Wat wordt er gecontroleerd tijdens een DigiD aansluitaudit?
Tijdens een DigiD aansluitaudit wordt gecontroleerd of een organisatie voldoet aan de beveiligingseisen die Logius stelt aan het gebruik van DigiD. De audit beoordeelt technische maatregelen, toegangsbeheer, incidentbeheer en logging op basis van een vastgesteld normenkader. In dit artikel beantwoorden we de meest gestelde vragen over wat er precies wordt gecontroleerd, wie waarvoor verantwoordelijk is en wat er gebeurt als de audit niet goed uitpakt. Meer over de opzet van het onderzoek lees je op de DigiD assessment pagina.
Welke normen en eisen vormen de basis van de audit?
De DigiD aansluitaudit is gebaseerd op het normenkader dat Logius heeft opgesteld voor organisaties die DigiD gebruiken. Dit normenkader beschrijft concrete beveiligingseisen waaraan een aansluiting moet voldoen. De eisen zijn onderverdeeld in categorieën zoals technische beveiliging, toegangsbeheer, logging en incidentbeheer.
Het normenkader wordt periodiek bijgewerkt. In 2026 gelden er aangescherpte eisen ten opzichte van eerdere jaren, onder andere op het gebied van encryptie en authenticatie. Organisaties die een nieuwe DigiD-aansluiting aanvragen, moeten direct aan de meest actuele versie van het normenkader voldoen. Voor bestaande aansluitingen geldt dat de jaarlijkse audit op dezelfde normen wordt getoetst.
De audit wordt uitgevoerd door een gecertificeerde register IT-auditor. Die beoordeelt of de technische maatregelen aanwezig zijn en aantoonbaar worden onderhouden. Bij een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die is bij een nieuwe applicatie nog niet beschikbaar.
Wat is het verschil tussen een aansluitaudit en een reguliere DigiD-audit?
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het is dus geen jaarlijkse audit, maar een eenmalige toets die plaatsvindt voordat de aansluiting in gebruik wordt genomen of kort daarna. Zodra de aansluitaudit met een voldoende resultaat is afgerond, wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
Omdat bij een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, verschilt de inhoud van de audit van een reguliere jaarlijkse audit, waarbij ook de werking wordt beoordeeld. Qua doorlooptijd is een aansluitaudit niet per definitie korter dan een heraudit of een reguliere audit. De omvang hangt af van de complexiteit van de aansluiting en de mate waarin de organisatie al is voorbereid.
Welke technische beveiligingsmaatregelen worden gecontroleerd?
Tijdens de DigiD audit worden technische beveiligingsmaatregelen gecontroleerd zoals versleuteling van verbindingen, patchbeheer, firewallconfiguraties en de beveiliging van webapplicaties. De auditor beoordeelt of deze maatregelen correct zijn ingericht en actueel worden gehouden.
Concreet kijkt de auditor onder andere naar:
- Het gebruik van TLS voor versleutelde verbindingen
- Het tijdig installeren van beveiligingsupdates
- De configuratie van firewalls en netwerksegmentatie
- De beveiliging van de webapplicatie tegen veelvoorkomende aanvallen
- Het gebruik van een geldig en correct geconfigureerd SSL-certificaat
Technische maatregelen moeten niet alleen aanwezig zijn, maar ook aantoonbaar worden beheerd. Een firewall die wel actief is maar nooit wordt gecontroleerd of bijgewerkt, voldoet niet aan de eisen. De auditor vraagt daarom ook naar beheerprocessen en verantwoordelijkheden.
Wat wordt er gecontroleerd op het gebied van toegangsbeheer?
Op het gebied van toegangsbeheer controleert de auditor of alleen bevoegde personen toegang hebben tot de DigiD-omgeving en de bijbehorende systemen. Daarbij wordt gekeken naar het principe van minimale rechten, het beheer van gebruikersaccounts en de toepassing van sterke authenticatie.
Specifieke aandachtspunten zijn:
- Zijn er procedures voor het aanmaken en intrekken van accounts?
