Leveranciersrisico beheren: je keten is zo sterk als de zwakste schakel

Stel je voor: je voordeur zit op slot, je alarm staat aan, je firewall doet zijn werk en je team weet hoe het een phishingmail herkent. En dan komt er iemand binnen via de achterdeur — via een leverancier die jij vertrouwt en die toegang heeft tot jouw systemen.

Dat is geen theoretisch scenario. Aanvallers kiezen steeds vaker de omweg. Waarom zou je twintig kleine bedrijven één voor één proberen te kraken, als je ook één softwareleverancier of één administratiekantoor kunt binnendringen dat bij alle twintig naar binnen mag?

Voor een mkb-bedrijf voelt dit al snel als een onmogelijke opgave. Je hebt geen inkoopafdeling en geen risicomanager. Toch is er een hoop te winnen met een paar overzichtelijke stappen. In dit artikel lees je hoe je leveranciersrisico beheren praktisch aanpakt en grip krijgt op je digitale leveranciers — zonder dat het een tweede baan wordt.

Waarom je keten je blinde vlek is

De meeste bedrijven investeren in hun eigen netwerk, hun eigen laptops en hun eigen mensen. Logisch. Maar elke externe partij die bij je gegevens of systemen kan, is een extra ingang. Denk aan:

• je boekhouder of administratiekantoor;
• de leverancier van je branchesoftware, met beheertoegang voor support;
• je websitebouwer of marketingbureau;
• clouddiensten waar klantgegevens in staan;
• de partij die je telefonie of je netwerkapparatuur beheert;
• koppelingen die je ooit hebt aangezet en waar niemand meer aan denkt.

Twee dingen maken dit lastig. Ten eerste weten veel bedrijven niet precies wie er allemaal toegang heeft — laat staan wie de leveranciers van hun leveranciers zijn. Ten tweede hoor je het meestal niet meteen als er bij zo’n partij iets misgaat. Terwijl jíj degene bent die klanten en toezichthouder moet informeren als jouw gegevens erbij betrokken zijn.

Dit artikel gaat over het beheersen van dat leveranciersrisico als organisatorisch vraagstuk. Gaat het je specifiek om software-updates en ontwikkelketens, lees dan je software supply chain beveiligen. Voor de basisuitleg van dit type aanval: supply chain-aanvallen.

Stap 1: breng je leveranciers in kaart

Begin waar het altijd begint: overzicht. Zet in een simpele lijst — je leveranciersregister — elke partij die bij je gegevens of systemen kan. Per leverancier noteer je:

• wat ze voor je doen;
• tot welke systemen of gegevens ze toegang hebben;
• welk type toegang (kijken, wijzigen, beheerrechten);
• wie binnen jouw bedrijf de contactpersoon is;
• wanneer het contract afloopt.

Kijk ook één laag dieper waar dat kan. Waar draait jouw softwareleverancier zijn dienst? In welk land staan de gegevens? Dat hoeft geen diepgravend onderzoek te zijn, maar het voorkomt verrassingen.

Belangrijk: dit is geen eenmalige klus. Leveranciers komen en gaan, en de koppeling die je vorig jaar aanzette voor een proef staat er misschien nog steeds. Loop de lijst minimaal jaarlijks langs, bijvoorbeeld tijdens je jaarlijkse IT-review.

Stap 2: bepaal wie er echt toe doet

Niet elke leverancier verdient dezelfde aandacht. Je kantoorartikelenleverancier is geen risico; de partij met beheerrechten op je server is dat wel. Deel je lijst in drie groepen in op basis van twee vragen: hoeveel toegang hebben ze, en hoe erg is het als hun dienst uitvalt?

• Hoog risico: beheertoegang tot systemen, of ze verwerken persoonsgegevens van jouw klanten. Hier stel je eisen en controleer je.
• Middel: beperkte toegang, of belangrijk voor je bedrijfsvoering maar zonder gevoelige gegevens. Basisafspraken volstaan.
• Laag: geen toegang tot systemen of gegevens. Registreren en verder loslaten.

Certificeringen zoals ISO 27001 of SOC 2 zijn een nuttig signaal dat een partij haar zaken structureel op orde heeft. Maar ze zijn geen garantie: kijk altijd waar het certificaat precies over gaat en of het nog geldig is.

Stap 3: leg de afspraken vast

Vertrouwen is prima, vastleggen is beter. Zorg dat in je overeenkomst met risicovolle leveranciers in elk geval staat:

• Een verwerkersovereenkomst als ze persoonsgegevens verwerken. Dat is onder de AVG geen optie maar een verplichting, en het regelt meteen wat ze wel en niet met die gegevens mogen doen.
• Een meldtermijn bij incidenten. Spreek af binnen hoeveel uur ze jou informeren bij een beveiligingsincident. Je hebt die tijd nodig: bij een datalek met risico voor betrokkenen moet je zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
• Minimumeisen aan beveiliging. Meerfactorauthenticatie op accounts die bij jouw omgeving kunnen, versleuteling van gegevens, tijdig patchen.
• Waar de gegevens staan. Voor veel bedrijven is opslag binnen de EU een harde wens.
• Wat er gebeurt bij beëindiging. Krijg je je gegevens terug, in welk formaat, en wanneer worden ze bij hen verwijderd?

