Handleiding aansluiten op CombiConnect

Rol- en taakverdeling in stap 1

• Projectleider: De projectleider kan stap 1 uitvoeren. De projectleider bepaalt zelf of hij daarbij hulp nodig heeft.

Stel een plan van aanpak op

Voordat u begint is het goed om te zorgen voor voldoende draagvlak binnen uw organisatie en dat de financiering is geregeld.

Maak een plan van aanpak om de aansluiting op CombiConnect goed te laten verlopen. Met dit plan maakt u duidelijk:

• wat het doel en de kaders zijn van de aansluiting op CombiConnect
• wie de betrokken partijen zijn
• welke acties nodig zijn en door wie (vergeet hierbij de communicatie binnen uw eigen organisatie niet)
• wat de planning is, u kunt rekenen op een reactietijd van maximaal 5 werkdagen bij handelingen die Logius moet doen
• welke partij de aansluiting verzorgt, doet u dit zelf of vraagt u een leverancier om het voor u te regelen?
• wat de kosten zijn
• wie verantwoordelijk is voor het in beheer nemen

Bepaal welk betrouwbaarheidsniveau u nodig heeft 

DigiD heeft vier betrouwbaarheidsniveaus: DigiD Basis, DigiD Midden, DigiD substantieel en DigiD Hoog. Dit noemen we ook wel zekerheidsniveaus. Welke betrouwbaarheid nodig is hangt bijvoorbeeld af van de gevoeligheid van informatie die u wilt delen. Met de Handreiking betrouwbaarheidsniveaus kunt u bepalen wat een passend betrouwbaarheidsniveau is voor uw online diensten.

Vraag PKIoverheid-certificaten aan

Voor de aansluiting op CombiConnect moet u een PKIoverheid-certificaat aanvragen bij een commerciële leverancier. Hiervoor heeft u een Organisatie-identificatienummer (OIN) nodig. 

Met behulp van certificaten is de informatie die personen en organisaties over het internet sturen, beveiligd op een hoog niveau van betrouwbaarheid. Lees ook meer over de uitfasering van PKIo-webcertificaten.

U heeft een apart PKIoverheid-certificaat nodig voor de preproductieomgeving en de productieomgeving. Voor CombiConnect mag u één certificaat gebruiken voor zowel de SAML Signing als het 2-zijdig TLS backchannel verkeer met CombiConnect. Het is echter ook mogelijk om hiervoor twee aparte certificaten te gebruiken. Bepaal of u nieuwe certificaten bij een certificaatverstrekker moet aanvragen of controleer of u bestaande certificaten kunt hergebruiken.

Begin op tijd

PKIoverheid-certificaten kunt u het beste zo vroeg mogelijk aanvragen. Het kan namelijk een aantal weken duren voor uw registratie als nieuwe abonnee rond is. De uitgifte van de certificaten verloopt sneller als uw organisatie al abonnee is van een PKIoverheid-certificaatverstrekker.

Bespreek het ICT-beveiligingsassessment DigiD

U moet na uw aansluiting voldoen aan strenge veiligheidseisen. Hiervoor moet uw onlinedienst ieder jaar worden getoetst met een ICT- beveiligingsassessment. Het betreft een assessment van de dienst die u aanbiedt achter DigiD (bijvoorbeeld een online paspoortaanvraag), en niet van de CombiConnect-aansluiting zelf. U moet voor uw dienst binnen 2 maanden na aansluiting op de productieomgeving van DigiD een assessmentrapport aanleveren bij Logius. Houd er bij het maken van het projectplan rekening mee dat er aan de beveiligingsnormen wordt voldaan. Dit scheelt kosten voor het herstellen van eventuele bevindingen uit het assessment.

Zorg dat de tekenbevoegden op het juiste moment beschikbaar zijn

Zonder hen kan uw aansluiting niet worden geregeld.

Check of uw KVK-inschrijving actueel is

Zorg dat de juiste tekenbevoegde personen geregistreerd zijn. Dit is van belang voor de ondertekening van de aanvragen van de aansluiting en de certificaten.

