Hoe werkt het toezicht voor DigiD aansluithouders

Het Logius Aansluitteam bepaalt of een wijziging een nieuw aansluitnummer tot gevolg heeft. Een nieuw DigiD aansluitnummer wordt gezien als een nieuwe aansluiting. Dit geldt voor de rechtstreekse koppeling met DigiD en voor een koppeling met de ToegangVerleningService (TVS).

Volgens de Aansluitvoorwaarden DigiD en DigiD Machtigen is het voor een nieuwe aansluiting verplicht om binnen twee maanden na activatie een assessmentrapport in te leveren.

Migratieverzoek: de nieuwe aansluiting (5.6) wordt een bestaande aansluiting (5.5) met inleverplicht vóór 1 mei 

Soms verandert de DigiD-omgeving niet en is het nieuwe aansluitnummer alleen het gevolg van een wijziging van het koppelvlak. Het eerdere assessment op de oude aansluiting kan dan gebruikt worden. Dit heeft als voordeel dat de assessmentrapportage voor de nieuwe aansluiting niet binnen 2 maanden hoeft te worden ingeleverd. Als de dienstverlener een migratieverzoek indient, en er aan de voorwaarden wordt voldaan, dan verschuift het aanleveren van de assessmentrapportage naar de periode van 1 januari tot 1 mei. 

Wijzigingen waarvoor een migratieverzoek kan worden aangevraagd:

• Verandering van koppelvlak, bijvoorbeeld van CGI naar SAML
• Wijziging van een rechtstreekse aansluiting op DigiD naar een aansluiting op TVS
• Wijziging van of toevoeging van een Identity Broker (ook wel Identity Provider) 

Gevolgen bij toekenning van het migratieverzoek

Wordt het migratieverzoek door Logius toegekend dan wordt de nieuwe aansluiting gezien als een bestaande aansluiting. Dat heeft gevolgen:

• Niet binnen 2 maanden na activatie (art 5.6) maar tussen 1 januari en vóór 1 mei (art 5.5) levert de dienstverlener het assessmentrapport in.
• De aansluiting wordt niet gezien als een nieuwe aansluiting (art 5.6) maar als een bestaande aansluiting (art 5.5). Dit betekent dat het assessmentrapport de toets op werking moet bevatten. 
• De oude aansluiting (of de nieuwe indien de omzetting niet is geslaagd en een roll back is uitgevoerd) moet binnen 2 maanden na toekenning worden gedeactiveerd. Dit moet de dienstverlener zelf doen met het DigiD wijzigingsformulier. Zijn de 2 maanden verlopen dan zal Logius de oude aansluiting deactiveren.

Voorwaarden om het migratieverzoek in te dienen

Voor het indienen van het migratieverzoek om de nieuwe aansluiting (5.6) te behandelen als een bestaande aansluiting (5.5) moet aan de volgende eisen zijn voldaan:

1. Binnen twee maanden na activatie van het nieuwe aansluitnummer levert de dienstverlener het verzoek in om de nieuwe aansluiting te behandelen als een bestaande aansluiting. In dit verzoek moet zijn aangegeven wat het oude en wat het nieuwe aansluitnummer is. 
2. De dienstverlener verklaart in het verzoek binnen 2 maanden na toekenning de oude DigiD aansluiting (of de nieuwe indien de omzetting niet is geslaagd en een roll back is uitgevoerd) te deactiveren. Bij verzuim zal Logius de oude aansluiting deactiveren.
3. Op het oude aansluitnummer is een assessmentrapport ingediend, waarbij Logius heeft bevestigd dat de dienstverlener heeft voldaan aan artikel 5.5 of 5.6. Dat wil zeggen: het assessment is goed doorlopen, er zijn geen openstaande punten meer voor het afgelopen assessmentjaar.
4. De auditor van de dienstverlener stelt een verklaring op met: 
   1. welk nieuw aansluitnummer welk oud aansluitnummer vervangt. 
   2. dat door de migratie van koppelvlak of door toevoeging/wijziging van de Identity Broker, security technisch niets is gewijzigd binnen de scope van het assessment. 
5. De auditor van de dienstverlener of de auditor(s) van de serviceorganisatie(s) geeft eenzelfde soort verklaring af voor onderliggende serviceorganisaties.
6. Deze verklaring(en) van de auditor(s) en het migratieverzoek worden ingediend.

Extra voorwaarden bij toevoeging of wijziging van de Identity Broker:

1. Er is een door een RE-auditor afgegeven assessmentrapport (RSO) voor de Identity Broker. De oordelen in dit rapport voldoen. De oordeelsdatum in het rapport is niet ouder dan een jaar. 
2. Auditor van de dienstverlener neemt in de verklaring extra op dat het RSO van de Identity Broker van toepassing is op de nieuwe aansluiting met vermelding van het referentienummer, de rapportdatum en de auditor van het RSO.
3. De RSO wordt met de verklaring(en) en het migratieverzoek (uit stap 6) ingediend. 

Het indienen van het migratieverzoek gaat op dezelfde manier als het indienen van een assessmentrapportage (zie Indienen via het aanleverformulier, e-mail, of ENSIA).

Reactie op het migratieverzoek door Logius

De dienstverlener krijgt een schriftelijke reactie via de post met de beoordeling van het migratieverzoek. Als het migratieverzoek wordt toegewezen zal de nieuwe aansluiting worden gezien als een bestaande aansluiting (art 5.5). Wordt het verzoek afgewezen dan zal alsnog voor de nieuwe aansluiting een assessmentrapportage binnen 2 maanden na activatie moeten worden ingeleverd.