De Cyberbeveiligingswet verplicht NIS2-organisaties om niet alleen hun eigen cyberrisico’s te beheersen, maar ook die in hun toeleveringsketen. Organisaties moeten leveranciers in kaart brengen, risico’s beoordelen, passende eisen stellen én kunnen aantonen dat leveranciers aan die eisen voldoen.
En juist dat laatste maakt een NIS2-audit complex.
Want hoe stel je als auditor vast dat een organisatie de cyberrisico’s van tientallen, honderden of zelfs duizenden leveranciers daadwerkelijk beheerst? NIS2 Supply Chain-certificering kan die controle een stuk eenvoudiger maken.
Een keten auditen is niet eenvoudig
Niet iedere leverancier vormt hetzelfde risico. Een leverancier met beperkte impact vraagt om andere maatregelen dan een leverancier die toegang heeft tot kritieke systemen of essentieel is voor primaire processen.
De NIS2-organisatie moet daarom eerst bepalen welke risico’s er zijn en welke eisen daarbij passen. Vervolgens moet tijdens een audit kunnen worden aangetoond dat leveranciers daadwerkelijk aan die eisen voldoen.
Zonder een uniforme aanpak krijgt een auditor al snel te maken met een grote verzameling vragenlijsten, contracten, beleidsdocumenten, eigen verklaringen, technische rapportages en verschillende certificaten.
Bij een organisatie met veel leveranciers is het vrijwel ondoenlijk om iedere leverancier opnieuw volledig te beoordelen.
NIS2-certificering helpt de auditor
Daar ligt een belangrijk voordeel van NIS2 Supply Chain (NIS2-SC).
NIS2-SC kent drie certificeringsniveaus: SC10, SC20 en SC30. Welk niveau passend is, wordt bepaald op basis van het risico en de impact van een leverancier. Zo hoeft een leverancier met een beperkt risico niet aan dezelfde eisen te voldoen als een leverancier waarvan kritieke processen afhankelijk zijn.
Heeft een leverancier vervolgens een geldig NIS2-SC-certificaat op het vereiste niveau? Dan beschikt de auditor over een herkenbaar, onafhankelijk bewijsstuk waaruit blijkt dat de leverancier aan de eisen van dat niveau voldoet.
Dat voorkomt dat voor iedere gecertificeerde leverancier telkens opnieuw alle onderliggende beveiligingsmaatregelen vanaf nul moeten worden beoordeeld. NIS2-SC maakt de ketenaudit daarmee overzichtelijker en beter schaalbaar.
De risicoanalyse blijft het vertrekpunt
Certificering vervangt de verantwoordelijkheid van de NIS2-organisatie niet. De organisatie moet nog steeds haar leveranciers kennen, de risico’s beoordelen en bepalen welke maatregelen en mate van zekerheid passend zijn.
Dat is ook de gedachte achter proportionele certificering: niet iedere leverancier hoeft aan dezelfde norm te voldoen. Het gevraagde NIS2-SC-niveau moet aansluiten op het daadwerkelijke risico van de leverancier.
Honderden leveranciers? Dan is ondersteuning nodig
Voor organisaties met grote leveranciersketens zit de uitdaging niet alleen in de audit. Ook het inventariseren, beoordelen en meenemen van al die leveranciers vraagt veel werk.
Samen Digitaal Veilig, partner van NIS2 Supply Chain, ondersteunt organisaties bij dit proces. Zo is er het Invulwebinar leveranciersrisico, waarin organisaties praktisch aan de slag gaan met het beoordelen van hun leveranciersrisico’s. Daarnaast kan de Estimated Risk Index (ERI) helpen om risico’s bij leveranciers sneller in beeld te krijgen.
Zo ontstaat een praktische aanpak: leveranciers inventariseren en risico’s bepalen, passende eisen stellen en waar relevant NIS2-SC-certificering vragen.
Daarmee wordt niet alleen het beheersen van de keten eenvoudiger. Ook de auditor krijgt een veel duidelijkere basis om vast te stellen of de NIS2-ketenverplichtingen aantoonbaar worden nageleefd.
Want een complexe keten auditen blijft lastig. Gestandaardiseerde NIS2-certificering maakt het controleerbaar.
