Je hebt de vragenlijst ingevuld en teruggestuurd. Een week later komt de reactie: dank je wel, kun je van punt 4, 7 en 11 ook de onderliggende documentatie aanleveren?
Dat is het moment waarop het echt begint. Want antwoorden kost een middag, maar bewijs leveren is iets anders. En als je opdrachtgever onder de Cyberbeveiligingswet valt, moet hij niet alleen weten hoe jij het geregeld hebt, hij moet het ook kunnen laten zien aan zijn eigen toezichthouder.
Dit stuk is de lijst. Wat er gevraagd wordt, waarom, wat je waarschijnlijk al hebt liggen, en wat je in een middag maakt.
Waarom bewijs en niet alleen antwoorden
De zorgplicht in de Cyberbeveiligingswet vraagt van een organisatie dat zij de beveiliging van haar toeleveringsketen beheerst. Dat gaat specifiek over de beveiligingsgerelateerde aspecten van de relatie tussen een organisatie en haar directe leveranciers.
Beheersen betekent in de praktijk: kunnen aantonen. Een toezichthouder die vraagt hoe je je leveranciers beoordeelt, neemt geen genoegen met “we hebben het gevraagd en ze zeiden dat het goed zat”. Er moet iets in het dossier zitten.
Voor jou als leverancier heeft dat een prettige kant. Zodra je die stukken één keer op orde hebt, ben je bij de volgende klant binnen een uur klaar. En je bent bovendien de partij die het meteen kan leveren terwijl je concurrent er drie weken over doet.
De zeven categorieën
1. Wat je precies levert en waar het draait
Gevraagd wordt: een dienstbeschrijving, de architectuur op hoofdlijnen, waar de gegevens fysiek staan, en welke onderaannemers of subverwerkers erbij betrokken zijn.
Wat je waarschijnlijk al hebt: je offerte of overeenkomst, en de verwerkersovereenkomst van je eigen hostingpartij.
Wat je moet maken: één A4 waarop staat welke dienst je levert, welke gegevens daarbij langskomen, in welk land die staan en wie je onderaannemers zijn. Dat laatste is het stuk dat de meeste bedrijven overslaan en dat het vaakst wordt nagevraagd.
Denk bij onderaannemers breder dan je gewend bent. Je hostingpartij, je back-upopslag, je boekhoudpakket, je mailprovider, je monitoringsysteem. Alles waar klantgegevens doorheen gaan.
2. Onafhankelijke zekerheid
Gevraagd wordt: ISO 27001, een SOC 2-rapport, een auditverklaring of een samenvatting van een pentest.
De realiteit voor het mkb: die heb je niet, en dat hoeft ook niet.
Belangrijk om te weten, en dit staat ook in de handreikingen die over ketenbeveiliging verschijnen: een ISO 27001-certificaat op zichzelf is niet genoeg. De scope moet geverifieerd worden, het certificaat moet actueel zijn en het moet de specifieke risico’s dekken die met jouw dienst samenhangen. Een certificaat waarvan de scope alleen het hoofdkantoor beslaat en niet het datacenter waar de dienst draait, zegt niets over die dienst.
Dat betekent dat een goed onderbouwd eigen verhaal serieus meetelt. Wat je in plaats van een certificaat kunt aanleveren:
- Het ISO 27001-certificaat van je hostingpartij of datacenter, mét de scope erbij. Je leunt dan op de certificering die er wel is, op de plek waar hij hoort.
- Een verklaring van je hostingpartij over de maatregelen rond jouw omgeving.
- Een samenvatting van een uitgevoerde pentest, als je die hebt laten doen. Alleen de samenvatting, niet het volledige rapport met alle bevindingen erin.
3. Risico’s, kwetsbaarheden en updates
Gevraagd wordt: je securitybeleid, hoe je met kwetsbaarheden omgaat, je patchbeleid, en bij softwarebouwers ook hoe je veilig ontwikkelt.
Wat je moet maken: een half A4 waarop staat hoe snel je beveiligingsupdates doorvoert en wie dat bewaakt. Bijvoorbeeld: kritieke updates binnen 24 uur, overige binnen twee weken, met wekelijkse controle.
Heb je dat uitbesteed aan je hostingpartij of aan een onderhoudscontract, zeg dat dan en verwijs naar hun beleid. Uitbesteden is een prima antwoord, het gaat erom dat iemand het doet en dat je weet wie.
4. Incidenten
Gevraagd wordt: je incidentprocedure, wie het aanspreekpunt is, binnen hoeveel tijd je meldt, en hoe de escalatie loopt.
Wat je moet maken: de incidentprocedure op één A4. Deze structuur werkt:
- Wat noemen wij een incident, met twee of drie voorbeelden
- Wie meldt het intern, en aan wie
- Wie besluit of de klant geïnformeerd wordt, en binnen hoeveel tijd
- Naam, mailadres en 06-nummer van het aanspreekpunt, ook buiten kantooruren
- Wat we vastleggen tijdens en na het incident
Let op de meldtermijn die je toezegt. Sta je niet 24 uur per dag klaar, beloof dan geen vier uur. Voor een bedrijf zonder wachtdienst is één werkdag realistisch, en dat mag je zo opschrijven.