- Worden rechten periodiek gereviewd?
- Is er gebruik van tweefactorauthenticatie voor beheertoegang?
- Zijn er geen ongebruikte of generieke accounts actief?
Toegangsbeheer is een van de categorieën waar relatief veel bevindingen uit voortkomen, omdat het in de praktijk lastig is om dit consequent bij te houden. Zeker bij organisaties met veel wisselingen in personeel of externe leveranciers.
Hoe verloopt de controle van incidentbeheer en logging?
De controle van incidentbeheer en logging richt zich op de vraag of een organisatie beveiligingsincidenten tijdig detecteert, registreert en afhandelt. De auditor beoordeelt of er een werkend proces is voor het melden en opvolgen van incidenten, en of logbestanden volledig en betrouwbaar zijn.
Bij logging kijkt de auditor naar:
- Worden relevante gebeurtenissen gelogd, zoals inlogpogingen en systeemwijzigingen?
- Worden logs voldoende lang bewaard?
- Worden logs beschermd tegen manipulatie?
- Worden logs actief gemonitord of geanalyseerd?
Voor incidentbeheer wordt gecontroleerd of er een procedure bestaat, of medewerkers weten hoe ze incidenten moeten melden en of er een koppeling is met de meldplicht richting Logius bij ernstige beveiligingsincidenten.
Wat zijn de meest voorkomende bevindingen bij een DigiD audit?
De meest voorkomende bevindingen bij een DigiD audit hebben betrekking op toegangsbeheer, patchbeheer en logging. Dit zijn de drie categorieën waar organisaties in de praktijk het vaakst tekortschieten, vaak niet door onwil maar door onvoldoende structurele aandacht.
Veelgehoorde bevindingen zijn:
- Accounts van vertrokken medewerkers die nog actief zijn
- Beveiligingsupdates die niet tijdig zijn doorgevoerd
- Onvolledige of te kort bewaarde logbestanden
- Ontbrekende of verouderde procedures voor incidentbeheer
- Onvoldoende documentatie van beheeractiviteiten
Een bevinding hoeft niet direct te betekenen dat de audit mislukt. De ernst en het aantal bevindingen bepalen samen het eindoordeel. Kleine verbeterpunten kunnen worden opgenomen in een verbeterplan zonder dat dit leidt tot een onvoldoende beoordeling.
Wie is verantwoordelijk als een IT-leverancier de DigiD-omgeving beheert?
Als een IT-leverancier de DigiD-omgeving beheert, blijft de organisatie die de DigiD-aansluiting heeft zelf eindverantwoordelijk richting Logius. De leverancier kan echter een groot deel van de beveiligingsmaatregelen voor zijn rekening nemen, mits dit aantoonbaar is gemaakt via een zogeheten TPM – een Third Party Mededeling.
Een TPM is een apart onderzoek dat een IT-auditor uitvoert bij de leverancier. Het belangrijkste doel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen. Daardoor hoeven zij niet alles opnieuw zelf te onderzoeken bij elke gebruikersorganisatie, wat de totale auditinspanning aanzienlijk vermindert. Dit is vooral relevant bij SaaS-oplossingen: als een organisatie gebruikmaakt van een SaaS-leverancier voor haar DigiD-omgeving, is een TPM van die leverancier nodig.
Op basis van de TPM voert de auditor bij de gebruikersorganisatie alleen een beperkte controle uit op een specifiek aantal relevante normen. De TPM geeft richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog moet richten bij de organisatie zelf. Zonder een geldige TPM moet de volledige audit bij de gebruikersorganisatie worden uitgevoerd, ook voor de onderdelen die technisch gezien bij de leverancier liggen.
Wat gebeurt er als de audit een onvoldoende oplevert?
Als de DigiD audit een onvoldoende oplevert, moet de organisatie de geconstateerde tekortkomingen herstellen en een heraudit ondergaan. Logius beoordeelt de rapportage individueel en bepaalt op basis van de ernst van de bevindingen welke hersteltermijn van toepassing is. Die termijn kan variëren, bijvoorbeeld van twee tot zes maanden, afhankelijk van de situatie.
