DigiD-assessment als SaaS-leverancier: het RSO, de normverdeling en de pre-check bij Logius

Draait het burgerportaal van een gemeente, zorgverzekeraar of onderwijsinstelling op jouw platform, dan ben je in de termen van het DigiD-assessment een serviceorganisatie. De DigiD-aansluiting blijft op naam van je klant staan en die klant levert de rapportage in bij Logius, maar een deel van de 21 normen wordt niet bij hem getoetst maar bij jou. Dit artikel beschrijft hoe die verdeling tot stand komt, wat je klant van je nodig heeft, wanneer een ISAE 3402- of SOC 2-rapport volstaat, hoe oud je rapport mag zijn, hoe de pre-check van Logius werkt en wat er anders is bij een multi-tenant platform. Voor de assessmentplicht zelf, de termijnen en het toezicht van Logius, zie DigiD-assessment: voor wie verplicht en welke deadlines gelden.

Wie eindverantwoordelijk is en wat er bij jou wordt getoetst

Logius kent maar een aanspreekpunt: de DigiD-dienstverlener, de organisatie met het aansluitnummer. Die blijft eigenaar en eindverantwoordelijke, ook als portaal, hosting, beheer en koppeling volledig zijn uitbesteed. Logius herhaalde dat in april 2026 in de spelregels voor de mijn-omgeving: ongeacht de uitbesteding aan broker, SaaS of hosting blijft de dienstverlener eigenaar van de aansluiting. Een brief over een tekortkoming gaat dus naar het bestuur van je klant, niet naar jou. Dat is ook de reden dat je klant het gesprek over assurance al bij de aanbesteding begint.

Besteedt de dienstverlener een deel van de omgeving uit, dan valt de serviceorganisatie in de scope van het assessment. Een deel van de normen wordt dan bij de serviceorganisatie getoetst, een deel bij de dienstverlener en soms bij beide. De RE-auditor van de dienstverlener bepaalt die verdeling. Logius schrijft niet voor welke normen waar landen, maar stelt wel dat er altijd normen zijn die de dienstverlener zelf moet laten toetsen.

De scope volgt het perspectief van de burger die inlogt: de internet-facing pagina's waarmee de burger na het inloggen werkt, de systeemkoppelingen en infrastructuur die bij het identificatie- en authenticatieproces horen, en het beheer daarop. Buiten de scope vallen www.digid.nl zelf, de tokenuitwisseling tussen Logius en de webserver en de backofficesystemen die gegevens aan de webapplicatie leveren. Subsystemen en koppelvlakken vallen wel in de scope zodra hun primaire authenticatie op DigiD is gebaseerd. Bij een SaaS-platform betekent dat meestal dat de applicatie, de omgeving waarin die draait en de processen voor wijzigingen, patching, toegang en logging bij jou worden getoetst. Daar zitten de vijf normen bij die sinds 2025 ook op werking worden getoetst (U/TV.01, U/WA.02, C.07, C.08 en C.09), met een controleperiode van minimaal zes maanden.

Twee manieren om getoetst te worden: opname of uitsluiting

Er zijn twee routes, en ze komen overeen met de carve-out- en inclusive-methode uit ISAE 3402 en SOC 2. Bij de opnamemethode (inclusive) worden dienstverlener en serviceorganisatie als een geheel getoetst en landen de resultaten in het rapport van de dienstverlener, het RDV. Dat werkt als je een klant hebt. Bij tien klanten betekent het tien auditors die elk jaar dezelfde omgeving komen bekijken, met elk hun eigen bewijsverzoeken en planning.

Bij de uitsluitingsmethode (carve-out) laat je als serviceorganisatie zelf een RE-auditor jouw deel van de normen toetsen. Het resultaat is een rapport van de serviceorganisatie, het RSO, voorheen bekend als TPM (Third Party Mededeling). Dat ene rapport geef je aan al je klanten. Hun auditor beoordeelt het op toepasbaarheid, neemt de oordelen over in bijlage C van het RDV en toetst zelf alleen nog de normen die bij de dienstverlener zijn gebleven. Voor een SaaS-leverancier met meerdere DigiD-klanten is dit de enige werkbare route.

