NIS2 en ketenbeveiliging: IT-leveranciers, integrators en onderaannemers beoordelen

Ketenbeveiliging begint niet met het versturen van dezelfde vragenlijst aan alle contractpartners. Eerst moet duidelijk zijn van welke leveranciers de processen van de organisatie afhankelijk zijn, welke toegang zij krijgen en wat de gevolgen zijn van uitval, een incident of een vertraagde reactie. Pas op basis daarvan kunnen de diepgang van de beoordeling, het vereiste bewijs, de contractuele voorwaarden en de wijze van toezicht worden bepaald. Anders controleert de organisatie vooral of documenten formeel compleet zijn, in plaats van het werkelijke risico van IT-diensten, integrators en onderaannemers te beheersen.

De leverancier als onderdeel van de weerbaarheid van de organisatie

Leveranciersrisico ontstaat niet uitsluitend door kwetsbaarheden in systemen of het niveau van technische beveiliging bij de leverancier. Het ontstaat vooral wanneer een externe dienst, medewerker, applicatie of infrastructuur bepalend is voor de continuïteit van een organisatieproces. De omvang van het toezicht moet daarom niet worden bepaald door de contractwaarde, de omvang van de leverancier of alleen het type ingekochte dienst. Doorslaggevend zijn de gevolgen van onbeschikbaarheid, verlies van vertrouwelijkheid, aantasting van gegevensintegriteit of een te late reactie op een incident.

Het proces begint met een heldere toedeling van verantwoordelijkheden. De eigenaar van het bedrijfsproces identificeert de afhankelijkheid en bepaalt het operationele belang. De informatiebeveiligingsfunctie beoordeelt de blootstelling, inkoop verwerkt de eisen in de selectiecriteria en het contract, en IT verifieert de toegangsrechten en technische oplossingen. Daarnaast moet vaststaan wie het risico classificeert, afwijkingen van eisen goedkeurt, toezicht houdt op de uitvoering van het contract en de samenwerking tijdens een incident coördineert. Zonder deze rolverdeling blijft de leveranciersvragenlijst een document zonder eigenaar en raakt het risico versnipperd over verschillende organisatieonderdelen.

Een kleine integrator met externe, geprivilegieerde toegang tot een productieomgeving kan een grotere blootstelling veroorzaken dan een grote leverancier van kantoordiensten, ook als de contractwaarde veel lager is. Een storing, een gecompromitteerd technisch account of de onbeschikbaarheid van medewerkers van de integrator kan de productie direct stilleggen of het herstel bemoeilijken. Een diepgaande beoordeling is daarom vooral nodig voor leveranciers die verbonden zijn met kritieke processen, externe of geprivilegieerde toegang hebben, belangrijke informatie verwerken of betrokken zijn bij incidentrespons en bedrijfsherstel.

Pas nadat deze afhankelijkheden zijn vastgesteld, kan het proces goed worden gekoppeld aan de NIS2-eisen voor risicobeheer, beveiliging van de toeleveringsketen en verantwoordelijkheid van het bestuur, rekening houdend met de toepasselijke nationale wetgeving. Het bestuur hoeft de technische beoordeling niet over te nemen. Het moet wel de criteria voor leveranciersclassificatie, de toewijzing van risico-eigenaren en de procedure voor het accepteren van afwijkingen vaststellen. Bruikbare indicatoren zijn het aantal kritieke processen dat afhankelijk is van externe diensten en het aantal leveranciers met externe of geprivilegieerde toegang. De bredere bestuurlijke context van deze beslissingen wordt toegelicht in NIS2 in de bestuurspraktijk: eisen vertalen naar besluiten, verantwoordelijkheden en werkelijke organisatorische weerbaarheid.

Segmenteren op impact en toegang

Eén uniforme vragenlijst voor alle contractpartners levert geen risicoproportionele beoordeling op. Segmentatie moet rekening houden met de impact van uitval, het soort informatie dat wordt verwerkt, de omvang van de bevoegdheden, de mogelijkheid dat een incident zich naar de eigen omgeving verspreidt en de vervangbaarheid van de leverancier. De classificatie moet mede zijn gebaseerd op de in de bedrijfsimpactanalyse vastgestelde periode waarin een proces zonder de betreffende dienst kan functioneren, en op het aantal afhankelijke processen en locaties. Contractwaarde en omvang van de leverancier zijn ondersteunende factoren, maar zeggen weinig over technische afhankelijkheden, maximaal toelaatbare uitval of de kosten van een veilige vervanging.

