--- title: "Leveranciersrisicobeoordeling: derden evalueren" description: "Een praktische gids over leveranciersrisicobeoordelingen — wat ze zijn, wanneer u ze uitvoert, wat u evalueert, hoe u leveranciersrisico scoort, en hoe u voldoet aan ISO 27001-, NIS2- en DORA-vereisten voor derden." canonical: https://www.orbiqhq.com/nl/woordenlijst/leveranciersrisicobeoordeling html: https://www.orbiqhq.com/nl/woordenlijst/leveranciersrisicobeoordeling publisher: Orbiq GmbH language: en --- # Leveranciersrisicobeoordeling: derden evalueren Een praktische gids over leveranciersrisicobeoordelingen — wat ze zijn, wanneer u ze uitvoert, wat u evalueert, hoe u leveranciersrisico scoort, en hoe u voldoet aan ISO 27001-, NIS2- en DORA-vereisten voor derden. Een leveranciersrisicobeoordeling evalueert de beveiligings-, compliance- en operationele risico's die een externe leverancier aan uw organisatie introduceert. Het is het proces dat bepaalt of u een leverancier kunt vertrouwen met uw gegevens, de gegevens van uw klanten of toegang tot uw systemen — en welke maatregelen nodig zijn om het risico te beheersen als u dat doet. Elk belangrijk complianceframework vereist het: ISO 27001 (Annex A 5.19-5.21), NIS2 (Artikel 21(2)(d)), DORA (Artikelen 28-30) en SOC 2 (CC9.2). Maar verder dan compliance zijn leveranciersrisicobeoordelingen wat voorkomt dat de beveiliging van uw organisatie slechts zo sterk is als uw zwakste leverancier. Deze gids behandelt hoe u leveranciersrisicobeoordelingen uitvoert, wat u evalueert, hoe u risico scoort en hoe u een proces bouwt dat schaalt. --- ## Waarom leveranciersrisicobeoordeling belangrijk is ### Het toeleveringsketenprobleem Uw beveiligingsperimeter eindigt niet bij uw firewall. Elke leverancier met toegang tot uw gegevens of systemen vergroot uw aanvalsoppervlak. Het patroon is welbekend: - Leveranciers met geprivilegieerde toegang worden toegangspunten voor aanvallers - Gegevens die met leveranciers worden gedeeld worden onderworpen aan hun beveiligingsmaatregelen, niet de uwe - Downtime bij leveranciers wordt uw downtime wanneer diensten nauw geïntegreerd zijn - Compliance-tekortkomingen bij leveranciers worden uw tekortkomingen wanneer toezichthouders uw toeleveringsketen onderzoeken ### Regelgevingsdruk Europese regelgeving heeft leveranciersrisicobeoordeling verplicht gesteld: - **NIS2 Artikel 21(2)(d)** — Toeleveringsketenbeveiliging is een van tien verplichte risicobeheermaatregelen - **DORA Artikelen 28-30** — Gedetailleerde vereisten voor ICT-risicobeheer van derden, inclusief risicobeoordeling vóór contractering - **ISO 27001 Annex A 5.19-5.21** — Drie maatregelen specifiek gericht op leveranciersbeveiliging - **AVG Artikel 28** — Verwerkingsverantwoordelijken mogen alleen verwerkers inschakelen die voldoende garanties bieden voor passende technische en organisatorische maatregelen --- ## Wanneer een leveranciersrisicobeoordeling uitvoeren ### Pre-contractueel (due diligence) Vóór het tekenen van een contract met een leverancier die: - Uw gegevens opent, verwerkt of opslaat - Verbinding maakt met uw interne systemen of netwerken - Diensten levert die kritiek zijn voor uw bedrijfsvoering - Persoonsgegevens namens u verwerkt ### Periodieke beoordeling Tijdens de leveranciersrelatie: - **Kritieke leveranciers** — Jaarlijks - **Hoog-risicoleveranciers** — Elke 12-18 maanden - **Standaard leveranciers** — Elke 2 jaar - **Laag-risicoleveranciers** — Elke 3 jaar of bij contractverlenging ### Getriggerde beoordeling Bij significante wijzigingen: - Leverancier ervaart een beveiligingsincident of datalek - Reikwijdte van toegang of diensten van de leverancier verandert - Leverancier ondergaat een fusie, overname of significante organisatorische wijziging - Nieuwe regelgevingsvereisten treden in werking - Certificerings- of auditstatus van de leverancier verandert --- ## Wat te evalueren ### 1. Informatiebeveiligingsmaatregelen Beoordeel de technische en organisatorische