Juli 2026. NIS2 en DORA maken ketenrisico expliciet bestuurlijk. Nederlandse organisaties, en hun leveranciers, moeten kunnen uitleggen welke vendors kritiek zijn, welke assurance ze leveren en hoe incidenten escaleren.
Eén leveranciersregister
- tiers: kritiek / belangrijk / standaard op basis van impact en data;
- tags: NIS2, DORA, AVG, ISO per vendor;
- contractclausules: audit, melding, exit, subverwerkers;
- reviewfrequentie gekoppeld aan tier, niet alles jaarlijks gelijk.
Due diligence zonder copy-paste
Standaard vragenlijst + bibliotheek (ISO-certificaat, SOC, pentest-samenvatting). Escalatie bij afwijkingen. Log wat u accepteert en waarom, auditors en toezicht willen besluiten zien.
Meer: leveranciersbeheer, NIS2, DORA.
Concentratierisico, één cloud voor alles, is DORA-thema én ISO risico. Documenteer alternatieven of geaccepteerd rest-risico in management review.
Contractclausules die bewijs leveren
Standaardiseer clausules: incidentmelding binnen X uur, auditrechten, exit binnen Y dagen, subverwerker-melding, patch-SLA. Legal en security reviewen samen vóór ondertekening, geen achteraf repareren.
Concentratierisico: documenteer wanneer één vendor kritieke functies stacked, alternatief, exit-plan of geaccepteerd risico in management review.
Jaarlijkse vendor review: assurance vernieuwd? Incidenten in keten? Scope change bij vendor? Update tier en evidence.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg, auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop, compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.