Hoe houd je een DigiD aansluiting up-to-date na de audit?
Na een geslaagde DigiD aansluitaudit ben je er nog niet. Een DigiD aansluiting up-to-date houden betekent dat je continu voldoet aan de beveiligingseisen van Logius, ook in de periode tussen twee audits in. De eisen worden regelmatig aangescherpt, technische omgevingen veranderen en interne verantwoordelijkheden verschuiven. Dit artikel beantwoordt de meest gestelde vragen over wat er na de audit van je wordt verwacht, zodat je bij de volgende DigiD aansluitaudit goed voorbereid bent.
Wat verandert er aan DigiD-eisen na een geslaagde audit?
Een geslaagde audit is een momentopname. De eisen waaraan je DigiD aansluiting moet voldoen, kunnen daarna veranderen. Logius herziet het normenkader periodiek en voegt nieuwe beveiligingseisen toe op basis van actuele dreigingen en technologische ontwikkelingen. Een aansluiting die vandaag compliant is, kan over een jaar op onderdelen verouderd zijn.
Concreet betekent dit dat je na de audit actief moet bijhouden welke normen zijn gewijzigd. Logius communiceert normwijzigingen doorgaans via officiële publicaties en via de kanalen die gericht zijn op aangesloten organisaties. Het is verstandig om intern iemand aan te wijzen die deze communicatie volgt en vertaalt naar actiepunten voor de eigen omgeving.
Daarnaast geldt dat een nieuwe DigiD aansluiting of uitbreiding van bestaande koppelingen opnieuw beoordeeld moet worden. Je kunt niet automatisch aannemen dat een eerder afgegeven verklaring ook geldt voor nieuwe functionaliteit of een gewijzigde technische infrastructuur.
Hoe vaak moet je een DigiD beveiligingsassessment herhalen?
Een DigiD beveiligingsassessment moet jaarlijks worden herhaald. Elke organisatie met een DigiD aansluiting is verplicht om elk jaar een audit te laten uitvoeren door een gecertificeerde IT-auditor. De rapportage moet voor 1 mei bij Logius worden ingediend, zodat de aansluiting actief kan blijven.
Het is belangrijk om onderscheid te maken tussen de aansluitaudit en de reguliere jaarlijkse audit. Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. De aansluitaudit is dus geen terugkerend jaarlijks gegeven, maar een eenmalige toets bij de start van een nieuwe aansluiting.
Een belangrijk kenmerk van de aansluitaudit is dat deze uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er nog niet, waardoor een toets op werking op dat moment niet mogelijk is. In de reguliere jaarlijkse auditcyclus wordt de werking wel meegenomen.
Dit jaarlijkse ritme is geen formaliteit. Het zorgt ervoor dat de beveiliging van de aansluiting structureel wordt getoetst en dat eventuele kwetsbaarheden tijdig worden gesignaleerd. Organisaties die de deadline missen of een onvoldoende beoordeling ontvangen, riskeren dat Logius maatregelen neemt, waaronder het opschorten van de aansluiting.
Gebruik je een SaaS-oplossing van een externe leverancier voor je DigiD koppeling? Dan is een Third Party Mededeling (TPM) van die leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voer je bij de eigen organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit vermindert de totale auditinspanning aanzienlijk.
Welke technische maatregelen moeten continu worden bewaakt?
Technische maatregelen die tijdens de audit zijn vastgesteld als compliant, moeten ook na de audit actief worden onderhouden. De meest kritieke onderdelen zijn toegangsbeheer, patchmanagement, logging en monitoring, en de beveiliging van de verbinding met Logius.
- Toegangsbeheer: Controleer regelmatig wie toegang heeft tot systemen die de DigiD koppeling raken. Verwijder accounts van medewerkers die uit dienst zijn gegaan of van rol zijn gewisseld.
- Patchmanagement: Houd besturingssystemen, middleware en applicaties up-to-date. Bekende kwetsbaarheden in software zijn een veelvoorkomende aanvalsvector.
- Logging en monitoring: Zorg dat logbestanden worden bijgehouden en dat er een proces is om afwijkingen tijdig te signaleren. Logfiles zijn ook essentieel als bewijs bij een volgende audit.
- Verbindingsbeveiliging: Controleer of certificaten en encryptie-instellingen actueel zijn en voldoen aan de geldende eisen van Logius.
Een periodieke interne controle, bijvoorbeeld elk kwartaal, helpt om afwijkingen vroeg te ontdekken en te corrigeren voordat de volgende audit plaatsvindt.
Hoe verwerk je een normwijziging in je DigiD-omgeving?
Een normwijziging verwerk je door eerst te bepalen welke systemen en processen door de nieuwe eis worden geraakt, vervolgens een gap-analyse uit te voeren en daarna concrete maatregelen te implementeren. Documenteer elke stap, zodat je bij de volgende audit kunt aantonen dat de wijziging tijdig en volledig is doorgevoerd.
