Hoe krijg je structureel inzicht in de digitale veiligheid van je leveranciers? CorpoNet-leden kunnen vanaf nu gebruikmaken van een standaard securityvragenlijst. Dit praktische hulpmiddel helpt woningcorporaties om leveranciers op een gestructureerde manier te beoordelen, verkort de doorlooptijd van het inkoopproces en maakt periodieke securitychecks eenvoudiger.
Van een eerste securitycheck naar een structurele aanpak
Bij de start van een samenwerking voeren woningcorporaties vaak een uitgebreide securitycheck uit. Daarna blijft de toetsing soms beperkt tot het opvragen van bijvoorbeeld ISO-certificaten. Daarmee ontstaat niet altijd een volledig beeld van de beveiligingsrisico’s.
Tegelijkertijd nemen cyberdreigingen toe en worden de eisen aan digitale weerbaarheid verder aangescherpt. Ook de Europese NIS2-richtlijn, die in Nederland is uitgewerkt in de Cyberbeveiligingswet, benadrukt het belang van het beheersen van cyberrisico’s in de toeleveringsketen. Dat vraagt om een gestructureerde aanpak van de beoordeling van leveranciers.
Gezamenlijk ontwikkeld vanuit de sector
Het idee voor een standaard securityvragenlijst ontstond binnen de Aareon Usergroup (UGA). Medewerkers van zeven woningcorporaties werkten samen aan een eerste versie, die bij Aareon in de praktijk werd getest. Dit leidde uiteindelijk tot de huidige generieke vragenlijst die ook breder toepasbaar is.
De vragenlijst is opgebouwd rond ISO27001, de internationaal erkende norm voor managementsystemen voor informatiebeveiliging. Waarop ook de BIC 4.0 is gebaseerd. Deze ISO-norm biedt een gestructureerde basis voor het beheersen van risico’s rond informatiebeveiliging, waardoor de securityvragenlijst breed inzetbaar is. Aanvullend zijn vragen opgenomen die specifiek aansluiten bij de praktijk van woningcorporaties, bijvoorbeeld over ketensamenwerking en gegevensverwerking. Zo combineert de vragenlijst een breed toepasbare standaard met de behoeften van de sector.
Met de securityvragenlijst hebben woningcorporaties een praktisch hulpmiddel om de informatiebeveiliging van hun leveranciers gestructureerd te beoordelen. De lijst biedt houvast bij het uitvragen van relevante informatie en kan worden gebruikt bij de beoordeling van nieuwe leveranciers én bij periodieke controles tijdens de samenwerking.
Doordat leveranciers de ingevulde vragenlijst ook zelf beschikbaar kunnen stellen, bijvoorbeeld via hun intranet, kunnen woningcorporaties de benodigde informatie sneller vinden. Dat scheelt tijd bij het inkoopproces en bij de periodieke beoordeling van leveranciers in het kader van ketenverantwoordelijkheid. Ook voorkomt het dat leveranciers steeds opnieuw vergelijkbare vragenlijsten moeten invullen.
Beheer en doorontwikkeling via CorpoNet
Om de securityvragenlijst bruikbaar en actueel te houden, is het beheer ondergebracht bij CorpoNet. De lijst is zorgvuldig samengesteld en dekt de behoefte op dit moment goed af. Daarom worden nieuwe vragen niet zomaar toegevoegd.
Heb je een voorstel voor een wijziging? Mail dan je onderbouwde verzoek naar info@corponet.nl. CorpoNet beoordeelt de voorgestelde wijzigingen.
De securityvragenlijst (versie 1.0) is beschikbaar voor CorpoNet-leden via de ledenomgeving (KennisBank – map SIG Security).
