Wat is een spoed DigiD aansluiting precies?
Een spoed DigiD aansluiting is een versnelde procedure waarmee een organisatie snel toegang krijgt tot DigiD, de digitale authenticatiedienst van de overheid. Dit is nodig wanneer een organisatie op korte termijn een nieuwe digitale dienst wil aanbieden waarbij burgers moeten kunnen inloggen via DigiD. De stappen, vereisten en risico’s van zo’n spoedprocedure komen in dit artikel uitgebreid aan bod.
Wanneer is een spoed DigiD aansluiting nodig?
Een spoed DigiD aansluiting is nodig wanneer een organisatie op zeer korte termijn een digitale dienst beschikbaar moet stellen waarbij burgers via DigiD inloggen, en de reguliere doorlooptijd te lang is. Dit speelt bijvoorbeeld bij het snel opzetten van een nieuw digitaal loket, een wettelijke verplichting met een strakke deadline, of een onverwachte uitbreiding van de dienstverlening.
Concrete situaties waarbij een spoedaansluiting aan de orde kan zijn:
- Een gemeente of zorginstelling lanceert een nieuwe online dienst met een harde ingangsdatum
- Een organisatie neemt een nieuwe softwareoplossing in gebruik die DigiD-authenticatie vereist
- Er is sprake van een fusie of overname waarbij bestaande aansluitingen niet overgaan naar de nieuwe entiteit
- Een wetswijziging verplicht een organisatie om per direct digitale toegang te bieden
Het is belangrijk te beseffen dat een spoedaansluiting geen vrijstelling geeft van de beveiligingseisen die Logius stelt. De inhoudelijke lat blijft even hoog, alleen de tijdlijn wordt verkort.
Hoe verschilt een spoed DigiD aansluiting van een reguliere aanvraag?
Het belangrijkste verschil tussen een spoed DigiD aansluiting en een reguliere aanvraag zit in de doorlooptijd en de mate van voorbereiding. Bij een reguliere aanvraag is er ruimte om stap voor stap te werken, terwijl bij een spoedprocedure alles parallel en onder tijdsdruk plaatsvindt. De inhoudelijke vereisten zijn in beide gevallen identiek.
Bij een reguliere aanvraag plant een organisatie ruim van tevoren een DigiD beveiligingsassessment in, verwerkt de bevindingen rustig en dient het rapport tijdig in. Bij een spoedaansluiting moeten technische maatregelen, documentatie en het assessment vrijwel gelijktijdig worden opgepakt. Dit vraagt om strakke interne coördinatie en een auditor die snel beschikbaar is.
Een ander verschil is het risico op fouten. Wanneer alles in korte tijd moet worden geregeld, is de kans groter dat maatregelen onvolledig zijn geïmplementeerd of dat documentatie ontbreekt. Dit kan leiden tot bevindingen in het assessment die de aansluiting vertragen in plaats van versnellen.
Welke stappen zijn er bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting doorloopt een organisatie in grote lijnen dezelfde stappen als bij een reguliere aanvraag, maar dan in een sterk verkorte tijdlijn. De kern bestaat uit het aanvragen van de aansluiting bij Logius, het implementeren van de vereiste beveiligingsmaatregelen en het laten uitvoeren van een DigiD beveiligingsassessment door een gecertificeerde IT-auditor.
De stappen op een rij:
- Aanvraag indienen bij Logius: De organisatie dient een aansluitverzoek in en geeft aan dat er sprake is van een spoedprocedure.
- Technische voorbereiding: De ICT-omgeving wordt ingericht volgens de beveiligingsnormen van Logius. Denk aan toegangsbeveiliging, logging en encryptie.
- Documentatie op orde brengen: Beleidsdocumenten, verwerkingsregisters en technische beschrijvingen moeten beschikbaar zijn voor de auditor.
- DigiD beveiligingsassessment uitvoeren: Een gecertificeerde IT-auditor toetst of de organisatie voldoet aan de normen uit het Logius-normenkader.
- Rapportage indienen: De definitieve rapportage wordt aangeleverd bij Logius, waarna zij de aansluiting kunnen activeren.
Bij gebruik van een SaaS-oplossing is het ook nodig dat de leverancier een TPM (Third Party Mededeling) aanlevert. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij de gebruikersorganisatie alleen een beperkte controle uit op de relevante normen die nog niet door de leverancier zijn afgedekt.
