Wat houdt deze control in?
Relevante beveiligingseisen moeten worden vastgesteld en overeengekomen met elke leverancier die toegang heeft tot of invloed heeft op de informatiebeveiliging.
Waarom is dit verplicht?
Contractuele afspraken zijn de juridische basis voor het afdwingen van beveiligingsvereisten bij leveranciers.
Praktische implementatie
- Neem een beveiligingsbijlage op in alle ICT-contracten
- Beschrijf meldplichten bij incidenten voor de leverancier
- Vereis auditrecht om naleving te kunnen controleren
- Leg bewaartermijnen en gegevensverwijdering vast
Aandachtspunten voor de overheid
Verwerkersovereenkomsten onder de AVG overlappen met leveranciersbeveiligingsafspraken; combineer deze efficiënt.
Relatie met andere controls
Gerelateerd aan 5.19 (leveranciersbeveiliging) en 5.22 (monitoring).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt relevante beveiligingseisen vast en komt die overeen met elke leverancier die toegang heeft tot of invloed heeft op de informatiebeveiliging. De overheidsmaatregelen maken dit zeer concreet: beveiligingseisen uit de offerteaanvraag komen expliciet in het contract; algemene voorwaarden van leveranciers worden waar mogelijk uitgesloten (en anders risico-beoordeeld); de leverancier toont jaarlijks via onafhankelijk onderzoek aan dat hij voldoet (inclusief keten); je voert zelf validatie-onderzoek uit met contractueel auditrecht; de leverancier is verplicht transparant te zijn over kwetsbaarheden, incidenten en datalekken; en vóór contractsluiting maak je een risicoafweging over beheersbaarheid met een expliciete exit-strategie in het contract. Contracten zijn de juridische basis om beveiliging af te dwingen.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Neem de beveiligingseisen uit de offerteaanvraag expliciet op in het (inkoop)contract.
- ›Sluit algemene voorwaarden van de leverancier waar mogelijk uit; is dat niet mogelijk, beoordeel de risico's en maak expliciet wat je accepteert, mitigeert of nooit accepteert.
- ›Leg vast dat de leverancier jaarlijks via onafhankelijk onderzoek aantoont aan alle eisen te voldoen, inclusief de toeleveringsketen.
- ›Verplicht de leverancier contractueel tot transparantie over kwetsbaarheden, IB-incidenten en datalekken.
- ›Maak vóór contractsluiting een risicoafweging over de beheersbaarheid van de afhankelijkheid en neem een expliciete exit-strategie op in het contract.
- ›Neem auditrecht op in het contract, voer zelf validatie-onderzoek uit op leveranciersrapportages en beheers restrisico's via de risicomanagementmethodiek.verdieping
Bewijs dat je kunt verzamelen
- ›Contracten met expliciet opgenomen beveiligingseisen uit de offerteaanvraag
- ›Vastlegging van (uitgesloten of geaccepteerde/gemitigeerde) algemene voorwaarden met risicobeoordeling
- ›Jaarlijkse onafhankelijke assurance-rapportages van leveranciers (incl. keten)
- ›Contractbepalingen over transparantie, auditrecht en exit-strategie
- ›Verslagen van eigen validatie-onderzoek en beheersing van restrisico's
Wat je bij een audit moet kunnen aantonen
- ›Dat beveiligingseisen expliciet in leverancierscontracten staan
- ›Dat algemene voorwaarden zijn uitgesloten of bewust risico-beoordeeld
- ›Dat leveranciers jaarlijks onafhankelijk aantonen te voldoen (incl. keten)
- ›Dat transparantieplicht, auditrecht en exit-strategie contractueel zijn geborgd
- ›Dat vóór contractsluiting een risicoafweging is gemaakt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn standaard beveiligingsbepalingen (eisen, transparantie, audit, exit) voor contracten vastgesteld?
- ›Is een proces voor risicoafweging vóór contractsluiting belegd?
- ›Is bepaald hoe met algemene voorwaarden wordt omgegaan?
- ›Bevatten recente contracten de vereiste bepalingen?
- ›Zijn risicoafwegingen vóór sluiting gemaakt?
- ›Zijn jaarlijkse leveranciersrapportages ontvangen?
- ›Wordt jaarlijkse assurance daadwerkelijk opgevraagd en beoordeeld?
- ›Voert de organisatie eigen validatie-onderzoek uit?
- ›Worden restrisico's beheerst en exit-strategieën actueel gehouden?
Gekoppelde overheidsmaatregel(en)
Expliciet is gemaakt welke consequenties geaccepteerd worden, welke gemitigeerd zijn en welke voorwaarden niet of nooit geaccepteerd worden bij het aangaan van de overeenkomst.
Deze onderzoeken hebben een scope die dekkend is voor de gecontracteerde dienstverlening. Hierbij is expliciet aandacht voor de toeleveringsketen en hoe de leverancier zijn leveranciersmanagement ingeregeld heeft, zie overheidsmaatregel 5.21.01.
Dit toont de leverancier jaarlijks opnieuw aan.
Om dit mogelijk te maken, wordt expliciet opgenomen dat er een mogelijkheid is voor een externe audit.
Indien uit het voorgaande restrisico's volgen, beheerst de entiteit deze door het toepassen van zijn vastgestelde risicomanagementmethodiek.
Een vast onderdeel van het contract is een expliciete uitwerking van de exit-strategie.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.