Risico's van derden onder de AVG, NIS2 en DORA

Dezelfde leverancier kan verplichtingen op het gebied van privacy, cyberbeveiliging en operationele weerbaarheid met zich meebrengen. Een salarisverwerker verwerkt persoonsgegevens; een managed service provider heeft bevoorrechte toegang; een cloudplatform ondersteunt bedrijfskritieke applicaties. Soms doet één leverancier alle drie.

Een gedeelde leveranciersregistratie helpt teams de beoordeling te coördineren, mits elke verplichting herkenbaar blijft. Voor een CTO is de praktische uitdaging om contractuele toezeggingen te verbinden met de technische werkelijkheid: waar de leverancier toegang toe heeft, hoe storingen zich voortplanten, welke maatregelen met bewijs zijn onderbouwd en of de organisatie kan herstellen of vertrekken.

Stel de toepasselijkheid vast voordat u beoordelingen combineert

Deze instrumenten overlappen, maar zijn niet op dezelfde manier van toepassing op elke organisatie of leverancier.

Artikel 28 AVG verplicht verwerkingsverantwoordelijken om te werken met verwerkers die afdoende garanties bieden. Een overeenkomst op grond van artikel 28 is niet passend alleen omdat een leverancier gegevens ontvangt: stel eerst de werkelijke rol bij de verwerking vast.

De artikelen 20 tot en met 23 van NIS2 gaan over toezicht door het bestuur, maatregelen voor risicobeheer en het melden van significante incidenten. NIS2 is een richtlijn die via nationaal recht wordt geïmplementeerd; reikwijdte en procedures moeten daarom per rechtsgebied worden gecontroleerd.

DORA is sinds 17 januari 2025 van toepassing. De verordening geldt in de eerste plaats voor bepaalde financiële entiteiten; gewone ICT-leveranciers kunnen te maken krijgen met contractuele eisen van klanten, terwijl voor aangewezen kritieke ICT-aanbieders een afzonderlijk toezichtsregime geldt. Voor financiële entiteiten die eronder vallen, werkt DORA als sectorspecifiek EU-recht voor de relevante NIS2-terreinen. Dupliceer niet automatisch beide sets maatregelen.

Bouw de registratie op rond de afhankelijkheid

Begin bij de dienst, niet bij de leveranciersvragenlijst. Eén leverancier kan meerdere diensten leveren met verschillende gegevens, toegang en operationeel belang.

Leg als praktische basis vast:

• Dienst, juridische entiteit van de leverancier, bedrijfseigenaar, technisch eigenaar en beoordelaars.
• Ondersteunde functies, systemen, integraties en bevoorrechte toegang.
• Categorieën persoonsgegevens, verwerkingsdoelen, locaties en subverwerkers.
• Beschikbaarheidseisen, hersteldoelen en aanvaardbare verstoring.
• Onderliggende aanbieders, contractuele afhankelijkheden en realistische alternatieven.
• Toepasselijke verplichtingen, data van het bewijs, onopgeloste lacunes en besluiten.

Bepaal welke functies zouden uitvallen of verslechteren na een compromittering of storing. Een leverancier die weinig gevoelige gegevens opslaat, kan nog steeds de authenticatie of de implementatiepipelines beheersen. Omgekeerd kan een dienst met een laag beschikbaarheidsrisico zeer gevoelige persoonsgegevens blootstellen.

Houd deze dimensies gescheiden in plaats van ze samen te voegen tot één onverklaarde score “hoog risico”. Verbind voor financiële entiteiten die onder DORA vallen deze operationele inventaris met het vereiste informatieregister over contractuele regelingen voor ICT-diensten; een generieke leverancierslijst is niet noodzakelijk voldoende.

Hergebruik bewijs zonder conclusies blind over te nemen

Een beveiligingsrapport, een overzicht van gegevensstromen of een hersteltest kan meerdere beoordelingen ondersteunen. Controleer de dienstreikwijdte, de rapportageperiode, uitsluitingen, uitzonderingen en klantverantwoordelijkheden voordat u erop vertrouwt.

