31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
DigiD pentest: wat het jaarlijkse ICT-beveiligingsassessment van Logius van uw penetratietest vereist
Elke organisatie met een DigiD-aansluiting moet jaarlijks een ICT-beveiligingsassessment doorstaan tegen de norm van Logius, en een penetratietest is een vast onderdeel van dat bewijs. Deze gids legt uit hoe de norm is opgebouwd, wat de IT-auditor van de pentester verwacht, hoe scope en planning werken en wat een DigiD-waardig rapport bevat.
Wat het DigiD-assessment is en wie het moet ondergaan
DigiD is de landelijke authenticatievoorziening voor burgers, beheerd door Logius, een agentschap van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). Elke organisatie die burgers met DigiD laat inloggen, heeft een DigiD-aansluiting met een eigen aansluitnummer. Die groep is breed: gemeenten, provincies en waterschappen, uitvoeringsorganisaties zoals UWV, SVB en DUO, de Belastingdienst, pensioenfondsen, zorgverzekeraars, ziekenhuizen en andere zorgaanbieders met een patiëntportaal, en de software- en hostingleveranciers die deze portalen namens hun klanten beheren.
Sinds 2012, na een reeks incidenten bij gemeentelijke websites en de DigiNotar-inbraak, verlangt Logius dat elke DigiD-aansluiting jaarlijks een ICT-beveiligingsassessment doorstaat. De verplichting volgt uit de aansluitvoorwaarden van DigiD en, sinds de Wet digitale overheid, uit het wettelijk kader voor de publieke digitale identiteit. Het assessment wordt uitgevoerd tegen de Norm ICT-beveiligingsassessments DigiD, op dit moment in de derde hoofdversie (v3.0), die is afgeleid van de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC.
Het resultaat is een assurancerapport van een Register EDP-auditor (RE) die is ingeschreven bij NOREA, de beroepsorganisatie van IT-auditors. Het rapport geeft per norm aan of de organisatie voldoet. Het wordt elk jaar bij Logius ingediend. Een organisatie die op normen niet voldoet, dient een verbeterplan in, en Logius kan een aansluiting die blijft tekortschieten uiteindelijk opschorten of beëindigen. De penetratietest is het technische bewijs waarop meerdere normen rusten; de kwaliteit van de test bepaalt daarmee de kwaliteit van het assessment.
Hoe de norm is opgebouwd: beleid, uitvoering en beheersing
De DigiD-norm selecteert een deel van de NCSC-richtlijnen voor webapplicaties en groepeert die in drie lagen. Wie de lagen kent, weet waar de penetratietest in het geheel past.
B-normen: beleid
De beleidslaag toetst of beveiligingseisen voor de DigiD-applicatie zijn vastgelegd en worden afgedwongen: een beveiligingsbeleid dat de applicatie dekt, beveiligingseisen die in ontwikkeling en wijzigingsbeheer zijn ingebed, en een gedocumenteerde verdeling van verantwoordelijkheden tussen de organisatie, haar leveranciers en Logius. Deze normen worden beoordeeld op documenten en interviews. De penetratietest bewijst ze niet, maar een testrapport dat verwijst naar het beleid en naar de geteste release ondersteunt ze wel.
U-normen: uitvoering
De uitvoeringslaag is het technische hart van de norm en is opgedeeld in deelgebieden: de webapplicatie zelf (invoer- en uitvoervalidatie, sessiebeheer, afhandeling van authenticatie, foutafhandeling), het platform en de webserver (hardening, patching, TLS-configuratie, scheiding van omgevingen), het netwerk (segmentering, filtering, bescherming van beheerverkeer) en de toegangsvoorziening (hoe beheerders de systemen bereiken, meervoudige authenticatie op beheerinterfaces). De meeste van deze normen zijn niet vanaf papier te beoordelen. De IT-auditor steunt op de penetratietest en op configuratiebewijs om te concluderen of eraan is voldaan.
C-normen: beheersing
De beheersingslaag omvat de processen die de applicatie in de tijd veilig houden: kwetsbaarhedenbeheer, patchmanagement, periodiek penetratietesten, logging en monitoring, en wijzigingsbeheer. De beheersingsnorm over penetratietesten maakt de test op zichzelf verplicht: de applicatie en haar infrastructuur moeten periodiek op kwetsbaarheden worden getest door een partij die onafhankelijk is van de teams die bouwen en beheren, bevindingen moeten worden opgevolgd en de test moet de versie dekken die daadwerkelijk in productie staat.
Wat de auditor met de test doet
De RE gebruikt het rapport op twee manieren. Ten eerste als direct bewijs voor de beheersingsnorm over penetratietesten: is er getest, door wie, op welke scope, wanneer, en zijn bevindingen verholpen. Ten tweede als ondersteunend bewijs voor de uitvoeringsnormen: een rapport dat laat zien dat er geen misbruikbare invoervalidatiefouten zijn, dat het sessiebeheer klopt en dat de TLS-configuratie gehard is, ondersteunt een positief oordeel op die normen. Een rapport dat alleen scanneruitvoer opsomt, ondersteunt geen van beide.
