Laat je burgers met DigiD inloggen op je digitale diensten, dan ben je verplicht om die aansluiting elk jaar te laten toetsen met een DigiD-assessment. Een onafhankelijke IT-auditor voert die toetsing uit en de uitkomst gaat naar Logius, de beheerder van DigiD.
Voor wie is het verplicht?
De verplichting geldt voor iedere organisatie die een DigiD-koppeling gebruikt om diensten aan burgers aan te bieden, bijvoorbeeld gemeenten, uitvoeringsorganisaties, zorg- en onderwijsinstellingen en pensioenfondsen. Heb je zelf een aansluiting (of laat je die door een leverancier verzorgen), dan moet de beveiliging van die aansluiting aantoonbaar op orde zijn.
Hoe vaak?
De toetsing is jaarlijks. Elk jaar toon je opnieuw aan dat je aansluiting voldoet aan de geldende beveiligingsnorm. Zo blijft de zekerheid actueel en houd je toegang tot DigiD.
Welke norm wordt getoetst?
Het assessment is gebaseerd op de norm voor ICT-beveiligingsassessments DigiD van Logius, die voortbouwt op de beveiligingsrichtlijnen voor webapplicaties van het NCSC. De auditor toetst onder meer de beveiliging van de webomgeving, een veilige inrichting en configuratie, het beheer van de aansluiting en de afspraken met eventuele leveranciers. Vaak maakt een penetratietest onderdeel uit van het onderzoek, zodat niet alleen op papier maar ook in de praktijk wordt gekeken of de beveiliging standhoudt.
Gebruik je voor de aansluiting een leverancier die dit voor meerdere organisaties doet, dan kan die soms met één assessment (een collectief of gedeeld rapport) meerdere klanten bedienen. Het blijft je eigen verantwoordelijkheid om aan te tonen dat jouw aansluiting is getoetst.
En als gemeente?
Voor gemeenten loopt de DigiD-toetsing meestal mee in de ENSIA-cyclus (Eenduidige Normatiek Single Information Audit). Je verantwoordt dan verschillende normenkaders in één gecoördineerd traject, waarvan DigiD er één is.
Wat als je niet op tijd voldoet?
Het assessment is geen vrijblijvende formaliteit. Lever je niet op tijd een goedkeurend resultaat aan, dan kan Logius maatregelen nemen en in het uiterste geval je DigiD-aansluiting (tijdelijk) afsluiten. Voor burgers betekent dat concreet dat ze niet meer met DigiD bij je kunnen inloggen. Plan de audit daarom ruim, zodat er tijd is om eventuele bevindingen op te lossen voordat de deadline verstrijkt.
Hoe verloopt zo’n audit?
- Scoping: we bepalen welke aansluitingen en (deel)systemen binnen de toetsing vallen.
- Toetsing: we beoordelen de beveiligingsmaatregelen aan de hand van de norm, met bewijs uit je eigen omgeving.
- Rapportage: je ontvangt een assessmentrapport dat je (via Logius) indient.
Meer over onze aanpak lees je op de pagina DigiD-audit. Niet zeker of je aansluiting op tijd getoetst is? Plan een kennismaking, dan kijken we mee.