Beleid informatiebeveiliging bij inkoop

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Over wat de organisatie regelt voordat zij een contract tekent met een leverancier die haar informatie verwerkt of bij haar systemen kan. Behandelt de risicoafweging en eisen in de uitvraag, contractvoorwaarden, bewijs van de leverancier, meldplicht bij incidenten, afhankelijkheid en exit, de keten van toeleveranciers, eisen per soort dienst en het inkoopdossier.

Onderwerpen. 3. Risicoafweging en eisen in de uitvraag; 4. Voorwaarden in het contract; 5. Bewijs van de leverancier en eigen onderzoek; 6. Transparantie over kwetsbaarheden en incidenten; 7. Afhankelijkheid en exit; 8. Keten van toeleveranciers; 9. Eisen per soort dienst; 10. Inkoopdossier en overdracht.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de inkoop van producten en diensten waarbij een leverancier informatie van de organisatie verwerkt, opslaat of ontsluit, of toegang krijgt tot haar systemen. Het legt vast wat de organisatie regelt voordat een contract wordt getekend: de risicoafweging, de eisen in de uitvraag, de voorwaarden in het contract, het bewijs dat de leverancier levert, de meldplicht van de leverancier, de exit en de keten van toeleveranciers. Het gaat over de ISO-beheersmaatregelen 5.19, 5.20 en 5.21, voor zover die vóór het contract spelen.

Voor wie. Het beleid is primair bedoeld voor de inkoopfunctie, de proceseigenaren die een inkoop starten en de CISO die adviseert. Het geldt voor iedereen die namens de organisatie een contract met een informatiecomponent voorbereidt of tekent, ook bij een onderhandse opdracht, een verlenging, een uitbreiding of een gratis dienst.

Waarop. Elke inkoop waarbij de leverancier informatie van de organisatie verwerkt of bij haar systemen kan: software, clouddiensten, hosting, beheerdiensten, koppelingen, hardware met onderhoud op afstand en adviesdiensten met toegang tot informatie. Is het inkoopproces zelf uitbesteed, bijvoorbeeld aan een inkoopbureau of een samenwerkingsverband, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via dit beleid, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen het beheer van de leverancier tijdens de looptijd, het register van contracten, de jaarlijkse beoordeling en de werkwijze voor clouddiensten (beleid contractbeheer), de inhoud van de verwerkersovereenkomst (privacybeleid) en de eisen aan software die een leverancier voor de organisatie ontwikkelt (beleid secure software development).

Alleen als: Wie beheert je IT? «Regie: eigen organisatie stuurt, beheer is uitbesteed» of «Volledig uitbesteed»

De organisatie heeft het beheer van haar IT uitbesteed. De contracten met beheer- en hostingpartijen zijn daarmee de zwaarste inkopen onder dit beleid: wat daar niet in staat, kan de organisatie later niet afdwingen.

2. Uitgangspunten#

1. De organisatie blijft verantwoordelijk voor de informatie die een leverancier voor haar verwerkt. Een certificaat of verklaring van de leverancier verandert daar niets aan. #
2. Beveiligingseisen staan in de uitvraag. Wat pas na de gunning wordt bedacht, is in de onderhandeling niet meer te krijgen. #
3. De zwaarte van de eisen volgt uit een risicoafweging per inkoop, op basis van het impactniveau en het vertrouwelijkheidslabel van de informatie (beleid informatieclassificatie) en het belang van het proces. #
4. Bij IT-inkoop gebruikt de organisatie een standaardset inkoopvoorwaarden voor IT, bijvoorbeeld de GIBIT voor gemeenten of de ARBIT voor het Rijk, en vult die per inkoop aan. #
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Risicoafweging en eisen in de uitvraag#

