Supply chain security binnen de NIS2-richtlijn verwijst naar de verplichting voor organisaties om niet alleen hun eigen systemen te beveiligen, maar ook de cyberveiligheid van hun leveranciers en ketenpartners actief te beheren. De NIS2-richtlijn erkent dat een aanval op een toeleverancier net zo schadelijk kan zijn als een directe aanval op de organisatie zelf. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en wat NIS2 concreet van u vraagt.
Welke verplichtingen legt NIS2 op aan toeleveranciers?
De NIS2-richtlijn verplicht organisaties die onder de wet vallen om de beveiliging van hun volledige toeleveringsketen te borgen. Dit betekent dat u als organisatie verantwoordelijk bent voor het beoordelen en beheersen van de cyberrisico’s die uw leveranciers met zich meebrengen, ook al zijn die leveranciers zelf niet direct onder NIS2 verplicht. Leveranciersbeveiliging is daarmee een expliciete minimummaatregel binnen de zorgplicht.
Concreet betekent dit dat organisaties beleid moeten opstellen voor de beveiliging van de toeleveringsketen. Dit beleid moet beschrijven hoe leveranciers worden geselecteerd, hoe risico’s worden beoordeeld en hoe afspraken over beveiliging contractueel worden vastgelegd. De compliance en beleidsvorming rondom supply chain is daarmee geen vrijblijvende oefening, maar een wettelijke verplichting.
Belangrijk om te weten: in Nederland vallen ruim 10.000 organisaties direct onder de NIS2, maar naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens indirect met de richtlijn te maken. Als toeleverancier van een NIS2-plichtige organisatie zult u dus in toenemende mate worden aangesproken op uw eigen beveiligingsniveau, ook zonder directe wettelijke verplichting.
Waarom is de toeleveringsketen een populair aanvalsdoel?
De toeleveringsketen is een populair aanvalsdoel omdat aanvallers via een leverancier toegang kunnen krijgen tot meerdere grote organisaties tegelijk. Een kleine toeleverancier met minder volwassen beveiliging fungeert als zwakste schakel in een keten van anders goed beveiligde organisaties. Één succesvolle aanval op een leverancier kan zo tientallen of honderden eindklanten raken.
Dit fenomeen noemen we ook wel een supply chain attack. Aanvallers richten zich bewust op softwareleveranciers, IT-dienstverleners, cloudproviders of andere partijen die diepe toegang hebben tot de systemen van hun klanten. Denk aan updates die worden voorzien van kwaadaardige code, of aan inloggegevens van een beheerder die worden gestolen bij een kleine IT-partner.
Wat deze aanvallen extra gevaarlijk maakt, is het vertrouwen dat organisaties hebben in hun leveranciers. Verkeer en toegang vanuit een bekende leverancier wordt zelden als verdacht gezien. Aanvallers maken hier misbruik van door zich te verschuilen achter legitieme verbindingen. Een red team oefening kan helpen om dit soort blinde vlekken in uw keten bloot te leggen.
Hoe beoordeel je de cyberveiligheid van een leverancier?
De cyberveiligheid van een leverancier beoordeelt u aan de hand van een gestructureerde risicoanalyse, waarbij u kijkt naar de toegang die de leverancier heeft tot uw systemen, de gevoeligheid van de data die wordt uitgewisseld en de beveiligingsmaatregelen die de leverancier zelf treft. Dit proces heet ook wel een leveranciersaudit of third-party risk assessment.
Een praktische aanpak bestaat uit de volgende stappen:
- Inventariseer uw leveranciers en categoriseer ze op basis van de toegang die ze hebben en het risico dat ze vertegenwoordigen.
- Stel een vragenlijst op over beveiligingsbeleid, incidentrespons, certificeringen (zoals ISO 27001) en toegangsbeheer.
- Voer een technische beoordeling uit voor leveranciers met directe systeemtoegang, bijvoorbeeld via een penetratietest of vulnerability scan.
- Herhaal de beoordeling periodiek, want de beveiligingssituatie van een leverancier kan veranderen.
- Leg de uitkomsten vast en koppel ze aan contractuele afspraken.
Het gaat er niet om dat elke leverancier een perfect beveiligingsniveau heeft, maar dat u als organisatie weet welke risico’s u accepteert en welke maatregelen u neemt om die te beheersen. Dat is precies wat de NIS2-zorgplicht van u vraagt.
Wat staat er minimaal in een NIS2-conform leverancierscontract?
Een NIS2-conform leverancierscontract bevat minimaal afspraken over de beveiligingsmaatregelen die de leverancier moet treffen, de meldplicht bij incidenten, het recht op audit en de gevolgen bij niet-naleving. Zonder deze contractuele basis kunt u als organisatie niet aantonen dat u de beveiliging van uw toeleveringsketen adequaat beheert.
Concreet zijn dit de onderdelen die in elk leverancierscontract thuishoren:
- Beveiligingsvereisten: Welke technische en organisatorische maatregelen moet de leverancier treffen, en op welk niveau?
- Meldplicht bij incidenten: De leverancier moet u tijdig informeren bij een beveiligingsincident dat uw organisatie kan raken, zodat u kunt voldoen aan uw eigen meldplicht binnen 24 uur.
- Auditrecht: U behoudt het recht om de beveiligingsmaatregelen van de leverancier te toetsen, direct of via een derde partij.