De IT-auditor en de pentester: twee rollen, één assessment
Het assessment heeft beide nodig. De auditor vormt het oordeel, de pentester levert het technische bewijs. De twee verwarren, of één partij voor beide inhuren, is een veelvoorkomende reden dat assessments vastlopen.
| Aspect | Register EDP-auditor (RE, NOREA) | Pentester |
|---|---|---|
| Aangesteld door | De organisatie die de aansluiting houdt, of de leverancier voor een TPM | De organisatie of de leverancier; onafhankelijk van ontwikkeling en hosting |
| Werkt volgens | De NOREA-handreiking voor DigiD-assessments en de NOREA-assurancestandaard | NCSC-richtlijnen voor webapplicaties, OWASP WSTG en ASVS, PTES, NIST SP 800-115 |
| Beoordeelt | Opzet en bestaan van maatregelen, en werking waar de norm dat vraagt | Misbruikbare zwakheden in de DigiD-koppeling, de applicatie en de infrastructuur |
| Levert | Assurancerapport met een oordeel per norm, ingediend bij Logius | Pentestrapport met bevindingen, bewijs, risicoclassificatie, herstelsadvies en hertest |
| Moment | Veldwerk na herstel en hertest, vóór de deadline van Logius | Vóór het veldwerk van de auditor, met tijd voor herstel en een hertest |
| Vertrouwen | Mag op het testrapport steunen als scope, diepte, onafhankelijkheid en actualiteit toereikend zijn | Schrijft het rapport zo dat de auditor elke bevinding en elk getest onderdeel aan de norm kan koppelen |
Wat een DigiD-waardige penetratietest moet dekken
Scope is waar de meeste DigiD-tests misgaan. De norm beslaat de hele keten van de browser van de burger tot de gegevens achter de inlog, niet alleen de inlogpagina.
- De DigiD-koppeling zelf: de SAML-integratie met DigiD, inclusief validatie van handtekening en audience van de assertion, afhandeling van artifacts, bescherming tegen replay, afdwinging van betrouwbaarheidsniveaus en single logout, getest tegen de preproductieomgeving van Logius met testaccounts
- De webapplicatie achter de authenticatie: elke functie die een burger na het inloggen kan bereiken, met aandacht voor autorisatie tussen burgers (directe objectverwijzingen naar BSN-gebonden gegevens), sessiebeheer en bedrijfslogica
- De infrastructuur die de applicatie serveert: webservers, reverse proxies en web application firewalls, TLS-configuratie, DNS, beheerinterfaces en de scheiding tussen productie, acceptatie en ontwikkeling
- De productieomgeving, of een acceptatieomgeving die aantoonbaar identiek is geconfigureerd, met de verschillen gedocumenteerd in het rapport
- De release die tijdens de assessmentperiode live staat; een grote release na de test betekent een hertest van de gewijzigde onderdelen
- Een onafhankelijke pentester bij naam, met verifieerbare kwalificaties, een benoemde methodiek en de exacte testdata
- Bevindingen gekoppeld aan de DigiD-norm, zodat de auditor elke norm naar bewijs kan herleiden zonder het rapport opnieuw te interpreteren
- Een hertest van verholpen bevindingen vóór de auditor het veldwerk afsluit, met de hertestresultaten als bijlage bij het oorspronkelijke rapport
TPM: wanneer de leverancier één keer wordt beoordeeld voor al zijn klanten
De meeste gemeenten, zorgaanbieders en kleinere publieke organisaties bouwen hun DigiD-portaal niet zelf. Zij kopen het als gehost of SaaS-product. Als de auditor van elke klant hetzelfde platform zou beoordelen, kreeg de leverancier tientallen identieke assessments per jaar. De norm lost dat op met de Third Party Mededeling (TPM, derdenverklaring): de leverancier laat zijn eigen RE de normen beoordelen die binnen de verantwoordelijkheid van de leverancier vallen en geeft een TPM af waarop de auditor van elke klant kan steunen. De RE van de klant beoordeelt dan alleen de normen die bij de klant blijven: beleid, contractbeheer, gebruikers- en toegangsbeheer aan de klantzijde en eventuele klantspecifieke configuratie.