Er is geen uniforme deadline voor heraudits. De deadline van 1 mei geldt voor de oorspronkelijke DigiD audit. Voor heraudits geldt een termijn die Logius per geval vaststelt. Dit betekent dat organisaties na een onvoldoende niet automatisch weten hoeveel tijd ze hebben. Het is dan ook belangrijk om snel in actie te komen en de bevindingen gestructureerd op te pakken.
In de tussentijd kan Logius aanvullende maatregelen opleggen of in het uiterste geval de DigiD-aansluiting opschorten. Dit laatste is een vergaande maatregel die Logius niet lichtvaardig inzet, maar het onderstreept wel het belang van tijdige opvolging.
Hoe BKBO helpt bij de DigiD aansluitaudit
Wij voeren DigiD assessments uit voor een breed scala aan organisaties, van gemeenten en ziekenhuizen tot woningcorporaties en IT-leveranciers. Met meer dan 2.500 uitgevoerde audits weten we precies waar de knelpunten liggen en hoe we een audit efficiënt en zorgvuldig kunnen uitvoeren.
Wat wij bieden:
- Een volledige DigiD aansluitaudit door gecertificeerde register IT-auditors
- Begeleiding bij een nieuwe DigiD-aansluiting
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Vaste prijzen zonder verrassingen achteraf
- Concrete aanbevelingen die direct toepasbaar zijn
Wil je weten wat een DigiD audit voor jouw organisatie inhoudt of heb je behoefte aan een heraudit? Neem contact op voor een vrijblijvende offerte.
Tijdens een DigiD aansluitaudit wordt gecontroleerd of een organisatie voldoet aan de beveiligingseisen die Logius stelt aan het gebruik van DigiD. De audit beoordeelt technische maatregelen, toegangsbeheer, incidentbeheer en logging op basis van een vastgesteld normenkader. In dit artikel beantwoorden we de meest gestelde vragen over wat er precies wordt gecontroleerd, wie waarvoor verantwoordelijk is en wat er gebeurt als de audit niet goed uitpakt. Meer over de opzet van het onderzoek lees je op de DigiD assessment pagina.
Welke normen en eisen vormen de basis van de audit?
De DigiD aansluitaudit is gebaseerd op het normenkader dat Logius heeft opgesteld voor organisaties die DigiD gebruiken. Dit normenkader beschrijft concrete beveiligingseisen waaraan een aansluiting moet voldoen. De eisen zijn onderverdeeld in categorieën zoals technische beveiliging, toegangsbeheer, logging en incidentbeheer.
Het normenkader wordt periodiek bijgewerkt. In 2026 gelden er aangescherpte eisen ten opzichte van eerdere jaren, onder andere op het gebied van encryptie en authenticatie. Organisaties die een nieuwe DigiD-aansluiting aanvragen, moeten direct aan de meest actuele versie van het normenkader voldoen. Voor bestaande aansluitingen geldt dat de jaarlijkse audit op dezelfde normen wordt getoetst.
De audit wordt uitgevoerd door een gecertificeerde register IT-auditor. Die beoordeelt of de technische maatregelen aanwezig zijn en aantoonbaar worden onderhouden. Bij een aansluitaudit wordt uitsluitend getoetst op opzet en bestaan, en niet op werking. Voor het toetsen van de werking is namelijk een toetsbare periode van minimaal zes maanden vereist, en die is bij een nieuwe applicatie nog niet beschikbaar.
Wat is het verschil tussen een aansluitaudit en een reguliere DigiD-audit?
Een aansluitaudit is de eerste audit die wordt uitgevoerd voor een nieuwe DigiD-aansluiting. Het is dus geen jaarlijkse audit, maar een eenmalige toets die plaatsvindt voordat de aansluiting in gebruik wordt genomen of kort daarna. Zodra de aansluitaudit met een voldoende resultaat is afgerond, wordt de aansluiting opgenomen in de reguliere DigiD-auditcyclus, die wel jaarlijks plaatsvindt.
