Maatregel d: beleid voor de toeleveringsketen in een telecombedrijf

Welke eisen liggen er precies?

Maatregel d staat in artikel 21, derde lid, onderdeel d, van de Cbw. Dat komt overeen met artikel 21, tweede lid, onder d, van de NIS2-richtlijn. Het Cyberbeveiligingsbesluit (Cbb) werkt de maatregel uit. Op een rij:

De regels voor de toeleveringsketen

Bron	Wat er staat
Art. 10 lid 1 Cbb	Vastgesteld beleid, schriftelijk en aantoonbaar toegepast. Daarin bepaalt u hoe u omgaat met afhankelijkheden van producten en diensten die invloed kunnen hebben op de beveiliging van uw systemen.
Art. 10 lid 2 Cbb	U toetst of rechtstreekse leveranciers en dienstverleners voldoen aan uw beveiligingseisen, en u controleert dat periodiek.
Art. 7 lid 5 Cbb	Die beveiligingseisen stelt u zelf op, op basis van uw overzicht van risico's.
Art. 21 lid 4 Cbw	U houdt rekening met de kwetsbaarheden van elke rechtstreekse leverancier, de kwaliteit van producten en werkwijzen (ook veilige ontwikkeling) en de Europese gecoördineerde risicobeoordelingen van kritieke ketens.

De kern: de wet levert geen eisenlijst voor leveranciers. Die maakt u zelf uit uw risicoanalyse. Zonder risicoanalyse kunt u dit beleid dus niet goed schrijven.

Wie valt binnen de scope, en wie niet?

De nota van toelichting geeft een duidelijk voorbeeld. Een leverancier van potloden valt erbuiten, omdat potloden geen verband houden met de beveiliging van uw systemen. Een softwareleverancier of een leverancier van hardware die nodig is voor het goed functioneren van die systemen valt er wel binnen.

Schrijf die afbakening in uw beleid op. Dan hoeft u er niet per inkoop opnieuw over na te denken. Welke partijen dat bij telecom meestal zijn, staat in het basisartikel over leveranciers en ketenbeveiliging.

De toetsplicht gaat over rechtstreekse leveranciers. Partijen een laag dieper hoeft u niet te toetsen op grond van artikel 10, tweede lid. Volgens overweging 85 van de richtlijn kunt u die risico's wel meenemen. Dat kan zinvol zijn als uw rechtstreekse leverancier een dienst van één andere partij doorverkoopt.

Wat zet u in het beleid?

De toelichting zegt dat de exacte omvang en inhoud van beleid niet zijn voorgeschreven. Onderstaande indeling is daarom een voorbeeld. Houd het kort: dit is een spelregeldocument, geen handboek.

1. Doel en scope. Welke systemen en diensten het beleid dekt, met het criterium wanneer een leverancier meetelt.
2. Indeling in klassen. Bijvoorbeeld kritiek, belangrijk en overig. Noem de criteria: raakt uitval uw dienst, heeft de partij toegang tot uw netwerk of klantgegevens, is er een alternatief?
3. Eisen per klasse. Verwijs naar uw beveiligingseisen uit artikel 7, vijfde lid, Cbb. Hoe kritieker, hoe zwaarder.
4. Toetsing. Hoe u toetst (certificaat, vragenlijst, contractclausule) en hoe vaak. De toelichting noemt certificering en clausules in leveringsovereenkomsten als voorbeelden.
5. Omgang met afwijkingen. Wat gebeurt er als een leverancier niet voldoet, en wie beslist daarover?
6. Nieuwe en vertrekkende leveranciers. Wanneer de toets plaatsvindt vóór een contract, en hoe toegang en gegevens terugkomen bij vertrek.
7. Rollen en vaststelling. Wie eigenaar is, wie de lijst bijhoudt en dat het bestuur de maatregelen goedkeurt (artikel 24, eerste lid, Cbw).

Als een leverancier niet voldoet

Bij een carrier of een grote softwarepartij heeft u vaak weinig onderhandelingsruimte. De wet eist niet dat u dan meteen vertrekt. De toelichting zegt dat u beoordeelt of aanvullende maatregelen de risico's kunnen beperken. Genoemd worden heronderhandelen, een aanvullend contract en overstappen naar een andere partij.

Leg in uw beleid vast hoe u zo'n situatie afhandelt. Een mogelijke praktische invulling is een tweede route of leverancier, extra monitoring op die koppeling, of een geaccepteerd restrisico met naam en datum. Dat laatste werkt alleen als u criteria voor risicoacceptatie heeft.

Praktische tips

• Begin bij bestaande gegevens. Het NCSC noemt inkooplijsten, facturen en de assetlijst als startpunt voor uw leveranciersoverzicht.
• Kies een herhaalmoment en zet het in het beleid. De wet zegt "periodiek" zonder termijn; het NCSC adviseert de classificatie minstens jaarlijks bij te werken.
• Noem geen leveranciersnamen in het beleid zelf. Houd die in een aparte lijst, zodat u het beleid niet hoeft aan te passen bij elke wisseling.
• Controleer of contracten u het recht geven om informatie op te vragen. Zonder dat recht kunt u lastig periodiek toetsen.

In het portaal vindt u een overzicht van kritieke leveranciers met een vragenlijst die u kunt versturen, en sjablonen voor onder meer beleid. Voor een eerste beeld van uw stand van zaken kunt u de gratis zelfscan doen.

Veelgestelde vragen

Geldt dit ook als ik hoster of MSP ben?

Artikel 10 Cbb niet. Artikel 4 Cbb sluit de artikelen 6 tot en met 18 uit voor onder meer cloud, datacenters en beheerde diensten. Die volgen Uitvoeringsverordening (EU) 2024/2690. Lees NIS2 voor MSP's. Als leverancier van anderen krijgt u wel met deze eisen te maken; zie vragenlijsten van klanten beantwoorden.

Moet dit een apart document zijn?

Nee. Volgens de toelichting kan beleid in één of meer documenten staan, of geïntegreerd zijn in een managementsysteem. Het moet wel schriftelijk zijn vastgelegd en aantoonbaar worden toegepast.

Valt een clouddienst hier ook onder?

Ja, als die invloed kan hebben op de beveiliging van uw systemen. Zie cloud- en SaaS-leveranciers beoordelen.

Waar begin ik?

Met uw leverancierslijst en een eerste indeling in klassen. U kunt het portaal 30 dagen gratis proberen, zonder betaalgegevens.