NIS2 en ketenbeveiliging: grip op uw telecomleveranciers

Een telecomdienst werkt alleen als de hele keten werkt. Valt uw carrier uit, wordt uw datacenter getroffen of zit er een lek in de software van uw SBC, dan merken uw klanten dat direct. NIS2 en de Cyberbeveiligingswet (Cbw) vragen daarom dat u ook de beveiliging van uw leveranciers regelt. In dit artikel leest u wat de wet precies vraagt en hoe u dat als klein of middelgroot telecombedrijf praktisch aanpakt.

Wat de wet vraagt

In de Europese NIS2-richtlijn staat ketenbeveiliging in artikel 21 lid 2 onder d. Organisaties moeten zorgen voor "de beveiliging van de toeleveringsketen". Daar horen ook de beveiligingsaspecten bij van de relatie met rechtstreekse leveranciers en dienstverleners. Lid 3 zegt waar u rekening mee houdt bij het kiezen van maatregelen:

• de specifieke kwetsbaarheden van elke rechtstreekse leverancier;
• de algemene kwaliteit van hun producten en hun beveiligingspraktijk, ook hun manier van veilig ontwikkelen;
• de uitkomsten van Europese risicobeoordelingen van kritieke toeleveringsketens.

In Nederland staat hetzelfde in artikel 21 lid 3 onder d en lid 4 van de Cbw. Het Cyberbeveiligingsbesluit (Cbb) werkt het verder uit:

• Artikel 10 Cbb. U heeft vastgesteld beleid over de beveiliging van de toeleveringsketen. Daarin legt u vast hoe u omgaat met afhankelijkheden van leveranciers die invloed hebben op de beveiliging van uw systemen. Het beleid staat op papier en u past het aantoonbaar toe. U toetst periodiek of uw rechtstreekse leveranciers en dienstverleners voldoen aan uw beveiligingseisen.
• Artikel 7 lid 5 Cbb. Die beveiligingseisen stelt u zelf op, op basis van uw risicoanalyse.
• Artikel 11 Cbb. U heeft beleid voor de risico's bij het inkopen van software, hardware en diensten.

Voor aanbieders van openbare elektronische communicatienetwerken en -diensten geldt daarnaast de Regeling cyberbeveiliging van EZK. Artikel 5 lid 4 van die regeling zegt onder meer dat u uw systemen, waar dat passend is, scheidt van de systemen van derden. Volgens de toelichting voorkomt u daarmee dat een incident bij een leverancier of onderhoudspartij zich naar uw netwerk verspreidt.

Ten slotte kan de minister op grond van artikel 21a Cbw een organisatie verplichten om in aangewezen delen van het netwerk geen producten of diensten van een bepaalde partij te gebruiken. Dat gaat om risico's voor de nationale veiligheid. Het is een besluit van de minister, geen keuze die u zelf moet maken.

Welke leveranciers tellen mee?

Niet elke leverancier valt eronder. De nota van toelichting bij het Cbb geeft een duidelijk voorbeeld: de leverancier van potloden niet, de leverancier van software of hardware-onderdelen voor uw systemen wel. Het gaat om partijen die invloed hebben op de beveiliging van de netwerk- en informatiesystemen waarmee u uw diensten levert.

Voor een telecom-, VoIP- of internetbedrijf zijn dat meestal deze groepen:

Stap voor stap aan de slag

1. Maak een leverancierslijst. Noteer per leverancier wat hij levert, welke systemen eraan hangen en of hij toegang heeft tot uw netwerk of klantgegevens.
2. Bepaal hoe kritiek elke leverancier is. Vraag u af: wat gebeurt er als deze partij een dag uitvalt of gehackt wordt? Een carrier zonder alternatief is kritieker dan uw leverancier van headsets.
3. Stel uw eisen op. Leid uit uw risicoanalyse af wat u van elke groep verwacht. Zwaardere eisen voor kritieke partijen, lichtere voor de rest.
4. Leg de eisen vast in contracten. Zie de lijst hieronder.
5. Vraag informatie op. Gebruik een korte vragenlijst. Vraag bij kritieke partijen ook om bewijs.
6. Beoordeel en herhaal. Beoordeel de antwoorden, leg uw conclusie vast en kijk periodiek opnieuw. Doe dat ook na een incident of een grote wijziging.
7. Regel een plan B. Weet wat u doet als een leverancier niet meer voldoet. Het Cbb noemt opnieuw onderhandelen, een aanvullend contract of overstappen naar een andere partij.

Wat zet u in het contract?

De wet schrijft geen vaste contractteksten voor. Volgens de nota van toelichting kunt u wel clausules in leveringsovereenkomsten gebruiken om te toetsen of een leverancier aan uw eisen voldoet. Punten die voor telecom vaak relevant zijn:

• Incidentmelding. De leverancier meldt een incident dat uw dienst raakt snel, met een vaste contactpersoon. Bij een significant incident moet u zelf binnen 24 uur een vroegtijdige waarschuwing doen. Zie Meldplicht bij een incident.
• Kwetsbaarheden en updates. Hoe snel komen beveiligingsupdates, en hoe hoort u van een lek?
• Toegang. Beheertoegang alleen met persoonlijke accounts en MFA, met logging. Geen gedeelde wachtwoorden. Toegang stopt aan het einde van het contract.
• Onderaannemers. De leverancier meldt welke andere partijen hij inschakelt.
• Continuïteit. Afspraken over beschikbaarheid, hersteltijd en reservecapaciteit, bijvoorbeeld bij uw carrier.
• Informatie en controle. U mag informatie of rapportages opvragen om de afspraken te controleren.
• Einde contract. Teruggeven of veilig verwijderen van gegevens en configuraties.

Een korte vragenlijst

Houd de vragenlijst kort en relevant. Een paar voorbeeldvragen:

• Valt u zelf onder NIS2 of de Cyberbeveiligingswet?
• Gebruikt u MFA voor alle beheertoegang?
• Hoe snel installeert u kritieke beveiligingsupdates?
• Hoe en binnen welke tijd informeert u ons bij een incident?
• Welke onderaannemers hebben toegang tot onze systemen of gegevens?
• Test u uw back-ups en herstelplannen, en hoe vaak?
• Heeft u een certificaat, en wat valt er precies onder?

Hoe beoordeelt u de antwoorden?

Een certificaat, zoals ISO 27001, kan helpen. Kijk dan wel naar de scope: valt de dienst die u afneemt eronder? Een certificaat bewijst niet vanzelf dat uw eigen dienst veilig is. Let bij uitbesteding ook op wat u zelf moet blijven doen. Een externe beheerder kan het werk doen, maar de zorgplicht en de goedkeuring door het bestuur blijven bij u. Zie NIS2 en bestuurdersaansprakelijkheid.

U bent zelf ook een schakel

Uw zakelijke klanten vallen soms ook onder NIS2. Zij sturen u straks dezelfde vragenlijsten. Wie zijn eigen ketenbeveiliging op orde heeft, kan die vragen sneller en beter beantwoorden. Dat is ook een commercieel voordeel.

Levert u naast telecom ook DNS-, cloud- of datacenterdiensten? Dan kunnen voor die diensten andere, Europese regels gelden (Uitvoeringsverordening (EU) 2024/2690). Laat dat apart beoordelen.

Volgende stap

Begin met de gratis zelfscan: daarin ziet u ook hoe u ervoor staat met uw leveranciers. In het NIS2-portaal houdt u een leveranciersregister bij met beoordelingen en vervolgdata. Probeer het 30 dagen gratis.