Wat hoort er in een leveranciersverklaring?

Er is geen wettelijk model voor een leveranciersverklaring. Geen formulier, geen template van de overheid, geen verplichte velden. Dat klinkt als vrijheid en het voelt als een probleem: je weet niet wanneer je klaar bent. Toch ligt de inhoudsopgave er wel, alleen staat hij ergens anders dan je zou verwachten. Hij staat in de wet die voor je opdrachtgever geldt.

De inhoudsopgave staat in artikel 21, vierde lid

Je opdrachtgever moet zijn toeleveringsketen beoordelen. Dat staat in artikel 21, derde lid, onderdeel d. Wat hij daarbij moet meewegen, staat een lid verder, en dat is het interessante deel.

“Wanneer de entiteit overweegt welke maatregelen als bedoeld in het derde lid, onderdeel d, passend zijn, houdt zij rekening met: a. de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; b. de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures; en c. de resultaten van de door de samenwerkingsgroep uitgevoerde gecoordineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens.”

Artikel 21, vierde lid Cbw

Lees dat nog eens als een vragenlijst. Waar ben jij kwetsbaar. Hoe werk je. Wat heb je met bekende bevindingen gedaan. Dat zijn de drie dingen die je opdrachtgever van je moet weten, en het zijn dus de drie dingen die je verklaring moet beantwoorden. Zet het artikel er letterlijk boven en beantwoord het eronder. Dan leest de inkoper aan de andere kant zijn eigen opdracht terug, netjes afgevinkt.

Wat er concreet in hoort

Onder die drie kopjes komt het volgende. Het lijkt veel, maar het meeste weet je al zonder dat je iets hoeft uit te zoeken.

• Wie je bent: naam, KvK-nummer, wat je levert, en aan wie. Zonder dat is de rest niet te plaatsen.
• Wat je aanraakt bij de opdrachtgever: kom je in zijn systemen, op zijn terrein, of alleen aan de poort. Dit bepaalt hoe zwaar hij je weegt.
• Hoe je inlogt: staat tweestapsverificatie aan, en waar niet.
• Wat er gebeurt als iemand vertrekt: hoe snel gaat zijn toegang eraf, ook bij de opdrachtgever.
• Hoe je back-ups doet en of je ooit een herstel hebt geprobeerd. Een back-up die nooit is teruggezet, is een aanname.
• Wie je zelf inhuurt: je IT-partij, je planningspakket, je hoster. En of daar afspraken mee liggen.
• Wat je doet bij een incident: wie beoordeelt, wie beslist, en binnen hoeveel uur je de opdrachtgever belt.
• Wat er nog niet af is, met wanneer je het oppakt.

Dat laatste punt is het belangrijkste

De verleiding is om alleen op te schrijven wat goed gaat. Dat is precies waar een verklaring doorheen prikt. Een inkoper die er tien per week leest, herkent een stuk waarin alles op orde is meteen als een stuk dat niet is nagelopen. Bij een bedrijf van twaalf man staat er altijd iets open, en dat weet hij ook.

Wat hem wel gerust stelt, is dat jij weet wat er openstaat en wanneer je het doet. Dat is namelijk precies wat de wet van hem vraagt: een onderbouwde afweging, niet een perfecte score. Artikel 21, tweede lid zegt dat maatregelen passend en evenredig moeten zijn, afgestemd op de omvang van de organisatie en de kans dat er iets gebeurt. Een bedrijf van twaalf man mag beknopter zijn dan een ziekenhuis, en dat is verdedigbaar.

Wat je er niet in zet

Drie dingen die een verklaring onbruikbaar maken zodra iemand doorvraagt.

• Dat je voldoet aan de Cyberbeveiligingswet. Die wet geldt niet voor jou, dus eraan voldoen is geen uitspraak die je kunt doen. En voor je opdrachtgever bestaat er geen instantie die dat afvinkt.
• Dat je gecertificeerd bent, tenzij je een certificaat hebt met een nummer erop. Gelijkwaardig aan ISO 27001 is ook geen claim; die norm heeft een auditor nodig.
• Cijfers en percentages die je niet kunt laten zien. Negenennegentig procent uptime klinkt goed tot iemand vraagt waar dat vandaan komt.

En dan de handtekening

Zet er de naam en functie onder van degene die het ondertekent, met een datum. Een verklaring zonder datum is over een jaar waardeloos, en een verklaring zonder naam is niemands verantwoordelijkheid. Artikel 24, eerste lid vraagt bij je opdrachtgever om goedkeuring van het bestuur; dezelfde logica maakt jouw stuk sterker.

Verder helpt het om te vermelden waar het op steunt. Niet dat een adviesbureau ernaar heeft gekeken, maar dat het is opgemaakt uit je eigen opgave en dat niemand die opgave heeft gecontroleerd. Dat lijkt zwakker en is het tegenovergestelde: een stuk dat eerlijk is over zijn eigen grenzen, is een stuk dat je kunt narekenen.