Een NIS2-vragenlijst van een klant beantwoorden: zo pakt een telecomleverancier het aan

Waarom krijgt u vragenlijsten?

Organisaties die onder de Cbw vallen, moeten de beveiliging van hun toeleveringsketen regelen (artikel 21, derde lid, onder d, Cbw). Ze toetsen of hun rechtstreekse leveranciers voldoen aan hun beveiligingseisen, en doen dat periodiek (artikel 10 Cyberbeveiligingsbesluit). Bij die keuze houden ze rekening met de kwetsbaarheden van elke rechtstreekse leverancier en de kwaliteit van hun producten en beveiligingspraktijken (artikel 21, vierde lid, Cbw).

U krijgt deze vragen dus ook als u zelf niet onder de wet valt. En valt u er wel onder, dan stelt u zelf dezelfde vragen aan uw leveranciers; zie NIS2 en ketenbeveiliging.

Vragen die vaak terugkomen

Veelvoorkomende onderwerpen en wat u klaar wilt hebben

Onderwerp	Wat u klaar wilt hebben
Valt u zelf onder de Cbw?	Uw vastgelegde beoordeling: essentieel, belangrijk of niet, en waarom
Beleid en risicoanalyse	Een samenvatting van uw beveiligingsbeleid en hoe vaak u risico's beoordeelt
Toegang en MFA	Hoe beheertoegang is geregeld, ook voor uw eigen leveranciers
Incidenten	Hoe snel en via welk kanaal u de klant informeert bij een incident
Continuïteit	Redundantie, back-ups en hoe vaak u herstel test
Patchbeheer	Uw termijnen en hoe u uitstel vastlegt
Locatie van gegevens	Waar gegevens staan en vanuit welke landen beheer plaatsvindt
Onderaannemers	Welke partijen u inschakelt voor de dienst aan deze klant
Certificeringen	Welke certificaten u heeft en voor welk deel van uw bedrijf

Antwoord eerlijk

De verleiding is groot om overal "ja" in te vullen. Doe dat niet. Wat u schrijft, kan in een contract terechtkomen. Een paar regels:

• Beschrijf wat u nu doet, niet wat u van plan bent. Plannen noemt u apart, met een datum.
• Gebruik "gedeeltelijk" als iets voor een deel van uw systemen geldt, en leg uit voor welk deel.
• Noem een certificaat alleen met de reikwijdte erbij.
• Beloof geen meldtermijnen die u niet kunt halen, zeker niet 's nachts of in het weekend.
• Deel geen gevoelige details, zoals IP-adressen van beheersystemen of namen van uw leveranciers, als dat niet nodig is. Bied aan om details in een gesprek of onder geheimhouding te delen.

Werk met een vast antwoorddossier

Elke klant stuurt een andere lijst, maar de vragen lijken op elkaar. Maak daarom één dossier met standaardantwoorden:

1. Een beveiligingsoverzicht van twee pagina's dat u kunt meesturen.
2. Vaste antwoorden per onderwerp uit de tabel hierboven.
3. Een lijst met documenten die u op verzoek kunt laten zien, zoals beleid, een samenvatting van de risicoanalyse en een overzicht van incidentafspraken.
4. Een eigenaar die het dossier bijhoudt en minstens jaarlijks bijwerkt.

Zo wordt een nieuwe vragenlijst grotendeels knippen en plakken, met maatwerk voor de klantspecifieke vragen.

Wat als de klant eisen stelt?

Klanten kunnen eisen in het contract willen opnemen, bijvoorbeeld een meldtermijn bij incidenten of het recht op een audit. Beoordeel of u dat kunt waarmaken en wat het kost. Een meldtermijn naar de klant moet passen bij uw eigen proces; zie de voorbeeldtijdlijn van de meldplicht. Onder de Cbw informeert u ontvangers van uw diensten bij een significant incident dat hun dienst kan raken al waar nodig onverwijld (artikel 30 Cbw).

Gebruik het als kans

Een goed antwoord op een vragenlijst laat zien dat u de zaken op orde heeft. Dat helpt bij het binnenhalen en houden van zakelijke klanten. Weet u nog niet waar u staat? De gratis zelfscan geeft een eerste overzicht per onderwerp, dat u als basis voor uw antwoorddossier kunt gebruiken.

Veelgestelde vragen

Moet ik een vragenlijst van een klant invullen?

De Cbw verplicht u als leverancier niet direct. Maar uw klant moet zijn leveranciers beoordelen en kan antwoorden of afspraken als voorwaarde stellen. Uw contract kan ook een plicht bevatten.

Mag ik weigeren om details te delen?

U kunt gevoelige details beperken of alleen onder geheimhouding delen. Leg uit waarom, en bied een alternatief zoals een gesprek of inzage.

Wat als ik nog niet alles op orde heb?

Zeg dat eerlijk en noem uw planning. Een realistisch plan is beter dan een antwoord dat later niet blijkt te kloppen.