Hoofdinhoud
Met een ‘mijn omgeving’ wordt bedoeld een verzameling van verschillende diensten achter één aansluitnummer. Een voorbeeld hiervan is het gebruik van een identity-broker die toegang geeft tot meerdere diensten.
Hieronder staan de onderwerpen om rekening mee te houden bij een ‘mijn omgeving’. Dit vloeit voort uit de regels voor het DigiD-assessment en zijn hier voor de duidelijkheid toegepast op specifiek de ‘mijn omgeving’.
- Meerdere applicaties achter één aansluiting is toegestaan. Bijvoorbeeld als een Dienstverlener een ‘mijn omgeving’ aanbiedt waarmee meerdere diensten via meerdere applicaties worden ontsloten.
- Ongeacht de uitbesteding aan leveranciers (Broker, Saas, Hosting etc.) blijft Dienstverlener de eigenaar en eindverantwoordelijke van de aansluiting.
- Alle applicaties achter de aansluiting vallen binnen de scope van het assessment en worden benoemd in de rapportage.
- De rapportage wordt opgesteld per aansluiting. Wel wordt om het overzichtelijk te houden per applicatie beschreven bij welke partij welke normen van toepassing zijn (per applicatie een beschrijving, opsomming van leveranciers en een normentabel).
- Logius acteert op de gehele aansluiting en daarmee indirect op alle applicaties eronder.
- Bij tekortkomingen die niet (binnen de gegeven oplostermijn) worden opgelost kan de aansluiting worden gedeactiveerd.
- Als een applicatie wordt verwijderd, verandert de scope van het onderzoek. Als de Dienstverlener vanwege tekortkomingen besluit een applicatie te verwijderen dan zal alsnog een nieuwe auditverklaring moeten worden overlegd. Hieruit moet expliciet blijken dat door verwijdering van één van de applicaties alle overige applicaties onder de aansluiting voldoen aan het normenkader.
- Alle applicaties die tussentijds toegevoegd worden, ongeacht het moment in het jaar, moeten voldoen aan de toets op werking voor de normen die dit betreft.
- De scope van het assessment wordt bepaald door het aantal applicaties op het moment van toetsen en gedurende de controleperiode. Let op: de normen die een toetst op werking vereisen, en daarmee een controleperiode hebben van minstens 6 maanden, zijn óók van toepassing op de toegevoegde applicatie. Dit kan betekenen dat bij het toevoegen van een applicatie de controleperiode niet lang genoeg is om een oordeel te mogen geven. In dat geval wordt de norm als “voldoet niet” beschouwd door Logius.
De NOREA Handreiking ICT-beveiligingsassessment versie 2025 – 1.0 van 29 aug 2025, die NOREA en Logius gezamenlijk hebben opgesteld, bevat een fout. In tegenstelling tot wat staat in paragraaf 2.4.1 kan bij een Non-Occurrence (NO) op bestaan door Logius wél een heraudit worden geëist.
Wanneer wordt een heraudit geëist?
Paragraaf 2.4.1 gaat over de Non-Occurrence op bestaan. Een norm met een NO op bestaan zal minimaal moeten voldoen aan opzet.
In tegenstelling tot de tekst in 2.4.1 wordt in de volgende situaties een heraudit bij een NO op bestaan geëist:
- altijd voor de normen B.05 en C.08 voor iedere aansluiting (dus zowel nieuwe als bestaande aansluitingen)
- soms voor de normen U/TV.01 en U/WA.02 voor nieuwe aansluitingen. Dit hangt af van het moment van aansluiten van de nieuwe aansluiting en de periode tot het eerstvolgende jaarlijkse assessment.
Als het herauditrapport voor een tweede keer een NO op bestaan aangeeft dan leidt dit niet tot nog een heraudit of een afsluiting. Voorwaarde hierbij is dat de heraudit aan het einde van de oplostermijn is uitgevoerd.
Sinds de invoering van Ensia in 2017 verantwoorden Gemeenten zich via de ‘Attest’ methodiek over hun DigiD-aansluitingen. Het College geeft hierbij met een collegeverklaring een verantwoording af, die de auditor bekrachtigt met een assuranceverklaring. In de praktijk is gebleken dat deze methodiek arbeidsintensief en foutgevoelig is. In het Strategisch overleg van 19 juni j.l. is het besluit genomen om deze ‘Attest’ methodiek uit te faseren en weer terug te gaan naar de reguliere verantwoordingsmethodiek, de ‘3000D’. Deze beproefde methode wordt ook door andere DigiD-dienstverleners (niet-gemeenten) gebruikt. Hierdoor zal de auditor weer penvoerder worden van de gehele rapportage en wordt de collegeverklaring losgekoppeld van de assuranceverklaring.