- Subverwerkers en ketenaansprakelijkheid: Afspraken over welke partijen de leverancier zelf inschakelt en welke eisen daarvoor gelden.
- Beëindigingsclausule: Wat gebeurt er als de leverancier niet langer voldoet aan de gestelde beveiligingseisen?
Hoe specifieker de contractuele afspraken, hoe sterker uw positie bij een incident en hoe beter u kunt aantonen dat u als organisatie grip heeft op uw supply chain NIS2-verplichtingen.
Wie binnen een organisatie is verantwoordelijk voor supply chain security?
Onder de NIS2-richtlijn ligt de eindverantwoordelijkheid voor supply chain security bij het bestuur van de organisatie. Bestuurders zijn verplicht om voldoende kennis te hebben van beveiligingsrisico’s en om weloverwogen beslissingen te nemen over risicobeheersmaatregelen, inclusief de risico’s die leveranciers met zich meebrengen.
In de praktijk betekent dit dat het bestuur de kaders stelt en de verantwoordelijkheid draagt, maar dat de uitvoering is belegd bij operationele rollen. Afhankelijk van de omvang van de organisatie zijn dat vaak:
- De CISO (Chief Information Security Officer) of een virtuele CISO, die het beleid voor leveranciersbeveiliging opstelt en bewaakt.
- De inkoopverantwoordelijke of contractmanager, die beveiligingseisen meeneemt in aanbestedingen en contractonderhandelingen.
- De IT-afdeling, die technische toegang van leveranciers beheert en monitort.
De NIS2-richtlijn verplicht bestuurders bovendien een training te volgen om beveiligingsrisico’s te leren beoordelen. Dat geldt ook voor risico’s in de toeleveringsketen. Supply chain security is daarmee geen uitsluitend technisch vraagstuk, maar een bestuurlijke verantwoordelijkheid.
Wat zijn de gevolgen als supply chain security niet op orde is?
Als supply chain security niet op orde is, loopt een organisatie zowel operationele als juridische risico’s. Operationeel kan een aanval via een leverancier leiden tot dataverlies, verstoring van dienstverlening of reputatieschade. Juridisch kunnen toezichthouders boetes opleggen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.
Naast financiële sancties kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Hoewel deze aansprakelijkheid voor overheidsinstanties uitdrukkelijk buiten de NIS2-bepalingen valt, geldt ze voluit voor private organisaties. Dat maakt ketenbeveiliging tot een boardroomvraagstuk dat niet kan worden gedelegeerd zonder adequate opvolging.
Een incident via een leverancier telt bovendien mee voor de meldplicht. Als een significant cyberincident zijn oorsprong vindt bij een toeleverancier, bent u als organisatie verplicht dit binnen 24 uur te melden bij de nationale autoriteiten. Wie zijn leveranciersrisico’s niet kent, loopt het risico die termijn te missen, met extra sancties als gevolg.
Tot slot schaadt een supply chain incident het vertrouwen van klanten en partners. In sectoren waar continuïteit en betrouwbaarheid centraal staan, kan dat langetermijnschade veroorzaken die de directe kosten van een aanval ruimschoots overstijgt. Meer achtergrond over dreigingslandschappen en aanvalsmethoden vindt u in ons cyber research overzicht.
Hoe Q-Cyber helpt met supply chain security
Supply chain security is een van de complexere onderdelen van NIS2-compliance, omdat het vraagt om samenwerking tussen inkoop, IT, juridische zaken en bestuur. Wij helpen organisaties om deze samenwerking te structureren en de juiste maatregelen te treffen, zonder dat het een papieren exercitie wordt.
Wat wij concreet voor u doen:
- Leveranciersrisicoanalyse: We brengen uw toeleveringsketen in kaart en categoriseren leveranciers op basis van risico en toegang.
- Beleid op maat: We schrijven een supply chain beveiligingsbeleid dat aansluit op uw sector en risicoprofiel, en dat voldoet aan de NIS2-zorgplicht.
- Contractadvies: We adviseren over de beveiligingseisen die u contractueel moet vastleggen met leveranciers.
- Technische toetsing: Via pentests en vulnerability scans toetsen we de beveiliging van kritische leveranciers en koppelingen.
- Bestuurstraining: We verzorgen trainingen voor bestuurders om te voldoen aan de NIS2-trainingsplicht, inclusief het thema ketenbeveiliging.
- Virtuele CISO: Via Continuous-Q bieden we een team van specialisten dat doorlopend toezicht houdt op uw beveiligingsprogramma, inclusief leveranciersbeheersing.
Wij werken onafhankelijk, zonder binding aan softwarepartijen of toeleveranciers, zodat u altijd pragmatisch en objectief advies krijgt. Wilt u weten waar uw organisatie staat op het gebied van supply chain NIS2-compliance? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Wat eist NIS2 op het gebied van logging en monitoring?
- Hoe word je stap voor stap NIS2-compliant?
- E-mailbeveiliging: SPF, DKIM en DMARC uitgelegd
- Veilig thuiswerken: 10 tips voor medewerkers
- Wat is een CISO en wat doet die precies?
- Wat zijn de verschillende soorten pentesten?
- Hoe gebruik je OSINT bij pentesten?
- Hoe communiceer je pentest resultaten?
- Wat zijn de beste pentest frameworks?
- Hoe kom ik erachter of mijn systemen kwetsbaar zijn?