Cloud- en SaaS-leveranciers beoordelen onder de Cyberbeveiligingswet

Wat vragen de regels?

De vierde zorgplichtmaatregel is de beveiliging van de toeleveringsketen, inclusief de relaties met uw rechtstreekse leveranciers of dienstverleners (artikel 21, derde lid, onder d, Cbw). Artikel 10 van het Cyberbeveiligingsbesluit (Cbb) vraagt:

• schriftelijk beleid over hoe u omgaat met afhankelijkheden van producten en diensten van leveranciers die invloed kunnen hebben op uw beveiliging;
• dat u toetst of uw rechtstreekse leveranciers voldoen aan de beveiligingseisen uit uw risicoanalyse, en dat periodiek controleert.

Bij inkoop van software, hardware of diensten heeft u volgens artikel 11 Cbb ook beleid om de risico's daarvan te beheersen. De RDI schrijft dat dit ook geldt voor leveranciers buiten de EU.

Ons artikel NIS2 en ketenbeveiliging gaat over leveranciers in het algemeen, zoals carriers en hardware. Hier kijken we specifiek naar cloud en SaaS.

Welke clouddiensten tellen mee?

Niet elke app is even belangrijk. Maak een lijst en kijk per dienst naar twee vragen: kan deze dienst mijn netwerk of telecomdienst verstoren, en staan er gevoelige gegevens in?

Voorbeeld van een indeling

Dienst	Waarom belangrijk	Belang
Hosted telefonieplatform of SBC-as-a-service	Uw dienst draait erop	Kritiek
Monitoring en configuratieback-up in de cloud	Heeft vaak toegang tot al uw apparatuur	Kritiek
Wachtwoordkluis	Bevat de sleutels van alles	Kritiek
Klantportaal en CRM	Klantgegevens, soms wijzigingen in diensten	Hoog
Ticketsysteem	Klantgegevens, soms inloggegevens in tickets	Hoog
Kantoorsoftware en mail	Communicatie, phishingrisico	Middel

Let vooral op diensten die zelf toegang hebben tot uw netwerk, zoals monitoring- en beheertools. Een inbraak bij zo'n leverancier kan direct bij u binnenkomen.

Wat vraagt u een cloudleverancier?

Houd de vragen kort en gericht op uw eisen:

• Waar staan de gegevens en vanuit welke landen wordt beheer gedaan?
• Welke certificeringen of auditrapporten zijn er, en voor welk deel van de dienst?
• Ondersteunt de dienst MFA en eenmalige aanmelding voor uw medewerkers?
• Kunt u logbestanden van inloggen en wijzigingen inzien of exporteren?
• Hoe snel waarschuwt de leverancier u bij een incident dat uw gegevens of dienst raakt?
• Hoe maakt de leverancier back-ups, en kunt u zelf uw gegevens exporteren?
• Wat gebeurt er met uw gegevens als het contract stopt?
• Valt de leverancier zelf onder NIS2 of de Cbw?

Een certificaat zegt iets, maar niet alles. Kijk wat er precies onder valt. De RDI schrijft dat keurmerken en certificaten niet bewijzen dat een organisatie aan de wet voldoet.

Wat zet u in het contract?

Bij grote cloudpartijen kunt u het contract vaak niet aanpassen. Kies dan bewust en leg uw afweging vast. Bij kleinere leveranciers kunt u meer afspreken, zoals:

• een termijn waarbinnen u wordt geïnformeerd over incidenten, zodat u zelf binnen 24 uur kunt melden;
• toegang tot relevante logbestanden;
• beveiligingseisen, zoals MFA voor hun beheerders;
• het recht om vragen te stellen of bewijs te zien;
• afspraken over exit en teruggave van gegevens.

Uw eigen instellingen

Veel cloudincidenten komen door instellingen aan de kant van de klant. Regel daarom zelf:

• MFA voor alle accounts, persoonlijke accounts en geen gedeelde logins;
• beheerrechten alleen voor wie ze nodig heeft;
• accounts intrekken bij vertrek;
• regelmatig een eigen export of back-up van belangrijke gegevens.

Leg dit vast in uw toegangsbeleid en neem de cloudaccounts mee in de periodieke controle. Meer daarover in toegangsbeleid, assets en personeel.

Veelgestelde vragen

Moet ik Microsoft of Google ook beoordelen?

Als hun diensten invloed kunnen hebben op uw beveiliging, horen ze bij uw toeleveringsketen. U kunt hun contract meestal niet aanpassen, maar wel hun documentatie bekijken, uw eigen instellingen goed regelen en uw afweging vastleggen.

Is een ISO-certificaat van de leverancier genoeg?

Het helpt, maar kijk wat onder het certificaat valt. Artikel 10 Cbb vraagt dat u toetst of de leverancier aan uw eigen beveiligingseisen voldoet.

Hoe vaak moet ik leveranciers opnieuw beoordelen?

Artikel 10 Cbb zegt "periodiek". Kies een ritme dat past bij het belang: bijvoorbeeld jaarlijks voor kritieke diensten en bij grote wijzigingen of incidenten.