IT-assessmentrapportage voor DigiD

Toetsen volgens de opnamemethode (inclusive)

In de meeste gevallen wordt de Serviceorganisatie getoetst volgens de uitsluitingsmethode (carve out) en is er sprake van een RSO (zie hieronder bij kopje RSO). Dit hoeft echter niet. De dienstverlener en de Serviceorganisatie(s) mogen ook als een geheel getoetst worden. De resultaten van dit assessment worden dan als één geheel opgenomen in het DigiD Assessmentrapport van de dienstverlener. De Serviceorganisatie wordt hiermee volgens de opnamemethode (inclusive) getoetst.

Ook meerdere (sub)Serviceorganisaties, zonder de dienstverlener organisatie, kunnen als een geheel getoetst worden volgens de opnamemethode. Het resultaat is één assessmentrapportage in de vorm van een RSO welke volgens de uitsluitingsmethode gebruikt kan worden bij de toetsing van de dienstverlener.

RSO volgens de uitsluitingsmethode (carve out)

Een Serviceorganisatie kan voor zijn gedeelte van de DigiD normen een DigiD Assessment uit laten voeren en het resultaat daarvan ter beschikking stellen aan de DigiD dienstverlener in de vorm van een RSO (Rapport van de serviceorganisatie).

Een template voor het opstellen van een RSO is te vinden op de NOREA website. Deze is op bepaalde punten anders dan het template dat wordt gebruikt voor de dienstverlener. Zo is het hoofdstuk 'Verantwoordelijkheden gebruikersorganisatie' onderdeel van het RSO.

De auditor van de DigiD dienstverlener beoordeelt de RSO van de Serviceorganisatie op toepasbaarheid en gebruikt bijlage C van het dienstverlenerrapport (RDV) om het totaaloverzicht van verdeelde normen weer te geven.

ISAE- of SOC-verklaring volgens de uitsluitingsmethode (carve out)

Een ISAE- of SOC-verklaring, anders dan een RSO in de vorm van een DigiD assessment, kan ook dienen als assuranceverklaring voor de (sub)serviceorganisatie. Gangbare internationale assurance standaarden zijn ISAE3402 en SOC2. De RE-auditor bepaalt in hoeverre de verklaring van toepassing en bruikbaar is.

De oordelen op de controls (maatregelen) uit de ISAE- of SOC-verklaring zijn niet altijd een-op-een te koppelen aan de normen van het DigiD assessment. De RE-auditor die het DigiD assessment uitvoert beoordeelt, aan de hand van de controls uit de ISAE- of SOC-verklaring, of en aan welke DigiD-normen wordt voldaan. Ook beoordeelt de RE-auditor of uit de internationale ISAE- of SOC2- verklaring verantwoordelijkheden voor de gebruikersorganisatie of andere serviceorganisaties voortkomen, zoals dat ook geldt voor een RSO.

De RE-auditor die het DigiD-assessment uitvoert neemt een verklaring op dat de toetsing van de ISAE- of SOC-controls tegen de DigiD-normen is uitgevoerd. De documentgegevens van het ISAE- of SOC-rapport worden opgenomen in de eerste tabel in bijlage C. Ook worden hier de DigiD normen opgesomd die door de ISAE- of SOC-controls zijn afgedekt. Het oordeel ‘voldoet’ of ‘voldoet niet’ wordt in de tweede tabel in bijlage C in een aparte kolom opgenomen.

Als in bijlage D de gegevens van de ISAE- of SOC-verklaring zijn opgenomen inclusief de oordeelsdatum dan is het meesturen van de verklaring, al dan niet in ‘short form’, niet nodig.

De bijlagen C en D zijn onderdeel van het modelrapport van NOREA voor zowel het rapport van de dienstverlener (RDV) als van het rapport van de serviceorganisatie (RSO). 

Meesturen van RSO, ISAE- of SOC-verklaring?

Een RSO, ISAE- of SOC-verklaring maakt onderdeel uit van de totale assessmentrapportage.

• Het RSO wordt samen met het assessmentrapport van de dienstverlener aan Logius toegestuurd.
• Als bijlage D uit het dienstverlenersrapport of uit het RSO goed is ingevuld hoeft een ISAE- of SOC-verklaring niet te worden meegestuurd.

In het geval dat de resultaten van het assessment bij een serviceorganisatie vanuit een  RSO, ISAE- of SOC-verklaring door de RE-auditor van de dienstverlener wordt opgenomen in de paragraaf 1.1 “Oordelen”, verandert de uitsluitingsmethode (carve-out) naar de opnamemethode (inclusive). Zie hiervoor: “Toetsen volgens de opnamemethode (inclusive)”. Dit is voor een RSO wel, maar voor de internationale verklaringen niet altijd mogelijk, en de RE-auditor zal de richtlijnen van NOREA volgen.

Alleen als er gebruik wordt gemaakt van de opnamemethode (inclusive) hoeven bijlage C en bijlage D niet meer te worden ingevuld voor de inclusive opgenomen auditverklaring. De opgenomen assuranceverklaring hoeft dan niet meegestuurd te worden.

Maximale leeftijd

De oordelen in de rapporten  van serviceorganisaties (RSO’s en/of internationale assuranceverklaringen) mogen niet ouder zijn dan twaalf maanden t.o.v. de oordelen uit het assessmentrapport van de DigiD dienstverlener.