Regel een bewerkersovereenkomst (indien van toepassing)

Maakt u gebruik van de diensten van een externe leverancier? Let er dan ook op dat u een bewerkersovereenkomst afsluit met deze leverancier, in verband met privacywetgeving.

Resultaat stap 1

Aan het einde van deze voorbereiding heeft u:

• het aansluitproces DigiD CombiConnect gepland
• een plan van aanpak opgesteld
• de betrokken partijen binnen en buiten uw organisatie geïnformeerd
• een plan opgesteld voor het in beheer nemen van uw online dienst, inclusief gebruikersondersteuning
• certificaten op tijd aangevraagd, vóór de aansluiting op de preproductieomgeving

Rol- en taakverdeling in stap 2

• Tekenbevoegde: Ondertekent het aansluitformulier
• Projectleider: Begeleidt het aansluitproces op de preproductieomgeving. Hierbij houdt hij de planning goed in de gaten.
• Technisch specialist: Zorgt voor het (technisch) aansluiten op de preproductieomgeving van CombiConnect

In stap 2 gaat u aansluiten op de preproductieomgeving. Deze gebruikt u om de koppeling met CombiConnect te kunnen ontwikkelen en testen. Deze preproductieomgeving is functioneel gelijk aan de productieomgeving. De inhoud van deze omgeving is uiteraard fictief.

In de stappen hieronder zitten taken voor verschillende rollen. De projectleider zorgt ervoor dat de juiste rol op het juiste moment betrokken is.

Bereid het invullen van het aansluitformulier voor

Voordat u toegang krijgt tot de preproductieomgeving moet u het aansluitformulier invullen. U geeft in dit formulier aan dat u wilt aansluiten op de preproductieomgeving. U moet hiervoor een aantal zaken uploaden:

• het publieke deel van het PKIoverheid-certificaat voor 2-zijdig TLS
• de metadata in een XML-bestand
• CSV-bestanden met informatie over uw organisatie en de aan te bieden dienst.

Maak CSV-bestanden aan

U moet de gegevens van uw organisatie en de dienst aanleveren in een tweetal CSV-bestanden:

• Een CSV-bestand voor de gegevens van de organisatie en
• Een CSV-bestand met gegevens van de dienst.

Let op: bewaar de CSV-bestanden goed

U moet de CSV-bestanden zelf bewaren. Als u later iets wilt wijzigen, dan past u hiervoor de laatst ingelezen versie van het CSV-bestand aan. Logius bewaart het niet, u kunt bij ons geen CSV-bestanden opvragen.

Bereid het publieke deel van PKIoverheid-certificaat voor 2-zijdig TLS en de SAML metadata voor

Om de aansluiting op de preproductieomgeving te realiseren hebben wij het publieke deel van het PKIoverheid-certificaat voor 2-zijdig TLS nodig en de metadata in een XML-bestand.

Naast het bestand met metadata moet er ook een URL aangeleverd worden waar de metadata, in de toekomst na de eerste opzet van de aansluiting, uitgelezen kan worden. U hoeft deze URL niet direct bij de aanvraag aan te leveren. U kunt de URL ook later aanleveren.

Stuur het aansluitformulier in voor de preproductieomgeving

Als u alle informatie verzameld heeft, dan kunt u het aansluitformulier invullen met daarin de gevraagde bestanden, en deze vesturen naar Logius.

Ondertekenen

Nadat u het formulier op de website volledig heeft ingevuld en verstuurd, krijgt u per e-mail een pdf-bestand met het aanvraagformulier toegezonden.

• Print dit bestand
• De tekenbevoegde ondertekent de print
• Scan de print
• Stuur het gescande formulier via het contactformulier naar Logius

Geef in het contactformulier aan dat u hulp bij het aansluiten op een dienst wenst, en dat het DigiD betreft. Vermeld verder dat u het aanvraagformulier voor de DigiD preproductieomgeving als bijlage meestuurt. Met het uploaden van het aanvraagformulier gaat u ook akkoord met de aansluitvoorwaarden.

