Wie is verantwoordelijk voor ENSIA als een gemeente IT heeft uitbesteed?
Als een gemeente haar IT heeft uitbesteed, blijft de gemeente zelf eindverantwoordelijk voor de DigiD en Suwinet (ENSIA)-verantwoording. Een IT-leverancier kan bewijsmateriaal aanleveren en technische maatregelen uitvoeren, maar de verantwoordingsplicht richting de gemeenteraad en toezichthouders ligt altijd bij de gemeente zelf. In dit artikel beantwoorden we de meest gestelde vragen over DigiD en Suwinet (ENSIA) bij uitbestede IT, van wat je van een leverancier mag verlangen tot hoe je de voorbereiding organiseert als meerdere partijen betrokken zijn.
Wie voert de DigiD en Suwinet (ENSIA)-verantwoording uit als de IT is uitbesteed?
De gemeente voert de DigiD en Suwinet (ENSIA)-verantwoording altijd zelf uit, ook als de IT volledig is uitbesteed. Uitbesteding van IT-taken betekent niet dat de verantwoordingsplicht mee overgaat naar de leverancier. De gemeente blijft de partij die de zelfevaluatie invult, de collegeverklaring ondertekent en verantwoording aflegt richting de gemeenteraad en de betrokken toezichthouders.
Wat een IT-leverancier wel kan doen, is bewijsmateriaal aanleveren over de maatregelen die hij namens de gemeente uitvoert. Denk aan technische configuraties, beveiligingsinstellingen en procesbeschrijvingen. Dat bewijsmateriaal is essentieel voor de zelfevaluatie, maar de gemeente beoordeelt zelf of het volledig en afdoende is. De DigiD en Suwinet (ENSIA)-coördinator speelt hierin een centrale rol: hij of zij verzamelt de informatie uit de organisatie en bij leveranciers, en zorgt dat alles tijdig beschikbaar is voor de DigiD en Suwinet (ENSIA)-audit.
Wat moet een gemeente van haar IT-leverancier verlangen voor DigiD en Suwinet (ENSIA)?
Voor DigiD en Suwinet (ENSIA) moet een gemeente van haar IT-leverancier aantoonbaar bewijs verlangen dat de afgesproken beveiligingsmaatregelen daadwerkelijk zijn ingericht. Dit gaat verder dan een mondelinge bevestiging. De gemeente heeft concrete documentatie nodig die als bewijsstuk kan dienen bij de DigiD en Suwinet (ENSIA)-audit.
Concreet gaat het om de volgende typen bewijsmateriaal:
- Technische rapportages over beveiligingsinstellingen en toegangsbeheer
- Procesbeschrijvingen en procedures die de leverancier hanteert
- Logbestanden of monitoringrapportages die aantonen dat maatregelen werken
- Auditverklaringen of een Third Party Mededeling (TPM) als de leverancier een SaaS-oplossing levert
- Bewijs van periodieke risicobeoordelingen of penetratietests
Een TPM verdient hier speciale aandacht. Als een leverancier een SaaS-oplossing aanbiedt, kan hij een TPM laten opstellen door een onafhankelijke IT-auditor. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Dat vermindert de totale auditinspanning voor de gemeente aanzienlijk. Vraag bij SaaS-leveranciers dus altijd actief naar de beschikbaarheid van een TPM.
Welke DigiD en Suwinet (ENSIA)-onderdelen kan een leverancier nooit overnemen?
Een IT-leverancier kan technische uitvoering en bewijslevering voor zijn rekening nemen, maar een aantal DigiD en Suwinet (ENSIA)-onderdelen kan hij nooit overnemen. Dit zijn de onderdelen die onlosmakelijk verbonden zijn aan de gemeentelijke verantwoordingsplicht en de bestuurlijke positie van de gemeente.
De volgende onderdelen blijven altijd bij de gemeente:
- Het invullen van de zelfevaluatielijst
- Het ondertekenen van de collegeverklaring
- De horizontale verantwoording richting de gemeenteraad
- De verticale verantwoording richting departementen en toezichthouders
- De eindverantwoordelijkheid voor de volledigheid en juistheid van het aangeleverde bewijsmateriaal
Een leverancier levert input, maar de gemeente valideert en ondertekent. Dat onderscheid is cruciaal. Als bewijsmateriaal van een leverancier onvolledig of onjuist blijkt, is de gemeente degene die hierop wordt aangesproken, niet de leverancier.
