Hoe werkt de zelfevaluatie als voorbereiding op een aansluitaudit?
De zelfevaluatie is een gestructureerde zelfbeoordeling die een organisatie invult voorafgaand aan een DigiD aansluitaudit. Het doel is om inzichtelijk te maken in hoeverre de technische en organisatorische maatregelen rondom de DigiD-koppeling op orde zijn. Bij een nieuwe DigiD-aansluiting wordt tijdens de aansluitaudit uitsluitend getoetst op opzet en bestaan, niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe aansluiting nog niet beschikbaar. De zelfevaluatie helpt je als organisatie om die toetsing goed voor te bereiden en eventuele hiaten tijdig te signaleren.
Wat wordt er precies gecontroleerd tijdens een aansluitaudit?
Tijdens een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan van de beveiligingsmaatregelen. Dat betekent dat de auditor beoordeelt of de juiste maatregelen zijn ingericht en gedocumenteerd, maar niet of ze in de praktijk effectief werken. Dit onderscheid is belangrijk: voor het toetsen van de werking is een toetsbare periode van minimaal zes maanden nodig. Bij een nieuwe DigiD-aansluiting bestaat die periode nog niet, waardoor de toetsing van de werking bij een aansluitaudit buiten scope valt.
Concreet kijkt de auditor naar zaken zoals toegangsbeheer, logging, patchmanagement en de beveiliging van de koppeling zelf. De normen die hierbij worden gehanteerd, zijn vastgelegd in het officiële protocol van Logius. Als jouw organisatie gebruikmaakt van een SaaS-oplossing, is het belangrijk om een TPM (Third Party Mededeling) van de leverancier te hebben. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier heeft beoordeeld. Op basis van die TPM hoeven auditors bij jouw organisatie alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. De TPM geeft daarmee richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog op jouw organisatie moet richten.
Hoe sluit de zelfevaluatie aan op de eisen van de auditor?
De zelfevaluatie is opgebouwd rond dezelfde normen die de auditor tijdens de aansluitaudit gebruikt. Door de zelfevaluatie vooraf in te vullen, leg je als organisatie vast welke maatregelen aanwezig zijn en hoe die zijn ingericht. De auditor gebruikt jouw zelfevaluatie als startpunt voor de beoordeling en toetst de opgegeven situatie aan de hand van bewijsstukken.
Een goed ingevulde zelfevaluatie versnelt het auditproces aanzienlijk. De auditor hoeft minder tijd te besteden aan het ophalen van basisinformatie en kan zich direct richten op de inhoudelijke beoordeling. Bovendien biedt de zelfevaluatie jou als organisatie de kans om zelf al te signaleren waar de documentatie of maatregelen nog onvolledig zijn, zodat je die vóór de audit kunt aanvullen.
Welke stappen doorloop je bij het invullen van de zelfevaluatie?
Het invullen van de zelfevaluatie verloopt in een aantal vaste stappen. Door deze stappen gestructureerd te doorlopen, vergroot je de kans op een soepele aansluitaudit.
- Verzamel de relevante documentatie. Denk aan beveiligingsbeleid, procedures rondom toegangsbeheer, patchmanagement en logging, en eventuele technische configuraties van de DigiD-koppeling.
- Doorloop de normenlijst. Ga per norm na of de maatregel is ingericht, gedocumenteerd en aantoonbaar aanwezig. Noteer ook waar iets nog ontbreekt of aanvullende aandacht nodig heeft.
- Verzamel bewijsstukken. Voor elke norm die je als “aanwezig” beoordeelt, heb je bewijsstukken nodig. Dit kunnen beleidsdocumenten, schermafbeeldingen, logbestanden of configuratieoverzichten zijn.
- Beoordeel de volledigheid. Controleer of alle normen zijn behandeld en of de bewijsstukken aansluiten op wat de auditor verwacht te zien.
- Lever de zelfevaluatie en bewijsstukken aan. Stuur alles tijdig op aan de auditor, zodat er ruimte is voor vragen en eventuele aanvullingen vóór de formele beoordeling.
