Wat gebeurt er als je zakt voor een DigiD aansluitaudit?
Als je zakt voor een DigiD aansluitaudit, betekent dat niet automatisch dat je DigiD-aansluiting direct wordt afgesloten. Logius beoordeelt het auditrapport en bepaalt op basis van de ernst van de bevindingen welke vervolgstappen nodig zijn. In de meeste gevallen krijg je de kans om tekortkomingen te herstellen en een heraudit te doorlopen. Dit artikel beantwoordt de meest gestelde vragen over wat er precies gebeurt na een negatief auditresultaat.
Wat betekent het als je de DigiD audit niet haalt?
Niet slagen voor een DigiD audit betekent dat er tijdens het onderzoek een of meer tekortkomingen zijn vastgesteld die niet voldoen aan de normen van Logius. De auditor legt deze bevindingen vast in een rapportage en concludeert dat de organisatie op dat moment niet volledig voldoet aan de vereisten voor een veilige DigiD-aansluiting. Dit resulteert in een negatief auditrapport dat aan Logius wordt aangeboden.
Een negatief resultaat is vervelend, maar het is geen eindstation. Logius beoordeelt elk rapport individueel en kijkt naar de aard en ernst van de tekortkomingen. Op basis daarvan bepaalt Logius of, en onder welke voorwaarden, de DigiD-aansluiting in stand kan blijven. Organisaties die transparant rapporteren en actief werken aan herstel, staan er doorgaans beter voor dan organisaties die tekortkomingen bagatelliseren.
Wat is een aansluitaudit en hoe verschilt die van een reguliere DigiD-audit?
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Deze audit wijkt op een aantal belangrijke punten af van de reguliere DigiD-auditcyclus die daarna jaarlijks plaatsvindt.
Bij een aansluitaudit worden de maatregelen uitsluitend getoetst op opzet en bestaan, niet op werking. Dit heeft een praktische reden: om de werking van maatregelen te kunnen beoordelen, is een aantoonbare toetsbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er simpelweg nog niet, waardoor toetsing op werking niet mogelijk is.
Een aansluitaudit is daarmee niet per definitie korter of minder intensief dan een heraudit. De reikwijdte en doorlooptijd zijn afhankelijk van de specifieke situatie en de complexiteit van de aansluiting. Na een succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, waarbij de maatregelen voortaan ook op werking worden getoetst.
Welke gevolgen heeft een negatief auditresultaat voor je DigiD-aansluiting?
De directe gevolgen van een negatief auditresultaat hangen af van de ernst van de vastgestelde tekortkomingen. In minder ernstige gevallen mag de DigiD-aansluiting voorlopig in stand blijven, mits de organisatie een herstelplan opstelt en uitvoert. Bij ernstige of kritieke tekortkomingen kan Logius besluiten de aansluiting tijdelijk op te schorten totdat de situatie is hersteld.
Het is belangrijk te begrijpen dat Logius de continuïteit van digitale dienstverlening serieus neemt. Een volledige afsluiting van een nieuwe DigiD-aansluiting of een bestaande koppeling is een zwaar middel dat Logius niet lichtzinnig inzet. Toch is het risico reëel, zeker als dezelfde tekortkomingen terugkeren zonder aantoonbare verbeteringen. Organisaties die herhaaldelijk tekortschieten, lopen een groter risico op strengere maatregelen.
Hoe lang heb je om tekortkomingen te herstellen?
Er is geen vaste, uniforme hersteltermijn voor alle organisaties. Logius beoordeelt elk auditrapport individueel en bepaalt op basis van de ernst van de tekortkomingen hoeveel tijd een organisatie krijgt om verbeteringen door te voeren. De hersteltermijn kan variëren van twee tot zes maanden, afhankelijk van de specifieke situatie.
De deadline van 1 mei geldt voor het indienen van het oorspronkelijke auditrapport. Wanneer een heraudit verplicht wordt gesteld, begint een nieuwe termijn die Logius per geval vaststelt. Het is daarom verstandig om direct na het ontvangen van de rapportage actie te ondernemen en niet te wachten tot Logius contact opneemt. Hoe sneller je tekortkomingen aanpakt, hoe groter de kans dat je binnen de gestelde termijn een positief herauditresultaat kunt overleggen.
Wat is het verschil tussen een bevinding en een tekortkoming?
