Beantwoord een NIS2-vragenlijst zonder te veel te beloven

Een NIS2-vragenlijst vloeit voort uit de verplichting van uw klant inzake de beveiliging van de toeleveringsketen op grond van artikel 21, lid 2, punt d), van NIS2, de EU-richtlijn inzake cyberbeveiliging die elke lidstaat via eigen wetgeving toepast en aan u als leverancier doorgeeft. De antwoorden over incidentmeldingen, audits, kwetsbaarheden, onderaannemers en beëindiging kunnen in uw contract terechtkomen, omdat een overweging van de richtlijn klanten die onder de richtlijn vallen, aanmoedigt om beveiligingsmaatregelen in hun leverancierscontracten op te nemen. Antwoord met het oog op de verplichting van uw klant, niet alsof u uw eigen compliance moet aantonen. Markeer de antwoorden die u zullen binden. Zo kan één bewijsset voor elke klant dienen zonder dat u te veel belooft. Het werk verloopt in zes fasen: bepaal de verplichting, stel de bewijsset samen, markeer de contractvoorwaarden, beperk wat uw risicobereidheid overschrijdt, leid goedkeuringen naar de juiste personen en houd het bewijsmateriaal actueel.

Wat u nodig hebt voor u begint

Verzamel de documenten waar uw antwoorden naast komen te staan voordat iemand een antwoord opstelt, want verschillende van die antwoorden worden verbintenissen in het daaropvolgende contract.

• De vragenlijst, met eventuele begeleidende toelichting over de reden waarom ze werd verstuurd: een nieuw contract, een verlenging of een periodieke beoordeling.
• Het bijbehorende ontwerpcontract, de SLA of de beveiligingsbijlage.
• Een korte beschrijving van de dienst binnen de scope en een met naam genoemd contactpunt voor security.
• Actueel bewijsmateriaal: certificaten en hun toepassingsgebied, de onderliggende beveiligingsbeleidsdocumenten, recente onafhankelijke auditrapporten en de samenvattingen van beveiligingstests die u extern deelt.
• De onderaannemers achter deze dienst en waarvoor elk van hen instaat.

De beschrijving van de dienst en het contactpunt zijn belangrijker dan ze lijken. Klanten die onder Uitvoeringsverordening (EU) 2024/2690 vallen, de hieronder beschreven regels voor digitale aanbieders, moeten een register van hun directe leveranciers bijhouden. Daarin staan voor elke leverancier het contactpunt en de ICT-producten, -diensten en -processen die deze levert. Wat u hier invult, wordt in hun register opgenomen.

Drie mensen zijn verantwoordelijk voor het antwoord. U leidt het als bidmanager, keurt het definitief goed en bent verantwoordelijk voor wat erin wordt toegezegd. Uw securityverantwoordelijke is verantwoordelijk voor elk antwoord waarin een beheersmaatregel wordt beschreven. Een juridische goedkeurder is verantwoordelijk voor elk antwoord dat een contractuele bepaling wordt en moet het ontwerpcontract bij de start zien, niet pas nadat de vragenlijst is opgesteld.

Achterhaal de verplichting van de klant achter de vragen

Lees de vragenlijst vanuit de verplichting van uw klant, niet die van u. Artikel 21, lid 2, punt d), verplicht essentiële en belangrijke entiteiten om de beveiliging van hun toeleveringsketen te beheren, met inbegrip van hun relaties met rechtstreekse leveranciers en dienstverleners. Met de vragenlijst geven ze daar invulling aan. Dat is wat een NIS2-vragenlijst is: de security questionnaire die zo'n klant naar een leverancier stuurt voordat hij een contract ondertekent of verlengt, of tijdens een periodieke beoordeling. Voor het beantwoorden ervan geldt dezelfde aanpak als voor elk ander antwoord op een security questionnaire. Wat verandert, is aan wiens verplichting de vragenlijst invulling geeft en welke antwoorden bindend zijn voor u.

Artikel 21(3) licht een tweede groep vragen toe. Bij de keuze van zijn maatregelen moet de klant rekening houden met de algemene kwaliteit van de producten van zijn leveranciers en hun cyberbeveiligingspraktijken, waaronder procedures voor veilige ontwikkeling. Als uw dienstverlening software omvat, kunt u vragen verwachten over hoe u die ontwikkelt. Beantwoord die met bewijs van wat u doet, in plaats van het beleid opnieuw te formuleren.