Omdat bij een aansluitaudit uitsluitend wordt getoetst op opzet en bestaan, verschilt de inhoud van de audit van een reguliere jaarlijkse audit, waarbij ook de werking wordt beoordeeld. Qua doorlooptijd is een aansluitaudit niet per definitie korter dan een heraudit of een reguliere audit. De omvang hangt af van de complexiteit van de aansluiting en de mate waarin de organisatie al is voorbereid.
Welke technische beveiligingsmaatregelen worden gecontroleerd?
Tijdens de DigiD audit worden technische beveiligingsmaatregelen gecontroleerd zoals versleuteling van verbindingen, patchbeheer, firewallconfiguraties en de beveiliging van webapplicaties. De auditor beoordeelt of deze maatregelen correct zijn ingericht en actueel worden gehouden.
Concreet kijkt de auditor onder andere naar:
- Het gebruik van TLS voor versleutelde verbindingen
- Het tijdig installeren van beveiligingsupdates
- De configuratie van firewalls en netwerksegmentatie
- De beveiliging van de webapplicatie tegen veelvoorkomende aanvallen
- Het gebruik van een geldig en correct geconfigureerd SSL-certificaat
Technische maatregelen moeten niet alleen aanwezig zijn, maar ook aantoonbaar worden beheerd. Een firewall die wel actief is maar nooit wordt gecontroleerd of bijgewerkt, voldoet niet aan de eisen. De auditor vraagt daarom ook naar beheerprocessen en verantwoordelijkheden.
Wat wordt er gecontroleerd op het gebied van toegangsbeheer?
Op het gebied van toegangsbeheer controleert de auditor of alleen bevoegde personen toegang hebben tot de DigiD-omgeving en de bijbehorende systemen. Daarbij wordt gekeken naar het principe van minimale rechten, het beheer van gebruikersaccounts en de toepassing van sterke authenticatie.
Specifieke aandachtspunten zijn:
- Zijn er procedures voor het aanmaken en intrekken van accounts?
- Worden rechten periodiek gereviewd?
- Is er gebruik van tweefactorauthenticatie voor beheertoegang?
- Zijn er geen ongebruikte of generieke accounts actief?
Toegangsbeheer is een van de categorieën waar relatief veel bevindingen uit voortkomen, omdat het in de praktijk lastig is om dit consequent bij te houden. Zeker bij organisaties met veel wisselingen in personeel of externe leveranciers.
Hoe verloopt de controle van incidentbeheer en logging?
De controle van incidentbeheer en logging richt zich op de vraag of een organisatie beveiligingsincidenten tijdig detecteert, registreert en afhandelt. De auditor beoordeelt of er een werkend proces is voor het melden en opvolgen van incidenten, en of logbestanden volledig en betrouwbaar zijn.
Bij logging kijkt de auditor naar:
- Worden relevante gebeurtenissen gelogd, zoals inlogpogingen en systeemwijzigingen?
- Worden logs voldoende lang bewaard?
- Worden logs beschermd tegen manipulatie?
- Worden logs actief gemonitord of geanalyseerd?
Voor incidentbeheer wordt gecontroleerd of er een procedure bestaat, of medewerkers weten hoe ze incidenten moeten melden en of er een koppeling is met de meldplicht richting Logius bij ernstige beveiligingsincidenten.
Wat zijn de meest voorkomende bevindingen bij een DigiD audit?
De meest voorkomende bevindingen bij een DigiD audit hebben betrekking op toegangsbeheer, patchbeheer en logging. Dit zijn de drie categorieën waar organisaties in de praktijk het vaakst tekortschieten, vaak niet door onwil maar door onvoldoende structurele aandacht.
