Welke risico’s brengen leveranciers en hun onderaannemers met zich mee voor de cyberbeveiliging voor jouw organisatie? Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, moeten deze risico’s in kaart brengen en passende maatregelen treffen.
Ketenbeveiliging gaat over het beschermen van zowel bestaande als nieuwe leveranciers van jouw organisatie. Het is belangrijk dat jouw organisatie beschikt over een beleid voor de beveiliging van de toeleveringsketen. Dit beleid bevat richtlijnen voor het omgaan met afhankelijkheden van leveranciers die invloed kunnen hebben op de veiligheid van de netwerk- en informatiesystemen.
Daarbij gaat het niet alleen om de digitale beveiliging. Ook de fysieke beveiliging van de locatie waar systemen zijn ondergebracht kan van belang zijn. Het beleid richt zich zowel op bestaande leveranciers (via risicoanalyses) als op nieuwe leveranciers (via het inkoopproces).
Risicoanalyse van processen en leveranciers
Met een risicoanalyse bepaal je welke impact leveranciers hebben op jouw organisatie. Wat gebeurt er bijvoorbeeld als een leverancier uitvalt of slachtoffer wordt van een cyberincident? Welke processen, systemen en gegevens zijn afhankelijk van leveranciers? En welke risico’s en afhankelijkheden zijn er?
Zo krijg je zicht in jouw kritieke leveranciers en de risico’s die zij met zich meebrengen.
Handige hulpmiddelen hierbij zijn:
- Quickscan met vragen die helpen bij het beoordelen van jouw leveranciersmanagement;
- Stappenplan voor het in kaart brengen van jouw leveranciers;
- Keteninventarisatie: formulier waarin afhankelijkheden, afspraken en alternatieven per leverancier kan worden vastgelegd ;
- Ketenbeveiliging - good practices: met voorbeelden van hoe cybervolwassen organisaties hun toeleveringsketen beveiligen.
- Keten in zicht: een podcastreeks van drie afleveringen over het weerbaar maken van de leveranciersketen.
Gevolgen voor leveranciers
Ook leveranciers van organisaties die onder de Cyberbeveiligingswet vallen, kunnen de gevolgen van de wet merken. Organisaties zullen vaker inzicht willen krijgen in de cyberbeveilingsmaatregelen van hun leveranciers en hierover aanvullende afspraken maken. Dit helpt organisaties om risico’s in de toeleveringsketen beter te beheersen.
