Hoe bereid je je organisatie voor op een aansluitaudit?
Je organisatie voorbereiden op een aansluitaudit begint met het tijdig verzamelen van de juiste documentatie, het aanwijzen van een verantwoordelijke en het uitvoeren van een interne controle op de beveiligingsmaatregelen die Logius vereist. Een goede voorbereiding voorkomt verrassingen tijdens het onderzoek en vergroot de kans op een positieve uitkomst aanzienlijk. In dit artikel beantwoorden we de meest gestelde vragen over de DigiD aansluitaudit, van de eerste stappen tot wat er gebeurt als de audit niet direct slaagt.
Wat wordt er precies gecontroleerd tijdens een aansluitaudit?
Tijdens een aansluitaudit wordt gecontroleerd of jouw organisatie voldoet aan de beveiligingsnormen die Logius stelt voor het gebruik van DigiD. De auditor toetst technische maatregelen, organisatorische processen en de beheersing van risico’s rondom de DigiD-koppeling. Het gaat om een formele toets aan de hand van het officiële normenkader van Logius.
Belangrijk om te weten: een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe DigiD-aansluiting is die periode er nog niet, waardoor de toets op werking op dat moment niet mogelijk is.
Concreet kijkt de auditor naar zaken als toegangsbeveiliging, logging en monitoring, patchbeheer, kwetsbaarheidsscans en de beveiliging van de infrastructuur waarop DigiD draait. Ook de processen rondom incidentbeheer en de contractuele afspraken met eventuele leveranciers worden beoordeeld.
Maak je gebruik van een SaaS-oplossing? Dan is een TPM (Third Party Mededeling) van de leverancier nodig. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier heeft getoetst. Op basis van die TPM hoeft de auditor bij jouw organisatie alleen nog een beperkte controle uit te voeren op een specifiek aantal relevante normen. De TPM geeft richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog op jouw organisatie richt. Dit vermindert de totale auditinspanning aanzienlijk, wat een belangrijk voordeel is voor organisaties die werken met externe softwareleveranciers.
Hoe lang van tevoren moet je beginnen met voorbereiden?
Begin bij voorkeur drie tot zes maanden voor de auditdatum met de voorbereiding. De deadline voor de DigiD-audit ligt op 1 mei, wat betekent dat je in het najaar of uiterlijk aan het begin van het nieuwe jaar moet starten met het in kaart brengen van de benodigde maatregelen en documentatie.
Drie tot zes maanden klinkt ruim, maar in de praktijk blijkt dit noodzakelijk. Technische maatregelen zoals het implementeren van tweefactorauthenticatie, het uitvoeren van penetratietests of het aanpassen van logging-configuraties kosten tijd. Datzelfde geldt voor het ophalen van documentatie bij leveranciers, het afstemmen met interne afdelingen en het uitvoeren van een interne nulmeting.
Organisaties die voor het eerst een nieuwe DigiD-aansluiting aanvragen, hebben bovendien te maken met een extra opstartfase. Zij moeten niet alleen voldoen aan de normen, maar ook de aansluiting zelf technisch inrichten en testen. Plan daarvoor extra tijd in.
Welke documenten en bewijsstukken moet je verzamelen?
Voor een aansluitaudit moet je een breed scala aan documenten en bewijsstukken aanleveren. Denk aan beleidsdocumenten rondom informatiebeveiliging, logbestanden, configuratiedocumentatie, contracten met leveranciers en rapporten van uitgevoerde scans of tests.
Een praktische checklist van veelgevraagde bewijsstukken:
- Informatiebeveiligingsbeleid en risicoanalyse
- Toegangsbeheerprocedures en overzichten van gebruikersaccounts
- Logbestanden van de DigiD-omgeving
- Resultaten van penetratietests en kwetsbaarheidsscans
- Patchmanagementoverzichten
- Verwerkersovereenkomsten met leveranciers
- TPM van de SaaS-leverancier (indien van toepassing)
- Incidentregistratie en -afhandeling
Zorg dat alle documenten actueel zijn en aantoonbaar betrekking hebben op de periode die de audit beslaat. Verouderde of onvolledige documentatie is een veelvoorkomende reden voor bevindingen.
Wie binnen de organisatie is verantwoordelijk voor de auditvoorbereiding?
De verantwoordelijkheid voor de auditvoorbereiding ligt doorgaans bij de CISO (Chief Information Security Officer) of de functionaris informatiebeveiliging, in samenwerking met de ICT-afdeling en de proceseigenaar van de DigiD-aansluiting. Bij kleinere organisaties is dit vaak één persoon die meerdere rollen combineert.
Naast de technische voorbereiding is het belangrijk dat ook het management betrokken is. De audit raakt immers aan organisatorische processen en beleid, niet alleen aan techniek. Zorg voor een duidelijk aanspreekpunt dat de communicatie met de auditor coördineert en intern de voortgang bewaakt.
