7. Hoe maak je een toeleveringsketen veilig?

Een bekende metafoor die zeker in cybersecurity opgaat. Bedrijven zijn vaak afhankelijk van de (deel)producten of diensten van toeleveranciers. Als bedrijven digitaal met elkaar verbonden zijn, krijgt de afhankelijkheid nog een andere dimensie; een beveiligingslek bij de ene organisatie kan grote gevolgen hebben voor de organisatie waarmee het digitaal verbonden is. Daarom verlangt de Europese NIS2-richtlijn dat 'belangrijke' en 'essentiële' bedrijven en organisaties maatregelen nemen voor de beveiliging van de toeleveringsketen. 

Wat kan er in de keten gebeuren?

Er zijn grote verschillen in digitale weerbaarheid tussen bedrijven, sectoren en ketens. Het kan zijn dat de digitale weerbaarheid van jouw bedrijf op orde is, maar je toch aanzienlijke risico’s loopt omdat jouw toeleverancier of (IT-)dienstverlener kwetsbaar is voor cyberrisico’s. Dit is een risico voor de beschikbaarheid, de vertrouwelijkheid en de integriteit van je bedrijfsprocessen, informatie en daarmee jouw hele bedrijf.

Er zijn meerdere soorten digitale supply chain risico’s die jouw bedrijf kunnen aantasten. Deze worden toegelicht aan de hand van een drietal scenario’s:

1. Een toeleverancier levert niet meer als gevolg van een digitale aanval;
2. Je (IT-)dienstverlener is gehackt en hierdoor heeft de aanvaller mogelijk ook toegang tot jouw (digitale) systemen;
3. Er is een kritieke kwetsbaarheid ontdekt in één van de (digitale) producten of diensten die je gebruikt in je bedrijfsproces.

Lees over de 'kaashack', de hack die de Rotterdamse haven platlegde en hoe vijf gemeenten in Limburg hun dienstverlening moesten stopzetten na een hack in de keten.

 
Beleid voor de toeleveranciersketen

Het is niet eenvoudig om zicht én grip te krijgen op cybersecurity risico's in de toeleveringsketen. Wil je een sterke cyberveilige keten, dan moet je een beleid opstellen waarin je de afhankelijkheidsrelaties met directe leveranciers of dienstverleners in kaart brengt. Richt je ook op de IT-toeleveringsketen om de potentiële geïdentificeerde risico's te beperken.

Als NIS2-organisatie ben je verantwoordelijk voor het identificeren en beperken van de risico’s voor je organisatie. Dit geldt ook de voor de risico’s voortkomend vanuit de keten van toeleveranciers. Het is daarom belangrijk om goede afspraken te maken om zicht te houden op de risico's en indien nodig, te beperken naar een 'te accepteren' risico.

Beleidsplan voor de toeleveranciersketen

Een beleidsplan voor de toeleveringsketen is een strategisch document of beleidsdocument dat uiteenzet:

• Op welke wijze je leveranciers selecteert en contracteert;
• Hoe je de afhankelijkheden in kaart brengt;
• Hoe je de risico's en afhankelijkheden classificeert;
• Hoe je risico's of afhankelijkheden beheerst;
• Hoe je dit periodiek evalueert en herziet.

Bij het afnemen van diensten of producten bij leveranciers vereist de NIS2-richtlijn inzicht in de volgende zaken:

1. Kan een leverancier aantonen dat hij voldoet aan de cybersecurityspecificaties die je mogelijk hebt opgelegd?
2. Risicoclassificaties (als onderdeel van de risicoanalyse van artikel 21 lid 2 sub a van de NIS2-richtlijn) van de IT-diensten of -producten die worden geleverd;
3. Er dient rekening te worden gehouden met artikel 22 lid 1 vanuit de richtlijn, waarbij een gecoördineerde risicobeoordeling van kritieke toeleveranciers wordt uitgevoerd.

Maak contractuele afspraken met je toeleverancier(s) en IT-dienstverleners

Omdat je de risico's en afhankelijkheden wilt kunnen beheersen, maak je afspraken met je toeleveranciers. Dat kan onderdeel zijn van een Service Level Agreement (SLA). In deze overeenkomst tussen een klant/afnemer en een dienstverlener/leverancier leg je de verwachte prestatie-indicatoren en responsniveaus vast.

Via goede afspraken met toeleveranciers en externe dienstverleners borg je dat de diensten die je afneemt goed onderhouden worden en voldoende beveiligd zijn. Het moet bijvoorbeeld duidelijk zijn wie verantwoordelijk is voor het uitvoeren van onderhoud, of er periodiek controles worden gedaan op kwetsbaarheden en of je data regelmatig geback-upt worden. Specifiek voor ketenbeveiligingsaspecten kun je in een SLA de volgende afspraken plaatsen:

• Cybervaardigheden en -trainingen die vereist worden;
• Beveiligingscertificeringen;
• Achtergrondverificaties van werknemers;
• Meldplicht voor relevante cyberincidenten;
• Afspraken over bedrijfscontinuïteit en daar bijbehorende reparatieactiviteiten en -tijden; 
• Het recht om audits of rapporten in te zien;
• Afspraken over incidentbehandeling;
• Afspraken over beëindiging van de overeenkomst.

Heb je nog geen afspraken vastgelegd met je dienstverlener of toeleverancier, gebruik dan Gesprek met je IT-dienstverlener om een start te maken wanneer je hierover in gesprek gaat.

Effectiviteit en herziening

Het beleidsplan voor de toeleveringsketen wordt periodiek getoetst via een interne onafhankelijk toets of audit, of door een externe partij. Ook wordt het beleidsplan herzien, waarbij rekening wordt gehouden met veranderingen in de organisatie, met het huidige dreigingslandschap en de risico's waarmee je organisatie wordt geconfronteerd. Neem ook de testresultaten op in de herziene versie van het beleidsplan voor de toeleveringsketen.