NIS2 leveranciers: contracten, risico en bestuurlijke grip

Wie zoekt op NIS2 leveranciers, zoekt vaak naar een lijst met contracteisen of beveiligingsvragen. Voor bestuur, directie, RvC en RvT is de belangrijkste vraag breder: weet de organisatie welke leveranciers de continuïteit echt kunnen raken, hoe die afhankelijkheden worden beheerst en welke informatie periodiek op tafel komt?

Onder NIS2 en de Cyberbeveiligingswet wordt leveranciersbeheersing geen los inkooponderwerp. Het raakt governance, continuïteit, incidentmelding, databeveiliging, uitbesteding en bestuurlijke verantwoording. Uitbesteden kan verstandig zijn; de bestuurlijke verantwoordelijkheid blijft bij de organisatie.

“‘Onze IT-dienstverlener regelt het wel; we kennen hem al jaren.’ Dat vertrouwen kom ik vaak tegen. In het contract ontbreken vervolgens concrete afspraken over herstel, uitwijk en continuïteit. Dan kan de organisatie bij uitval nergens op terugvallen.”

Wouter Parent

Waarom leveranciers onder NIS2 bestuurlijk relevant zijn

Veel organisaties draaien op een netwerk van IT-leveranciers, SaaS-platformen, hostingpartijen, MSP’s, softwareontwikkelaars, payrollsystemen, financiële applicaties, communicatieplatformen en ketenpartners. Een storing, ransomware-incident of datalek bij één van die partijen kan direct gevolgen hebben voor dienstverlening, reputatie en herstelvermogen.

Daarom is het onvoldoende om alleen te vragen of een leverancier “veilig werkt”. De bestuurlijke vraag is: welke leveranciers zijn kritisch, wat is het restrisico, hoe snel kunnen wij herstellen en wie beslist wat als de leverancier uitvalt?

Begin met een kritieke leverancierslijst

Een praktische NIS2-aanpak brengt eerst onderscheid aan. Maak zichtbaar welke leveranciers de organisatie materieel kunnen raken en prioriteer vervolgens de beoordeling. Let daarbij op leveranciers die kritisch zijn voor:

• primaire dienstverlening en continuïteit;
• toegang tot persoonsgegevens, bedrijfsgevoelige informatie of vitale data;
• beheer van identity, cloud, netwerk, back-up of endpointbeveiliging;
• ketenkoppelingen, API’s, EDI-verbindingen of klantportalen;
• incidentdetectie, logging, monitoring en herstel.

Die classificatie helpt om proportioneel te werken. De zwaarste eisen horen bij leveranciers die de organisatie operationeel of bestuurlijk echt kunnen raken.

Welke vragen stel je aan NIS2-leveranciers?

Een leveranciersbeoordeling hoeft niet ingewikkeld te starten. Bestuur en toezicht moeten vooral kunnen zien dat de juiste onderwerpen structureel worden uitgevraagd en opgevolgd.

Contracten: leg techniek én bestuurlijke afspraken vast

Contractuele afspraken moeten aansluiten op de risico’s. Denk aan meldtermijnen, auditrechten, exit-afspraken, data-export, back-upverantwoordelijkheid, aansprakelijkheid, onderaannemers, wijzigingenbeheer en beveiligingseisen. Juist deze onderwerpen bepalen of de organisatie in een incident bestuurlijk kan handelen.

Een goede contractuele basis voorkomt dat tijdens een verstoring discussie ontstaat over eigenaarschap, communicatie of herstel. Dat is vooral relevant bij leveranciers die kernprocessen ondersteunen.

Assurance, incidentmelding en continuïteit samen beoordelen

Assurance krijgt bestuurlijke waarde wanneer het bewijs aansluit op de geleverde dienst, de relevante periode en de kritieke afhankelijkheid. Een certificaat, SOC-rapport of auditrapport vormt daarom één onderdeel van het beeld. Incidentafspraken, hersteltests, openstaande bevindingen en aantoonbare opvolging maken zichtbaar hoe de beheersing in de praktijk werkt.

• controleer de scope, geldigheid en uitzonderingen van certificaten en assurance-rapporten;
• leg meldtermijnen, updatefrequentie, escalatie en ondersteuning bij onderzoek vast;
• koppel RTO, RPO, back-up en hersteltests aan de continuïteitsbehoefte van het eigen proces;
• volg bevindingen, uitzonderingen en verbeteracties tot aan aantoonbare afronding;
• rapporteer materiële restrisico’s en geaccepteerde afwijkingen aan bestuur en toezicht.

Het NCSC beschrijft aanvullend hoe Cbw-organisaties proportionele afspraken kunnen maken met rechtstreekse toeleveranciers en dienstverleners.

Rapportage aan bestuur en toezicht

Leveranciersbeheersing wordt pas bestuurlijk als er periodiek over wordt gerapporteerd. Een bruikbare rapportage toont de belangrijkste afhankelijkheden, openstaande bevindingen, uitzonderingen, incidenten, contractrisico’s en voortgang op verbetermaatregelen. Het totale aantal leveranciers geeft daarbij context.

Voor RvC of RvT is vooral relevant of de organisatie aantoonbaar weet welke leveranciers kritisch zijn en of daar passende beheersmaatregelen tegenover staan. Lees ook het artikel over NIS2 ketenverantwoordelijkheid en de praktische uitwerking in NIS2 supply chain.

Veelgestelde vragen over NIS2 leveranciers