Ik lever aan een NIS2-organisatie. Wat nu?

Waarom krijg je er toch mee te maken?

NIS2 verplicht organisaties die eronder vallen om ook de beveiliging van hun toeleveringsketen te regelen (artikel 21 van de richtlijn). Ben jij hun ICT-leverancier, schoonmaker met toegang, softwarebouwer of adviseur met inzage in gegevens, dan ben jij een schakel in die keten. Je klant moet kunnen laten zien dat hij weet hoe veilig jij werkt.

Wat je kunt verwachten

• Een vragenlijst over je beveiliging: MFA, back-ups, updates, toegangsrechten, training van medewerkers.
• Afspraken in het contract: welke beveiliging je minimaal hebt, binnen welke tijd je een incident meldt en of de klant mag controleren.
• De vraag om bewijs: beleid, een rapport of een certificaat zoals ISO 27001, of NEN 7510 als je in de zorg levert.

Zo bereid je je voor

1. Vraag wat je klant nodig heeft. Dan weet je waar de lat ligt en hoef je niet te gokken.
2. Zorg dat de basis klopt. Inloggen in twee stappen, geteste back-ups, centraal geregelde updates en beveiliging, en een training voor je medewerkers.
3. Leg het vast. Een kort beveiligingsbeleid en een overzicht van je maatregelen beantwoorden de meeste vragenlijsten.
4. Spreek af hoe je meldt. Je klant moet zelf binnen 24 uur melden. Daarom wil hij snel van jou horen als er iets misgaat.
5. Overweeg een certificaat. Krijg je van meerdere klanten dezelfde vragen, dan scheelt een ISO 27001-certificaat veel uitleg.

Zie het als kans

Leveranciers die hun beveiliging aantoonbaar op orde hebben, vallen minder snel af bij een aanbesteding of contractverlenging. Lees ook: NIS2-stappenplan: zo pak je het aan

Mitchel Verweij · Medeoprichter van Leasa IT

Bestuurlijke ervaring in de zorg. Weet hoe governance, wet- en regelgeving en kwaliteit in de praktijk werken, en wat een bestuur nodig heeft om te sturen. LinkedIn