DigiD en Suwinet: een andere manier van verantwoorden
Vanaf verantwoordingsjaar 2026 moeten gemeenten voor DigiD en Suwinet rapporteren volgens de 3000D-methodiek. Bij deze methodiek voert de IT-auditor een directe assurance-opdracht uit en rapporteert hij rechtstreeks over de onderzochte beveiligingsmaatregelen. De eerdere werkwijze, waarbij de auditor assurance gaf bij de collegeverklaring met bijlagen vervalt hiermee.
Wat betekent dit voor uw gemeente?
- Geen collegeverklaring met bijlagen DigiD en Suwinet: De auditor stelt de assurance-rapporten op. De aanpak en werkwijze van de audit verandert verder niet; Omdat er geen collegeverklaring is zult u intern een andere wijze moet bepalen om verantwoording af te leggen richting college en gemeenteraad.
- Suwinet: Lever het assurance-rapport en de aanbiedingsbrief van de gemeentesecretaris voor 1 mei 2027 aan bij BKWI. BKWI heeft een sterke voorkeur voor aanlevering via de ENSIA-tool, maar aanlevering per mail is mogelijk (ENSIA@bkwi.nl);
- DigiD: Lever het assurance-rapport en, waar van toepassing, de rapportages van serviceorganisaties aan via de ENSIA-tool of het aanleverformulier van Logius.
Suwinet: meer aandacht voor de uitvoering van controles
In 2025 konden gemeenten de werking van Suwinet-maatregelen nog vrijwillig laten toetsen. Vanaf 2026 is dit voor een aantal normen verplicht en wordt gekeken naar de werking over het hele kalenderjaar. Op onze wiki leest u wat toetsing op werking precies inhoudt. De Suwinet-handreiking 2026 bevat daarnaast een aantal aangescherpte controle-eisen die voor gemeenten belangrijk zijn.
- Bewustwording (7.2.2): Vanaf 2026 moet minimaal ieder kwartaal aandacht worden besteed aan bewustwording rondom Suwinet, in plaats van jaarlijks. Dit kan bijvoorbeeld tijdens een werkoverleg. Belangrijk is dat de activiteiten worden vastgelegd.
- Autorisatiebeheer (9.2.5): Toegangsrechten moeten vanaf 2026 ieder kwartaal worden gecontroleerd, in plaats van ieder halfjaar. Leg vast wie de controle heeft uitgevoerd, wat de resultaten waren en hoe eventuele afwijkingen zijn opgevolgd.
- Logging (12.4.1): De testaanpak van NOREA gaat uit van minimaal vier loggingcontroles per jaar. De resultaten moeten minimaal twee keer per jaar aan het management worden gerapporteerd. Eventuele afwijkingen moeten worden vastgelegd en opgevolgd.
Wat als controles niet zijn uitgevoerd?
Controles die in 2026 niet zijn uitgevoerd, kunnen niet alsnog worden uitgevoerd. Zorg dat de nieuwe frequenties worden opgenomen in uw procedures en werkinstructies en implementeer deze zo snel mogelijk in de praktijk. zijn opgenomen. Ontbreken er controles? Bespreek dit dan tijdens de (pre)audit met uw auditor.
DigiD: welke onderdelen vallen binnen het assessment?
De DigiD-handreiking 2026 geeft meer duidelijkheid over de reikwijdte van het assessment. NOREA heeft hiervoor een beslismodel toegevoegd waarmee wordt bepaald welke onderdelen van de digitale dienstverlening moeten worden onderzocht. Het kan zijn dat bijvoorbeeld het beheer van formulieren bij nader inzien toch in scope genomen moet worden.
Verder zijn de meeste aanpassingen voornamelijk technisch en worden dus afgedekt door de RSO van uw leverancier. Wel zijn een aantal aanvullende aandachtspunten benoemd.
Wat betekent dit voor uw gemeente?
- B.01: aanvullende aandachtspunten op het gebied van cloudbeleid en cloudsercurity. Controleer uw informatiebeveiligingsbeleid of onderwerp specifiek beleid of deze punten worden gedekt.
- C.08: Mogelijk valt het beheer van formulieren in scope van de audit. Bespreek dit met uw auditor tijdens de (pre)audit.
📞 Heeft u vragen over de nieuwe eisen of wilt u weten wat deze voor uw gemeente betekenen? Neem gerust contact op. Onze IT-auditors helpen u graag verder.
