Werkwijze
Zes stappen van je leverancierslijst naar een ondertekend rapport dat je aan de toezichthouder kunt laten zien.
Zo beoordelen we je leveranciers
- 01.
Stuur je lijst.
Zoals hij is, met wat elke leverancier voor je doet.
Stuur ons je leverancierslijst in elke vorm: een spreadsheet, een export uit je financiële systeem of gewoon een e-mail. Vertel kort wat elke leverancier voor je doet. Meer hebben we niet nodig om te beginnen.
- 02.
Wij bepalen het risiconiveau.
Laag, middel of hoog, op basis van de data die een leverancier krijgt en hoe lang je zonder kunt.
We stellen per leverancier twee vragen: welke data krijgt hij van je, en hoe lang kun je zonder. Met de antwoorden valt elke leverancier in laag, middel of hoog, elk met een eigen set eisen.
- 03.
Wij doen onderzoek.
Trust-pagina's, certificaten en privacyvoorwaarden, elk antwoord met bron.
AI doorzoekt trust centers, certificaatregisters, privacyverklaringen en lijsten met subverwerkers. Elk antwoord bewaren we met de link en datum van de bron, zodat je het altijd kunt terugvinden.
- 04.
Wij verzamelen bewijs.
Wat niet openbaar is, vragen we op bij de leverancier en we volgen het op.
Bij leveranciers met middel of hoog risico vragen we het bewijs op dat niet openbaar is, zoals SOC 2-rapporten of samenvattingen van pentests. Wij sturen het verzoek, sturen herinneringen en houden bij wat er binnenkomt.
- 05.
Wij beoordelen.
Elke eis voor het niveau gemarkeerd als voldaan of niet voldaan, gekoppeld aan NIS2 en ISO 27001.
Een security-expert toetst elke eis voor het niveau aan het bewijs en markeert die als voldaan of niet voldaan. Elke eis is gekoppeld aan NIS2 en ISO 27001, zodat je auditor ziet waar hij past.
- 06.
Jij krijgt een ondertekend rapport.
Plus een leveranciersregister en duidelijke opties bij tekortkomingen.
Je krijgt per leverancier een ondertekend rapport, een actueel leveranciersregister en bij elke tekortkoming duidelijke opties om over te beslissen. Alles is klaar om te delen met je directie of de toezichthouder.
Risiconiveaus
Elke leverancier krijgt een niveau op basis van twee vragen: welke data de leverancier van je krijgt (geen, geanonimiseerd, herleidbare persoonsgegevens of vertrouwelijke bedrijfsgegevens) en hoe lang je zonder deze leverancier kunt doorwerken. Laag, middel en hoog hebben elk een eigen set verplichte eisen.
Bewijs dat we beoordelen
- ISO 27001-certificaten (scope en geldigheid)
- SOC 2 Type II-rapporten (periode, oordeel van de auditor, uitzonderingen)
- Samenvattingen van pentests (datum en opvolging)
- NIS2 Cyber Score
- NIS2 Supply Chain-certificaten (SC10, SC20, SC30)
- Privacyvoorwaarden en lijsten met subverwerkers
Leveranciers die AI gebruiken
Een extra beoordeling van hoe de leverancier zijn AI bestuurt en of je data wordt gebruikt om modellen te trainen.
Als een leverancier tekortschiet
Je krijgt een kant-en-klare risicoregistratie met opties: het risico accepteren, de leverancier vragen het op te lossen, of eigen maatregelen nemen. Je directie beslist.
Veelgestelde vragen
Vallen wij onder de Cyberbeveiligingswet?
Dat hangt af van je sector en omvang. De meeste organisaties in een genoemde sector met 50 of meer medewerkers, of meer dan 10 miljoen euro omzet en balanstotaal, vallen eronder. Het NCSC biedt een zelftest, en we kijken graag met je mee.
Wat als een leverancier niet reageert?
We beoordelen wat openbaar beschikbaar is en leggen het uitblijven van een reactie vast als bevinding, zodat je toch kunt laten zien wat je hebt gedaan.
Nemen jullie onze verantwoordelijkheid over?
Nee. Jij blijft wettelijk verantwoordelijk en jij neemt het eindbesluit. Wij doen het werk en geven je een ondertekend, onderbouwd advies.
Hoe gebruiken jullie AI?
AI doet het onderzoek en schrijft een eerste versie. Een security-expert controleert elk antwoord en ondertekent elk rapport. [Je data wordt nooit gebruikt om AI-modellen te trainen.]
Welke leveranciers moeten we als eerste beoordelen?
Begin met leveranciers die je data hebben of zonder wie je niet langer dan een dag kunt werken. We helpen je je lijst in niveaus in te delen.
Klaar voor een leveranciersdossier dat je kunt verdedigen?
Laten we beginnen.