Kan een kleine gemeente zelf een DigiD aansluitaudit uitvoeren?
Nee, een kleine gemeente kan een DigiD-aansluitaudit niet zelf uitvoeren. De audit moet worden uitgevoerd door een onafhankelijke, gecertificeerde register IT-auditor die voldoet aan de eisen van Logius. Dit geldt voor alle organisaties met een DigiD-aansluiting, ongeacht de omvang van de gemeente. In dit artikel beantwoorden we de meest gestelde vragen over de DigiD-audit voor kleine gemeenten, van officiële vereisten tot de keuze van de juiste auditor.
Wat zijn de officiële vereisten voor een DigiD aansluitaudit?
Een DigiD-aansluitaudit is de eerste audit die wordt uitgevoerd wanneer een organisatie een nieuwe DigiD-aansluiting in gebruik neemt. De audit wordt uitgevoerd door een gecertificeerde register IT-auditor (RE) en toetst de technische en organisatorische beveiligingsmaatregelen rondom de DigiD-aansluiting aan het officiële normenkader van Logius. Het resulterende rapport moet uiterlijk 1 mei worden ingediend bij Logius.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe aansluiting nog niet beschikbaar. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
De audit volgt het door Logius vastgestelde auditprotocol. Dit protocol beschrijft precies welke normen worden getoetst en hoe de bevindingen gerapporteerd moeten worden. De auditor beoordeelt onder andere de toegangsbeveiliging, logging, patchmanagement en de inrichting van de technische infrastructuur rondom de DigiD-koppeling.
Wanneer een gemeente gebruik maakt van een SaaS-oplossing voor haar DigiD-aansluiting, speelt een TPM (Third Party Mededeling) een belangrijke rol. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier toetst. Het grote voordeel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen. Zij hoeven daardoor niet alles opnieuw te onderzoeken bij de gebruikersorganisatie, wat de totale auditinspanning aanzienlijk vermindert. Op basis van de TPM voert de auditor bij de gemeente alleen een beperkte controle uit op de normen die niet al door de leverancier zijn afgedekt.
Mag een gemeente de DigiD audit intern uitvoeren?
Nee, een gemeente mag de DigiD-audit niet intern uitvoeren. Logius vereist dat de audit wordt uitgevoerd door een onafhankelijke, externe register IT-auditor. Onafhankelijkheid is een kernvereiste: de auditor mag geen belang hebben bij de uitkomst van de audit en mag niet betrokken zijn geweest bij de implementatie van de betreffende systemen.
Dit onafhankelijkheidsvereiste geldt ook voor kleine gemeenten met beperkte middelen. De gedachte hierachter is dat een interne medewerker nooit volledig objectief kan beoordelen of de eigen organisatie voldoet aan de beveiligingsnormen. Een externe auditor brengt bovendien een frisse blik en vergelijkingsmateriaal vanuit andere organisaties mee, wat de kwaliteit van de bevindingen ten goede komt.
Gemeenten kunnen wel intern voorbereidend werk verrichten, zoals het verzamelen van documentatie, het uitvoeren van een nulmeting of het opstellen van een overzicht van de DigiD-aansluitingen. Dit bespaart tijd tijdens de daadwerkelijke audit, maar vervangt de externe toetsing niet.
Wat kost een DigiD aansluitaudit voor een kleine gemeente?
De kosten van een DigiD-aansluitaudit voor een kleine gemeente variëren afhankelijk van het aantal DigiD-aansluitingen, de complexiteit van de omgeving en de gekozen auditor. Kleine gemeenten met weinig aansluitingen betalen doorgaans minder dan grote gemeenten met een uitgebreide IT-infrastructuur. Vraag altijd een offerte aan bij meerdere aanbieders om een eerlijk beeld te krijgen.
Bij de beoordeling van de kosten is het verstandig om niet alleen naar de initiële prijs te kijken, maar ook naar wat er inbegrepen is. Sommige aanbieders rekenen extra kosten voor heraudits, terwijl andere aanbieders dit standaard meenemen in de prijs. Een heraudit is een aanvullende toetsing die kan worden opgelegd als de organisatie bij de eerste audit niet volledig voldoet aan de normen. Houd er daarbij rekening mee dat een aansluitaudit niet per definitie korter of minder omvangrijk is dan een heraudit; de doorlooptijd en inspanning hangen af van de specifieke situatie. Het is verstandig om hier vooraf duidelijkheid over te vragen.