beveiligingsmaatregelen van de leverancier: | Gebied | Wat te evalueren | |---|---| | **Toegangsbeheer** | Authenticatiemethoden, rolgebaseerde toegang, geprivilegieerde toegangscontroles, toegangsbeoordelingen | | **Versleuteling** | Gegevens in rust, gegevens in transit, sleutelbeheer, gebruikte versleutelingsstandaarden | | **Netwerkbeveiliging** | Segmentatie, firewallbeleid, inbraakdetectie, DDoS-bescherming | | **Kwetsbaarheidsbeheer** | Scanfrequentie, patchtermijnen, penetratietestcadans | | **Incidentrespons** | Responsplan, meldingstermijnen, communicatieprocedures | | **Logging en monitoring** | Bewaarperiode auditlogs, monitoringcapaciteiten, anomaliedetectie | ### 2. Compliance en certificeringen Verifieer de compliancehouding van de leverancier: - **Certificeringen** — ISO 27001, SOC 2 Type II, ISO 27701 - **Auditrapportages** — Meest recente SOC 2-rapportage, ISO 27001-surveillanceauditresultaten - **Regelgevingscompliance** — AVG, NIS2, DORA-status - **Penetratietestresultaten** — Datum, scope en herstelstatus van meest recente test - **Compliance-tekortkomingen** — Bekende non-conformiteiten of herstelplannen ### 3. Gegevensverwerking Begrijp hoe de leverancier uw gegevens beheert: - **Gegevensclassificatie** — Hoe zij verschillende gegevenstypen categoriseren en beschermen - **Gegevenslocatie** — Waar gegevens worden opgeslagen en verwerkt (regio's, datacentra) - **Gegevensresidentie** — Of gegevens binnen vereiste jurisdicties blijven (EU, specifieke landen) - **Subverwerking** — Of de leverancier gegevens deelt met aanvullende derden - **Bewaring en verwijdering** — Hoe lang gegevens worden bewaard en hoe ze veilig worden verwijderd - **Portabiliteit** — Hoe gegevens kunnen worden geëxporteerd wanneer de relatie eindigt ### 4. Bedrijfscontinuïteit Evalueer de veerkracht van de leverancier: - **Disaster recovery** — Hersteltijd- en herstelpuntdoelstellingen (RTO/RPO) - **Back-upprocedures** — Frequentie, testen, geografische spreiding - **Redundantie** — Infrastructuurredundantie, failovercapaciteiten - **SLA-garanties** — Uptimeverplichtingen en gevolgen bij schending - **Exitstrategie** — Gegevensmigratie-ondersteuning, transitiehulp, opzegtermijnen ### 5. Financiële en operationele stabiliteit Beoordeel de levensvatbaarheid van de leverancier: - **Financiële gezondheid** — Omzettrends, financieringsstatus, winstgevendheidsindicatoren - **Marktpositie** — Klantenbestand, branchereputatie, concurrentiepositie - **Operationele volwassenheid** — Teamgrootte, afhankelijkheid van sleutelpersonen, procesvolwassenheid - **Verzekering** — Cyberaansprakelijkheidsverzekeringsdekking en limieten ### 6. Onderaannemersrisico Evalueer de eigen toeleveringsketen van de leverancier: - **Subverwerkerlijst** — Op wie de leverancier vertrouwt voor kritieke diensten - **Subverwerkersbeoordeling** — Hoe de leverancier zijn eigen toeleveranciers evalueert - **Meldingsproces** — Hoe u wordt geïnformeerd over wijzigingen in subverwerkers - **Contractuele doorwerking** — Of beveiligingsvereisten doorwerken naar subverwerkers --- ## Hoe u leveranciersrisico scoort ### Stap 1: Inherent risico bepalen Inherent risico is het risiconiveau vóór overweging van de maatregelen van de leverancier. Het is gebaseerd op de aard van de relatie: | Factor | Laag | Gemiddeld | Hoog | Kritiek | |---|---|---|---|---| | **Gegevensgevoeligheid** | Alleen openbare gegevens | Interne gegevens | Vertrouwelijke gegevens | Gereguleerde persoonsgegevens | | **Gegevensvolume** | Minimaal | Matig | Significant | Grootschalige verwerking | | **Systeemtoegang** | Geen directe toegang | Alleen-lezen toegang | Lees-schrijf toegang | Administratieve toegang | | **Dienstkriticiteit** | Leuk om te hebben | Belangrijk | Bedrijfskritiek | Essentiële bedrijfsvoering | | **Vervangbaarheid** | Eenvoudig te wisselen | Enige inspanning | Moeilijk | Lock-in risico | ### Stap 2: Effectiviteit van maatregelen evalueren Effectiviteit van maatregelen meet