Webwereld: ‘DigiNotar klaagde over teveel controle’

Journalist Peter Olsthoorn heeft via een WOB-procedure inzage gekregen in de communicatie tussen Diginotar en toezichthouder Opta en schrijft daarover op de website Webwereld. Diginotar klaagde over de vele audits die het bedrijf moest ondergaan en nam daar ook flink de tijd voor.

Uit het vrijgeven van de informatie blijkt dat telecomwaakhond Opta grote moeite had om goed toezicht te houden op DigiNotar. Olsthoorn kreeg wel inzage in de e-mail-correspondentie tussen Opta en Diginotar. Maar de laatste drie auditrapporten van DigiNotar kreeg hij niet te zien, omdat hier cruciale informatie in te vinden is over de opzet van de certificatendiensten. Maar ook in de correspondentie duiken schokkende feiten op. Toen de crisis rond DigiNotar in augustus uitbrak, beschikte Opta nog niet over het laatste auditrapport, terwijl de controle in maart was uitgevoerd. Op 31 augustus, een paar dagen nadat de DigiNotar-crisis was uitgebroken, sommeerde Opta het bedrijf om het laatste auditrapport op te sturen. Ook een jaar eerder had Opta de grootste moeite om de uitslag van de audit in handen te krijgen. Er waren verschillende verzoeken nodig om deze informatie bij DigiNotar los te peuteren.

Driedubbel toezicht
In een email aan Opta uit juli 2010 wijt DigiNotar de vertraging aan de overdadige controle op de beveiliging. Daarin zegt het beveiligingsbedrijf dat Opta op een auditrapport moet wachten, omdat het bedrijf onder driedubbel toezicht staat van PwC, PKIo-PA, Opta, EV-SSL en verschillende browser leveranciers. Uit de reactie van Opta blijkt dat de organisatie weinig deed met de auditrapporten. Dat kwam omdat de telecomwaakhond niet inhoudelijk naar de beoordelingen keek. De melding in het auditrapport dat het bedrijf een voldoende had gekregen was genoeg, omdat dat ook zo in de telecomwet staat. Een bedrijf dat certificaten verstrekt wordt vermoed te voldoen aan de eisen als de auditor zegt dat dat het geval is.