Leveranciersbeoordeling

Het document waarin u vastlegt welke leveranciers u heeft, hoe kritiek ze zijn, hoe u ze op beveiliging heeft beoordeeld en wat daaruit kwam. Dit is de verplichting die de hele markt raakt.

Wat erin hoort

• een overzicht van alle leveranciers die uw dienstverlening of gegevens raken
• per leverancier hoe kritiek hij is en waarom
• welke beveiligingsvragen u heeft gesteld en wat het antwoord was
• welke certificaten of verklaringen er liggen, met einddatum
• welke afspraken er in het contract staan, waaronder de meldtermijn
• welke risico's u accepteert en wie dat heeft besloten
• wanneer de volgende beoordeling plaatsvindt

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging, samen met inkoop. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks voor kritieke leveranciers, en direct bij een wijziging in de keten. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

één overzichtstabel plus een beknopt beoordelingsformulier per kritieke leverancier.

Fouten die er het vaakst in zitten

• Er is geen enkele beoordeling vastgelegd, alleen contracten.
• Alleen de grootste leverancier is beoordeeld, terwijl de kleinste vaak de meeste toegang heeft.
• De meldtermijn bij incidenten ontbreekt in het contract.
• Onderaannemers van uw leverancier zijn onbekend, terwijl die ook in uw keten zitten.

Het beoordelingsformulier dat werkt

Tien tot vijftien vragen per kritieke leverancier is genoeg. Deze leveren het meeste op:

1. Welke van onze gegevens of systemen raakt u, en hoe krijgt u daar toegang toe?
2. Staat meervoudige authenticatie aan op die toegang?
3. Binnen hoeveel uur informeert u ons bij een incident dat ons raakt?
4. Welke onderaannemers zet u in, en meldt u wijzigingen daarin vooraf?
5. Heeft u een certificaat, wat is de reikwijdte en tot wanneer geldt het?
6. Hoe zijn back-ups van onze gegevens geregeld, en is terugzetten getest?
7. Wat gebeurt er met onze gegevens als de samenwerking eindigt?

Vraag drie is de belangrijkste. Zonder concrete termijn kunt u uw eigen meldplicht van 24 uur niet halen, hoe goed de rest ook geregeld is.

Begin bij afhankelijkheid, niet bij factuurbedrag

De verleiding is om te beginnen bij de grootste facturen. Dat is de verkeerde volgorde. Maak in plaats daarvan een lijst van partijen zonder wie u morgen niet kunt leveren, en van partijen die toegang hebben tot uw systemen of gegevens.

Die lijst is vrijwel altijd korter dan het volledige leveranciersbestand en bevat regelmatig kleine partijen met veel toegang: de beheerpartij, de softwareleverancier met een onderhoudsverbinding, de partij die uw back-ups doet.

Houd de vragenlijst kort

Een lijst van tachtig vragen krijgt u niet ingevuld terug, of u krijgt antwoorden die iemand snel heeft aangevinkt. Tien tot vijftien scherpe vragen leveren meer op: hoe beveiligt u toegang tot onze omgeving, binnen welke termijn meldt u een incident, wie zijn uw onderaannemers, heeft u een certificaat en tot wanneer geldt het.

Verhouding tot de Cyberbeveiligingswet

Dit is maatregel 4, de enige die ook bedrijven raakt die zelf buiten de wet vallen. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Bijlage A bevat leveranciersmaatregelen. NIS2 maakt de beoordeling expliciet verplicht en aantoonbaar. Zie de ISO 27001-checklist voor het volledige overzicht.

De eerste ronde: wat u echt kunt verwachten

De eerste keer kost meer tijd dan elke ronde daarna, omdat u nog geen lijst en geen vragenformulier heeft liggen. Reken op enkele dagen om de lijst en de vragen op te stellen, en daarna weken tot een maand om reacties binnen te krijgen. Begin met de twee of drie leveranciers met de meeste toegang tot uw systemen, niet met de hele lijst tegelijk.

Reacties binnenhalen: de praktijk

Een vragenlijst sturen is het makkelijke deel, antwoord krijgen is waar het vastloopt. Zet een reactietermijn in uw verzoek en plan een herinnering na de eerste week. Blijft een leverancier structureel stil, leg dat dan vast als uitkomst op zich: wat het betekent voor het risico, en dat u het escaleert naar wie het contract beheert.

Rode vlaggen in de antwoorden

• Vage antwoorden op de meldtermijn. "Zo snel mogelijk" is geen termijn. Vraag door tot er een concreet aantal uren staat.
• Een certificaat zonder scope-toelichting. Het kan over een ander onderdeel van hun bedrijf gaan dan de dienst die zij aan u leveren.
• Onbekende onderaannemers. Kan een leverancier dat niet uitleggen, dan zit uw keten een schakel verder dan u dacht.

