Je kunt binnen je eigen organisatie nog zoveel beveiligingsmaatregelen treffen. Maar als een kritieke leverancier wordt getroffen door een cyberaanval, kun je alsnog te maken krijgen met datalekken, verstoringen en financiële schade.

Hoeveel controle heb je eigenlijk over risico's die buiten je eigen organisatie ontstaan?
De recente cyberaanval op logistiek dienstverlener CEVA Logistics laat zien hoe afhankelijk organisaties zijn van de beveiliging van externe partijen. Ook klanten en ketenpartners ondervonden gevolgen van het incident.
Je hoeft dus niet zelf gehackt te worden om toch de gevolgen van een cyberaanval te ondervinden.

Dat risico beperkt zich niet tot IT-leveranciers. Ook logistieke dienstverleners, salarisverwerkers en softwareleveranciers kunnen een kritisch onderdeel van de bedrijfsvoering vormen.
Een leverancier kan contractueel uitstekend zijn beoordeeld, terwijl technisch nog steeds onnodige beheerrechten, verouderde API-koppelingen of onvoldoende afgeschermde systemen bestaan.
Een verwerkersovereenkomst is tenslotte geen firewall.

De ketenzorgplicht binnen NIS2 vraagt daarom aandacht voor beveiligingsrisico's in de leveranciersketen.
Dat begint met het identificeren van kritieke afhankelijkheden. Welke leveranciers verwerken gevoelige gegevens? Welke systemen kunnen zij bereiken? En welke bedrijfsprocessen vallen stil wanneer hun dienstverlening wordt onderbroken?

Technische maatregelen zoals netwerksegmentatie, sterke authenticatie en het periodiek controleren van toegangsrechten beperken de mogelijkheden voor misbruik. Monitoring helpt afwijkende activiteiten te signaleren.
Maar ook incidentrespons en bedrijfscontinuïteit verdienen aandacht. Wie kan externe toegang direct intrekken? Welke alternatieven zijn beschikbaar? En zijn herstelprocedures daadwerkelijk getest?
Een technisch goed beveiligde organisatie is niet automatisch een weerbare organisatie.

Cybersecurity stopt niet bij je eigen infrastructuur. Ook de afhankelijkheden daarbuiten bepalen hoe kwetsbaar je bent.
Weet jouw organisatie welke leverancier de grootste impact zou hebben als deze morgen wordt gehackt? En is er een concreet plan voor wat er daarna moet gebeuren?