NIS2 en uitbesteding

De meest gestelde vraag van organisaties die hun ICT hebben uitbesteed: als mijn leverancier het regelt, ben ik dan klaar? Het antwoord is nee, en het is belangrijk om te begrijpen waarom.

Uitbesteden verplaatst het werk, niet de verantwoordelijkheid

De Cyberbeveiligingswet legt de plicht bij de entiteit die de dienst levert, dus bij u. Draait uw hele omgeving bij een clouddienst en beheert een externe partij alles, dan bent u nog steeds degene die zich moet registreren, die moet melden binnen 24 uur, en die moet kunnen aantonen dat de maatregelen passend zijn.

Wat wel verandert is hoe u dat aantoont: niet met eigen instellingen maar met afspraken, verklaringen en beoordelingen van uw leverancier.

Wat u dan moet regelen

• Weten wat er is uitbesteed. Een overzicht van diensten, wie ze levert, en welke gegevens of processen ze raken.
• De leverancier beoordelen en dat vastleggen. Zie leveranciersbeoordeling.
• Een meldtermijn afspreken. Zonder concrete termijn haalt u uw eigen 24 uur niet.
• Weten wie zijn onderaannemers zijn en of wijzigingen daarin vooraf gemeld worden.
• Een exitregeling: wat gebeurt er met uw gegevens als de samenwerking eindigt.
• Zelf de risicoanalyse doen. Uw leverancier kent zijn techniek, u kent uw bedrijfsrisico's.

De verdeling die u vastlegt

Die derde rij is waar organisaties het vaakst op vastlopen. Uw leverancier meldt niet namens u; u meldt zelf, en u kunt dat alleen als hij u op tijd informeert.

Clouddiensten die niemand heeft ingekocht

Naast de formele uitbesteding staat er in vrijwel elke organisatie een verzameling clouddiensten die ooit met een creditcard is afgesloten: een projecttool, een bestandsdienst, een nieuwsbriefsysteem. Die vallen buiten elk inkoopproces en staan wel in uw keten.

Breng ze in kaart. Een eenvoudige manier: kijk in de creditcardafschriften en vraag per afdeling welke tools er gebruikt worden. Dat levert vrijwel altijd diensten op die niemand op de lijst had staan.

Wat u van uw leverancier vraagt

Vier dingen, en houd het daarbij als u niet meer kunt afdwingen:

1. Binnen hoeveel uur informeert u ons bij een incident dat ons raakt?
2. Welke onderaannemers zet u in, en meldt u wijzigingen vooraf?
3. Heeft u een certificaat, en wat is de precieze reikwijdte daarvan?
4. Wat gebeurt er met onze gegevens bij beëindiging?

Let bij vraag drie op de reikwijdte. Een certificaat kan over een ander onderdeel gaan dan de dienst die u afneemt, en dan zegt het niets over uw situatie.

Vraag naar de reikwijdte van het certificaat

Dit is de meest voorkomende misvatting bij uitbesteding. Uw leverancier stuurt een ISO 27001-certificaat en daarmee lijkt de kous af. Maar een certificaat geldt voor een afgebakende scope, en die scope kan een heel ander onderdeel van zijn organisatie betreffen dan de dienst die u afneemt.

Vraag daarom altijd om de verklaring van toepasselijkheid of minimaal om de scopeomschrijving op het certificaat, en controleer of uw dienst daar expliciet in staat. Staat hij er niet in, dan zegt het certificaat niets over uw situatie.

Hoe de situatie verschilt per vorm van uitbesteding

• Volledige uitbesteding aan één IT-partij. U heeft één contract om aan te scherpen, wat het overzichtelijk maakt, maar u bent ook volledig van die ene partij afhankelijk.
• Meerdere leveranciers voor verschillende onderdelen. Meer werk om te overzien, maar minder risico als één partij uitvalt. Leg vast wie welk onderdeel doet, dat overzicht ontbreekt vaker dan gedacht.
• Uw leverancier is zelf een beheerde IT-dienstverlener die onder de wet valt. Dan heeft die partij eigen verplichtingen, wat de afstemming makkelijker maakt, maar dat ontslaat u niet van uw eigen registratie en meldplicht.

Wat er misgaat als u dit verkeerd inschat

De duurste misvatting is aannemen dat een leverancier met een goede reputatie automatisch ook uw meldtermijn haalt. Zonder contractuele afspraak over de tijd waarbinnen u geïnformeerd wordt, ontdekt u een incident vaak pas als het al buiten de 24 uur ligt, simpelweg omdat de leverancier zijn eigen proces volgt en niet het uwe. Het omgekeerde risico is dat u zelf een uitgebreide technische risicoanalyse optuigt over infrastructuur die u niet beheert, en de organisatorische risico's laat liggen die wel echt van u zijn.

De volgorde bij een bestaande uitbestedingsrelatie

1. Breng in kaart welke leveranciers welke gegevens en processen raken, inclusief de diensten die buiten inkoop om zijn afgesloten.
2. Vraag per kritieke leverancier naar de meldtermijn en leg die contractueel vast.
3. Vul uw eigen risicoanalyse aan met de gevolgen voor uw dienstverlening als die leverancier uitvalt.
4. Herhaal deze inventarisatie jaarlijks, want leveranciers en contracten veranderen sneller dan de meeste organisaties bijhouden.

De denkfout: een goed contract is hetzelfde als een goede afspraak

Veel organisaties denken dat een dienstverleningsovereenkomst met een paragraaf over beveiliging voldoende basis is. Een clausule die niets zegt over een concrete meldtermijn in uren is bij een incident waardeloos, hoe uitgebreid de rest van het contract ook is. Vraag altijd om een getal, niet om een intentie.

Veelgestelde vragen

Wij draaien alles in de cloud, valt dat dan onder de leverancier?

Nee. De verplichting blijft bij u. U toont aan met afspraken en beoordelingen in plaats van met eigen instellingen.

Onze beheerpartij zegt dat zij het regelen.

Laat dat contractueel vastleggen met concrete termijnen, en beoordeel of het klopt. Een mondelinge toezegging is geen bewijs.

Moeten wij zelf een risicoanalyse doen als alles is uitbesteed?

Ja. Uw leverancier kent zijn techniek, u kent de gevolgen voor uw dienstverlening. Die tweede kant kan hij niet voor u invullen.

Wat als de leverancier weigert een meldtermijn af te spreken?

Leg vast dat u het gevraagd heeft en welk risico u daardoor loopt. Bij een kritieke leverancier is dat reden om naar een alternatief te kijken.

Wij hebben meerdere kleine clouddiensten, moeten die allemaal een meldtermijn hebben?

Focus eerst op de diensten die uw kernproces raken. Kleine hulptools met beperkte impact kunt u lager op de lijst zetten.

Onze leverancier zit in het buitenland, verandert dat iets?

Niet aan uw eigen verplichting. Vraag wel expliciet hoe die leverancier meldt, want tijdsverschil en taal kunnen de 24 uur onder druk zetten.

Moeten wij een nieuwe leverancier selecteren op basis van geschiktheid voor de Cyberbeveiligingswet?

Neem het mee als criterium naast prijs en functionaliteit, zeker bij een kritieke dienst, maar het hoeft niet doorslaggevend te zijn bij elke inkoop.