De vraag komt niet van de overheid, maar van uw klant

Waar het om gaat

Wanneer bent u relevant in de ketenrisicoanalyse van uw klant?

Niet elke leverancier van een Cbw-organisatie krijgt hiermee te maken. De wet zelf bevat geen opsomming van toetsingscriteria – in de praktijk is dit met name relevant wanneer minstens één van de volgende situaties op u van toepassing is:

• U levert diensten of producten die gerelateerd zijn aan de netwerk- en informatiesystemen van uw klant.
• U levert software, hardware of digitale diensten die onderdeel worden van die systemen.
• U heeft zelf toegang tot de netwerk- en informatiesystemen van uw klant.

Niet iedere leverancier speelt dezelfde rol in de risicobeoordeling van een klant. Hoe meer toegang uw organisatie heeft tot systemen, gegevens of kritische bedrijfsprocessen, hoe groter de kans dat u wordt meegenomen in de ketenrisicoanalyse. Dat geldt vaak voor IT-beheerders, softwareontwikkelaars, SaaS-aanbieders, managed service providers (MSP’s) en andere partijen met toegang tot netwerk- en informatiesystemen. Levert u aan meerdere Cbw-organisaties tegelijk, dan kunt u rekenen op vragenlijsten van verschillende klanten; iedere klant geeft op zijn eigen manier invulling aan het begrip “passende maatregelen”.

Wanneer een leverancier toegang heeft tot systemen of gegevens van een Cbw-organisatie, is het niet ongebruikelijk dat tijdens een contractverlenging aanvullende vragen worden gesteld over beveiligingsmaatregelen, incidentafhandeling en de beheersing van leveranciersrisico’s. Daarbij maakt het weinig uit of de leverancier zelf onder de Cyberbeveiligingswet valt; relevant is vooral welk risico die leverancier voor de dienstverlening van de klant kan vormen.

In de praktijk

Wat kan uw klant contractueel van u eisen?

Standaard-SLA’s en licentieovereenkomsten zijn doorgaans geschreven voor beschikbaarheid en performance, niet voor cyberweerbaarheid. Cbw-organisaties vullen die contracten daarom aan met bepalingen die specifiek op de zorgplicht van artikel 21 zijn toegesneden. Onderwerpen die daarbij regelmatig terugkomen zijn:

• Concrete beveiligingseisen – vaak vastgelegd in een aparte bijlage (“security schedule”), met verwijzing naar een certificering (ISO 27001, SOC 2 Type II) of specifieke technische maatregelen.
• Auditrechten – inzage in certificeringen en auditrapportages, soms aangevuld met pentestresultaten of een gezamenlijke audit met andere klanten.
• Een snellere meldplicht dan u gewend bent – omdat Cbw-organisaties zelf al binnen 24 uur een eerste melding (early warning) moeten kunnen doen bij hun toezichthouder, verlangen zij van leveranciers vaak aanzienlijk kortere meldingstermijnen dan in bestaande contracten gebruikelijk zijn.
• Doorwerking naar uw eigen onderaannemers – vergelijkbaar met de systematiek van een verwerkersovereenkomst onder de AVG, maar breder: het gaat niet alleen om persoonsgegevens, maar om alle systemen die relevant zijn voor de bedrijfscontinuïteit van uw klant.
• Aansprakelijkheid en verzekering – een hogere aansprakelijkheidslimiet specifiek voor security-incidenten, en soms wordt geprobeerd aanvullende aansprakelijkheidsafspraken vast te leggen voor schade die voortvloeit uit een tekortkoming van de leverancier, waaronder mogelijk kosten die samenhangen met toezichtmaatregelen of sancties.

Dit zijn geen bijzaken meer in de onderhandeling. Bij grote, gestandaardiseerde leveranciers is er weinig ruimte om dit soort clausules aan te passen; bij kleinere, gespecialiseerde dienstverleners juist meer – en dus ook meer reden om dit gesprek zelf te voeren in plaats van af te wachten.

De kern van het probleem

Wat gebeurt er als u niet kunt voldoen?

Om te beginnen: de Cyberbeveiligingswet zelf richt zich niet tot u. Zolang u niet zelf onder de reikwijdte van de wet valt, staat er geen toezichthouder tegenover u, en dus ook geen bestuurlijke boete – de sancties uit de wet – tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten, tot 7 miljoen euro of 1,4% voor belangrijke entiteiten – zijn bedoeld voor de Cbw-organisatie, niet voor de partijen waarmee zij samenwerkt (tenzij u zelf ook onder de wet valt). Juist daardoor wordt het risico vaak te laag ingeschat: er komt geen aanmaning op briefpapier van een toezichthouder binnen die u tot actie dwingt.

De consequentie verschuift daarmee van de toezichthouder naar de contracttafel. Blijft aantoonbare naleving uit, dan kan een klant besluiten een escalatieproces te starten. Afhankelijk van de contractuele afspraken kan dit leiden tot een termijn om het alsnog recht te zetten, het recht om de dienstverlening tijdelijk stil te leggen, en in het uiterste geval beëindiging van de overeenkomst. Bij een nieuwe aanbesteding is vaak niet eens die escalatie nodig – u valt al af in de voorselectie, nog voordat het gesprek over de inhoud begint.

Nog voordat het zover komt, is er vaak al schade. Klanten stellen compliance-vragen meestal tijdens een lopende relatie of een contractverlenging – het moment waarop u wilt laten zien dat u een betrouwbare partner bent, niet het moment om voor het eerst naar uw eigen beveiliging te kijken. Een ontwijkend of onzeker antwoord kost u iets dat zich lastig laat herstellen: het vertrouwen dat u eerder, soms jarenlang, heeft opgebouwd. De tijd en energie die in die klantrelatie zijn gaan zitten, staan dan alsnog op het spel – los van wat er contractueel volgt.

Veelgemaakte aanname

“Wij hebben een certificaat, dus dat gesprek is klaar”

Een certificaat zoals ISO 27001 opent het gesprek met een klant, maar sluit het niet af: het is een foto, geen film. Een auditor beoordeelt op een vastgelegd moment een afgebakende scope, en tussen de ene en de volgende audit door verandert er onder de motorkap voortdurend iets – een nieuw systeem, een andere leverancier, een net ontdekte kwetsbaarheid.

Cbw-organisaties moeten zelf doorlopend toetsen of hun maatregelen nog werken, en die verplichting klinkt door in wat zij van hun leveranciers verwachten. Reken er dus op dat de vraag “heeft u een certificaat?” al snel wordt gevolgd door een tweede vraag: hoe houdt u er tussentijds zicht op, hoe snel wordt een geconstateerde tekortkoming opgelost?

Concreet

Wat u deze week kunt doen

Wacht niet tot een klant de vraag stelt. Breng in kaart bij welke klanten u waarschijnlijk in de ketenrisicoanalyse voorkomt – kijk naar de drie punten hierboven. Ga vervolgens zelf het gesprek aan over welke maatregelen voor die relatie passend zijn, in plaats van te wachten op een vragenlijst.

Leg daarnaast vast hoe u tussen twee audits door aantoont dat maatregelen nog steeds effectief zijn – een vaste evaluatiedatum, een kort intern controlemoment, of een logboek van wat er sinds de laatste toetsing is gewijzigd. Dat is precies het bewijs waar uw klant om vraagt zodra het gesprek verdergaat dan het certificaat zelf.

Conclusie

Niet zeker of uw organisatie hiermee te maken krijgt?