Leveranciersvragenlijst opstellen: sjabloon voor telecom

Is een vragenlijst verplicht?

Nee. De wet noemt geen vragenlijst. Wel moet u als telecomaanbieder toetsen of uw rechtstreekse leveranciers en dienstverleners voldoen aan uw beveiligingseisen, en dat periodiek controleren (artikel 10, tweede lid, Cyberbeveiligingsbesluit, Cbb). Die eisen stelt u zelf op, op basis van uw overzicht van risico's (artikel 7, vijfde lid, Cbb).

Hoe u toetst, is dus aan u. De nota van toelichting noemt als voorbeelden certificering van de leverancier en clausules in leveringsovereenkomsten. Een vragenlijst is een praktische manier om dat bewijs te verzamelen. Wat de wet precies vraagt en welke leveranciers meetellen, leest u in NIS2 en ketenbeveiliging. Dit artikel gaat alleen over de lijst zelf.

Levert u cloud, datacenterdiensten of beheerde diensten? Dan gelden artikel 6 tot en met 18 Cbb niet voor u (artikel 4 Cbb). U volgt dan Uitvoeringsverordening (EU) 2024/2690. De vragen hieronder blijven bruikbaar, maar de meetlat is anders.

Begin bij uw eigen eisen

Een lijst van tweehonderd vragen levert vooral ongelezen antwoorden op. Werk daarom andersom. Pak uw risico-overzicht en stel per leverancier de vraag: wat kan er misgaan bij deze partij, en wat wil ik dan zeker weten? Zo kan een carrier uw spraakdienst stilleggen en kan een externe beheerder bij al uw routers.

Bij het kiezen van maatregelen houdt u volgens artikel 21, vierde lid, Cbw rekening met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en met de kwaliteit van hun producten en beveiligingspraktijken, waaronder veilig ontwikkelen. Stuur daarom niet iedereen dezelfde lijst. Laat de vragen weg die bij een leverancier niet passen.

Sjabloon: vijftien vragen

Kopieer de tabel naar uw eigen document. Vul in de laatste kolom uw eigen eis in. Dit is een voorbeeld, geen wettelijk formulier.

Voorbeeld van een leveranciersvragenlijst (geen wettelijk formulier)

Nr	Vraag aan de leverancier	Vraag om dit bewijs	Eigen eis (invullen)
1	Valt u zelf onder de Cbw of een vergelijkbare wet in een andere lidstaat? Als wat?	Eigen beoordeling of verklaring
2	Wie is onze contactpersoon voor beveiliging, ook buiten kantooruren?	Naam, functie, telefoon, e-mail
3	Heeft u een vastgesteld beveiligingsbeleid? Wanneer is het laatst beoordeeld?	Samenvatting met datum
4	Welke certificaten of auditrapporten heeft u? Voor welk deel van uw dienst gelden ze?	Certificaat met scope en geldigheid
5	Hoe krijgen uw medewerkers toegang tot onze systemen of gegevens?	Beschrijving, aantal personen
6	Gebruikt u multifactorauthenticatie en persoonsgebonden accounts voor beheer?	Korte beschrijving of screenshot van de instelling
7	Hoe snel en via welk kanaal meldt u een incident dat onze dienst raakt?	Procedure of contracttekst
8	Hoe snel plaatst u beveiligingspatches, en hoe informeert u ons over kwetsbaarheden?	Patchbeleid, voorbeeld van een advies
9	Hoe lang ondersteunt u dit product nog met beveiligingsupdates?	Einddatum support per model of versie
10	Hoe ontwikkelt en test u software veilig?	Beschrijving, testrapport indien beschikbaar
11	Wat is de maximale hersteltijd bij uitval? Wanneer is dat voor het laatst getest?	SLA, datum en uitkomst van de test
12	Is uw dienst afhankelijk van één locatie of één leverancier?	Overzicht van redundantie
13	Welke onderaannemers raken onze dienst of gegevens? In welke landen?	Lijst met functie en land
14	Welke logbestanden over ons kunt u leveren bij een onderzoek? Hoe lang bewaart u ze?	Lijst met soort en bewaartermijn
15	Wat gebeurt er met onze gegevens en toegang als het contract eindigt?	Procedure of contracttekst

Vraag bij een certificaat altijd naar de scope. Een certificaat dat alleen voor een ander bedrijfsonderdeel geldt, zegt weinig over de dienst die u afneemt.