Wat zijn de vereisten voor het DigiD beveiligingsassessment bij een spoedaansluiting?
De vereisten voor het DigiD beveiligingsassessment bij een spoedaansluiting zijn identiek aan die van een reguliere audit. Een gecertificeerde register IT-auditor toetst de organisatie aan het officiële normenkader van Logius. Er bestaat geen afgeslankte versie van het assessment voor spoedgevallen.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe DigiD-aansluiting is die periode er nog niet, waardoor de toetsing van de werking in de aansluitaudit buiten scope valt.
De organisatie moet in ieder geval kunnen aantonen dat:
- De technische infrastructuur voldoet aan de beveiligingsnormen van Logius
- Er aantoonbaar beleid is rondom toegangsbeheer, logging en incidentbeheer
- Kwetsbaarheden in de omgeving zijn geïdentificeerd en beheerst
- Relevante documentatie beschikbaar en actueel is
Wanneer de organisatie werkt met een SaaS-leverancier, moet die leverancier een geldige TPM kunnen overleggen. Op basis daarvan bepaalt de auditor welke normen nog bij de organisatie zelf getoetst moeten worden. Dit kan de doorlooptijd van het assessment verkorten, wat bij een spoedaansluiting een belangrijk voordeel is.
Voldoet de organisatie nog niet volledig aan alle normen, dan kan het assessment bevindingen opleveren. Logius beoordeelt de rapportage en bepaalt op basis van de ernst van de bevindingen of en welke herstelmaatregelen nodig zijn. De termijn daarvoor verschilt per situatie en kan variëren van twee tot zes maanden.
Hoe lang duurt een spoed DigiD aansluiting in de praktijk?
Een spoed DigiD aansluiting duurt in de praktijk minimaal enkele weken, afhankelijk van hoe goed de organisatie is voorbereid. Het assessment zelf kan in een paar dagen worden uitgevoerd als de auditor snel beschikbaar is en de documentatie op orde is. De totale doorlooptijd wordt echter bepaald door de zwakste schakel in de voorbereiding.
De grootste tijdwinst is te behalen door vooraf te zorgen voor:
- Volledige en actuele documentatie van de ICT-omgeving
- Een technische omgeving die al grotendeels voldoet aan de normen
- Een TPM van de SaaS-leverancier, indien van toepassing
- Een auditor die op korte termijn beschikbaar is
Na het indienen van de rapportage bij Logius volgt nog een beoordelingsperiode. Logius hanteert als richtlijn dat zij de rapportage binnen twee maanden ontvangen moeten hebben. Houd er rekening mee dat de activering van de aansluiting pas plaatsvindt nadat Logius de rapportage heeft goedgekeurd.
Wat kan er misgaan bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting kan er van alles misgaan door de combinatie van tijdsdruk en complexe technische en organisatorische vereisten. De meest voorkomende problemen zijn onvolledige documentatie, technische maatregelen die nog niet zijn geïmplementeerd en een ontbrekende of verlopen TPM van de SaaS-leverancier.
Andere valkuilen zijn:
- Bevindingen in het assessment: Als de organisatie nog niet volledig voldoet aan de normen, levert het assessment bevindingen op. Dit kan leiden tot een heraudit en vertraging van de aansluiting.
- Beschikbaarheid van de auditor: Gecertificeerde IT-auditors zijn niet altijd op korte termijn beschikbaar. Dit kan de planning onder druk zetten.
- Onvolledige TPM: Wanneer een SaaS-leverancier geen actuele TPM kan aanleveren, moet de auditor meer normen bij de organisatie zelf toetsen, wat extra tijd kost.
- Interne capaciteit: Een spoedprocedure vraagt veel van de interne organisatie. Als medewerkers niet beschikbaar zijn om de auditor te ondersteunen, loopt het proces vast.
Goede voorbereiding is de beste manier om deze risico’s te beperken. Wie de beveiligingsmaatregelen al op orde heeft en de documentatie actueel houdt, verkort de doorlooptijd aanzienlijk en vermindert de kans op onverwachte bevindingen.
Wie kan helpen bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting is een gecertificeerde register IT-auditor met ervaring in DigiD assessments de aangewezen partij om in te schakelen. Zij kennen het normenkader van Logius door en door en kunnen snel beoordelen waar een organisatie nog aan moet werken voordat het assessment plaatsvindt.