Wat zijn veelgemaakte fouten in de zelfevaluatie?
De meest voorkomende fout is dat organisaties normen als “aanwezig” aanvinken zonder voldoende bewijsstukken mee te leveren. Een zelfevaluatie zonder onderbouwing biedt de auditor onvoldoende houvast en leidt vrijwel altijd tot extra vragen of vertraging.
Andere veelgemaakte fouten zijn:
- Te algemene documentatie. Beleidsdocumenten die niet specifiek verwijzen naar de DigiD-omgeving worden door auditors als onvoldoende beschouwd.
- Verouderde bewijsstukken. Documenten die al lang niet zijn bijgewerkt, wekken twijfel over de actualiteit van de maatregelen.
- Ontbrekende TPM bij SaaS-gebruik. Organisaties die een SaaS-oplossing gebruiken, vergeten soms de TPM van hun leverancier op te vragen. Zonder die TPM kan de auditor niet bepalen welke normen al bij de leverancier zijn gedekt.
- Onduidelijke verantwoordelijkheden. Als niet duidelijk is wie binnen de organisatie verantwoordelijk is voor welke maatregel, is de zelfevaluatie moeilijk te verifiëren.
Wanneer moet de zelfevaluatie klaar zijn voor de aansluitaudit?
De zelfevaluatie moet klaar zijn vóórdat de auditor de formele beoordeling start. Bij een nieuwe DigiD-aansluiting geldt dat de aansluitaudit binnen twee maanden na activering van de koppeling door Logius moet zijn afgerond. Logius bevestigt de activering per e-mail, en die datum bepaalt de deadline.
In de praktijk is het verstandig om de zelfevaluatie al te starten zodra de DigiD-koppeling in gebruik wordt genomen. Zo heb je voldoende tijd om documentatie te verzamelen, eventuele hiaten te dichten en de bewijsstukken op orde te brengen. Wacht niet tot de laatste weken voor de deadline, want het aanvullen van ontbrekende documentatie kost meer tijd dan verwacht.
Wie is verantwoordelijk voor het uitvoeren van de zelfevaluatie?
De verantwoordelijkheid voor de zelfevaluatie ligt bij de houder van de DigiD-aansluiting, oftewel de organisatie die de DigiD-koppeling beheert. In de praktijk voert een functionaris informatiebeveiliging (FG of CISO) of een IT-beheerder de zelfevaluatie uit, maar de eindverantwoordelijkheid ligt bij de organisatie als geheel.
Het is belangrijk dat de persoon die de zelfevaluatie invult, voldoende kennis heeft van de technische inrichting én de organisatorische processen rondom de DigiD-koppeling. Bij kleinere organisaties is dat soms één persoon; bij grotere organisaties werken meerdere afdelingen samen. Zorg er in elk geval voor dat er een duidelijk aanspreekpunt is voor de auditor, zodat vragen snel beantwoord kunnen worden.
Hoe BKBO helpt bij de voorbereiding op een aansluitaudit
Wij voeren aansluitaudits uit voor organisaties met een nieuwe DigiD-aansluiting en begeleiden hen door het hele proces. Met meer dan 2.500 uitgevoerde audits weten wij precies waar organisaties tegenaan lopen en hoe de voorbereiding zo efficiënt mogelijk verloopt. Onze aanpak is concreet en praktisch:
- Na ontvangst van de Logius-bevestigingsmail sturen wij direct een documentatieverzoek en een concept auditplan.
- Wij beoordelen de bewijsstukken en koppelen tijdig terug als er vragen of aanvullingen nodig zijn.
- Wij leveren een heldere conceptrapportage op, verwerken jouw reactie en stellen de definitieve rapportage op.
- Mocht een heraudit nodig zijn, dan voeren wij die pro deo uit.
- Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die jaarlijks plaatsvindt. Wij kunnen deze jaarlijkse audits voor jouw organisatie verzorgen, zodat je doorlopend inzicht en zekerheid hebt.