Welke vragen voor welke leverancier?

• Carrier of upstream: nadruk op 2, 7, 11 en 12.
• Hardwareleverancier: nadruk op 8, 9 en 10.
• Softwareleverancier: nadruk op 7, 8, 10 en 13.
• Externe beheerder of freelancer: nadruk op 5, 6, 14 en 15.
• Datacenter: nadruk op 4, 11 en 12. Voeg zelf vragen toe over fysieke toegang.

Antwoorden beoordelen

Een ingevulde lijst is nog geen toets. U vergelijkt het antwoord met uw eis en legt de uitkomst vast. Deze indeling is een eigen voorbeeld:

Voorbeeld van een beoordeling per leverancier

Uitkomst	Betekenis	Vervolg
Voldoet	Antwoord en bewijs dekken de eis	Datum vastleggen, volgende toets plannen
Voldoet deels	Eis deels gedekt, of bewijs ontbreekt	Actie met eigenaar en datum, restrisico benoemen
Voldoet niet	Eis niet gedekt	Besluit nemen, zie hieronder
Geen antwoord	Leverancier reageert niet	Eén herinnering sturen, daarna behandelen als voldoet niet

Voldoet een leverancier niet, dan moet u volgens de nota van toelichting beoordelen of aanvullende maatregelen mogelijk zijn. Genoemd worden heronderhandelen, een aanvullend contract of overstappen. U kunt ook aan uw eigen kant iets doen, zoals de toegang van die partij beperken. Blijft er een risico over, dan beslist u daarover volgens uw criteria voor risicoacceptatie (artikel 7, tweede lid, Cbb).

Vastleggen en herhalen

Bewaar per leverancier de verzonden lijst, de antwoorden, het bewijs, de beoordeling en de datum. Zo laat u zien dat u uw beleid aantoonbaar toepast (artikel 10, eerste lid, Cbb).

De wet zegt "periodiek" en noemt geen vaste termijn. Een eigen afspraak kan zijn: kritieke leveranciers jaarlijks, de rest elke twee jaar, en altijd na een groot incident of een overname. Dat is een voorbeeld, geen wettelijke eis. Leg uw keuze vast in uw ketenbeleid. In het NIS2-portaal staat een overzicht van kritieke leveranciers met een vragenlijst die u kunt versturen. U kunt dat 30 dagen gratis proberen, zonder betaalgegevens.

Veelgestelde vragen

Mag een leverancier weigeren te antwoorden?

De Cbw verplicht uw leverancier niet om uw lijst in te vullen. Spreek het daarom af in het contract. Weigert een belangrijke leverancier, dan is dat een risico dat u meeweegt. Grote partijen verwijzen vaak naar een vast document, zoals een certificaat. Beoordeel dan of dat document uw eis dekt.

Moet ik ook de leveranciers van mijn leveranciers toetsen?

De toetsplicht van artikel 10, tweede lid, Cbb gaat over rechtstreekse leveranciers en dienstverleners. Vraag wel welke onderaannemers uw dienst raken, zodat u afhankelijkheden ziet. Voor cloud en SaaS leest u meer in cloud- en SaaS-leveranciers beoordelen.

Krijg ik zo'n lijst ook van mijn klanten?

Dat kan. Zie een vragenlijst van een klant beantwoorden. Wilt u eerst weten waar u zelf staat? Doe dan de gratis zelfscan.