Volgens de Cyberbeveiligingswet moet een organisatie risico’s in de toeleveringsketen beheersen, en dat begint met weten welke leveranciers er zijn. Veel organisaties hebben een inkoopoverzicht, maar geen register waarin risico, afhankelijkheid en afspraken per leverancier staan.
Wat betekent dit? Zo bouwt u een ketenregister in vijf stappen. Stap 1: inventariseer alle leveranciers en dienstverleners met toegang tot systemen of gegevens, ook adviseurs en accountants. Stap 2: classificeer ze op kritiekheid, bijvoorbeeld naar impact bij uitval of datalek. Stap 3: leg per kritieke leverancier de afspraken vast: patchtermijn, meldtermijn, auditrecht, onderaannemers. Stap 4: toets de naleving met bewijs, niet alleen met een verklaring. Stap 5: herbeoordeel jaarlijks en na elk incident bij de leverancier. Het register is pas bruikbaar als het bestuur de uitkomst ziet: welke leveranciers zijn kritiek, waar ontbreken afspraken en wie is eigenaar? Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt bij het opzetten van het register en bij de periodieke toetsing.