Voor de penetratietest betekent dit dat de leverancier het platform één keer test, op platformniveau, en dat de TPM dat vastlegt. Drie dingen gaan daarbij regelmatig mis. Ten eerste een periodeverschil: de TPM dekt andere twaalf maanden dan het assessment van de klant, waardoor een gat ontstaat dat de auditor van de klant niet kan accepteren. Ten tweede uitsluitingen: de TPM sluit onderdelen uit (een integratielaag, een door de klant beheerde reverse proxy, een documentmanagementsysteem achter het portaal) waarvan de klant aannam dat ze gedekt waren. Ten derde maatwerk: klantspecifieke formulieren, workflows of koppelingen die buiten het standaardplatform leven en nooit in de testscope van de leverancier zaten. Lees de scopeparagraaf van de TPM voordat u uw eigen test plant; wat er niet in staat, moet u zelf testen.
Leveranciers die op schaal gemeenten en zorgaanbieders bedienen, doen er goed aan de TPM als productkenmerk te behandelen: één goed gescopete jaarlijkse penetratietest met een normgekoppeld rapport, op een vaste datum geleverd aan de RE van de leverancier, bespaart elke klant een gesprek en verkort elk inkooptraject. Wij scopen deze platformtests regelmatig zo dat het rapport zowel de TPM als de eigen ISO 27001- of NEN 7510-cyclus van de leverancier dient.
Planning: de jaarcyclus terugrekenen vanaf de deadline van Logius
Het assessment loopt in een jaarcyclus per aansluiting. Logius bepaalt de inleverdatum van het assurancerapport; historisch was dat 1 mei van het jaar na het assessmentjaar, en gemeenten dienen in via het ENSIA-proces, waarin het DigiD-assurancerapport de collegeverklaring vergezelt. Controleer de actuele planning van Logius voor uw aansluiting, omdat deadlines en rapportageformats tussen normversies zijn aangepast.
Reken terug vanaf die datum. De auditor heeft het hertestte rapport nodig voordat het veldwerk sluit, doorgaans in het eerste kwartaal. Het herstel van middelhoge en hoge bevindingen op een publiek portaal kost meestal vier tot acht weken zodra ontwikkel- en hostingteams op één lijn zitten, en daarna volgt de hertest. Dat plaatst de penetratietest zelf in het derde of vierde kwartaal van het assessmentjaar, op de release die bij het assessment live zal staan. Organisaties die in januari testen om een deadline in mei te halen, eindigen steevast met open bevindingen in het assurancerapport.
Nieuwe aansluitingen hebben een eigen tijdlijn voor het eerste assessment, afgesproken met Logius bij de aansluiting. Een penetratietest vóór livegang is de verstandige manier om die te halen, want een portaal dat op dag één tekortschiet, moet in productie, in het openbaar en onder tijdsdruk worden hersteld.
Veelvoorkomende bevindingen in DigiD pentests, en hoe wij testen
In jaren van testen van DigiD-gekoppelde portalen voor gemeenten, zorgaanbieders en hun leveranciers keren dezelfde categorieën bevindingen terug. Op de koppeling: assertions die worden geaccepteerd zonder strikte controle van audience en recipient, single logout die de DigiD-sessie beëindigt maar de applicatiesessie laat voortbestaan, en betrouwbaarheidsniveaus die niet worden afgedwongen op gevoelige functies. Op de applicatie: onveilige directe objectverwijzingen die de gegevens van een andere burger blootleggen door een identifier te wijzigen, sessiecookies zonder de attributen Secure, HttpOnly en SameSite, een ontbrekende of te ruime Content Security Policy, uitgebreide foutmeldingen die stacktraces of frameworkversies prijsgeven, en het ontbreken van rate limiting op functies die een BSN aannemen. Op de infrastructuur: verouderde TLS-protocollen en ciphersuites die nog aanstaan, ontbrekende HSTS, beheerinterfaces die vanaf internet bereikbaar zijn zonder meervoudige authenticatie, en verouderde componenten met bekende kwetsbaarheden. Bijna al deze punten zijn direct aan een uitvoeringsnorm te koppelen, en daarom verschijnen ze in het assurancerapport als een niet-behaalde norm en niet als technische voetnoot.
Een DigiD pentest van HackersHub wordt per aansluitnummer gescopet, dekt de koppeling, de applicatie en de infrastructuur, en wordt voor de koppeling uitgevoerd tegen de preproductieomgeving van Logius en voor de rest tegen productie of een identieke acceptatieomgeving. De lead tester is OSCP-gecertificeerd en wordt in het rapport bij naam genoemd. Elke bevinding bevat bewijs, reproductiestappen, een risicoclassificatie met de bedrijfscontext van een publiek portaal en een verwijzing naar de DigiD-norm die zij raakt. De hertest is onderdeel van de opdracht, en wij stemmen de opleverdatum af met uw RE zodat het assuranceveldwerk zonder vervolgvragen kan doorgaan.
Veelgestelde vragen
Bereidt u zich voor op het DigiD-assessment?
Wij scopen de test per aansluiting, dekken de koppeling, de applicatie en de infrastructuur, koppelen elke bevinding aan de norm van Logius en stemmen de oplevering af met uw IT-auditor. Praat met een expert.