Uw klant vraagt om NIS2- of ISO 27001-bewijs
Die vraag komt niet van een toezichthouder, maar van een klant: een beveiligingsvragenlijst, een verzoek om uw certificaat of een nieuwe clausule in het contract. Hier leest u waarom klanten erom vragen, wat zij doorgaans willen zien en hoe u het bewijs op orde brengt.
Bijgewerkt op
Uw klant moet de beveiliging van zijn leveranciers beheersen
Onder de zorgplicht van artikel 21, derde lid, onder d, van de Cyberbeveiligingswet moet elke essentiële en belangrijke entiteit de beveiliging van haar leveranciers beheersen. Rechtstreekse leveranciers en dienstverleners vallen binnen die zorgplicht: de klant weegt de kwetsbaarheden van elke leverancier, de kwaliteit van zijn producten en zijn veilige ontwikkelpraktijken.
De wettelijke plicht ligt dus bij uw klant. Om die na te komen, vraagt hij u aan te tonen hoe u uw kant beveiligt. Of u zelf ook onder de wet valt, hangt af van uw eigen sector en omvang; dat staat los van de vraag van uw klant.
Een geaccrediteerd ISO 27001-certificaat is het bewijsstuk dat klanten daarvoor het snelst accepteren. Het is niet het enige: wie geen certificaat heeft, kan met een goed onderbouwd dossier ook antwoorden.
Wat klanten doorgaans willen zien
Dit zijn de vormen die u kunt verwachten, vaak in combinatie.
- Een beveiligingsvragenlijst
- Vragen over beleid, toegangsbeheer, back-ups, incidentafhandeling en uw eigen leveranciers. Sterke antwoorden verwijzen naar bewijs dat u kunt overleggen, niet naar voornemens.
- Een ISO 27001-certificaat
- Afgegeven door een geaccrediteerde certificerende instelling, met het toepassingsgebied erbij. De klant kijkt of de dienst die u hem levert binnen die scope valt.
- Bewijs van maatregelen
- Stukken die laten zien dat maatregelen bestaan en werken: een risicoanalyse, een incidentprocedure, testresultaten of een auditrapport.
- Contractclausules
- Afspraken over beveiligingseisen, over het melden van incidenten aan de klant en over het recht van de klant om te controleren.
Van vraag naar aantoonbaar antwoord
- Een nulmeting en gap-analyse: wat er al ligt, wat aantoonbaar is en waar het verschil zit met wat uw klant of de wet vraagt.
- Een schriftelijk auditrapport met bevindingen, een prioritering en een onderbouwde scope. Het rapport is van u.
- Implementatie van ISO 27001 of van de NIS2-zorgplicht, met auditklare documentatie.
- Een interne audit door een team dat het systeem niet zelf heeft ingericht.
- Voorbereiding op Stage 1 en Stage 2 van de certificeringsaudit. Het certificaat zelf geeft een geaccrediteerde certificerende instelling af, niet wij.
- Een dossier dat actueel blijft, zodat u de volgende vragenlijst met hetzelfde bewijs beantwoordt.
Wat klanten ons vragen
Weet wat u kunt aantonen
Vul het formulier in. Binnen 24 uur ontvangt u schriftelijk een eerste analyse. Er zijn geen kosten aan verbonden en een gesprek volgt alleen als u daarom vraagt.