In de praktijk verloopt dit in drie stappen. Eerst analyseer je de nieuwe norm en vergelijk je deze met de huidige situatie. Dan stel je een actieplan op met eigenaren, deadlines en benodigde middelen. Tot slot implementeer je de maatregelen en leg je vast wat er is gedaan, door wie en wanneer.
Betrek bij grotere normwijzigingen ook je IT-leverancier of SaaS-aanbieder. Als de wijziging betrekking heeft op de infrastructuur die de leverancier beheert, moet ook de TPM worden bijgewerkt of opnieuw worden uitgevoerd.
Wat moet je bewaren als bewijs tussen twee audits in?
Tussen twee audits in moet je bewijs bewaren van alle beveiligingsmaatregelen die je hebt genomen en van de controles die je hebt uitgevoerd. Denk aan logbestanden, wijzigingsregistraties, toegangsreviews, patchoverzichten en verslagen van interne controles.
Een goede vuistregel is om alles te documenteren wat je bij een volgende audit zou willen kunnen laten zien. Dat omvat niet alleen wat er goed gaat, maar ook incidenten en hoe je die hebt afgehandeld. Een incident dat netjes is gedocumenteerd en opgelost, toont volwassenheid aan. Een incident dat niet is vastgelegd, kan tijdens een audit voor problemen zorgen.
Sla bewijsmateriaal op een centrale, gecontroleerde locatie op en zorg dat het niet achteraf kan worden aangepast. Bewaar documentatie minimaal zo lang als de auditcyclus vereist, maar houd ook rekening met bredere bewaarplichten die voor jouw organisatie gelden.
Wanneer is een tussentijdse heraudit verplicht of verstandig?
Een tussentijdse heraudit is verplicht wanneer Logius na beoordeling van de rapportage vaststelt dat de organisatie niet voldoet aan de gestelde eisen. Logius beoordeelt elke rapportage individueel en bepaalt op basis van de ernst van de bevindingen een hersteltermijn. Die termijn kan variëren van twee tot zes maanden. Er is geen vaste, uniforme deadline voor heraudits. Qua doorlooptijd is een heraudit overigens niet per definitie korter dan een aansluitaudit; de omvang hangt af van de aard en het aantal bevindingen dat moet worden hersteld.
Naast de verplichte heraudit zijn er situaties waarin een tussentijdse heraudit verstandig is, ook zonder dat Logius dit oplegt. Denk aan:
- Een ingrijpende wijziging in de technische infrastructuur die de DigiD koppeling raakt
- Een beveiligingsincident waarbij de integriteit van de aansluiting in het geding is geweest
- Een overstap naar een nieuwe SaaS-leverancier of een nieuw platform
- Twijfel over of de huidige situatie nog voldoet na een normwijziging
Een proactieve heraudit geeft zekerheid en voorkomt verrassingen bij de verplichte jaarlijkse audit.
Wie is intern verantwoordelijk voor de DigiD-compliance na de audit?
Na de audit moet er een duidelijk intern eigenaarschap zijn voor de DigiD-compliance. In de meeste organisaties ligt deze verantwoordelijkheid bij de CISO, de functionaris gegevensbescherming of een aangewezen informatiebeveiligingscoördinator. Zonder een benoemde eigenaar valt compliance al snel tussen de wal en het schip.
De verantwoordelijke persoon zorgt voor drie kernzaken. Ten eerste houdt hij of zij de normwijzigingen bij en vertaalt die naar interne acties. Ten tweede bewaakt hij of zij de technische maatregelen en de bewijsdocumentatie. Ten derde is hij of zij het aanspreekpunt voor de auditor bij de volgende audit.
Bij kleinere organisaties is het niet altijd mogelijk om een fulltime medewerker voor dit onderwerp vrij te maken. In dat geval is het verstandig om de taken expliciet te beleggen bij een bestaande functie en dit vast te leggen in een taakomschrijving of mandaatbesluit. Zo is altijd duidelijk wie aanspreekbaar is en wie actie onderneemt als er iets wijzigt.
Hoe BKBO helpt met je DigiD aansluiting
Wij voeren DigiD audits uit voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits afgerond. Onze aanpak is gericht op minimale belasting van jouw organisatie en maximale zekerheid over de uitkomst. Dit is wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere, concrete rapportages die je op tijd kunt indienen
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Jaarlijkse opvolging mogelijk, zodat je continu inzicht houdt in je compliance-status
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wil je weten wat een DigiD beveiligingsassessment voor jouw organisatie inhoudt? Vraag een vrijblijvende offerte aan via onze contactpagina.
