Wat moet je als leverancier kunnen aantonen onder de Cyberbeveiligingswet (NIS2)?
- Rebecca Sykes
- 3 dagen geleden
- 9 minuten om te lezen
Wat moet je als leverancier kunnen aantonen onder de (NIS2) Cyberbeveiligingswet?
Veel organisaties denken dat de Cyberbeveiligingswet hen niet raakt.
Dat kan kloppen.
Maar dat betekent niet dat de wet geen gevolgen heeft voor jouw organisatie. Sterker nog: de grootste impact merk je waarschijnlijk niet van de overheid, maar van je klanten.
Organisaties die onder de Cyberbeveiligingswet vallen, moeten ook rekening houden met cyberrisico’s binnen hun toeleveringsketen. Daardoor gaan zij kritischer kijken naar de leveranciers en dienstverleners waarmee zij samenwerken.
Kun je niet aantonen dat jouw informatiebeveiliging op orde is?
Dan loop je het risico dat een bestaande klant aanvullende eisen stelt, dat je een aanbesteding misloopt of dat een nieuwe opdrachtgever uiteindelijk voor een andere leverancier kiest.
Niet omdat jouw dienstverlening minder goed is.
Maar omdat een concurrent beter kan aantonen dat de risico’s worden beheerst.
En precies daar ontstaat veel onduidelijkheid.
Wat verwachten klanten straks van hun leveranciers? Moet je een ISO 27001-certificaat hebben? Is een ingevulde vragenlijst voldoende? Welke documenten moet je kunnen laten zien? En hoe bewijs je dat informatiebeveiliging binnen jouw organisatie daadwerkelijk werkt?
In deze blog leggen we uit wat opdrachtgevers waarschijnlijk van je gaan vragen, welke bewijzen daarbij een rol spelen en hoe je jouw organisatie hierop kunt voorbereiden.
Lees ook: NIS2 / CBW begeleiding
Waarom klanten informatiebeveiliging bij leveranciers gaan beoordelen door de NIS2 / CBW?
Het bestuur van een organisatie die onder de Cyberbeveiligingswet valt, is eindverantwoordelijk voor de beheersing van cyberrisico’s. De organisatie moet passende maatregelen nemen om haar netwerk- en informatiesystemen te beschermen en daarbij ook rekening houden met risico’s binnen de directe toeleveringsketen.
Dat betekent niet dat iedere leverancier automatisch aan alle verplichtingen uit de Cyberbeveiligingswet moet voldoen.
Wel kunnen organisaties die onder de wet vallen eisen stellen aan hun rechtstreekse leveranciers en dienstverleners. Die eisen kunnen betrekking hebben op een specifiek risico, maar ook op de algemene volwassenheid van de informatiebeveiliging. Welke maatregelen passend zijn, hangt af van de dienstverlening en de risico’s voor de opdrachtgever.
Informatiebeveiliging krijgt daardoor een nadrukkelijkere plaats in offerteaanvragen, aanbestedingen, contractonderhandelingen en periodieke leveranciersbeoordelingen.
Naast prijs, kwaliteit en continuïteit willen opdrachtgevers weten:
welke risico’s jouw dienstverlening voor hen oplevert;
hoe jouw organisatie deze risico’s beheerst;
wie verantwoordelijk is voor informatiebeveiliging;
hoe je handelt bij een incident;
en of beveiligingsmaatregelen aantoonbaar werken.
Niet iedere opdrachtgever gebruikt dezelfde vragenlijst of stelt dezelfde eisen. Dat hangt af van de sector, de dienstverlening, de informatie die je verwerkt en de mogelijke impact van een incident.
Maar één ontwikkeling is duidelijk: alleen zeggen dat informatiebeveiliging goed is geregeld, zal steeds minder vaak voldoende zijn.
Hoe ziet een leveranciersbeoordeling er in de praktijk uit?
Stel, je bent softwareleverancier van een logistieke organisatie.
Jullie leveren een goed product, hebben tevreden klanten en nemen informatiebeveiliging serieus. Een nieuwe opdrachtgever wil vóór de start van de samenwerking inzicht krijgen in jullie beveiliging en stuurt een leveranciersvragenlijst.
Daarin staan vragen als:
Wie is verantwoordelijk voor informatiebeveiliging?
Hebben jullie een vastgesteld informatiebeveiligingsbeleid?