1. Bij elke inkoop met een informatiecomponent stelt de proceseigenaar vóór de uitvraag, samen met [inkoopadviseur] en de CISO, vast welke informatie de leverancier verwerkt, welk impactniveau en welk vertrouwelijkheidslabel die heeft en welke eisen aan beschikbaarheid, integriteit en vertrouwelijkheid daaruit volgen. De afweging staat in het inkoopdossier. [5.19.01] #
2. De inkoopadviseur neemt de eisen uit die afweging op in de offerteaanvraag of uitvraag, naast de functionele eisen, en laat ze meewegen in de beoordeling van de inschrijvingen. Een inschrijver die niet aan een eis kan voldoen, zegt dat in de inschrijving; de proceseigenaar legt vast of dat aanvaardbaar is. [5.19.01] #
3. Bij een inkoop onder de drempel voor een risicoafweging, bijvoorbeeld een dienst zonder persoonsgegevens en zonder koppeling met eigen systemen, past de inkoopadviseur de standaardset eisen toe en legt dat vast in het inkoopdossier. De drempel staat in [drempel risicoafweging inkoop]. [5.19.01] #
4. De CISO houdt de standaardset eisen bij en stelt die jaarlijks opnieuw vast, zodat nieuwe dreigingen en nieuwe wettelijke eisen erin landen. [5.19.01] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

5. De organisatie valt onder de Cyberbeveiligingswet. De zorgplicht omvat de beveiliging van de toeleveringsketen. Bij inkoop van een dienst die een rol speelt in de dienstverlening onder die wet, legt de proceseigenaar in de risicoafweging ook vast hoe de leverancier bijdraagt aan het voldoen aan de meldplicht en welke eisen de bestuurder daarvoor heeft goedgekeurd. [5.19.01] #

4. Voorwaarden in het contract#

1. De inkoopadviseur zet alle beveiligingseisen uit de uitvraag letterlijk of als verwijzing in het contract, met de afspraken uit de onderhandeling. Een eis die in de uitvraag stond en niet in het contract, geldt als vervallen en vraagt een vastgelegd besluit van de proceseigenaar vóór ondertekening. [5.20.01] #
2. De organisatie verklaart haar eigen inkoopvoorwaarden van toepassing en wijst de algemene voorwaarden van de leverancier in het contract uitdrukkelijk van de hand. [5.20.02] #
3. Lukt dat niet, bijvoorbeeld bij een standaarddienst van een grote aanbieder, dan beoordeelt de CISO de voorwaarden van de leverancier vóór ondertekening. De beoordeling noemt welke gevolgen de organisatie accepteert, welke ze met eigen maatregelen afdekt en welke voorwaarden ze nooit accepteert. De proceseigenaar tekent voor de geaccepteerde risico's en de beoordeling gaat in het inkoopdossier. [5.20.02] #
4. Voorwaarden die de organisatie nooit accepteert, staan in [lijst onaanvaardbare voorwaarden]. De CISO stelt die lijst jaarlijks opnieuw vast. [5.20.02] #
5. Verwerkt de leverancier persoonsgegevens, of kan hij erbij, dan sluit de proceseigenaar een verwerkersovereenkomst volgens het privacybeleid voordat de verwerking begint. De inkoopadviseur legt in het inkoopdossier vast dat die overeenkomst er is. [5.20.01] #

5. Bewijs van de leverancier en eigen onderzoek#

1. Het contract verplicht de leverancier om aan te tonen dat hij aan de eisen voldoet, in opzet, bestaan en werking, met een rapport van een onafhankelijke derde. Voorbeelden zijn een ISAE 3000- of ISAE 3402-rapport van type 2 of een ISO 27001-certificaat met een verklaring van toepasselijkheid. [5.20.03] #
2. De CISO controleert vóór ondertekening dat de reikwijdte van dat rapport de gecontracteerde dienst dekt, inclusief de manier waarop de leverancier zijn eigen toeleveranciers beheert. Valt een deel van de dienst buiten de reikwijdte, dan levert de leverancier voor dat deel ander bewijs, en de CISO legt vast of dat volstaat. [5.20.03] #
3. Het contract verplicht de leverancier om het bewijs bij het sluiten van het contract te leveren en daarna elk jaar opnieuw. De jaarlijkse levering wordt bewaakt volgens het beleid contractbeheer. [5.20.03] #
4. Het contract geeft de organisatie het recht om zelf een audit of een technisch onderzoek te laten doen, bijvoorbeeld een penetratietest, ook om de rapporten van de leverancier te controleren. De verdeling van de kosten staat in het contract. [5.20.04] #
5. Restrisico's uit het bewijs of het eigen onderzoek zet de proceseigenaar vóór ondertekening in het risicoregister en behandelt ze volgens de risicomanagementmethodiek van de organisatie. [5.20.04] #