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.
De zelfevaluatie is een gestructureerde zelfbeoordeling die een organisatie invult voorafgaand aan een DigiD aansluitaudit. Het doel is om inzichtelijk te maken in hoeverre de technische en organisatorische maatregelen rondom de DigiD-koppeling op orde zijn. Bij een nieuwe DigiD-aansluiting wordt tijdens de aansluitaudit uitsluitend getoetst op opzet en bestaan, niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die periode is bij een nieuwe aansluiting nog niet beschikbaar. De zelfevaluatie helpt je als organisatie om die toetsing goed voor te bereiden en eventuele hiaten tijdig te signaleren.
Wat wordt er precies gecontroleerd tijdens een aansluitaudit?
Tijdens een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan van de beveiligingsmaatregelen. Dat betekent dat de auditor beoordeelt of de juiste maatregelen zijn ingericht en gedocumenteerd, maar niet of ze in de praktijk effectief werken. Dit onderscheid is belangrijk: voor het toetsen van de werking is een toetsbare periode van minimaal zes maanden nodig. Bij een nieuwe DigiD-aansluiting bestaat die periode nog niet, waardoor de toetsing van de werking bij een aansluitaudit buiten scope valt.
Concreet kijkt de auditor naar zaken zoals toegangsbeheer, logging, patchmanagement en de beveiliging van de koppeling zelf. De normen die hierbij worden gehanteerd, zijn vastgelegd in het officiële protocol van Logius. Als jouw organisatie gebruikmaakt van een SaaS-oplossing, is het belangrijk om een TPM (Third Party Mededeling) van de leverancier te hebben. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier heeft beoordeeld. Op basis van die TPM hoeven auditors bij jouw organisatie alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. De TPM geeft daarmee richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog op jouw organisatie moet richten.
Hoe sluit de zelfevaluatie aan op de eisen van de auditor?
De zelfevaluatie is opgebouwd rond dezelfde normen die de auditor tijdens de aansluitaudit gebruikt. Door de zelfevaluatie vooraf in te vullen, leg je als organisatie vast welke maatregelen aanwezig zijn en hoe die zijn ingericht. De auditor gebruikt jouw zelfevaluatie als startpunt voor de beoordeling en toetst de opgegeven situatie aan de hand van bewijsstukken.
Een goed ingevulde zelfevaluatie versnelt het auditproces aanzienlijk. De auditor hoeft minder tijd te besteden aan het ophalen van basisinformatie en kan zich direct richten op de inhoudelijke beoordeling. Bovendien biedt de zelfevaluatie jou als organisatie de kans om zelf al te signaleren waar de documentatie of maatregelen nog onvolledig zijn, zodat je die vóór de audit kunt aanvullen.
Welke stappen doorloop je bij het invullen van de zelfevaluatie?
Het invullen van de zelfevaluatie verloopt in een aantal vaste stappen. Door deze stappen gestructureerd te doorlopen, vergroot je de kans op een soepele aansluitaudit.
- Verzamel de relevante documentatie. Denk aan beveiligingsbeleid, procedures rondom toegangsbeheer, patchmanagement en logging, en eventuele technische configuraties van de DigiD-koppeling.
- Doorloop de normenlijst. Ga per norm na of de maatregel is ingericht, gedocumenteerd en aantoonbaar aanwezig. Noteer ook waar iets nog ontbreekt of aanvullende aandacht nodig heeft.
- Verzamel bewijsstukken. Voor elke norm die je als “aanwezig” beoordeelt, heb je bewijsstukken nodig. Dit kunnen beleidsdocumenten, schermafbeeldingen, logbestanden of configuratieoverzichten zijn.
- Beoordeel de volledigheid. Controleer of alle normen zijn behandeld en of de bewijsstukken aansluiten op wat de auditor verwacht te zien.
- Lever de zelfevaluatie en bewijsstukken aan. Stuur alles tijdig op aan de auditor, zodat er ruimte is voor vragen en eventuele aanvullingen vóór de formele beoordeling.