Naast de auditor kunnen ook de volgende partijen een rol spelen:
- De interne ICT-afdeling of een externe ICT-leverancier voor de technische implementatie
- De SaaS-leverancier voor het aanleveren van een actuele TPM
- Een informatiebeveiligingsfunctionaris (CISO of ISO) voor de documentatie en het beleid
De aansluitaudit en de reguliere DigiD-auditcyclus
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het gaat nadrukkelijk niet om een jaarlijks terugkerende audit. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Binnen die reguliere cyclus wordt de aansluiting voortaan getoetst via een heraudit.
Een aansluitaudit is daarbij niet per definitie korter dan een heraudit. De omvang en doorlooptijd zijn afhankelijk van de specifieke situatie van de organisatie, de volledigheid van de documentatie en de mate waarin de technische omgeving al voldoet aan de normen van Logius.
Hoe BKBO helpt bij een spoed DigiD aansluiting
Wij zijn sinds 2012 gespecialiseerd in DigiD assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Die ervaring betekent dat wij snel kunnen schakelen, precies weten wat Logius verwacht en uw organisatie efficiënt door het proces begeleiden, ook onder tijdsdruk.
Wat wij bieden bij een spoed DigiD aansluiting:
- Snelle inzet van gecertificeerde register IT-auditors met DigiD-specialisatie
- Een volledig assessment conform het officiële protocol van Logius
- Heldere, concrete rapportage inclusief bijlagen, zodat u deze tijdig kunt indienen
- Heraudits worden pro deo uitgevoerd, zodat u nooit voor verrassingen staat
- Begeleiding bij het beoordelen van TPM-documentatie van uw SaaS-leverancier
Wilt u weten wat wij voor uw organisatie kunnen betekenen? Vraag een vrijblijvende offerte aan via onze contactpagina of bekijk onze dienstverlening rondom het DigiD assessment.
Een spoed DigiD aansluiting is een versnelde procedure waarmee een organisatie snel toegang krijgt tot DigiD, de digitale authenticatiedienst van de overheid. Dit is nodig wanneer een organisatie op korte termijn een nieuwe digitale dienst wil aanbieden waarbij burgers moeten kunnen inloggen via DigiD. De stappen, vereisten en risico’s van zo’n spoedprocedure komen in dit artikel uitgebreid aan bod.
Wanneer is een spoed DigiD aansluiting nodig?
Een spoed DigiD aansluiting is nodig wanneer een organisatie op zeer korte termijn een digitale dienst beschikbaar moet stellen waarbij burgers via DigiD inloggen, en de reguliere doorlooptijd te lang is. Dit speelt bijvoorbeeld bij het snel opzetten van een nieuw digitaal loket, een wettelijke verplichting met een strakke deadline, of een onverwachte uitbreiding van de dienstverlening.
Concrete situaties waarbij een spoedaansluiting aan de orde kan zijn:
- Een gemeente of zorginstelling lanceert een nieuwe online dienst met een harde ingangsdatum
- Een organisatie neemt een nieuwe softwareoplossing in gebruik die DigiD-authenticatie vereist
- Er is sprake van een fusie of overname waarbij bestaande aansluitingen niet overgaan naar de nieuwe entiteit
- Een wetswijziging verplicht een organisatie om per direct digitale toegang te bieden
Het is belangrijk te beseffen dat een spoedaansluiting geen vrijstelling geeft van de beveiligingseisen die Logius stelt. De inhoudelijke lat blijft even hoog, alleen de tijdlijn wordt verkort.
Hoe verschilt een spoed DigiD aansluiting van een reguliere aanvraag?
Het belangrijkste verschil tussen een spoed DigiD aansluiting en een reguliere aanvraag zit in de doorlooptijd en de mate van voorbereiding. Bij een reguliere aanvraag is er ruimte om stap voor stap te werken, terwijl bij een spoedprocedure alles parallel en onder tijdsdruk plaatsvindt. De inhoudelijke vereisten zijn in beide gevallen identiek.
Bij een reguliere aanvraag plant een organisatie ruim van tevoren een DigiD beveiligingsassessment in, verwerkt de bevindingen rustig en dient het rapport tijdig in. Bij een spoedaansluiting moeten technische maatregelen, documentatie en het assessment vrijwel gelijktijdig worden opgepakt. Dit vraagt om strakke interne coördinatie en een auditor die snel beschikbaar is.
