Hoe kies je een erkende auditor voor een DigiD aansluitaudit?
Een erkende auditor voor een DigiD aansluitaudit moet zijn opgenomen in de lijst van erkende IT-auditorganisaties die Logius bijhoudt. Alleen auditors die aan specifieke kwalificatie-eisen voldoen, mogen een geldig DigiD assessment uitvoeren. In dit artikel beantwoorden we de meest gestelde vragen over het kiezen van de juiste auditor voor jouw DigiD aansluitaudit.
Aan welke eisen moet een DigiD auditor voldoen?
Een DigiD auditor moet in het bezit zijn van de RE-titel (Registered EDP Auditor) of een vergelijkbare erkende kwalificatie, en werkzaam zijn bij een auditorganisatie die door Logius is geaccepteerd. Daarnaast moet de auditor aantoonbaar onafhankelijk zijn van de organisatie die hij of zij beoordeelt.
Concreet betekent dit dat de auditor geen zakelijke of financiële belangen mag hebben bij de organisatie die wordt geaudit. Verder moet de auditorganisatie beschikken over een intern kwaliteitssysteem en voldoen aan de beroepsregels van een erkende beroepsorganisatie, zoals NOREA (de Nederlandse Orde van Register EDP-Auditors). Deze eisen zijn niet vrijblijvend: een assessment dat is uitgevoerd door een niet-erkende partij wordt door Logius niet geaccepteerd.
Wie stelt de lijst van erkende DigiD auditors op?
Logius stelt en beheert de lijst van erkende auditorganisaties die DigiD assessments mogen uitvoeren. Logius is de dienst van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties die verantwoordelijk is voor DigiD en de bijbehorende aansluitvoorwaarden.
De lijst is te raadplegen via de website van Logius en wordt periodiek bijgewerkt. Alleen organisaties die aan de gestelde kwalificatie-eisen voldoen en zijn geaccepteerd door Logius, mogen op deze lijst staan. Het is verstandig om bij het selecteren van een auditor altijd te controleren of de betreffende organisatie op de actuele lijst staat, zodat je zeker weet dat het assessment ook daadwerkelijk geldig is.
Wat is het verschil tussen een IT-auditor en een RE-auditor?
Een RE-auditor (Registered EDP Auditor) is een IT-auditor met een specifieke, erkende beroepstitel die wordt toegekend door NOREA. Niet elke IT-auditor is automatisch een RE-auditor. Voor een DigiD assessment is de RE-titel of een gelijkwaardige kwalificatie vereist.
De term “IT-auditor” is een brede aanduiding voor iemand die IT-gerelateerde audits uitvoert. De RE-titel is een beschermde beroepstitel die aangeeft dat de auditor een erkende opleiding heeft afgerond, voldoet aan permanente educatie-eisen en gebonden is aan een gedragscode. Voor een DigiD aansluitaudit is het dus belangrijk om specifiek te vragen naar de RE-kwalificatie of een gelijkwaardig erkend certificaat, en niet te volstaan met de algemene aanduiding “IT-auditor”.
Hoe controleer je of een auditor onafhankelijk is?
Je controleert de onafhankelijkheid van een auditor door te vragen naar eventuele zakelijke relaties met jouw organisatie, te verifiëren of de auditor geen adviserende rol heeft vervuld bij de te beoordelen systemen, en na te gaan of de auditorganisatie een onafhankelijkheidsverklaring kan overleggen.
Onafhankelijkheid is een kernvereiste voor een geldig DigiD assessment. Een auditor die eerder betrokken was bij het inrichten of adviseren van de beveiligingsmaatregelen die nu worden beoordeeld, kan niet objectief oordelen. Vraag de auditor daarom expliciet naar zijn of haar positie ten opzichte van jouw organisatie. Een professionele auditorganisatie zal hier transparant over zijn en, indien nodig, een andere auditor inzetten.
Welke vragen moet je een potentiële DigiD auditor stellen?
Stel bij het selecteren van een DigiD auditor in ieder geval de volgende vragen om de geschiktheid en betrouwbaarheid te beoordelen:
- Staat uw organisatie op de actuele lijst van door Logius erkende auditorganisaties?
- Beschikt de uitvoerende auditor over de RE-titel of een gelijkwaardige erkende kwalificatie?
- Heeft u ervaring met organisaties in onze sector (overheid, zorg, et cetera)?
- Hoe gaat u om met een eventuele heraudit als wij niet direct voldoen?