Een rapport over de infrastructuur van de leverancier dekt bijvoorbeeld niet noodzakelijk de toegang van zijn supportmedewerkers tot klantgegevens. Een gedocumenteerd back-upbeleid toont niet aan dat het herstel voldoet aan de hersteleisen van uw applicatie.

Houd een matrix bij die bewijs aan vragen koppelt:

Een ISO-certificaat of SOC 2-rapport ondersteunt zekerheid binnen de eigen reikwijdte; geen van beide toont naleving van de AVG of NIS2 aan. Bewaar de onderbouwing van de beoordelaar, niet alleen het geüploade document. Het beoordelen van beveiligingszekerheid moet een herhaalbare technische beoordeling zijn, geen controle op keurmerken.

Vertaal eisen naar contracten en maatregelen

Op grond van artikel 28 AVG moeten verwerkersvoorwaarden het onderwerp, de duur, de aard en het doel van de verwerking, de soorten gegevens en de categorieën betrokkenen regelen. Ze omvatten ook schriftelijke instructies, geheimhouding, beveiliging, voorwaarden voor subverwerkers, bijstand, verwijdering of teruggave, en informatie- en auditverplichtingen. Internationale doorgiften vragen om een afzonderlijke beoordeling op grond van hoofdstuk V; hosting in de EU alleen beantwoordt vragen over toegang of verdere doorgifte niet.

Artikel 21 van NIS2 omvat de beveiliging van de toeleveringsketen en het in aanmerking nemen van de kwetsbaarheden en cyberbeveiligingspraktijken van directe leveranciers. Praktische contractuele verwachtingen kunnen toegangsbeperkingen, omgang met kwetsbaarheden, samenwerking bij incidenten en het aanleveren van bewijs omvatten. Stem deze af op de dienst en de nationale eisen, in plaats van één universeel pakket clausules als juridisch voldoende te beschouwen.

Artikel 30 van DORA bevat contractuele bepalingen voor ICT-diensten, met aanvullende eisen voor diensten die kritieke of belangrijke functies ondersteunen. Beoordeel dienstomschrijvingen, locaties, gegevensbescherming en herstel, bijstand, beëindiging en relevante toezichtsrechten. Voor die kritieke of belangrijke functies verdienen serviceniveaus, rapportage, noodmaatregelen, medewerking aan tests, auditrechten en overgangsregelingen bijzondere aandacht.

Verifieer vervolgens de uitvoering. Belooft een contract beperkte beheerderstoegang, vraag dan bewijs van rolscheiding, authenticatie, goedkeuring en logging. Belooft het verwijdering, stel dan vast wat er met back-ups en bewaarde registraties gebeurt. Wijs juridische en technische lacunes toe aan de juiste beoordelaars.

Ontwerp incidentoverdrachten vóór er een incident is

Het incidentresponsbeleid van een leverancier kan een beveiligingsbeoordeling ondersteunen en tegelijk meldplichten onopgelost laten. Leg contactkanalen, de dekking van escalaties, de eerste informatie, verwachtingen over updates en de verantwoordelijkheid voor het bewaren van bewijs vast.

Op grond van de artikelen 33 en 34 AVG informeert een verwerker de verwerkingsverantwoordelijke onverwijld. De verwerkingsverantwoordelijke beoordeelt de melding aan de toezichthoudende autoriteit onverwijld en zo mogelijk binnen 72 uur na kennisneming, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Een hoog risico kan vereisen dat betrokkenen worden geïnformeerd, behoudens uitzonderingen. Leg de onderbouwing vast als melding niet vereist is.

De Europese meldfasen van NIS2 voor significante incidenten omvatten een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en doorgaans een eindverslag binnen een maand na de melding; controleer de nationale en sectorale regels. DORA kent een eigen meldkader voor ernstige ICT-gerelateerde incidenten. Vervang deze beoordelingen niet door één enkele markering “datalek” bij de leverancier.

