NIS2 leveranciers: waarom een vragenlijst niet meer genoeg is
NIS2 vraagt om meer dan alleen inzicht in je leveranciers: je moet aantoonbaar in control zijn. Veel organisaties blijven hangen in vragenlijsten, terwijl juist risicobeoordeling, bewijs en borging het verschil maken. Door leveranciersmanagement praktisch in te richten, voldoe je aan de eisen én houd je grip op je keten.
Ik ben Camiël Brekelmans, een enthousiaste aanpakker bij CertificeringsAdvies Nederland (CAN). Mijn passie ligt in het oplossen van complexe vraagstukken en het creëren van werkbare oplossingen.
camiel@certificeringsadvies.nlVeel organisaties denken dat ze hun leveranciersmanagement goed op orde hebben. Tot ze NIS2 echt toepassen. De komst van de NIS2-richtlijn verandert namelijk hoe je naar informatiebeveiliging kijkt. Waar de focus eerst vooral intern lag, verschuift die nu naar de hele keten: jouw leveranciers en afhankelijkheden.
In de praktijk zien we dat veel organisaties blijven hangen in de basis:
- leveranciers zijn in beeld
- risico’s globaal ingeschat
- vragenlijsten verstuurd
Maar dat is niet meer voldoende. NIS2 vraagt om meer. Niet alleen om inzicht, maar om aantoonbare beheersing. Oftewel: je moet niet alleen weten hoe het zit, je moet het ook kunnen laten zien.
NIS2 ketenverantwoordelijkheid
NIS2 leveranciers: waar begin je concreet?
Een veelgestelde vraag is: wat moet ik nu precies doen?
NIS2 geeft geen vast stappenplan, maar in de praktijk zie je wel een duidelijke lijn. Geen checklist, maar een logische aanpak die zorgt dat je grip krijgt op je leveranciers.
Het begint bij overzicht. Je moet weten met wie je zaken doet. Niet alleen je directe leveranciers, maar ook partijen die indirect invloed hebben op jouw dienstverlening. Zonder dit overzicht kun je niet sturen.
Maar alleen een lijstje is niet genoeg. Je moet dit overzicht verdiepen. Daarbij helpt het om per leverancier drie dingen in kaart te brengen:
- Waar je afhankelijk van bent
- Welke afspraken er zijn
- Welke alternatieven je hebt
Dit wordt ook wel de “3 A’s” genoemd: afhankelijkheden, afspraken en alternatieven.
Denk daarnaast ook aan:
- Wie doet wat bij een incident?
- Wanneer schaal je op?
- Hoe verloopt de communicatie?
Wat vaak vergeten wordt, is het nadenken over alternatieven. Wat gebeurt er als een leverancier uitvalt? Kun je zonder, of moet je iets geregeld hebben? Juist daar zit het verschil tussen inzicht en echte beheersing.
NIS2 leveranciersmanagement: werken op basis van risico
Niet elke leverancier is even belangrijk. En dus ook niet even risicovol. Daarom is de volgende stap: beoordelen. Door te kijken naar impact en afhankelijkheid kun je bepalen:
- waar je echt de diepte in moet
- en waar een lichtere aanpak voldoende is
Hier lopen veel organisaties vast. Ze sturen een vragenlijst en gaan ervan uit dat dat genoeg is. Maar NIS2 vraagt om aantoonbaarheid. Je moet kunnen onderbouwen dat maatregelen er zijn én werken.
In de praktijk zie je twee manieren om dat te doen:
- zelf controleren, bijvoorbeeld via audits of inhoudelijke checks
- gebruikmaken van bestaande zekerheid, zoals certificeringen
Die tweede optie wordt steeds belangrijker. Zeker bij grotere aantallen leveranciers is alles zelf controleren vaak niet haalbaar. Certificering kan dan helpen om op een praktische manier zekerheid te krijgen, passend bij het risico.