Wat gebeurt er als een gemeente de DigiD audit niet op tijd uitvoert?
Als een gemeente de DigiD-audit niet voor 1 mei indient bij Logius, riskeert zij dat Logius de DigiD-aansluiting opschort of intrekt. Zonder DigiD kunnen burgers niet meer inloggen op digitale gemeentelijke diensten, wat directe gevolgen heeft voor de dienstverlening.
Wanneer een gemeente bij de audit niet volledig voldoet aan de normen, kan Logius een heraudit opleggen. De termijn voor een heraudit verschilt per situatie. Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Deze kan variëren van twee tot zes maanden. Er bestaat dus geen uniforme deadline voor heraudits, omdat elke situatie anders wordt beoordeeld.
Het is daarom belangrijk om de audit tijdig te plannen en niet te wachten tot de laatste weken voor de deadline van 1 mei. Bij een spoed DigiD-situatie, waarbij een nieuwe DigiD-aansluiting snel gekeurd moet worden, is het verstandig om direct contact op te nemen met een gespecialiseerde auditor.
Hoe kiest een kleine gemeente de juiste DigiD auditor?
Een kleine gemeente kiest de juiste DigiD-auditor door te letten op drie criteria: de auditor moet een gecertificeerde register IT-auditor (RE) zijn, aantoonbare ervaring hebben met DigiD-aansluitaudits bij vergelijkbare organisaties, en onafhankelijk opereren. Ervaring met het Logius-protocol en kennis van de gemeentelijke context zijn daarbij een duidelijk voordeel.
Praktische overwegingen spelen ook een rol. Let bij de selectie op de volgende punten:
- Heeft de auditor ervaring met DigiD-audits bij gemeenten van vergelijkbare omvang?
- Is de prijs inclusief eventuele heraudits?
- Levert de auditor de rapportage tijdig aan, zodat u het rapport voor 1 mei kunt indienen?
- Biedt de auditor ook de mogelijkheid tot een vervolgaudit binnen de reguliere jaarlijkse auditcyclus voor continuïteit?
- Heeft de auditor kennis van TPM-rapportages van SaaS-leveranciers?
Vraag bij meerdere aanbieders een offerte aan en vergelijk niet alleen de prijs, maar ook de werkwijze en de helderheid van de rapportages. Een goede auditor legt bevindingen begrijpelijk uit en geeft concrete aanbevelingen die de gemeente daadwerkelijk kan opvolgen.
Hoe verloopt een DigiD aansluitaudit in de praktijk?
Een DigiD-aansluitaudit verloopt in een aantal vaste stappen. De auditor start met een inventarisatie van de DigiD-aansluitingen en de bijbehorende technische omgeving. Vervolgens toetst de auditor de beveiligingsmaatregelen — voor een aansluitaudit uitsluitend op opzet en bestaan — aan het normenkader van Logius, waarna een conceptrapportage wordt opgesteld. Na wederhoor wordt de definitieve rapportage opgeleverd.
In de praktijk ziet het proces er als volgt uit:
- Voorbereiding: De gemeente verzamelt relevante documentatie, zoals beleidsplannen, technische beschrijvingen en logbestanden.
- Inventarisatie: De auditor brengt alle DigiD-aansluitingen en de technische infrastructuur in kaart.
- Toetsing: De beveiligingsmaatregelen worden getoetst op opzet en bestaan aan het officiële normenkader, inclusief beoordeling van eventuele TPM-rapportages van leveranciers.
- Conceptrapportage: De auditor stelt een conceptrapport op met bevindingen en aanbevelingen.
- Wederhoor: De gemeente krijgt de gelegenheid om te reageren op de bevindingen.
- Definitieve rapportage: De auditor levert het definitieve rapport op, compleet met bijlagen voor indiening bij Logius.
Logius moet het rapport binnen twee maanden na de auditdatum ontvangen. Het is dus belangrijk om de audit ruim voor 1 mei te plannen, zodat er voldoende tijd is voor het doorlopen van alle stappen. Na een succesvolle aansluitaudit wordt de aansluiting opgenomen in de reguliere jaarlijkse DigiD-auditcyclus.
Wat is het verschil tussen een DigiD audit en een ENSIA assessment?
Een DigiD-audit toetst specifiek de beveiliging van de DigiD-aansluiting van een organisatie aan het normenkader van Logius. Een ENSIA-assessment is een bredere zelfevaluatie die uitsluitend voor gemeenten geldt en meerdere verantwoordingsinstrumenten samenbrengt, waaronder de DigiD-audit. Het DigiD-assessment is dus een onderdeel van ENSIA, maar staat ook los als verplichte audit voor niet-gemeentelijke organisaties.