Na een geslaagde DigiD aansluitaudit ben je er nog niet. Een DigiD aansluiting up-to-date houden betekent dat je continu voldoet aan de beveiligingseisen van Logius, ook in de periode tussen twee audits in. De eisen worden regelmatig aangescherpt, technische omgevingen veranderen en interne verantwoordelijkheden verschuiven. Dit artikel beantwoordt de meest gestelde vragen over wat er na de audit van je wordt verwacht, zodat je bij de volgende DigiD aansluitaudit goed voorbereid bent.
Wat verandert er aan DigiD-eisen na een geslaagde audit?
Een geslaagde audit is een momentopname. De eisen waaraan je DigiD aansluiting moet voldoen, kunnen daarna veranderen. Logius herziet het normenkader periodiek en voegt nieuwe beveiligingseisen toe op basis van actuele dreigingen en technologische ontwikkelingen. Een aansluiting die vandaag compliant is, kan over een jaar op onderdelen verouderd zijn.
Concreet betekent dit dat je na de audit actief moet bijhouden welke normen zijn gewijzigd. Logius communiceert normwijzigingen doorgaans via officiële publicaties en via de kanalen die gericht zijn op aangesloten organisaties. Het is verstandig om intern iemand aan te wijzen die deze communicatie volgt en vertaalt naar actiepunten voor de eigen omgeving.
Daarnaast geldt dat een nieuwe DigiD aansluiting of uitbreiding van bestaande koppelingen opnieuw beoordeeld moet worden. Je kunt niet automatisch aannemen dat een eerder afgegeven verklaring ook geldt voor nieuwe functionaliteit of een gewijzigde technische infrastructuur.
Hoe vaak moet je een DigiD beveiligingsassessment herhalen?
Een DigiD beveiligingsassessment moet jaarlijks worden herhaald. Elke organisatie met een DigiD aansluiting is verplicht om elk jaar een audit te laten uitvoeren door een gecertificeerde IT-auditor. De rapportage moet voor 1 mei bij Logius worden ingediend, zodat de aansluiting actief kan blijven.
Het is belangrijk om onderscheid te maken tussen de aansluitaudit en de reguliere jaarlijkse audit. Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. De aansluitaudit is dus geen terugkerend jaarlijks gegeven, maar een eenmalige toets bij de start van een nieuwe aansluiting.
Een belangrijk kenmerk van de aansluitaudit is dat deze uitsluitend wordt getoetst op opzet en bestaan van de beveiligingsmaatregelen, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er nog niet, waardoor een toets op werking op dat moment niet mogelijk is. In de reguliere jaarlijkse auditcyclus wordt de werking wel meegenomen.
Dit jaarlijkse ritme is geen formaliteit. Het zorgt ervoor dat de beveiliging van de aansluiting structureel wordt getoetst en dat eventuele kwetsbaarheden tijdig worden gesignaleerd. Organisaties die de deadline missen of een onvoldoende beoordeling ontvangen, riskeren dat Logius maatregelen neemt, waaronder het opschorten van de aansluiting.
Gebruik je een SaaS-oplossing van een externe leverancier voor je DigiD koppeling? Dan is een Third Party Mededeling (TPM) van die leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voer je bij de eigen organisatie alleen een beperkte controle uit op de normen die nog niet door de leverancier zijn afgedekt. Dit vermindert de totale auditinspanning aanzienlijk.
Welke technische maatregelen moeten continu worden bewaakt?
Technische maatregelen die tijdens de audit zijn vastgesteld als compliant, moeten ook na de audit actief worden onderhouden. De meest kritieke onderdelen zijn toegangsbeheer, patchmanagement, logging en monitoring, en de beveiliging van de verbinding met Logius.
- Toegangsbeheer: Controleer regelmatig wie toegang heeft tot systemen die de DigiD koppeling raken. Verwijder accounts van medewerkers die uit dienst zijn gegaan of van rol zijn gewisseld.
- Patchmanagement: Houd besturingssystemen, middleware en applicaties up-to-date. Bekende kwetsbaarheden in software zijn een veelvoorkomende aanvalsvector.
- Logging en monitoring: Zorg dat logbestanden worden bijgehouden en dat er een proces is om afwijkingen tijdig te signaleren. Logfiles zijn ook essentieel als bewijs bij een volgende audit.
- Verbindingsbeveiliging: Controleer of certificaten en encryptie-instellingen actueel zijn en voldoen aan de geldende eisen van Logius.
Een periodieke interne controle, bijvoorbeeld elk kwartaal, helpt om afwijkingen vroeg te ontdekken en te corrigeren voordat de volgende audit plaatsvindt.
Hoe verwerk je een normwijziging in je DigiD-omgeving?
Een normwijziging verwerk je door eerst te bepalen welke systemen en processen door de nieuwe eis worden geraakt, vervolgens een gap-analyse uit te voeren en daarna concrete maatregelen te implementeren. Documenteer elke stap, zodat je bij de volgende audit kunt aantonen dat de wijziging tijdig en volledig is doorgevoerd.