Van afspraken naar bewijs: dit moet je vastleggen
Als je weet wat je verwacht van leveranciers, moet je dat ook vastleggen. Niet alleen in beleid, maar concreet:
- in contracten
- in afspraken
- in samenwerking
Zo maak je beveiliging onderdeel van hoe je samenwerkt, in plaats van een controle achteraf. Daarnaast moet je bewijs organiseren. Je moet op elk moment kunnen laten zien:
- welke eisen je stelt
- welk bewijs je hebt
- en hoe actueel dat is
Dat betekent: niet eenmalig verzamelen, maar bijhouden. Ook bij incidenten stopt het niet bij jouw organisatie. Je moet vooraf afspreken:
- hoe je samen incidenten oppakt
- wie waarvoor verantwoordelijk is
- hoe je samen herstelt
Wat als leveranciers niet meebewegen?
Een herkenbare vraag: wat doe je met grote partijen zoals Microsoft of Google?
Die vullen geen vragenlijsten in en passen hun voorwaarden niet aan. Toch moet je hier iets mee. NIS2 verplicht je niet om alles af te dwingen. Wat je wél moet doen, is:
- begrijpen wat het risico is
- onderbouwen waarom je dit accepteert
In de praktijk betekent dat:
- gebruikmaken van bestaande informatie (zoals certificeringen)
- bewust vastleggen welke risico’s je accepteert
- extra maatregelen nemen in je eigen omgeving
- deze afhankelijkheid meenemen in je continuïteitsplan
Geen invloed hebben betekent dus niet dat je niets hoeft te doen. Het betekent dat je slimmer moet omgaan met wat je wél kunt beheersen.
NIS2 geldt ook voor leveranciers (MKB!)
Veel organisaties denken: dit geldt alleen voor grote bedrijven. Dat klopt niet. Door ketenverplichtingen werkt NIS2 door naar een veel grotere groep. Steeds meer organisaties stellen eisen aan hun leveranciers.
Je ziet nu al dat klanten vragen om:
- aantoonbare beveiligingsmaatregelen
- inzicht in processen
- en soms zelfs certificering
Dit geldt niet alleen voor IT-bedrijven, maar ook voor:
- administratiekantoren
- bouw- en installatiebedrijven
- logistiek
- adviesbureaus
Kort gezegd: zit je in een keten, dan krijg je hiermee te maken.
Aantoonbaarheid: de kern van NIS2 leveranciers
Alles draait uiteindelijk om één ding: aantoonbaarheid. Je moet kunnen laten zien dat je:
- weet wie je leveranciers zijn
- risico’s hebt beoordeeld
- passende maatregelen hebt genomen
- bewijs hebt verzameld
- en dit blijft herhalen
In de praktijk komt het hierop neer: je moet niet alleen weten hoe het zit, maar het ook kunnen uitleggen en laten zien. Geen losse acties, maar een samenhangende aanpak.
Veelgestelde vragen over NIS2
De tijd van afwachten is voorbij
NIS2 draait niet alleen om verplichtingen. Het gaat ook over samenwerking, ketenveiligheid en NIS2 werd lang gezien als iets dat “eraan komt”. Die fase is voorbij. De wetgeving komt eraan en je merkt het nu al:
- klanten stellen strengere eisen
- vragen worden concreter
- aantoonbaarheid wordt verwacht
Wachten heeft weinig zin. De vraag is niet meer óf je iets moet doen, maar hoe ver je bent.
Grip krijgen op je leveranciers
De grootste uitdaging zit niet bij leveranciers waar je invloed op hebt. Maar juist bij de partijen waar je weinig invloed hebt. Daar zie je hoe goed je aanpak echt is. Niet door alles af te dwingen, maar door:
- risico’s duidelijk te maken
- keuzes bewust vast te leggen
- en te zorgen dat je kunt laten zien dat je in control bent
Organisaties die dat goed doen, voldoen niet alleen aan NIS2. Ze krijgen ook meer grip op hun keten.
Wil je meer informatie? Aan de slag met voldoen aan NIS2 eisen? Neem gerust contact met ons op. Wij helpen je graag op weg.
Ik ben Camiël Brekelmans, een enthousiaste aanpakker bij CertificeringsAdvies Nederland (CAN). Mijn passie ligt in het oplossen van complexe vraagstukken en het creëren van werkbare oplossingen.
camiel@certificeringsadvies.nl
Krijg grip op je leveranciers
Van vragenlijst naar aantoonbare beheersing: zo pak je het praktisch aan.
- Inzicht in je leveranciers en risico’s
- Praktische aanpak voor aantoonbaarheid
- Zekerheid met audits en certificering
