Veel ondernemers denken bij ICT-veiligheid vooral aan hun eigen netwerk, hun eigen laptops en hun eigen wachtwoorden. Dat is logisch, want dat is het deel dat je kunt zien en aanraken. Een flink deel van je kwetsbaarheid zit echter ergens anders: bij de softwareleverancier die je boekhoudpakket host, bij de partij die je voorraadbeheer draait, bij de vervoerder die via een koppeling in jouw planningssysteem kijkt. Zodra een van hen een probleem heeft, kan dat probleem bij jou binnenkomen. De deur gaat dan open via een slot dat niet van jou is.
Jouw systemen zijn niet het hele verhaal
Voor een groothandel, een productiebedrijf of een logistieke dienstverlener is dit geen ver-van-mijn-bedshow. Je werkt waarschijnlijk met tien, twintig of meer externe partijen die op enig moment toegang hebben tot klantgegevens, voorraadinformatie of planningsdata. Software die je gebruikt voor facturatie, voor track-and-trace, voor personeelsplanning: overal zit een leverancier achter die zelf ook weer kwetsbaar kan zijn. Van elk van die partijen vertrouw je, min of meer stilzwijgend, dat ze hun zaakjes op orde hebben.
Vertrouwen is geen beleid
Dat stilzwijgende vertrouwen is het eigenlijke probleem. Leveranciers zijn niet per definitie onbetrouwbaar; het punt is dat je het simpelweg niet weet. Je hebt vaak geen overzicht van wie waar toegang toe heeft, welke leverancier welke data verwerkt en wat er gebeurt als die leverancier wordt getroffen door een storing of een aanval. Zonder dat overzicht kun je geen weloverwogen beslissing nemen over wie je wel en niet die toegang gunt.
Wij zien bij Motics vaak dat bedrijven dit risico pas serieus nemen nadat er iets is misgegaan bij een partij waarmee ze zaken doen. Dan blijkt dat niemand goed wist welke leverancier precies bij welke systemen kon, en dat er geen afspraken lagen over wat er moest gebeuren als het misging. Dat is een onwenselijke manier om erachter te komen hoe afhankelijk je eigenlijk bent.
Eerst meten, dan pas beleid
Onze aanpak begint niet bij het opstellen van strenge eisen voor leveranciers. Die eisen komen later, en ze hebben pas waarde als je weet waarop je ze moet richten. De eerste stap is simpelweg in kaart brengen: welke leveranciers heb je, wat doen ze voor je, en tot welke data en systemen hebben ze toegang. Dat klinkt eenvoudig, maar in de praktijk is dit overzicht bij de meeste MKB-bedrijven incompleet of verouderd.
Pas als dat beeld er ligt, kun je gericht beleid maken. Welke leveranciers zijn kritiek voor je bedrijfsvoering? Wie heeft toegang tot gevoelige gegevens en wie slechts tot een beperkt onderdeel van je systemen? Welke afspraken wil je vastleggen over meldplicht bij incidenten, over beveiligingseisen, over wat er gebeurt als een contract eindigt? Beleid dat je baseert op een volledig overzicht staat steviger dan beleid dat je baseert op een onderbuikgevoel.
Wat je nu concreet kunt doen
Je hoeft niet te wachten op een groot project om hiermee te beginnen.
Breng in kaart welke leveranciers en softwarepartijen toegang hebben tot je systemen en data. Een overzicht in een spreadsheet is al een goed begin, zolang het maar compleet en actueel blijft.
Bepaal per leverancier hoe kritiek de toegang werkelijk is. Een partij die alleen je website host, is iets anders dan een partij die je volledige klantenbestand beheert.
Leg vast wat je van je belangrijkste leveranciers verwacht op het gebied van beveiliging en melding bij incidenten. Dat hoeft geen dik contract te zijn, maar wel iets concreters dan een mondelinge afspraak.
Betrek de mensen die dagelijks met deze leveranciers werken. Zij merken vaak als eerste wanneer er iets wringt, en zij moeten begrijpen waarom nieuwe afspraken er zijn voordat je ze oplegt.
Dit raakt ook NIS2
Als je bedrijf onder de NIS2-richtlijn valt, of als je daar rekening mee houdt, is leveranciersbeheer een van de onderdelen waar toezichthouders naar kijken. Het gaat er niet om dat je elke leverancier kunt garanderen of certificeren. Het gaat erom dat je kunt laten zien wie je leveranciers zijn, welk risico ze met zich meebrengen en welke afspraken je daarover hebt vastgelegd. Dat is wat we aantoonbaar richting NIS2 noemen: een dossier dat klopt als er gevraagd wordt hoe je dit hebt geregeld, in plaats van een indruk die op gevoel is gebaseerd.
Overzicht is het begin, niet het eind
Leveranciersbeheer is geen project dat je afrondt en dan vergeet. Leveranciers veranderen, contracten lopen af, nieuwe partijen komen erbij. Het overzicht dat je nu opbouwt heeft alleen waarde als je het actueel houdt en er periodiek naar kijkt. Wij denken daarbij liever in het hele domein van je leveranciersrelaties dan in een los document of een eenmalige check, want alleen dan blijft het beeld kloppen met de werkelijkheid.
Een paar vragen die we vaak krijgen
Moet ik al mijn leveranciers even streng beoordelen?
Nee, dat is ook niet werkbaar. Begin met de leveranciers die toegang hebben tot gevoelige data of die kritiek zijn voor je bedrijfsvoering, en breid daarna pas uit naar de rest. Een leverancier die alleen je kantine-apparatuur onderhoudt, vraagt een andere aanpak dan je boekhoudpakket.
Wat als een leverancier niet wil meewerken aan onze eisen?
Dat gebeurt, en dan moet je een afweging maken. Soms is een leverancier simpelweg te belangrijk om snel te vervangen, en kies je voor extra maatregelen aan jouw kant. Soms is het juist een signaal om op zoek te gaan naar een alternatief.
Hoeveel tijd kost het om dit overzicht op te bouwen?
Voor de meeste MKB-bedrijven is een eerste, bruikbare versie binnen een paar weken te maken, zeker als je met je belangrijkste leveranciers begint. Het precies en actueel houden is daarna een kwestie van routine, niet van een nieuw groot project.
Is dit alleen belangrijk voor bedrijven die onder NIS2 vallen?
Nee. Ook zonder wettelijke verplichting loop je risico via leveranciers die toegang hebben tot je systemen. NIS2 geeft wel een duidelijke reden om dit overzicht serieus en gestructureerd aan te pakken in plaats van het voor je uit te schuiven.
Wil je weten hoe je grip krijgt op je leveranciers en welke risico’s daarbij voor jouw bedrijf het meest spelen? Bij Motics denken we daar graag in mee, vanuit overzicht in plaats van aannames.
