vragenlijst vraagt hoe wij risico's in onze keten in kaart brengen

Ketenrisico's raken twee verschillende vragen

De vraag over supply chain risico's vraagt in de praktijk naar twee dingen tegelijk, en de vragenlijst maakt dat onderscheid vaak niet expliciet. Ten eerste: heeft de onderneming zelf zicht op risico's die via haar eigen leveranciers en dienstverleners binnenkomen — denk aan een IT-leverancier met toegang tot het netwerk, of een softwarecomponent van een derde partij. Ten tweede: stelt de onderneming eisen aan die leveranciers, en controleert ze die. Dat tweede punt overlapt met de vraag of de onderneming beveiligingseisen stelt aan haar eigen leveranciers — vaak is dat letterlijk dezelfde vraag, alleen elders in de lijst nog eens gesteld met andere woorden.

Wie ISO/IEC 27001 gecertificeerd is, kan meestal verwijzen naar de beheersmaatregelen voor leveranciersrelaties uit Annex A — die zijn er specifiek voor dit onderdeel, en een auditor heeft ze al beoordeeld. Zonder certificaat is het antwoord niet automatisch "nee": relevant is of er een risicoanalyse bestaat waarin leveranciers als aandachtspunt zijn meegenomen, ook als die informeel is. Dat sluit aan bij de bredere vraag naar beleid voor risicoanalyse, waar ketenrisico's typisch een paragraaf van zijn, niet een los document. Is er niets vastgelegd, dan is "nee" het eerlijke antwoord — een ja voorstellen zonder dat er een risicoanalyse, contractclausule of leveranciersoverzicht aan ten grondslag ligt, houdt geen stand als de klant om het bewijsstuk vraagt.

Waar dit vandaan komt: artikel 21 lid 2 NIS2

Ketenveiligheid staat als apart onderdeel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, tussen de tien maatregelen die daar zijn opgesomd. Voor wie zelf onder de richtlijn valt — of straks onder de Cyberbeveiligingswet, de Nederlandse omzetting die op 15 augustus 2026 in werking treedt — is dit geen vrijblijvend onderdeel maar een van de verplichte maatregelen. Voor wie er niet onder valt, maar de vraag toch van een klant krijgt, is het meestal een doorvertaling van diezelfde eis: de klant moet zelf kunnen aantonen dat die zijn keten beheerst, en vraagt dat daarom door.