Waarom een leverancier buiten het toepassingsgebied er een ontvangt

U ontvangt er een omdat uw klant binnen het toepassingsgebied valt, ongeacht of dat voor u geldt. NIS2 is van toepassing op essentiële en belangrijke entiteiten in sectoren zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, beheer van ICT-diensten en productie. Hun verplichtingen voor de toeleveringsketen gelden ook voor u als rechtstreekse leverancier. De klant beoordeelt het NIS2-leveranciersrisico dat uw dienst met zich meebrengt, niet in hoeverre u aan de richtlijn voldoet. Antwoord dus niet alsof u uw eigen NIS2-compliance certificeert, maar geef de informatie die de klant nodig heeft om uw dienst te beoordelen en zijn beslissing vast te leggen. Als uw bedrijf zelf binnen het toepassingsgebied valt, gelden daarnaast uw eigen maatregelen op grond van artikel 21. Die veranderen echter niet wat deze klant vraagt.

Digitale aanbieders onder Uitvoeringsverordening 2024/2690

Uitvoeringsverordening 2024/2690 bepaalt mee hoe u antwoordt wanneer uw klant een aanbieder is van cloudcomputingdiensten, datacentrumdiensten, content delivery network-diensten, beheerde diensten of beheerde beveiligingsdiensten, of een andere digitale entiteit die in de verordening wordt vermeld. Voor deze klanten werkt de verordening, die op grond van NIS2 is vastgesteld, de maatregelen in detail uit, waaronder wat hun leverancierscontracten moeten omvatten. Zo beschikt u over precieze formuleringen waaraan u elke vraag kunt toetsen en waarnaar u kunt verwijzen wanneer u vraagt om een vraag specifieker af te bakenen.

Stel één bewijsset samen en koppel die aan elk formaat

Houd één bewijsset bij en koppel de vragen van elke klant daaraan, in plaats van elk formulier telkens vanaf nul te beantwoorden. ENISA merkt in zijn technische uitvoeringsrichtsnoeren over de uitvoeringsverordening op dat één bewijsstuk verschillende vereisten kan ondersteunen. Dezelfde logica geldt voor verschillende klanten: hun formulieren verschillen, net als mogelijk de nationale wetgeving waaronder ze werken, maar één bewijsstuk kan dezelfde vraag in meerdere formulieren beantwoorden.

In de overwegingen bij de verordening staat dat de maatregelen gebaseerd zijn op Europese en internationale normen, waaronder ISO/IEC 27001 en ISO/IEC 27002. Daarom vragen klanten om bewijs op basis van ISO-normen en dekt een geldig certificaat veel, maar niet al uw antwoorden over beheersmaatregelen.

De vragen die terugkeren

De terugkerende vragen sluiten aan bij de verplichtingen van de klant: veilige ontwikkeling volgens artikel 21, lid 3, en de leveranciersvoorwaarden die de uitvoeringsverordening voor contracten opsomt. Koppel elk onderwerp aan bewijsstukken waarover u al beschikt.

De laatste vijf rijen beschrijven wat u zult doen, niet alleen wat u hebt. Daarom worden ze in de volgende fase als contractvoorwaarden behandeld.

Standaardformaten die u kunt hergebruiken

Sommige klanten sturen hun eigen formulier; andere baseren hun formulier op een standaardreeks vragen. Shared Assessments omschrijft de SIG als een door de sector gevalideerde vragenlijst waarmee uitbesteders de beheersmaatregelen van een dienstverlener beoordelen. Het lemma over de SIG-vragenlijst licht toe wat daarin wordt gevraagd. De Cloud Security Alliance publiceert de CAIQ, een security questionnaire met ja-neevragen over beheersmaatregelen, momenteel in versie 4.1. Via de gratis aangeboden STAR-zelfbeoordeling kan een cloudprovider zijn ingevulde CAIQ indienen zodat klanten die kunnen raadplegen.

Houd een ingevulde CAIQ of SIG actueel als onderdeel van uw bewijsstukken. Bied die aan wanneer er overlap is met het formulier van een klant en vraag ter verduidelijking of daarmee een deel van het formulier is afgedekt. Koppel vervolgens de resterende vragen aan dezelfde bewijsstukken, zodat hetzelfde feit nooit twee verschillende antwoorden krijgt. Eén keer antwoorden en antwoorden hergebruiken in verschillende formaten behandelt de koppeling zelf.

Markeer de antwoorden die contractvoorwaarden worden

Markeer elk antwoord waarmee u zich ertoe verbindt om later iets te doen, want uw klant kan die antwoorden in het contract opnemen. Een bruikbare toets: een antwoord is een toekomstige contractvoorwaarde als het een termijn toezegt, de klant een recht verleent, u verplicht om te handelen wanneer er iets gebeurt of eisen stelt aan uw onderaannemers. Een antwoord dat alleen een controlemaatregel beschrijft die u vandaag toepast, is bewijs. Het kan nog steeds worden gecontroleerd, maar het beschrijft iets in plaats van iets toe te zeggen.