- Werkt u met een vaste prijs, en wat is daarin inbegrepen?
- Maakt onze organisatie gebruik van een SaaS-oplossing, en beschikt u over ervaring met het beoordelen van een TPM van de leverancier?
Dat laatste punt verdient extra aandacht. Als jouw organisatie gebruikmaakt van een SaaS-oplossing, is een Third Party Mededeling (TPM) van de leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Op basis van die TPM hoeft de auditor bij jouw organisatie alleen nog een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dit vermindert de totale auditinspanning aanzienlijk. Zorg er dus voor dat jouw auditor weet hoe hij of zij met een TPM moet werken.
Wat kost een DigiD aansluitaudit gemiddeld?
De kosten van een DigiD aansluitaudit variëren afhankelijk van de omvang van de aansluiting, de complexiteit van de omgeving en de auditorganisatie die je inschakelt. Een eenvoudige audit voor een kleine organisatie ligt doorgaans lager dan een uitgebreid assessment voor een organisatie met meerdere koppelingen of een complexe IT-infrastructuur. Een aansluitaudit is daarbij niet per definitie korter of goedkoper dan een heraudit; de omvang wordt bepaald door de specifieke situatie en de complexiteit van de aansluiting.
Sommige auditorganisaties werken met vaste prijzen, wat transparantie biedt en voorkomt dat je achteraf voor verrassingen komt te staan. Let bij het vergelijken van offertes op wat er precies is inbegrepen: zijn eventuele heraudits inbegrepen in de prijs, of worden die apart in rekening gebracht? Een heraudit kan nodig zijn als jouw organisatie bij de eerste beoordeling nog niet aan alle normen voldoet. Vraag hier altijd expliciet naar bij het opvragen van een offerte.
Wanneer moet je uiterlijk een DigiD auditor inschakelen?
Voor de jaarlijkse DigiD audit geldt een deadline van 1 mei. Dit betekent dat het assessment voor die datum afgerond en ingediend moet zijn. Om op tijd klaar te zijn, is het verstandig om ruim voor die datum, bij voorkeur in het eerste kwartaal van het jaar, een auditor in te schakelen.
Een DigiD aansluitaudit is geen jaarlijkse audit. Het betreft de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting, voordat deze in gebruik kan worden genomen. Na het succesvol afronden van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Bij een nieuwe DigiD aansluiting stelt Logius eisen aan het moment waarop dit eerste assessment moet worden uitgevoerd. Bij spoedsituaties, waarbij een organisatie snel een nieuwe aansluiting nodig heeft, is het des te belangrijker om direct een erkende auditor te benaderen, omdat de planning van auditorganisaties in drukke periodes snel vol raakt.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die is bij een nieuwe aansluiting nog niet beschikbaar. Wacht dus niet te lang met het inschakelen van een auditor, zeker niet als je te maken hebt met een nieuwe DigiD aansluiting of een krappe deadline.
Als er na de audit blijkt dat jouw organisatie niet volledig voldoet, kan Logius een heraudit opleggen. De termijn daarvoor verschilt per situatie: Logius beoordeelt elk geval individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Die kan variëren van twee tot zes maanden. Er is dus geen uniforme deadline voor heraudits.
Hoe BKBO helpt bij jouw DigiD aansluitaudit
Wij zijn BKBO, een gespecialiseerd auditbedrijf dat zich sinds 2012 richt op IT-audits en beveiligingsassessments voor overheids- en zorginstellingen. Met inmiddels meer dan 2.500 uitgevoerde audits beschikken wij over diepgaande kennis van de DigiD-normen en de bijbehorende processen. Onze gecertificeerde register IT-auditors staan op de lijst van door Logius erkende auditorganisaties.
Wat wij bieden voor jouw DigiD aansluitaudit:
- Een erkend DigiD assessment uitgevoerd door gecertificeerde RE-auditors
- Toetsing op opzet en bestaan conform de vereisten voor een aansluitaudit
- Ervaring met SaaS-omgevingen en het werken met TPM-rapportages van leveranciers
- Vaste prijzen zonder verborgen kosten, inclusief eventuele heraudits die pro deo worden uitgevoerd
- Concrete, implementeerbare aanbevelingen als er verbeterpunten zijn
- Snelle planning, ook bij een spoed DigiD-aanvraag of een nieuwe DigiD aansluiting
Wil je weten wat een DigiD assessment bij ons kost of wat wij voor jouw organisatie kunnen betekenen? Neem dan contact met ons op voor een vrijblijvende offerte.
