NIS2 supply chain: hoe organiseer je leveranciersbeheersing die werkt?

Een organisatie kan haar eigen beveiliging behoorlijk goed op orde hebben en toch kwetsbaar zijn door één externe partij.

Een cloudprovider.

Een SaaS-platform.

Een IT-beheerder.

Een leverancier die zelf weer volledig afhankelijk is van één onderaannemer.

Dat is waarom de Cyberbeveiligingswet expliciet aandacht vraagt voor de beveiliging van de toeleveringsketen.

Als ik met een bestuur over supply-chainrisico spreek, begin ik daarom niet bij contractclausules.

Ik begin bij:

welke partij kan onze kritieke dienstverlening stilleggen zonder dat we daar zelf snel een alternatief voor hebben?

Supply chain is breder dan je directe leverancier

Je directe contractpartij is maar één schakel.

Achter een SaaS-leverancier kunnen bijvoorbeeld zitten:

• hyperscaler/cloudprovider;
• identityprovider;
• datacenter;
• back-upprovider;
• softwarecomponenten;
• supportpartij;
• telecomprovider.

Je hoeft niet iedere partij in de wereld volledig te auditen.

Je wilt wel begrijpen waar een verstoring zich door de keten kan verspreiden.

Wat vraagt de Cyberbeveiligingswet?

Beveiliging van de toeleveringsketen is onderdeel van de wettelijke zorgplicht.

Organisaties die onder de Cbw vallen moeten passende en evenredige maatregelen nemen om cyberrisico's te beheersen.

Voor supply chain betekent dat onder meer dat je risico's van leveranciers en dienstverleners meeweegt.

De exacte maatregel hangt af van:

• risico;
• afhankelijkheid;
• omvang;
• sector;
• technische context.

De wet vraagt dus geen identieke vragenlijst voor iedere leverancier.

Stap 1: begin bij kritieke processen

Ik zou eerst vaststellen:

• welke processen essentieel zijn;
• welke systemen daarvoor nodig zijn;
• welke externe partijen daarin zitten;
• hoeveel uitval acceptabel is.

Daarmee voorkom je dat leveranciersbeoordeling een administratieve lijst wordt.

Stap 2: identificeer concentratierisico

Een opvallend ketenrisico ontstaat wanneer verschillende diensten uiteindelijk op dezelfde onderliggende partij steunen.

Bijvoorbeeld:

Drie verschillende SaaS-leveranciers lijken los van elkaar te staan, maar draaien allemaal op dezelfde cloudregio.

Dan heb je meer concentratierisico dan je leveranciersregister laat zien.

Vraag daarom bij kritieke diensten:

• welke cloudprovider wordt gebruikt;
• welke regio;
• welke identitydienst;
• welke netwerkpartij;
• welke onderaannemer essentieel is.

Stap 3: onderscheid impact en vervangbaarheid

Twee leveranciers kunnen allebei belangrijk zijn en toch heel anders risico opleveren.

Beoordeel bijvoorbeeld:

• impact van uitval;
• gevoeligheid van data;
• beheerrechten;
• tijd om te vervangen;
• dataportabiliteit;
• herstelafhankelijkheid.

Een partij die binnen een dag vervangen kan worden vraagt een andere aanpak dan een platform waarop tien jaar proceshistorie zit.

Stap 4: stel passende eisen

Voor kritieke partijen kunnen eisen gaan over:

• informatiebeveiliging;
• incidentmelding;
• toegangsbeheer;
• kwetsbaarheden;
• continuïteit;
• back-up;
• herstel;
• onderaannemers;
• assurance;
• auditrechten;
• exit.

Koppel eisen aan het risico.

Een generieke securitybijlage van twintig pagina's is geen doel op zichzelf.

Stap 5: vraag bewijs

Ik wil bij kritieke leveranciers weten waarop vertrouwen gebaseerd is.

Bijvoorbeeld:

• ISO-certificaat;
• SOC/ISAE;
• auditrapport;
• penetratietest;
• hersteltest;
• SLA-rapportage;
• incidentstatistieken.

Lees scope en uitzonderingen.

Een certificaat kan prima zijn en toch onvoldoende zeggen over precies de dienst waarvan jij afhankelijk bent.

Stap 6: denk door naar incidenten in de keten

Leg vooraf vast:

• wie meldt;
• hoe snel;
• welke informatie wordt verstrekt;
• hoe updates verlopen;
• wie beslissingen neemt;
• welke gegevens nodig zijn voor eigen meldplicht;
• hoe herstel wordt afgestemd.

Bij een ketenincident is informatie vaak schaars.

Juist daarom zijn afspraken vooraf waardevol.

Stap 7: ken je exit

Een supply-chainrisico wordt groter wanneer je technisch of contractueel nauwelijks weg kunt.

Vraag:

• kunnen we data exporteren;
• in welk formaat;
• hoe lang duurt migratie;
• wie heeft documentatie;
• kunnen accounts en sleutels worden overgedragen;
• welke kosten ontstaan;
• wat gebeurt bij faillissement?

Exit is geen inkoopdetail.

Voor een kritieke dienst is het continuïteitsbeheersing.

Wat wil bestuur/directie zien?

Geen lijst van 200 leveranciers.

Ik zou een compact overzicht maken van:

• top kritieke afhankelijkheden;
• concentratierisico;
• grootste openstaande onzekerheden;
• leveranciers zonder voldoende bewijs;
• herstel/exit-risico;
• acties en eigenaren.

Dat geeft bestuurlijk grip.

Wat wil toezicht zien?

Een RvT/RvC hoeft contracten niet zelf te controleren.

Wel kun je vragen:

• Welke leverancier kan onze kernactiviteit het hardst raken?
• Welk bewijs hebben we over diens beheersing?
• Waar zitten onderliggende concentraties?
• Welke exit is nog onvoldoende voorbereid?
• Welke restrisico's heeft het bestuur geaccepteerd?

Dat zijn normale toezichtvragen over continuïteit.

Supply chain versus leveranciersmanagement

Gebruik op deze site het onderscheid:

NIS2 supply chain

De keten als systeem: onderlinge afhankelijkheden, tiers, concentratie en cascading risk.

NIS2 leveranciers

De directe relatie: contract, assurance, incidentafspraak, SLA en periodieke beoordeling.

Lees wat NIS2 vraagt van directe leveranciers

Mijn uitgangspunt

Je hoeft de hele digitale wereld niet in kaart te brengen.

Begin met de paar partijen waarvan je organisatie echt afhankelijk is.

Vraag daarna:

waar vertrouwen we op, welk bewijs hebben we en wat doen we als die partij uitvalt?

Daarmee maak je supply-chainrisico bestuurbaar.

Veelgestelde vragen