NCSC: keten gaat voornamelijk over IT-risico’s

Gisteren publiceerde het NCSC op zijn website een duidelijk de zorgplicht in de keten. De kern draait om risico’s in de keten. De NIS2 draait voornamelijk om IT. Maar daar vallen ook OT, IoT en EDI natuurlijk ook onder.

Artikel 21 lid 2 sub d: de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners.

Bedrijven zijn vaak afhankelijk van de producten of diensten van toeleveranciers. Digitale verbindingen tussen bedrijven vergroten deze afhankelijkheid; een beveiligingslek bij één organisatie kan grote gevolgen hebben voor de verbonden organisaties. Daarom vereist de NIS2-richtlijn dat ‘belangrijke' en ‘essentiële' bedrijven maatregelen nemen om de toeleveringsketen te beveiligen.

Er zijn aanzienlijke verschillen in digitale weerbaarheid tussen bedrijven, sectoren en ketens. Zelfs als je eigen digitale weerbaarheid op orde is, loop je risico's als je toeleverancier of IT-dienstverlener kwetsbaar is voor cyberrisico's. Dit kan de beschikbaarheid, vertrouwelijkheid en integriteit van je bedrijfsprocessen en informatie in gevaar brengen. Daarom moeten leveranciersrisico's worden opgenomen in de risicoanalyse en risicomanagementbesluitvorming.

Voorbeelden van Digitale Supply Chain Risico's

Hier zijn drie scenario's die je bedrijf kunnen beïnvloeden:

• Een leverancier die relevant is voor het goed functioneren van jouw netwerk- en informatiesystemen levert niet meer door een digitale aanval.
• Je IT-dienstverlener is gehackt, waardoor de aanvaller mogelijk toegang heeft tot jouw systemen.
• Er is een kritieke kwetsbaarheid ontdekt in een product of dienst die je gebruikt.

Veel mensen vergeten dat veel machines en lopende banden zogenaamde OT (operationele technologie) bevatten. Dat is eigenlijk ene softwareprogramma in een machine. Die vallen zeker onder de NIS2. Hetzelfde voor IoT en EDI. Internet of Things is software in een toestel dat bijvoorbeeld is geconnecteerd via bluetooth. Het kan gaan om sensoren of camera’s. EDI-systemen zijn in de distributie onmisbaar. Vaak koppelen leveranciers hun eigen software aan het EDI-systeem van hun grote klant via een API. En met de komst van AI bouwen jonge medewerkers softwareprogramma’s die ze inzetten voor hun klanten. De wereld veranderd snel. Opletten in de keten is het devies.

Een hack bij een leverancier kan je bedrijf stilleggen, gevoelige klantgegevens in gevaar brengen of je hele dienstverlening ontregelen. Daarom kiezen steeds meer bedrijven ervoor om heldere, controleerbare afspraken te maken over digitale weerbaarheid binnen hun keten via de oplossingen van ons.

Samen Digitaal Veilig helpt organisaties om risico’s in de keten inzichtelijk te maken én praktisch aan te pakken.

Wij bieden onder andere:

• Een overzicht van je belangrijkste risicoleveranciers – wie zijn cruciaal?
• Geautomatiseerd in kaart brengen van risico’s.
• Toetsen of leveranciers daadwerkelijk doen wat is afgesproken.
• Alle onderdelen die je nodig hebt, inclusief begeleiding.

Via het platform krijgen bedrijven niet alleen inzicht in wat ze moeten doen, maar ook praktische hulpmiddelen om het écht te regelen. Denk aan voorbeeldafspraken, handige checklists en ondersteuning bij het voeren van het gesprek met je leveranciers.

“Als je morgen niet stil wilt staan door een probleem bij je leverancier, moet je vandaag zorgen dat jullie digitale veiligheid goed geregeld is. De aankomende NIS2-cyberbeveiligingswet verplicht dit sowieso.”

Meer informatie over het NIS2 NIS2 Corporate Supply Chain pakket.