Een tussenvorm bestaat ook: meerdere serviceorganisaties zonder de dienstverlener, bijvoorbeeld jij en je hostingpartij, kunnen samen volgens de opnamemethode worden getoetst. Het resultaat is dan een RSO dat de hele keten onder jou dekt en dat je klanten weer volgens de uitsluitingsmethode gebruiken.

Wat er in een RSO staat en waar de auditor van je klant op let

Het RSO wordt opgesteld volgens het model van NOREA, dat op een paar punten afwijkt van het model voor de dienstverlener. Het belangrijkste verschil is het hoofdstuk verantwoordelijkheden gebruikersorganisatie: de normen of delen van normen die je klant zelf moet invullen, zoals het beheer van de accounts van zijn eigen medewerkers in jouw platform of het goedkeuren van wijzigingen die hij zelf aanvraagt. Wie de complementary user entity controls uit een SOC 2- of ISAE 3402-rapport kent, herkent het mechanisme. Schrijf dat hoofdstuk zorgvuldig, want de auditor van je klant leest het als de lijst van wat hij bij zijn eigen organisatie nog moet toetsen.

Verder gelden dezelfde vormeisen als voor het RDV: per norm een oordeel voldoet of voldoet niet, een uniek kenmerk, PDF/A en een gekwalificeerde elektronische handtekening die persoonsgebonden is aan de ondertekenende RE-auditor. De auditor van je klant controleert of het RSO klopt op het object van onderzoek (tussen de uitgifte van het RSO en het assessment bij de dienstverlener kan je platform zijn veranderd), of de handtekening geldig is en of het rapport niet te oud is. Verschillen de twee auditors van mening over de bruikbaarheid, dan kan dat aan NOREA worden voorgelegd.

Heb je zelf leveranciers in de keten, zoals een hostingpartij of een identity broker, dan zijn dat subserviceorganisaties. Hun RSO of internationale assuranceverklaring komt in jouw RSO terecht, met dezelfde eisen aan leeftijd en ondertekening. Een hostingpartij zonder eigen assurance is een gat in jouw rapport, en daarmee in het rapport van al je klanten.

Kan een ISAE 3402- of SOC 2-rapport het RSO vervangen?

Logius accepteert een [ISAE 3402](/kennisbank/wat-is-isae-3402)- of [SOC 2](/kennisbank/soc-2-uitleg)-verklaring als assurance voor een serviceorganisatie, met een voorbehoud: de RE-auditor van de dienstverlener bepaalt in hoeverre de verklaring bruikbaar is. De controls uit zo'n rapport zijn niet een op een te koppelen aan de 21 DigiD-normen. De auditor van je klant beoordeelt per norm of de controls uit jouw rapport die norm afdekken, legt vast dat hij die toetsing heeft gedaan en neemt de documentgegevens en de afgedekte normen op in bijlage C en D van het RDV.

Dat heeft drie gevolgen. Elke klant laat die mapping door zijn eigen auditor doen, dus het werk wordt zo vaak herhaald als je klanten hebt. Normen die je rapport niet of maar half afdekt, moeten alsnog bij jou of bij je klant worden getoetst. En een oordeel dat een ISAE 3402-control effectief heeft gewerkt, zegt niets over een DigiD-norm die in die control niet is beschreven. Heb je meer dan een of twee DigiD-klanten, dan is een RSO op de 21 normen de schonere route. Dat sluit een ISAE 3402- of SOC 2-traject niet uit: dezelfde auditor kan het veldwerk voor beide rapporten in dezelfde controleperiode combineren.

