Wat houdt deze control in?
Organisaties moeten de informatiebeveiliging en dienstverlening van leveranciers regelmatig monitoren, beoordelen en auditen.
Waarom is dit verplicht?
Contractuele afspraken zijn niet voldoende; naleving moet periodiek worden gecontroleerd.
Praktische implementatie
- Plan jaarlijkse leveranciersreviews voor kritieke leveranciers
- Vraag periodiek om beveiligingsrapporten en certificeringen
- Stel KPI’s op voor beveiligingsprestaties van leveranciers
- Reageer op incidenten bij leveranciers met een vastgestelde procedure
Aandachtspunten voor de overheid
Neem leveranciersmonitoring op in de P&C-cyclus voor een gestructureerde aanpak.
Relatie met andere controls
Gerelateerd aan 5.19 (leveranciersbeveiliging) en 5.20 (afspraken).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je monitort, beoordeelt en audit de informatiebeveiliging en dienstverlening van leveranciers regelmatig. De overheidsmaatregelen vereisen dat de proceseigenaar jaarlijks beoordeelt of de leverancier aan de IB-eisen voldoet, risico's vaststelt en mitigerende maatregelen laat nemen, en dat de organisatie een actuele registratie heeft van leveranciers en afgesloten contracten. Contractuele afspraken alleen zijn niet genoeg; naleving moet periodiek worden gecontroleerd. Neem dit op in de P&C-cyclus.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Laat de proceseigenaar jaarlijks beoordelen of de leverancier aan de IB-eisen voldoet, en risico's met mitigerende maatregelen adresseren.
- ›Houd een actuele registratie bij van leveranciers en afgesloten contracten.
- ›Vraag periodiek beveiligingsrapporten en certificeringen op bij kritieke leveranciers.
- ›Neem leveranciersmonitoring op in de P&C-cyclus voor een gestructureerde aanpak.
- ›Stel KPI's op voor de beveiligingsprestaties van leveranciers en reageer op leveranciersincidenten via een vastgestelde procedure.verdieping
Bewijs dat je kunt verzamelen
- ›Jaarlijkse beoordelingen door de proceseigenaar met vastgestelde risico's en maatregelen
- ›De actuele registratie van leveranciers en contracten
- ›Opgevraagde beveiligingsrapporten/certificeringen van kritieke leveranciers
- ›KPI-rapportages over leveranciersprestaties (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat de proceseigenaar leveranciers jaarlijks beoordeelt op IB-eisen
- ›Dat er een actuele registratie van leveranciers en contracten is
- ›Dat naleving aantoonbaar wordt gecontroleerd (niet alleen contractueel)
- ›Dat vastgestelde risico's worden gemitigeerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een jaarlijkse leveranciersbeoordeling belegd bij de proceseigenaar?
- ›Is een leveranciers-/contractregistratie ingericht?
- ›Is monitoring opgenomen in de P&C-cyclus?
- ›Zijn recente beoordelingen uitgevoerd en vastgelegd?
- ›Is de registratie actueel en compleet?
- ›Zijn beveiligingsrapporten opgevraagd?
- ›Vindt de jaarlijkse beoordeling structureel plaats?
- ›Worden risico's gemitigeerd en opgevolgd?
- ›Blijft de registratie actueel?
Gekoppelde overheidsmaatregel(en)
• het jaarlijks beoordelen dat de leverancier voldoet aan de gestelde informatiebeveiligingseisen;
• het vaststellen van eventuele beveiligingsrisico's;
• het (laten) nemen van mitigerende maatregelen en het accepteren van rest-risico's.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.