Hoe leg je afspraken over DigiD en Suwinet (ENSIA) vast in een contract met een IT-leverancier?
Afspraken over verplichtingen rond DigiD en Suwinet (ENSIA) leg je vast in de verwerkersovereenkomst of het dienstverleningscontract met de IT-leverancier. Zonder contractuele basis is een gemeente afhankelijk van de bereidwilligheid van de leverancier, wat bij een naderende auditdeadline tot problemen kan leiden.
Zorg dat het contract minimaal de volgende punten regelt:
- Bewijsleveringsplicht: de leverancier is verplicht om op verzoek tijdig bewijsmateriaal aan te leveren dat aansluit op de DigiD en Suwinet (ENSIA)-normen.
- Auditrecht: de gemeente of haar auditor heeft het recht om de beveiligingsmaatregelen bij de leverancier te toetsen.
- Meldplicht bij incidenten: de leverancier meldt beveiligingsincidenten die relevant zijn voor de DigiD en Suwinet (ENSIA)-verantwoording direct aan de gemeente.
- TPM-verplichting: als de leverancier een SaaS-dienst levert, is hij verplicht een actuele TPM beschikbaar te stellen.
- Termijnen: er zijn duidelijke afspraken over wanneer bewijsmateriaal uiterlijk beschikbaar is, zodat de gemeente de deadline van 1 mei voor de DigiD en Suwinet (ENSIA)-audit kan halen.
Goede contractafspraken voorkomen dat een gemeente vlak voor de audit achter informatie aan moet jagen. Leg deze afspraken bij voorkeur al vast bij het afsluiten van het contract, niet pas als de audit nadert.
Wat gebeurt er als een leverancier geen of onvoldoende bewijs levert?
Als een IT-leverancier geen of onvoldoende bewijs levert, heeft de gemeente een probleem bij de DigiD en Suwinet (ENSIA)-audit. De zelfevaluatie kan dan niet volledig worden onderbouwd, wat kan leiden tot bevindingen in het auditrapport. De gemeente is en blijft verantwoordelijk voor de volledigheid van het bewijsmateriaal, ook als een leverancier tekortschiet.
In de praktijk betekent dit dat de gemeente zelf actie moet ondernemen. Mogelijke stappen zijn:
- De leverancier formeel aanspreken op de contractuele bewijsleveringsplicht
- Escaleren binnen de eigen organisatie en bij de leverancier
- Compenserende maatregelen documenteren die de gemeente zelf heeft getroffen
- De auditor transparant informeren over de situatie en de ondernomen stappen
Een bevinding in het auditrapport betekent niet automatisch dat de DigiD en Suwinet (ENSIA)-audit mislukt. Auditors beoordelen ook of een gemeente aantoonbaar grip heeft op de situatie en of er herstelmaatregelen zijn getroffen. Transparantie en aantoonbare opvolging wegen mee in dat oordeel. Als na de reguliere DigiD en Suwinet (ENSIA)-audit een heraudit nodig is, verschilt de hersteltermijn per situatie. Er bestaat geen vaste deadline voor heraudits.
Hoe bereidt een gemeente zich voor op DigiD en Suwinet (ENSIA) als meerdere leveranciers betrokken zijn?
Als meerdere IT-leveranciers betrokken zijn, vraagt de voorbereiding op de DigiD en Suwinet (ENSIA)-audit om een gestructureerde aanpak waarbij de gemeente zelf de regie houdt. Zonder centrale coördinatie ontstaat al snel een situatie waarbij bewijsmateriaal verspreid is over verschillende partijen en niemand het overzicht heeft.
Een effectieve voorbereiding begint vroeg in het jaar en volgt een vaste structuur. De DigiD en Suwinet (ENSIA)-coördinator speelt hierin een sleutelrol door het proces te bewaken en leveranciers tijdig aan te sturen. Praktische stappen zijn:
- Breng in kaart welke leveranciers welke systemen en processen beheren die onder de DigiD en Suwinet (ENSIA)-normen vallen.
- Controleer per leverancier of er contractuele afspraken zijn over bewijslevering en auditrecht.
- Vraag bij SaaS-leveranciers actief naar een actuele TPM, zodat de auditinspanning beperkt blijft.
- Stel een interne planning op met duidelijke deadlines per leverancier, ruim voor de DigiD en Suwinet (ENSIA)-deadline van 1 mei.