Een erkende auditor voor een DigiD aansluitaudit moet zijn opgenomen in de lijst van erkende IT-auditorganisaties die Logius bijhoudt. Alleen auditors die aan specifieke kwalificatie-eisen voldoen, mogen een geldig DigiD assessment uitvoeren. In dit artikel beantwoorden we de meest gestelde vragen over het kiezen van de juiste auditor voor jouw DigiD aansluitaudit.
Aan welke eisen moet een DigiD auditor voldoen?
Een DigiD auditor moet in het bezit zijn van de RE-titel (Registered EDP Auditor) of een vergelijkbare erkende kwalificatie, en werkzaam zijn bij een auditorganisatie die door Logius is geaccepteerd. Daarnaast moet de auditor aantoonbaar onafhankelijk zijn van de organisatie die hij of zij beoordeelt.
Concreet betekent dit dat de auditor geen zakelijke of financiële belangen mag hebben bij de organisatie die wordt geaudit. Verder moet de auditorganisatie beschikken over een intern kwaliteitssysteem en voldoen aan de beroepsregels van een erkende beroepsorganisatie, zoals NOREA (de Nederlandse Orde van Register EDP-Auditors). Deze eisen zijn niet vrijblijvend: een assessment dat is uitgevoerd door een niet-erkende partij wordt door Logius niet geaccepteerd.
Wie stelt de lijst van erkende DigiD auditors op?
Logius stelt en beheert de lijst van erkende auditorganisaties die DigiD assessments mogen uitvoeren. Logius is de dienst van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties die verantwoordelijk is voor DigiD en de bijbehorende aansluitvoorwaarden.
De lijst is te raadplegen via de website van Logius en wordt periodiek bijgewerkt. Alleen organisaties die aan de gestelde kwalificatie-eisen voldoen en zijn geaccepteerd door Logius, mogen op deze lijst staan. Het is verstandig om bij het selecteren van een auditor altijd te controleren of de betreffende organisatie op de actuele lijst staat, zodat je zeker weet dat het assessment ook daadwerkelijk geldig is.
Wat is het verschil tussen een IT-auditor en een RE-auditor?
Een RE-auditor (Registered EDP Auditor) is een IT-auditor met een specifieke, erkende beroepstitel die wordt toegekend door NOREA. Niet elke IT-auditor is automatisch een RE-auditor. Voor een DigiD assessment is de RE-titel of een gelijkwaardige kwalificatie vereist.
De term “IT-auditor” is een brede aanduiding voor iemand die IT-gerelateerde audits uitvoert. De RE-titel is een beschermde beroepstitel die aangeeft dat de auditor een erkende opleiding heeft afgerond, voldoet aan permanente educatie-eisen en gebonden is aan een gedragscode. Voor een DigiD aansluitaudit is het dus belangrijk om specifiek te vragen naar de RE-kwalificatie of een gelijkwaardig erkend certificaat, en niet te volstaan met de algemene aanduiding “IT-auditor”.
Hoe controleer je of een auditor onafhankelijk is?
Je controleert de onafhankelijkheid van een auditor door te vragen naar eventuele zakelijke relaties met jouw organisatie, te verifiëren of de auditor geen adviserende rol heeft vervuld bij de te beoordelen systemen, en na te gaan of de auditorganisatie een onafhankelijkheidsverklaring kan overleggen.
Onafhankelijkheid is een kernvereiste voor een geldig DigiD assessment. Een auditor die eerder betrokken was bij het inrichten of adviseren van de beveiligingsmaatregelen die nu worden beoordeeld, kan niet objectief oordelen. Vraag de auditor daarom expliciet naar zijn of haar positie ten opzichte van jouw organisatie. Een professionele auditorganisatie zal hier transparant over zijn en, indien nodig, een andere auditor inzetten.
Welke vragen moet je een potentiële DigiD auditor stellen?
Stel bij het selecteren van een DigiD auditor in ieder geval de volgende vragen om de geschiktheid en betrouwbaarheid te beoordelen:
- Staat uw organisatie op de actuele lijst van door Logius erkende auditorganisaties?
- Beschikt de uitvoerende auditor over de RE-titel of een gelijkwaardige erkende kwalificatie?
- Heeft u ervaring met organisaties in onze sector (overheid, zorg, et cetera)?
- Hoe gaat u om met een eventuele heraudit als wij niet direct voldoen?
- Werkt u met een vaste prijs, en wat is daarin inbegrepen?
