Maatregel 4: Beveiliging van de toeleveringsketen

De zorgplicht uit de Cyberbeveiligingswet noemt tien onderwerpen waar u maatregelen op moet nemen. Dit is nummer 4 van de tien. De wettekst noemt het: beveiliging van de toeleveringsketen, inclusief de relatie met directe leveranciers.

Waar het op neerkomt

Weten wie er in uw keten zit, hen beoordelen, en dat vastleggen. Dit is de maatregel die de hele markt raakt, ook bedrijven die zelf buiten de wet vallen.

Wat u concreet doet

• maak een overzicht van leveranciers die uw dienstverlening of gegevens raken
• bepaal per leverancier hoe kritiek hij is
• beoordeel de kritieke leveranciers op beveiliging en leg de uitkomst vast
• neem beveiligingsafspraken op in het contract, inclusief een meldtermijn
• herhaal de beoordeling periodiek en bij wijzigingen

Welk bewijs u nodig heeft

De wet vraagt niet alleen dat u het regelt, maar dat u het kunt aantonen. Zorg dat het volgende klaarligt:

• een actueel leveranciersoverzicht met kritikaliteit
• beoordelingen per kritieke leverancier, gedateerd
• contracten of bijlagen met beveiligingsafspraken
• verwerkersovereenkomsten waar persoonsgegevens spelen

Een toezichthouder vraagt zelden of u iets geregeld heeft. Hij vraagt waar het staat, wie het heeft vastgesteld en wanneer het voor het laatst is bekeken.

Waar het meestal misgaat

Er is geen enkele beoordeling vastgelegd, of alleen voor de grootste leverancier. En de meldtermijn richting u ontbreekt in het contract, waardoor u uw eigen 24 uur niet kunt halen.

De maatregel die de hele markt raakt

Dit is de enige van de tien die ook bedrijven raakt die zelf buiten de wet vallen. Uw plichtige klanten moeten u beoordelen, dus krijgt u vragenlijsten, verklaringen en contractclausules voorgelegd. In veel branches is dit inmiddels een gunningscriterium bij aanbestedingen geworden.

Andersom geldt hetzelfde voor u: uw eigen leveranciers moet u beoordelen. Begin bij de partijen zonder wie u niet kunt leveren, niet bij de grootste facturen. Die twee lijsten verschillen vaker dan u denkt.

Wat u minimaal in het contract zet

Drie dingen maken het verschil: binnen welke termijn de leverancier u informeert bij een incident, wat hij dan meestuurt, en of hij onderaannemers mag inzetten zonder u te informeren. Zonder die eerste afspraak kunt u uw eigen meldplicht van 24 uur niet halen, want dan hoort u het te laat. Zie het voorbeeld van een leveranciersverklaring.

Hoe zwaar moet dit zijn

De wet spreekt van passende maatregelen. Wat passend is hangt af van uw omvang, uw sector en de gevolgen van uitval. Een organisatie van twintig man hoeft hier niet hetzelfde neer te zetten als een ziekenhuis, zolang de keuze maar herleidbaar is naar uw eigen risicoanalyse. Zie maatregel 1, want daar begint het.

Verhouding tot ISO 27001

Bijlage A van ISO 27001 bevat leveranciersmaatregelen, maar NIS2 maakt de beoordeling expliciet verplicht en aantoonbaar. Heeft u de norm al staan, dan is dit onderdeel meestal grotendeels gedekt. Zie NIS2 versus ISO 27001.

Uw eerste stap deze week

Maak een lijst van de partijen zonder wie u morgen niet kunt leveren. Meestal zijn dat er vijf tot vijftien, veel minder dan het totale leveranciersbestand. Begin bij die lijst en niet bij het inkoopsysteem. Reken op twee uur voor de lijst en een uur per leverancier voor de eerste beoordeling.

De andere negen maatregelen

Deze maatregel staat niet op zichzelf. Het volledige overzicht met de samenhang staat bij de tien verplichte maatregelen, en de bredere context bij de zorgplicht.

Hoeveel leveranciers u werkelijk hoeft te beoordelen

Ondernemers schrikken vaak van deze maatregel omdat ze denken aan hun hele inkoopbestand. Dat is niet de opgave.

Het aantal facturen zegt niets over kritikaliteit. Een leverancier van kantoorartikelen levert vaak meer omzet op dan de partij die uw hele netwerk beheert, maar is voor deze maatregel irrelevant.

Het bewijsstuk dat een toezichthouder het liefst ziet

Van alle documenten die bij deze maatregel horen, weegt een leveranciersverklaring het zwaarst, mits ze concreet is. Een verklaring die alleen zegt dat de leverancier aan beveiliging doet, overtuigt niemand. Een verklaring die benoemt welke maatregelen genomen zijn, binnen welke termijn een incident gemeld wordt en of er onderaannemers worden ingezet, doet dat wel.

Deze maatregel raakt bovendien twee andere direct. Vraag bij een kritieke leverancier ook naar zijn cryptografiebeleid als hij gegevens van u verwerkt, en zorg dat de meldtermijn in het contract aansluit op uw eigen incidentbehandeling. Anders hoort u het incident van uw leverancier later dan de vierentwintig uur die u zelf moet halen.

Veelgestelde vragen

Is deze maatregel verplicht voor iedereen die onder de wet valt?

Ja, alle tien onderwerpen gelden. Wat verschilt is de zwaarte van de invulling, en die onderbouwt u met uw risicoanalyse.

Wat als wij dit hebben uitbesteed?

Dan blijft de verantwoordelijkheid bij u. U moet uw leverancier beoordelen en vastleggen wat hij regelt. Zie maatregel 4 over de toeleveringsketen.

Telt een certificaat als bewijs?

Het helpt, maar het is niet verplicht en niet voldoende. De wet vraagt geen certificaat maar bewijs dat u passende maatregelen neemt. Zie de vergelijking van keurmerken.

Moet ik al mijn leveranciers beoordelen?

Nee, de leveranciers die uw dienstverlening of uw gegevens raken. Leg uw afbakening vast, dan is die keuze onderbouwd.

Wat als een leverancier niet meewerkt?

Leg vast dat u het gevraagd heeft en welk risico u daardoor loopt. Bij een kritieke leverancier is dat een reden om naar een alternatief te kijken.

Volstaat een ISO 27001 certificaat van de leverancier als beoordeling?

Het is een sterke aanwijzing, maar vervangt niet de vraag of de leverancier ook u informeert binnen een termijn die bij uw eigen meldplicht past.

Moeten wij ook onderaannemers van onze leveranciers beoordelen?

Direct hoeft dat niet, maar vraag uw leverancier wel of hij onderaannemers inzet en of hij die zelf beoordeelt.

Wat doen wij met een leverancier die niet vervangbaar is maar niet meewerkt?

Leg het risico vast, bespreek het met het bestuur en zoek naar een tussenoplossing zoals extra monitoring aan uw eigen kant.