Je eigen beveiliging kan op orde zijn en je alsnog via een leverancier onderuit gaan. Dat is geen theoretisch risico maar de reden dat ketenverantwoordelijkheid een expliciete plaats heeft gekregen in de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet.
Toch blijft de leveranciersbeoordeling in veel organisaties een formaliteit. Een lijstje bij de inkoop, ingevuld bij de start van het contract, daarna nooit meer aangeraakt.
Dit artikel beschrijft hoe je het wel serieus doet: welke leveranciers je beoordeelt, op welke criteria, hoe vaak, en wat een auditor precies zoekt.
Waarom dit nu op tafel ligt
De zorgplicht onder de Cyberbeveiligingswet stopt niet bij je eigen netwerk. Organisaties in scope moeten de risico’s beheersen die via hun toeleveranciers binnenkomen. Dat werkt door tot ver buiten de groep die formeel onder de wet valt: leveranciers krijgen de eisen van hun klanten doorgeschoven, vaak met scherpere deadlines dan de wetgever hanteert.
Voor MSPs en IT-dienstverleners geldt dit dubbel. Je bent zelf leverancier én je hebt leveranciers. Je moet dus twee kanten op kunnen aantonen dat je in control bent.
ISO 27001 vraagt hetzelfde via de Annex A controls over leveranciersrelaties: afspraken over beveiliging in overeenkomsten, monitoring van dienstverlening, en beheersing van wijzigingen bij de leverancier.
Stap 1: bepaal welke leveranciers je beoordeelt
De meest gemaakte fout is alles beoordelen. Dat kost zoveel tijd dat niemand het volhoudt, en na één ronde verzandt het.
Beoordeel op basis van impact, niet op basis van factuurbedrag. Een leverancier van kantoorartikelen met een contract van vijftigduizend euro is minder kritiek dan een softwareleverancier met beheertoegang tot je productieomgeving voor tweeduizend euro per jaar.
Drie vragen bepalen of een leverancier kritiek is:
- Heeft deze partij toegang tot onze systemen of onze data?
- Zijn wij afhankelijk van deze partij voor de continuïteit van onze dienstverlening?
- Zou een incident bij deze partij bij ons een meldplicht kunnen triggeren?
Eén keer ja betekent: opnemen in de beoordeling. Drie keer nee betekent: registreren en verder niets.
Leg deze indeling vast. Een auditor die vraagt waarom leverancier X niet is beoordeeld, accepteert een gedocumenteerde afweging. Hij accepteert geen “daar hebben we niet aan gedacht”.
Stap 2: de criteria
Beperk je tot criteria waar je een antwoord op kunt controleren. Een vraag als “neemt u informatiebeveiliging serieus” levert altijd ja op en zegt niets.
Governance en aantoonbaarheid Beschikt de leverancier over een certificering (ISO 27001, NEN 7510, SOC 2) of over een onderbouwd alternatief? Wie is er eindverantwoordelijk, met naam en rol?
Toegang tot jouw omgeving Welke accounts heeft de leverancier? Is er multifactorauthenticatie? Zijn de rechten beperkt tot wat nodig is? Wordt die toegang gelogd, en kun jij die logs inzien?
Incidentafspraken Binnen welke termijn meldt de leverancier een incident aan jou? Staat dat in het contract of alleen in een e-mail? Dit is het criterium dat het vaakst ontbreekt en onder de meldplicht het meest pijn doet.
Onderaanneming Welke partijen schakelt jouw leverancier zelf in? Jouw keten loopt door waar die van hem begint. Vraag minimaal of hij zijn eigen kritieke leveranciers in beeld heeft.
Continuïteit en exit Wat gebeurt er als deze partij morgen wegvalt? Is er een exitregeling, en kun je je data eruit krijgen in een bruikbaar formaat?
Locatie van gegevensverwerking Waar staat de data, en onder welk rechtsregime? Relevant voor de AVG en vaak voor klanteisen.
