Leveranciers: vragen en antwoorden.
Leveranciers- en ketenrisico onder ISO 27001, ISO 42001, NIS2, DORA en de AVG.
Wat is risicobeheer voor derde partijen?
Risicobeheer voor derde partijen is het in kaart brengen, beoordelen en beheersen van de risico’s die leveranciers meebrengen, zoals cloudproviders, softwareleveranciers en dienstverleners. ISO 27001 dekt het met de leveranciersmaatregelen uit Annex A, en NIS2 en DORA maken het een expliciete verplichting.
Hoe beoordeel je de beveiliging van een leverancier?
Deel leveranciers eerst in op risico, zodat de inspanning past bij de impact. Controleer bij belangrijke leveranciers certificaten en rapporten zoals ISO 27001 of SOC 2, en lees de scope: een certificaat dekt alleen wat binnen de scope valt. Leg afspraken vast in het contract en herhaal de beoordeling periodiek.
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst is het contract dat artikel 28 van de AVG verplicht stelt wanneer een verwerker persoonsgegevens namens jou verwerkt. Ze legt het onderwerp, de duur, het doel, de soorten gegevens, de beveiligingsmaatregelen en het inschakelen van subverwerkers vast.
Wat betekenen NIS2 en DORA voor leveranciersbeheer?
NIS2 verplicht entiteiten om de beveiliging van de toeleveringsketen mee te nemen in hun risicobeheersmaatregelen. DORA verplicht financiële entiteiten om ICT-risico’s van derden te beheersen, een informatieregister bij te houden van alle contractuele afspraken met ICT-dienstverleners en specifieke bepalingen in contracten op te nemen.
Wat vraag je aan een AI-leverancier?
Vraag naar het beoogde gebruik en de grenzen van het AI-systeem, de data waarmee het is getraind en draait, hoe wijzigingen in het model worden gecommuniceerd, hoe menselijk toezicht wordt ondersteund en waar data wordt verwerkt. ISO 42001 vraagt je de verantwoordelijkheden te beheren die je met leveranciers van AI-systemen deelt.
Plan een demo
Staat je vraag er niet bij?
In een demo beantwoorden we je vragen in de context van je eigen frameworks en scope.
- Waar je staat met ISO 27001 en ISO 42001.
- Welke frameworks voor je gelden.
- Hoe Basenorm je managementsysteem actueel houdt.
Gehost in Nederland. Je data blijft in de EU.