Van zoekopdracht tot ondertekenbaar dossier.
De leveranciersverklaring is het stuk dat je doorstuurt. Op één pagina staat per maatregel wat je hebt opgegeven, met het wetsartikel erbij. Dat is wat een inkoper als eerste leest.
De acht andere documenten zijn de onderbouwing eronder: je beleid, je risicoanalyse, je meldprocedure, je back-upafspraken. Vraagt hij door, dan stuur je die na. Het plan van aanpak (bijlage 9) verzamelt alles wat nog openstaat, en de verklaring verwijst er per punt naar.
De gratis check stelt negen vragen. Die raken 5 van de 10 maatregelen; bij de overige 5 staat een streepje, want daar is niet naar gevraagd.
De volledige intake stelt er 45 vragen bij, en die raken alle 10 maatregelen. Ook de tekens die nu gevuld zijn kunnen dus nog veranderen. Bij back-up komt erbij hoe vaak er een back-up wordt gemaakt en of herstel ooit is getest; bij de instructie of er een phishingtest is gedaan; bij tweestapsverificatie of er een wachtwoordmanager wordt gebruikt.
Het blijft hetzelfde document, met hetzelfde waarmerk. Het wordt alleen vollediger, en dat is precies wat je opdrachtgever wil zien.
Meestal valt niet jouw bedrijf onder de Cyberbeveiligingswet, maar je opdrachtgever wel. Artikel 21, eerste lid Cbw verplicht hem tot “passende en evenredige technische, operationele en organisatorische maatregelen” om de risico's voor zijn netwerk- en informatiesystemen te beheersen, letterlijk zo geformuleerd in de wet. Het derde lid werkt dat uit in tien onderdelen, van a tot en met j. Daarom krijg jij een vragenlijst: je opdrachtgever moet zelf kunnen aantonen dat elk van die tien onderdelen op orde is, ook bij zijn leveranciers.
Elk document in je dossier is opgesteld op basis van de tien zorgplichtmaatregelen zoals het NCSC die uitwerkt, en beantwoordt één vast onderdeel van artikel 21. Zo weet je opdrachtgever direct welk stuk wet erbij hoort, in plaats van dat hij op een blauwdruk moet vertrouwen.
| Maatregel | Cbw-artikel | Document |
|---|---|---|
| 1. Maak een risicoanalyse | Artikel 21, derde lid, onderdeel a | Risicoanalyse en maatregelenregister |
| 2. Richt incidentrespons in | Artikel 21, derde lid, onderdeel b | Incident- en meldprocedure |
| 3. Bereid je voor op uitval | Artikel 21, derde lid, onderdeel c | Continuïteits- en back-upbeleid |
| 4. Maak je toeleveringsketen veilig | Artikel 21, derde lid, onderdeel d | Leveranciersbeheer |
| 5. Zorg dat cyberhygiëne op orde is | Artikel 21, derde lid, onderdeel g | Bewustzijnsverklaring en instructie |
| 6. Beveilig netwerk- en informatiesystemen | Artikel 21, derde lid, onderdeel e | Informatiebeveiligingsbeleid |
| 7. Beveiliging personeel, toegang en assets | Artikel 21, derde lid, onderdeel i | Toegang, authenticatie en versleuteling |
| 8. Gebruik passkeys of MFA | Artikel 21, derde lid, onderdeel j | Toegang, authenticatie en versleuteling |
| 9. Stel cryptografiebeleid op | Artikel 21, derde lid, onderdeel h | Informatiebeveiligingsbeleid |
| 10. Beoordeel de effectiviteit van maatregelen | Artikel 21, derde lid, onderdeel f | Plan van aanpak (12 maanden) |
De leveranciersverklaring, het enige gratis document, is de samenvatting van al deze onderliggende stukken: één pagina die je rechtstreeks naar je opdrachtgever kunt sturen. De rest houd je achter de hand voor als hij doorvraagt.
Dit overzicht is geen certificering en geen juridisch advies. Het beschrijft hoe de documenten zijn opgebouwd op basis van de zorgplichtmaatregelen uit de Cyberbeveiligingswet.