De drempelwaarden voor een basisbeoordeling, uitgebreide beoordeling en audit moeten aan meetbare criteria worden gekoppeld. Een audit kan nodig zijn wanneer uitval van een leverancier leidt tot overschrijding van de maximaal toelaatbare onderbreking, wanneer de leverancier geprivilegieerde toegang heeft of wanneer vervanging een ingrijpende technische wijziging vereist. Een uitgebreide beoordeling past bij beperkte toegang, verwerking van informatie die bescherming vereist of afhankelijkheden verderop in de keten. Andere leveranciers kunnen een basisbeoordeling doorlopen, mits zij niet gezamenlijk een concentratierisico veroorzaken.

Bij een leverancier van een HR-systeem ligt het accent op informatieclassificatie, toegangsrechten en gegevensherstel. Bij een integrator van industriële automatisering moeten vooral externe toegang, configuratiewijzigingen en de beschikbaarheid van ondersteuning na een incident worden beoordeeld. Een onderhoudsbedrijf voor apparatuur heeft mogelijk geen toegang tot systemen, maar de onbeschikbaarheid ervan kan een proces alsnog stilleggen door een gebrek aan onderdelen, expertise of documentatie. De samenhang tussen informatietechnologie, operationele technologie en productiecontinuïteit wordt uitgebreider behandeld in NIS2 voor productiebedrijven: toepassingsgebied, verplichtingen en voorbereiding zonder het onderwerp tot IT te beperken.

Een classificatie mag niet gedurende de hele samenwerking ongewijzigd blijven. Zij moet opnieuw worden uitgevoerd bij wijzigingen in de dienstverlening, toegangsrechten, architectuur, onderaannemers, verwerkte informatie of het belang van het proces. Ook zonder contractwijziging is periodieke bevestiging nodig. Zo sluit de vereiste zorgvuldigheid aan op de werkelijke blootstelling en kan de organisatie aantonen dat het toezicht op de keten is gebaseerd op impactanalyse, niet op een administratieve indeling van leveranciers.

Bewijs in plaats van verklaringen

Een leveranciersbeoordeling moet vaststellen hoe beheersmaatregelen in de praktijk worden uitgevoerd, niet alleen of beleidsdocumenten en procedures bestaan. Vragen moeten betrekking hebben op toegangs-, kwetsbaarheden- en wijzigingsbeheer, back-ups, gebeurtenismonitoring, incidentrespons, bedrijfscontinuïteit, personeelsbeveiliging en toezicht op onderaannemers. Het antwoord ‘wij hebben hiervoor een procedure’ is onvoldoende als niet blijkt wie verantwoordelijk is, hoe vaak de beheersing wordt uitgevoerd, hoe de resultaten worden vastgelegd en hoe met afwijkingen wordt omgegaan. Ook algemene documentatie die niet herleidbaar is tot de ingekochte dienst, de locatie of de leveringsomgeving vormt een waarschuwingssignaal.

Voor iedere leveranciersklasse moet vóór de beoordeling een minimaal bewijsdossier zijn vastgesteld. Bij een lager risico kunnen antwoorden van de proceseigenaar, ondersteund door actuele documenten en voorbeeldregistraties, voldoende zijn. Naarmate de kriticiteit toeneemt, moeten ook testresultaten, operationele registraties, prestatie-indicatoren van beheersmaatregelen en onafhankelijke beoordelingen worden verlangd. Voor kritieke diensten kan een technisch interview, een beoordeling op afstand of een audit op locatie passend zijn. De methode hangt onder meer af van de mogelijkheid om beveiligingsmaatregelen zonder toegang tot de infrastructuur te verifiëren en van de gevolgen van een onjuiste verklaring. Registreer bij voorkeur de datum en het resultaat van de laatste hersteltest van een belangrijke dienst, evenals de oplostijden voor kwetsbaarheden volgens de door de leverancier gehanteerde kriticiteitsniveaus.