Stap 3: een voorbeeldvragenlijst
Houd het kort. Een vragenlijst van veertig vragen krijg je niet ingevuld terug; twaalf gerichte vragen wel.
| # | Vraag | Bewijs dat je opvraagt |
|---|---|---|
| 1 | Bent u gecertificeerd voor ISO 27001 of gelijkwaardig? | Certificaat met scope en geldigheidsdatum |
| 2 | Wie is eindverantwoordelijk voor informatiebeveiliging? | Naam en functie |
| 3 | Welke toegang heeft u tot onze systemen of data? | Overzicht van accounts en rechten |
| 4 | Is MFA verplicht op alle accounts richting ons? | Beleidsdocument of schermafbeelding van de instelling |
| 5 | Binnen welke termijn meldt u een incident aan ons? | Contractclausule |
| 6 | Heeft u het afgelopen jaar een incident gehad dat ons raakte? | Schriftelijke bevestiging |
| 7 | Welke onderaannemers zet u in voor onze dienst? | Lijst met partijen en rol |
| 8 | Hoe vaak test u uw herstelprocedures? | Datum en uitkomst laatste test |
| 9 | Waar worden onze gegevens opgeslagen? | Locatie en verwerkersovereenkomst |
| 10 | Hoe verloopt offboarding van uw medewerkers? | Procesbeschrijving |
| 11 | Kunnen wij onze data bij beëindiging exporteren? | Exitclausule en formaat |
| 12 | Wanneer is uw laatste pentest uitgevoerd? | Samenvatting of verklaring |
Vraag bij elke positieve beantwoording om bewijs. Een ja zonder document is een mening.
Stap 4: frequentie en opvolging
Een beoordeling die één keer plaatsvindt is een intake, geen beoordeling.
Werkbaar ritme voor de meeste organisaties: kritieke leveranciers jaarlijks, overige leveranciers bij contractverlenging of bij een significante wijziging in de dienstverlening. Leg vast wie het uitvoert en wanneer.
Belangrijker dan de frequentie is de opvolging. Een beoordeling zonder consequentie is administratie. Spreek vooraf af wat er gebeurt bij een onvoldoende: een hersteltermijn, een aanvullende maatregel aan jouw kant, of in het uiterste geval beëindiging.
Wat een auditor hierop controleert
Vier dingen, in deze volgorde.
Bestaat er een overzicht van kritieke leveranciers, en is de selectie onderbouwd? Staan er beveiligingseisen in de contracten, niet alleen in de offerte? Is er bewijs dat de beoordeling daadwerkelijk is uitgevoerd, met datum? En is er opvolging zichtbaar op de punten die niet op orde waren?
Het vierde punt is waar de meeste bevindingen vallen. Organisaties voeren de beoordeling uit, constateren tekortkomingen, en doen er vervolgens niets mee.
Concentratierisico: het punt dat iedereen overslaat
Eén leverancier die je hosting, je back-up en je monitoring doet is comfortabel tot het moment dat die partij een probleem heeft. Dan valt alles tegelijk weg.
Breng in kaart waar je afhankelijkheden samenvallen. Dat hoeft niet te betekenen dat je moet spreiden, wel dat je het risico bewust hebt aanvaard en hebt vastgelegd wie dat besluit heeft genomen.
Waar begin je
Als je nog niets hebt: begin met de lijst. Alleen al het in kaart brengen van welke partijen toegang hebben tot je omgeving levert doorgaans verrassingen op.
Wil je eerst weten of en hoe de Cyberbeveiligingswet op jou van toepassing is, doe dan de gratis NIS2 zelfevaluatie. Voor de bredere volgorde van aanpak: NIS2 stappenplan.
Veelgestelde vragen
Wat is een leveranciersbeoordeling in cybersecurity? Een gestructureerde toets of een leverancier de beveiligingsmaatregelen heeft die passen bij de toegang en de afhankelijkheid die jij hem geeft, met bewijsstukken en een vastgelegde uitkomst.
Is een leveranciersbeoordeling verplicht onder NIS2? De richtlijn en de Cyberbeveiligingswet verplichten organisaties in scope om risico’s in de toeleveringsketen te beheersen. Een beoordeling is de gebruikelijke manier om dat aantoonbaar te doen.
Hoe vaak moet ik leveranciers beoordelen? Kritieke leveranciers doorgaans jaarlijks, overige bij contractverlenging of bij een wezenlijke wijziging. Leg de gekozen frequentie vast en houd je eraan.
Welke leveranciers zijn kritiek? Partijen met toegang tot je systemen of data, partijen waarvan je continuïteit afhangt, en partijen waarbij een incident bij hen een meldplicht bij jou kan veroorzaken.
Wat als een leverancier niet meewerkt? Leg de weigering vast en beoordeel het restrisico. Geen antwoord is ook informatie, en bij een kritieke leverancier is het een bevinding die op directieniveau thuishoort.