Voor toeleveranciers, MSP's en SaaS-aanbieders
Leveranciers in de keten
TL;DR
TL;DR
Ook als je formeel niet onder NIS2 valt, krijgen leveranciers met cybersecurity-eisen vanuit hun klanten te maken. Zonder onderbouwde maatregelen en heldere afspraken raak je opdrachten kwijt. URL.nl helpt je om een toetsbaar pakket aan maatregelen, afspraken en bewijslast neer te leggen waar klanten op door kunnen vragen.
Introductie
NIS2 raakt de keten. Essentiele en belangrijke entiteiten moeten hun leveranciers toetsen. Wie als leverancier niets te laten zien heeft valt af, ongeacht prijs of relatie.
Verantwoordelijkheden
- Onderbouwen van technische en organisatorische maatregelen richting klanten
- Bijhouden van datalokatie, sub-verwerkers en doorgiftes
- Tijdig melden van incidenten en kwetsbaarheden aan opdrachtgevers
- Meewerken aan audits en pentest-trajecten
- Onderhouden van contractuele cybersecurity-bijlagen
Vragen die nu op de agenda horen
- Kunnen wij in een uur de belangrijkste maatregelen onderbouwen aan een klant?
- Welke sub-verwerkers raken onze klantdata?
- Hebben wij een meldroute richting klanten bij een incident?
- Worden wij periodiek getoetst, of pas als een klant het vraagt?
- Hebben wij een eigen beveiligings.txt of disclosure-pagina?
Risico's bij niets doen
- Verlies van opdrachten bij gebrek aan toetsbare documentatie
- Boetes via contractuele verplichtingen richting klanten
- Reputatieschade bij een datalek dat klanten raakt
- Aansprakelijkheid bij ketenincidenten
Hoe wij dit aanpakken
- Quick scan van huidige maatregelen en documentatie
- Inrichten van een leveranciersdossier voor je klanten
- Periodieke pentest en kwetsbaarheidsscans
- Hulp bij meld- en escalatieroutes richting opdrachtgevers
Wat je concreet krijgt
- Leveranciersdossier met maatregelen, certificaten en contactgegevens
- Standaard antwoordset voor klant-vragenlijsten
- Pentestrapport en herstelplan
- Datalokatie en sub-verwerkersoverzicht
Diensten die hierbij passen
- Pentesten, gerichte aanvallen op afgesproken scope om kwetsbaarheden bloot te leggen.
- Kwetsbaarheidsscans, periodieke en doorlopende scans op publiek en intern bereikbare systemen.
- NIS2-documentatie, praktische documentatie die nis2-eisen vertaalt naar jouw organisatie.
- IT-security review, onafhankelijke review van je technische en organisatorische maatregelen.
Veelgestelde vragen
Vallen wij onder NIS2 als kleine SaaS-aanbieder?
Niet altijd direct. Maar als jouw klanten wel onder NIS2 vallen, krijg je via hun contracten alsnog cybersecurity-eisen opgelegd.
Wat is een leveranciersdossier?
Een pakket met maatregelen, certificaten, contactgegevens, sub-verwerkers en incidentafspraken dat je in één keer aan klanten kunt aanleveren.
Helpen jullie ook met klantvragenlijsten?
Ja. We bouwen een standaard antwoordset op, zodat je niet voor elke klant het wiel opnieuw uitvindt.
Deze informatie is bedoeld als praktische uitleg en vormt geen juridisch advies. Controleer altijd de actuele wetgeving en raadpleeg waar nodig een juridisch adviseur of toezichthouder.
Wil je weten wat jouw organisatie nodig heeft?
Plan een korte cybersecurity intake. We nemen samen je situatie door en geven concrete vervolgstappen.
Plan een cybersecurity intake