Logius controleert uw aanvraag en stuurt, indien nodig, testaccounts

Logius controleert vervolgens uw aanvraag op basis van volledigheid en juistheid. Als de aanvraag is goedgekeurd ontvangt u van Logius een bevestigingsmail. Als u nog geen testaccounts heeft dan ontvangt u gegevens om vijf testaccounts te maken. In deze mail staan alle CombiConnect endpoints. U kunt vanaf dan gebruik maken van de preproductieomgeving. Als Logius uw aanvraag niet goed kan keuren, dan nemen we hierover contact met u op.

Aansluiting realiseren

Voor het realiseren van de aansluiting, kunt u de koppelvlakspecificatie DigiD CombiConnect op GitLab gebruiken. Uw aansluiting moet voldoen aan de criteria van de Checklist aansluiten op CombiConnect en aan de normen van het ICT-beveiligingsassessment. Neem dit mee in de vereisten voor de implementatie van uw aansluiting.

Aandachtspunten

• Omgevingen: Logius stelt een preproductieomgeving beschikbaar om de koppeling met CombiConnect te kunnen ontwikkelen en testen. Deze preproductieomgeving is functioneel gelijk aan de productieomgeving. De inhoud van deze omgeving is uiteraard fictief.
• PKIoverheid-certificaat voor het CombiConnect koppelvlak: In het online-aanvraagformulier van DigiD CombiConnect voor aansluiten op het CombiConnect koppelvlak moet u het publieke deel van het PKIoverheid-certificaat voor 2-zijdig TLS uploaden. Zorg ervoor dat u al zo’n PKIoverheid-certificaat bezit, voordat u een aanvraagformulier preproductieomgeving gaat invullen.
• Criteria waaraan uw aansluiting moet voldoen: Uw aansluiting moet voldoen aan de criteria van de Checklist aansluiten op CombiConnect en aan de normen van het ICT-beveiligingsasssessment. Neem dit mee in de vereisten voor de implementatie van uw aansluiting.
• Het aanvraagformulier moet door de tekenbevoegde van de dienstverlener ondertekend worden. 

Resultaat stap 2

Na afloop van stap 2 heeft u de volgende zaken geregeld:

• een PKIoverheid-certificaat voor Preproductieomgeving 
• aansluiting op de preproductieomgeving

In deze stap test u de koppeling tussen de preproductieomgeving van uw systeem en de preproductieomgeving van CombiConnect.

Rol- en taakverdeling in stap 3

• Technisch specialist: Test de preproductieomgeving
• Projectleider: Houdt de planning in de gaten. Biedt de aansluiting aan bij Logius.

Test zelf uw aansluiting op de preproductieomgeving

Uw aansluiting moet voldoen aan de eisen van de Checklist aansluiten op DigiD en DigiD Machtigen. Gebruik deze checklist om zelf te controleren of uw aansluiting voldoet en verhelp eventuele bevindingen.

De preproductieomgeving biedt de mogelijkheid om het gebruik van de verschillende betrouwbaarheidsniveaus te testen. Met behulp van de handleiding testen DigiD betrouwbaarheidsniveaus kunt u controleren of uw aansluiting goed werkt met de verschillende betrouwbaarheidsniveaus.

Daarnaast raden we aan om in dit stadium al na te gaan of de dienst ook voldoet aan de normen voor het ICT- beveiligingsassessment. Dit laatste controleren wij niet, maar hoe eerder bevindingen naar voren komen, hoe makkelijker ze te herstellen zijn.

Biedt aansluiting aan bij Logius (om te testen)

Is uw aansluiting klaar om te worden getest? Meld dat dan met het formulier Aanvragen test DigiD-aansluiting. Vul daarbij de volgende gegevens in:

• de URL van de preproductieomgeving. Deze omgeving moet door Logius benaderbaar te zijn.
• de producten/diensten die getest moeten worden
• de gegevens van één van uw testaccounts
• contactgegevens technisch contactpersoon

Acceptatie door Logius

Logius stuurt u binnen vijf werkdagen per e-mail een testrapport met de uitslag. Als hierin nog punten staan die niet voldoen aan de criteria van de Checklist aansluiten op DigiD en DigiD Machtigen, dan moet u deze punten uiteraard aanpassen. Daarna kunt u de test opnieuw aanbieden bij Logius, dat doet u op dezelfde manier als de eerste keer.

