Leveranciersbeoordeling-software laten maken (security en privacy)

Leveranciersbeoordeling in deze context is het systematisch toetsen van leveranciers op informatiebeveiliging en privacy: klopt wat ze beloven, kunnen ze het aantonen, en hoe groot is het risico als het misgaat. Dat begint bij onboarding van een nieuwe leverancier en houdt niet op na het eerste contract; certificaten verlopen, diensten veranderen en incidenten bij een leverancier raken direct uw eigen organisatie.

Deze pagina gaat bewust over de security- en privacykant. Kijkt u breder naar leveranciersrisico, dus ook financiele gezondheid, continuiteit en contractuele afhankelijkheid, dan is leveranciersrisico-software laten maken het betere startpunt. De twee vullen elkaar aan: security-assessments zijn vaak een verdiepend onderdeel binnen breder leveranciersmanagement.

De kern is een dossier per leverancier met daaromheen een beoordelingscyclus die zichzelf bewaakt:

• Vragenlijsten samenstellen en uitsturen, met varianten per risicoklasse of leverancierstype, en automatische herinneringen bij uitblijvende antwoorden.
• Antwoorden beoordelen met scores per onderwerp, opmerkingen van de beoordelaar en een eindoordeel per leverancier.
• Bewijs verzamelen en beheren: ISO 27001-certificaten, SOC 2-rapporten, verwerkersovereenkomsten en penetratietestverklaringen, met geldigheidsdatum en signalering voordat iets verloopt.
• Risicoclassificatie die bepaalt hoe diep en hoe vaak u beoordeelt: een leverancier met toegang tot persoonsgegevens krijgt een zwaarder regime dan de koffieleverancier.
• Herbeoordeling op planning, zodat elke leverancier op het juiste moment automatisch opnieuw in de cyclus komt.
• Een audittrail en rapportage waarmee u aan een auditor of toezichthouder laat zien wat u wanneer heeft getoetst.

De Europese NIS2-richtlijn legt organisaties in belangrijke sectoren een zorgplicht op die uitdrukkelijk ook de toeleveringsketen omvat: u moet risico's bij directe leveranciers en dienstverleners in beeld hebben en beheersen. Wie onder NIS2 valt, kan een leveranciersbeoordeling dus niet meer afdoen als eenmalige inkoopvraag; het is een doorlopend proces dat u moet kunnen aantonen. Het Digital Trust Center van de Rijksoverheid publiceert actuele informatie over de richtlijn en de Nederlandse invulling daarvan.

Ook als uw eigen organisatie niet onder NIS2 valt, merkt u de richtlijn indirect: klanten die er wel onder vallen, sturen u vragenlijsten en verwachten snelle, onderbouwde antwoorden. Software die uw eigen beoordelingen en uw bewijsstukken op orde houdt, helpt aan beide kanten van die keten.

Zodra een leverancier persoonsgegevens voor u verwerkt, is de AVG direct van toepassing: er moet een verwerkersovereenkomst liggen en u blijft als verwerkingsverantwoordelijke aanspreekbaar op wat die verwerker doet. De software hoort daarom per leverancier vast te leggen of er persoonsgegevens in het spel zijn, welke verwerkersovereenkomst geldt, en of er doorgifte buiten de Europese Economische Ruimte plaatsvindt. De Autoriteit Persoonsgegevens is hierbij de toezichthouder.

Handig is een koppeling tussen het leveranciersdossier en uw verwerkingsregister: wijzigt een leverancier van subverwerkers of van opslaglocatie, dan ziet u meteen welke verwerkingen dat raakt en of een nieuwe beoordeling nodig is.

De grootste valkuil is vragenlijstmoeheid, aan beide kanten. Leveranciers die elk jaar dezelfde honderd vragen krijgen, gaan antwoorden kopieren; beoordelaars die stapels antwoorden moeten nakijken, gaan afvinken. Houd de beoordeling daarom proportioneel: laat een geldig ISO 27001-certificaat of SOC 2-rapport delen van de vragenlijst vervangen, en reserveer de diepgaande toets voor leveranciers met een hoge risicoclassificatie.

Let er ook op dat een beoordeling een momentopname is. De waarde zit in het bewaken van geldigheid en verandering: een verlopen certificaat, een nieuw datacenter of een overname bij de leverancier moet vanzelf tot een signaal leiden, niet pas bij de volgende jaarlijkse ronde opvallen.

Bepalend zijn het aantal leveranciers en beoordelaars, de complexiteit van de vragenlijsten en scoringsregels, of leveranciers via een eigen portaal antwoorden en bewijs uploaden, en de koppelingen met bijvoorbeeld uw contractbeheer, inkoopsysteem of verwerkingsregister. Een interne omgeving waarin uw team beoordelingen vastlegt is een stuk lichter dan een portaal waarin honderden leveranciers zelf hun dossier bijhouden. We beginnen met de cyclus voor uw meest kritieke leveranciers en breiden vandaaruit uit.

We starten met uw huidige werkwijze: welke leveranciers zijn er, hoe classificeert u ze en welke vragenlijsten gebruikt u al. Daarna bouwen we het leveranciersdossier met risicoclassificatie en bewijsbeheer, gevolgd door de vragenlijst-workflow met versturen, herinneren en beoordelen. Vervolgens komen de herbeoordelingsplanning, de rapportage en eventueel het leveranciersportaal. Elke stap levert iets dat u direct in uw volgende beoordelingsronde gebruikt.

• Leveranciersrisico-software
• Zorg-risicomanagement-software
• Alle software op maat