ENSIA staat voor Eenduidige Normatiek Single Information Audit en is ontwikkeld om de verantwoordingslasten voor gemeenten te verminderen. Via ENSIA leggen gemeenten op een gestructureerde manier verantwoording af over informatieveiligheid aan meerdere toezichthouders tegelijk. De DigiD-audit maakt hier deel van uit, maar organisaties zoals ziekenhuizen, woningcorporaties en softwareleveranciers voeren alleen de DigiD-audit uit, zonder ENSIA-verplichting.
Een ander belangrijk verschil is dat Suwinet los van ENSIA wordt gepositioneerd als apart auditonderwerp. Gemeenten die Suwinet gebruiken, hebben naast de DigiD-audit en het ENSIA-assessment ook een afzonderlijke Suwinet-audit nodig.
Hoe BKBO helpt met de DigiD aansluitaudit
Wij zijn bij BKBO gespecialiseerd in DigiD-aansluitaudits voor gemeenten en andere overheids- en zorginstellingen. Sinds 2012 hebben wij meer dan 2.500 audits uitgevoerd voor uiteenlopende organisaties, van kleine gemeenten tot grote zorginstellingen. Onze gecertificeerde register IT-auditors kennen het Logius-protocol van binnen en van buiten en begeleiden u door het hele auditproces.
Wat wij bieden:
- Complete DigiD-aansluitaudits volgens het officiële protocol van Logius, getoetst op opzet en bestaan
- Heldere, concrete rapportages die u direct kunt indienen bij Logius
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Beoordeling van TPM-rapportages van uw SaaS-leveranciers
- Begeleiding bij de overgang naar de reguliere jaarlijkse DigiD-auditcyclus na afronding van de aansluitaudit
- Vaste prijzen zonder verrassingen achteraf
Of u nu te maken heeft met een nieuwe DigiD-aansluiting die een aansluitaudit vereist, een reguliere jaarlijkse audit of een spoed DigiD-situatie, wij zorgen voor een zorgeloze uitvoering. Neem contact met ons op voor een vrijblijvende offerte.
Nee, een kleine gemeente kan een DigiD-aansluitaudit niet zelf uitvoeren. De audit moet worden uitgevoerd door een onafhankelijke, gecertificeerde register IT-auditor die voldoet aan de eisen van Logius. Dit geldt voor alle organisaties met een DigiD-aansluiting, ongeacht de omvang van de gemeente. In dit artikel beantwoorden we de meest gestelde vragen over de DigiD-audit voor kleine gemeenten, van officiële vereisten tot de keuze van de juiste auditor.
Wat zijn de officiële vereisten voor een DigiD aansluitaudit?
Een DigiD-aansluitaudit is de eerste audit die wordt uitgevoerd wanneer een organisatie een nieuwe DigiD-aansluiting in gebruik neemt. De audit wordt uitgevoerd door een gecertificeerde register IT-auditor (RE) en toetst de technische en organisatorische beveiligingsmaatregelen rondom de DigiD-aansluiting aan het officiële normenkader van Logius. Het resulterende rapport moet uiterlijk 1 mei worden ingediend bij Logius.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe aansluiting nog niet beschikbaar. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
De audit volgt het door Logius vastgestelde auditprotocol. Dit protocol beschrijft precies welke normen worden getoetst en hoe de bevindingen gerapporteerd moeten worden. De auditor beoordeelt onder andere de toegangsbeveiliging, logging, patchmanagement en de inrichting van de technische infrastructuur rondom de DigiD-koppeling.
Wanneer een gemeente gebruik maakt van een SaaS-oplossing voor haar DigiD-aansluiting, speelt een TPM (Third Party Mededeling) een belangrijke rol. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier toetst. Het grote voordeel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen. Zij hoeven daardoor niet alles opnieuw te onderzoeken bij de gebruikersorganisatie, wat de totale auditinspanning aanzienlijk vermindert. Op basis van de TPM voert de auditor bij de gemeente alleen een beperkte controle uit op de normen die niet al door de leverancier zijn afgedekt.
Mag een gemeente de DigiD audit intern uitvoeren?