Verschil per organisatiegrootte

Een kleine organisatie leunt vaak zwaar op één IT-partner die vrijwel alles beheert; die ene partij verdient dan de meeste aandacht. Een grotere organisatie met tientallen leveranciers heeft baat bij een indeling in twee of drie niveaus van kriticaliteit, zodat niet elke leverancier dezelfde uitgebreide vragenlijst krijgt. Koppel die indeling aan uw risicoanalyse binnen de zorgplicht, dan is de keuze ook inhoudelijk te verantwoorden.

Wat een toezichthouder of opdrachtgever hier concreet wil zien

Niet alleen de tabel met leveranciers, maar het spoor eromheen: de gestelde vragen, de ontvangen antwoorden, en wat u met een zwak antwoord heeft gedaan. Vraagt een klant om uw leveranciersverklaring, dan is dit dossier de onderbouwing erachter.

Wanneer een beoordeling niet op de jaarplanning kan wachten

Jaarlijks voor kritieke leveranciers is de basis, maar een aantal gebeurtenissen is directe aanleiding om niet te wachten.

• De leverancier meldt een eigen beveiligingsincident, ook als het uw organisatie naar eigen zeggen niet raakt.
• Er verandert iets in wat de leverancier voor u doet, bijvoorbeeld een nieuwe koppeling met meer toegang.
• Een certificaat van de leverancier loopt af zonder dat er een nieuwe versie is aangeleverd.
• De leverancier schakelt een nieuwe onderaannemer in die u niet kende.

Van deze vier komt de eerste het minst vaak vanzelf bij u terecht, simpelweg omdat leveranciers een incident niet uit zichzelf melden tenzij het contract dat afdwingt. Dat is precies waarom de meldtermijn in het contract, en niet alleen in uw eigen beoordelingsformulier, het onderdeel is waar u het hardst op moet controleren. Besteedt u een groot deel van uw ICT uit, lees dan ook wat dat betekent voor uw eigen verantwoordelijkheid.

Verschil met de verwerkersovereenkomst

Leveranciersbeoordeling en verwerkersovereenkomst worden vaak door elkaar gebruikt, terwijl ze een ander doel dienen. De verwerkersovereenkomst is een juridisch contract dat verplicht is zodra een leverancier persoonsgegevens voor u verwerkt, met afspraken die uit de AVG volgen. De leveranciersbeoordeling is breder en gaat over elke leverancier die uw dienstverlening of gegevens raakt, ook als er geen persoonsgegevens bij komen kijken, bijvoorbeeld een partij die alleen uw netwerkapparatuur beheert. Een verwerkersovereenkomst kan onderdeel zijn van de uitkomst van een beoordeling, maar vervangt de beoordeling zelf niet.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Moet ik al mijn leveranciers beoordelen?

Nee, de leveranciers die uw dienstverlening of gegevens raken. Leg uw afbakening vast, dan is die keuze onderbouwd.

Is een certificaat van de leverancier genoeg?

Het helpt, maar controleer de reikwijdte: een certificaat kan over een ander onderdeel gaan dan de dienst die u afneemt.

Hoeveel tijd kost de eerste ronde ons ongeveer?

Enkele dagen opzetten, daarna enkele weken tot een maand voor de eerste reacties. Elke volgende ronde gaat sneller.

Wat als een leverancier niet reageert?

Leg dat vast als uitkomst op zich, met wat het betekent voor het risico en welke vervolgstap u neemt, bijvoorbeeld escaleren naar de contractverantwoordelijke.

Moeten wij ook zelf een verklaring aan onze klanten geven?

Steeds vaker wel. Zie de leveranciersverklaring voor wat daarin hoort en hoe die zich verhoudt tot deze beoordeling.

Wat wil een toezichthouder concreet in dit dossier zien?

Niet alleen welke leveranciers u heeft, maar de gestelde vragen, de antwoorden en wat u deed met een zwak antwoord.

Moet ik bij elke leverancier een verwerkersovereenkomst hebben?

Alleen als die leverancier persoonsgegevens voor u verwerkt. Bij een leverancier die alleen apparatuur onderhoudt, is dat meestal niet aan de orde.

Hoe kom ik erachter of een leverancier een nieuwe onderaannemer heeft?

Vraag dat expliciet in de jaarlijkse beoordeling en leg vast dat wijzigingen vooraf gemeld moeten worden in het contract.

Wat als een kritieke leverancier weigert vragen te beantwoorden?

Weeg dat mee in uw risicoanalyse als een risico op zich, en bepaal of de afhankelijkheid dat rechtvaardigt.