In de praktijk verloopt dit in drie stappen. Eerst analyseer je de nieuwe norm en vergelijk je deze met de huidige situatie. Dan stel je een actieplan op met eigenaren, deadlines en benodigde middelen. Tot slot implementeer je de maatregelen en leg je vast wat er is gedaan, door wie en wanneer.
Betrek bij grotere normwijzigingen ook je IT-leverancier of SaaS-aanbieder. Als de wijziging betrekking heeft op de infrastructuur die de leverancier beheert, moet ook de TPM worden bijgewerkt of opnieuw worden uitgevoerd.
Wat moet je bewaren als bewijs tussen twee audits in?
Tussen twee audits in moet je bewijs bewaren van alle beveiligingsmaatregelen die je hebt genomen en van de controles die je hebt uitgevoerd. Denk aan logbestanden, wijzigingsregistraties, toegangsreviews, patchoverzichten en verslagen van interne controles.
Een goede vuistregel is om alles te documenteren wat je bij een volgende audit zou willen kunnen laten zien. Dat omvat niet alleen wat er goed gaat, maar ook incidenten en hoe je die hebt afgehandeld. Een incident dat netjes is gedocumenteerd en opgelost, toont volwassenheid aan. Een incident dat niet is vastgelegd, kan tijdens een audit voor problemen zorgen.
Sla bewijsmateriaal op een centrale, gecontroleerde locatie op en zorg dat het niet achteraf kan worden aangepast. Bewaar documentatie minimaal zo lang als de auditcyclus vereist, maar houd ook rekening met bredere bewaarplichten die voor jouw organisatie gelden.
Wanneer is een tussentijdse heraudit verplicht of verstandig?
Een tussentijdse heraudit is verplicht wanneer Logius na beoordeling van de rapportage vaststelt dat de organisatie niet voldoet aan de gestelde eisen. Logius beoordeelt elke rapportage individueel en bepaalt op basis van de ernst van de bevindingen een hersteltermijn. Die termijn kan variëren van twee tot zes maanden. Er is geen vaste, uniforme deadline voor heraudits. Qua doorlooptijd is een heraudit overigens niet per definitie korter dan een aansluitaudit; de omvang hangt af van de aard en het aantal bevindingen dat moet worden hersteld.
Naast de verplichte heraudit zijn er situaties waarin een tussentijdse heraudit verstandig is, ook zonder dat Logius dit oplegt. Denk aan:
- Een ingrijpende wijziging in de technische infrastructuur die de DigiD koppeling raakt
- Een beveiligingsincident waarbij de integriteit van de aansluiting in het geding is geweest
- Een overstap naar een nieuwe SaaS-leverancier of een nieuw platform
- Twijfel over of de huidige situatie nog voldoet na een normwijziging
Een proactieve heraudit geeft zekerheid en voorkomt verrassingen bij de verplichte jaarlijkse audit.
Wie is intern verantwoordelijk voor de DigiD-compliance na de audit?
Na de audit moet er een duidelijk intern eigenaarschap zijn voor de DigiD-compliance. In de meeste organisaties ligt deze verantwoordelijkheid bij de CISO, de functionaris gegevensbescherming of een aangewezen informatiebeveiligingscoördinator. Zonder een benoemde eigenaar valt compliance al snel tussen de wal en het schip.
De verantwoordelijke persoon zorgt voor drie kernzaken. Ten eerste houdt hij of zij de normwijzigingen bij en vertaalt die naar interne acties. Ten tweede bewaakt hij of zij de technische maatregelen en de bewijsdocumentatie. Ten derde is hij of zij het aanspreekpunt voor de auditor bij de volgende audit.
Bij kleinere organisaties is het niet altijd mogelijk om een fulltime medewerker voor dit onderwerp vrij te maken. In dat geval is het verstandig om de taken expliciet te beleggen bij een bestaande functie en dit vast te leggen in een taakomschrijving of mandaatbesluit. Zo is altijd duidelijk wie aanspreekbaar is en wie actie onderneemt als er iets wijzigt.
Hoe BKBO helpt met je DigiD aansluiting
Wij voeren DigiD audits uit voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits afgerond. Onze aanpak is gericht op minimale belasting van jouw organisatie en maximale zekerheid over de uitkomst. Dit is wat wij bieden:
- Complete audits volgens het officiële protocol van Logius
- Heldere, concrete rapportages die je op tijd kunt indienen
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Jaarlijkse opvolging mogelijk, zodat je continu inzicht houdt in je compliance-status
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wil je weten wat een DigiD beveiligingsassessment voor jouw organisatie inhoudt? Vraag een vrijblijvende offerte aan via onze contactpagina.