Rapporten over de beveiliging van DigiD worden strenger beveiligd

Rapporten over de beveiliging van DigiD moeten vanaf 1 januari 2024 digitaal ingediend worden. Dit is één van de maatregelen die demissionair minister Franc Weerwind heeft genomen om vervalsing van dit soort rapporten te voorkomen. Ook is er een vierogenprincipe ingevoerd.

Eerder werd bekend dat een ambtenaar tussen 2018 en 2022  in totaal elf rapporten over twee diensten had vervalst. Bevindingen van de auditrapportages van de dienst Suwinet werden bijvoorbeeld afgezwakt of weggelaten en in de rapporten over DigiD werden oordelen dat een beveiligingsnorm niet voldoet aangepast naar ‘voldoet’.

Hoe dit precies heeft kunnen gebeuren, wordt nog onderzocht. In antwoord op Kamervragen schrijft de minister dat hij al wel maatregelen heeft genomen om herhaling te voorkomen. Zo is bij Justis het auditproces verbeterd en aangescherpt, bijvoorbeeld met een ‘vierogenprincipe’, wat betekent dat er altijd twee mensen naar rapporten kijken.

Digitale ondertekening

Ook zijn er maatregelen genomen rondom de rapporten over DigiD. Organisaties moeten bij het gebruik van DigiD jaarlijks aantonen dat zij aan 21 informatieveiligheidseisen voldoen. “Sinds 1 januari 2023 vindt digitale ondertekening plaats op de elektronisch ingediende assessments door de onafhankelijke auditor”, aldus de minister. “Zonder deze digitale ondertekening neemt Logius de assessments niet in behandeling. Elke vorm van bewerking in het digitale document, nadat er is getekend, zorgt ervoor dat de geldigheid van de digitale handtekening komt te vervallen.”

Volgens Weerwind werd in de afgelopen assessmentronde 98% van de assessments digitaal ingediend. Vanaf 1 januari 2024 wordt dat 100%: dan kunnen assessments alleen nog digitaal ingeleverd worden. “Hiermee wordt manipulatie van assessments, of rapporten daarover, zo goed als onmogelijk gemaakt.”

Mogelijk meer verbeteringen

De minister verwacht dat er uit het onderzoek naar hoe het incident zich heeft kunnen voordoen nog verdere aanbevelingen komen voor verbeteringen om soortgelijke situaties in de toekomst te voorkomen. Daarnaast loopt er nog een onderzoek naar de risico’s die ontstaan zijn naar aanleiding van de gemaakte wijziging in de DigiD-auditrapportages. Wanneer de onderzoeken naar verwachting afgerond zijn, is nog niet duidelijk.

Dit artikel verscheen eerder bij onze collega’s van AG Connect