klant vraagt welke leveranciers toegang hebben tot onze systemen

Deze vraag combineert ketenbeveiliging en toegangsbeheer

De klant wil hier eigenlijk twee dingen tegelijk weten: welke leveranciers technisch toegang hebben tot systemen, en of dat toegangsbeleid onder controle is. Dat raakt direct het toegangsbeleid inclusief het beheer van bedrijfsmiddelen — daar staat wie iets mag, en met welke rechten. Een leverancier die op afstand inlogt op een systeem, remote support levert, of data verwerkt in een eigen applicatie, valt onder dit antwoord.

Het gaat niet alleen om IT-leveranciers in de klassieke zin. Een boekhoudkantoor met inzage in het financiële systeem, een hostingpartij, een SaaS-tool waarin klantgegevens staan: dat zijn allemaal externe partijen met toegang. Of de vraag ook ziet op de eisen die de onderneming zelf aan die leveranciers stelt — contractueel, technisch, qua auditrecht — hangt af van de formulering in de vragenlijst. Vaak is dat een aparte vraag, die aansluit bij de beveiligingseisen die de onderneming aan haar eigen leveranciers stelt. Zonder een actueel overzicht van externe toegang — een leverancierslijst met het type toegang per partij — is er geen brondocument om dit antwoord op te baseren, en dan is het antwoord nog niet in te vullen.

Waar dat in de tien maatregelen staat

Toegangsbeleid en ketenbeveiliging zijn twee losse maatregelen binnen de tien van artikel 21 lid 2 van de NIS2-richtlijn: ketenveiligheid staat in punt d, toegangscontrole en beheer van bedrijfsmiddelen in punt i. ISO/IEC 27001 splitst dit vergelijkbaar op in Annex A, met apart beheersmaatregelen voor leveranciersrelaties en voor toegangsbeheer. Wie deze vraag krijgt vanuit de Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, kan verwachten dat beide invalshoeken — wie heeft toegang, en is dat gecontroleerd — los van elkaar terugkomen in de lijst.