Als Logius de aansluiting op de preproductie accepteert, krijgt u toestemming om een aanvraag in te dienen om aan te sluiten op de productieomgeving.

Aandachtspunten

• Criteria CombiConnect Checklist Testen: Zorg ervoor dat u zelf goed heeft getest of uw aansluiting aan de criteria van de Checklist aansluiten op DigiD en DigiD Machtigen voldoet. Als de openstaande punten de veiligheid van DigiD in gevaar brengen, kunnen wij uw aansluiting afsluiten.
• Omgevingen: Logius verwacht dat u tijdens het testen, in uw eigen systeem gebruik maakt van een preproductieomgeving die functioneel gelijk is aan de toekomstige productieomgeving van de aansluiting.

Resultaten stap 3

Na afloop van stap 3 heeft u de volgende zaken geregeld:

• Een preproductieomgeving die voldoet aan de eisen van de Checklist aansluiten op DigiD en DigiD Machtigen. 
• Positief testrapport vanuit Logius voor de aansluiting op CombiConnect.

Voldoet uw webapplicatie op de preproductieomgeving aan de eisen uit de Checklist aansluiten op DigiD en DigiD Machtigen en heeft u een goedgekeurd testrapport en de voorwaarden productieomgeving CombiConnect ontvangen van Logius? Dan kunt u een aanvraag doen voor de productieomgeving. Hiervoor gebruikt u hetzelfde aansluitformulier. Wat u moet doen lijkt erg op stap 2, maar de bestanden en certificaten zijn anders dan voor de preproductieomgeving

Rol- en taakverdeling in stap 4

• Tekenbevoegde: Ondertekent opnieuw het Aansluitformulier CombiConnect. Ondertekent de aanvraag van het PKIoverheid-certificaat voor het aansluiten op CombiConnect  (als u dit certificaat niet al eerder heeft aangevraagd).
• Projectleider. Begeleidt het aansluitproces op de productieomgeving. Hierbij houdt hij de planning goed in de gaten.
• Technisch specialist: Zorgt voor de (technische) aansluiting op de productieomgeving.

Maak CSV-bestanden aan voor productie

U moet de gegevens van uw organisatie en de dienst aanleveren in een tweetal CSV-bestanden, deze zijn niet hetzelfde als voor de preproductie:

• Een CSV-bestand voor de gegevens van de organisatie en
• Een CSV-bestand met gegevens van de dienst.

Let op: bewaar de CSV-bestanden goed

U moet de CSV-bestanden zelf bewaren. Als u later iets wilt wijzigen, dan past u hiervoor de laatst ingelezen versie van het CSV-bestand aan. Logius bewaart het niet, u kunt bij ons geen CSV-bestanden opvragen.

Regel het publieke deel van PKIoverheid-certificaat en de SAML metadata voor productie

Heeft u dit certificaat nog niet aangevraagd? Doe dat dan nu. Om de productie aansluiting op het CombiConnect koppelvlak te realiseren hebben wij het publieke deel van het PKIoverheid-certificaat voor 2-zijdig TLS nodig en de metadata in een XML-bestand. Dit certificaat mag niet het zelfde certificaat zijn dat u bij de preproductieomgeving hebt gebruikt.

Naast het bestand met metadata moet er ook een URL aangeleverd worden waar de metadata, in de toekomst na de eerste opzet van de aansluiting, uitgelezen kan worden. U hoeft deze URL niet direct bij de aanvraag aan te leveren. U kunt de URL ook later aanleveren.

Stuur het aansluitformulier in voor de productieomgeving

Vul het aansluitformulier voor CombiConnect nogmaals in. U geeft in dit formulier aan dat u wilt aansluiten op de productieomgeving. U moet hiervoor een aantal zaken uploaden:

• het publieke deel van het PKIoverheid-certificaat voor 2-zijdig TLS
• de metadata in een XML-bestand
• CSV-bestanden met informatie over uw organisatie en de aan te bieden dienst.

Ondertekenen

Nadat u het formulier volledig heeft ingevuld en verstuurd, krijgt u per e-mail een pdf-bestand met het aanvraagformulier toegezonden. 

• Print dit bestand
• De tekenbevoegde ondertekent de print
• Scan de print
• Stuur het gescande formulier via het contactformulier naar Logius

Geef in het contactformulier aan dat u hulp bij het aansluiten op een dienst wenst, en dat het DigiD betreft.

Vermeld verder dat u het aanvraagformulier voor de DigiD productieomgeving als bijlage meestuurt.

Met het uploaden van het aanvraagformulier gaat u ook akkoord met de aansluitvoorwaarden.

Logius controleert uw aanvraag en configureert uw aansluiting

Logius controleert de aanvraag op basis van volledigheid en juistheid. Als de aanvraag is goedgekeurd wordt het formulier verwerkt en de aansluiting geconfigureerd. Daarna ontvangt u van Logius een bevestigingsmail. U kunt vervolgens de aansluiting op de productieomgeving technisch gaan realiseren.

Aansluiting realiseren

Voor het realiseren van de aansluiting, kunt u de koppelvlakspecificatie DigiD CombiConnect op GitLab gebruiken. Uw aansluiting moet voldoen aan de criteria van de Checklist aansluiten op CombiConnect en aan de normen van het ICT-beveiligingsassessment. Neem dit mee in de vereisten voor de implementatie van uw aansluiting.

Aandachtspunten

• PKIoverheid-certificaat. In het online-aanvraagformulier moet u het publieke deel van het PKIoverheid-certificaat uploaden. U moet dit certificaat dus al hebben voordat u een aanvraag kunt doen. Dit certificaat mag niet het zelfde certificaat zijn dat u bij de preproductieomgeving hebt gebruikt.
• Het aanvraagformulier moet door de tekenbevoegde van de dienstverlener ondertekend worden.

Resultaat stap 4

Na afloop van stap 4 heeft u de volgende zaken geregeld: 

• Aansluiting op de productieomgeving.

Rol- en taakverdeling in stap 5

• Technisch specialist: test de productieomgeving
• Projectleider: houdt de planning in de gaten

Test de productieomgeving

Test uw aansluiting volgens de eisen van de Checklist aansluiten op DigiD en DigiD Machtigen. Deze checklist wordt door Logius gebruikt voor het testen van uw aansluiting. Als u voldoet aan alle eisen van deze checklist kan Logius uw aansluiting accepteren.

Aansluiting aanbieden aan Logius

Is uw aansluiting klaar voor de testfase door Logius? Dan kunt u dat via het contactformulier aan Logius melden. Geef in dat formulier aan dat u hulp bij het aansluiten op een dienst wenst en geef aan dat het DigiD betreft. Vermeld dat uw aansluiting op de productieomgeving gereed is om te worden getest en verstrek daarbij de volgende gegevens:

• de productie URL
• de producten en diensten die moeten worden getest.

Acceptatie door Logius, aansluiting gereed

Logius stuurt u binnen vijf werkdagen per e-mail een testrapport met de uitslag. Voldoet uw organisatie niet aan de gestelde criteria voor CombiConnect? Dan moet u de verbeteringen doorvoeren en kunt u de test opnieuw aanbieden. Als deze openstaande punten de veiligheid van DigiD in gevaar brengen, dan kunnen wij uw aansluiting met CombiConnect afsluiten.

Als Logius de aansluiting op de productie accepteert is het aansluitproces afgerond en kunt u gebruik maken van uw CombiConnect aansluiting. Als Logius uw aanvraag niet goed kan keuren, dan nemen we hierover contact met u op.

Aandachtspunten

• Criteria Checklist aansluiten op DigiD en DigiD Machtigen. Zorg ervoor dat u goed heeft getest of uw aansluiting aan de criteria van de Checklist aansluiten op DigiD en DigiD Machtigen voldoet. Als de openstaande punten de veiligheid van DigiD in gevaar brengen, kunnen wij uw aansluiting afsluiten.