Voor een klant die onder de uitvoeringsverordening valt, bepaalt punt 5.1.4 van de bijlage dat zijn leverancierscontracten een reeks voorwaarden moeten bevatten, waar passend via SLA's. Die omvatten de onderwerpen incidentmelding, audit, kwetsbaarheden, onderaanneming en exit in de laatste vijf rijen van de bovenstaande tabel.

Klanten die niet onder de verordening vallen, kunnen nog steeds beveiligingsvoorwaarden in het contract opnemen, zoals de richtlijn aanmoedigt. Beoordeel hun vragen daarom aan de hand van dezelfde vijf onderwerpen.

Lees de vraag over incidenten aandachtig. De bepaling voor leveranciers in de verordening luidt “zonder onnodige vertraging”. Er wordt geen aantal uren vermeld. Voor een klant die onder de verordening valt, is een termijn van bijvoorbeeld 24 uur in een vragenlijst of ontwerpcontract dus een voorwaarde van de klant zelf, niet van de verordening. Ga voordat u met zo'n termijn instemt na of die aansluit bij uw eigen incidentproces: wie bepaalt dat een gebeurtenis een incident is waarover de klant moet worden geïnformeerd, hoelang die beslissing duurt en wanneer de termijn ingaat. Als het aantal uren niet haalbaar is, stel dan de formulering uit de verordening voor, of een termijn in uren die ingaat vanaf een duidelijk omschreven moment, bijvoorbeeld wanneer u het incident bevestigt.

Stuur elk gemarkeerd antwoord naar de juridische afdeling en houd het ontwerpcontract ernaast open. Een antwoord dat in strijd is met het contract of meer belooft dan het contract, moet u nu opmerken, zolang het nog om een ontwerp gaat.

Baken vragen af die het risicoprofiel van uw dienstverlening overschrijden

Vraag om een vraag te beperken wanneer die meer verlangt dan het risico van uw dienstverlening rechtvaardigt, en geef een reden die de klant kan vastleggen. Een vraag beperken is niet hetzelfde als weigeren. De klant heeft nog steeds een antwoord nodig om aan zijn verplichtingen voor de toeleveringsketen te voldoen. Een gemotiveerd, beperkter antwoord biedt dat; een botte weigering biedt niets om vast te leggen.

Bij klanten die onder de uitvoeringsverordening vallen, kunt u verwijzen naar de formulering ervan. Punt 5.1.4 van de bijlage nuanceert de voorwaarden voor leveranciers met “waar passend”. De verordening laat dus ruimte om elke voorwaarde af te stemmen op de leverancier waarop die van toepassing is. Vraag in een verduidelijkingsvraag hoe de klant het risico van uw dienst heeft beoordeeld en welke vragen erop van toepassing zijn.

De auditbepaling laat zien hoe een afbakening in de praktijk werkt. De verordening geeft de klant het recht om een audit uit te voeren of auditrapporten te ontvangen. Een leverancier kan dus auditrapporten aanbieden in plaats van een audit ter plaatse. Als een audit ter plaatse niet in verhouding staat tot uw dienstverlening, bied dan in plaats daarvan uw onafhankelijke auditrapporten aan en vermeld welke reikwijdte ze bestrijken. Als uw dienstverlening bijvoorbeeld geen toegang heeft tot het netwerk of de gegevens van de klant, kunt u een vraag over een audit ter plaatse beantwoorden door uw meest recente onafhankelijke auditrapporten aan te bieden en te vragen of die voldoen aan de auditbepaling voor uw dienstverlening.

Vraag klanten die niet onder de verordening vallen hetzelfde, maar zonder naar een regel te verwijzen. Beschrijf waarop uw dienst betrekking heeft, stel het beperktere antwoord voor en laat de klant beslissen. Leg vast wat de klant heeft aanvaard, want dat vormt het uitgangspunt voor de volgende beoordeling.

Stuur elk antwoord naar de verantwoordelijke

Stuur elk antwoord over een beveiligingsmaatregel naar uw securityverantwoordelijke en elk antwoord over een contractvoorwaarde naar de juridische afdeling. Houd als bidmanager zelf de eindgoedkeuring in handen. De verdeling hangt af van de aard van elk antwoord. Een antwoord over een beveiligingsmaatregel beschrijft hoe u beveiliging vandaag organiseert. Uw securityverantwoordelijke weet of die beschrijving nog steeds klopt. Een antwoord over een contractvoorwaarde is een belofte die het bedrijf moet nakomen. De juridische afdeling beslist of het bedrijf die belofte kan nakomen.

