Een beveiligingsvragenlijst van uw klant beantwoorden

Waarom de vragenlijst komt, en waarom hij terugkomt

De wettelijke plicht ligt bij uw klant. Onder artikel 21 van de Cbw vallen rechtstreekse leveranciers en dienstverleners binnen zijn zorgplicht, en artikel 10 van het Cyberbeveiligingsbesluit vraagt hem te toetsen of zij aan zijn beveiligingseisen voldoen, en dat periodiek te controleren. Een vragenlijst is de manier waarop hij die toets uitvoert en vastlegt. Daarom komt hij terug.

Wat dat betekent voor uw positie als leverancier, leest u op de pagina voor leveranciers. Hieronder gaat het om het invullen.

Lees eerst de scope

Voordat u één vraag beantwoordt, stelt u vast waarover de vragenlijst gaat: de hele organisatie, of alleen de dienst die u deze klant levert, met de systemen, locaties en mensen die daarvoor nodig zijn. Een antwoord dat voor uw hele organisatie klopt, kan voor de geleverde dienst te ruim zijn, en andersom.

Noteer de scope boven uw antwoorden. Is die onduidelijk, vraag de klant dan om verduidelijking voordat u begint. Dat voorkomt antwoorden die later niet blijken te passen.

Drie soorten vragen

Bijna elke vraag valt in een van drie soorten, en elke soort vraagt een ander antwoord.

• Vragen naar beleid: heeft u een vastgesteld beleid voor toegang, back-ups of incidenten? Het antwoord is een verwijzing naar een document met een datum en een eigenaar.
• Vragen naar uitvoering: wordt dat beleid toegepast? Het antwoord is bewijs dat het gebeurt: een verslag van de laatste hersteltest, de datum van de laatste toegangscontrole, een uittreksel uit het incidentregister.
• Vragen naar voornemens: wat bent u van plan? Die zijn zeldzamer, en verdienen een antwoord met een datum.

De meeste moeite zit in de tweede soort. Een beleid hebben veel organisaties; aantonen dat het wordt toegepast, kunnen er minder.

Antwoord met bewijs, niet met bijvoeglijke naamwoorden

'Wij hebben een robuust back-upproces' zegt niets wat de klant kan controleren. 'Back-ups worden dagelijks gemaakt; de laatste hersteltest was op een bepaalde datum en is vastgelegd in een testverslag' wel. Een goed antwoord noemt wat er gebeurt, hoe vaak, en welk stuk dat aantoont.

U hoeft niet elk stuk mee te sturen. Vaak volstaat een verwijzing, of een samenvatting met de belangrijkste gegevens, met het aanbod om het volledige stuk te laten inzien. Zo houdt u interne documenten binnen, terwijl het antwoord controleerbaar blijft.

Als het eerlijke antwoord 'nee' is

Een vragenlijst is geen examen waar u alles moet 'halen'. De klant weegt risico's; een eerlijk 'nee' met een plan is voor hem meer waard dan een 'ja' dat bij de eerste controle niet blijkt te kloppen.

Geef bij een 'nee' of 'gedeeltelijk' aan wat er nu wel geregeld is, welke maatregel volgt en wanneer, en wie daarvoor verantwoordelijk is. Houd die toezeggingen bij, want de klant controleert periodiek en zal ernaar terugvragen.

Bouw één antwoordenset op

Veel vragen komen in elke vragenlijst terug, in andere woorden en in een andere volgorde. Wie elke vragenlijst vanaf nul invult, doet hetzelfde werk steeds opnieuw, en loopt het risico dat klanten verschillende antwoorden krijgen op dezelfde vraag.

Houd daarom één set bij met per onderwerp het standaardantwoord, het bewijsstuk waar het naar verwijst, de eigenaar en de datum van de laatste controle. De tien elementen van de zorgplicht zijn een bruikbare indeling; zie de NIS2-checklist. Laat elke ingevulde vragenlijst door een tweede persoon controleren voordat hij de deur uitgaat.

Wie antwoordt, en wie controleert

Leg vast wie vragenlijsten beantwoordt en wie ze controleert. Technische vragen vragen iemand die de systemen kent; vragen over beleid, toezeggingen en termijnen vragen iemand die namens de organisatie mag toezeggen. Vaak zijn dat twee verschillende mensen.

Vergelijk de antwoorden met wat in het contract met de klant staat. Een toezegging in een vragenlijst kan later in de afspraken terechtkomen, en een antwoord dat afwijkt van het contract roept vragen op die u liever voorkomt. Bewaar elke verstuurde vragenlijst met de datum, zodat u bij de volgende controle weet wat u eerder heeft geantwoord.

Wanneer een ISO 27001-certificaat helpt

Een geaccrediteerd ISO 27001-certificaat is het bewijsstuk dat klanten het snelst accepteren. Het kan een deel van de vragen beantwoorden, mits de scope van het certificaat de dienst omvat die u deze klant levert. Welk deel van de vragenlijst het vervangt, bepaalt de klant.

Een certificaat is niet verplicht, en zonder certificaat kunt u met een goed onderbouwd dossier ook antwoorden. Het verschil zit in de tijd die het de klant kost om uw antwoorden te beoordelen.