Bij organisaties die werken met externe ICT-leveranciers is het essentieel om tijdig af te stemmen wie welke bewijsstukken aanlevert. Wacht hier niet mee tot vlak voor de audit, want leveranciers hebben soms weken nodig om documentatie op te stellen of een TPM beschikbaar te stellen.
Wat zijn de meest voorkomende tekortkomingen bij een aansluitaudit?
De meest voorkomende tekortkomingen bij een aansluitaudit zijn onvolledige logging, ontbrekende of verouderde documentatie, onvoldoende patchbeheer en het ontbreken van een actuele risicoanalyse. Ook het niet tijdig beschikbaar hebben van een TPM bij gebruik van SaaS-oplossingen leidt regelmatig tot bevindingen.
Andere aandachtspunten die in de praktijk vaak terugkomen:
- Toegangsrechten die niet periodiek worden gereviewd
- Geen aantoonbaar proces voor het afhandelen van beveiligingsincidenten
- Penetratietests die niet of niet tijdig zijn uitgevoerd
- Onvoldoende bewustzijn bij medewerkers over informatiebeveiliging
- Contracten met leveranciers die geen of onduidelijke beveiligingsafspraken bevatten
Door deze punten vooraf te toetsen in een interne nulmeting, kun je de meeste tekortkomingen al vóór de audit oplossen. Dat bespaart tijd en voorkomt onnodige bevindingen.
Hoe verloopt de samenwerking met de auditor tijdens het proces?
De samenwerking met de auditor verloopt doorgaans in fasen: een intake, een documentenreview, een technische toets en een rapportagefase. Tijdens het proces is er regelmatig contact voor het aanleveren van bewijsstukken, het beantwoorden van vragen en het bespreken van bevindingen.
Een goede auditor werkt transparant en geeft tijdens het proces al aan waar mogelijke knelpunten zitten. Dat geeft jouw organisatie de kans om, waar mogelijk, nog aanpassingen door te voeren. Wees open over de situatie binnen jouw organisatie, ook als iets nog niet op orde is. Een auditor is geen inspecteur die fouten bestraft, maar een onafhankelijke partij die de situatie objectief beoordeelt.
Praktisch gezien is het handig om één intern aanspreekpunt aan te wijzen dat alle communicatie met de auditor coördineert. Dit voorkomt verwarring over wie welke informatie aanlevert en houdt het proces overzichtelijk.
Wat gebeurt er als de audit een onvoldoende oplevert?
Als de aansluitaudit een onvoldoende oplevert, legt Logius een heraudit op. De termijn hiervoor verschilt per organisatie en situatie: Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Die kan variëren van twee tot zes maanden. Er bestaat geen uniforme deadline voor heraudits. Overigens is een aansluitaudit qua doorlooptijd en inspanning niet per definitie korter dan een heraudit; de omvang hangt af van de specifieke situatie en de bevindingen die moeten worden opgevolgd.
Een onvoldoende betekent niet automatisch dat de DigiD-aansluiting direct wordt afgesloten. Logius kijkt naar de aard en ernst van de bevindingen. Bij ernstige tekortkomingen kan Logius wel maatregelen treffen, maar in de meeste gevallen krijgt de organisatie de kans om verbeteringen door te voeren en een heraudit te ondergaan.
Gebruik de periode tot de heraudit effectief: stel een verbeterplan op, wijs verantwoordelijkheden toe en zorg voor aantoonbare voortgang. Documenteer alle genomen maatregelen zorgvuldig, want bij de heraudit moet je kunnen aantonen dat de bevindingen daadwerkelijk zijn opgelost.
Wat gebeurt er na de aansluitaudit?
Een aansluitaudit is geen jaarlijks terugkerend onderzoek. Het betreft uitsluitend de eerste audit van een nieuwe DigiD-aansluiting. Zodra de aansluitaudit met een positieve uitkomst is afgerond, wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus. Die cyclus vindt wel jaarlijks plaats en zorgt voor doorlopend toezicht op de beveiliging van de aansluiting.
Hoe BKBO helpt bij de voorbereiding op een aansluitaudit
Wij zijn sinds 2012 gespecialiseerd in DigiD-assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Die ervaring vertaalt zich in een gestructureerde, efficiënte aanpak waarbij we de belasting voor jouw organisatie zo laag mogelijk houden.
Wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere, concrete rapportages die je op tijd kunt inleveren
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Gecertificeerde register-IT-auditors met diepgaande kennis van overheidssystemen
- Begeleiding bij het verzamelen van documentatie en bewijsstukken
- Jaarlijkse DigiD-audits voor continu inzicht en maximale zekerheid
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Vraag een vrijblijvende offerte aan via onze contactpagina.
