De vragenlijst die u van uw klant krijgt, bestaat omdat de wet hem verplicht zijn keten te beoordelen. Diezelfde logica loopt door: uw systeembeheerder, uw softwareleveranciers en uw cloudpartijen zijn úw keten, en een klant die doorvraagt wil weten of u die kant ook op orde heeft.
Waar begin ik: wie zijn eigenlijk mijn leveranciers?
Met een leveranciersregister. Per partij: welke dienst leveren ze, welke toegang hebben ze tot uw systemen, welke data raken ze, en welk contract ligt eronder. De partij die het vaakst wordt vergeten, is degene met de meeste toegang: de ICT-beheerder die overal bij kan.
Zo'n register is een middag werk en beantwoordt meteen een vraag die op vrijwel elke klantvragenlijst staat.
Welke afspraken horen er in een leverancierscontract?
Drie onderwerpen: incidentmelding (meldt de leverancier bij u, en binnen welke termijn), toegangsbeheer (wie mag erbij en hoe wordt dat bijgehouden), en wat er met uw data gebeurt bij het einde van het contract. Bij nieuwe contracten is dat een bijlage; bij bestaande contracten is het verlengmoment het natuurlijke moment om het te regelen.
De meldtermijn verdient extra aandacht. Zonder die afspraak hoort u van een incident bij uw leverancier pas als het in de krant staat, en dan haalt u uw eigen 24-uurstermijn richting uw klanten niet meer.
Hoe vaak moet ik leveranciers beoordelen?
De wet vraagt om een doorlopend proces, niet om een eenmalige controle bij het tekenen van het contract. Jaarlijks uw kritische leveranciers langslopen en de uitkomst vastleggen is voor de meeste bedrijven passend. Dat hoeft geen audit te zijn: een korte vragenlijst of een gedeeld beveiligingsoverzicht volstaat vaak.
Dat is precies waarvoor het ketenregister in Ketenpas bestaat: u nodigt leveranciers uit hun paspoort te delen en ziet in één overzicht hoe uw keten ervoor staat, met een export voor de accountant of toezichthouder.
Welke leveranciers zijn kritisch en welke niet?
Twee vragen bepalen dat, en geen van beide gaat over de omvang van de leverancier. Ten eerste: heeft deze partij toegang tot uw systemen of uw data? Ten tweede: staat uw dienstverlening stil als zij uitvallen? Twee keer ja betekent kritisch, één keer ja betekent aandacht, twee keer nee betekent registreren en verder niets.
Die indeling bespaart het meeste werk, want de meeste leveranciers zitten in de laatste categorie. De kantoorartikelenzaak hoeft geen beveiligingsvragenlijst; de partij die uw servers beheert of uw klantdata verwerkt, wel. Zet de indeling in uw register, want dan is uw antwoord op de vraag "hoe bepaalt u welke leveranciers u beoordeelt" al geschreven.
Wat als een leverancier niet wil meewerken?
Dat komt voor, vooral bij grote cloudpartijen die geen vragenlijsten van losse klanten beantwoorden. Het antwoord is dan niet aandringen maar gebruiken wat er al ligt: hun certificeringen, hun auditrapporten en hun openbare beveiligingsdocumentatie zijn precies bedoeld om deze vraag in bulk te beantwoorden.
Blijft een kleinere leverancier zonder zulke stukken weigeren, dan is dat zelf de uitkomst van uw beoordeling. Leg vast dat u het gevraagd heeft, wat u niet kreeg, en welk risico u daarmee accepteert; zie risicoanalyse en beveiligingsbeleid. Bij de volgende contractverlenging heeft u daarmee ook meteen uw onderhandelpunt.
Wat als ik zelf onderaannemers inschakel?
Dan bent u voor uw klant het aanspreekpunt, en blijft u dat ook. De keten stopt niet bij u: als een onderaannemer bij uw klant op locatie werkt of toegang tot diens gegevens krijgt, is dat voor uw klant hetzelfde risico als wanneer u het zelf deed.
Regel daarom twee dingen. Geef de afspraken die u met uw klant maakt door in uw eigen contracten, in ieder geval de meldtermijn bij incidenten en de eisen aan toegang. En meld het als u werk uitbesteedt aan een partij die uw klant niet kent; steeds meer contracten bevatten daar een toestemmingsclausule voor, en achteraf ontdekt worden is aanzienlijk duurder dan vooraf melden.
Wat er bij zo'n beoordeling precies langskomt, staat in alle tien de maatregelen.