klant vraagt hoe wij toegang regelen voor externe leveranciers of freelancers

Toegang voor derden valt onder toegangsbeleid, niet onder ketenbeheer

Deze vraag hoort bij het toegangsbeleid van de onderneming, niet bij de vragen over leveranciers zelf. De klant wil weten hoe je voorkomt dat een freelancer of externe partij meer rechten krijgt dan nodig, en hoe je die toegang weer intrekt zodra het werk klaar is. Onderscheid dat zelf ook: een vraag over de beveiligingseisen die je aan externe partijen stelt gaat over ketenbeheer, een vraag over hoe die partijen zelf inloggen op jouw systemen gaat over toegang. Vragenlijsten gooien dit vaak op één hoop, maar het zijn twee verschillende maatregelen uit artikel 21 lid 2 NIS2 en twee verschillende Annex A-hoofdstukken in ISO 27001.

Wat concreet gevraagd wordt: heb je een proces voor het verlenen, wijzigen en intrekken van toegang (onboarding en offboarding), werk je met tijdelijke of geëxpireerde accounts voor externen, en geldt het least privilege-principe — toegang alleen tot wat nodig is, niet tot het hele netwerk. Als externen op afstand toegang krijgen, wordt vaak ook gevraagd of daarbij meerfactorauthenticatie verplicht is. Heb je geen apart beleid voor externe partijen, maar val je terug op algemeen toegangsbeheer waarin geen onderscheid wordt gemaakt tussen eigen medewerkers en derden, dan is "nee" het eerlijke antwoord — een gedeeld wachtwoord of een blijvend actief account na afronding van een opdracht telt niet als beheerste toegang.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 NIS2 noemt toegangscontrolebeleid en veiligheid van personeel als twee van de tien verplichte maatregelen; ISO 27001 werkt dit uit in Annex A onder access control, met specifieke aandacht voor toegang door derde partijen en het intrekken daarvan bij einde van de overeenkomst.