Je organisatie voorbereiden op een aansluitaudit begint met het tijdig verzamelen van de juiste documentatie, het aanwijzen van een verantwoordelijke en het uitvoeren van een interne controle op de beveiligingsmaatregelen die Logius vereist. Een goede voorbereiding voorkomt verrassingen tijdens het onderzoek en vergroot de kans op een positieve uitkomst aanzienlijk. In dit artikel beantwoorden we de meest gestelde vragen over de DigiD aansluitaudit, van de eerste stappen tot wat er gebeurt als de audit niet direct slaagt.
Wat wordt er precies gecontroleerd tijdens een aansluitaudit?
Tijdens een aansluitaudit wordt gecontroleerd of jouw organisatie voldoet aan de beveiligingsnormen die Logius stelt voor het gebruik van DigiD. De auditor toetst technische maatregelen, organisatorische processen en de beheersing van risico’s rondom de DigiD-koppeling. Het gaat om een formele toets aan de hand van het officiële normenkader van Logius.
Belangrijk om te weten: een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe DigiD-aansluiting is die periode er nog niet, waardoor de toets op werking op dat moment niet mogelijk is.
Concreet kijkt de auditor naar zaken als toegangsbeveiliging, logging en monitoring, patchbeheer, kwetsbaarheidsscans en de beveiliging van de infrastructuur waarop DigiD draait. Ook de processen rondom incidentbeheer en de contractuele afspraken met eventuele leveranciers worden beoordeeld.
Maak je gebruik van een SaaS-oplossing? Dan is een TPM (Third Party Mededeling) van de leverancier nodig. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier heeft getoetst. Op basis van die TPM hoeft de auditor bij jouw organisatie alleen nog een beperkte controle uit te voeren op een specifiek aantal relevante normen. De TPM geeft richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog op jouw organisatie richt. Dit vermindert de totale auditinspanning aanzienlijk, wat een belangrijk voordeel is voor organisaties die werken met externe softwareleveranciers.
Hoe lang van tevoren moet je beginnen met voorbereiden?
Begin bij voorkeur drie tot zes maanden voor de auditdatum met de voorbereiding. De deadline voor de DigiD-audit ligt op 1 mei, wat betekent dat je in het najaar of uiterlijk aan het begin van het nieuwe jaar moet starten met het in kaart brengen van de benodigde maatregelen en documentatie.
Drie tot zes maanden klinkt ruim, maar in de praktijk blijkt dit noodzakelijk. Technische maatregelen zoals het implementeren van tweefactorauthenticatie, het uitvoeren van penetratietests of het aanpassen van logging-configuraties kosten tijd. Datzelfde geldt voor het ophalen van documentatie bij leveranciers, het afstemmen met interne afdelingen en het uitvoeren van een interne nulmeting.
Organisaties die voor het eerst een nieuwe DigiD-aansluiting aanvragen, hebben bovendien te maken met een extra opstartfase. Zij moeten niet alleen voldoen aan de normen, maar ook de aansluiting zelf technisch inrichten en testen. Plan daarvoor extra tijd in.
Welke documenten en bewijsstukken moet je verzamelen?
Voor een aansluitaudit moet je een breed scala aan documenten en bewijsstukken aanleveren. Denk aan beleidsdocumenten rondom informatiebeveiliging, logbestanden, configuratiedocumentatie, contracten met leveranciers en rapporten van uitgevoerde scans of tests.
Een praktische checklist van veelgevraagde bewijsstukken:
- Informatiebeveiligingsbeleid en risicoanalyse
- Toegangsbeheerprocedures en overzichten van gebruikersaccounts
- Logbestanden van de DigiD-omgeving
- Resultaten van penetratietests en kwetsbaarheidsscans
- Patchmanagementoverzichten
- Verwerkersovereenkomsten met leveranciers
- TPM van de SaaS-leverancier (indien van toepassing)
- Incidentregistratie en -afhandeling
Zorg dat alle documenten actueel zijn en aantoonbaar betrekking hebben op de periode die de audit beslaat. Verouderde of onvolledige documentatie is een veelvoorkomende reden voor bevindingen.
Wie binnen de organisatie is verantwoordelijk voor de auditvoorbereiding?
De verantwoordelijkheid voor de auditvoorbereiding ligt doorgaans bij de CISO (Chief Information Security Officer) of de functionaris informatiebeveiliging, in samenwerking met de ICT-afdeling en de proceseigenaar van de DigiD-aansluiting. Bij kleinere organisaties is dit vaak één persoon die meerdere rollen combineert.
Naast de technische voorbereiding is het belangrijk dat ook het management betrokken is. De audit raakt immers aan organisatorische processen en beleid, niet alleen aan techniek. Zorg voor een duidelijk aanspreekpunt dat de communicatie met de auditor coördineert en intern de voortgang bewaakt.
