Hoe lang van tevoren moet je een DigiD aansluitaudit plannen?
Een DigiD aansluitaudit plan je het beste minimaal twee tot drie maanden van tevoren. Dat klinkt ruim, maar in de praktijk blijkt deze aanlooptijd noodzakelijk om documenten te verzamelen, een gecertificeerde auditor in te plannen en eventuele bevindingen op tijd te kunnen herstellen. De deadline voor het indienen van de rapportage bij Logius ligt op 1 mei, wat betekent dat je in de meeste gevallen uiterlijk in februari moet starten. In dit artikel beantwoorden we de meest gestelde vragen over planning, deadlines en voorbereiding voor een DigiD assessment.
Hoeveel tijd kost een DigiD aansluitaudit gemiddeld?
Een DigiD aansluitaudit duurt gemiddeld twee tot vier weken, afhankelijk van de complexiteit van de aansluiting en de volledigheid van de aangeleverde documentatie. Een aansluitaudit is niet per definitie korter dan een heraudit; de doorlooptijd wordt bepaald door de omvang van de aansluiting en de beschikbaarheid van de benodigde documentatie.
De audit zelf bestaat uit meerdere stappen: een intake, een documentenreview, een technische beoordeling en de rapportagefase. Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe DigiD-aansluiting nog niet beschikbaar. Hoe sneller een organisatie de benodigde informatie aanlevert, hoe vlotter het proces verloopt. Onvolledige dossiers zijn de meest voorkomende reden voor vertraging.
Gebruik je een SaaS-oplossing van een externe leverancier? Dan is een TPM (Third Party Mededeling) van die leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere auditors op dit rapport kunnen vertrouwen, zodat zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij jouw organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit bespaart tijd en auditinspanning aanzienlijk, maar de TPM moet wel tijdig beschikbaar zijn.
Wanneer is de deadline voor het indienen van een DigiD audit?
De deadline voor het indienen van de DigiD auditrapportage bij Logius is 1 mei. Logius hanteert een termijn van twee maanden na afronding van de audit voor het ontvangen van de definitieve rapportage. Dat betekent dat de audit zelf uiterlijk eind februari afgerond moet zijn om ruim binnen de deadline te blijven.
Voldoet een organisatie niet aan de gestelde normen, dan kan Logius een heraudit opleggen. Er bestaat geen uniforme deadline voor heraudits: Logius beoordeelt elke rapportage individueel en bepaalt op basis van de ernst van de bevindingen welke hersteltermijn van toepassing is. Die termijn kan variëren van twee tot zes maanden. Het is dus niet zo dat een heraudit automatisch voor 1 mei afgerond moet zijn.
Welke documenten heb je nodig voor een DigiD audit?
Voor een DigiD audit heb je een set technische en organisatorische documenten nodig die aantonen hoe jouw organisatie de DigiD-aansluiting heeft ingericht en beveiligd. Hoe completer het dossier bij de start, hoe soepeler de audit verloopt.
Denk aan de volgende documentatie:
- Een actueel netwerktopologiediagram van de omgeving rondom de DigiD-aansluiting
- Beleid en procedures rondom toegangsbeheer en wachtwoordbeheer
- Logging- en monitoringconfiguraties
- Patchmanagementbeleid en bewijs van recente updates
- Incidentresponsbeleid en -procedures
- Een actuele risicoanalyse of informatiebeveiligingsbeleid
- Bij gebruik van een SaaS-oplossing: een geldige TPM van de leverancier
Sommige documenten zijn eenvoudig te verzamelen, maar andere, zoals een actuele risicoanalyse of een bijgewerkt netwerkdiagram, vereisen intern werk. Begin hier daarom ruim op tijd mee.
Wat gebeurt er als je de DigiD audit te laat plant?
Als je de DigiD audit te laat plant, loop je het risico de deadline van 1 mei te missen. Dit heeft directe gevolgen: Logius kan de DigiD-aansluiting opschorten, wat betekent dat burgers niet langer via DigiD kunnen inloggen op jouw digitale diensten. Voor gemeenten, zorgorganisaties en andere overheidsinstanties is dat een ernstige verstoring van de dienstverlening.