Wat zijn veelgemaakte fouten in de zelfevaluatie?
De meest voorkomende fout is dat organisaties normen als “aanwezig” aanvinken zonder voldoende bewijsstukken mee te leveren. Een zelfevaluatie zonder onderbouwing biedt de auditor onvoldoende houvast en leidt vrijwel altijd tot extra vragen of vertraging.
Andere veelgemaakte fouten zijn:
- Te algemene documentatie. Beleidsdocumenten die niet specifiek verwijzen naar de DigiD-omgeving worden door auditors als onvoldoende beschouwd.
- Verouderde bewijsstukken. Documenten die al lang niet zijn bijgewerkt, wekken twijfel over de actualiteit van de maatregelen.
- Ontbrekende TPM bij SaaS-gebruik. Organisaties die een SaaS-oplossing gebruiken, vergeten soms de TPM van hun leverancier op te vragen. Zonder die TPM kan de auditor niet bepalen welke normen al bij de leverancier zijn gedekt.
- Onduidelijke verantwoordelijkheden. Als niet duidelijk is wie binnen de organisatie verantwoordelijk is voor welke maatregel, is de zelfevaluatie moeilijk te verifiëren.
Wanneer moet de zelfevaluatie klaar zijn voor de aansluitaudit?
De zelfevaluatie moet klaar zijn vóórdat de auditor de formele beoordeling start. Bij een nieuwe DigiD-aansluiting geldt dat de aansluitaudit binnen twee maanden na activering van de koppeling door Logius moet zijn afgerond. Logius bevestigt de activering per e-mail, en die datum bepaalt de deadline.
In de praktijk is het verstandig om de zelfevaluatie al te starten zodra de DigiD-koppeling in gebruik wordt genomen. Zo heb je voldoende tijd om documentatie te verzamelen, eventuele hiaten te dichten en de bewijsstukken op orde te brengen. Wacht niet tot de laatste weken voor de deadline, want het aanvullen van ontbrekende documentatie kost meer tijd dan verwacht.
Wie is verantwoordelijk voor het uitvoeren van de zelfevaluatie?
De verantwoordelijkheid voor de zelfevaluatie ligt bij de houder van de DigiD-aansluiting, oftewel de organisatie die de DigiD-koppeling beheert. In de praktijk voert een functionaris informatiebeveiliging (FG of CISO) of een IT-beheerder de zelfevaluatie uit, maar de eindverantwoordelijkheid ligt bij de organisatie als geheel.
Het is belangrijk dat de persoon die de zelfevaluatie invult, voldoende kennis heeft van de technische inrichting én de organisatorische processen rondom de DigiD-koppeling. Bij kleinere organisaties is dat soms één persoon; bij grotere organisaties werken meerdere afdelingen samen. Zorg er in elk geval voor dat er een duidelijk aanspreekpunt is voor de auditor, zodat vragen snel beantwoord kunnen worden.
Hoe BKBO helpt bij de voorbereiding op een aansluitaudit
Wij voeren aansluitaudits uit voor organisaties met een nieuwe DigiD-aansluiting en begeleiden hen door het hele proces. Met meer dan 2.500 uitgevoerde audits weten wij precies waar organisaties tegenaan lopen en hoe de voorbereiding zo efficiënt mogelijk verloopt. Onze aanpak is concreet en praktisch:
- Na ontvangst van de Logius-bevestigingsmail sturen wij direct een documentatieverzoek en een concept auditplan.
- Wij beoordelen de bewijsstukken en koppelen tijdig terug als er vragen of aanvullingen nodig zijn.
- Wij leveren een heldere conceptrapportage op, verwerken jouw reactie en stellen de definitieve rapportage op.
- Mocht een heraudit nodig zijn, dan voeren wij die pro deo uit.
- Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die jaarlijks plaatsvindt. Wij kunnen deze jaarlijkse audits voor jouw organisatie verzorgen, zodat je doorlopend inzicht en zekerheid hebt.
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.