Bij organisaties die werken met externe ICT-leveranciers is het essentieel om tijdig af te stemmen wie welke bewijsstukken aanlevert. Wacht hier niet mee tot vlak voor de audit, want leveranciers hebben soms weken nodig om documentatie op te stellen of een TPM beschikbaar te stellen.
Wat zijn de meest voorkomende tekortkomingen bij een aansluitaudit?
De meest voorkomende tekortkomingen bij een aansluitaudit zijn onvolledige logging, ontbrekende of verouderde documentatie, onvoldoende patchbeheer en het ontbreken van een actuele risicoanalyse. Ook het niet tijdig beschikbaar hebben van een TPM bij gebruik van SaaS-oplossingen leidt regelmatig tot bevindingen.
Andere aandachtspunten die in de praktijk vaak terugkomen:
- Toegangsrechten die niet periodiek worden gereviewd
- Geen aantoonbaar proces voor het afhandelen van beveiligingsincidenten
- Penetratietests die niet of niet tijdig zijn uitgevoerd
- Onvoldoende bewustzijn bij medewerkers over informatiebeveiliging
- Contracten met leveranciers die geen of onduidelijke beveiligingsafspraken bevatten
Door deze punten vooraf te toetsen in een interne nulmeting, kun je de meeste tekortkomingen al vóór de audit oplossen. Dat bespaart tijd en voorkomt onnodige bevindingen.
Hoe verloopt de samenwerking met de auditor tijdens het proces?
De samenwerking met de auditor verloopt doorgaans in fasen: een intake, een documentenreview, een technische toets en een rapportagefase. Tijdens het proces is er regelmatig contact voor het aanleveren van bewijsstukken, het beantwoorden van vragen en het bespreken van bevindingen.
Een goede auditor werkt transparant en geeft tijdens het proces al aan waar mogelijke knelpunten zitten. Dat geeft jouw organisatie de kans om, waar mogelijk, nog aanpassingen door te voeren. Wees open over de situatie binnen jouw organisatie, ook als iets nog niet op orde is. Een auditor is geen inspecteur die fouten bestraft, maar een onafhankelijke partij die de situatie objectief beoordeelt.
Praktisch gezien is het handig om één intern aanspreekpunt aan te wijzen dat alle communicatie met de auditor coördineert. Dit voorkomt verwarring over wie welke informatie aanlevert en houdt het proces overzichtelijk.
Wat gebeurt er als de audit een onvoldoende oplevert?
Als de aansluitaudit een onvoldoende oplevert, legt Logius een heraudit op. De termijn hiervoor verschilt per organisatie en situatie: Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Die kan variëren van twee tot zes maanden. Er bestaat geen uniforme deadline voor heraudits. Overigens is een aansluitaudit qua doorlooptijd en inspanning niet per definitie korter dan een heraudit; de omvang hangt af van de specifieke situatie en de bevindingen die moeten worden opgevolgd.
Een onvoldoende betekent niet automatisch dat de DigiD-aansluiting direct wordt afgesloten. Logius kijkt naar de aard en ernst van de bevindingen. Bij ernstige tekortkomingen kan Logius wel maatregelen treffen, maar in de meeste gevallen krijgt de organisatie de kans om verbeteringen door te voeren en een heraudit te ondergaan.
Gebruik de periode tot de heraudit effectief: stel een verbeterplan op, wijs verantwoordelijkheden toe en zorg voor aantoonbare voortgang. Documenteer alle genomen maatregelen zorgvuldig, want bij de heraudit moet je kunnen aantonen dat de bevindingen daadwerkelijk zijn opgelost.
Wat gebeurt er na de aansluitaudit?
Een aansluitaudit is geen jaarlijks terugkerend onderzoek. Het betreft uitsluitend de eerste audit van een nieuwe DigiD-aansluiting. Zodra de aansluitaudit met een positieve uitkomst is afgerond, wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus. Die cyclus vindt wel jaarlijks plaats en zorgt voor doorlopend toezicht op de beveiliging van de aansluiting.
Hoe BKBO helpt bij de voorbereiding op een aansluitaudit
Wij zijn sinds 2012 gespecialiseerd in DigiD-assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Die ervaring vertaalt zich in een gestructureerde, efficiënte aanpak waarbij we de belasting voor jouw organisatie zo laag mogelijk houden.
Wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere, concrete rapportages die je op tijd kunt inleveren
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Gecertificeerde register-IT-auditors met diepgaande kennis van overheidssystemen
- Begeleiding bij het verzamelen van documentatie en bewijsstukken
- Jaarlijkse DigiD-audits voor continu inzicht en maximale zekerheid
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Vraag een vrijblijvende offerte aan via onze contactpagina.