De verklaring dat back-ups worden gemaakt, illustreert duidelijk het verschil tussen een toezegging en bewijs. De verklaring maakt niet duidelijk of back-ups van de productieomgeving zijn gescheiden, wie ze kan verwijderen, hoe vaak hersteltests plaatsvinden of wat het resultaat van de laatste test was. Ook blijft onduidelijk wie verantwoordelijk is voor het herstel van de volledige dienst: de infrastructuurleverancier, softwareleverancier, integrator of klant. Passend bewijs omvat daarom niet alleen een beschrijving van de werkwijze, maar ook de registratie van de laatste test, de herstelde gegevens en functies, geconstateerde afwijkingen en bewijs dat oorzaken van mislukte tests zijn weggenomen. Ontwijkende antwoorden zijn vaak herkenbaar aan ontbrekende data, scope, verantwoordelijkheden of een gebrek aan herleidbaarheid naar de specifieke dienst.

Een managementsysteemcertificaat is waardevol ondersteunend bewijs, maar vervangt de eigen due diligence niet. Controleer de scope, geldigheidsduur, opgenomen locaties en diensten en stel vast of deze aansluiten op de ingekochte dienst. Certificering van het hoofdkantoor omvat niet automatisch het datacenter, het beheerteam of een onderaannemer die een essentieel deel van de dienst uitvoert. Een certificaat kan onderdeel zijn van een basisbeoordeling. Bij een kritieke afhankelijkheid moet het echter worden aangevuld met operationeel bewijs en, bij wezenlijke tekortkomingen, eventueel met een audit. Deze koppeling tussen beveiligingsmaatregelen en procesverantwoordelijkheid komt ook aan bod in TISAX voor managementsysteemcoördinatoren en kwaliteitsprofessionals: informatiebeveiliging verbinden met bedrijfsprocessen. Beveiliging mag niet uitsluitend een onderdeel van de IT-documentatie blijven.

Het contract als beheersinstrument

Een contract met een kritieke leverancier moet de uitkomsten van de risicobeoordeling vertalen naar verplichtingen die uitvoerbaar en verifieerbaar zijn. Een geheimhoudingsclausule alleen is onvoldoende. De afspraken moeten onder meer betrekking hebben op incidentmelding, toegang tot informatie die nodig is om de impact te beoordelen, deelname van de leverancier aan analyse en herstel, instandhouding van overeengekomen beveiligingsmaatregelen, wijzigingsbeheer en het inschakelen van onderaannemers. Voor de specifieke dienst moeten bovendien parameters voor beschikbaarheid, herstel en bewaartermijnen worden overeengekomen die aansluiten op de eisen van het bedrijfsproces, niet alleen op de standaarddienstbeschrijving van de leverancier.

Wijs een eigenaar aan voor de onderhandelingen over beveiligingseisen en stel drempelwaarden vast voor het accepteren van contractuele afwijkingen. Inkoop kan het contractproces begeleiden, maar behoort niet zelfstandig te beslissen of een aansprakelijkheidsbeperking, het ontbreken van een auditrecht of het vrij kunnen inschakelen van onderaannemers acceptabel is. Dergelijke afwijkingen vereisen, afhankelijk van het risico, beoordeling door de proceseigenaar, informatiebeveiliging, bedrijfscontinuïteit en juridische ondersteuning. Wanneer een dominante leverancier de voorwaarden van de klant niet accepteert, mag de beslissing niet neerkomen op het zonder meer overnemen van diens standaardvoorwaarden. Mogelijke opties zijn het beoordelen van compenserende maatregelen, het beperken van de dienst, intensiever monitoren of het formeel accepteren van het risico met motivering en een aangewezen risico-eigenaar.

Een bepaling dat een incident ‘zonder onnodige vertraging’ moet worden gemeld, heeft weinig operationele waarde als het meldingskanaal, de minimaal te verstrekken informatie, contactpunten en beslissingsbevoegden niet zijn vastgelegd. De overeengekomen meldingstermijn moet de organisatie daadwerkelijk voldoende tijd geven om het incident te beoordelen en haar eigen verplichtingen uit te voeren. De leverancier moet ten minste een beschrijving van het incident, de getroffen diensten en gegevens, de bekende of verwachte impact, de genomen beheersmaatregelen en het tijdstip van de volgende update verstrekken. Het contract moet ook de toegang tot technische registraties en de inzet van relevante specialisten bij oorzaakanalyse en herstel regelen.