Daarnaast is de capaciteit van gecertificeerde IT-auditors in het eerste kwartaal beperkt. Veel organisaties plannen hun audit in dezelfde periode, waardoor een spoed DigiD audit lastiger te realiseren is. Wie in maart of april nog een auditor zoekt, merkt dat de beschikbaarheid schaars is en dat er weinig ruimte overblijft om bevindingen te herstellen voor de deadline.
Een te late planning vergroot ook de kans op een heraudit, omdat er onvoldoende tijd is om tekortkomingen tijdig te verhelpen. Hoe eerder je begint, hoe meer ruimte je hebt om verbeteringen door te voeren zonder tijdsdruk.
Hoe vroeg moet je een DigiD auditor inschakelen?
Schakel een gecertificeerde DigiD auditor minimaal twee tot drie maanden voor de deadline in. Dat betekent in de praktijk: uiterlijk in februari, bij voorkeur al in januari of december van het jaar daarvoor. Voor een nieuwe DigiD-aansluiting geldt dat je nog eerder moet beginnen, omdat de initiële opzet en documentatie meer voorbereiding vragen.
Houd rekening met de volgende factoren bij het bepalen van je startmoment:
- Beschikbaarheid van de auditor: gecertificeerde IT-auditors hebben in het eerste kwartaal een volle agenda
- Volledigheid van je documentatie: ontbrekende documenten kosten extra tijd
- Gebruik van een SaaS-leverancier: de TPM moet al beschikbaar zijn voordat de audit kan starten
- Ruimte voor herstel: als er bevindingen zijn, heb je tijd nodig om die op te lossen voor de deadline
Een aansluitaudit is geen jaarlijkse verplichting. Het betreft de eerste audit van een nieuwe DigiD-aansluiting. Na succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Organisaties die jaarlijks een DigiD audit laten uitvoeren, plannen dit proces steeds vaker al in het najaar in. Zo vermijd je de drukte van het eerste kwartaal en houd je controle over de planning.
Wat is het verschil tussen een DigiD audit en een ENSIA assessment?
Een DigiD audit en een ENSIA assessment zijn twee afzonderlijke onderzoeken met een ander toepassingsgebied. De DigiD audit richt zich specifiek op de beveiliging van de DigiD-aansluiting van een organisatie en is verplicht voor alle organisaties die DigiD gebruiken. Een ENSIA assessment is een bredere zelfevaluatie op het gebied van informatiebeveiliging en is uitsluitend van toepassing op gemeenten.
Binnen het ENSIA-stelsel wordt de DigiD audit als een van de verantwoordingsonderdelen meegenomen, maar de twee trajecten zijn inhoudelijk en procedureel gescheiden. Een gemeente die ENSIA uitvoert, doorloopt daarbinnen ook de DigiD-verantwoording, maar dat neemt niet weg dat de DigiD audit een eigen, zelfstandig audittraject is met een eigen rapportage en een eigen indiening bij Logius.
Voor niet-gemeentelijke organisaties, zoals zorginstanties, woningcorporaties of softwareleveranciers, geldt het ENSIA-kader niet. Zij voeren uitsluitend de DigiD audit uit. Suwinet is een apart traject en staat los van zowel de DigiD audit als het ENSIA-kader.
Hoe BKBO helpt bij het plannen van jouw DigiD aansluitaudit
Wij voeren al meer dan 2.500 audits uit en begrijpen als geen ander hoe belangrijk een goede planning is. Of het nu gaat om een jaarlijkse DigiD audit, een nieuwe DigiD-aansluiting of een situatie waarbij spoed DigiD begeleiding nodig is, wij zorgen voor een gestructureerde aanpak die past bij jouw organisatie.
Wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere rapportages met concrete aanbevelingen
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Begeleiding bij het verzamelen van de benodigde documentatie
- Jaarlijkse DigiD audits voor continu inzicht en maximale zekerheid
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wacht niet tot het eerste kwartaal om in actie te komen. Neem contact op voor een vrijblijvende offerte en zorg dat jouw DigiD aansluitaudit tijdig en zonder stress is geregeld.
