AudITvision

DigiD audit

DIGID AUDIT LATEN UITVOEREN

Onafhankelijke beoordeling van jouw DigiD-aansluiting

Maak je als gemeente of organisatie gebruik van een DigiD-aansluiting? Dan moet je periodiek aantonen dat de beveiliging voldoet aan de eisen van Logius. Tijdens een DigiD-toetsing worden de relevante beheersmaatregelen onafhankelijk beoordeeld en vastgelegd in een assurance-rapport.

AudITvision voert jaarlijks uiteenlopende DigiD-assessments, DigiD-audits, IT-audits en cybersecurity-assessments uit. Onze auditoren beschikken over ruime ervaring met de ICT-beveiligingsassessments DigiD en de actuele eisen van Logius. Met een pragmatische en onafhankelijke aanpak helpen wij organisaties hun DigiD-omgeving aantoonbaar DigiD veilig te houden en te voldoen aan de geldende beveiligingsrichtlijnen.

Afhankelijk van de aansluiting bestaat het assessment uit een onafhankelijke beoordeling en één of meerdere penetratietesten. Dankzij de combinatie van technische expertise en assurance-ervaring begeleiden we het volledige traject van voorbereiding tot rapportage.

Op deze pagina lees je wat een DigiD-audit inhoudt, wanneer deze verplicht is, hoe het proces verloopt en waarom organisaties kiezen voor AudITvision.

Welke audit past bij mij?

Laat hier jouw gegevens achter, een van onze auditors zal binnen 48 uur contact met je opnemen om een persoonlijke offerte op te stellen. Ook als je twijfelt of vragen hebt, voorziet onze auditor je graag van advies. Liever direct contact? Bel dan naar 088-2028700

Wat is een DigiD-assessment?

Een DigiD-toetsing is een onafhankelijke assurance-opdracht waarbij wordt beoordeeld of de beveiliging van een DigiD-aansluiting voldoet aan de eisen van Logius. Tijdens het onderzoek kijkt de auditor niet alleen naar technische beveiligingsmaatregelen, maar ook naar de inrichting van processen, verantwoordelijkheden en de werking van interne beheersmaatregelen. Dit DigiD-assessment wordt uitgevoerd conform de richtlijnen van Logius en geeft organisaties inzicht in de effectiviteit van hun technische en organisatorische beveiligingsmaatregelen.

Het doel is om vast te stellen of gebruikers veilig kunnen inloggen met DigiD en of de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens voldoende zijn gewaarborgd. De resultaten worden vastgelegd in een onafhankelijk assurance-rapport dat gebruikt kan worden richting Logius.

Voor welke organisaties is een DigiD-controle bedoeld?

Deze controle is bedoeld voor organisaties die DigiD gebruiken om burgers veilig toegang te geven tot digitale diensten.

Denk bijvoorbeeld aan:

  • gemeenten;
  • uitvoeringsorganisaties;
  • zorginstellingen;
  • onderwijsinstellingen;
  • publieke organisaties;
  • samenwerkingsverbanden met een DigiD-aansluiting.

Iedere organisatie met een DigiD-koppeling moet aantonen dat de beveiliging voldoet aan de actuele eisen van Logius.

Hoe verloopt deze audit?

Intake en scope

We bespreken de aansluiting, de betrokken systemen en de planning. Daarbij bepalen we welke onderdelen binnen de scope van het onderzoek vallen.

Documentatie beoordelen

Onze auditor beoordeelt onder andere het informatiebeveiligingsbeleid, procedures, risicoanalyses en technische documentatie.

Interviews

Samen met beheerders, CISO’s en proceseigenaren bespreken we hoe beveiligingsmaatregelen in de praktijk functioneren.

Beoordeling van de beheersmaatregelen

Vervolgens beoordelen we of de maatregelen passend zijn ingericht én daadwerkelijk werken.

Rapportage

Na afronding ontvang je een heldere rapportage met onze bevindingen en conclusie.

Neem contact op
digid-audit-assessment

Wat beoordelen we?

Tijdens een DigiD-controle beoordelen wij onder andere:

  • toegangsbeveiliging;
  • identity & access management;
  • logging en monitoring;
  • wijzigingsbeheer;
  • patchmanagement;
  • back-up- en herstelprocedures;
  • netwerkbeveiliging;
  • leveranciersbeheer;
  • incidentmanagement;
  • governance en verantwoordelijkheden.

Uiteraard stemmen we de werkzaamheden af op de scope van jouw aansluiting.