U draagt de verantwoordelijkheid voor het volledige antwoord. Bij uw finale goedkeuring controleert u daarom wat geen van beiden afzonderlijk ziet. De antwoorden moeten onderling, met de bewijsstukken en met het ontwerpcontract overeenstemmen. Wat u in het ene antwoord hebt beperkt, mag u in een ander antwoord niet alsnog toestaan. Zo wordt een auditvraag die u met auditrapporten beantwoordt, tenietgedaan als u bij een latere vraag over onderaannemers toegang ter plaatse toestaat.

Leg vast wie elk antwoord heeft goedgekeurd en op basis van welke versie van het bewijsmateriaal. Wanneer de volgende beoordeling van de klant binnenkomt, toont die registratie welke antwoorden nog steeds gelden en wie de overige opnieuw moet beoordelen.

In SEQUESTO: in SEQUESTO aOS, kan aan elke vraag een eigen beoordelaar en goedkeurder worden toegewezen. Zo keurt de juridische afdeling de antwoorden over contractvoorwaarden goed en uw securityverantwoordelijke de antwoorden over beheersmaatregelen, voordat u het antwoord definitief goedkeurt.

Houd het bewijsmateriaal actueel voor de volgende beoordeling

Wijs voor elk item in de bewijsset een eigenaar en een evaluatiedatum aan, want de vragenlijst komt terug. Klanten die onder de uitvoeringsverordening vallen, moeten de cyberbeveiligingspraktijken van hun leveranciers op geplande tijdstippen en na belangrijke wijzigingen of incidenten monitoren en evalueren. Waar nodig moeten ze handelen op basis van hun bevindingen. Hoe vaak u de vragenlijst opnieuw moet beantwoorden? Volgens de planning van uw klant, en eerder na een belangrijke wijziging of een incident. Vraag bij de ondertekening naar die frequentie en noteer ze bij de antwoorden voor die klant.

De tweede aanleiding is het belangrijkst voor uw bewijsstukken. Als een incident verandert hoe u meldingen doet, patches uitvoert of onderaannemers inschakelt, is elk antwoord dat de oude werkwijze beschrijft achterhaald. De volgende controle van de klant kan bovendien vóór de verlenging plaatsvinden. Werk de betrokken bewijsstukken bij na een incident, niet alleen bij de verlenging. Hetzelfde geldt voor uw contactpunt: klanten die onder de regelgeving vallen, moeten hun leveranciersregister actueel houden. Breng hen dus op de hoogte wanneer uw contactpunt verandert.

Door voor elk item een verantwoordelijke en een controledatum vast te leggen, maakt u van een haastklus routineonderhoud. Een auditeerbare bibliotheek opbouwen legt uit hoe u beide instelt in de bibliotheek waarin de bewijsstukken worden bewaard.

In SEQUESTO: elk item in de Knowledge Hub behoudt de eigenaar, beoordelingscyclus en vervaldatum. Wanneer een beleid wordt bijgewerkt, wordt elk daarop gebaseerd antwoord gemarkeerd voor beoordeling, met vermelding van de beleidsversie waarop het antwoord is gebaseerd.

Checklist voor elke NIS2-vragenlijst

Kopieer dit naar het antwoordplan en vink elke regel af voordat u uw goedkeuring geeft.

• De verplichting van de klant is vastgesteld, met inbegrip van de vraag of Uitvoeringsverordening 2024/2690 op de klant van toepassing is. Ook de betrokken dienst en uw contactpunt zijn vermeld.
• Elke vraag is gekoppeld aan een item in de bewijsset en geen enkel feit heeft twee verschillende antwoorden.
• Elk antwoord dat een termijn, een recht, een actie of een vereiste voor onderaannemers toezegt, wordt gemarkeerd en door de juridische dienst getoetst aan het ontwerpcontract. Elk aantal uren wordt gecontroleerd aan de hand van uw incidentproces.
• Voor elke vraag die het risicoprofiel van uw dienst overschrijdt, wordt een gemotiveerd verzoek tot beperking opgesteld en wordt de beslissing van de klant vastgelegd.
• Voor elk antwoord wordt de goedkeurder geregistreerd bij de gebruikte versie van het bewijsmateriaal, en het volledige antwoord wordt formeel goedgekeurd.
• Elk bewijsstuk waarop het antwoord is gebaseerd, heeft een eigenaar en een beoordelingsdatum. Ook de beoordelingsfrequentie van de klant wordt vastgelegd.

Pas dit toe op de volgende NIS2-vragenlijst die binnenkomt, te beginnen met de antwoorden die uiteindelijk in het contract worden opgenomen.