De leveranciersverklaring: het nieuwe visitekaartje van de keten

De Cyberbeveiligingswet verplicht organisaties niet alleen hun eigen beveiliging te regelen, maar ook die van hun toeleveringsketen te beoordelen. Het gevolg: duizenden bedrijven die zelf niet onder de wet vallen, krijgen toch vragenlijsten en verzoeken om een beveiligingsverklaring van hun grote klanten. Wie die verklaring klaar heeft liggen, houdt de klant. Wie maandenlang stil blijft, staat bij de volgende inkooponde op de reservelijst.

Wat is een leveranciersverklaring

Een document waarin u als leverancier aantoonbaar maakt hoe uw informatiebeveiliging geregeld is: welke maatregelen u heeft getroffen, wie verantwoordelijk is, hoe u met incidenten omgaat en hoe uw klant dat kan controleren. Soms heet het een beveiligingsverklaring, security statement of ketenverklaring; de inhoud komt op hetzelfde neer.

Wat staat erin

• Wie u bent en welke diensten of producten u levert
• Wie verantwoordelijk is voor informatiebeveiliging
• Uw belangrijkste maatregelen: toegangsbeheer, MFA, back-ups, versleuteling, updates
• Hoe u incidenten detecteert en hoe snel u klanten informeert
• Welke subverwerkers of onderaannemers u zelf gebruikt
• Eventuele certificeringen of normen waaraan u werkt (bijvoorbeeld ISO 27001, maar dat is niet verplicht)

Voor de plichtige organisatie: leveranciers beoordelen

Bent u zelf NIS2-plichtig, dan is maatregel 4 van de zorgplicht dat u uw kritieke leveranciers in kaart brengt en beoordeelt. In de praktijk: een leveranciersregister opstellen, per leverancier het risico bepalen (heeft die toegang tot uw systemen of data?), en bewijs opvragen. Dat hoeft geen audit te zijn; een ingevulde vragenlijst met verklaring volstaat voor de meeste leveranciers.

Voor de toeleverancier: een verklaring die overal werkt

Het probleem voor toeleveranciers is dat elke klant zijn eigen vragenlijst stuurt. Het antwoord: één goede, actuele verklaring die de gangbare vragen afdekt, en die u naar elke opdrachtgever stuurt. Dat scheelt tientallen uren per jaar en laat u zien als partij die het op orde heeft.

Begin vandaag

Kreeg u een vragenlijst van een klant? Reageer snel, ook als nog niet alles op orde is: laat zien wat er staat en wanneer de rest volgt. Niets laten horen is het slechtste antwoord dat er is.

Wat er in een leveranciersverklaring hoort

Er bestaat geen wettelijk voorgeschreven model. Wat uw opdrachtgever wil zien, is dat u weet waar u het over heeft en dat de afspraken hard genoeg zijn om op te leunen. Deze indeling werkt in de praktijk en dekt de vragen die grote afnemers stellen.

• Wie u bent en wat u levert. Welke dienst of welk product, en welke systemen of gegevens van de klant u daarbij raakt.
• Welke maatregelen u heeft getroffen. Concreet per onderwerp: toegangsbeheer, MFA, back-ups, updates, versleuteling, screening van personeel.
• Hoe u incidenten meldt. Binnen hoeveel uur, bij wie, en welke informatie u dan levert. Sluit aan bij de termijnen die uw klant zelf moet halen.
• Wat u met onderaannemers doet. Welke partijen u inschakelt en welke afspraken u met hen heeft.
• Welk recht op controle uw klant heeft. Een audit, een vragenlijst of een rapportage, en hoe vaak.
• Wie het ondertekent en wanneer het herzien wordt. Met datum en een geldigheidstermijn.

Het verschil met een verwerkersovereenkomst

Deze twee worden vaak door elkaar gehaald, terwijl ze uit verschillende wetten komen en over verschillende dingen gaan.

U kunt ze allebei nodig hebben, en dat is normaal. Een ICT-leverancier die klantgegevens beheert, heeft een verwerkersovereenkomst voor de privacykant en een beveiligingsverklaring voor de continuïteitskant. Zie ook de verwerkersovereenkomst uitgelegd.

U valt zelf niet onder de wet, en toch krijgt u de vraag

Dit is de situatie waar de meeste toeleveranciers in zitten. U heeft twintig medewerkers, u zit niet in een aangewezen sector, en toch ligt er een vragenlijst van veertig punten van uw grootste klant. Dat is geen vergissing: die klant is verplicht zijn keten te beoordelen, en u bent onderdeel van die keten.

Het antwoord is niet dat u onder de wet valt, want dat doet u niet. Het antwoord is dat u kunt laten zien hoe u het geregeld heeft. Wie dat binnen een week netjes op papier heeft, blijft op de leverancierslijst. Wie het laat liggen, wordt op termijn vervangen door een concurrent die het wel heeft.

Hoe u reageert op een vragenlijst

Antwoord eerlijk, ook waar u iets niet heeft. Een "nee, en dit is onze planning" is beter dan een ja die bij doorvragen omvalt. Afnemers controleren steekproefsgewijs.

Vraag naar de context. Vaak is de vragenlijst generiek en gaat de helft niet over uw dienst. Vraag welke onderdelen van toepassing zijn, dat scheelt uren.

Maak één dossier, niet tien antwoorden. De volgende klant stelt vrijwel dezelfde vragen. Wie een vast dossier heeft, beantwoordt de tweede vragenlijst in een uur in plaats van een dag.

Zet er een datum op en herzie jaarlijks. Een verklaring van drie jaar oud roept meer vragen op dan hij beantwoordt.

Veelgestelde vragen

Ben ik verplicht een leveranciersverklaring af te geven?

Niet vanuit de wet, als u er zelf niet onder valt. Wel vanuit uw contract, zodra uw klant het als voorwaarde stelt. In de praktijk is het dus een commerciële verplichting geworden.

Wat als ik de gevraagde maatregelen niet heb?

Zeg dat, en zet erbij wat u wel doet en wat u wanneer gaat regelen. Afnemers accepteren een gemotiveerd groeipad vaker dan mensen denken. Wat ze niet accepteren is een verklaring die niet klopt.

Moet ik ISO 27001 hebben om zo'n verklaring af te geven?

Nee. Een certificaat maakt het makkelijker omdat u dan naar de scope kunt verwijzen, maar een goed onderbouwde eigen verklaring voldoet in de meeste gevallen prima.

Hoe vaak moet ik hem vernieuwen?

Jaarlijks, en verder bij elke wezenlijke verandering: een nieuwe onderaannemer, een migratie of een incident. Zet de herzieningsdatum in de verklaring zelf.