- Wijs per leverancier een intern aanspreekpunt aan dat de communicatie bewaakt.
- Verzamel het bewijsmateriaal centraal en controleer de volledigheid voordat de zelfevaluatie wordt ingevuld.
Gemeenten die dit proces structureel inrichten, ook buiten de directe aanloopperiode naar de audit, voorkomen dat DigiD en Suwinet (ENSIA) alleen vlak voor de deadline aandacht krijgt. Informatiebeveiliging bij uitbestede IT vraagt om doorlopende aandacht, niet alleen in de maanden voor de audit.
Hoe BKBO B.V. helpt bij DigiD en Suwinet (ENSIA) met uitbestede IT
Wij begrijpen dat de DigiD en Suwinet (ENSIA)-verantwoording complexer wordt als IT is uitbesteed aan een of meerdere leveranciers. Gemeenten lopen dan aan tegen versnipperd bewijsmateriaal, onduidelijke verantwoordelijkheden en leveranciers die niet altijd direct leveren wat nodig is. Wij helpen gemeenten om grip te houden op dit proces, van de eerste voorbereiding tot de afronding van de DigiD en Suwinet (ENSIA)-audit.
Wat wij bieden:
- Ervaring met meer dan 2.500 uitgevoerde audits, waarvan een groot deel bij gemeenten
- Een vaste contactpersoon met korte communicatielijnen gedurende het hele auditproces
- Een assertion-based aanpak waarbij wij zo veel mogelijk steunen op het bewijsmateriaal dat de gemeente zelf aanlevert
- Concrete aanbevelingen bij bevindingen, zodat de gemeente weet welke stappen gezet moeten worden
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Begeleiding bij de collegeverklaring en de waarmerking als onderdeel van het volledige DigiD en Suwinet (ENSIA)-proces
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de DigiD en Suwinet (ENSIA)-audit? Neem dan contact met ons op voor een vrijblijvende offerte.
Deze blog is opgesteld met behulp van AI-technologie en gepubliceerd in het kader van onze online zichtbaarheid. Hoewel de inhoud met zorg is samengesteld, kunnen aan deze blog geen rechten worden ontleend. Voor specifieke situaties en vragen adviseren wij altijd contact op te nemen met een specialist van BKBO B.V.
Als een gemeente haar IT heeft uitbesteed, blijft de gemeente zelf eindverantwoordelijk voor de DigiD en Suwinet (ENSIA)-verantwoording. Een IT-leverancier kan bewijsmateriaal aanleveren en technische maatregelen uitvoeren, maar de verantwoordingsplicht richting de gemeenteraad en toezichthouders ligt altijd bij de gemeente zelf. In dit artikel beantwoorden we de meest gestelde vragen over DigiD en Suwinet (ENSIA) bij uitbestede IT, van wat je van een leverancier mag verlangen tot hoe je de voorbereiding organiseert als meerdere partijen betrokken zijn.
Wie voert de DigiD en Suwinet (ENSIA)-verantwoording uit als de IT is uitbesteed?
De gemeente voert de DigiD en Suwinet (ENSIA)-verantwoording altijd zelf uit, ook als de IT volledig is uitbesteed. Uitbesteding van IT-taken betekent niet dat de verantwoordingsplicht mee overgaat naar de leverancier. De gemeente blijft de partij die de zelfevaluatie invult, de collegeverklaring ondertekent en verantwoording aflegt richting de gemeenteraad en de betrokken toezichthouders.
Wat een IT-leverancier wel kan doen, is bewijsmateriaal aanleveren over de maatregelen die hij namens de gemeente uitvoert. Denk aan technische configuraties, beveiligingsinstellingen en procesbeschrijvingen. Dat bewijsmateriaal is essentieel voor de zelfevaluatie, maar de gemeente beoordeelt zelf of het volledig en afdoende is. De DigiD en Suwinet (ENSIA)-coördinator speelt hierin een centrale rol: hij of zij verzamelt de informatie uit de organisatie en bij leveranciers, en zorgt dat alles tijdig beschikbaar is voor de DigiD en Suwinet (ENSIA)-audit.
Wat moet een gemeente van haar IT-leverancier verlangen voor DigiD en Suwinet (ENSIA)?
