U bent IT-dienstverlener, softwareleverancier, machinebouwer of onderhoudsbedrijf, en uw organisatie valt niet rechtstreeks onder NIS2. Toch ligt er een bericht van uw grootste afnemer: een vragenlijst over uw beveiligingsmaatregelen, een verzoek om een beveiligingsverklaring en een aantal nieuwe contractvoorwaarden. De verklaring daarvoor ligt niet bij u, maar bij de verplichtingen van uw afnemer.

De kern van de zaak: NIS2 verplicht organisaties de beveiliging van hun gehele toeleveringsketen te beoordelen. Uw afnemer moet kunnen aantonen dat ook bij u de zaken op orde zijn. Kan hij dat niet, dan wordt u een risico dat hij moet beheersen of afbouwen.

Waarom NIS2 uw probleem wordt

Artikel 21 van de richtlijn verplicht essentiële en belangrijke entiteiten de beveiliging van hun keten te borgen. Voor uw afnemer betekent dat concreet:

  • de beveiligingsrisico's van iedere leverancier beoordelen
  • beveiligingseisen contractueel vastleggen
  • periodiek toetsen of leveranciers daaraan voldoen
  • bij een incident kunnen aantonen dat de keten was beoordeeld

Schiet hij daarin tekort, dan loopt hij een boete op die volgens artikel 34 van richtlijn (EU) 2022/2555 kan oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Dat verklaart waarom deze vragen bij u terechtkomen, en waarom er zelden ruimte is om ze onbeantwoord te laten.

Wat gaat uw klant van u vragen?

Dit zijn de vragen die in vrijwel iedere leveranciersbeoordeling terugkeren:

  • Heeft u een formeel informatiebeveiligingsbeleid, bijvoorbeeld op basis van ISO 27001?
  • Hoe beheert u toegang tot systemen en gegevens van uw afnemers?
  • Heeft u een incidentprocedure, en binnen welke termijn meldt u?
  • Hoe borgt u de beveiliging van verbindingen op afstand?
  • Voert u periodiek kwetsbaarheidsscans of penetratietests uit?
  • Beschikt u over een back-up- en herstelstrategie die wordt beproefd?
  • Hoe screent u eigen medewerkers en onderaannemers?
  • Bent u bereid mee te werken aan een audit door uw afnemer of een derde?

Drie scenario's: welke is van toepassing op u?

Scenario 1: u kunt deze vragen niet beantwoorden.
Dit is de ongunstigste uitgangspositie. Uw afnemer merkt u aan als leverancier met een verhoogd risico. Op korte termijn leidt dat tot aanvullende eisen, op langere termijn tot het verlies van het contract wanneer er geen verbetering volgt.

Scenario 2: u heeft het grotendeels op orde, maar niet vastgelegd.
Dit is de meest voorkomende situatie in het MKB. Technisch is er weinig mis, maar het ontbreekt aan documentatie. Aangezien de beoordeling draait om aantoonbaarheid, kan een dag vastleggen hier het verschil maken tussen afvallen en doorgaan.

Scenario 3: u bent gecertificeerd of ver op weg.
U staat sterk. Maak het uw afnemer eenvoudig door uw certificaat, verklaring van toepasselijkheid en relevante procedures ongevraagd toe te sturen. Dat bekort zijn beoordeling en onderscheidt u van partijen die eerst intern moeten uitzoeken hoe het zit.

Hoe u zich voorbereidt als leverancier

  1. Breng uw afnemers in kaart. Welke van hen vallen onder de wet? Denk aan energie, transport, zorg, water, digitale infrastructuur en overheid.
  2. Stel een beveiligingsverklaring op waarin uw maatregelen zijn beschreven in een vorm die uw afnemer direct in zijn beoordeling kan opnemen.
  3. Richt de basis in: toegangsbeheer, patchbeheer, back-ups, een incidentprocedure en bewustwording.
  4. Overweeg certificering. Een ISO 27001-certificaat is het sterkste bewijs en bespaart u het telkens opnieuw invullen van uiteenlopende vragenlijsten.
  5. Wees u voor. Stuur uw documentatie voordat erom wordt gevraagd; dat verandert de toon van het gesprek.

Concurrentievoordeel: leveranciers die deze zaken op orde hebben, winnen opdrachten van partijen die technisch gelijkwaardig zijn maar hun beveiliging niet kunnen aantonen. De investering vertaalt zich daarmee rechtstreeks naar behouden en gewonnen contracten.

NIS2-ready worden als leverancier?

Resotech helpt leveranciers en MKB-bedrijven voldoen aan de supply chain-eisen die hun afnemers onder NIS2 doorgeven, van quickscan tot ISO 27001-begeleiding.

Plan een gesprek