Hoe controleer je of je IT-leverancier NIS2-compliant is?

NIS2 verplicht organisaties niet alleen om hun eigen cybersecurity op orde te hebben, maar ook om de beveiliging van hun toeleveringsketen actief te bewaken. Dat betekent concreet: je moet weten of je IT-leveranciers NIS2-compliant zijn. Wie dat niet controleert, loopt risico. Een zwakke schakel in de keten kan jouw organisatie kwetsbaar maken voor cyberaanvallen, en de verantwoordelijkheid daarvoor ligt bij jou als afnemer.

In deze gids lees je stap voor stap hoe je een NIS2-compliant IT-leverancier herkent, welke vragen je moet stellen, welke documentatie relevant is, en hoe je de uitkomsten verwerkt in je eigen compliance-dossier. Of je nu één IT-leverancier hebt of tientallen, dit proces geeft je grip op je supply chain security.

Wat je nodig hebt voor de controle

Voordat je een IT-leverancier beoordeelt op NIS2-compliance, is het belangrijk om je eigen positie helder te hebben. Je kunt namelijk geen zinvolle vragen stellen over de beveiliging van een leverancier als je niet weet welke risico’s die leverancier voor jouw organisatie meebrengt. Begin dus bij jezelf.

Zorg dat je de volgende informatie beschikbaar hebt voordat je het gesprek met een leverancier aangaat:

• Een overzicht van al je IT-leveranciers en welke diensten zij leveren
• Inzicht in welke data en systemen via die leveranciers toegankelijk zijn
• Een risicoklassificatie per leverancier, gebaseerd op de impact die een incident bij hen zou hebben op jouw dienstverlening
• Kennis van je eigen NIS2-verplichtingen, met name de zorgplicht voor supply chain beveiliging
• Een template of checklist waarmee je de beoordeling gestructureerd kunt uitvoeren

Niet elke IT-leverancier draagt hetzelfde risico. Een partij die alleen je printers beheert, heeft een ander risicoprofiel dan een leverancier die toegang heeft tot je cloudomgeving of kritieke bedrijfsdata verwerkt. Prioriteer je controles op basis van impact: begin met de leveranciers die de grootste rol spelen in je digitale continuïteit.

Stel de juiste vragen aan je IT-leverancier

Het gesprek met een IT-leverancier over NIS2-compliance begint met de juiste vragen. Veel leveranciers zullen niet spontaan transparant zijn over hun beveiligingspraktijken, niet omdat ze iets te verbergen hebben, maar omdat ze dit gesprek zelden op deze manier voeren. Jij moet het initiatief nemen.

Stel je leverancier de volgende vragen en noteer de antwoorden zorgvuldig:

1. Valt uw organisatie zelf onder de NIS2-richtlijn of de Nederlandse Cyberbeveiligingswet? Zo ja, bent u geregistreerd bij het NCSC?
2. Welk informatiebeveiligingsbeleid hanteert u, en is dat gebaseerd op een erkende norm zoals ISO 27001 of NEN 7510?
3. Hoe voert u risicobeoordelingen uit voor de diensten die u aan ons levert?
4. Welke maatregelen heeft u getroffen voor toegangsbeheer, encryptie en multi-factorauthenticatie?
5. Hoe gaat u om met significante beveiligingsincidenten? Heeft u een meldprocedure en een incidentresponsplan?
6. Hoe borgt u de continuïteit van uw dienstverlening bij een cyberincident?
7. Worden uw beveiligingsmaatregelen periodiek getest, bijvoorbeeld via een penetratietest of vulnerability scan?
8. Hoe gaat u om met subcontractors die toegang hebben tot onze data of systemen?

Noteer niet alleen de antwoorden, maar ook hoe de leverancier reageert. Een leverancier die concrete documentatie kan overleggen en de vragen zonder aarzeling beantwoordt, geeft meer vertrouwen dan een leverancier die uitsluitend vage toezeggingen doet. Onduidelijke of ontwijkende antwoorden zijn een signaal dat je dieper moet doorvragen of de samenwerking opnieuw moet overwegen.

Beoordeel documentatie en certificeringen

Goede antwoorden zijn een begin, maar NIS2-compliance draait om aantoonbaarheid. Vraag je leverancier om concrete documentatie die zijn beveiligingspraktijken onderbouwt. Papier liegt niet, maar ontbrekend papier zegt ook iets.