Een DigiD aansluitaudit plan je het beste minimaal twee tot drie maanden van tevoren. Dat klinkt ruim, maar in de praktijk blijkt deze aanlooptijd noodzakelijk om documenten te verzamelen, een gecertificeerde auditor in te plannen en eventuele bevindingen op tijd te kunnen herstellen. De deadline voor het indienen van de rapportage bij Logius ligt op 1 mei, wat betekent dat je in de meeste gevallen uiterlijk in februari moet starten. In dit artikel beantwoorden we de meest gestelde vragen over planning, deadlines en voorbereiding voor een DigiD assessment.
Hoeveel tijd kost een DigiD aansluitaudit gemiddeld?
Een DigiD aansluitaudit duurt gemiddeld twee tot vier weken, afhankelijk van de complexiteit van de aansluiting en de volledigheid van de aangeleverde documentatie. Een aansluitaudit is niet per definitie korter dan een heraudit; de doorlooptijd wordt bepaald door de omvang van de aansluiting en de beschikbaarheid van de benodigde documentatie.
De audit zelf bestaat uit meerdere stappen: een intake, een documentenreview, een technische beoordeling en de rapportagefase. Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe DigiD-aansluiting nog niet beschikbaar. Hoe sneller een organisatie de benodigde informatie aanlevert, hoe vlotter het proces verloopt. Onvolledige dossiers zijn de meest voorkomende reden voor vertraging.
Gebruik je een SaaS-oplossing van een externe leverancier? Dan is een TPM (Third Party Mededeling) van die leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere auditors op dit rapport kunnen vertrouwen, zodat zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij jouw organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit bespaart tijd en auditinspanning aanzienlijk, maar de TPM moet wel tijdig beschikbaar zijn.
Wanneer is de deadline voor het indienen van een DigiD audit?
De deadline voor het indienen van de DigiD auditrapportage bij Logius is 1 mei. Logius hanteert een termijn van twee maanden na afronding van de audit voor het ontvangen van de definitieve rapportage. Dat betekent dat de audit zelf uiterlijk eind februari afgerond moet zijn om ruim binnen de deadline te blijven.
Voldoet een organisatie niet aan de gestelde normen, dan kan Logius een heraudit opleggen. Er bestaat geen uniforme deadline voor heraudits: Logius beoordeelt elke rapportage individueel en bepaalt op basis van de ernst van de bevindingen welke hersteltermijn van toepassing is. Die termijn kan variëren van twee tot zes maanden. Het is dus niet zo dat een heraudit automatisch voor 1 mei afgerond moet zijn.
Welke documenten heb je nodig voor een DigiD audit?
Voor een DigiD audit heb je een set technische en organisatorische documenten nodig die aantonen hoe jouw organisatie de DigiD-aansluiting heeft ingericht en beveiligd. Hoe completer het dossier bij de start, hoe soepeler de audit verloopt.
Denk aan de volgende documentatie:
- Een actueel netwerktopologiediagram van de omgeving rondom de DigiD-aansluiting
- Beleid en procedures rondom toegangsbeheer en wachtwoordbeheer
- Logging- en monitoringconfiguraties
- Patchmanagementbeleid en bewijs van recente updates
- Incidentresponsbeleid en -procedures
- Een actuele risicoanalyse of informatiebeveiligingsbeleid
- Bij gebruik van een SaaS-oplossing: een geldige TPM van de leverancier
Sommige documenten zijn eenvoudig te verzamelen, maar andere, zoals een actuele risicoanalyse of een bijgewerkt netwerkdiagram, vereisen intern werk. Begin hier daarom ruim op tijd mee.
Wat gebeurt er als je de DigiD audit te laat plant?
Als je de DigiD audit te laat plant, loop je het risico de deadline van 1 mei te missen. Dit heeft directe gevolgen: Logius kan de DigiD-aansluiting opschorten, wat betekent dat burgers niet langer via DigiD kunnen inloggen op jouw digitale diensten. Voor gemeenten, zorgorganisaties en andere overheidsinstanties is dat een ernstige verstoring van de dienstverlening.