Voeren jullie periodiek risicoanalyses uit?
Gebruiken jullie multifactorauthenticatie?
Hoe worden kwetsbaarheden en beveiligingsupdates beheerd?
Is er een incidentresponsprocedure?
Hoe worden medewerkers getraind?
Kunnen jullie aantonen dat maatregelen daadwerkelijk werken?
Veel van deze maatregelen zijn binnen jullie organisatie misschien al goed ingericht.
Maar zodra de klant om bewijs vraagt, ontstaat de uitdaging.
De risicoanalyse blijkt verouderd. Het informatiebeveiligingsbeleid is nooit formeel vastgesteld. Awarenesstrainingen worden wel gegeven, maar niet geregistreerd. Een kwetsbaarheidsscan is uitgevoerd, maar de opvolging van de bevindingen is nergens vastgelegd.
Met andere woorden:
De organisatie is waarschijnlijk veiliger dan zij kan aantonen.
Maar juist die aantoonbaarheid wordt steeds belangrijker.
Opdrachtgevers willen niet alleen horen dat informatiebeveiliging serieus wordt genomen. Zij willen kunnen vaststellen dat risico’s worden beheerst, maatregelen werken en afspraken in de praktijk worden nageleefd.
Wat moet je als leverancier kunnen aantonen?
Er bestaat geen universele checklist die voor iedere leverancier geldt. Toch draaien de meeste leveranciersbeoordelingen om een aantal vaste onderwerpen.
1. Je kent de risico’s van jouw dienstverlening
Een opdrachtgever wil zien dat je begrijpt welke risico’s verbonden zijn aan jouw producten, diensten en bedrijfsvoering.
Je moet bijvoorbeeld kunnen uitleggen:
welke informatie je verwerkt;
welke systemen en processen kritisch zijn;
welke dreigingen en kwetsbaarheden relevant zijn;
welke impact een incident kan hebben;
en welke maatregelen je hebt genomen om deze risico’s te beheersen.
Een actuele risicoanalyse en een bijbehorend risicoregister vormen hiervoor vaak de basis.
Organisaties die informatiebeveiliging structureel willen inrichten, gebruiken een risicogedreven managementsysteem om risico’s, maatregelen en verbeteracties met elkaar te verbinden.
Meer informatie: [ISO 27001-begeleiding]
2. Verantwoordelijkheden zijn duidelijk belegd
Informatiebeveiliging begint met eigenaarschap.
Een klant hoeft niet te eisen dat je een fulltime CISO in dienst hebt. Wel moet duidelijk zijn wie verantwoordelijk is voor het beoordelen van risico’s, het vaststellen van beleid, het nemen van besluiten en het opvolgen van verbetermaatregelen.
Opdrachtgevers kunnen onder andere vragen:
Wie is eindverantwoordelijk voor informatiebeveiliging?
Wie rapporteert hierover aan het management?
Wie coördineert de aanpak van incidenten?
Wie onderhoudt contact met klanten wanneer er iets misgaat?
Wie bewaakt de uitvoering van verbetermaatregelen?
Heeft jouw organisatie onvoldoende interne kennis of capaciteit om deze verantwoordelijkheid structureel in te vullen? Dan kan [CISO as a Service] ondersteuning bieden bij governance, risicomanagement en bestuurlijke besluitvorming.
3. Je hebt passende beveiligingsmaatregelen ingericht
Klanten willen weten welke maatregelen jouw organisatie heeft getroffen om informatie, systemen en dienstverlening te beschermen.
Denk bijvoorbeeld aan:
multifactorauthenticatie;
toegangsbeheer;
patch- en kwetsbaarhedenbeheer;
endpointbeveiliging;
back-ups en herstelvoorzieningen;
logging en monitoring;
versleuteling;
netwerkbeveiliging;
en security awareness.
Het gaat niet om het afvinken van zoveel mogelijk maatregelen.
De maatregelen moeten passen bij de risico’s van jouw organisatie, de gevoeligheid van de informatie en de mogelijke impact voor de opdrachtgever.
Een kleine leverancier die geen toegang heeft tot klantgegevens wordt anders beoordeeld dan een softwareleverancier die kritieke systemen beheert of persoonsgegevens verwerkt. Ook het NCSC benadrukt dat passende eisen per leverancier kunnen verschillen en dat ketenbeveiliging daarom maatwerk vraagt.
4. Beleid en procedures worden daadwerkelijk gebruikt
Informatiebeveiliging bestaat niet alleen uit techniek.
Ook processen en werkafspraken moeten zijn ingericht en aantoonbaar worden toegepast. Opdrachtgevers kunnen daarom vragen naar documenten zoals:
informatiebeveiligingsbeleid;
toegangsbeleid;
incidentresponsprocedure;
leveranciersbeleid;
beleid voor acceptabel gebruik;
back-up- en herstelprocedures;
businesscontinuïteitsplannen;
en procedures voor wijzigingen en kwetsbaarheden.
Een beleidsdocument op zichzelf bewijst echter weinig.
Klanten willen zien dat beleid actueel en formeel vastgesteld is, bekend is binnen de organisatie en wordt vertaald naar de dagelijkse praktijk.
Met doorlopende [GRC Support] kunnen beleid, risico’s, audits, rapportages en verbetermaatregelen structureel worden onderhouden, in plaats van alleen rondom een implementatie of externe audit.
5. Je kunt aantonen dat maatregelen daadwerkelijk werken
Dit is vaak het belangrijkste onderdeel van een leveranciersbeoordeling.
Iedere organisatie kan zeggen dat informatiebeveiliging belangrijk is. Opdrachtgevers willen bewijs dat maatregelen effectief zijn en tekortkomingen worden opgevolgd.
Dat bewijs kan bijvoorbeeld bestaan uit:
interne auditrapporten;
resultaten van kwetsbaarheidsscans;
penetratietesten;
managementreviews;
KPI- en risicorapportages;
registraties van awarenesstrainingen;
testresultaten van back-ups en herstelprocedures;
incidentregistraties;
en vastgelegde verbeteracties.
Hier ontstaat het verschil tussen organisaties die informatiebeveiliging hebben beschreven en organisaties die informatiebeveiliging aantoonbaar beheersen.
Een onafhankelijke [interne audit] helpt om objectief vast te stellen of afspraken worden nageleefd, maatregelen functioneren en verbeterpunten tijdig worden opgepakt.
Bereid je je voor op een externe of certificeringsaudit? Dan kan gerichte [auditvoorbereiding] helpen om ontbrekende bewijzen en risico’s vooraf zichtbaar te maken.
6. Je weet hoe je handelt bij een incident
Geen enkele organisatie is volledig veilig.
Opdrachtgevers begrijpen dat incidenten kunnen plaatsvinden. Zij willen vooral weten of jouw organisatie daarop is voorbereid.
Je moet daarom kunnen laten zien:
hoe incidenten worden herkend en geregistreerd;
wie verantwoordelijk is voor de coördinatie;
hoe de impact wordt beoordeeld;
wanneer en hoe klanten worden geïnformeerd;
hoe herstel wordt georganiseerd;
en hoe van incidenten wordt geleerd.
Een incidentprocedure moet meer zijn dan een document. Rollen moeten bekend zijn, contactgegevens moeten actueel zijn en procedures moeten waar mogelijk worden getest.
Voor opdrachtgevers is niet alleen van belang dát je beveiligingsmaatregelen hebt getroffen, maar ook dat je professioneel en voorspelbaar handelt wanneer er iets misgaat.
7. Je werkt aantoonbaar aan verbetering
Informatiebeveiliging is geen eenmalig project.
Systemen veranderen, medewerkers komen en gaan, leveranciers worden vervangen en nieuwe dreigingen ontstaan. Ook de verwachtingen van opdrachtgevers ontwikkelen zich verder.
Daarom willen klanten zien dat informatiebeveiliging onderdeel is van een continu verbeterproces.
Dat betekent bijvoorbeeld dat je:
periodiek risico’s opnieuw beoordeelt;
maatregelen evalueert;
bevindingen uit audits opvolgt;
incidenten analyseert;
beleid actualiseert;
en hierover rapporteert aan het management.
Niet omdat een norm voorschrijft dat je zoveel mogelijk documenten moet produceren, maar omdat structurele verbetering laat zien dat jouw organisatie verantwoordelijkheid neemt voor haar dienstverlening.
Hoe bereid je jouw organisatie voor op vragen van klanten?
Begin niet automatisch met een certificeringstraject.
Begin met inzicht.
Breng eerst in kaart:
welke klanten onder de Cyberbeveiligingswet of andere beveiligingseisen vallen;
welke rol jouw organisatie in hun keten speelt;
welke informatie en systemen je voor hen verwerkt of beheert;
welke eisen zij nu al contractueel stellen;
en welke bewijzen je vandaag kunt overleggen.
Beoordeel vervolgens waar de belangrijkste hiaten zitten.
Misschien zijn de noodzakelijke maatregelen grotendeels ingericht, maar ontbreekt de documentatie. Misschien zijn verantwoordelijkheden onvoldoende belegd. Of misschien is er wel beleid, maar is nooit gecontroleerd of dit in de praktijk wordt nageleefd.
Van daaruit kun je gericht bepalen welke vervolgstappen nodig zijn.
Dat kan [ISO 27001-begeleiding] zijn, maar ook doorlopende [GRC Support], een onafhankelijke [interne audit], [CISO as a Service] of het structureel versterken van de interne capaciteit via [teamopbouw].
De juiste aanpak hangt niet alleen af van een norm, maar vooral van de risico’s van jouw dienstverlening en de verwachtingen van jouw klanten.
Heb je als leverancier een ISO 27001-certificaat nodig?
Nee, niet automatisch.
De Cyberbeveiligingswet schrijft niet voor dat iedere leverancier ISO 27001-gecertificeerd moet zijn. Een opdrachtgever kan certificering wel als contractuele voorwaarde stellen, bijvoorbeeld wanneer jouw dienstverlening kritisch is of wanneer je toegang hebt tot gevoelige informatie en systemen. Het NCSC noemt ISO 27001 als een mogelijk normenkader, maar benadrukt dat de Cyberbeveiligingswet dit niet voorschrijft.
Een [ISO 27001-certificaat] kan een krachtig bewijs zijn dat informatiebeveiliging gestructureerd is ingericht en onafhankelijk is beoordeeld.
Maar een certificaat is niet de enige manier om vertrouwen te onderbouwen.
Ook een actuele risicoanalyse, een goed ingericht ISMS, interne audits, onafhankelijke testrapporten en duidelijke managementrapportages kunnen aantonen dat risico’s worden beheerst.
Opdrachtgevers kopen geen certificaat. Ze kopen vertrouwen.
Een certificaat kan dat vertrouwen ondersteunen, maar het vervangt geen effectieve informatiebeveiliging.
De juiste vraag is daarom niet alleen of jouw organisatie gecertificeerd is, maar of je kunt laten zien dat risico’s worden begrepen, maatregelen werken en verbeteringen worden doorgevoerd.
Veelgestelde vragen over NIS2 en leveranciers
Moet ik als leverancier zelf onder de Cyberbeveiligingswet vallen?
Nee. Ook wanneer jouw organisatie niet rechtstreeks onder de Cyberbeveiligingswet valt, kunnen klanten eisen aan je informatiebeveiliging stellen.
De wet legt niet automatisch verplichtingen op aan iedere leverancier. Organisaties die wel onder de wet vallen, moeten echter risico’s binnen hun toeleveringsketen beheersen en kunnen daarom afspraken maken over passende beveiligingsmaatregelen.
Wat vragen klanten tijdens een leveranciersbeoordeling?
Klanten kunnen vragen naar onder meer je informatiebeveiligingsbeleid, risicoanalyse, toegangsbeheer, incidentrespons, back-ups, awarenessprogramma, kwetsbaarhedenbeheer, auditresultaten en businesscontinuïteit.
Welke informatie nodig is, hangt af van jouw dienstverlening en het risico voor de opdrachtgever.
Moet ik als leverancier ISO 27001-gecertificeerd zijn?
Niet altijd.
De Cyberbeveiligingswet stelt geen algemene ISO 27001-certificeringsplicht voor alle leveranciers. Een klant kan certificering wel als contractuele voorwaarde opnemen.
Zonder certificaat kun je informatiebeveiliging ook aantonen met bijvoorbeeld risicoanalyses, auditrapporten, testresultaten en managementrapportages.
Wat als mijn organisatie nog geen certificering heeft?
Het ontbreken van een certificaat betekent niet automatisch dat je informatiebeveiliging onvoldoende is.
Je moet wel kunnen uitleggen hoe risico’s worden beheerst en dit met objectief bewijs onderbouwen. Wanneer klanten structureel om certificering vragen, kan een ISO 27001-traject alsnog een logische vervolgstap zijn.
Welke documenten moet ik als leverancier kunnen laten zien?
Veelgevraagde documenten zijn een informatiebeveiligingsbeleid, actuele risicoanalyse, incidentresponsprocedure, businesscontinuïteitsplan, toegangsbeleid, leveranciersbeleid, auditrapporten en resultaten van kwetsbaarheidsscans of penetratietesten.
Welke documenten relevant zijn, hangt af van jouw organisatie, dienstverlening en positie binnen de keten.
Is een ingevulde securityvragenlijst voldoende?
Een vragenlijst is meestal slechts het begin van een leveranciersbeoordeling.
Een opdrachtgever kan ook om onderliggende documenten, testresultaten of andere bewijzen vragen. Antwoorden moeten daarom aansluiten op de werkelijke inrichting van jouw organisatie en aantoonbaar kunnen worden onderbouwd.
Wat gebeurt er als ik informatiebeveiliging niet kan aantonen?
Een klant kan aanvullende voorwaarden stellen, om een verbeterplan vragen, extra toezicht of audits verlangen of besluiten om voor een andere leverancier te kiezen.
Het ontbreken van bewijs kan dus invloed hebben op bestaande opdrachten, aanbestedingen en nieuwe commerciële kansen.
Hoe toon ik aan dat beveiligingsmaatregelen werken?
Dat kan bijvoorbeeld met interne audits, penetratietesten, kwetsbaarheidsscans, managementrapportages, registraties van awarenesstrainingen, incidentregistraties en aantoonbare opvolging van verbetermaatregelen.
Het bewijs moet laten zien dat maatregelen niet alleen bestaan, maar ook worden toegepast, getest en geëvalueerd.
Is dit alleen relevant voor IT-leveranciers?
Nee.
Ook logistieke dienstverleners, productiebedrijven, zakelijke dienstverleners, ingenieursbureaus en andere leveranciers kunnen met beveiligingseisen te maken krijgen.
Bepalend is welke rol jouw organisatie in de keten speelt en welke risico’s jouw dienstverlening kan veroorzaken voor de netwerk- en informatiesystemen van de klant. Leveranciers van ICT-componenten, beheerders van systemen en partijen met toegang tot systemen lopen daarbij meer kans om onderdeel te worden van een ketenrisicobeoordeling.
Hoe kan CISO-Office hierbij helpen?
CISO-Office ondersteunt organisaties met [CISO as a Service], [GRC Support], [ISO 27001-begeleiding], [interne audits], [auditvoorbereiding] en [teamopbouw].
Daarmee helpen we organisaties niet alleen om maatregelen in te richten, maar vooral om informatiebeveiliging structureel en aantoonbaar te beheersen.
Conclusie: aantoonbare informatiebeveiliging wordt een commerciële voorwaarde
Voor leveranciers wordt één vraag steeds belangrijker:
Kun je aan jouw klanten aantonen dat je informatiebeveiliging op orde is?
Daar ligt voor veel organisaties de grootste uitdaging.
Niet omdat zij per definitie onveilig zijn, maar omdat zij onvoldoende kunnen laten zien welke risico’s zijn beoordeeld, welke maatregelen zijn genomen en of deze maatregelen daadwerkelijk werken.
Dat kan gevolgen hebben voor bestaande contracten, aanbestedingen en nieuwe opdrachten.
Het antwoord ligt niet in het verzamelen van zoveel mogelijk documenten of het blind nastreven van een certificering. Het gaat erom dat informatiebeveiliging aantoonbaar onderdeel is van de bedrijfsvoering.
Want uiteindelijk draait het niet alleen om voldoen aan een wet of norm.
Het draait erom dat klanten vertrouwen houden in jouw organisatie.
Benieuwd wat jij al kunt aantonen?
In een vrijblijvend adviesgesprek van ongeveer een uur kijken we naar jouw organisatie, jouw klanten en jouw positie binnen de keten.
Na afloop heb je inzicht in:
welke eisen jouw opdrachtgevers waarschijnlijk gaan stellen;
welke informatie en bewijzen je al kunt aanleveren;
waar nog risico’s of hiaten zitten;
en welke vervolgstappen voor jouw organisatie de meeste commerciële waarde toevoegen.
Geen standaard quickscan.
Geen algemene checklist.
Maar een praktijkgericht advies waarmee je gericht kunt bouwen aan aantoonbare informatiebeveiliging en het vertrouwen van jouw klanten.
Opmerkingen