij het plannen van uw audit, zeker als u te maken heeft met de jaarlijkse deadline van 1 mei.
Hoe kun je de DigiD audit zo snel mogelijk afronden?
De snelste manier om een DigiD audit af te ronden is vroeg beginnen, uw documentatie op orde hebben en snel reageren op vragen van de auditor. Organisaties die deze drie punten goed invullen, kunnen het proces terugbrengen tot vier weken of minder.
Concrete stappen om de doorlooptijd te verkorten:
- Start de voorbereiding minimaal twee maanden voor de gewenste afrondingsdatum
- Controleer vooraf of uw SaaS-leverancier een actuele TPM beschikbaar heeft
- Zorg dat beleidsdocumenten en risicoanalyses up-to-date zijn
- Wijs intern een contactpersoon aan die snel kan schakelen met de auditor
- Reageer tijdig op conceptrapportages en aanvullende vragen
- Plan de audit buiten het drukke voorjaarsseizoen als dat mogelijk is
Bij een nieuwe DigiD aansluiting is het extra belangrijk om direct de juiste stappen te zetten. Houd er daarbij rekening mee dat de aansluitaudit uitsluitend toetst op opzet en bestaan van de maatregelen. Een goede auditor zal u bij de intake duidelijk informeren over wat er nodig is en wat de verwachte planning is, zodat u geen tijd verliest aan onnodige heen-en-weercommunicatie.
Hoe BKBO helpt bij uw DigiD aansluitaudit
Wij zijn sinds 2012 gespecialiseerd in DigiD assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Onze aanpak is gericht op een zo efficiënt mogelijke doorlooptijd, zonder dat dit ten koste gaat van de kwaliteit of volledigheid van het onderzoek.
Wat wij bieden:
- Complete audits volgens het officiële normenkader van Logius, inclusief toetsing op opzet en bestaan bij aansluitaudits
- Heldere, concrete rapportages inclusief bijlagen voor tijdige indiening
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Gecertificeerde register-IT-auditors met diepgaande kennis van overheidssystemen
- Vaste prijzen en een transparante werkwijze, zonder verrassingen achteraf
- Begeleiding bij de overgang naar de reguliere jaarlijkse DigiD-auditcyclus na afronding van de aansluitaudit
Wilt u weten wat wij voor uw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.