Voor DigiD en Suwinet (ENSIA) moet een gemeente van haar IT-leverancier aantoonbaar bewijs verlangen dat de afgesproken beveiligingsmaatregelen daadwerkelijk zijn ingericht. Dit gaat verder dan een mondelinge bevestiging. De gemeente heeft concrete documentatie nodig die als bewijsstuk kan dienen bij de DigiD en Suwinet (ENSIA)-audit.
Concreet gaat het om de volgende typen bewijsmateriaal:
- Technische rapportages over beveiligingsinstellingen en toegangsbeheer
- Procesbeschrijvingen en procedures die de leverancier hanteert
- Logbestanden of monitoringrapportages die aantonen dat maatregelen werken
- Auditverklaringen of een Third Party Mededeling (TPM) als de leverancier een SaaS-oplossing levert
- Bewijs van periodieke risicobeoordelingen of penetratietests
Een TPM verdient hier speciale aandacht. Als een leverancier een SaaS-oplossing aanbiedt, kan hij een TPM laten opstellen door een onafhankelijke IT-auditor. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Dat vermindert de totale auditinspanning voor de gemeente aanzienlijk. Vraag bij SaaS-leveranciers dus altijd actief naar de beschikbaarheid van een TPM.
Welke DigiD en Suwinet (ENSIA)-onderdelen kan een leverancier nooit overnemen?
Een IT-leverancier kan technische uitvoering en bewijslevering voor zijn rekening nemen, maar een aantal DigiD en Suwinet (ENSIA)-onderdelen kan hij nooit overnemen. Dit zijn de onderdelen die onlosmakelijk verbonden zijn aan de gemeentelijke verantwoordingsplicht en de bestuurlijke positie van de gemeente.
De volgende onderdelen blijven altijd bij de gemeente:
- Het invullen van de zelfevaluatielijst
- Het ondertekenen van de collegeverklaring
- De horizontale verantwoording richting de gemeenteraad
- De verticale verantwoording richting departementen en toezichthouders
- De eindverantwoordelijkheid voor de volledigheid en juistheid van het aangeleverde bewijsmateriaal
Een leverancier levert input, maar de gemeente valideert en ondertekent. Dat onderscheid is cruciaal. Als bewijsmateriaal van een leverancier onvolledig of onjuist blijkt, is de gemeente degene die hierop wordt aangesproken, niet de leverancier.
Hoe leg je afspraken over DigiD en Suwinet (ENSIA) vast in een contract met een IT-leverancier?
Afspraken over verplichtingen rond DigiD en Suwinet (ENSIA) leg je vast in de verwerkersovereenkomst of het dienstverleningscontract met de IT-leverancier. Zonder contractuele basis is een gemeente afhankelijk van de bereidwilligheid van de leverancier, wat bij een naderende auditdeadline tot problemen kan leiden.
Zorg dat het contract minimaal de volgende punten regelt:
- Bewijsleveringsplicht: de leverancier is verplicht om op verzoek tijdig bewijsmateriaal aan te leveren dat aansluit op de DigiD en Suwinet (ENSIA)-normen.
- Auditrecht: de gemeente of haar auditor heeft het recht om de beveiligingsmaatregelen bij de leverancier te toetsen.
- Meldplicht bij incidenten: de leverancier meldt beveiligingsincidenten die relevant zijn voor de DigiD en Suwinet (ENSIA)-verantwoording direct aan de gemeente.
- TPM-verplichting: als de leverancier een SaaS-dienst levert, is hij verplicht een actuele TPM beschikbaar te stellen.
- Termijnen: er zijn duidelijke afspraken over wanneer bewijsmateriaal uiterlijk beschikbaar is, zodat de gemeente de deadline van 1 mei voor de DigiD en Suwinet (ENSIA)-audit kan halen.
Goede contractafspraken voorkomen dat een gemeente vlak voor de audit achter informatie aan moet jagen. Leg deze afspraken bij voorkeur al vast bij het afsluiten van het contract, niet pas als de audit nadert.
Wat gebeurt er als een leverancier geen of onvoldoende bewijs levert?
Als een IT-leverancier geen of onvoldoende bewijs levert, heeft de gemeente een probleem bij de DigiD en Suwinet (ENSIA)-audit. De zelfevaluatie kan dan niet volledig worden onderbouwd, wat kan leiden tot bevindingen in het auditrapport. De gemeente is en blijft verantwoordelijk voor de volledigheid van het bewijsmateriaal, ook als een leverancier tekortschiet.
