DigiD-assessment

Het assessment in het kort

Wie burgers met DigiD laat inloggen, laat daar elk jaar een ICT-beveiligingsassessment op uitvoeren. Logius houdt langs die weg toezicht op alle Nederlandse diensten waarin DigiD als inlogmiddel zit. Het gaat niet over DigiD zelf, maar over jouw omgeving erachter.

De aanleiding ligt in 2011. Op 11 oktober van dat jaar schreef de minister van Binnenlandse Zaken en Koninkrijksrelaties de Tweede Kamer over lekken in gemeentelijke websites. Elke organisatie die DigiD gebruikte moest haar beveiliging voor het einde van het eerste kwartaal van 2012 getoetst hebben, en vanaf 2012 zou die toets jaarlijks terugkeren.

De plicht is niet wettelijk maar contractueel. Artikel 5.5 van de Aansluitvoorwaarden DigiD en DigiD Machtigen, die gelden voor aansluitingen aangevraagd op of na 1 december 2022, vraagt de afnemer per aansluiting jaarlijks aan te tonen dat aan de geldende norm wordt voldaan. Zolang de uitvoeringsregelgeving bij de Wet digitale overheid niets anders bepaalt, sluit je als dienstverlener daarvoor een privaatrechtelijke overeenkomst met Logius.

BZK stelt het normenkader vast en wees Logius aan als toezichthouder. Onderzocht worden twee aspecten: vertrouwelijkheid en integriteit. Beschikbaarheid valt erbuiten, hoe belangrijk die ook is.

Voor wie het geldt

Voor elke Nederlandse organisatie met een DigiD-aansluiting, gemeenten en uitvoeringsorganisaties net zo goed als partijen die via de ToegangVerleningService (TVS) binnenkomen. Niet je sector bepaalt de plicht maar de aansluiting, en die is ook de eenheid waarop wordt geteld: zolang een aansluiting geactiveerd bij Logius staat loopt de plicht door, ook als er functioneel niets meer mee gebeurt. Pas na deactivatie vervalt hij.

Besteed je het beheer uit, dan verschuift werk maar geen verantwoordelijkheid. De serviceorganisatie komt binnen de scope en de auditor verdeelt de normen, waarbij er altijd een deel overblijft dat je zelf laat toetsen.

Voor collectieve aansluitingen bestaat het meervoudig assessment: één audit bij de serviceorganisatie, voor alle aansluithouders op die ene dienst. Dat kan alleen op een clusteraansluiting, en die worden nu alleen binnen het zorgdomein aangeboden, via TVS. De serviceorganisatie heeft er een accreditatie van Logius voor nodig en ook hier blijft de aansluithouder eindverantwoordelijk.

Normenkader 3.0: 21 richtlijnen

Normenkader 3.0 bundelt de 21 richtlijnen met de grootste impact op de veiligheid van DigiD, gekozen uit de webapplicatierichtlijnen van het NCSC. BZK stelde de norm vast in overleg met Logius, de Auditdienst Rijk en het NCSC. Ingangsdatum: 1 augustus 2022.

Inhoudelijk verschilt 3.0 op één punt van zijn voorganger: de twintig normen van 2.0 bleven staan en B.01 over informatiebeveiligingsbeleid kwam erbij. Zwaarder weegt de tweede wijziging. Voor vijf normen (U/TV.01, U/WA.02, C.07, C.08 en C.09) kwam er naast opzet en bestaan een toets op werking, vrijwillig in de inleverperiode van 2024 en verplicht vanaf die van 2025, dus over verslagjaar 2024.

De codering volgt de ICT-beveiligingsrichtlijnen voor webapplicaties die het NCSC publiceert. Dat stelsel kent drie domeinen: beleid met de prefix B, uitvoering met U en control of beheersing met C. Het uitvoeringsdomein is gesplitst in vier lagen: toegangsvoorzieningsmiddelen (U/TV), webapplicaties (U/WA), platformen en webservers (U/PW) en netwerken (U/NW).

Het kader is een ondergrens: Logius noemt het een minimale vereiste en adviseert de overige maatregelen uit die richtlijnen er ook bij te nemen.

Hoe de toets verloopt

Het assessment moet worden uitgevoerd door een Register EDP-auditor die is aangesloten bij NOREA; het register daarvan is openbaar. De opdracht loopt onder Richtlijn 3000D voor assurance-opdrachten, verplicht voor de auditor, en van richtlijn wisselen mag onderweg niet. De NOREA-handreiking van 29 augustus 2025 werkt de aanpak uit, maar blijft een leidraad voor auditors onderling: het oordeel is van de auditor.

De aanpak is rule based en niet risk based: elke norm staat op zichzelf, met per maatregel een oordeel dat luidt voldoet of voldoet niet. De scope is het burgerperspectief, dus de internet-facing pagina’s die iemand na het inloggen ziet, plus de systeemkoppelingen en de infrastructuur. Backofficesystemen blijven erbuiten.

De kalender ligt vast. Je levert jaarlijks tussen 1 januari en 1 mei in, over het voorgaande jaar. De toetsperiode loopt minstens door tot 31 december en de auditor oordeelt daarna, niet eerder dan 1 januari. Voor de inleverperiode van 2026 staat de controleperiode voor de werking op minimaal zes aaneengesloten maanden, met 31 december van het verantwoordingsjaar erin. Die groeit met de jaren naar een vol jaar.

Inleveren doe je met het aanleverformulier of per mail naar DigiDassessment@logius.nl. De stukken zijn PDF/A met een EUTL-handtekening; papier voldoet niet en wordt vernietigd. Ook met een negatief oordeel erin lever je in. De kosten zijn voor de afnemer.