Nee, een gemeente mag de DigiD-audit niet intern uitvoeren. Logius vereist dat de audit wordt uitgevoerd door een onafhankelijke, externe register IT-auditor. Onafhankelijkheid is een kernvereiste: de auditor mag geen belang hebben bij de uitkomst van de audit en mag niet betrokken zijn geweest bij de implementatie van de betreffende systemen.
Dit onafhankelijkheidsvereiste geldt ook voor kleine gemeenten met beperkte middelen. De gedachte hierachter is dat een interne medewerker nooit volledig objectief kan beoordelen of de eigen organisatie voldoet aan de beveiligingsnormen. Een externe auditor brengt bovendien een frisse blik en vergelijkingsmateriaal vanuit andere organisaties mee, wat de kwaliteit van de bevindingen ten goede komt.
Gemeenten kunnen wel intern voorbereidend werk verrichten, zoals het verzamelen van documentatie, het uitvoeren van een nulmeting of het opstellen van een overzicht van de DigiD-aansluitingen. Dit bespaart tijd tijdens de daadwerkelijke audit, maar vervangt de externe toetsing niet.
Wat kost een DigiD aansluitaudit voor een kleine gemeente?
De kosten van een DigiD-aansluitaudit voor een kleine gemeente variëren afhankelijk van het aantal DigiD-aansluitingen, de complexiteit van de omgeving en de gekozen auditor. Kleine gemeenten met weinig aansluitingen betalen doorgaans minder dan grote gemeenten met een uitgebreide IT-infrastructuur. Vraag altijd een offerte aan bij meerdere aanbieders om een eerlijk beeld te krijgen.
Bij de beoordeling van de kosten is het verstandig om niet alleen naar de initiële prijs te kijken, maar ook naar wat er inbegrepen is. Sommige aanbieders rekenen extra kosten voor heraudits, terwijl andere aanbieders dit standaard meenemen in de prijs. Een heraudit is een aanvullende toetsing die kan worden opgelegd als de organisatie bij de eerste audit niet volledig voldoet aan de normen. Houd er daarbij rekening mee dat een aansluitaudit niet per definitie korter of minder omvangrijk is dan een heraudit; de doorlooptijd en inspanning hangen af van de specifieke situatie. Het is verstandig om hier vooraf duidelijkheid over te vragen.
Wat gebeurt er als een gemeente de DigiD audit niet op tijd uitvoert?
Als een gemeente de DigiD-audit niet voor 1 mei indient bij Logius, riskeert zij dat Logius de DigiD-aansluiting opschort of intrekt. Zonder DigiD kunnen burgers niet meer inloggen op digitale gemeentelijke diensten, wat directe gevolgen heeft voor de dienstverlening.
Wanneer een gemeente bij de audit niet volledig voldoet aan de normen, kan Logius een heraudit opleggen. De termijn voor een heraudit verschilt per situatie. Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Deze kan variëren van twee tot zes maanden. Er bestaat dus geen uniforme deadline voor heraudits, omdat elke situatie anders wordt beoordeeld.
Het is daarom belangrijk om de audit tijdig te plannen en niet te wachten tot de laatste weken voor de deadline van 1 mei. Bij een spoed DigiD-situatie, waarbij een nieuwe DigiD-aansluiting snel gekeurd moet worden, is het verstandig om direct contact op te nemen met een gespecialiseerde auditor.
Hoe kiest een kleine gemeente de juiste DigiD auditor?
Een kleine gemeente kiest de juiste DigiD-auditor door te letten op drie criteria: de auditor moet een gecertificeerde register IT-auditor (RE) zijn, aantoonbare ervaring hebben met DigiD-aansluitaudits bij vergelijkbare organisaties, en onafhankelijk opereren. Ervaring met het Logius-protocol en kennis van de gemeentelijke context zijn daarbij een duidelijk voordeel.
Praktische overwegingen spelen ook een rol. Let bij de selectie op de volgende punten:
- Heeft de auditor ervaring met DigiD-audits bij gemeenten van vergelijkbare omvang?
- Is de prijs inclusief eventuele heraudits?
- Levert de auditor de rapportage tijdig aan, zodat u het rapport voor 1 mei kunt indienen?
- Biedt de auditor ook de mogelijkheid tot een vervolgaudit binnen de reguliere jaarlijkse auditcyclus voor continuïteit?
- Heeft de auditor kennis van TPM-rapportages van SaaS-leveranciers?
Vraag bij meerdere aanbieders een offerte aan en vergelijk niet alleen de prijs, maar ook de werkwijze en de helderheid van de rapportages. Een goede auditor legt bevindingen begrijpelijk uit en geeft concrete aanbevelingen die de gemeente daadwerkelijk kan opvolgen.