Werkt er iemand met persoonsgegevens, dan zit hier ook de 72-uursmelding uit de AVG aan vast. Combineer die twee in één procedure, dan hoef je maar één document bij te houden.
5. Continuïteit en herstel
Gevraagd wordt: een continuïteitsplan, je RTO en RPO, en bewijs dat herstel daadwerkelijk werkt.
RTO is hoe lang je erover doet om weer draaiend te zijn. RPO is hoeveel gegevens je in het ergste geval kwijt bent, oftewel hoe ver je terugvalt. Bij een dagelijkse back-up om drie uur ’s nachts is je RPO 24 uur.
Dit is de categorie waar je het meest kunt winnen. Vrijwel iedereen levert hier beleid aan: hoe vaak er een back-up draait en hoe lang die bewaard wordt. Bijna niemand levert een uitgevoerde herstelproef met een datum en een uitkomst.
Dat is precies het onderdeel dat je niet kunt verzinnen, en dat maakt het het waardevolste stuk in je hele map. Zet één back-up terug in een testomgeving, klok hoe lang het duurde, noteer wat er wel en niet meekwam, en schrijf het op. Een half A4 met een datum erop. Meer is het niet, en het is meer waard dan tien pagina’s beleid.
Hoe je dat praktisch doet staat in het stuk over back-ups testen.
6. Toegang, data en versleuteling
Gevraagd wordt: multifactorauthenticatie, hoe toegangsrechten geregeld zijn, versleuteling onderweg en in rust, logging en bewaartermijnen.
Wat je moet maken: een tabel met per maatregel wat je doet. Bijvoorbeeld:
- MFA verplicht op alle zakelijke accounts, inclusief e-mail en beheeromgevingen
- Toegang op basis van noodzaak, persoonlijke accounts, geen gedeelde inloggegevens
- Rechten worden ingetrokken op de dag dat iemand uit dienst gaat
- Wachtwoorden in een wachtwoordmanager, niet in een bestand of in de browser
- TLS op website en e-mail, versleutelde opslag en back-ups
- Logging van beheerhandelingen met een bewaartermijn die past bij het doel
Kun je de eerste of de vierde regel nog niet aanvinken, dan weet je meteen wat er als eerste moet gebeuren. Dit zijn ook de twee snelste dingen om te regelen van de hele lijst.
7. Wat er gebeurt als het stopt
Gevraagd wordt: een exitplan, hoe gegevens overgedragen worden, in welk formaat, en binnen hoeveel tijd alles verwijderd is.
Wat je waarschijnlijk al hebt: dit hoort in je algemene voorwaarden en je verwerkersovereenkomst te staan. Staat het er niet, dan is dat een goede reden om die eens door te lopen.
Concreet moet er iets staan als: bij beëindiging leveren wij op verzoek eenmalig een kopie in een gangbaar bestandsformaat, en verwijderen wij de gegevens binnen dertig dagen definitief, met uitzondering van wat in back-ups staat tot die volgens de reguliere cyclus vervallen. Op verzoek bevestigen wij de verwijdering schriftelijk.
De map die je één keer maakt
Zet het bij elkaar in één map, digitaal, met een vaste structuur. Zet in elke bestandsnaam de datum, want de eerste vraag bij elk document is of het nog actueel is.
- 01 Dienstbeschrijving en subverwerkers
- 02 Certificaten van leveranciers, met scope
- 03 Patch- en kwetsbaarhedenbeleid
- 04 Incidentprocedure
- 05 Back-upbeleid en herstelproef
- 06 Toegang en versleuteling
- 07 Exit en dataverwijdering
- 08 Verwerkersovereenkomst
Zet er een voorblad bij met de datum van laatste actualisatie en een contactpersoon. Loop de map één keer per jaar door, of eerder als er iets wezenlijks verandert.
Wat het je kost aan tijd
Realistisch, als je bij nul begint:
- Dienstbeschrijving en subverwerkers: 2 uur
- Certificaten opvragen bij leveranciers: 3 mails, een week wachten
- Patchbeleid: 1 uur
- Incidentprocedure: 2 uur
- Back-upbeleid opschrijven: 1 uur
- Herstelproef uitvoeren en vastleggen: een halve dag
- Toegangstabel: 1 uur
- Exit en verwijdering: zit in je voorwaarden of kost 1 uur
Bij elkaar een dag of twee, verspreid over een paar weken omdat je op leveranciers moet wachten. Daarna is bijhouden een uurtje per jaar.
Vergelijk dat met wat het kost om het elke keer opnieuw uit te zoeken, en met wat het kost om een opdracht te verliezen omdat je niet op tijd kon leveren.
Wat wij aanleveren
Ben je klant bij ons, dan kun je voor je hostingdeel de volgende stukken zonder gedoe opvragen: de verwerkersovereenkomst, een overzicht van de technische en organisatorische maatregelen, de locatie van de gegevens en de betrokken subverwerkers, en de datum en uitkomst van onze laatste herstelproef.
Dat dekt in de meeste vragenlijsten een flink deel van categorie 1, 5 en 6. De rest gaat over jouw eigen organisatie en dat kunnen wij niet voor je invullen, maar we kunnen wel meekijken.
Loop je vast op een specifieke vraag? Stuur hem gerust door, ook als je geen klant bent. Vaak is het antwoord korter dan je denkt.