applatenmaken.com/kennisbank/vragenlijst
Uw klant stuurt ú een beveiligingsvragenlijst
Tot nu toe stelde u de vragen aan uw leveranciers. Sinds de Cyberbeveiligingswet krijgt u ze ook: van klanten die zelf onder de wet vallen en moeten kunnen onderbouwen dat hun keten in orde is. Deze pagina gaat over de andere richting, en over wat u moet kunnen laten zien over de software die u zelf gebruikt of levert.
Waarom u die vragen nu krijgt
De Cyberbeveiligingswet legt een zorgplicht bij organisaties die eronder vallen, en die zorgplicht omvat uitdrukkelijk de risico's in hun toeleveringsketen. Praktisch betekent dat: uw klant moet kunnen laten zien dat hij heeft nagedacht over de partijen die voor hem werken. U bent zo'n partij.
Die vraag wordt vervolgens doorgegeven. Uw klant vraagt het aan u, u vraagt het aan uw softwareleverancier, en die vraagt het aan zijn hostingpartij. Zo werkt een ketenverplichting: hij stopt pas bij de partij die niemand meer inhuurt. Dat betekent ook dat u vragen krijgt die duidelijk zijn opgesteld voor een ander type organisatie dan de uwe.
Belangrijk om te weten: u hoeft niet zelf onder de wet te vallen om deze vragen te krijgen. De verplichting ligt bij uw klant, en hij lost hem op door het aan u te vragen. Dat maakt het een commercieel vraagstuk in plaats van een juridisch: u bent niets verplicht, maar zonder antwoord bent u een risico dat hij liever niet neemt.
- Waarom u de vraag krijgt
- Uw klant heeft een zorgplicht die ook zijn keten omvat, en u zit in die keten.
- Of u zelf onder de wet valt
- Niet relevant voor de vraag; de verplichting ligt bij uw klant.
- Wat het dus is
- Een commercieel vraagstuk. U bent niets verplicht, maar geen antwoord is een risico.
- Wat er doorwerkt
- Wat u antwoordt, moet u zelf kunnen navragen bij uw eigen leveranciers.
Wat u moet kunnen beantwoorden
De vragen die over uw eigen software gaan zijn er maar een handvol, en ze zijn allemaal te beantwoorden als u ze vooraf een keer heeft uitgezocht.
De op één na laatste vraag is degene waarbij organisaties het vaakst moeten passen. Uw klant vraagt niet naar uw leverancier maar naar de partij daarachter.
Alles wat u hier antwoordt, moet u kunnen navragen bij uw eigen leveranciers. Dat is precies de reden dat de vragen die u aan hen stelt en de vragen die u van uw klant krijgt op elkaar moeten aansluiten; zie de Cyberbeveiligingswet en uw softwareleverancier.
Wat u doet met vragen die niet passen
Een groot deel van elke vragenlijst is niet van toepassing, omdat hij is opgesteld voor een leverancier die op locatie komt, eigen datacenters draait of honderden medewerkers heeft. Dat mag u zeggen, en het is beter dan iets invullen dat niet klopt.
| Type vraag | Hoe u ermee omgaat | Waar u op let |
|---|---|---|
| Gaat over onze dienst | ✓Beantwoorden, met bewijs als daarom wordt gevraagd | !Dat u het antwoord ook echt kunt onderbouwen |
| Gaat over een certificaat dat wij niet hebben | ✓Nee, met daarbij hoe u het risico wel afdekt | !Dat u het risico benoemt en niet alleen het ontbreken van het papier |
| Is opgesteld voor een ander type leverancier | ✓Niet van toepassing, met een zin waarom | !Dat u het toelicht in plaats van het vakje leeg te laten |
| Gaat over onze onderaannemers | ✓Beantwoorden of doorvragen bij uw leverancier | !Dat u het nagaat en niet aanneemt |
| Vraagt om iets dat wij nog niet hebben | ✓Nee, met een datum en een verantwoordelijke | !Dat die datum realistisch is, want er wordt op teruggekomen |
Vul nooit ja in omdat het beter oogt. Deze lijsten belanden vaak als bijlage bij een overeenkomst, waarmee een onjuist antwoord een contractueel probleem wordt in plaats van een ongemakkelijk gesprek. Bijna geregeld is een prima antwoord, zolang u dat opschrijft en niet ja.