Resultaat

Na afloop van deze laatste stap heeft u de volgende zaken geregeld:

• een productieomgeving die voldoet aan de eisen van de Checklist aansluiten op DigiD en DigiD Machtigen
• een positief testrapport van Logius
• een vermelding op https://www.digid.nl/over-digid/wie-doen-mee/

In de eerste stap heeft u bepaald wie verantwoordelijk is voor de inbeheername van de dienst (als de dienst nieuw is) en de daarbij behorende DigiD CombiConnect-aansluiting.

Rol- en taakverdeling in stap 6

Projectleider: Verzorgt de overdracht naar de beheerorganisatie

Overdracht naar de beheerorganisatie

Zorg voor een goed afgestemd plan voor inbeheername. Dit geldt vooral als de achterliggende dienst achter de CombiConnect aansluiting nieuw is. Denk hierbij ook aan:

• De gebruikersondersteuning van de dienst. Deze handleiding vertelt alleen wat u nodig heeft om te kunnen aansluiten op DigiD CombiConnect. Zodra de aansluiting met DigiD CombiConnect in productie is, moet uw organisatie zelf de aansluiting van DigiD CombiConnect én uw achterliggende online dienst kunnen beheren. Voor algemene vragen over DigiD kunnen burgers terecht bij de helpdesk van DigiD. Wij raden u aan voor vragen van eindgebruikers binnen uw organisatie gebruikersondersteuning in te richten met kennis van uw eigen processen en techniek.
• De verantwoordelijkheid voor het functioneel beheer, inclusief het informeren van Logius bij belangrijke wijzigingen aan de dienst.
• Het begeleiden van het jaarlijkse ICT-beveiligingsassessment.
• Het beheer van de PKIoverheid-certificaten.

Aandachtspunten

• Binnen twee maanden na livegang moet u voldoen aan het ICT-beveiligingsassessment.
• Lees wat u van ons kunt verwachten en wat uw plichten zijn onder het kopje 'Wie doet wat' op onze website.
• Logius kan de checklist testen, de ICT-beveiligingsassessments en andere eisen verscherpen, om de veiligheid van DigiD te kunnen blijven waarborgen.

Resultaat

• De dienst en de bijbehorende CombiConnect aansluiting is formeel overgedragen aan de beheerorganisatie

Binnen 2 maanden nadat u bent aangesloten op DigiD moet u voldoen aan de strenge beveiligingsnormen van het NCSC. Doe daarom nu een DigiD Beveiligingsassessment, of vraag uw ICT-leverancier nu het assessment uit te voeren. 

Let op: het betreft hier een assessment van de dienst die u aanbiedt achter DigiD (bijvoorbeeld een online paspoortaanvraag), en niet van de DigiD CombiConnect aansluiting zelf.

Rol- en taakverdeling in stap 7

Projectleider: Laat het DigiD Beveiligingsassessment uitvoeren en levert een assessment rapport aan bij Logius.

DigiD Beveiligingsassessment laten uitvoeren

U kunt de DigiD Beveiligingsassessment laten uitvoeren door uw IT-leverancier of een andere, daartoe bevoegde, instantie. 

Aanleveren van het assessment rapport bij Logius

U kunt het assessment rapport aanleveren via het contactformulier van Logius. Markeer dat u hulp bij het aansluiten op een dienst wenst en geef aan dat het DigiD betreft. Upload het rapport en vermeld dat u het assessment rapport als bijlage meestuurt.

Aandachtspunten

• Iedere online dienst die is aangesloten op DigiD, moet jaarlijks worden getoetst via een ICT- beveiligingsassessment. Houd er dus rekening mee dat u hier elk jaar actie voor moet ondernemen. Let op: het betreft hier een assessment van de dienst die u aanbiedt achter DigiD (bijvoorbeeld een online paspoortaanvraag), en niet van de DigiD CombiConnect aansluiting zelf.

Resultaat

• Het DigiD Beveiligingsassessment is uitgevoerd en er is een assessmentrapport aangeleverd bij Logius.