Een bevinding is een observatie van de auditor die afwijkt van de norm, maar niet per se leidt tot een negatief oordeel. Een tekortkoming is een bevinding die zo ernstig is dat de organisatie op dat punt niet voldoet aan de gestelde eisen. Het onderscheid is cruciaal: bevindingen kunnen worden meegenomen als verbeterpunten, terwijl tekortkomingen directe actie vereisen.
In de praktijk werkt het als volgt:
- Bevinding: Een afwijking of aandachtspunt dat de auditor signaleert, maar dat niet direct leidt tot een negatief oordeel over de norm als geheel.
- Tekortkoming: Een bevinding waarbij de organisatie aantoonbaar niet voldoet aan een specifieke norm. Dit heeft directe gevolgen voor het eindoordeel van de audit.
Een auditrapport kan meerdere bevindingen bevatten zonder dat dit automatisch tot een negatief eindoordeel leidt. Zodra er echter tekortkomingen worden vastgesteld, is het eindoordeel negatief en moet de organisatie actie ondernemen. Het is dan ook verstandig om bevindingen serieus te nemen en tijdig op te lossen, zodat zij niet uitgroeien tot tekortkomingen bij een volgende audit.
Wanneer is een heraudit verplicht na een negatief resultaat?
Een heraudit is verplicht wanneer Logius op basis van het auditrapport oordeelt dat de vastgestelde tekortkomingen herstel vereisen voordat de DigiD-aansluiting onvoorwaardelijk kan worden voortgezet. Logius bepaalt dit per geval, op basis van de aard en het aantal tekortkomingen in het rapport.
Niet elk negatief rapport leidt automatisch tot een verplichte heraudit. Soms volstaat een verbeterplan of aanvullende documentatie. Maar wanneer Logius concludeert dat de tekortkomingen substantieel zijn, zal een heraudit worden opgelegd. De organisatie krijgt dan een specifieke termijn om de verbeteringen door te voeren en een heraudit te laten uitvoeren door een gecertificeerde IT-auditor. Pas na een positief herauditresultaat is de situatie formeel afgerond.
Hoe voorkom je dat je opnieuw zakt voor de DigiD audit?
De beste manier om een negatief auditresultaat te voorkomen, is het structureel borgen van informatiebeveiliging gedurende het hele jaar, niet alleen in de aanloop naar de audit. Organisaties die continu werken aan hun beveiligingsmaatregelen en hun documentatie op orde houden, zijn beter voorbereid en lopen minder risico op tekortkomingen.
Praktische stappen die helpen:
- Voer een interne nulmeting uit ruim voor de auditdatum, zodat je tekortkomingen tijdig kunt signaleren en oplossen.
- Zorg dat beleidsmaatregelen niet alleen op papier bestaan, maar ook aantoonbaar worden uitgevoerd in de praktijk.
- Houd toegangsbeheer, patchmanagement en logging actueel en gedocumenteerd.
- Wijs een interne eigenaar aan die verantwoordelijk is voor de voortgang van verbetermaatregelen.
- Gebruik de bevindingen uit vorige audits als leidraad voor prioriteiten in het komende jaar.
Bij gebruik van een SaaS-oplossing is het ook belangrijk om te beschikken over een actuele TPM (Third Party Mededeling) van de leverancier. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen van de leverancier beoordeelt. Het grote voordeel is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken bij de gebruikersorganisatie. Op basis van de TPM voert de auditor bij de organisatie zelf alleen een beperkte controle uit op de relevante normen die niet al bij de leverancier zijn onderzocht. Dit vermindert de totale auditinspanning aanzienlijk.
Hoe BKBO helpt bij een DigiD aansluitaudit
Wij voeren DigiD aansluitaudits uit voor overheden en zorginstellingen en begeleiden organisaties ook wanneer er sprake is van tekortkomingen of een verplichte heraudit. Met meer dan 2.500 uitgevoerde audits weten wij precies waar de knelpunten liggen en hoe je die efficiënt oplost. Onze heraudits voeren wij pro deo uit, zodat een negatief eerste resultaat geen extra financiële last betekent.
Wat wij bieden:
- Volledige DigiD audits conform het officiële protocol van Logius
- Heldere rapportages met concrete, implementeerbare aanbevelingen
- Heraudits zonder extra kosten bij een negatief eerste resultaat
- Begeleiding bij de overgang van aansluitaudit naar de reguliere jaarlijkse DigiD-auditcyclus
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.