6. Transparantie over kwetsbaarheden en incidenten#

1. Het contract verplicht de leverancier om beveiligingsincidenten, datalekken en kwetsbaarheden die de dienst aan de organisatie kunnen raken, te melden bij het meldloket van de organisatie (beleid beveiligingsincidenten). De termijn staat in het contract en is kort genoeg om de wettelijke meldtermijnen van de organisatie te halen; voor een datalek is dat ten hoogste 24 uur na ontdekking, zodat de melding aan de Autoriteit Persoonsgegevens binnen 72 uur kan. [5.20.05] #
2. Het contract legt vast wat de leverancier bij een melding aanlevert: wat er is gebeurd, welke gegevens en welke gebruikers geraakt zijn, welke maatregelen hij neemt en wanneer hij de melding aanvult. [5.20.05] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

3. Voor diensten die onder de Cyberbeveiligingswet vallen, is de meldtermijn van de leverancier ten hoogste [meldtermijn leverancier] na ontdekking. Het contract regelt ook dat de leverancier meewerkt aan de vervolgmeldingen binnen 72 uur en aan het eindrapport binnen een maand. [5.20.05] #

7. Afhankelijkheid en exit#

1. Vóór het contract beoordeelt de proceseigenaar of de afhankelijkheid van de leverancier beheersbaar is: zijn er alternatieven, hoe lang duurt een overstap en kan de organisatie haar gegevens in een bruikbaar formaat terugkrijgen. De uitkomst staat in het inkoopdossier. [5.20.06] #
2. Elk contract voor een dienst die een kritiek proces ondersteunt of informatie met het label vertrouwelijk of hoger verwerkt, bevat een uitgewerkte exitregeling: het teruggeven van gegevens in een open of gedocumenteerd formaat, de medewerking bij overdracht aan een opvolger, de termijn waarin de leverancier gegevens verwijdert en het bewijs daarvan. De inkoopadviseur controleert vóór ondertekening dat de regeling erin staat. [5.20.06] #
3. Bij software die de organisatie in eigen beheer draait en die niet makkelijk te vervangen is, regelt het contract een escrow of een gelijkwaardige continuïteitsregeling. [5.20.06] #

8. Keten van toeleveranciers#

1. Vóór het contract geeft de leverancier een overzicht van de toeleveranciers die bij de dienst betrokken zijn, met hun rol, de locatie van de verwerking en de risico's die hij daarin ziet. De inkoopadviseur neemt het overzicht op in het inkoopdossier. [5.21.02] #
2. De CISO beoordeelt vóór ondertekening of de risico's in de keten aanvaardbaar zijn. De proceseigenaar besluit en legt het besluit vast in het inkoopdossier. [5.21.02] #
3. Het contract verbiedt de leverancier om zonder schriftelijke toestemming van de organisatie werk aan een nieuwe toeleverancier over te dragen, en verplicht hem om de beveiligingseisen aan zijn toeleveranciers door te geven. [5.21.02] #

9. Eisen per soort dienst#

Alleen als: Waar draaien je systemen? «Eigen datacenter of serverruimte»

1. Bij inkoop van hardware en software voor het eigen datacenter regelt het contract hoe de leverancier op afstand toegang krijgt voor onderhoud (alleen na aanvraag, met persoonsgebonden accounts en logging) en hoelang hij beveiligingsupdates levert. [5.20.01] #

Alleen als: Waar draaien je systemen? «Hostingpartij (IaaS, gedeeld datacenter)»

2. Bij een hostingpartij legt het contract de locatie van de datacenters vast, de fysieke beveiliging, de scheiding tussen klanten, de uitwijkvoorziening en de back-updiensten die de organisatie afneemt. [5.20.01] #

Alleen als: Waar draaien je systemen? «Vooral SaaS en publieke cloud»

