Organisaties die onder NIS2 vallen, zijn verplicht de beveiliging van hun leveranciers te beoordelen. In de praktijk betekent dat vragenlijsten, audits en aangescherpte contractvoorwaarden. Als leverancier kunt u zich daar beter op voorbereiden dan erdoor overvallen worden. Hieronder de tien vragen die u kunt verwachten, met per vraag wat een bruikbaar antwoord inhoudt.
Waarom dit urgent is: organisaties die aan hun eigen compliance werken, sturen deze vragenlijsten nu al uit. De vraag is niet of u er een ontvangt, maar wanneer.
Heeft u een formeel informatiebeveiligingsbeleid?
Uw afnemer wil weten of er een vastgelegd beleid is dat door de directie is goedgekeurd. Een ISO 27001-certificering beantwoordt deze vraag in één keer.
Hoe beheert u toegang tot systemen en klantdata?
Het gaat om toegang op basis van rol, multifactor-authenticatie, periodieke toetsing van accounts en een procedure voor het intrekken van rechten bij vertrek van medewerkers.
Heeft u een incident response procedure?
De wet verlangt van uw afnemer een vroegtijdige waarschuwing binnen 24 uur. Hij wil daarom weten hoe snel hij van ú hoort wanneer er iets misgaat, en langs welke lijn dat verloopt.
Hoe beveiligt u remote access?
Heeft u toegang op afstand tot systemen van uw afnemer, dan wil hij weten hoe die verbindingen zijn beveiligd en hoe het gebruik ervan wordt vastgelegd.
Voert u vulnerability management uit?
Wordt er periodiek gescand op kwetsbaarheden, en binnen welke termijn worden kritieke bevindingen verholpen?
Hoe ziet uw back-up en herstelstrategie eruit?
Worden er periodiek back-ups gemaakt, staan die offline of onveranderbaar, en wordt het terugzetten daadwerkelijk beproefd?
Traint u uw medewerkers in security awareness?
Phishing blijft de meest gebruikte toegangsweg. Uw afnemer wil weten of uw medewerkers verdachte berichten herkennen en weten waar zij die melden.
Screent u medewerkers en onderaannemers?
Deze vraag komt vooral wanneer uw medewerkers toegang hebben tot gevoelige omgevingen of gegevens. Hanteert u een beleid voor de verklaring omtrent het gedrag, en hoe borgt u dat onderaannemers aan dezelfde eisen voldoen?
Bent u bereid om auditrechten te verlenen?
De wet verplicht uw afnemer zijn leveranciers te kunnen toetsen. De vraag is of u bereid bent mee te werken aan periodieke audits of assessments.
Heeft u een proces voor continue verbetering van uw beveiliging?
Beveiliging is geen eenmalig project. Afnemers willen zien dat u structureel bijstuurt: periodieke toetsing, evaluatie na incidenten en aanpassing op basis van nieuwe dreigingen.
Kunt u deze vragen beantwoorden?
Moet u bij drie of meer vragen antwoorden met nee of met een aarzeling, dan is dat het moment om te beginnen. Niet omdat de wet u daartoe verplicht, maar omdat uw afnemers dat gaan doen. De leverancier die deze antwoorden wél paraat heeft, komt dezelfde vragenlijst tegen als een formaliteit in plaats van als een obstakel.
Hulp nodig bij uw voorbereiding?
Resotech helpt leveranciers met een gefaseerde NIS2-readiness aanpak, van quickscan tot volledige ISO 27001-begeleiding. We beginnen bij de eisen die uw afnemers nu al stellen.
Neem contact op