Als je zakt voor een DigiD aansluitaudit, betekent dat niet automatisch dat je DigiD-aansluiting direct wordt afgesloten. Logius beoordeelt het auditrapport en bepaalt op basis van de ernst van de bevindingen welke vervolgstappen nodig zijn. In de meeste gevallen krijg je de kans om tekortkomingen te herstellen en een heraudit te doorlopen. Dit artikel beantwoordt de meest gestelde vragen over wat er precies gebeurt na een negatief auditresultaat.
Wat betekent het als je de DigiD audit niet haalt?
Niet slagen voor een DigiD audit betekent dat er tijdens het onderzoek een of meer tekortkomingen zijn vastgesteld die niet voldoen aan de normen van Logius. De auditor legt deze bevindingen vast in een rapportage en concludeert dat de organisatie op dat moment niet volledig voldoet aan de vereisten voor een veilige DigiD-aansluiting. Dit resulteert in een negatief auditrapport dat aan Logius wordt aangeboden.
Een negatief resultaat is vervelend, maar het is geen eindstation. Logius beoordeelt elk rapport individueel en kijkt naar de aard en ernst van de tekortkomingen. Op basis daarvan bepaalt Logius of, en onder welke voorwaarden, de DigiD-aansluiting in stand kan blijven. Organisaties die transparant rapporteren en actief werken aan herstel, staan er doorgaans beter voor dan organisaties die tekortkomingen bagatelliseren.
Wat is een aansluitaudit en hoe verschilt die van een reguliere DigiD-audit?
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Deze audit wijkt op een aantal belangrijke punten af van de reguliere DigiD-auditcyclus die daarna jaarlijks plaatsvindt.
Bij een aansluitaudit worden de maatregelen uitsluitend getoetst op opzet en bestaan, niet op werking. Dit heeft een praktische reden: om de werking van maatregelen te kunnen beoordelen, is een aantoonbare toetsbare periode van minimaal zes maanden vereist. Bij een nieuwe aansluiting is die periode er simpelweg nog niet, waardoor toetsing op werking niet mogelijk is.
Een aansluitaudit is daarmee niet per definitie korter of minder intensief dan een heraudit. De reikwijdte en doorlooptijd zijn afhankelijk van de specifieke situatie en de complexiteit van de aansluiting. Na een succesvolle afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, waarbij de maatregelen voortaan ook op werking worden getoetst.
Welke gevolgen heeft een negatief auditresultaat voor je DigiD-aansluiting?
De directe gevolgen van een negatief auditresultaat hangen af van de ernst van de vastgestelde tekortkomingen. In minder ernstige gevallen mag de DigiD-aansluiting voorlopig in stand blijven, mits de organisatie een herstelplan opstelt en uitvoert. Bij ernstige of kritieke tekortkomingen kan Logius besluiten de aansluiting tijdelijk op te schorten totdat de situatie is hersteld.
Het is belangrijk te begrijpen dat Logius de continuïteit van digitale dienstverlening serieus neemt. Een volledige afsluiting van een nieuwe DigiD-aansluiting of een bestaande koppeling is een zwaar middel dat Logius niet lichtzinnig inzet. Toch is het risico reëel, zeker als dezelfde tekortkomingen terugkeren zonder aantoonbare verbeteringen. Organisaties die herhaaldelijk tekortschieten, lopen een groter risico op strengere maatregelen.
Hoe lang heb je om tekortkomingen te herstellen?
Er is geen vaste, uniforme hersteltermijn voor alle organisaties. Logius beoordeelt elk auditrapport individueel en bepaalt op basis van de ernst van de tekortkomingen hoeveel tijd een organisatie krijgt om verbeteringen door te voeren. De hersteltermijn kan variëren van twee tot zes maanden, afhankelijk van de specifieke situatie.
De deadline van 1 mei geldt voor het indienen van het oorspronkelijke auditrapport. Wanneer een heraudit verplicht wordt gesteld, begint een nieuwe termijn die Logius per geval vaststelt. Het is daarom verstandig om direct na het ontvangen van de rapportage actie te ondernemen en niet te wachten tot Logius contact opneemt. Hoe sneller je tekortkomingen aanpakt, hoe groter de kans dat je binnen de gestelde termijn een positief herauditresultaat kunt overleggen.
Wat is het verschil tussen een bevinding en een tekortkoming?