Een ISO 27001-certificaat of een verwerkersovereenkomst is geen van beide. Logius noemt alleen RSO's en internationale assuranceverklaringen zoals ISAE 3402 en SOC 2. Een certificaat zegt dat een managementsysteem aan de norm voldoet en geeft geen oordeel per DigiD-norm, dus de auditor van je klant kan er bijlage C niet mee vullen.

De twaalfmaandenregel en de jaarlijkse vernieuwing

De oordelen in een RSO mogen niet ouder zijn dan twaalf maanden ten opzichte van de oordelen in het rapport van de dienstverlener. Logius kijkt daarbij niet naar de rapportdatum. Voor een norm met een toets op bestaan telt het verschil tussen de oordeelsdatums; voor een norm met een toets op werking het verschil tussen de einddatums van de controleperiodes. Dezelfde regel geldt voor de rapporten van jouw subserviceorganisaties ten opzichte van het rapport van de dienstverlener.

Voor elk jaarlijks assessment is bovendien een nieuw RSO nodig. De enige uitzondering: een RSO dat vorig jaar het gevolg was van een herassessment mag nog een keer worden gebruikt. Twee opeenvolgende initiële rapporten mogen niet gelijk zijn, want de bedoeling is dat elke serviceorganisatie elk jaar opnieuw wordt getoetst.

Voor de planning helpt een regel die voor jou juist niet geldt. De dienstverlener mag zijn oordeelsdatum niet voor 31 december leggen, zodat december in zijn assessment zit. Voor serviceorganisaties geldt die eis niet. Logius geeft zelf het voorbeeld van een dienstverlener die oktober tot en met maart op werking laat toetsen, met een RSO waarvan de controleperiode juni tot en met november besloeg en de oordeelsdatum eind november lag. Wie zijn RSO in december uitgeeft, is klaar voordat de auditors van de klanten beginnen. Wie in maart nog bezig is, houdt de rapportages van al zijn klanten op. Houd er rekening mee dat Logius heeft aangekondigd dat de controleperiode voor werking op termijn naar een jaar groeit; wie nu al een heel jaar laat toetsen, hoeft straks niets aan te passen.

De pre-check bij Logius: 1 september tot 1 november

Sinds 2023 kan een concept-RSO vooraf door Logius worden gecontroleerd. De voorwaarden zijn precies. Het rapport moet aan meerdere dienstverleners worden verstrekt, dus een RSO voor een enkele klant komt niet in aanmerking. Het wordt in concept ingeleverd, mag nog niet aan klanten zijn uitgegeven, draagt een kenmerk dat eindigt op -check en bevat nog geen elektronische handtekening. De auditor stuurt het via het aanleverformulier van Logius, met zijn eigen naam en kantoor in het veld voor het aansluitnummer. Logius reageert per e-mail, naar verwachting binnen vijf tot tien werkdagen, en doet dat een keer per RSO. Heb je meerdere diensten of serviceorganisaties, dan lever je het volgende concept pas in nadat het commentaar op het vorige is verwerkt, zodat dezelfde fout niet twee keer wordt gemaakt.

Logius zegt er zelf bij dat een goed concept geen garantie is voor een goede definitieve versie, omdat een RSO maar een deel van de totale rapportage is en fouten soms pas uit de samenhang blijken. Toch is de pre-check de moeite waard. Een vormfout in een RSO komt anders pas boven in de inleverperiode, als de rapportage van je klant niet in behandeling wordt genomen en de hersteltermijn begint te lopen. Dan repareer je onder tijdsdruk voor alle klanten tegelijk. Plan de controleperiode dus zo dat het concept in september of oktober klaar is.

Multi-tenant: een platform, veel aansluitnummers

Elke klant heeft een eigen aansluitnummer en levert een eigen rapportage in; jouw RSO zit bij elk van die rapportages. Dat werkt alleen als het RSO de dienst beschrijft zoals al die klanten hem afnemen. Beschrijf daarom expliciet wat op platformniveau is geregeld en voor iedereen geldt, en wat per klant verschilt: configuratie, koppelingen met klantsystemen, klantspecifieke beheerdersaccounts. Maatwerk voor een klant dat niet in het RSO staat, valt buiten het rapport en moet die klant apart laten toetsen.