In de praktijk betekent dit dat de gemeente zelf actie moet ondernemen. Mogelijke stappen zijn:
- De leverancier formeel aanspreken op de contractuele bewijsleveringsplicht
- Escaleren binnen de eigen organisatie en bij de leverancier
- Compenserende maatregelen documenteren die de gemeente zelf heeft getroffen
- De auditor transparant informeren over de situatie en de ondernomen stappen
Een bevinding in het auditrapport betekent niet automatisch dat de DigiD en Suwinet (ENSIA)-audit mislukt. Auditors beoordelen ook of een gemeente aantoonbaar grip heeft op de situatie en of er herstelmaatregelen zijn getroffen. Transparantie en aantoonbare opvolging wegen mee in dat oordeel. Als na de reguliere DigiD en Suwinet (ENSIA)-audit een heraudit nodig is, verschilt de hersteltermijn per situatie. Er bestaat geen vaste deadline voor heraudits.
Hoe bereidt een gemeente zich voor op DigiD en Suwinet (ENSIA) als meerdere leveranciers betrokken zijn?
Als meerdere IT-leveranciers betrokken zijn, vraagt de voorbereiding op de DigiD en Suwinet (ENSIA)-audit om een gestructureerde aanpak waarbij de gemeente zelf de regie houdt. Zonder centrale coördinatie ontstaat al snel een situatie waarbij bewijsmateriaal verspreid is over verschillende partijen en niemand het overzicht heeft.
Een effectieve voorbereiding begint vroeg in het jaar en volgt een vaste structuur. De DigiD en Suwinet (ENSIA)-coördinator speelt hierin een sleutelrol door het proces te bewaken en leveranciers tijdig aan te sturen. Praktische stappen zijn:
- Breng in kaart welke leveranciers welke systemen en processen beheren die onder de DigiD en Suwinet (ENSIA)-normen vallen.
- Controleer per leverancier of er contractuele afspraken zijn over bewijslevering en auditrecht.
- Vraag bij SaaS-leveranciers actief naar een actuele TPM, zodat de auditinspanning beperkt blijft.
- Stel een interne planning op met duidelijke deadlines per leverancier, ruim voor de DigiD en Suwinet (ENSIA)-deadline van 1 mei.
- Wijs per leverancier een intern aanspreekpunt aan dat de communicatie bewaakt.
- Verzamel het bewijsmateriaal centraal en controleer de volledigheid voordat de zelfevaluatie wordt ingevuld.
Gemeenten die dit proces structureel inrichten, ook buiten de directe aanloopperiode naar de audit, voorkomen dat DigiD en Suwinet (ENSIA) alleen vlak voor de deadline aandacht krijgt. Informatiebeveiliging bij uitbestede IT vraagt om doorlopende aandacht, niet alleen in de maanden voor de audit.
Hoe BKBO B.V. helpt bij DigiD en Suwinet (ENSIA) met uitbestede IT
Wij begrijpen dat de DigiD en Suwinet (ENSIA)-verantwoording complexer wordt als IT is uitbesteed aan een of meerdere leveranciers. Gemeenten lopen dan aan tegen versnipperd bewijsmateriaal, onduidelijke verantwoordelijkheden en leveranciers die niet altijd direct leveren wat nodig is. Wij helpen gemeenten om grip te houden op dit proces, van de eerste voorbereiding tot de afronding van de DigiD en Suwinet (ENSIA)-audit.
Wat wij bieden:
- Ervaring met meer dan 2.500 uitgevoerde audits, waarvan een groot deel bij gemeenten
- Een vaste contactpersoon met korte communicatielijnen gedurende het hele auditproces
- Een assertion-based aanpak waarbij wij zo veel mogelijk steunen op het bewijsmateriaal dat de gemeente zelf aanlevert
- Concrete aanbevelingen bij bevindingen, zodat de gemeente weet welke stappen gezet moeten worden
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Begeleiding bij de collegeverklaring en de waarmerking als onderdeel van het volledige DigiD en Suwinet (ENSIA)-proces
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de DigiD en Suwinet (ENSIA)-audit? Neem dan contact met ons op voor een vrijblijvende offerte.
Deze blog is opgesteld met behulp van AI-technologie en gepubliceerd in het kader van onze online zichtbaarheid. Hoewel de inhoud met zorg is samengesteld, kunnen aan deze blog geen rechten worden ontleend. Voor specifieke situaties en vragen adviseren wij altijd contact op te nemen met een specialist van BKBO B.V.