Oktober 2026. ISO 27001 (controls 5.19 tot 5.22) en NIS2 vragen allebei om beheerste leveranciersrelaties. Een goede leveranciersbeoordeling begint bij het contract: daar legt u vast wat de leverancier moet doen. Dit zijn de afspraken die er in de praktijk toe doen. Zie ook ons overzicht van leveranciersbeheer.
1. Beveiligingsniveau en certificering
Leg vast welk niveau u verwacht: bijvoorbeeld een geldig ISO 27001-certificaat met een scope die uw dienst dekt, of een SOC 2-rapport. Vraag om een jaarlijkse update en let op de scope: een certificaat voor het kantoor zegt niets over het platform.
2. Meldplicht bij incidenten
Spreek een harde termijn af waarbinnen de leverancier u informeert over een incident dat uw gegevens raakt. Voor u gelden zelf termijnen onder NIS2 en de AVG; de leverancier moet dus sneller zijn dan uw eigen deadline. Zie de meldplicht in de praktijk.
3. Subverwerkers en locatie van gegevens
Eis een actuele lijst van subverwerkers, een kennisgeving bij wijzigingen en de mogelijkheid om bezwaar te maken. Leg vast waar gegevens worden opgeslagen en verwerkt. Voor persoonsgegevens hoort hier een verwerkersovereenkomst bij; zie de checklist en de due diligence op subverwerkers.
4. Recht op audit en bewijs
Een volledig auditrecht is vaak niet haalbaar bij grote SaaS-partijen. Een werkbaar alternatief is het recht op relevante auditrapporten, beantwoording van een jaarlijkse vragenlijst en medewerking bij een toezichtvraag.
5. Exit en beëindiging
Beschrijf hoe u uw gegevens terugkrijgt, in welk formaat, binnen welke termijn en hoe de leverancier ze aantoonbaar verwijdert. Voor financiële entiteiten is dit onder DORA verplicht; zie exitplanning. Voor iedereen geldt dat een exit die u nooit hebt getest, op papier blijft.
Afdwingen betekent controleren
Zet de afspraken in een register met per leverancier de eigenaar, de datum van de laatste beoordeling en de openstaande acties. Dat register is precies wat de auditor vraagt als hij het hoofdstuk leveranciers bekijkt.
Dit artikel is algemene informatie en geen juridisch advies. Laat contractteksten door een jurist beoordelen.