De invoering van deze transitie ziet er als volgt uit:
- Vanaf inleverperiode 1 januari -1 mei 2026 (over het voorgaande jaar 2025) hebben de Gemeenten de keuze om zich te verantwoorden via de ENSIA-methodiek óf via de 3000D-methodiek.
- Vanaf inleverperiode 1 januari -1 mei 2027 (over het voorgaande jaar 2026) moeten Gemeenten zich verantwoorden via de 3000D-methodiek.
Gevolgen voor de DigiD-verantwoording
Op drie gebieden heeft deze beslissing invloed op het DigiD-assessment:
- De afspraken met de auditor
- Het opstellen van de rapportage
- Het indienen van de rapportage
De afspraken met de auditor
De toetsmethodiek 3000D wordt vooraf afgesproken met de auditor. In het keuzejaar mag de ‘Attest’ methodiek nog worden afgesproken. Maar het is niet toegestaan om tijdens de uitvoering van de audit dit nog te wijzigen naar 3000D.
Het opstellen van rapportage
De auditor zal in het vervolg de auditrapportage opstellen. Het template dat hiervoor wordt gebruikt is hetzelfde als voor niet-gemeenten. We noemen dit het RDV (rapport van de dienstverlener). De documenten uit de ‘Attest’-methodiek (CollegeVerklaring, Bijlage 1 en de 3000A-verklaring) worden dan ook niet meer gebruikt voor de DigiD-verantwoording aan Logius.
Aan het proces waarop de rapportage van de serviceorganisatie (RSO, voorheen TPM) wordt opgesteld verandert niets. Hiervoor wordt al de 3000D-methodiek toegepast.
De gemeente is nog steeds verantwoordelijk voor het indienen van de totale rapportage, bestaande uit het RDV en één of meerdere RSO’s.
Het indienen van de rapportage
Voor de gemeenten zijn er 2 manieren om in te dienen. Dit staat beschreven op de webpagina ‘IT-auditrapportage voor DigiD: indienen en vervolgstappen’:
- Via ENSIA;
- Via het aanlever- en vragenformulier.
Hierbij maakt het niet uit welke rapportagevorm is gebruikt.
Gevolgen voor de interne gemeentelijke verantwoording.
Voor de DigiD-verantwoording aan Logius (die uitvoert namens BZK) is er geen koppeling meer met de collegeverklaring. Daardoor staat de interne gemeentelijke verantwoording los van de verantwoording aan Logius.
De interne verantwoording is aan de gemeente om in te richten. De uitkomst van de DigiD-audit en de brief die Logius stuurt kan hiervoor gebruikt worden. Een goede interne verantwoording gaat niet alleen over de eerste audit maar zal, net als bij de verantwoording aan Logius, ook gaan over de eventuele her-audits.
Logius accepteert alleen de zogenoemde EUTL-handtekening als elektronische handtekening voor alle documenten in de assessmentrapportage.
Een EUTL-handtekening is een gekwalificeerde elektronische handtekening met een certificaat dat herleidbaar is naar een uitgevende instantie die vermeld is op de EUTL. De handtekening zorgt voor een hoge betrouwbaarheid. Daarnaast is de controle van de handtekening eenvoudig en snel. Een EUTL-handtekening is persoonsgebonden aan de RE-auditor die een document in de assessmentrapportage ondertekent.
Figuur 1 hieronder laat in de bovenste regel zien hoe dit in de eigenschappen van de handtekening wordt weergegeven:
Figuur 1 Eigenschappen van handtekening
Deze persoonsgebonden koppeling met de naam van de RE-auditor is vereist. Ondertekening door een uitgevende partij is niet toegestaan, ook niet bij vermelding van de naam van de auditor op een andere plaats in de handtekening. Vermelding van het e-mailadres mag, maar is niet vereist.
In de volgende regels in Figuur 1 worden de European Union Trusted Lists (EUTL) genoemd. Het certificaat dat wordt gebruikt bij het zetten van een elektronische handtekening is te herleiden naar de uitgevende instantie. De uitgevende instantie staat op deze EUTL. Dit geeft een hoge betrouwbaarheid.
In Figuur 1 is de elektronische handtekening gekwalificeerd. De verwijzing naar de EU-richtlijn 910/2014 betekent dat de handtekening voldoet aan de eIDAS-verordening waarin het genereren en het accepteren van elektronische handtekeningen op Europees niveau is geregeld.
Bronnen met achtergrondinformatie
Meer informatie is te vinden op Elektronische handtekening - Europa decentraal.