Soms verwijst een RSO via de uitsluitingsmethode op zijn beurt weer naar andere RSO’s of internationale assuranceverklaringen (van de zgn. ‘subserviceorganisaties’). Ook voor de oordelen uit die rapporten geldt dat deze niet ouder mogen zijn dan twaalf maanden t.o.v. de oordelen uit het assessmentrapport van de DigiD dienstverlener. 

Om dit te bepalen wordt gekeken naar de volgende datums:

1. Voor een norm met een toets op bestaan: het verschil in de oordeelsdatums.
2. Voor een norm met een toets op werking: het verschil in de einddatums van de controleperiode.

Let op: het gaat dus niet om de rapportdatum.  

Ieder jaar een nieuw RSO

Voor elk jaarlijks assessment is een nieuw RSO (of internationale assuranceverklaring) vereist. 

Uitzondering: hetzelfde RSO mag worden herbruikt als in het vorige assessmentjaar dit RSO het gevolg was van een herassessment. De initieel ingeleverde rapporten van twee opvolgende jaarlijkse assessments mogen niet gelijk zijn.

De intentie hierbij is dat ook iedere onderliggende serviceorganisatie jaarlijks opnieuw is getoetst.

Opname in bijlage C en D

Het RSO moet opgesteld en ondertekend zijn door een Register EDP-auditor (RE-auditor).

Een internationale assuranceverklaring is ondertekend door een IT-auditor. In Nederland is dit een RE-auditor. Een buitenlandse titel moet hieraan gelijkwaardig zijn. Bij de Koninklijk Nederlandse Beroepsorganisatie van Accountants kan dit nagevraagd worden.

De RE-auditor van de dienstverlener controleert of het RSO of de internationale assuranceverklaring klopt op het object van onderzoek (tijdens de uitgifte van het RSO en de toepassing bij de dienstverlener kunnen wijzigingen zijn opgetreden op de serviceomgeving) en of de ondertekening geldig is en de leeftijd valide. De RE-auditor noteert de conclusies betreffende de oordelen vanuit het RSO of de internationale verklaring in bijlage C met een oordeel ‘voldoet’ of ‘voldoet niet’.

Een verwijzing naar een RSO of een internationaal assurancerapport moet de volgende informatie bevatten:

• De naam van de serviceorganisatie
• Het unieke referentie- of rapportnummer
• De datum van de verklaring
• De datum van het oordeel
• De naam van de afgevende RE-auditor

Zie hiervoor bijlage C en D van het ‘Rapportage-template DigiD-Assessment (versie 3.0)’ van NOREA.
Het is uiteindelijk aan het professionele oordeel van de RE-auditor om te bepalen of de rapportage van de RE-auditor van de serviceorganisatie valide is.

Mocht de RE-auditor van de serviceorganisatie van mening verschillen met de RE-auditor van de DigiD-dienstverlener, dan kan dit worden voorgelegd aan NOREA. Dit kan eventueel ook voor vakinhoudelijke specifieke auditvragen over het DigiD-assessment.

Meerdere diensten die gebruik maken van dezelfde DigiD aansluiting – de ‘mijn omgeving’

Soms maakt een DigiD dienstverlener voor verschillende diensten gebruik van dezelfde DigiD aansluiting. Dit wordt niet geadviseerd, maar is wel mogelijk. In dat geval moet de bijlage C voor iedere dienst apart worden opgenomen in de rapportage. Per dienst moet er dan worden verwezen naar de desbetreffende RSO en per dienst moet er inzicht gegeven worden in de verdeling van normen bij de DigiD dienstverlenerorganisatie en de Serviceorganisatie. Zie hiervoor ook de mededeling ‘Het DigiD- assessment en de Mijn Omgeving’. 

Verantwoordelijkheid van de DigiD dienstverlener bij uitbesteding

Ook bij een uitbesteding blijft de DigiD dienstverlener verantwoordelijk voor het voldoen aan de DigiD normen voor het geheel, dat wil zeggen de toetsing van de normen bij de Serviceorganisatie én de toetsing bij de DigiD dienstverlener.

Er is altijd een aantal normen die de dienstverlener zélf door een auditor moet laten toetsen.

ENSIA rapportage

Maakt een gemeente gebruik van ENSIA dan geldt een andere vorm voor de DigiD-assessmentrapportage. Een set ENSIA-documenten bestaat uit een zelfevaluatie, een collegeverklaring, een door de RE-auditor afgegeven assurance rapport en - indien van toepassing - één of meerdere RSO’s.

De betrouwbaarheidseisen aan de handtekening van een RE-auditor, zoals hierboven te vinden zijn ook van toepassing op alle ENSIA-documenten. 

Een digitale handtekening met EUTL-certificaat wordt eenmalig geplaatst op de collegeverklaring en op de zelfevaluatie. Hiermee vervalt het paraferen van iedere bladzijde van de collegeverklaring en de zelfevaluatie. Raadpleeg voor meer informatie over de ENSIA-methodiek de ENSIA website.

Soms maakt een DigiD aansluithouder voor verschillende diensten gebruik van dezelfde DigiD aansluiting. Dit wordt niet geadviseerd, maar is wel mogelijk. In dat geval moet de bijlage C voor iedere dienst apart worden opgenomen in de rapportage. Per dienst moet er dan worden verwezen naar de desbetreffende TPM en per dienst moet er inzicht gegeven worden in de verdeling van normen bij de DigiD aansluithouderorganisatie en de Serviceorganisatie.