Stelt de onderneming beveiligingseisen aan haar eigen leveranciers?

Toeleveringsketen is een van de tien maatregelen

Ja, in de meeste gevallen is dit relevant om te beantwoorden met een verwijzing naar concreet leveranciersbeleid, niet met een algemene geruststelling. De vraag komt rechtstreeks uit artikel 21 lid 2 van de NIS2-richtlijn, waar "beveiliging van de toeleveringsketen" als apart punt naast de andere negen maatregelen staat. De klant wil dus niet weten of u zelf goed beveiligd bent, maar of u die eis doorzet naar de partijen waarvan u afhankelijk bent: hostingpartijen, softwareleveranciers, IT-dienstverleners.

Concreet gaat het om vragen als: staan er beveiligingseisen in de contracten met kritieke leveranciers, wordt er bij aanbesteding of onboarding getoetst op beveiligingsniveau, en is er zicht op de afhankelijkheden verder in de keten. Een onderneming die zelf een informatiebeveiligingsbeleid heeft — zie ook de vraag over beleid voor risicoanalyse en de beveiliging van informatiesystemen — heeft vaak al een kader waarin leveranciersbeoordeling een vast onderdeel is. Ontbreekt dat, dan is "nee" of "deels" een eerlijk antwoord; een toezegging over wat er zou moeten gebeuren is hier niet aan ons.

Waar dit in artikel 21 lid 2 NIS2 staat

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de beveiliging van de toeleveringsketen als één van de tien maatregelen die een entiteit moet nemen, inclusief aandacht voor de relatie tussen de entiteit en haar directe leveranciers of dienstverleners. Dit punt hangt vaak samen met andere maatregelen uit dezelfde lijst: een leverancier die kwetsbaarheden niet meldt, raakt ook het proces voor het opsporen en verhelpen van kwetsbaarheden, en een incident bij een leverancier moet via dezelfde route lopen als een incident bij de onderneming zelf. Of deze vraag überhaupt verplicht is, hangt af van of de onderneming zelf onder de richtlijn valt — dat is een aparte vraag met een eigen antwoord.