NIS2 voor leveranciers: wat uw klanten u gaan vragen

NIS2 is de belangrijkste cyberbeveiligingswet van de EU voor essentiële en belangrijke entiteiten, en via die klanten raakt ze ook leveranciers. Ook als uw bedrijf zelf niet onder de richtlijn valt, moet een klant die er wel onder valt zorgen voor "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners". Dat is artikel 21, lid 2, punt d, van Richtlijn (EU) 2022/2555.

In de praktijk betekent dit vragenlijsten, nieuwe contractclausules, verzoeken om bewijs en soms een auditrecht. Dat geldt ook voor Amerikaanse bedrijven, als zij software, hosting, IT of andere diensten leveren aan EU-klanten die onder NIS2 vallen.

Dit artikel vat samen wat de richtlijn en de uitvoeringsregels werkelijk over leveranciers zeggen, en hoe u antwoorden voorbereidt die standhouden.

De belangrijkste data en artikelen

• De richtlijn werd aangenomen op 14 december 2022. De lidstaten moesten hun nationale wetgeving uiterlijk op 17 oktober 2024 vaststellen en vanaf 18 oktober 2024 toepassen (artikel 41).
• Artikel 20 verplicht de bestuursorganen van de betrokken entiteiten om de maatregelen voor het beheer van cyberbeveiligingsrisico's goed te keuren en toe te zien op de uitvoering ervan.
• Artikel 21, lid 2, noemt minstens 10 gebieden van maatregelen, van risicoanalyse en incidentafhandeling tot beveiliging van de toeleveringsketen, omgaan met kwetsbaarheden en multifactorauthenticatie.
• Artikel 21, lid 3, bepaalt dat entiteiten bij de keuze van maatregelen voor de toeleveringsketen rekening moeten houden met "de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners".
• Artikel 23, lid 4, legt de meldfasen voor de betrokken entiteit vast: een vroegtijdige waarschuwing binnen 24 uur nadat zij kennis krijgt van een significant incident, een incidentmelding binnen 72 uur en een eindverslag uiterlijk 1 maand na de melding.

NIS2 is een richtlijn, dus de bindende verplichtingen komen uit de nationale wet van elk land. De details verschillen; de juridische afdeling van uw klant vertelt u welke wet op hen van toepassing is.

Wat de uitvoeringsverordening toevoegt

Voor bepaalde digitale aanbieders (onder meer cloudcomputing, datacenters, managed services en managed security services) heeft de Commissie gedetailleerde eisen vastgelegd in Uitvoeringsverordening (EU) 2024/2690. Punt 5.1 van de bijlage is de duidelijkste beschrijving van wat klanten aan leveranciers zullen vragen. Betrokken entiteiten moeten criteria vaststellen om leveranciers te selecteren, waaronder hun cyberbeveiligingspraktijken en procedures voor veilige ontwikkeling, en hun contracten moeten, waar passend, het volgende bepalen:

• cyberbeveiligingseisen voor de leverancier,
• opleiding en, waar passend, certificeringen van het personeel van de leverancier,
• antecedentenonderzoek van het personeel,
• een verplichting om de klant zonder onnodige vertraging over incidenten te informeren,
• het recht op audit of op het ontvangen van auditrapporten,
• een verplichting om kwetsbaarheden aan te pakken die een risico voor de klant vormen,
• regels voor onderaanneming,
• verplichtingen bij het einde van het contract, zoals het teruggeven en vernietigen van gegevens.

Ook klanten die buiten de reikwijdte van die verordening vallen, gebruiken haar vaak als sjabloon, omdat ze artikel 21 omzet in een concrete lijst.

Wat uw klanten u werkelijk sturen

Reken op een combinatie van:

1. Een beveiligingsvragenlijst over toegangsbeheer, multifactorauthenticatie, back-ups, versleuteling, omgaan met kwetsbaarheden en incidentrespons.
2. Contractaanvullingen met meldtermijnen voor incidenten die kort genoeg zijn om de klant zijn eigen vroegtijdige waarschuwing binnen 24 uur te laten halen.
3. Verzoeken om bewijs: beleidsdocumenten, auditrapporten, certificaten zoals ISO/IEC 27001 of een SOC 2-rapport, en testresultaten.
4. Vragen over uw onderaannemers, vooral voor hosting en support.
5. Doorlopende monitoring: punt 5.1.6 van de bijlage vraagt entiteiten om wijzigingen in de cyberbeveiligingspraktijken van leveranciers met geplande tussenpozen te volgen, dus reken op herhaalde vragen.

Bereid antwoorden voor die te controleren zijn

Vragenlijsten zijn makkelijk optimistisch in te vullen. Steeds vaker controleren klanten de onderdelen die van buitenaf zichtbaar zijn. Zorg er voordat u antwoordt voor dat de buitenkant van uw bedrijf overeenkomt met wat u schrijft:

• E-mailauthenticatie. Als u beweert dat uw e-mail goed beveiligd is, hoort uw DMARC-record op handhaving te staan:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS en certificaten. Geldige certificaten op elke vanaf internet bereikbare hostnaam, geen verlopen certificaten, ook niet op vergeten hosts.
• Bereikbare diensten. Geen extern bureaublad, database of beheerpanelen die openstaan naar internet.
• Hygiëne van de website. Beveiligingsheaders aanwezig, geen bereikbare .env-, .git- of back-upbestanden (zie bereikbare .env-, .git- en back-upbestanden).
• Vergeten systemen. Geen verlaten staging- of testservers onder uw domein (zie vergeten staging- en testservers).

Een schone buitenkant bewijst nog geen volwassen beveiligingsprogramma, maar een zwakke buitenkant spreekt een mooie vragenlijst heel snel tegen.

Checklist voor de voorbereiding

• Wijs een eigenaar aan voor beveiligingsvragenlijsten van klanten en houd een herbruikbare set antwoorden bij.
• Schrijf een procedure voor incidentmeldingen met een contactpersoon en een termijn die u echt kunt halen.
• Houd een actuele lijst bij van uw eigen onderaannemers en de gegevens die zij verwerken.
• Leg vast hoe u met kwetsbaarheden omgaat, van melding tot oplossing.
• Verzamel bewijs op één plek: beleid, auditrapporten, certificaten, samenvattingen van tests.
• Controleer uw externe aanvalsoppervlak regelmatig en los op wat een klant zou zien.
• Controleer opnieuw voor elke contractverlenging.

De rol van Datahorses

Datahorses bewaakt uw bedrijf elke dag van buitenaf: domeinen, DNS, certificaten, e-mailauthenticatie, websites en bereikbare diensten. Bij bevindingen horen exacte herstelstappen, en ze worden bewaard als overzicht waarnaar u kunt verwijzen wanneer een klant vraagt hoe u uw eigen blootstelling bewaakt. Wij gaan uw systemen niet binnen en hebben geen toegang nodig; zie wat wij bewaken of hoe de samenwerking verloopt.