Met de nieuwe NIS2-regelgeving heb je de verantwoordelijkheid dat jouw leveranciers digitaal veilig werken. Het is verleidelijk om hen veel vragen over hun beveiliging te stellen. Toch biedt dit niet altijd hulp. Een enkele vragenlijst geeft slechts een momentopname, terwijl NIS2 vraagt om een continue zorgplicht. Dat meldt ABN Amro.
De NIS2-richtlijn (Network and Information Security 2) is een Europese regelgeving die de bestaande NIS-richtlijn uit 2016 uitbreidt en versterkt. Het doel van NIS2 is het verhogen van de cyberweerbaarheid van essentiële en belangrijke sectoren in de Europese Unie door middel van striktere beveiligings- en meldingsvereisten. Deze richtlijn is in november 2022 officieel aangenomen en moet door lidstaten uiterlijk eind 2024 in nationale wetgeving worden omgezet.
© Veranika Semchanka | Dreamstime
Zorgplicht: blijf controleren
Om echt aan de zorgplicht van NIS2 te voldoen, is regelmatige controle nodig. Je kijkt continu of je leveranciers hun digitale beveiliging op orde hebben. Gebruik de PDCA-cyclus (Plan, Do, Check, Act) om dit te bereiken. Deze cyclus is al onderdeel van certificaten zoals ISO27001 en het NIS2 Quality Mark. Beide certificaten zorgen voor de juiste controles en geven de zekerheid die NIS2 vereist.
ISO27001 of NIS2 Quality Mark: Welke past bij jou?
De keuze voor een bepaalde norm hangt af van wat jouw organisatie nodig heeft.
- ISO27001: Deze internationale norm is voor bedrijven die uitgebreide informatiebeveiliging willen. Extra aanpassingen zijn nodig om NIS2 volledig na te leven. Dit kan kostbaar zijn, maar het biedt veel voordelen.
- NIS2 Quality Mark (NIS2 QM): Deze norm is specifiek voor NIS2 en is goedkoper. Het is ontwikkeld door experts en erkend in Europa. Veel bedrijven kiezen dit als beste optie voor eenvoudige naleving van NIS2.
Waarom vragen stellen niet helpt
Vragen stellen kan zorgen voor onnodige ingewikkeldheid. Vraag je naar het back-upsysteem van een leverancier, dan volgen snel extra vragen zoals "Hoe vaak testen jullie dit?" Deze details zijn moeilijk te controleren en kunnen tot frustratie leiden.
Juridisch risico
Bij een cyberaanval kan jouw bedrijf in de problemen komen. Wie is dan verantwoordelijk? Een vragenlijst biedt weinig juridische bescherming. Certificaten zoals ISO27001 en NIS2 QM bieden een duidelijk juridisch kader. Bovendien geven ze verzekeraars vertrouwen.
Beoordeel al je leveranciers
Bij NIS2 gaat het om de risico's bij al je leveranciers, niet alleen de IT-leveranciers. Een digitale aanval kan de levering door een leverancier verstoren. Je moet dit risico aanpakken. De keten moet altijd blijven draaien.
Gebruik één standaard
Leveranciers voldoen aan de eisen van meerdere klanten met één standaard zoals NIS2 QM of ISO27001. Dit bespaart tijd, voorkomt verwarring en verlaagt kosten.
Bron: ABN Amro
