Wat houdt deze control in?
Processen en procedures moeten worden gedefinieerd en geïmplementeerd om de risico’s van leveranciers die toegang hebben tot informatiebedrijfsmiddelen te beheren.
Waarom is dit verplicht?
Leveranciers zijn een groeiende aanvalsvector; ketenaanvallen via leveranciers nemen toe.
Praktische implementatie
- Stel een leveranciersbeveiligingsbeleid op
- Voer risicobeoordelingen uit van kritieke leveranciers
- Vereis beveiligingscertificering (ISO 27001) van cruciale leveranciers
- Neem beveiligingsvereisten op in alle leverancierscontracten
Aandachtspunten voor de overheid
Gebruik de GIBIT (gemeente) of ARBIT (Rijk) inkoopvoorwaarden als basis voor beveiligingseisen bij ICT-aanbestedingen.
Relatie met andere controls
- 5.20 – Leveranciersafspraken: beveiligingseisen vastleggen in het contract
- 5.21 – Toeleveringsketen: eisen doorzetten naar toeleveranciers
- 5.22 – Monitoring van leveranciersdiensten
- 5.23 – Clouddiensten
- 7.6 – Werken in beveiligde zones: eisen aan leveranciers die in serverruimtes of datacenters werken
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je definieert en implementeert processen om de risico's te beheren van leveranciers die toegang hebben tot informatiebedrijfsmiddelen. De overheidsmaatregel vereist dat bij offerteaanvragen waarbij informatie(voorziening) een rol speelt, IB-eisen (beschikbaarheid, integriteit, vertrouwelijkheid) op basis van een expliciete risicoafweging onderdeel zijn van de inkoopeisen. Leveranciers zijn een groeiende aanvalsvector; ketenaanvallen nemen toe. Gebruik GIBIT (gemeente) of ARBIT (Rijk) als basis.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Maak IB-eisen (BIV) op basis van een expliciete risicoafweging onderdeel van de inkoopeisen bij offerteaanvragen met een informatiecomponent.
- ›Stel een leveranciersbeveiligingsbeleid op en gebruik GIBIT (gemeente) of ARBIT (Rijk) als basis voor beveiligingseisen.
- ›Voer risicobeoordelingen uit van kritieke leveranciers.
- ›Neem beveiligingsvereisten op in alle leverancierscontracten.
- ›Vereis beveiligingscertificering (bijv. ISO 27001) van cruciale leveranciers.verdieping
Bewijs dat je kunt verzamelen
- ›Offerteaanvragen/inkoopeisen met IB-eisen en de onderliggende risicoafweging
- ›Het leveranciersbeveiligingsbeleid (met GIBIT/ARBIT als basis)
- ›Risicobeoordelingen van kritieke leveranciers
- ›Contracten met opgenomen beveiligingsvereisten en certificeringseisen
Wat je bij een audit moet kunnen aantonen
- ›Dat IB-eisen met risicoafweging onderdeel zijn van inkoop bij relevante aanbestedingen
- ›Dat een leveranciersbeveiligingsbeleid bestaat
- ›Dat kritieke leveranciers zijn beoordeeld op risico
- ›Dat beveiligingsvereisten in contracten staan
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is vastgelegd dat inkoop IB-eisen met risicoafweging bevat?
- ›Is een leveranciersbeveiligingsbeleid vastgesteld (GIBIT/ARBIT)?
- ›Is een proces voor leveranciersrisicobeoordeling ingericht?
- ›Bevatten recente offerteaanvragen daadwerkelijk IB-eisen?
- ›Zijn kritieke leveranciers beoordeeld?
- ›Staan beveiligingsvereisten in de contracten?
- ›Worden IB-eisen bij elke relevante aanbesteding meegenomen?
- ›Worden leveranciersbeoordelingen actueel gehouden?
- ›Wordt certificering waar vereist afgedwongen?
Gekoppelde overheidsmaatregel(en)
De informatiebeveiligingseisen zijn gebaseerd op een expliciete risicoafweging.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.