Een ander verschil is het risico op fouten. Wanneer alles in korte tijd moet worden geregeld, is de kans groter dat maatregelen onvolledig zijn geïmplementeerd of dat documentatie ontbreekt. Dit kan leiden tot bevindingen in het assessment die de aansluiting vertragen in plaats van versnellen.
Welke stappen zijn er bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting doorloopt een organisatie in grote lijnen dezelfde stappen als bij een reguliere aanvraag, maar dan in een sterk verkorte tijdlijn. De kern bestaat uit het aanvragen van de aansluiting bij Logius, het implementeren van de vereiste beveiligingsmaatregelen en het laten uitvoeren van een DigiD beveiligingsassessment door een gecertificeerde IT-auditor.
De stappen op een rij:
- Aanvraag indienen bij Logius: De organisatie dient een aansluitverzoek in en geeft aan dat er sprake is van een spoedprocedure.
- Technische voorbereiding: De ICT-omgeving wordt ingericht volgens de beveiligingsnormen van Logius. Denk aan toegangsbeveiliging, logging en encryptie.
- Documentatie op orde brengen: Beleidsdocumenten, verwerkingsregisters en technische beschrijvingen moeten beschikbaar zijn voor de auditor.
- DigiD beveiligingsassessment uitvoeren: Een gecertificeerde IT-auditor toetst of de organisatie voldoet aan de normen uit het Logius-normenkader.
- Rapportage indienen: De definitieve rapportage wordt aangeleverd bij Logius, waarna zij de aansluiting kunnen activeren.
Bij gebruik van een SaaS-oplossing is het ook nodig dat de leverancier een TPM (Third Party Mededeling) aanlevert. Dit is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel hiervan is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Op basis van de TPM voert de auditor bij de gebruikersorganisatie alleen een beperkte controle uit op de relevante normen die nog niet door de leverancier zijn afgedekt.
Wat zijn de vereisten voor het DigiD beveiligingsassessment bij een spoedaansluiting?
De vereisten voor het DigiD beveiligingsassessment bij een spoedaansluiting zijn identiek aan die van een reguliere audit. Een gecertificeerde register IT-auditor toetst de organisatie aan het officiële normenkader van Logius. Er bestaat geen afgeslankte versie van het assessment voor spoedgevallen.
Belangrijk om te weten is dat een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een aantoonbare periode van minimaal zes maanden vereist. Bij een nieuwe DigiD-aansluiting is die periode er nog niet, waardoor de toetsing van de werking in de aansluitaudit buiten scope valt.
De organisatie moet in ieder geval kunnen aantonen dat:
- De technische infrastructuur voldoet aan de beveiligingsnormen van Logius
- Er aantoonbaar beleid is rondom toegangsbeheer, logging en incidentbeheer
- Kwetsbaarheden in de omgeving zijn geïdentificeerd en beheerst
- Relevante documentatie beschikbaar en actueel is
Wanneer de organisatie werkt met een SaaS-leverancier, moet die leverancier een geldige TPM kunnen overleggen. Op basis daarvan bepaalt de auditor welke normen nog bij de organisatie zelf getoetst moeten worden. Dit kan de doorlooptijd van het assessment verkorten, wat bij een spoedaansluiting een belangrijk voordeel is.
Voldoet de organisatie nog niet volledig aan alle normen, dan kan het assessment bevindingen opleveren. Logius beoordeelt de rapportage en bepaalt op basis van de ernst van de bevindingen of en welke herstelmaatregelen nodig zijn. De termijn daarvoor verschilt per situatie en kan variëren van twee tot zes maanden.
Hoe lang duurt een spoed DigiD aansluiting in de praktijk?
Een spoed DigiD aansluiting duurt in de praktijk minimaal enkele weken, afhankelijk van hoe goed de organisatie is voorbereid. Het assessment zelf kan in een paar dagen worden uitgevoerd als de auditor snel beschikbaar is en de documentatie op orde is. De totale doorlooptijd wordt echter bepaald door de zwakste schakel in de voorbereiding.
