Kennisbank · whitepaper
Leveranciersmanagement onder ISO 27001:2022
Je kunt informatiebeveiliging uitbesteden, maar niet de verantwoordelijkheid ervoor. Als je klantdata of bedrijfskritische processen bij een cloudleverancier draaien, is het beveiligingsniveau van die leverancier feitelijk jouw beveiligingsniveau.
Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001 · LinkedIn
oktober 2026 · leestijd 5 minuten
Vrijwel geen organisatie werkt nog zonder externe leveranciers. Klantgegevens staan in een CRM in de cloud, de salarisadministratie draait bij een gespecialiseerde partij en een managed serviceprovider beheert de werkplekken. Dat levert schaalvoordelen op, maar verplaatst ook een groot deel van je informatie naar een omgeving waar je zelf geen directe controle over hebt.
Incidenten als Kaseya (2021), MOVEit (2023) en de foutieve CrowdStrike-update (2024) lieten zien hoe één leverancier honderden organisaties of miljoenen apparaten tegelijk kan raken.
Wat ISO/IEC 27001:2022 vraagt
Clausule 8.1 eist dat extern geleverde processen en diensten die relevant zijn voor het ISMS worden beheerst. Daarnaast bevat Annex A van ISO 27001 vijf samenhangende leveranciersmaatregelen:
| Maatregel | Onderwerp |
|---|---|
| 5.19 | Informatiebeveiliging in leveranciersrelaties |
| 5.20 | Informatiebeveiliging in leveranciersovereenkomsten |
| 5.21 | Informatiebeveiliging in de ICT-toeleveringsketen |
| 5.22 | Monitoren, beoordelen en wijzigingsbeheer van leveranciersdiensten |
| 5.23 | Informatiebeveiliging voor het gebruik van clouddiensten (nieuw in 2022) |
Wie clouddiensten gebruikt, kan maatregel 5.23 in de Verklaring van Toepasselijkheid vrijwel nooit uitsluiten.
Drie dingen die je goed moet doen
- Weten wie kritisch is. Niet elke leverancier verdient dezelfde aandacht. Een indeling in kritisch, belangrijk en standaard bepaalt waar je tijd en geld in steekt.
- Kritische leveranciers aantoonbaar beoordelen. Vóór het contract, tijdens de looptijd en bij wijzigingen, met objectief bewijs zoals een ISO 27001-certificaat (let op de scope), een ISAE 3402- of SOC 2-rapport en pentestresultaten.
- Een geteste exitstrategie hebben. Leg voor elke kritische clouddienst vast hoe je je data in een bruikbaar formaat terugkrijgt, binnen welke termijn en tegen welke kosten, en hoe de leverancier aantoonbaar verwijdert wat achterblijft.
Vooral dat laatste ontbreekt in de praktijk vaak. Organisaties merken pas bij een faillissement, overname of prijsverhoging dat hun gegevens vastzitten in een eigen formaat, zonder afspraken over teruggave.
Wat er op het spel staat
Onder de AVG blijf je als verwerkingsverantwoordelijke aanspreekbaar voor fouten van je verwerker. Onder de Cyberbeveiligingswet is het bestuur verantwoordelijk voor de beveiliging van de toeleveringsketen. En een auditor die vaststelt dat de maatregelen 5.19 tot en met 5.23 niet werken, kan een grote afwijking uitschrijven.
In de whitepaper lees je hoe je leveranciers classificeert, wat je minimaal in contracten vastlegt en hoe je een exitstrategie opstelt die werkt op het moment dat het nodig is.
Grip op je leveranciers?
Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. We kijken samen naar je belangrijkste leveranciers en de eerste stappen naar een werkend leveranciersproces.