DigiD-audit binnen ENSIA

Voor gemeenten maakt de DigiD-toetsing onderdeel uit van de ENSIA-verantwoording. Een goede voorbereiding voorkomt verrassingen tijdens de verantwoordingsperiode.

Onze auditors voeren jaarlijks deze audit uit bij uiteenlopende gemeenten. Daardoor kennen wij zowel de technische als organisatorische aandachtspunten die tijdens een ENSIA-traject een rol spelen. Binnen de ENSIA-verantwoording vormen de DigiD ICT-beveiligingsassessments een belangrijk onderdeel van de jaarlijkse verantwoording aan Logius. Een goede voorbereiding helpt om bevindingen tijdig op te lossen en de audit efficiënt te laten verlopen.

Waarom AudITvision?

Een DigiD-beveiligingsassessment vraagt om specialistische kennis van cybersecurity, informatiebeveiliging en de geldende DigiD-eisen van Logius. Onze NOREA-geregistreerde RE-auditoren voeren jaarlijks uiteenlopende DigiD-assessments uit voor gemeenten en andere organisaties met een DigiD-aansluiting.

Met een pragmatische en onafhankelijke aanpak zorgen we voor een efficiënt auditproces, duidelijke rapportages en concrete inzichten. Geen onnodige complexiteit, maar een heldere beoordeling waarmee direct verder gewerkt kan worden.

Heb je vragen over een DigiD-assessment, de ICT-beveiligingsassessments DigiD, een nieuwe DigiD-aansluiting of de planning van een BIO-audit, ISAE 3000-opdracht of ISO 27001-audit? Neem gerust contact op. Onze auditoren denken graag met je mee.

Vraag een offerte

Veelgestelde vragen

Wie is verplicht een DigiD-beveiligingsassessment te laten uitvoeren?

Elke organisatie met een DigiD-aansluiting moet jaarlijks een ICT-beveiligingsassessment laten uitvoeren, in opdracht van het ministerie van BZK via Logius. Dit geldt onder andere voor alle Nederlandse gemeenten, maar ook voor andere overheidsorganisaties en private partijen die via DigiD diensten aanbieden aan burgers.

Hoe vaak moet een DigiD-beveiligingsassessment worden uitgevoerd?

Het assessment moet jaarlijks worden uitgevoerd en ingediend bij Logius. De reguliere indieningsperiode loopt van 1 januari tot 1 mei, met 30 april/1 mei als praktische deadline. Val je buiten deze periode, dan schuift de indiening door naar de volgende indieningsperiode.

Wie mag een DigiD-audit uitvoeren?

Het officiële DigiD-beveiligingsassessment moet worden uitgevoerd door een Register EDP-auditor (RE). AudITvision beschikt over ervaren, NOREA-geregistreerde RE-auditoren die het volledige traject – van pre-audit tot rapportage aan Logius – onafhankelijk kunnen uitvoeren.

Wat gebeurt er als mijn organisatie niet voldoet aan het DigiD-assessment?

Bij een onvoldoende score of het ontbreken van een tijdige rapportage kan Logius, in opdracht van het ministerie van BZK, maatregelen treffen die variëren van een verzoek om herstel tot – in het uiterste geval – het opschorten van de DigiD-aansluiting. Zorg er daarom voor dat gesignaleerde tekortkomingen tijdig en aantoonbaar worden opgelost.

Wat is het verschil tussen een DigiD-audit en een ENSIA-onderzoek?

Voor gemeenten lopen DigiD en ENSIA vaak in elkaar over, maar het zijn niet automatisch dezelfde onderzoeken. ENSIA is de gezamenlijke verantwoordingssystematiek waarmee gemeenten zich op meerdere normenkaders tegelijk verantwoorden (waaronder DigiD, Suwinet en BRP), richting de gemeenteraad en toezichthouders. Gemeenten kunnen ervoor kiezen om de DigiD-verantwoording via de ENSIA-methodiek of via een directe 3000D-rapportage te laten lopen. Twijfel je welke route het beste past bij jouw gemeente? Wij denken graag mee.

Wat kost een DigiD-audit?

De kosten van een DigiD-beveiligingsassessment hangen af van de omvang van je ICT-omgeving, het aantal systemen binnen scope en of er naast de audit zelf nog een pentest en securityscan nodig zijn. Een organisatie die goed voorbereid het traject ingaat – met een actuele nulmeting – heeft doorgaans minder herstelwerk en dus minder tijd nodig dan een organisatie die voor het eerst een assessment laat uitvoeren.