Dat klinkt zwaar voor een klein bedrijf, maar in de praktijk hebben serieuze leveranciers deze documenten gewoon klaarliggen. Als een partij moeilijk doet over een verwerkersovereenkomst, is dat op zichzelf al informatie.

Stap 4: beperk de toegang

De meest effectieve maatregel kost je geen contract, maar een halve middag opruimen: geef leveranciers alleen toegang tot wat ze nodig hebben, en alleen zolang ze het nodig hebben.

• Geen gedeelde accounts. Elke externe beheerder een eigen account, zodat je in het logboek ziet wie wat deed.
• Meerfactorauthenticatie verplicht, ook — juist — voor externen. Zie ons stappenplan.
• Toegang tijdelijk maken waar het kan: aanzetten bij een supportvraag, daarna weer uit.
• Netwerksegmentatie, zodat een leverancier die bij systeem A moet zijn niet automatisch bij systeem B kan. Dit is de kern van het zero-trust-idee; in zero trust: de valkuilen lees je hoe je dat nuchter aanpakt.
• Vertrekt een leverancier? Trek toegang direct in. Neem dat op in dezelfde routine als je digitale offboarding van medewerkers.

Stap 5: blijf kijken

Een leverancier die vorig jaar netjes werkte, kan dit jaar zelf slachtoffer zijn. Houd daarom in de gaten wat er gebeurt: let op ongebruikelijke aanmeldingen van externe accounts, laat verdachte activiteit opvallen in je logboeken, en zorg dat iemand daadwerkelijk naar die meldingen kijkt. Zie waarom continue monitoring nodig is.

Het is bovendien slim om vooraf te bedenken wat je doet als een leverancier uitvalt. Kun je een week zonder? Heb je een alternatief? Die vraag hoort thuis in je herstelplan.

Leveranciersrisico beheren: wat eist NIS2?

Beveiliging van de toeleveringsketen is niet langer alleen een kwestie van gezond verstand. Onder NIS2 moeten organisaties die eronder vallen aantoonbaar de risico’s in hun keten beheersen. Val je er zelf niet onder, dan merk je het waarschijnlijk toch: grotere klanten en opdrachtgevers die wél onder de regels vallen, leggen hun eisen door aan hun leveranciers. Dat kan betekenen dat een vragenlijst over jouw beveiliging ineens onderdeel wordt van een aanbesteding. In wat NIS2 voor jou betekent gaan we daar dieper op in.

Een klein praktijkscenario

Een groothandel werkte met een extern bureau dat de webshop onderhield. Dat bureau had jaren geleden een beheeraccount gekregen met ruime rechten — handig, want dan konden ze snel schakelen. Toen bij het bureau een medewerkersaccount werd overgenomen, kon de aanvaller via die route bij de bestelgegevens van de groothandel.

Het lek zat niet bij de groothandel, maar de meldplicht wel. Achteraf bleek dat er geen verwerkersovereenkomst was, geen afspraak over incidentmelding, en dat het beheeraccount al twee jaar niet was gebruikt voor iets nuttigs. Drie eenvoudige maatregelen — account intrekken, MFA verplichten, afspraken vastleggen — hadden het scenario grotendeels voorkomen.

Veelgestelde vragen

Wij zijn te klein om eisen te stellen aan leveranciers. Wat dan?

Je hebt meer ruimte dan je denkt. Een verwerkersovereenkomst en meerfactorauthenticatie zijn geen bijzondere verzoeken; nette leveranciers hebben dat allang geregeld. En je hoeft niet alles af te dwingen: alleen al wéten waar je risico zit, helpt je betere keuzes maken.

Hoe vaak moet ik dit herzien?

Eén keer per jaar het register langslopen is voor de meeste mkb-bedrijven voldoende, met een extra controle bij elke nieuwe leverancier of grote wijziging.

Dekt mijn cyberverzekering schade via een leverancier?

Dat verschilt sterk per polis en is een veelvoorkomende uitsluiting. Lees de voorwaarden of vraag het na — we zetten de aandachtspunten op een rij in cyberverzekering: dekking en uitsluitingen. Wij geven overigens geen verzekeringsadvies; toets het altijd bij je eigen verzekeraar of adviseur.

Kan ik dit uitbesteden?

Het inrichten en bewaken wel, de keuze niet. Een IT-partner kan het register opzetten, toegang beperken en monitoren. Wie welke leverancier vertrouwt en welk risico acceptabel is, blijft een beslissing van de ondernemer.

Hoe beoordeel je of een leverancier veilig genoeg is?

Kijk naar drie dingen. Ten eerste wat de leverancier feitelijk kán in jouw omgeving: welke systemen, welke gegevens, welk type toegang. Ten tweede hoe de organisatie zelf werkt — staat meerfactorauthenticatie aan, wordt er regelmatig gepatcht, en gaat een certificering daadwerkelijk over de dienst die jij afneemt? Ten derde hoe strategisch de partij voor je is: bij een leverancier waar je bedrijfsvoering van afhangt stel je zwaardere eisen dan bij een dienst die je morgen kunt vervangen. Voor de meeste mkb-bedrijven is een korte vragenlijst bij inkoop genoeg; je hoeft geen audit uit te voeren.

Wil je weten welke partijen op dit moment toegang hebben tot jullie systemen? We brengen het graag voor je in kaart en laten zien waar de snelste winst zit. Neem gerust contact op.