Ook jouw bedrijf wordt geraakt! Marktwerking effecten NIS2

Juridische richting en de onvermijdelijke marktwerking met domino-effecten. Volgens de NIS2 Cyberbeveiligingswet gaat het om IT-leveranciers. Die zijn makkelijk te identificeren. Toch? Absoluut niet!

Software zit in machines, kopieermachines, zonnepanelen, liften, airconditioning, productielijnen en nog veel meer. Veel bedrijven werken met EDI met elkaar. Alles is digitaal verbonden en in alles zit digitale technologie. Die bedrijven hebben niet het stempel IT-leveranciers maar zijn het echt wel want hun producten bevatten software en worden onderdeel van het netwerk van de klant. Er zijn tientallen groepen bedrijven die producten leveren met IT erin en die dus direct onder de wet vallen of er indirect als leverancier mee te maken krijgen.

Het volgende effect zit in inkoopvoorwaarden. Die zijn meestal generiek. Inbouwen van cybersecurity moet een onderdeel worden. Tegelijk zal door een gebrek aan expertise, tijd en geld dat soort contracten zelden op maat worden gemaakt bij het mkb. Dus wordt aan iedereen om basisveiligheid gevraagd. Dat is logisch.

De keten heeft echte risico’s

Cyberrisico’s zijn zelden beperkt tot je eigen IT-omgeving. Vaak lopen systemen en toegangsmogelijkheden ver buiten de muren van je eigen bedrijf. Wanneer je werkt met leveranciers of derden, bijvoorbeeld voor software, cloud, onderhoud of andere diensten, dan is de beveiliging van je toeleveringsketen (supply chain) minstens zo belangrijk als je eigen cyberhygiëne.

Cyberaanvallen of datalekken bij externe partijen kunnen indirect jouw bedrijfscontinuïteit of reputatie schaden. Vooral bij ketens waar veel partijen bij betrokken zijn de zwakste schakel bepaalt de algehele veiligheid.

Onder NIS2 (of toekomstige Nederlandse wetgeving) kan je verplicht zijn om je toeleveringsketen mee te nemen in je beveiligingsbeleid. Wie leveranciers inschakelt moet aantoonbaar veilige leveranciers selecteren.

Wat SDV aanbeveelt

Om ketenrisico’s te beheersen is SDV van mening dat bedrijven de volgende stappen moeten ondernemen:

• Maak een inventarisatie van je leveranciers en services: wie levert wat, welke systemen of data zijn extern betrokken.
• Stel duidelijke eisen en contractuele afspraken op voor leveranciers, met aandacht voor cybersecurity.
• Haal NIS-2 certificering zodat je kunt aantonen dat je bewust omgaat met cyberrisico’s.

Transparantie en controle in de keten zijn essentieel: weet welke partijen toegang hebben, welke data lopen door welke systemen, en of die partijen voldoende beveiligd zijn.

Bekijk alle risicogroepen en bedrijfstypes die met de wet te maken krijgen:
https://samendigitaalveilig.nl/nieuws/risicos-in-de-keten-hoe-zit-dat-eigenlijk/