Hoe u dit één keer regelt in plaats van elke keer
Deze vragen komen niet één keer. Zodra één klant ernaar vraagt, volgen er meer, en bij verlengingen komt hij terug. Het loont daarom om het antwoord één keer goed op te schrijven in plaats van elke lijst opnieuw in te vullen.
Maak een document van een paar pagina's met de antwoorden op de vragen hierboven, plus een overzicht van uw systemen, uw leveranciers en de afspraken die u met hen heeft. Bij een nieuwe vragenlijst kopieert u daaruit in plaats van opnieuw uit te zoeken. Datzelfde document is bovendien wat een auditor van u wil zien; zie wat een auditor over uw software wil zien.
Werk het bij op vaste momenten en niet alleen als er gevraagd wordt. Een antwoord dat vorig jaar klopte over uw leveranciers of uw toegangsbeheer, kan door een overname of een personeelswisseling zijn achterhaald. Dat is precies het soort verschil dat bij een controle opvalt.
En gebruik de lijst die u krijgt om uw eigen keten te toetsen. De vragen die u niet kunt beantwoorden, zijn dezelfde vragen die u aan uw softwareleverancier zou moeten stellen. In die zin doet uw klant u een dienst, ook al voelt het niet zo. Wat er in uw situatie juridisch geldt, legt u voor aan een jurist; deze pagina is uitleg en geen juridisch advies.
Veelgestelde vragen
Waarom krijg ik ineens vragenlijsten van klanten?
Omdat de Cyberbeveiligingswet organisaties verplicht ook de risico's in hun toeleveringsketen te onderbouwen. Uw klant moet kunnen laten zien dat hij heeft nagedacht over de partijen die voor hem werken, en hij lost dat op door het aan u te vragen. Die vraag geeft u vervolgens door aan uw eigen leveranciers.
Moet ik hierop antwoorden als ik zelf niet onder de wet val?
Wettelijk bent u meestal niets verplicht, want de verplichting ligt bij uw klant. Commercieel is het een ander verhaal: zonder antwoord bent u een risico dat hij liever niet neemt. Behandel het daarom als een commercieel vraagstuk en niet als een juridische kwestie.
Wat moet ik minimaal kunnen beantwoorden?
Welke systemen de dienst aan deze klant raken, wie er toegang toe heeft en hoe die wordt beëindigd, wie de software bouwt en beheert, binnen hoeveel tijd een ernstige kwetsbaarheid wordt gedicht, en binnen hoeveel tijd u de klant informeert bij een incident. Die vijf dekken het grootste deel van elke lijst.
Wat doe ik met vragen die niet op mij van toepassing zijn?
Antwoorden dat ze niet van toepassing zijn, met één zin waarom. Veel lijsten zijn opgesteld voor leveranciers die op locatie komen of eigen datacenters draaien, en uw contactpersoon weet dat meestal zelf ook. Een leeg vakje leest als ontwijken; een korte toelichting niet.
Mag ik ja invullen als iets bijna geregeld is?
Nee. Deze lijsten belanden vaak als bijlage bij een overeenkomst, en dan wordt een onjuist antwoord een contractueel probleem in plaats van een ongemakkelijk gesprek. Bijna geregeld is een prima antwoord met een datum en een verantwoordelijke erbij; het is alleen geen ja.
Waar moet ik het vaakst passen?
Bij de vraag welke onderaannemers er achter u zitten. Uw klant vraagt niet naar uw softwareleverancier maar naar de partij daarachter: zijn hostingpartij, zijn onderaannemers. Dat is precies de vraag die u zelf aan uw leverancier had moeten stellen, en die u dus alsnog moet gaan stellen.
Hoe voorkom ik dat ik dit elke keer opnieuw doe?
Door de antwoorden één keer op te schrijven in een document van een paar pagina's, samen met een overzicht van uw systemen, uw leveranciers en uw afspraken. Bij een nieuwe lijst kopieert u daaruit. Datzelfde document is bovendien wat een auditor van u wil zien, dus het werk is dubbel bruikbaar.
Hoe vaak moet ik dat document bijwerken?
Op vaste momenten en niet alleen als er gevraagd wordt. Antwoorden over uw leveranciers of uw toegangsbeheer kunnen achterhaald raken door een overname, een personeelswisseling of een nieuwe onderaannemer. Een verouderd antwoord valt bij een controle op en is schadelijker dan een eerlijk gat.