Een bevinding is een observatie van de auditor die afwijkt van de norm, maar niet per se leidt tot een negatief oordeel. Een tekortkoming is een bevinding die zo ernstig is dat de organisatie op dat punt niet voldoet aan de gestelde eisen. Het onderscheid is cruciaal: bevindingen kunnen worden meegenomen als verbeterpunten, terwijl tekortkomingen directe actie vereisen.
In de praktijk werkt het als volgt:
- Bevinding: Een afwijking of aandachtspunt dat de auditor signaleert, maar dat niet direct leidt tot een negatief oordeel over de norm als geheel.
- Tekortkoming: Een bevinding waarbij de organisatie aantoonbaar niet voldoet aan een specifieke norm. Dit heeft directe gevolgen voor het eindoordeel van de audit.
Een auditrapport kan meerdere bevindingen bevatten zonder dat dit automatisch tot een negatief eindoordeel leidt. Zodra er echter tekortkomingen worden vastgesteld, is het eindoordeel negatief en moet de organisatie actie ondernemen. Het is dan ook verstandig om bevindingen serieus te nemen en tijdig op te lossen, zodat zij niet uitgroeien tot tekortkomingen bij een volgende audit.
Wanneer is een heraudit verplicht na een negatief resultaat?
Een heraudit is verplicht wanneer Logius op basis van het auditrapport oordeelt dat de vastgestelde tekortkomingen herstel vereisen voordat de DigiD-aansluiting onvoorwaardelijk kan worden voortgezet. Logius bepaalt dit per geval, op basis van de aard en het aantal tekortkomingen in het rapport.
Niet elk negatief rapport leidt automatisch tot een verplichte heraudit. Soms volstaat een verbeterplan of aanvullende documentatie. Maar wanneer Logius concludeert dat de tekortkomingen substantieel zijn, zal een heraudit worden opgelegd. De organisatie krijgt dan een specifieke termijn om de verbeteringen door te voeren en een heraudit te laten uitvoeren door een gecertificeerde IT-auditor. Pas na een positief herauditresultaat is de situatie formeel afgerond.
Hoe voorkom je dat je opnieuw zakt voor de DigiD audit?
De beste manier om een negatief auditresultaat te voorkomen, is het structureel borgen van informatiebeveiliging gedurende het hele jaar, niet alleen in de aanloop naar de audit. Organisaties die continu werken aan hun beveiligingsmaatregelen en hun documentatie op orde houden, zijn beter voorbereid en lopen minder risico op tekortkomingen.
Praktische stappen die helpen:
- Voer een interne nulmeting uit ruim voor de auditdatum, zodat je tekortkomingen tijdig kunt signaleren en oplossen.
- Zorg dat beleidsmaatregelen niet alleen op papier bestaan, maar ook aantoonbaar worden uitgevoerd in de praktijk.
- Houd toegangsbeheer, patchmanagement en logging actueel en gedocumenteerd.
- Wijs een interne eigenaar aan die verantwoordelijk is voor de voortgang van verbetermaatregelen.
- Gebruik de bevindingen uit vorige audits als leidraad voor prioriteiten in het komende jaar.
Bij gebruik van een SaaS-oplossing is het ook belangrijk om te beschikken over een actuele TPM (Third Party Mededeling) van de leverancier. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen van de leverancier beoordeelt. Het grote voordeel is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken bij de gebruikersorganisatie. Op basis van de TPM voert de auditor bij de organisatie zelf alleen een beperkte controle uit op de relevante normen die niet al bij de leverancier zijn onderzocht. Dit vermindert de totale auditinspanning aanzienlijk.
Hoe BKBO helpt bij een DigiD aansluitaudit
Wij voeren DigiD aansluitaudits uit voor overheden en zorginstellingen en begeleiden organisaties ook wanneer er sprake is van tekortkomingen of een verplichte heraudit. Met meer dan 2.500 uitgevoerde audits weten wij precies waar de knelpunten liggen en hoe je die efficiënt oplost. Onze heraudits voeren wij pro deo uit, zodat een negatief eerste resultaat geen extra financiële last betekent.
Wat wij bieden:
- Volledige DigiD audits conform het officiële protocol van Logius
- Heldere rapportages met concrete, implementeerbare aanbevelingen
- Heraudits zonder extra kosten bij een negatief eerste resultaat
- Begeleiding bij de overgang van aansluitaudit naar de reguliere jaarlijkse DigiD-auditcyclus
- Gecertificeerde register IT-auditors met diepgaande kennis van overheidssystemen
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.