Een DigiD-assessment is een jaarlijkse beveiligingstoets die organisaties met DigiD-koppelingen moeten doorlopen om burgergegevens adequaat te beschermen. Deze verplichte beoordeling door gecertificeerde IT-auditors controleert of uw technische beveiliging en werkprocessen voldoen aan de strenge eisen van Logius. Overheidsorganisaties, zorginstellingen en IT-leveranciers riskeren afsluiting van hun DigiD-koppeling zonder goedgekeurd assessment. Ontdek in deze gids het volledige proces, kostenfactoren, voorbereidingstips en welke organisaties deze toets moeten laten uitvoeren om compliant te blijven.

ENSIA verantwoording is de gestandaardiseerde jaarlijkse rapportageverplichting waarmee gemeenten en overheidsorganisaties hun informatiebeveiliging aantonen aan het Ministerie van BZK. Dit framework biedt eenduidige normen voor compliance met de Baseline Informatiebeveiliging Overheid (BIO) en zorgt voor transparantie over beveiligingsmaatregelen. De verantwoording helpt organisaties systematisch inzicht te geven in informatieveiligheid, kwetsbaarheden te identificeren en burgers te beschermen tegen datalekken. Ontdek welke normen gelden, hoe het proces werkt en welke uitdagingen gemeenten tegenkomen.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de Wpg-audit, terwijl de verwerkingsverantwoordelijke zelf de audit moet laten uitvoeren door een gekwalificeerde externe auditor. De Wet politiegegevens verplicht organisaties zoals gemeenten, waterschappen en veiligheidsregio’s tot externe audits vanwege de gevoelige aard van politiegegevens. Alleen gecertificeerde RE-auditors mogen deze audits uitvoeren. De auditfrequentie varieert van jaarlijks tot tweejaarlijks, afhankelijk van het risicoprofiel. Niet-naleving kan leiden tot handhavend optreden en boetes.

Een TPM-verklaring voor DigiD is essentieel voor organisaties die DigiD-koppelingen faciliteren. Deze formele complianceverklaring bevestigt dat uw technische infrastructuur en procedurele maatregelen voldoen aan de strenge beveiligingseisen van Logius. Waar een regulier DigiD assessment uw webapplicatie toetst, gaat de TPM-verklaring dieper in op hosting-infrastructuur, netwerkbeveiliging en organisatorische processen. Softwareleveranciers en hostingproviders hebben deze verklaring verplicht nodig om authenticatiegegevens van burgers te beschermen. Het assessment duurt gemiddeld zes tot tien weken en omvat penetratietesten, procedurecontroles en infrastructuurbeveiliging. Zonder geldige TPM-verklaring riskeert u sancties en opschorting van uw DigiD-koppeling.