- Maakt onze organisatie gebruik van een SaaS-oplossing, en beschikt u over ervaring met het beoordelen van een TPM van de leverancier?
Dat laatste punt verdient extra aandacht. Als jouw organisatie gebruikmaakt van een SaaS-oplossing, is een Third Party Mededeling (TPM) van de leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Op basis van die TPM hoeft de auditor bij jouw organisatie alleen nog een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dit vermindert de totale auditinspanning aanzienlijk. Zorg er dus voor dat jouw auditor weet hoe hij of zij met een TPM moet werken.
Wat kost een DigiD aansluitaudit gemiddeld?
De kosten van een DigiD aansluitaudit variëren afhankelijk van de omvang van de aansluiting, de complexiteit van de omgeving en de auditorganisatie die je inschakelt. Een eenvoudige audit voor een kleine organisatie ligt doorgaans lager dan een uitgebreid assessment voor een organisatie met meerdere koppelingen of een complexe IT-infrastructuur. Een aansluitaudit is daarbij niet per definitie korter of goedkoper dan een heraudit; de omvang wordt bepaald door de specifieke situatie en de complexiteit van de aansluiting.
Sommige auditorganisaties werken met vaste prijzen, wat transparantie biedt en voorkomt dat je achteraf voor verrassingen komt te staan. Let bij het vergelijken van offertes op wat er precies is inbegrepen: zijn eventuele heraudits inbegrepen in de prijs, of worden die apart in rekening gebracht? Een heraudit kan nodig zijn als jouw organisatie bij de eerste beoordeling nog niet aan alle normen voldoet. Vraag hier altijd expliciet naar bij het opvragen van een offerte.
Wanneer moet je uiterlijk een DigiD auditor inschakelen?
Voor de jaarlijkse DigiD audit geldt een deadline van 1 mei. Dit betekent dat het assessment voor die datum afgerond en ingediend moet zijn. Om op tijd klaar te zijn, is het verstandig om ruim voor die datum, bij voorkeur in het eerste kwartaal van het jaar, een auditor in te schakelen.
Een DigiD aansluitaudit is geen jaarlijkse audit. Het betreft de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting, voordat deze in gebruik kan worden genomen. Na het succesvol afronden van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Bij een nieuwe DigiD aansluiting stelt Logius eisen aan het moment waarop dit eerste assessment moet worden uitgevoerd. Bij spoedsituaties, waarbij een organisatie snel een nieuwe aansluiting nodig heeft, is het des te belangrijker om direct een erkende auditor te benaderen, omdat de planning van auditorganisaties in drukke periodes snel vol raakt.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die is bij een nieuwe aansluiting nog niet beschikbaar. Wacht dus niet te lang met het inschakelen van een auditor, zeker niet als je te maken hebt met een nieuwe DigiD aansluiting of een krappe deadline.
Als er na de audit blijkt dat jouw organisatie niet volledig voldoet, kan Logius een heraudit opleggen. De termijn daarvoor verschilt per situatie: Logius beoordeelt elk geval individueel en bepaalt op basis van de ernst van de bevindingen de hersteltermijn. Die kan variëren van twee tot zes maanden. Er is dus geen uniforme deadline voor heraudits.
Hoe BKBO helpt bij jouw DigiD aansluitaudit
Wij zijn BKBO, een gespecialiseerd auditbedrijf dat zich sinds 2012 richt op IT-audits en beveiligingsassessments voor overheids- en zorginstellingen. Met inmiddels meer dan 2.500 uitgevoerde audits beschikken wij over diepgaande kennis van de DigiD-normen en de bijbehorende processen. Onze gecertificeerde register IT-auditors staan op de lijst van door Logius erkende auditorganisaties.
Wat wij bieden voor jouw DigiD aansluitaudit:
- Een erkend DigiD assessment uitgevoerd door gecertificeerde RE-auditors
- Toetsing op opzet en bestaan conform de vereisten voor een aansluitaudit
- Ervaring met SaaS-omgevingen en het werken met TPM-rapportages van leveranciers
- Vaste prijzen zonder verborgen kosten, inclusief eventuele heraudits die pro deo worden uitgevoerd
- Concrete, implementeerbare aanbevelingen als er verbeterpunten zijn
- Snelle planning, ook bij een spoed DigiD-aanvraag of een nieuwe DigiD aansluiting
Wil je weten wat een DigiD assessment bij ons kost of wat wij voor jouw organisatie kunnen betekenen? Neem dan contact met ons op voor een vrijblijvende offerte.