Ook een auditrecht alleen biedt nog geen effectieve beheersing. Als het contract niet vastlegt wanneer een audit kan worden gestart, welk bewijs toegankelijk is, hoe vertrouwelijke informatie wordt beschermd, hoe kosten worden verdeeld en binnen welke termijnen corrigerende maatregelen worden overeengekomen en uitgevoerd, kan de bepaling juist tijdens een incident onbruikbaar blijken. De reikwijdte van de clausules moet aansluiten op de kriticiteit van de leverancier en de vervangbaarheid van de dienst. Een overmatige lijst eisen waarop vervolgens niemand toezicht houdt, creëert schijnbeheersing en verhoogt de beheerkosten. Relevante indicatoren zijn het aantal afwijkingen waarvoor formele risicoacceptatie nodig is en de tijdige uitvoering van contractuele verplichtingen.

De kosten van contractwijzigingen bestaan niet alleen uit juridische ondersteuning. Ze omvatten ook herbeoordelingen van leveranciers, onderhandelingen, audits, monitoring van afgesproken parameters en de invoering van aanvullende beveiligingsmaatregelen. Deze afhankelijkheden moeten worden meegenomen in het budget dat wordt besproken in Wat kost de implementatie van NIS2 en uKSC? Een realistisch budget voor audit, documentatie, training en beveiligingsmaatregelen. Een contract functioneert pas als beheersinstrument wanneer de organisatie een eigenaar voor het toezicht heeft aangewezen, bewijs van naleving verzamelt en een werkwijze heeft vastgesteld voor wijziging of beëindiging van de dienst.

Toezicht na contractondertekening

Een initiële beoordeling veroudert snel wanneer de scope van de dienst, de oplossingsarchitectuur, de eigenaar van de leverancier, de verwerkingslocatie, onderaannemers of de toegang tot systemen en informatie veranderen. Het toezicht moet daarom zowel periodieke beoordelingen omvatten, met een frequentie die is gebaseerd op de kriticiteit van de dienst, als beoordelingen die door specifieke gebeurtenissen worden geactiveerd. Leveranciers met een grote impact op de bedrijfscontinuïteit vereisen frequenter toezicht dan eenvoudig vervangbare leveranciers zonder geprivilegieerde toegang.

De monitoringcyclus moet een eigenaar, escalatiedrempels en verplichte registraties hebben. Het controleren van dienstverleningsparameters alleen is niet voldoende. Deze informatie moet worden gecombineerd met incidentgegevens, uitkomsten van continuïteits- en hersteltests, de status van corrigerende maatregelen, wijzigingen bij onderaannemers en signalen dat de operationele capaciteit van de leverancier verslechtert. Een tussentijdse herbeoordeling moet onder meer worden geactiveerd door:

• een belangrijke wijziging in de dienstverlening of toegangsrechten;
• verplaatsing van de verwerking;
• een wijziging van een onderaannemer die invloed heeft op de dienstverlening;
• herhaalde overschrijding van dienstverleningsparameters;
• het niet tijdig afsluiten van afwijkingen;
• een gebeurtenis die wijst op onvoldoende responsvermogen.

Een leverancier die bij contractsluiting positief is beoordeeld, kan een jaar later een nieuw datacenter gebruiken of een deel van de dienst aan een onderaannemer uitbesteden. De naam en de omschreven dienst blijven gelijk, maar de technische afhankelijkheden, verwerkingslocatie, herstelwijze en beschikbaarheid van bewijs zijn veranderd. Zonder meldingsmechanisme voor dergelijke wijzigingen houdt de organisatie toezicht op een historisch in plaats van actueel risicoprofiel. Bruikbare indicatoren zijn het aantal wijzigingen in scope, toegang of onderaannemers waarvoor een herbeoordeling nodig was, het aantal incidenten en overschrijdingen van dienstverleningsparameters en het percentage corrigerende maatregelen dat binnen de afgesproken termijn is afgesloten.

