Cyberbeveiligingswet (NIS2) legt tekortkomingen in ketenbeveiliging bloot

Organisaties investeren steeds meer in cybersecurity. Systemen worden beter beveiligd, monitoring is ingericht en medewerkers krijgen trainingen om cyberincidenten te herkennen. Toch blijkt in de praktijk dat een groot deel van de organisaties die onder de nieuwe Cyberbeveiligingswet vallen nog niet voldoet aan de eisen die de wetgever stelt. Vooral in de leveranciersketen bestaan nog aanzienlijke risico’s.

Juist daar ontstaat inmiddels een aanmerkelijk deel van de cyberdreigingen. Uit analyse van de 15.000 meest recente wereldwijde hacks blijkt dat 40,3 procent van de aanvallen via leveranciers of andere ketenpartners verloopt. Daarmee is de keten uitgegroeid tot één van de belangrijkste aandachtspunten binnen moderne cybersecurity.

De eigen interne technische beveiliging vaak wel op orde

In de praktijk zien we dat veel organisaties hun interne cybersecurity de afgelopen jaren serieus hebben verbeterd. Technische beveiligingsmaatregelen zijn aangescherpt, incidentprocessen zijn ingericht en in veel gevallen is ook geïnvesteerd in awareness bij medewerkers.

Vooral organisaties die onder de Cyberbeveiligingswet gaan vallen, hebben flinke stappen gezet in volwassenheid. De aandacht voor cybersecurity op directieniveau neemt toe en bestuurders realiseren zich steeds vaker dat digitale weerbaarheid een strategisch onderwerp is geworden.

Toch ontstaat tegelijkertijd een duidelijk verschil tussen interne beveiliging en beveiliging van de keten. Waar organisaties grip hebben gekregen op hun eigen omgeving, ontbreekt die controle vaak nog bij leveranciers en externe dienstverleners.

De keten moet contractueel worden vastgelegd

Veel organisaties vertrouwen nog grotendeels op verklaringen van leveranciers zelf. Er worden vragenlijsten verstuurd of leveranciers geven aan dat beveiliging “goed geregeld” is. Maar de nieuwe wetgeving vraagt om meer dan alleen vertrouwen of een ingevulde vragenlijst.

De Cyberbeveiligingswet verplicht organisaties namelijk om risico’s in de keten aantoonbaar te beheersen. Dat betekent dat organisaties moeten kunnen bewijzen dat leveranciers passende beveiligingsmaatregelen hebben genomen. Daarnaast moeten afspraken hierover schriftelijk worden vastgelegd.

Juist op dit onderdeel zien we in de praktijk nog veel tekortkomingen.

Contracten bevatten geen bewijsbare cybersecurity-afspraken. Bewijs van genomen maatregelen ontbreekt vaak volledig of is niet controleerbaar. Ook vindt structurele monitoring van leveranciers in veel gevallen nog nauwelijks plaats.

Hierdoor ontstaat een situatie waarin organisaties intern relatief volwassen zijn geworden, terwijl tegelijkertijd een belangrijk deel van hun digitale risico buiten beeld blijft.

Toezichthouders zijn duidelijk

De Rijksinspectie Digitale Infrastructuur (RDI) heeft meerdere keren benadrukt dat organisaties verder moeten gaan dan alleen het uitvragen van informatie bij leveranciers. Op de website van de toezichthouder wordt expliciet aangegeven dat organisaties daadwerkelijk inzicht moeten hebben in de beveiligingsmaatregelen binnen hun keten. https://www.rdi.nl/onderwerpen/digitale-weerbaarheid/cyberbeveiligingswet/toeleveringsketen

Daarmee verschuift de verantwoordelijkheid nadrukkelijk van “uitvragen” naar “aantoonbaar beheersen”.

Dit vraagt om een andere manier van samenwerken met leveranciers. Niet alleen IT-afdelingen spelen hierin een rol, maar ook inkoop, compliance, juridische zaken en directie moeten betrokken zijn bij het vastleggen en controleren van cybersecurity-eisen.

Onderzoek bevestigt het risico

Dat de keten één van de grootste openstaande risico’s vormt, blijkt ook uit onderzoeken binnen vitale sectoren. Zo concludeerde de RDI eerder bij onderzoek onder energiebedrijven dat juist leveranciers en ketenpartners een belangrijk aandachtspunt blijven binnen de sector.

Opvallend daarbij is dat energiebedrijven intern vaak al een relatief hoog beveiligingsniveau hebben bereikt. Het probleem zit vooral in het verkrijgen van voldoende inzicht en zekerheid binnen de bredere leveranciersketen.

Datzelfde beeld zien we terug in andere sectoren die onder de Cyberbeveiligingswet vallen. Organisaties investeren zichtbaar in hun eigen beveiliging, maar worstelen nog met het organiseren van aantoonbare zekerheid richting leveranciers.

Van vragenlijst naar aantoonbaarheid

De komende periode zal voor veel organisaties in het teken staan van professionalisering van ketenbeveiliging. Daarbij wordt aantoonbaarheid een centraal begrip.

Dat betekent praktisch onder andere bijvoorbeeld:

1. Het vastleggen van concrete cybersecurity-eisen in contracten
2. Het gebruik van objectieve normen, certificeringen en onafhankelijke audits
3. Het periodiek controleren van leveranciersmaatregelen
4. Het structureel monitoren van risico’s binnen de keten

Alleen op die manier ontstaat voldoende inzicht in de digitale weerbaarheid van leveranciers en kunnen organisaties voldoen aan de eisen van de nieuwe wetgeving.

De volgende stap in cybersecurity

De komende jaren zal ketenbeveiliging zich ontwikkelen tot een vast onderdeel van professioneel risicomanagement. Organisaties die nu investeren in aantoonbaarheid en structurele leverancierscontrole, bouwen niet alleen aan compliance, maar ook aan digitale weerbaarheid.

Samen Digitaal Veilig ondersteunt organisaties hierbij met de NIS2 Supply Chain-certificering. Daarmee kunnen leveranciers op een uniforme en schaalbare manier worden beoordeeld, gemonitord en aantoonbaar vastgelegd. Zo ontstaat continu inzicht in risico’s binnen de keten en wordt het eenvoudiger om te voldoen aan de eisen die de Cyberbeveiligingswet stelt.