Gemeenten: het assessment en ENSIA

Gemeenten leggen hun verantwoording af via ENSIA, voluit Eenduidige Normatiek Single Information Audit. DigiD is daar één stelsel in, naast onder meer BRP, Reisdocumenten, Suwinet, BAG, BGT en BRO. De cyclus telt vier fasen: eerst zelfevaluatie, dan opstellen, verantwoorden en versturen. De zelfevaluatie loopt van 1 juli tot en met 31 december, het opstellen daarna tot en met 30 april. Voor DigiD hoort daar een eigen domeinspecifieke vragenlijst bij.

Aan die route verandert iets. In het Strategisch overleg ENSIA is op 19 juni 2025 besloten de attest-methodiek uit te faseren, omdat die arbeidsintensief en foutgevoelig bleek. In de inleverperiode van 2026, over verslagjaar 2025, mag een gemeente nog kiezen tussen de ENSIA-methodiek en 3000D. Vanaf de inleverperiode van 2027, over verslagjaar 2026, is 3000D verplicht. Wie leest dat gemeenten "vanaf 2026" omgaan, ziet het verslagjaar; Logius en NOREA tellen in inleverperiodes.

Praktisch verschuift er dan een en ander. De auditor wordt weer penvoerder van de hele rapportage, de collegeverklaring raakt losgekoppeld van de assuranceverklaring en gemeenten gebruiken hetzelfde RDV-template als iedereen. Aan het opstellen van een RSO verandert niets, want daar gold 3000D al. Indienen kan via ENSIA of via het aanleverportaal.

Het normenkader naast de BIO en ISO 27001

De kaders komen uit verschillende hoeken. Het DigiD-normenkader stamt van het NCSC, terwijl de baseline voor de overheid op ISO 27001 (versie 2022) en ISO 27002 staat, met overheidsmaatregelen erbij.

Los van elkaar staan ze niet. Het NCSC gaat ervan uit dat je je processen en omgeving al hebt ingericht volgens een algemene beveiligingsopzet, en noemt ISO 27002 en de Baseline Informatiebeveiliging Overheid als voorbeeld. De webapplicatierichtlijnen komen daar bovenop, en voor aanvullende maatregelen verwijst het NCSC zelf terug naar ISO 27001 en ISO 27002.

Het verschil zit in de manier van toetsen. Onder BIO2 richt je de aantoonbaarheid risico-gedreven in, binnen de reikwijdte van je managementsysteem. Het assessment werkt andersom: eenentwintig normen, stuk voor stuk.

Waar het in de praktijk op vastloopt

Een openbare statistiek van bevindingen hebben we niet gevonden; wat er wel is, zijn de correcties, uitzonderingsregels en aandachtspunten die Logius en NOREA publiceren. Daaruit valt af te lezen waar het misgaat, en dat is zelden de techniek.

Het duidelijkste voorbeeld is B.01. Toen die norm erbij kwam moest Logius een uitzonderingsregel opstellen voor aansluithouders die hun beleid niet op tijd formeel vastgelegd kregen. Beleid bestaat namelijk pas na formele vaststelling en vastlegging op het juiste organisatorische niveau. Een concept dat iedereen volgt telt voor de auditor niet.

De tweede valkuil is de tijd. Voeg je halverwege het jaar een applicatie toe, dan kan de controleperiode te kort zijn om een oordeel te mogen geven, en dan beschouwt Logius de norm als "voldoet niet". Iets vergelijkbaars speelt bij non-occurrence, de situatie waarin de gebeurtenis zich niet voordeed. Die kan alleen bij B.05, U/TV.01, U/WA.02 en C.08, en niet bij een controleperiode korter dan zes maanden. Logius corrigeerde de handreiking hierop: bij non-occurrence op bestaan kan wel een heraudit worden geëist.

• Alle applicaties achter één aansluitnummer vallen binnen de scope; meerdere diensten achter één aansluiting raadt Logius af.
• De penetratietest hoort volgens NOREA minimaal jaarlijks plaats te vinden en verder na significante wijzigingen.
• Vulnerability assessments gebeuren intern, minimaal jaarlijks en vaker als je risicoafweging dat vraagt.
• Oordelen in een RSO mogen niet ouder zijn dan twaalf maanden ten opzichte van die in het RDV, en elk jaar is een nieuwe nodig.

Waar je begint

Je verplichting is drieledig: jaarlijks laten toetsen, tekortkomingen oplossen en een door een RE-auditor opgesteld rapport aanleveren. Dat kost de minste moeite als je het jaar eromheen plant.

• Inventariseer je aansluitingen en deactiveer wat je niet meer gebruikt; elke actieve aansluiting brengt een assessment mee.
• Spreek de 3000D-methodiek vooraf met je auditor af; tijdens de audit kan daar niet van worden afgeweken.
• Leg de controleperiode vast voordat de opdracht start; die mag per norm verschillen, mits vooraf overeengekomen.
• Verstrek je als serviceorganisatie een RSO aan meerdere dienstverleners, laat het concept dan tussen 1 september en 1 november vooraf controleren.
• Haal de actuele rapportagetemplates en de FAQ bij NOREA op; die FAQ prevaleert boven de handreiking.
• Meld een technische wijziging op tijd. Zonder nieuw aansluitnummer gaat die mee in het volgende assessment, maar een andere domeinnaam of een ander koppelvlak vraagt een nieuw nummer en dus een nieuw assessment.