Een vastgestelde afwijking hoeft niet automatisch tot beëindiging van de samenwerking te leiden. De beslissing moet rekening houden met de impact van de afwijking, de benodigde hersteltijd, de vervangbaarheid van de dienst en het risico tijdens de overgangsperiode. De organisatie kan de leverancier verplichten corrigerende maatregelen uit te voeren, compenserende beheersmaatregelen toepassen, het risico tijdelijk accepteren met een vastgestelde herbeoordelingsdatum, toegangsrechten beperken of een vervangingsplan activeren. Iedere route vereist een besliseigenaar, termijn, afsluitcriterium en bewijs van effectiviteit, niet alleen bewijs dat een taak is uitgevoerd.

De effectiviteit van het volledige mechanisme moet periodiek worden beoordeeld aan de hand van registraties, responsoefeningen en het vermogen van de organisatie om na een risicowijziging een besluit te nemen. Een bruikbaar referentiepunt voor de planning van zo’n beoordeling is NIS2-audit in een productiebedrijf: beoordelen of de organisatie op de nieuwe verplichtingen is voorbereid. Een audit moet niet alleen bevestigen dat een beoordelingsplanning bestaat, maar ook dat waarschuwingssignalen tot escalatie leiden, afwijkingen volgens vastgestelde criteria worden afgesloten en leveranciersrisico verbonden blijft met de continuïteit van de organisatieprocessen.

Een auditgereed leveranciersbeoordelingsprogramma

Een programma voor leverancierstoezicht is auditgereed wanneer het één samenhangend besluitvormingsmechanisme vormt, niet een verzameling vragenlijsten, clausules en verspreide registers. De minimale scope omvat een leveranciersregister met procesmatige en technische afhankelijkheden, segmentatiecriteria, besluitvormingsrollen, eisen per leveranciersklasse, beoordeling van bewijs, contractuele uitgangspunten, monitoring, escalatie en de werkwijze bij beëindiging van de samenwerking. Het auditprogramma en het risicoregister moeten dezelfde classificaties, eigenaarsrollen en acceptatiecriteria hanteren.

Bij beperkte capaciteit moet de pilotgroep worden samengesteld uit leveranciers die kritieke processen ondersteunen, geprivilegieerde toegang hebben of moeilijk vervangbaar zijn. Daarna kan de scope worden uitgebreid op basis van het risiconiveau en de resultaten van de eerste beoordelingen. Een poging om alle leveranciers tegelijk te beoordelen verhoogt doorgaans de administratieve lasten zonder evenredige risicoreductie. Het bestuur moet de volgorde van de beoordelingen, het plan voor het oplossen van tekortkomingen en het budget goedkeuren. Daarnaast moet het besluiten over risico’s die de vastgestelde operationele bevoegdheden overschrijden.

Tijdens een audit overtuigt een samenhangend beslisspoor meer dan een uitgebreide procedure: de classificatie van de leverancier, de onderbouwing van de eisen, het beoordeelde bewijs, passende contractvoorwaarden, registraties van monitoring en afwijkingen en de formele risicoacceptatie of het besluit over corrigerende maatregelen. De gereedheid kan worden gemeten aan het aandeel leveranciers dat binnen het programma is geclassificeerd en beoordeeld, de uitvoering van de beoordelingsplanning voor kritieke leveranciers en het aantal risico’s zonder eigenaar, reactietermijn of goedgekeurd besluit.

Normatieve en juridische referenties moeten het procesontwerp completeren, niet de proceslogica vervangen. NIS2-eisen moeten worden vertaald naar verantwoordelijkheden, criteria, registraties en verifieerbaar bewijs, rekening houdend met de toepasselijke nationale implementatiewetgeving en de mate waarin deze op de organisatie van toepassing is. Een sectorspecifiek voorbeeld van deze benadering is ISO 19443 — toegang tot de toeleveringsketen van de Poolse nucleaire sector, waar kwalificatie van en toezicht op leveranciers mede bepalend zijn voor het vermogen van de organisatie om eisen veilig uit te voeren.