Als praktische aanbeveling: oefen een incident bij een leverancier met onvolledige informatie. Test of teams de getroffen diensten, de blootstelling, de operationele impact en de meldbesluiten kunnen vaststellen zonder te wachten op een definitief rapport over de oorzaak.

Uitgewerkt voorbeeld: één dienst, drie beoordelingsroutes

Stel ter illustratie dat een financiële entiteit die onder DORA valt een gehost klantenserviceplatform gebruikt dat persoonsgegevens verwerkt en een functie ondersteunt die zij onder DORA als kritiek of belangrijk heeft geclassificeerd.

De leverancier levert een assurancerapport, een incidentbeleid en een samenvatting van een hersteltest. Security stelt vast dat de maatregelen voor beheerderstoegang met bewijs zijn onderbouwd, maar dat de hersteltest de integratie van de klant buiten beschouwing laat.

Privacy constateert afzonderlijk een onduidelijk proces voor wijzigingen van subverwerkers en onopgeloste doorgifteregelingen voor toegang op afstand. De DORA-beoordeling stelt vast dat overgangsbijstand en relevante auditbepalingen aandacht nodig hebben.

Het resulterende actieplan is concreet:

• De technisch eigenaar test het herstel van de integratie en documenteert het resultaat.
• De privacybeoordelaar lost de vragen over subverwerkers en doorgifte op.
• Juridische zaken en inkoop pakken de contractuele lacunes aan.
• De verantwoordelijke eigenaar beslist of tijdelijk gebruik aanvaardbaar is, met voorwaarden en een reviewdatum.

Het bewijs wordt hergebruikt, maar geen van de drie conclusies wordt uit een andere afgeleid. Een geslaagde beveiligingsbeoordeling sluit de lacunes op het gebied van privacy of weerbaarheid niet.

Bewaak wijzigingen, concentratie en een uitvoerbare exit

Stem de reviewfrequentie af op afhankelijkheid en risico. Laat na incidenten, grote wijzigingen in de dienst, nieuwe subverwerkers, gewijzigde gegevenslocaties, eigendomswijzigingen of contractverlenging een extra beoordeling plaatsvinden.

Kijk verder dan de namen van leveranciers: meerdere diensten kunnen afhangen van dezelfde cloudregio, identiteitsprovider of onderaannemer. Beoordeel samenhangende verstoringen en of het voorgestelde alternatief dezelfde afhankelijkheid deelt. Artikel 29 van DORA gaat uitdrukkelijk over de beoordeling van ICT-concentratierisico.

Houd een evenredig exitplan bij voor gegevensexport, migratie, continuïteit, intrekking van toegang en bewijs van verwijdering. Test de bruikbaarheid van exports en bepaal wie de vervangende dienst kan bedienen. Een beëindigingsrecht is nuttiger wanneer de organisatie het ook kan uitvoeren.

Ook de gevolgen verschillen. De AVG kent sanctiecategorieën die afhangen van de inbreuk; NIS2 vereist nationale sanctieregelingen met verschillende maxima voor essentiële en belangrijke entiteiten. DORA-sancties voor financiële entiteiten hangen af van de toepasselijke regelingen, terwijl de sancties in het toezicht op kritieke aanbieders daarvan losstaan. Modelleer de blootstelling niet aan de hand van één vermeende universele boete.

Begin met één afhankelijkheid die ertoe doet

Kies één leverancier die een belangrijke functie ondersteunt. Stem de dienstinventaris, de contracten, het bewijs, de openstaande risico's en de aannames over de exit op elkaar af. Rond af met benoemde eigenaren en afzonderlijke, gedateerde conclusies voor elke toepasselijke verplichting.

In Secani kunnen teams de dienst en de externe aanbieder modelleren, eisen en maatregelen met bewijs verbinden en lacunes als taken met eigenaren opvolgen. Door mensen beoordeelde besluiten, bronlinks, opmerkingen en tijdstempels bewaren de onderbouwing. Dat ondersteunt een gedeelde context over leveranciers zonder de afzonderlijke oordelen over privacy, beveiliging en weerbaarheid te verbergen.