Bij een mijn-omgeving, meerdere diensten of applicaties achter een aansluitnummer, bijvoorbeeld via een identity broker, wordt dat nog preciezer. Logius vraagt sinds april 2026 per applicatie een beschrijving, een opsomming van de betrokken leveranciers en een normentabel. Een applicatie die tussentijds wordt toegevoegd, moet voor de werkingsnormen een controleperiode van minstens zes maanden hebben; anders beschouwt Logius de norm als niet voldaan. Voor een SaaS-leverancier die een nieuwe module uitrolt, betekent dat: de werking van wijzigingsbeheer, patching en monitoring op die module moet zijn opgebouwd voordat de klant hem in zijn assessment kan meenemen.

Het meervoudig assessment: alleen bij een clusteraansluiting

Er bestaat een variant waarbij de serviceorganisatie de verantwoording voor al haar aansluithouders in een keer doet: het meervoudig assessment. De leverancier, bij Logius de LMA, sluit daarvoor een overeenkomst met Logius, toont tijdens het assessment aan dat het aansluiten van een nieuwe klant een standaard en herhaalbaar proces is, richt technische controls in voor de normen die anders bij de aansluithouder worden getoetst, en neemt een verplichte bijlage op in het contract met elke aansluithouder. Alle aansluithouders nemen dezelfde dienst af; maatwerk is niet toegestaan. Nieuwe klanten kunnen na een positief assessment meeliften tot het volgende jaarlijkse assessment. De keerzijde: geeft de leverancier geen of geen positieve verklaring af, dan kan Logius de dienstverlening voor de hele dienst beëindigen, en Logius kan een toezichtbezoek brengen.

De beperking is groot. Het meervoudig assessment kan alleen bij een clusteraansluiting, en TVS is op dit moment de enige aanbieder daarvan, dus het staat alleen open voor aanbieders in het zorgdomein. Voor de meeste SaaS-leveranciers blijft het RSO per klant de route.

Waar het in de praktijk misgaat

Het RSO komt te laat. De auditor van de klant kan bijlage C niet invullen, de deadline van 1 mei nadert en de klant krijgt de brief. Reken terug vanaf december en gebruik de pre-check.

Het RSO beschrijft een andere omgeving dan de klant gebruikt. Een nieuwe versie, een tweede datacenter, een acceptatieomgeving met productiedata die buiten de scope is gehouden. De auditor van de klant toetst het object van onderzoek en constateert het verschil.

De werking is niet opgebouwd. De procedure voor wijzigingsbeheer bestaat, maar er is geen zes maanden aan goedgekeurde, geteste en gelogde wijzigingen om te tonen, of de monitoring draait zonder dat iemand alerts heeft opgevolgd. Hoe je dat aantoonbaar maakt, staat in logging en monitoring voor de audit. Een werkingsgat is niet voor de deadline te dichten.

De hostingpartij heeft niets. Jouw RSO leunt op een subserviceorganisatie zonder eigen RSO of assuranceverklaring, en dat gat werkt door naar elke klant.

Secure Audit voert DigiD-assessments uit als RE-auditor, voor dienstverleners en voor serviceorganisaties, inclusief het opstellen van RSO's en het combineren daarvan met een ISAE 3402-traject. Zie de dienstenpagina IT-audit.

Bronnen: Logius, IT-assessmentrapportage voor DigiD (uitbesteding aan een serviceorganisatie), Mededelingen ICT-beveiligingsassessment DigiD (pre-check op RSO's, 22 juli 2024; het DigiD-assessment en de mijn-omgeving, 14 april 2026) en Het meervoudig assessment: https://www.logius.nl/onze-dienstverlening/toegang/digid/ict-beveiligingsassessments-digid