Veelgehoorde bevindingen zijn:
- Accounts van vertrokken medewerkers die nog actief zijn
- Beveiligingsupdates die niet tijdig zijn doorgevoerd
- Onvolledige of te kort bewaarde logbestanden
- Ontbrekende of verouderde procedures voor incidentbeheer
- Onvoldoende documentatie van beheeractiviteiten
Een bevinding hoeft niet direct te betekenen dat de audit mislukt. De ernst en het aantal bevindingen bepalen samen het eindoordeel. Kleine verbeterpunten kunnen worden opgenomen in een verbeterplan zonder dat dit leidt tot een onvoldoende beoordeling.
Wie is verantwoordelijk als een IT-leverancier de DigiD-omgeving beheert?
Als een IT-leverancier de DigiD-omgeving beheert, blijft de organisatie die de DigiD-aansluiting heeft zelf eindverantwoordelijk richting Logius. De leverancier kan echter een groot deel van de beveiligingsmaatregelen voor zijn rekening nemen, mits dit aantoonbaar is gemaakt via een zogeheten TPM – een Third Party Mededeling.
Een TPM is een apart onderzoek dat een IT-auditor uitvoert bij de leverancier. Het belangrijkste doel hiervan is dat andere IT-auditors op dit rapport kunnen vertrouwen. Daardoor hoeven zij niet alles opnieuw zelf te onderzoeken bij elke gebruikersorganisatie, wat de totale auditinspanning aanzienlijk vermindert. Dit is vooral relevant bij SaaS-oplossingen: als een organisatie gebruikmaakt van een SaaS-leverancier voor haar DigiD-omgeving, is een TPM van die leverancier nodig.
Op basis van de TPM voert de auditor bij de gebruikersorganisatie alleen een beperkte controle uit op een specifiek aantal relevante normen. De TPM geeft richting aan de audit: het laat zien welke onderdelen al bij de leverancier zijn onderzocht en op welke punten de auditor zich nog moet richten bij de organisatie zelf. Zonder een geldige TPM moet de volledige audit bij de gebruikersorganisatie worden uitgevoerd, ook voor de onderdelen die technisch gezien bij de leverancier liggen.
Wat gebeurt er als de audit een onvoldoende oplevert?
Als de DigiD audit een onvoldoende oplevert, moet de organisatie de geconstateerde tekortkomingen herstellen en een heraudit ondergaan. Logius beoordeelt de rapportage individueel en bepaalt op basis van de ernst van de bevindingen welke hersteltermijn van toepassing is. Die termijn kan variëren, bijvoorbeeld van twee tot zes maanden, afhankelijk van de situatie.
Er is geen uniforme deadline voor heraudits. De deadline van 1 mei geldt voor de oorspronkelijke DigiD audit. Voor heraudits geldt een termijn die Logius per geval vaststelt. Dit betekent dat organisaties na een onvoldoende niet automatisch weten hoeveel tijd ze hebben. Het is dan ook belangrijk om snel in actie te komen en de bevindingen gestructureerd op te pakken.
In de tussentijd kan Logius aanvullende maatregelen opleggen of in het uiterste geval de DigiD-aansluiting opschorten. Dit laatste is een vergaande maatregel die Logius niet lichtvaardig inzet, maar het onderstreept wel het belang van tijdige opvolging.
Hoe BKBO helpt bij de DigiD aansluitaudit
Wij voeren DigiD assessments uit voor een breed scala aan organisaties, van gemeenten en ziekenhuizen tot woningcorporaties en IT-leveranciers. Met meer dan 2.500 uitgevoerde audits weten we precies waar de knelpunten liggen en hoe we een audit efficiënt en zorgvuldig kunnen uitvoeren.
Wat wij bieden:
- Een volledige DigiD aansluitaudit door gecertificeerde register IT-auditors
- Begeleiding bij een nieuwe DigiD-aansluiting
- Heraudits worden pro deo uitgevoerd, zonder extra kosten
- Vaste prijzen zonder verrassingen achteraf
- Concrete aanbevelingen die direct toepasbaar zijn
Wil je weten wat een DigiD audit voor jouw organisatie inhoudt of heb je behoefte aan een heraudit? Neem contact op voor een vrijblijvende offerte.