Volgens de Cyberbeveiligingswet moeten essentiële en belangrijke entiteiten de beveiliging van hun toeleveringsketen meenemen, ook in de relatie met directe leveranciers. In de praktijk wordt die plicht pas concreet wanneer de afspraken in het contract staan, en juist daar ontbreken ze vaak.
Wat betekent dit? Gebruik deze checklist voor elk kritiek leverancierscontract. Eén: patchtermijnen per risicoklasse, met recht op bewijs van naleving. Twee: een maximale termijn waarbinnen de leverancier een incident meldt, zodat uw eigen meldplicht haalbaar blijft. Drie: auditrecht of het recht op een onafhankelijk assurancerapport. Vier: afspraken over onderaannemers, die dezelfde eisen moeten volgen. Vijf: logging en toegangsbeheer voor leverancierspersoneel met toegang tot uw systemen. Zes: een exitplan met dataretour en aantoonbare vernietiging. Zeven: periodieke herbeoordeling, want een contract is een momentopname en een leverancier verandert. Zonder deze afspraken kunt u achteraf niet aantonen dat u de keten beheerste. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om deze clausules per contract vast te leggen en de naleving structureel te toetsen.
AI en AVG in de clausules
Voor leveranciers die persoonsgegevens verwerken of AI-componenten leveren, horen er aanvullende clausules bij: een verwerkersovereenkomst volgens artikel 28 AVG, een meldtermijn voor inbreuken (de AVG vraagt van de verwerker melding zonder onredelijke vertraging, een termijn in uren is een contractkeuze), een regeling voor subverwerkers en, bij AI-componenten, schriftelijke afspraken over informatie en technische toegang volgens artikel 25 lid 4 van de AI-verordening. De volledige lijst staat in ons artikel over AI-verordening en AVG in de leveranciersketen.