Je klant vraagt naar NIS2

De wet legt organisaties in kritieke en belangrijke sectoren vier dingen op: een zorgplicht met maatregelen, een meldplicht bij incidenten, een registratieplicht en verantwoordelijkheid voor hun leveranciers. Dat laatste is waarom jij een e-mail krijgt met dertig vragen.

Je klant moet kunnen aantonen dat hij weet wie er bij zijn systemen kan en wat er gebeurt als het bij jou misgaat. Dat is een redelijke vraag, ook als de vragenlijst waarmee hij komt duidelijk voor een groter bedrijf is geschreven.

Wat dit anders maakt dan eerdere golven van vragenlijsten, is dat je klant nu zelf aansprakelijk is. Bestuurders van organisaties die onder de wet vallen, kunnen persoonlijk worden aangesproken op het toezicht op hun ketenrisico's. Dat verandert de toon van het gesprek: de inkoper die jou belt heeft er zelf belang bij dat het antwoord klopt, niet alleen dat er een antwoord is.

Dat is voor jou eerder goed nieuws dan slecht. Iemand die zelf moet kunnen uitleggen waarom hij met jou in zee gaat, is geïnteresseerd in een eerlijk verhaal met open punten erin. Een lijst met dertig keer 'ja' is voor die persoon minder bruikbaar dan zesentwintig keer ja en vier keer 'nog niet, dit is het plan'.

De zorgplicht verplicht organisaties tot maatregelen die passen bij hun risico: toegangsbeheer, incidentafhandeling, continuïteit, en beveiliging van de toeleveringsketen. Dat laatste onderdeel is de reden dat jij een vragenlijst krijgt, en het is niet vrijblijvend geformuleerd.

De meldplicht is scherper dan bij eerdere regelgeving: een eerste melding kort na constatering, een uitgebreidere melding daarna. Als jouw storing de dienstverlening van je klant raakt, loopt zijn termijn vanaf het moment dat hij het weet. Hoe sneller jij meldt, hoe minder klem hij zit — en dat is precies waarom je meldtermijn in het contract komt.

De registratieplicht en het toezicht raken jou niet direct, maar ze verklaren wel waarom je klant niet met een half antwoord genoegen neemt. Hij moet kunnen laten zien dat hij het heeft uitgevraagd en wat eruit kwam. Een net, eerlijk en compleet antwoord van jou maakt dat onderdeel van zijn dossier eenvoudig, en dat is een concurrentievoordeel dat je niet moet onderschatten.

Toegang: wie bij jou kan bij de gegevens van de klant, hoe die toegang wordt afgesloten als iemand vertrekt, en of er tweefactorauthenticatie op zit. Dit is het onderwerp waar het vaakst iets echt mis blijkt te zijn, meestal in de vorm van een gedeeld account dat niemand meer kan herleiden.

Continuïteit: wat er gebeurt als jouw dienst uitvalt, hoe snel je terug bent en of je dat ooit hebt geoefend. Een back-up die nooit is teruggezet, is geen back-up maar een aanname. Dit is de vraag waar 'wij maken dagelijks een back-up' als antwoord onvoldoende is.

Incidenten: hoe je merkt dat er iets mis is, binnen hoeveel tijd je klant het hoort, en via welk kanaal. Meldtermijnen in de wet zijn kort en ze tellen door naar jou, dus dit is niet vrijblijvend.

Onderaannemers: welke andere partijen jij gebruikt en wat die van de gegevens van je klant zien. Een lijst met vijf namen en per naam één zin is een compleet antwoord.

Na de vragenlijst volgt meestal een bijlage bij het contract met verwerkings- en beveiligingsafspraken. Daar staan de dingen in die je daadwerkelijk bindt: meldtermijnen bij incidenten, het recht om je te laten auditen, eisen aan onderaannemers en soms een boeteclausule.

Let vooral op de meldtermijn. Een afspraak om binnen vierentwintig uur te melden is doenlijk; binnen vier uur betekent dat je iets moet inrichten dat buiten kantooruren werkt. Onderhandel daarover voordat je tekent, niet als er iets gebeurd is.

Let ook op de auditclausule. Voor een klein bedrijf is een jaarlijkse audit door de klant zelf een aanzienlijke belasting. Een alternatief dat vaak geaccepteerd wordt: jij levert jaarlijks een verklaring aan met wat er is veranderd, en de klant behoudt het recht om bij een incident wél te komen kijken.

Maak van je antwoorden één document en houd het bij. Niet omdat het mooi staat, maar omdat je deze vragen dit jaar nog een paar keer krijgt en het beantwoorden telkens een dag kost als je opnieuw begint. Zet er per onderwerp in wat je doet, wat je nog niet doet, en wanneer je dat oppakt.

Voeg er ook de dingen aan toe die je niet gevraagd zijn maar wel geregeld hebt. Een inkoper die ziet dat je verder hebt nagedacht dan de vraagstelling, gaat minder diep doorvragen op de rest.

En update het na elk incident, hoe klein ook. Een leverancier die kan laten zien dat hij een storing heeft gehad, hem heeft opgelost en er iets van heeft veranderd, is geloofwaardiger dan een die nog nooit iets heeft meegemaakt.