Wat ISO 27001, CYRA en NIS2 Supply Chain wel en niet bewijzen
Een vertrouwd moment in menig inkoopproces. Een leverancier levert een ISO 27001 certificaat aan, de vinkjeslijst wordt afgetekend, en het dossier gaat dicht. De informatiebeveiliging van die leverancier is daarmee geregeld, zo lijkt het. In de praktijk is dat een misvatting die steeds vaker tot problemen leidt, en die recent ook scherp werd verwoord door security consultant Edwin Ribbers in een artikel over de verhouding tussen ISO 27001 en de Cyberbeveiligingswet. Zijn observatie: een certificaat is een instrument, de wet is een verplichting, en die twee zijn niet uitwisselbaar. Dat sluit aan bij wat ik in de praktijk al langer zie, en het verdient een vervolg specifiek gericht op leveranciersmanagement, want daar wordt de verwarring het meest concreet.
Waarom dit iedereen raakt, niet alleen de grote ketens
De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2 richtlijn, verplicht organisaties die essentieel of belangrijk zijn om grip te hebben op de digitale risico’s van hun directe leveranciers. Een gemeente die met een externe softwareleverancier werkt, valt daar rechtstreeks onder. Voor organisaties die niet onder de Cbw vallen, zoals veel goede doelen en musea, geldt de wet niet direct, maar de verantwoordelijkheid verdwijnt daarmee niet. Wie als toeleverancier werkt voor een partij die wel onder de Cbw valt, krijgt de eisen via het contract doorgeschoven. En voor CBF gecertificeerde goede doelen geldt een vergelijkbare zorgvuldigheidsnorm vanuit de eigen keurmerkeisen, normen 3.5.1 en 2.3.3, die vragen om aantoonbare beheersing van informatiebeveiligingsrisico’s, ook bij derden waarmee wordt samengewerkt. De juridische basis verschilt dus per sector, maar het onderliggende principe niet: verantwoordelijkheid voor de keten is niet af te kopen met een document van een ander.
Wat een certificaat werkelijk bewijst, en wat niet
Er zijn inmiddels meerdere instrumenten in de markt die opdrachtgevers houvast moeten geven bij het beoordelen van leveranciers. Drie daarvan verdienen een preciezere blik, want ze worden vaak door elkaar gebruikt terwijl ze wezenlijk verschillen.
ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. De gecertificeerde organisatie bepaalt zelf de scope van de certificering, voert een eigen risicoanalyse uit en beslist zelf welk restrisico acceptabel is. Een opdrachtgever die dit certificaat ontvangt, weet dat er een proces is ingericht binnen een door de leverancier zelf gekozen afbakening. Dat zegt nog niets over de onderdelen die buiten die afbakening vallen, en dat is precies waar het vaak misgaat: een certificaat kan zijn afgegeven aan één vestiging of één specifiek onderdeel van een leverancier, terwijl het risico zich bevindt in het deel dat niet is meegenomen. Het NCSC wijst hier expliciet op in de eigen richtlijnen voor ketenbeveiliging.
CYRA, ontwikkeld door het CCV samen met partijen als TÜV Nederland, is een Nederlandse methode specifiek gericht op het meetbaar maken van cyberweerbaarheid bij leveranciers, met vier niveaus van Entry tot Advanced en een keuze tussen zelfverklaring en onafhankelijk getoetst certificaat. CYRA is uitdrukkelijk positief bedoeld, en heel bruikbaar als gestructureerd startpunt in een leveranciersgesprek. Maar de ontwikkelaars zelf omschrijven het nadrukkelijk als groeimodel richting bijvoorbeeld ISO 27001, niet als eindstation. Een CYRA niveau zegt waar een leverancier op dit moment staat, niet of dat niveau over een half jaar nog klopt.
NIS2 Supply Chain, voorheen het NIS2 Quality Mark, is een certificering die specifiek is ontworpen om opdrachtgevers houvast te geven bij hun leveranciers, met drie oplopende niveaus, SC10, SC20 en SC30, gekoppeld aan het risico dat een leverancier vertegenwoordigt. Het idee is functioneel: een Cbw-plichtige organisatie kan dit certificaat als eis opnemen in inkoopvoorwaarden, zodat leveranciers op een behapbare manier kunnen aantonen dat zij passende maatregelen hebben getroffen. Ook dit is een waardevol instrument, en een stuk concreter gekoppeld aan NIS2 dan ISO 27001. Toch blijft het, net als de andere twee, een momentopname die via een audit is vastgesteld op een bepaald peilmoment.
Dat is meteen de kern. Artikel 21 van de NIS2 richtlijn, lid 2 onder d, verplicht organisaties om de veiligheid van de relatie met directe leveranciers te beoordelen en te beheersen, niet eenmalig maar doorlopend. Lid 3 van datzelfde artikel voegt toe dat daarbij gekeken moet worden naar kwetsbaarheden die specifiek zijn voor elke leverancier afzonderlijk, en naar de kwaliteit van hun beveiligingspraktijken en ontwikkelprocessen. Geen enkel certificaat, hoe goed opgezet ook, vervangt die doorlopende beoordeling. Een certificaat is een foto, de wet vraagt om een film.
Hoe dit in de praktijk werkt
Wat betekent dit voor wie verantwoordelijk is voor leveranciersmanagement binnen de eigen organisatie? Vanuit onze ervaring bij TT3P is de meest werkbare aanpak er een die niet stopt bij het ontvangen van een document, maar leveranciersbeoordeling behandelt als een proces dat je structureel borgt, vergelijkbaar met de PDCA-cyclus: plannen, uitvoeren, controleren, bijstellen. Daarbinnen onderscheiden wij drie lagen van aantoonbaarheid. Opzet: is er een beleid of certificaat dat aangeeft wat een leverancier heeft ingericht. Bestaan: is dat ook daadwerkelijk aanwezig op het moment van beoordelen. Werking: functioneert het nog steeds zoals bedoeld, over tijd, ook nadat het certificaat is uitgereikt.
Een ISO certificaat, een CYRA niveau of een NIS2 Supply Chain certificering vullen in die aanpak vooral de laag van opzet en, bij een externe audit, een deel van bestaan. Ze zijn nuttige signalen, en voor een risico-inschatting op basis van proportionaliteit vaak een goed startpunt. Maar de laag van werking, of een leverancier het beveiligingsniveau ook maanden later nog waarmaakt, vraagt om iets anders: periodieke herbeoordeling, heldere contractuele afspraken over meldplicht en audits, en een leverancierslijst die niet jaarlijks maar structureel wordt bijgehouden.
Dat is precies waarom wij ketenverantwoordelijkheid nooit reduceren tot een certificaat in een dossier. De vraag die uiteindelijk telt is niet welk document een leverancier kan overleggen, maar of een organisatie op elk moment kan aantonen dat zij weet waar haar kritieke afhankelijkheden liggen, en hoe zij daar grip op houdt. Dat inzicht, continu en aantoonbaar, is waar governance rond ketenveiligheid werkelijk om draait.
