Hoe je klant jou als leverancier beoordeelt, in vijf stappen

Ergens in het kantoor van je opdrachtgever ligt een lijst met leveranciers, en jouw naam staat erop. Wat er met die lijst gebeurt bepaalt of je volgend jaar nog levert. Het proces erachter is minder mysterieus dan het voelt, en het staat grotendeels in zijn eigen wet.

Wat de wet hem opdraagt te wegen

De Cyberbeveiligingswet laat het niet bij de opdracht om de keten te beveiligen. Ze zegt er ook bij waar hij per leverancier naar moet kijken.

“de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures”

Artikel 21, vierde lid Cbw

Dat is de inhoudsopgave van elke vragenlijst die je ooit krijgt. Wie dat lid leest, weet vooraf waar de vragen vandaan komen: niet uit de fantasie van een inkoper, maar uit twee zinnen wetgeving.

De vijf stappen die hij zet

Een Nederlands auditbureau beschrijft het proces in vijf stappen, en die volgorde kom je bij de meeste opdrachtgevers in een of andere vorm tegen.

• Beleid. Hij legt vast wat hij van leveranciers verlangt, en waarom.
• Inventarisatie. Hij maakt de lijst: wie levert wat, en wat raakt dat.
• Beoordeling. Hij stuurt de vragenlijst, of laat een audit doen.
• Contract. Wat eruit komt, gaat de overeenkomst in.
• Controle. Hij kijkt later of het nog klopt.

Die vijf stappen zijn praktijk, geen wettekst. Ze staan zo niet in de wet en er hoort dus ook geen artikelnummer bij. Wat er wel in de wet staat is de weging uit lid 4 hierboven, en die zit in stap drie.

Wat jij per stap kunt neerleggen

Bij stap een en twee zit je niet aan tafel. Daar kun je alleen zorgen dat je vindbaar bent: een beveiligingscontact met een naam, zodat de vragenlijst bij de juiste persoon binnenkomt en niet bij een algemeen postvak blijft liggen.

Stap drie is waar het bij jou aankomt. Daar helpt het om vooraf te hebben wat lid 4 noemt: wat er bij jou kwetsbaar is en wat je daaraan doet, en hoe je werkt. Lever je software, dan valt onder die weging ook je ontwikkelproces. Dat is een vraag die veel dossiers overslaan, en een van de weinige waar een softwareleverancier zich echt mee onderscheidt.

Bij stap vier en vijf verschuift het van beschrijven naar aantoonbaar blijven. Wat je in het contract toezegt, wordt later nagekeken. Een verklaring met een datum en een verantwoordelijke overleeft die controle. Een mail met losse antwoorden is een jaar later niet terug te vinden, ook niet door jezelf.

Waar je uit de lijst valt

Niet door een sanctie. De wet wijst jou niet aan, dus er komt geen toezichthouder langs. Je valt eruit bij stap vier, in stilte, als er een leverancier is die zijn papier wel op orde had. Dat is een contractrisico en een concurrentierisico, en het is precies het soort verlies dat je pas merkt als het contract niet wordt verlengd.

Wat je klant bij stap drie wil zien, ligt in het volledige pakket van negen documenten, inclusief de leveranciersverklaring. Dat kost eenmalig €595 excl. btw. De gratis scopecheck laat in een paar minuten zien waar dit bedrijf op die weging al staat.