Hoe verloopt een DigiD aansluitaudit in de praktijk?
Een DigiD-aansluitaudit verloopt in een aantal vaste stappen. De auditor start met een inventarisatie van de DigiD-aansluitingen en de bijbehorende technische omgeving. Vervolgens toetst de auditor de beveiligingsmaatregelen — voor een aansluitaudit uitsluitend op opzet en bestaan — aan het normenkader van Logius, waarna een conceptrapportage wordt opgesteld. Na wederhoor wordt de definitieve rapportage opgeleverd.
In de praktijk ziet het proces er als volgt uit:
- Voorbereiding: De gemeente verzamelt relevante documentatie, zoals beleidsplannen, technische beschrijvingen en logbestanden.
- Inventarisatie: De auditor brengt alle DigiD-aansluitingen en de technische infrastructuur in kaart.
- Toetsing: De beveiligingsmaatregelen worden getoetst op opzet en bestaan aan het officiële normenkader, inclusief beoordeling van eventuele TPM-rapportages van leveranciers.
- Conceptrapportage: De auditor stelt een conceptrapport op met bevindingen en aanbevelingen.
- Wederhoor: De gemeente krijgt de gelegenheid om te reageren op de bevindingen.
- Definitieve rapportage: De auditor levert het definitieve rapport op, compleet met bijlagen voor indiening bij Logius.
Logius moet het rapport binnen twee maanden na de auditdatum ontvangen. Het is dus belangrijk om de audit ruim voor 1 mei te plannen, zodat er voldoende tijd is voor het doorlopen van alle stappen. Na een succesvolle aansluitaudit wordt de aansluiting opgenomen in de reguliere jaarlijkse DigiD-auditcyclus.
Wat is het verschil tussen een DigiD audit en een ENSIA assessment?
Een DigiD-audit toetst specifiek de beveiliging van de DigiD-aansluiting van een organisatie aan het normenkader van Logius. Een ENSIA-assessment is een bredere zelfevaluatie die uitsluitend voor gemeenten geldt en meerdere verantwoordingsinstrumenten samenbrengt, waaronder de DigiD-audit. Het DigiD-assessment is dus een onderdeel van ENSIA, maar staat ook los als verplichte audit voor niet-gemeentelijke organisaties.
ENSIA staat voor Eenduidige Normatiek Single Information Audit en is ontwikkeld om de verantwoordingslasten voor gemeenten te verminderen. Via ENSIA leggen gemeenten op een gestructureerde manier verantwoording af over informatieveiligheid aan meerdere toezichthouders tegelijk. De DigiD-audit maakt hier deel van uit, maar organisaties zoals ziekenhuizen, woningcorporaties en softwareleveranciers voeren alleen de DigiD-audit uit, zonder ENSIA-verplichting.
Een ander belangrijk verschil is dat Suwinet los van ENSIA wordt gepositioneerd als apart auditonderwerp. Gemeenten die Suwinet gebruiken, hebben naast de DigiD-audit en het ENSIA-assessment ook een afzonderlijke Suwinet-audit nodig.
Hoe BKBO helpt met de DigiD aansluitaudit
Wij zijn bij BKBO gespecialiseerd in DigiD-aansluitaudits voor gemeenten en andere overheids- en zorginstellingen. Sinds 2012 hebben wij meer dan 2.500 audits uitgevoerd voor uiteenlopende organisaties, van kleine gemeenten tot grote zorginstellingen. Onze gecertificeerde register IT-auditors kennen het Logius-protocol van binnen en van buiten en begeleiden u door het hele auditproces.
Wat wij bieden:
- Complete DigiD-aansluitaudits volgens het officiële protocol van Logius, getoetst op opzet en bestaan
- Heldere, concrete rapportages die u direct kunt indienen bij Logius
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Beoordeling van TPM-rapportages van uw SaaS-leveranciers
- Begeleiding bij de overgang naar de reguliere jaarlijkse DigiD-auditcyclus na afronding van de aansluitaudit
- Vaste prijzen zonder verrassingen achteraf
Of u nu te maken heeft met een nieuwe DigiD-aansluiting die een aansluitaudit vereist, een reguliere jaarlijkse audit of een spoed DigiD-situatie, wij zorgen voor een zorgeloze uitvoering. Neem contact met ons op voor een vrijblijvende offerte.