NIS2-eisen voor leveranciers
Uw klanten vallen onder de Cyberbeveiligingswet en kunnen eisen stellen aan hun leveranciers. Meestal merkt u dat als er een beveiligingsvragenlijst binnenkomt. Wij helpen u de vragenlijst te beantwoorden en uw bewijs op orde te brengen.
In het kort
Wat betekent NIS2 voor leveranciers?
Organisaties die onder de Cyberbeveiligingswet vallen kunnen eisen stellen aan hun leveranciers, bijvoorbeeld via beveiligingsvragenlijsten en contractclausules. Dat heet ketenverantwoordelijkheid: de klant blijft verantwoordelijk voor de beveiliging van zijn keten en legt een deel van die vragen bij u neer. U merkt het meestal als zo'n vragenlijst binnenkomt.
Herkenbaar?
- Een klant stuurt een beveiligingsvragenlijst met tientallen vragen, en niemand weet wie die moet invullen.
- Een nieuw contract bevat clausules over beveiliging, incidenten en audits die u niet eerder zag.
- U heeft maatregelen, maar geen document waarmee u ze kunt laten zien.
- Een klant vraagt om een certificaat dat u niet heeft, en u wilt weten wat er dan wel kan.
Zo werkt het
Eisen op een rij
We zetten de vragenlijsten en contractclausules van uw klanten naast elkaar, zodat u één set eisen overhoudt.
Wat u al heeft
We bepalen wat u al geregeld heeft en wat ontbreekt.
Maatregelen
De ontbrekende maatregelen voeren we in, op volgorde van belang.
Bewijs
Een overzicht waarmee u uw maatregelen laat zien, en een beantwoorde vragenlijst die u kunt hergebruiken bij de volgende klant.
Wat is NIS2-ketenverantwoordelijkheid?
Ketenverantwoordelijkheid betekent dat een organisatie onder de Cyberbeveiligingswet ook naar de beveiliging van haar leveranciers moet kijken. Daarom kunnen die organisaties eisen stellen aan u, meestal via een vragenlijst of contractclausules. Wat u moet laten zien, bepaalt uw klant; wij helpen u de vragen te beantwoorden en het bewijs op orde te brengen.
Wat we niet doen
LogicX certificeert niet en garandeert geen naleving. Vraagt uw klant om een ISO 27001-certificaat, dan zeggen we dat meteen; de certificering doet een geaccrediteerde certificeerder. Pentests en een security operations center doen we niet. Of uw organisatie zelf onder de wet valt, is een juridische vraag; bij twijfel raden we juridisch advies aan.
Veelgestelde vragen
Valt mijn organisatie onder de Cyberbeveiligingswet?
Doe de gratis NIS2-quickscan of de zelfevaluatie van het NCSC. Bij twijfel raden we juridisch advies aan. Voor deze dienst hoeft u zelf niet onder de wet te vallen: het gaat om de eisen van uw klant.
Certificeert LogicX?
Nee. LogicX certificeert niet en garandeert geen naleving. Vraagt uw klant om een ISO 27001-certificaat, dan zeggen we dat meteen.
Kunnen we de vragenlijst zelf invullen?
Vaak wel, als u weet wat u heeft. Het werk zit in het bewijs: beleid, afspraken en instellingen die u kunt laten zien. Daar helpen wij bij, en het overzicht gebruikt u daarna zelf.
Wat als de klant eisen stelt die we niet halen?
Dan staat dat in het overzicht, met wat ervoor nodig is. Wat u daarmee doet, bespreekt u met uw klant. Wij beloven geen uitkomst.
Hoe lang duurt het en wat kost het?
Meestal 2 tot 3 weken, afhankelijk van het aantal vragenlijsten en van wat er nog ontbreekt. De prijs is vast en staat in het voorstel voordat we beginnen.