3. Bij SaaS en publieke cloud gelden aanvullend: inloggen via de eigen identiteitsvoorziening met meerfactorauthenticatie, een jaarlijkse penetratietest door een externe partij met de reikwijdte van de geleverde dienst, het delen van de bevindingen en de hersteltermijnen, afspraken over de locatie van de gegevens, en de mogelijkheid om gegevens zelf te exporteren. [5.20.01, 5.20.03] #

Alleen als: Stel je eisen aan Europese of soevereine cloud? «Ja: alleen EU of soevereine dienstverlening»

4. Bij clouddiensten eist de uitvraag dat gegevens, back-ups en beheer binnen de Europese Economische Ruimte blijven, en dat de leverancier niet onder een buitenlandse wet valt die hem kan dwingen gegevens af te staan zonder tussenkomst van een Europese rechter. De leverancier geeft daarover een verklaring, en het contract regelt wat er gebeurt als dat verandert. [5.20.01] #
5. Waar de markt geen dienst levert die hieraan voldoet, legt de proceseigenaar de afwijking met het restrisico vast, beoordeelt de CISO die en keurt [besluitvormer afwijking soevereiniteit] de afwijking goed vóór ondertekening. [5.20.01] #

Alleen als: Wie beheert je IT? «Eigen beheer»

6. Bij inkoop van beheertools en ondersteuning blijft het beheer bij eigen medewerkers. Het contract regelt dat de leverancier geen standaardtoegang tot de omgeving heeft. [5.20.01] #

Alleen als: Wie beheert je IT? «Regie: eigen organisatie stuurt, beheer is uitbesteed» of «Volledig uitbesteed»

7. Bij inkoop van beheerdiensten regelt het contract ook: screening van het beheerpersoneel van de leverancier, beheertoegang alleen via persoonsgebonden accounts met meerfactorauthenticatie, logging van beheerhandelingen die de organisatie kan inzien, en rapportage over de afgesproken beveiligingsprocessen (patchen, kwetsbaarheden, wijzigingen, back-up). [5.20.01] #

10. Inkoopdossier en overdracht#

1. Elk inkoopdossier bevat vóór ondertekening: de risicoafweging, de eisen, de beoordeling van de voorwaarden, het eerste bewijs van de leverancier, het overzicht en de beoordeling van de keten, de exitregeling en, waar nodig, de verwerkersovereenkomst. Zonder die stukken geeft de CISO geen positief advies en tekent de proceseigenaar niet. [5.19.01, 5.20.01] #
2. Na ondertekening draagt de inkoopadviseur het inkoopdossier binnen een maand over aan [contracteigenaar], zodat het contract in het register van leveranciers en contracten komt (beleid contractbeheer). [5.20.01] #

11. Rollen en verantwoordelijkheden#

12. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

13. Samenhang#

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en het inkoopbeleid van de organisatie. Het loopt door in het beleid contractbeheer (register, jaarlijkse beoordeling, clouddiensten, beëindiging). Het raakt het beleid informatieclassificatie (niveau van de eisen), het beleid beveiligingsincidenten (meldplicht van leveranciers), het beleid back-up en recovery (afspraken met leveranciers over back-up), het continuïteitsbeleid (exit en uitwijk), het beleid secure software development (eisen aan ontwikkeling door leveranciers) en het privacybeleid (verwerkersovereenkomst).

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (8, waarvan 8 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• inkoopadviseur: de functie die het inkoopproces begeleidt
• drempel risicoafweging inkoop: de criteria waaronder een inkoop met de standaardset eisen kan
• lijst onaanvaardbare voorwaarden: bijvoorbeeld eenzijdig wijzigen van de beveiligingsafspraken of gebruik van gegevens voor eigen doelen van de leverancier
• meldtermijn leverancier: bijvoorbeeld 12 uur, zodat de vroege waarschuwing binnen 24 uur kan
• besluitvormer afwijking soevereiniteit: wie de afwijking goedkeurt
• contracteigenaar: de functie die het contract na ondertekening beheert
• registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
• aantal steekproef inkoop: bijvoorbeeld vijf inkopen met een informatiecomponent
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur