Hoe weet ik of mijn leveranciers voldoen aan de Cyberbeveiligingswet (NIS2)?

Cybercriminelen richten zich steeds vaker op leveranciers. Dat is logisch: één succesvolle aanval op een leverancier kan gevolgen hebben voor tientallen, honderden of zelfs duizenden klanten.

De Cyberbeveiligingswet verplicht organisaties daarom om risico's binnen hun toeleveringsketen mee te nemen in hun cybersecuritybeleid.

Dat betekent niet dat je verantwoordelijk bent voor alles wat een leverancier doet. Wel wordt verwacht dat je inzicht hebt in de risico's, passende controles uitvoert en bewuste keuzes maakt bij het selecteren en beheren van leveranciers.

Kort gezegd: cybersecurity wordt steeds meer een gedeelde verantwoordelijkheid.

Niet noodzakelijk.

Sommige leveranciers vallen zelf onder de Cyberbeveiligingswet omdat ze actief zijn in een essentiële of belangrijke sector. Andere leveranciers vallen mogelijk niet rechtstreeks onder deze regelgeving.

Toch betekent dit niet dat je hun beveiliging kunt negeren.

Een boekhoudpakket, cloudplatform of IT-beheerpartij kan immers toegang hebben tot kritische bedrijfsgegevens of belangrijke processen. Vanuit risicoperspectief zijn die leveranciers vaak net zo relevant als partijen die wel wettelijk onder de Cyberbeveiligingswet vallen.

De vraag moet daarom niet alleen zijn: "Vallen ze onder de wet?" maar vooral: "Vormen ze een risico voor onze organisatie?"

Begin bij leveranciers die een grote impact kunnen hebben op jouw bedrijfsvoering.

Denk bijvoorbeeld aan:

• Managed Service Providers (MSP's)

• Cloudproviders

• Softwareleveranciers

• Hostingpartijen

• Securitypartners

• IT-beheerders

• SaaS-aanbieders

• Partijen die persoonsgegevens verwerken

• Leveranciers met toegang tot interne systemen

Hoe afhankelijker je bent van een leverancier, hoe belangrijker het wordt om hun cybersecuritymaatregelen te beoordelen.

Een goede beoordeling begint met de juiste vragen.

Vraag bijvoorbeeld:

• Beschikken jullie over een informatiebeveiligingsbeleid?

• Hoe worden cyberincidenten gedetecteerd?

• Werken jullie met een Security Operations Center (SOC)?

• Gebruiken jullie multi-factor authenticatie (MFA)?

• Hoe is het patchmanagement ingericht?

• Hoe worden back-ups gemaakt en getest?

• Hebben jullie een Incident Response-plan?

• Hoe snel melden jullie beveiligingsincidenten?

• Worden medewerkers getraind op cybersecurity?

• Hoe beschermen jullie klantgegevens?

Niet alleen de antwoorden zijn belangrijk, maar ook hoe snel en professioneel een leverancier deze informatie kan aanleveren.

Vertrouwen is goed, maar controle blijft belangrijk.

Vraag daarom waar mogelijk documentatie op zoals:

• Supply Chain-certificering

• ISO 27001-certificering

• ISAE 3402-rapportages

• Security-audits

• Penetratietestrapporten

• Informatiebeveiligingsbeleid

• Continuïteitsplannen

• Incident Response-plannen

• Verwerkersovereenkomsten

• Securityverklaringen

Het doel is niet om leveranciers te "betrappen", maar om vast te stellen of cybersecurity structureel is ingericht.

Valt jouw organisatie onder de Cyberbeveiligingswet? Dan wordt van je verwacht dat je risico's binnen de keten actief beheerst.

Dat kan onder andere betekenen dat je:

• leveranciers beoordeelt op cybersecurity;

• risicoanalyses uitvoert;

• beveiligingsmaatregelen vastlegt in contracten;

• incidentmeldingen organiseert;

• periodiek controles uitvoert;

• kunt aantonen dat leveranciersmanagement onderdeel is van je cybersecuritybeleid.

Zelfs organisaties die niet rechtstreeks onder de wet vallen, krijgen hier steeds vaker mee te maken. Grote klanten en opdrachtgevers gaan namelijk vaker eisen stellen aan de beveiliging van hun leveranciers.

Een ISO-certificaat of auditrapport kan waardevol zijn, maar vertelt niet het hele verhaal.

Cybersecurity is geen checklist die je eenmalig afvinkt. Het gaat om dagelijkse processen, gedrag en continue verbetering.

Let daarom ook op zaken zoals:

• Security awareness bij medewerkers

• Gebruik van MFA

• Logbeheer en monitoring

• Kwetsbaarhedenbeheer

• Patchmanagement

• Back-upprocedures

• Incidentresponsprocessen

• Transparantie rondom beveiliging

Een leverancier die open communiceert over cybersecurity is vaak beter voorbereid dan een partij die uitsluitend verwijst naar certificaten.

Goede afspraken voorkomen veel discussie achteraf.

Neem daarom cyberbeveiliging waar mogelijk op in contracten en SLA's.

Denk aan afspraken over:

• Meldplicht bij incidenten

• Respons- en hersteltijden

• Minimale beveiligingseisen

• Gebruik van MFA

• Logische toegangsbeveiliging

• Back-up- en herstelprocedures

• Auditrechten

• Rapportageverplichtingen

Zo weet iedere partij wat er verwacht wordt wanneer zich een cyberincident voordoet.

Cybersecurity is geen momentopname.

Nieuwe dreigingen, software-updates en organisatorische veranderingen kunnen het risicoprofiel van leveranciers veranderen.

Daarom is het verstandig leveranciers periodiek opnieuw te beoordelen, bijvoorbeeld:

• jaarlijks;

• bij contractverlengingen;

• na een beveiligingsincident;

• bij grote wijzigingen in dienstverlening;

• wanneer wet- en regelgeving verandert.

Zo houd je continu inzicht in de risico's binnen je keten.

De Cyberbeveiligingswet laat zien dat cybersecurity niet langer alleen draait om je eigen netwerk, werkplekken of cloudomgeving.

Ook leveranciers, partners en andere partijen in de keten spelen een belangrijke rol in de digitale weerbaarheid van je organisatie.

Door leveranciers actief te beoordelen, bewijsstukken op te vragen en duidelijke afspraken vast te leggen, krijg je meer grip op cyberrisico's én ben je beter voorbereid op de eisen die de Cyberbeveiligingswet stelt.

Want uiteindelijk is jouw organisatie slechts zo veilig als de zwakste schakel in de keten.