Valt jouw opdrachtgever onder de Cyberbeveiligingswet (Cbw)? Dan moet die organisatie aan verschillende verplichtingen op het gebied van cyberbeveiliging voldoen. Een deel daarvan komt vroeg of laat bij jou als leverancier terecht, bijvoorbeeld in de vorm van een vragenenlijst. Daarnaast is het mogelijk dat je opdrachtgever je aanvullende eisen stelt, denk aan het voldoen aan normen als ISO 27001.
Wat kun je verwachten?
De zorgplicht in de Cbw verplicht je opdrachtgever om maatregelen te nemen voor de beveiliging van de toeleveringsketen. Jouw opdrachtgever moet nagaan of zijn rechtstreekse leveranciers voldoen aan de eisen die hij op basis van zijn eigen risicoanalyse heeft bepaald. Hoe hij dat doet, schrijft de wet niet voor.
Dit zien wij in de praktijk gebeuren. De ene opdrachtgever stuurt een vragenlijst van tientallen pagina's. De andere vraagt alleen om je ISO 27001-certificaat. Een derde wil een contractuele aanpassing: incidenten versneld melden, meewerken aan audits en bijvoorbeeld eisen doorzetten naar jouw eigen leveranciers.
Die meldtermijn heeft een reden. Bij een significant incident moet je opdrachtgever binnen 24 uur een eerste waarschuwing afgeven. Valt jouw dienst uit, dan wil je opdrachtgever dat snel van je horen. Niet alleen omdat hij moet melden, maar ook omdat zijn eigen dienstverlening ervan afhangt.
Hoe verschillend de vragen ook zijn, ze draaien om drie dingen. Wat doe je om je dienst en zijn gegevens te beveiligen? Kun je dat laten zien? En wat gebeurt er als het misgaat?
Invullen is niet hetzelfde als onderbouwen
Een vragenlijst invullen lukt bijna iedereen. Hebben jullie een back-upbeleid? Ja. Worden toegangsrechten periodiek gecontroleerd? Ja. Het probleem zit in de vraag die nog niet gesteld is: laat dit aantoonbaar zien.
Je moet je antwoorden dus kunnen onderbouwen. Dat betekent dat je bij elke vraag weet:
Waar staat het beschreven?
Wie doet wat?
Hoe toon je aan dat het gebeurd is?
Ontbreekt er één, dan is je antwoord een intentie. Een beschreven back-upbeleid zegt namelijk niets over het resultaat van de laatste restoretest.
De ingevulde vragenlijst geeft jou ook inzicht. Jouw dienst draait namelijk op leveranciers: een hostingpartij, een IT-beheerder, een SaaS-pakket. Na het invullen zie je welke van je eigen leveranciers invloed hebben op de dienst die je aan deze opdrachtgever levert.
Je eerste stap
Begin met een controle: leg elk ingevuld antwoord naast het bewijs dat je al hebt.
Geef elk antwoord een label: aantoonbaar, deels aantoonbaar of niet aantoonbaar.
Vraag je bij elk “deels” en “niet” af: is dit een echt risico voor mijn opdrachtgever?
Bespreek tot slot de uitkomst met je opdrachtgever. Een eerlijk “nog niet, gepland voor het tweede kwartaal” houdt langer stand dan een “ja” die je bij de eerste vervolgvraag moet aanpassen.
Het invullen van de vragenlijst is niet het werk. Het oordeel erover wel. Wil je dat iemand je antwoorden naast je praktijk legt en doorvraagt tot het klopt? Daar helpen we je graag bij. [Plan een gesprek van 30 minuten]
Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en waar je staat? We voeren NIS2-nulmetingen uit en helpen organisaties de verplichtingen praktisch in te richten, van risicoanalyse tot boardroomsessie. Neem vrijblijvend contact op.