NIS2 in aanbestedingen

Voor veel leveranciers is dit het moment waarop NIS2 concreet wordt: niet via een toezichthouder maar via een uitvraag waarin ineens beveiligingsvragen staan die er vorig jaar niet in stonden.

Waarom het opeens in aanbestedingen staat

Opdrachtgevers die onder de wet vallen moeten hun leveranciers beoordelen en dat vastleggen. De makkelijkste plek om dat te doen is bij de inkoop, want daar wordt toch al gevraagd en vergeleken. Beveiliging verschuift daarmee van een randvoorwaarde naar een gunningscriterium met punten erop.

Wat u tegenkomt

Let op de tweede rij. Staat er "ISO 27001 of gelijkwaardig", dan mag u met een onderbouwing komen in plaats van een certificaat. Veel leveranciers haken daar onnodig af.

Wat u vooraf klaarlegt

• een actuele beveiligingsverklaring met datum en handtekening
• een korte beschrijving van uw beleid, maximaal twee pagina's
• uw meldtermijn bij incidenten, concreet in uren
• een overzicht van uw onderaannemers
• certificaten met hun reikwijdte en geldigheidsdatum
• uw verwerkersovereenkomst als er persoonsgegevens spelen

Deze set stelt u één keer samen en hergebruikt u daarna. Dat scheelt bij elke uitvraag een dag werk en het scheelt u de haast waarin fouten ontstaan.

Beloof niets wat u niet waarmaakt

De verleiding bij een aanbesteding is om ruim te antwoorden. Bedenk dat uw antwoorden onderdeel worden van het contract. Zet u er een hersteltijd van vier uur in die u niet haalt, dan heeft u bij het eerste incident naast een storing ook een contractbreuk.

Antwoord dus met wat u echt doet, en met een plan waar u nog niet bent. In de praktijk scoort een eerlijk antwoord met een concrete datum beter dan een ruim antwoord dat later niet blijkt te kloppen.

Gebruik het als voordeel

De meeste van uw concurrenten hebben dit niet op orde. Wie binnen een dag een nette set kan aanleveren, valt op. Zet uw aanpak daarom actief in uw offerte, ook als er niet expliciet naar gevraagd wordt: het is een onderscheidend punt zolang de markt nog aan het bijkomen is.

De vragen die vrijwel altijd terugkomen

Over uitvragen heen komen dezelfde acht vragen terug. Bereid deze antwoorden één keer voor en u bent bij elke volgende aanbesteding binnen een uur klaar:

1. Heeft u een vastgesteld informatiebeveiligingsbeleid en wie heeft het vastgesteld?
2. Heeft u een risicoanalyse en wanneer is die voor het laatst herzien?
3. Hoe is toegang tot onze gegevens geregeld en staat MFA aan?
4. Binnen hoeveel uur meldt u een incident aan ons?
5. Hoe zijn back-ups geregeld en wanneer is terugzetten getest?
6. Welke onderaannemers zet u in?
7. Heeft u een certificaat en wat is de reikwijdte?
8. Wat gebeurt er met onze gegevens bij beëindiging?

Vraag vier en vijf zijn waar u zich onderscheidt. Een concreet aantal uren en een testdatum van vorige maand zeggen meer dan welke algemene formulering ook.

Het soort uitvraag bepaalt uw aanpak

• Uitsluitingscriterium. Voldoet u niet, dan valt u meteen af. Zorg dat uw verklaring dekt wat er letterlijk gevraagd wordt, niet ongeveer.
• Gunningscriterium met punten. Hier loont een uitgebreider antwoord. Een concrete meldtermijn en een recente testdatum leveren meer punten op dan een algemene tekst.
• Onderhandse aanbesteding bij een vaste klant. Minder formeel, maar de vragen zijn vaak dezelfde. Gebruik dezelfde vaste set die u voor formele aanbestedingen heeft klaarliggen.
• Raamovereenkomst voor meerdere jaren. Hier wegen contractuele eisen als auditrecht en meldtermijn zwaarder, omdat u er voor langere tijd aan vastzit. Onderhandel hier net zo scherp als over de prijs.

Wat een verkeerde inschatting kost

Inschrijvers die een uitsluitingscriterium te ruim interpreteren en toch inschrijven, vallen af op een formaliteit, ook als hun beveiliging feitelijk op orde is. Inschrijvers die bij een gunningscriterium te summier antwoorden, verliezen punten aan een concurrent die exact hetzelfde niveau heeft maar het beter beschrijft. Beide missers zijn te voorkomen door de uitvraag letterlijk te lezen in plaats van aan te nemen wat er ongeveer bedoeld wordt.

De volgorde bij een nieuwe uitvraag

1. Lees eerst of het een uitsluitingscriterium of een gunningscriterium is; dat bepaalt of volledigheid of overtuigingskracht voorop staat.
2. Vul uw vaste set met verklaring, beleid en meldtermijn aan met wat specifiek voor deze uitvraag wordt gevraagd.
3. Laat iemand die de tekst niet zelf schreef hem tegen de uitvraag aanleggen, vaak valt dan op wat ontbreekt.
4. Bewaar het definitieve antwoord, want bij gunning wordt het onderdeel van het contract.

De denkfout: dezelfde tekst overal hergebruiken

Een vaste set voorbereiden is verstandig, maar sommige inschrijvers gaan een stap te ver en plakken exact dezelfde tekst in elke uitvraag, ook waar de vragen net anders geformuleerd zijn. Een beoordelaar ziet dat, en het oogt als een sjabloonantwoord in plaats van een doordacht antwoord op zijn specifieke vraag. Pas de vaste kern altijd aan op de exacte formulering van de uitvraag.

Veelgestelde vragen

Moet ik ISO 27001 hebben om mee te doen?

Meestal niet. Kijk of er "of gelijkwaardig" staat; dan volstaat een onderbouwde verklaring.

Wat als ik een vraag niet met ja kan beantwoorden?

Antwoord eerlijk en zet erbij wanneer het geregeld is. Een onjuist antwoord dat later uitkomt is aanzienlijk schadelijker.

Mag een opdrachtgever eisen dat mijn onderaannemers ook voldoen?

Ja, dat komt regelmatig voor. Zorg dat u weet wie uw onderaannemers zijn en welke afspraken u met hen heeft.

Geldt dit ook bij private opdrachtgevers?

Ja, en daar gaat het vaak sneller dan bij aanbestedingen omdat er geen formele procedure aan vastzit.

Telt een lopend traject naar ISO 27001 mee als wij nog niet gecertificeerd zijn?

Vermeld het met een concrete einddatum. Sommige aanbestedingen waarderen aantoonbare voortgang, andere vragen een hard bewijs; lees de uitvraag na op dit punt.

Mogen wij bij twijfel de aanbestedende dienst om verduidelijking vragen?

Ja, dat kan meestal via de nota van inlichtingen. Gebruik die mogelijkheid, een verkeerd geïnterpreteerde eis kost u anders de hele inschrijving.

Weegt onze bedrijfsgrootte mee bij de beoordeling van onze beveiliging?

Meestal niet expliciet, maar een kleine inschrijver met een bondig en kloppend antwoord scoort vaak beter dan een grote met een omslachtig antwoord.