De grootste tijdwinst is te behalen door vooraf te zorgen voor:
- Volledige en actuele documentatie van de ICT-omgeving
- Een technische omgeving die al grotendeels voldoet aan de normen
- Een TPM van de SaaS-leverancier, indien van toepassing
- Een auditor die op korte termijn beschikbaar is
Na het indienen van de rapportage bij Logius volgt nog een beoordelingsperiode. Logius hanteert als richtlijn dat zij de rapportage binnen twee maanden ontvangen moeten hebben. Houd er rekening mee dat de activering van de aansluiting pas plaatsvindt nadat Logius de rapportage heeft goedgekeurd.
Wat kan er misgaan bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting kan er van alles misgaan door de combinatie van tijdsdruk en complexe technische en organisatorische vereisten. De meest voorkomende problemen zijn onvolledige documentatie, technische maatregelen die nog niet zijn geïmplementeerd en een ontbrekende of verlopen TPM van de SaaS-leverancier.
Andere valkuilen zijn:
- Bevindingen in het assessment: Als de organisatie nog niet volledig voldoet aan de normen, levert het assessment bevindingen op. Dit kan leiden tot een heraudit en vertraging van de aansluiting.
- Beschikbaarheid van de auditor: Gecertificeerde IT-auditors zijn niet altijd op korte termijn beschikbaar. Dit kan de planning onder druk zetten.
- Onvolledige TPM: Wanneer een SaaS-leverancier geen actuele TPM kan aanleveren, moet de auditor meer normen bij de organisatie zelf toetsen, wat extra tijd kost.
- Interne capaciteit: Een spoedprocedure vraagt veel van de interne organisatie. Als medewerkers niet beschikbaar zijn om de auditor te ondersteunen, loopt het proces vast.
Goede voorbereiding is de beste manier om deze risico’s te beperken. Wie de beveiligingsmaatregelen al op orde heeft en de documentatie actueel houdt, verkort de doorlooptijd aanzienlijk en vermindert de kans op onverwachte bevindingen.
Wie kan helpen bij een spoed DigiD aansluiting?
Bij een spoed DigiD aansluiting is een gecertificeerde register IT-auditor met ervaring in DigiD assessments de aangewezen partij om in te schakelen. Zij kennen het normenkader van Logius door en door en kunnen snel beoordelen waar een organisatie nog aan moet werken voordat het assessment plaatsvindt.
Naast de auditor kunnen ook de volgende partijen een rol spelen:
- De interne ICT-afdeling of een externe ICT-leverancier voor de technische implementatie
- De SaaS-leverancier voor het aanleveren van een actuele TPM
- Een informatiebeveiligingsfunctionaris (CISO of ISO) voor de documentatie en het beleid
De aansluitaudit en de reguliere DigiD-auditcyclus
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het gaat nadrukkelijk niet om een jaarlijks terugkerende audit. Na afronding van de aansluitaudit wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt. Binnen die reguliere cyclus wordt de aansluiting voortaan getoetst via een heraudit.
Een aansluitaudit is daarbij niet per definitie korter dan een heraudit. De omvang en doorlooptijd zijn afhankelijk van de specifieke situatie van de organisatie, de volledigheid van de documentatie en de mate waarin de technische omgeving al voldoet aan de normen van Logius.
Hoe BKBO helpt bij een spoed DigiD aansluiting
Wij zijn sinds 2012 gespecialiseerd in DigiD assessments voor overheden en zorginstellingen en hebben inmiddels meer dan 2.500 audits uitgevoerd. Die ervaring betekent dat wij snel kunnen schakelen, precies weten wat Logius verwacht en uw organisatie efficiënt door het proces begeleiden, ook onder tijdsdruk.
Wat wij bieden bij een spoed DigiD aansluiting:
- Snelle inzet van gecertificeerde register IT-auditors met DigiD-specialisatie
- Een volledig assessment conform het officiële protocol van Logius
- Heldere, concrete rapportage inclusief bijlagen, zodat u deze tijdig kunt indienen
- Heraudits worden pro deo uitgevoerd, zodat u nooit voor verrassingen staat
- Begeleiding bij het beoordelen van TPM-documentatie van uw SaaS-leverancier
Wilt u weten wat wij voor uw organisatie kunnen betekenen? Vraag een vrijblijvende offerte aan via onze contactpagina of bekijk onze dienstverlening rondom het DigiD assessment.