Beoordeel de volgende documenten en certificeringen:

Certificeringen en audits

Vraag naar certificeringen die aantonen dat de leverancier zijn beveiliging structureel heeft georganiseerd. Relevante certificeringen zijn:

• ISO 27001: de internationale norm voor informatiebeveiligingsmanagement, en de basis waarop ook de BIO is gebaseerd
• SOC 2 Type II: een auditrapport dat aantoont dat beveiligingscontroles over een langere periode effectief zijn
• NEN 7510: relevant voor leveranciers die actief zijn in de zorgsector
• ISAE 3402: voor leveranciers die financiële of administratieve processen uitvoeren

Beleidsdocumenten en testresultaten

Vraag naast certificeringen ook om inzage in of een samenvatting van de volgende documenten:

• Informatiebeveiligingsbeleid en risicobeheerprocedures
• Incidentresponsplan en bewijs van recente incidentoefeningen
• Resultaten van recente penetratietests of vulnerability assessments
• Business continuity plan en herstelplannen bij uitval
• Verwerkersovereenkomst (als de leverancier persoonsgegevens verwerkt)

Controleer ook of de documentatie actueel is. Een ISO 27001-certificaat dat drie jaar geleden is behaald en sindsdien niet verlengd, biedt minder zekerheid dan een recent herbevestigd certificaat. Vraag altijd naar de geldigheidsdatum en de meest recente auditcyclus. Als een leverancier geen enkele documentatie kan overleggen, is dat een serieus aandachtspunt voor je risicoafweging.

Verwerk de uitkomsten in je eigen NIS2-dossier

Met de antwoorden en documentatie van je leverancier in handen, is het tijd om de bevindingen te vertalen naar je eigen NIS2-compliance. NIS2 vereist namelijk niet alleen dat je leveranciers beoordeelt, maar ook dat je die beoordeling documenteert en periodiek herhaalt. Een eenmalige check is niet voldoende.

Verwerk de uitkomsten als volgt in je eigen dossier:

1. Leg per leverancier vast welke vragen zijn gesteld, welke antwoorden zijn gegeven en welke documentatie is ontvangen.
2. Ken elke leverancier een risiconiveau toe op basis van de beoordeling: laag, gemiddeld of hoog risico.
3. Definieer voor leveranciers met een gemiddeld of hoog risico concrete opvolgacties, zoals aanvullende contractuele eisen, een verbeterplan of een heroverwegingsgesprek.
4. Leg de beoordelingsdatum vast en stel een herhaalmoment in, minimaal jaarlijks of bij wijzigingen in de dienstverlening.
5. Neem de bevindingen op in je bredere risicoregister en informeer je bestuur, want NIS2 legt de verantwoordelijkheid voor supply chain security bij de organisatieleiding.

Zorg ook dat je leveranciersbeoordelingen zijn verankerd in contracten. Voeg aan nieuwe en bestaande contracten clausules toe die de leverancier verplichten om beveiligingsincidenten te melden, medewerking te verlenen aan audits en wijzigingen in hun beveiligingspraktijken tijdig te communiceren. Zo maak je van een eenmalige controle een structureel onderdeel van je continue security management.

Hoe Q-Cyber helpt met NIS2-leverancierscontrole

Het beoordelen van IT-leveranciers op NIS2-compliance kost tijd en vraagt om kennis van zowel technische als beleidsmatige beveiligingseisen. Wij helpen organisaties hier concreet bij, van de eerste inventarisatie tot een volledig gedocumenteerd leveranciersbeoordelingsproces.

Wat wij voor je doen:

• Gap-analyse: we brengen in kaart welke leveranciers je hebt, welk risico zij meebrengen en waar de grootste kwetsbaarheden in je keten zitten
• Vragenlijsten op maat: we stellen leveranciersbeoordelingsvragenlijsten op die aansluiten op jouw sector en risicoprofiel
• Documentatiebeoordeling: we analyseren de door leveranciers aangeleverde certificeringen, beleidsdocumenten en testresultaten op volledigheid en betrouwbaarheid
• Beleidsvorming: we schrijven of versterken je inkoopbeleid, contractclausules en supply chain securitybeleid zodat leverancierseisen structureel zijn geborgd
• NIS2-dossieropbouw: we helpen je de bevindingen te documenteren op een manier die aansluit op de NIS2-zorgplicht en klaar is voor toezicht

Wil je weten hoe jouw organisatie er op dit moment voor staat? Neem contact met ons op voor een vrijblijvend gesprek. We kijken graag samen met je naar de volgende stap.

Gerelateerde artikelen

• Wat is het verschil tussen NIS2 en de AVG?
• Wat is het verschil tussen ISO 27001 en NIS2?
• IoT-beveiliging: risico's en oplossingen voor het mkb
• Wat is privacy by design?
• Welke cybersecuritytraining hebben medewerkers nodig voor NIS2?
• Wat is een VPN en wanneer gebruik je het?
• Hoe kies je tussen verschillende pentest methodologieën?
• Wat is de scope van een pentest?
• Welke sectoren zijn verplicht tot pentesten?
• Welke kwetsbaarheden ontdekt pentesten?