Volgens de tekst van ARBIT-2022 (Algemene Rijksvoorwaarden bij IT-overeenkomsten) moet de leverancier naast de door de opdrachtgever gespecificeerde informatiebeveiliging een niveau waarborgen dat van een redelijk handelende en bekwame IT-leverancier mag worden verwacht (artikel 19.6). Bij een inbreuk beëindigt de leverancier deze zo snel mogelijk en informeert hij de opdrachtgever zodra hij ervan kennis neemt (19.7); het doen van meldingen aan toezichthouders is aan de opdrachtgever (19.9). De opdrachtgever kan bij concrete aanleiding een audit laten uitvoeren (5.3), derden mogen alleen met voorafgaande toestemming worden ingeschakeld (23.1) en bij schending van de geheimhouding is een boete van 50.000 euro per overtreding verschuldigd (17.5). Lees de tekst op wetten.overheid.nl: https://wetten.overheid.nl/BWBR0047124
Wat de tekst niet regelt, is een concrete termijn voor de melding van een inbreuk: de bepaling spreekt van zo snel mogelijk. Voor een organisatie die onder de Cyberbeveiligingswet valt, met een vroege waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur, is dat te vaag om op te sturen. Ook een audit bij concrete aanleiding is minder dan een periodieke toets, en de zorgplicht is een maatstaf achteraf, geen meetbare eis vooraf.
Wat betekent dit? ARBIT-2022 is een goede basis, maar geen volledig beveiligingskader. Wie onder de Cyberbeveiligingswet valt, doet er verstandig aan in het addendum of de eisen van het contract een concrete meldtermijn, een periodiek assurancerapport en eisen aan onderaannemers op te nemen. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om per contract te bepalen welke aanvullende beveiligingsafspraken boven ARBIT nodig zijn en om de naleving te toetsen.