Daarnaast is de capaciteit van gecertificeerde IT-auditors in het eerste kwartaal beperkt. Veel organisaties plannen hun audit in dezelfde periode, waardoor een spoed DigiD audit lastiger te realiseren is. Wie in maart of april nog een auditor zoekt, merkt dat de beschikbaarheid schaars is en dat er weinig ruimte overblijft om bevindingen te herstellen voor de deadline.
Een te late planning vergroot ook de kans op een heraudit, omdat er onvoldoende tijd is om tekortkomingen tijdig te verhelpen. Hoe eerder je begint, hoe meer ruimte je hebt om verbeteringen door te voeren zonder tijdsdruk.
Hoe vroeg moet je een DigiD auditor inschakelen?
Schakel een gecertificeerde DigiD auditor minimaal twee tot drie maanden voor de deadline in. Dat betekent in de praktijk: uiterlijk in februari, bij voorkeur al in januari of december van het jaar daarvoor. Voor een nieuwe DigiD-aansluiting geldt dat je nog eerder moet beginnen, omdat de initiële opzet en documentatie meer voorbereiding vragen.
Houd rekening met de volgende factoren bij het bepalen van je startmoment:
- Beschikbaarheid van de auditor: gecertificeerde IT-auditors hebben in het eerste kwartaal een volle agenda
- Volledigheid van je documentatie: ontbrekende documenten kosten extra tijd
- Gebruik van een SaaS-leverancier: de TPM moet al beschikbaar zijn voordat de audit kan starten
- Ruimte voor herstel: als er bevindingen zijn, heb je tijd nodig om die op te lossen voor de deadline
Een aansluitaudit is geen jaarlijkse verplichting. Het betreft de eerste audit van een nieuwe DigiD-aansluiting. Na succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Organisaties die jaarlijks een DigiD audit laten uitvoeren, plannen dit proces steeds vaker al in het najaar in. Zo vermijd je de drukte van het eerste kwartaal en houd je controle over de planning.
Wat is het verschil tussen een DigiD audit en een ENSIA assessment?
Een DigiD audit en een ENSIA assessment zijn twee afzonderlijke onderzoeken met een ander toepassingsgebied. De DigiD audit richt zich specifiek op de beveiliging van de DigiD-aansluiting van een organisatie en is verplicht voor alle organisaties die DigiD gebruiken. Een ENSIA assessment is een bredere zelfevaluatie op het gebied van informatiebeveiliging en is uitsluitend van toepassing op gemeenten.
Binnen het ENSIA-stelsel wordt de DigiD audit als een van de verantwoordingsonderdelen meegenomen, maar de twee trajecten zijn inhoudelijk en procedureel gescheiden. Een gemeente die ENSIA uitvoert, doorloopt daarbinnen ook de DigiD-verantwoording, maar dat neemt niet weg dat de DigiD audit een eigen, zelfstandig audittraject is met een eigen rapportage en een eigen indiening bij Logius.
Voor niet-gemeentelijke organisaties, zoals zorginstanties, woningcorporaties of softwareleveranciers, geldt het ENSIA-kader niet. Zij voeren uitsluitend de DigiD audit uit. Suwinet is een apart traject en staat los van zowel de DigiD audit als het ENSIA-kader.
Hoe BKBO helpt bij het plannen van jouw DigiD aansluitaudit
Wij voeren al meer dan 2.500 audits uit en begrijpen als geen ander hoe belangrijk een goede planning is. Of het nu gaat om een jaarlijkse DigiD audit, een nieuwe DigiD-aansluiting of een situatie waarbij spoed DigiD begeleiding nodig is, wij zorgen voor een gestructureerde aanpak die past bij jouw organisatie.
Wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere rapportages met concrete aanbevelingen
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Begeleiding bij het verzamelen van de benodigde documentatie
- Jaarlijkse DigiD audits voor continu inzicht en maximale zekerheid
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wacht niet tot het eerste kwartaal om in actie te komen. Neem contact op voor een vrijblijvende offerte en zorg dat jouw DigiD aansluitaudit tijdig en zonder stress is geregeld.