Een werkplek-abonnement is geen leveranciersverklaring

Je opdrachtgever vraagt om bewijs dat je beveiliging op orde is. Zoek je daarnaar, dan vind je twee heel verschillende antwoorden. Het ene is een document dat je één keer laat opstellen en daarna verstuurt. Het andere is een dienst waar je je op abonneert, elke maand opnieuw. Ze klinken allebei als een oplossing voor dezelfde vraag. Dat zijn ze niet.

Wat je opdrachtgever eigenlijk vraagt

Kijk naar de vraag zelf, en het gaat zelden om een dienst die je bij hem afneemt. Het gaat om een antwoord dat hij kan opbergen: waar ben je kwetsbaar, hoe werk je, wat heb je met een eerdere bevinding gedaan. Dat spoort met wat opdrachtgevers ook zelf te horen krijgen, bijvoorbeeld op een webinar van het NCSC over de toeleveringsketen: minder aan lange vragenlijsten, meer aan een antwoord dat aantoonbaar is en dat hij kan narekenen. Zo'n antwoord staat op papier. Het logt niet in en het draait niet door.

Wat een abonnement daar tegenover zet

Er zijn aanbieders die van diezelfde vraag een doorlopend product maken: een abonnement per werkplek, met een lopende beveiligingsdienst en hulp bij een audit. Zo'n abonnement kost al snel richting de 148 euro per werkplek per maand. Bij twaalf werkplekken loopt dat op tot bijna 1.800 euro per maand, en dat bedrag blijft komen zolang je klant bent. Wat je daarvoor krijgt is best nuttig: een dienst die meekijkt en die kan helpen als er echt iets misgaat. Alleen is het geen document dat je opdrachtgever in zijn eigen dossier kan leggen.

Het verschil zit in de vorm

Dat maakt dit geen kwestie van een goed of slecht product. Het verschil zit in wat er aan het einde in handen van je opdrachtgever ligt. Bij een leveranciersverklaring is dat een ondertekend stuk met een datum erop, dat hij kan bewaren en laten zien aan wie ernaar vraagt. Bij een abonnement is dat een inlog die blijft werken zolang de rekening wordt betaald, en die niets meer voorstelt zodra dat stopt. Een opdrachtgever die om bewijs vraagt, vraagt niet om toegang tot een dashboard.

Wat het verschil kost

Een leveranciersverklaring als onderdeel van het Ketendossier koop je eenmalig, voor het volledige pakket van negen documenten. Wil je een jaar later een geactualiseerde versie, dan betaal je daarvoor apart, en alleen als je daarom vraagt. Geen abonnement, geen maandelijkse afschrijving, en het precieze bedrag zie je meteen bij de gratis scopecheck hieronder. Zet dat naast een abonnement van 148 euro per werkplek per maand, en de rekensom is snel gemaakt.

Geen wettelijke plicht, wel een contractrisico

Niets van dit alles is verplicht. De Cyberbeveiligingswet legt toeleveranciers zelf geen verplichtingen op, en er is geen toezichthouder die bij jou aanklopt of een boete oplegt. Wat wel reëel is: een opdrachtgever die geen bruikbaar antwoord terugkrijgt, kan bij de volgende contractronde kiezen voor een leverancier die dat wel op papier heeft staan. Dat is geen wettelijk risico. Dat is een concurrentierisico, en het is precies het soort risico waar een aanbesteding of contractverlenging op kan stuklopen.

Wil je weten wat er in zo'n document hoort, of eerst zien of dit al voor jou geldt? De gratis scopecheck laat in een paar minuten zien waar je staat, zonder dat je je meteen ergens op abonneert.