Wat vraagt de NIS2 van jouw ICT-leveranciersmanagement?

De Europese NIS2-richtlijn stelt strengere eisen aan de digitale weerbaarheid van organisaties. Voor veel overheidsorganisaties betekent dit dat niet alleen de eigen ICT-omgeving veilig moet zijn, maar ook de hele keten van leveranciers. Dat heeft directe gevolgen voor de manier waarop organisaties hun ICT-leveranciersmanagement organiseren. Zij moeten namelijk kunnen aantonen dat risico’s bij leveranciers worden beheerst, afspraken worden vastgelegd en leveranciers structureel worden geëvalueerd. Maar hoe organiseer je dat in de praktijk? Daarover lees je meer in dit artikel.

Door Bart Suers

Waarom wordt ICT-leveranciersmanagement steeds belangrijker?

Vrijwel elk proces, van dienstverlening aan inwoners tot interne bedrijfsvoering, is binnen overheidsorganisaties afhankelijk van ICT-systemen. Deze systemen worden meestal geleverd en beheerd door externe partijen. Zolang deze systemen goed functioneren, lijkt er weinig aan de hand. Maar wanneer een beveiligingsincident in de organisatie optreedt, een leverancier in gebreke blijft of contractafspraken onduidelijk zijn, wordt pas echt zichtbaar hoe afhankelijk organisaties zijn geworden van hun ICT-leveranciers. Daarom is het belangrijk dat organisaties actief het gesprek voeren over hoe ICT-leveranciersmanagement binnen de interne beheersing wordt ingericht.

Wat betekent de NIS2-richtlijn voor ICT-leveranciersmanagement?

De NIS2-richtlijn richt zich op het versterken van de digitale weerbaarheid van organisaties. Daarbij ligt de nadruk niet alleen op interne beveiliging, maar ook op de beveiliging van de toeleveringsketen. Dat betekent dat organisaties niet alleen hun eigen systemen moeten beveiligen, maar ook moeten kijken naar de risico’s die ontstaan bij externe leveranciers en de maatregelen die ze nemen om die risico’s te beheersen.

Concreet vraagt NIS2 van organisaties dat zij:

• risico’s in de leveranciersketen beoordelen
• beveiligingsafspraken met leveranciers vastleggen
• cyberincidenten registreren en melden
• leveranciers periodiek evalueren
• kunnen aantonen dat deze maatregelen daadwerkelijk worden uitgevoerd.

Waarom hebben veel organisaties nog onvoldoende grip?

Hoewel het belang van ICT leveranciersmanagement toeneemt, groeit het bewustzijn nog niet echt. In de praktijk blijkt dat veel organisaties nog geen volledig overzicht hebben van hun ICT-leveranciers en onvoldoende inzicht hebben in de gemaakte afspraken.

Dat komt vooral doordat digitalisering vaak stap voor stap is gegroeid. Afdelingen hebben in de loop van de jaren systemen aangeschaft om specifieke processen te ondersteunen. Hierdoor ontstaat een ICT-landschap met veel verschillende systemen, contracten en leveranciers.

Deze situatie kan leiden tot verschillende risico’s, zoals:

• onvoldoende inzicht in alle leveranciers en applicaties
• afhankelijkheid van individuele medewerkers met kennis van contracten
• onduidelijkheid over beveiligingsafspraken
• beperkte mogelijkheden om leveranciers structureel te evalueren.

Voor organisaties die moeten voldoen aan de NIS2-richtlijn kan dit een kwetsbare situatie zijn.

Van ad-hoc naar structureel leveranciersmanagement

In veel organisaties ontwikkelt ICT-leveranciersmanagement zich in stappen.

In een eerste fase is leveranciersmanagement vaak ad-hoc georganiseerd. Contracten liggen verspreid in de organisatie en er is beperkt overzicht.

In een volgende fase ontstaat meer structuur. Leveranciers worden beter in kaart gebracht, afspraken worden vastgelegd en er vinden periodieke evaluaties plaats.

Uiteindelijk kan leveranciersmanagement uitgroeien tot een strategisch proces waarin samenwerking met leveranciers actief wordt gestuurd en verbeterd.

Voor organisaties die moeten voldoen aan NIS2 is het belangrijk om minimaal deze gestructureerde fase te bereiken.

Hoe kan een ICT-leveranciersmanagementsysteem helpen?

Om leveranciersmanagement structureel te organiseren kiezen steeds meer organisaties voor een ICT-leveranciersmanagementsysteem (ILMS). Zo’n systeem ondersteunt organisaties bij het selecteren van leveranciers, vastleggen van afspraken, het monitoren van leveranciersrisico’s en het opvolgen van beheers- en verbetermaatregelen. Hierdoor ontstaat continu inzicht in de status van leveranciersrelaties en de mate waarin risico’s worden beheerst. Dit maakt het eenvoudiger om te rapporteren, audits uit te voeren en aan te tonen dat de organisatie voldoet aan relevante wet- en regelgeving zoals NIS2.

Meer weten over ICT-leveranciersmanagement en NIS2?

Wil je ICT-leveranciersmanagement binnen jouw organisatie integraal organiseren en versterken om te kunnen voldoen aan één van de belangrijke vereisten uit de NIS2-richtlijn? Schrijf je in voor ons webinar op 26 maart, georganiseerd in samenwerking met eSpecialisten. Tijdens dit webinar ontdek je hoe Key2Control wordt ingezet als ICT-leveranciersmanagementsysteem (ILMS). Heb je een vraag hierover? Neem dan gerust contact met ons op.

Auteur Bart Seurs

Deze blog is geschreven door Bart Seurs, directeur van Key2Control.