Waarom IT-dienstverleners zo belangrijk zijn onder NIS2
IT-dienstverleners worden in NIS2 gezien als "essentiële of belangrijke entiteiten", afhankelijk van hun rol, risico en omvang. Ze krijgen extra aandacht omdat:
- Ze directe toegang hebben tot systemen en data van klanten.
- Een incident bij de IT-leverancier grote ketenschade kan veroorzaken.
- Cyberaanvallers zich steeds vaker richten op supply-chain-aanvallen.
Voorbeelden als Kaseya, SolarWinds en MOVEit laten zien hoe één hack duizenden organisaties kan raken. NIS2 is er juist om dit soort ketenrisico’s te verkleinen en legt daarom extra nadruk op leveranciersbeheer en ketenverantwoordelijkheid in vergelijking met ISO 27001.
Wat daarbij vaak wordt onderschat, is dat NIS2 informatiebeveiliging nadrukkelijk naar de bestuurskamer trekt. Bestuurders en directeuren kunnen persoonlijk aansprakelijk worden gesteld als beveiliging en compliance niet op orde zijn. Het afschuiven naar ‘de IT-afdeling’ is juridisch geen optie meer. Sterker nog: NIS2 verplicht bestuurders om aantoonbaar kennis te hebben van cyberrisico’s en passende scholing te volgen.
Wat betekent ketenverantwoordelijkheid voor jou?
Kortgezegd: je bent niet alleen verantwoordelijk voor je eigen beveiliging, maar ook voor die van jouw directe leveranciers én de diensten die je aan klanten levert. Voor IT-dienstverleners betekent dat drie dingen:
1. Ken de risico’s van jouw IT-diensten
Elke dienst die je levert, kan risico’s met zich meebrengen. Denk aan diensten zoals:
- Remote beheer van systemen → risico op misbruik van beheerdersaccounts
- Hosting of cloudopslag → risico op datalekken of downtime
- Monitoringdiensten → risico dat aanvallen niet worden gedetecteerd
- Identity & access management → risico op ongeautoriseerde toegang
- Back-up & restore services → risico dat back-ups niet werken of worden versleuteld
Als een dienst uitvalt of wordt misbruikt, raakt dat niet één organisatie, maar een hele keten.
2. Toon aan dat jouw diensten veilig zijn
Vertrouwen alleen is niet genoeg. Je moet duidelijk kunnen laten zien welke maatregelen je hebt getroffen. Documentatie is hierbij van belang: procedures, policies, technische beschrijvingen, patchmanagement, MFA, netwerksegmentatie, encryptie, monitoring en incidentdetectie. Audits, pentesten en periodieke controles maken ook deel uit van die aantoonbaarheid.
3. Bereid je voor op kritische klantvragen
Wat nu nog een securityvragenlijst is, wordt straks een juridische verplichting. Vragen als: “Welke beveiligingsmaatregelen neem je?”, “Is MFA overal verplicht?” of “Welke certificeringen heb je?” worden standaard. Een ISO 27001 of NIS2 Supply Chain-certificaat (voorheen NIS2 Quality Mark) kan hier het bewijs leveren.
Stappenplan leveranciersbeheer: wat moet je doen?
NIS2 verplicht IT-dienstverleners om hun leveranciers en onderaannemers te beoordelen, monitoren en vast te leggen. Dit zijn minimaal de volgende vijf stappen:
1. Inventarisatie van leveranciers
Maak een overzicht van alle leveranciers, welke diensten ze leveren, welke toegang ze hebben, welke data ze verwerken en hoe kritisch ze zijn voor jouw dienstverlening.
2. Risicoanalyse per leverancier
Niet elke leverancier vormt hetzelfde risico. Bepaal per leverancier het beveiligingsniveau, de impact van een hack of storing, de single point of failure en verwerking van persoonsgegevens of kritieke data. Bijvoorbeeld: Een MSP die afhankelijk is van één "Remote Monitoring en Management"-tool (RMM-tool - software waarmee IT-teams computers, servers, netwerken en andere apparaten op afstand kunnen bewaken, beheren en onderhouden, zonder fysiek aanwezig te hoeven zijn), moet beoordelen hoe de keten wordt geraakt als die tool wordt misbruikt (zoals bij Kaseya).
3. Beveiligingseisen contractueel vastleggen
Denk aan MFA, patching, meldplicht, dataretentie, encryptie, logging en exit-afspraken. Onderbouw de maatregelen met ISO 27001, SOC2 of andere standaarden.
4. Periodieke audits en beoordeling
Toon aan dat leveranciers blijven voldoen. Jaarlijkse self-assessments, auditrapporten of verificatiegesprekken doen dit.
5. Documentatie, documentatie, documentatie
Houd alles bij: leverancierslijsten, risicoanalyses, contracten, evaluaties, maatregelen en auditrapporten. Zonder bewijs bestaat er geen compliance binnen NIS2, want je moet alles kunnen aantonen.
NIS2 praktijkvoorbeelden
Ketenverantwoordelijkheid: Een MSP beheert systemen voor 120 klanten. Wordt de RMM-tool misbruikt en installeert ransomware, dan moet de MSP kunnen aantonen hoe toegang beveiligd was, of MFA verplicht was, hoe logging en segmentatie waren ingericht en dat er niet nalatig is gehandeld.
Leveranciersbeheer: Een IT-dienstverlener gebruikt een extern datacenter. Onder NIS2 moet hij beoordelen of het datacenter ISO 27001-gecertificeerd is, eisen dat incidenten binnen 24 uur worden gemeld, documenteren welke data daar staat en jaarlijks checken of alles nog voldoet.
Waarom dit belangrijk is voor duizenden bedrijven
In Nederland vallen naar schatting ruim 10.000 organisaties onder NIS2. Zij moeten hun hele toeleveringsketen beoordelen. Dat betekent dat tienduizenden leveranciers – waaronder veel IT-dienstverleners – gecontroleerd gaan worden op cyberveiligheid. Zonder aantoonbare beveiliging of ketencontrole loop je het risico uit de keten te verdwijnen.
Haalbare certificeringen: ISO 27001 & NIS2 Supply Chain
ISO 27001 is een erkend bewijs voor goede cybersecurity, maar kan voor kleinere IT-bedrijven zwaar en kostbaar zijn. Daarom is er ook het NIS2 Supply Chain-certificaat (NIS2 SC): een praktischer en betaalbaarder alternatief, speciaal ontwikkeld voor NIS2-compliance zonder volledige ISO-scope.
Voor klanten is vooral belangrijk dat jij kunt aantonen dat je voldoet aan de NIS2-eisen. ISO 27001 of NIS2QM kan dat bewijzen. NIS2QM is vaak een realistische eerste stap voor kleinere organisaties.
Samengevat: NIS2 heeft impact op IT-dienstverleners
Voor IT-dienstverleners betekent NIS2 een structurele verandering. Je wordt een kritieke schakel in de digitale keten en moet dat kunnen aantonen. Ketenverantwoordelijkheid en streng leveranciersbeheer staan centraal.
Begin vandaag nog met inzicht krijgen in je risico’s, documentatie op orde brengen en maatregelen aantoonbaar maken. Zo blijf je een betrouwbare schakel voor je klanten en voorkom je problemen in de keten. Meer weten? Plan hieronder een vrijblijvend en kosteloos adviesgesprek met ons in!