hoe goed de leverancier het inherente risico beperkt: - **Sterk** — Gecertificeerd (ISO 27001, SOC 2 Type II), schone auditrapportages, volwassen processen - **Adequaat** — Goede maatregelen aanwezig, enkele certificeringen, regelmatig testen - **Zwak** — Basismaatregelen, geen certificeringen, beperkt bewijs - **Onvoldoende** — Significante tekortkomingen, geen bewijs van maatregelen, onresponsief op verzoeken ### Stap 3: Restrisico berekenen Restrisico combineert inherent risico met effectiviteit van maatregelen: | | Sterke maatregelen | Adequate maatregelen | Zwakke maatregelen | Onvoldoende maatregelen | |---|---|---|---|---| | **Kritiek inherent** | Hoog | Hoog | Kritiek | Kritiek | | **Hoog inherent** | Gemiddeld | Hoog | Hoog | Kritiek | | **Gemiddeld inherent** | Laag | Gemiddeld | Hoog | Hoog | | **Laag inherent** | Laag | Laag | Gemiddeld | Hoog | ### Stap 4: Acties bepalen Elk restrisico-niveau triggert specifieke acties: - **Laag** — Goedkeuren, standaardmonitoring, periodieke beoordeling - **Gemiddeld** — Goedkeuren met voorwaarden, aanvullende maatregelen kunnen vereist zijn, regelmatige monitoring - **Hoog** — Goedkeuring door hoger management vereist, verplichte aanvullende maatregelen, frequente monitoring - **Kritiek** — Goedkeuring door directie vereist, alternatieven overwegen, continue monitoring, risico moet formeel worden geaccepteerd --- ## Een schaalbaar proces opbouwen ### Gelaagde beoordelingsaanpak Niet elke leverancier heeft dezelfde diepte van beoordeling nodig. Gebruik een gelaagde aanpak: **Laag 1 — Volledige beoordeling** (Kritieke en hoog-risicoleveranciers) - Uitgebreide beveiligingsvragenlijst - Onafhankelijke verificatie (auditrapportages, certificeringen, penetratietestresultaten) - Beoordeling ter plaatse of virtueel indien gerechtvaardigd - Risicoscoring en formele risicoacceptatie **Laag 2 — Standaard beoordeling** (Gemiddeld-risicoleveranciers) - Beveiligingsvragenlijst - Certificerings- en complianceverificatie - Risicoscoring **Laag 3 — Lichte beoordeling** (Laag-risicoleveranciers) - Basis beveiligingschecklist - Beoordeling van openbare compliance-informatie ### Bewijsbronnen Vertrouw niet uitsluitend op zelfrapportage van leveranciers. Gebruik meerdere bewijsbronnen: 1. **Beveiligingsvragenlijsten** — De eigen antwoorden van de leverancier (basisinput) 2. **Certificeringen** — ISO 27001-certificaten, SOC 2-rapportages (onafhankelijke verificatie) 3. **Trust Centers** — Gepubliceerde beveiligingsdocumentatie en compliancebewijs 4. **Beveiligingsratings** — Externe risicoscoringsdiensten 5. **Contractuele bepalingen** — Beveiligingsclausules, SLA's, verwerkersovereenkomsten 6. **Continue monitoring** — Doorlopende beoordeling tussen periodieke beoordelingen ### Veelgemaakte fouten 1. **Beoordeling behandelen als eenmalige gebeurtenis.** Leveranciersrisico verandert voortdurend — certificeringen verlopen, incidenten doen zich voor, leveranciers wijzigen subverwerkers. Bouw periodieke herbeoordeling en continue monitoring in. 2. **Alleen vertrouwen op vragenlijstantwoorden.** Zelfbeoordeling door leveranciers is noodzakelijk maar onvoldoende. Verifieer claims met certificeringen, auditrapportages en onafhankelijk bewijs. 3. **Alle leveranciers op dezelfde manier beoordelen.** Een SaaS-leverancier die klantgegevens verwerkt heeft een andere beoordeling nodig dan een leverancier van kantoorbenodigdheden. Gelaagde beoordeling voorkomt zowel over- als onderbeoordeling. 4. **Geen opvolging van geïdentificeerde risico's.** Risico's vinden is alleen nuttig als u herstel bijhoudt. Documenteer geïdentificeerde tekortkomingen, afgesproken hersteltermijnen en verificatie van oplossingen. 5. **Subverwerkerrisico negeren.** De leveranciers van uw leveranciers maken deel uit van uw toeleveringsketen. NIS2 en DORA vereisen expliciet dat de gehele keten wordt overwogen, niet alleen directe leveranciers. --- ## Voldoen aan frameworkvereisten ### ISO 27001 Annex A-maatregelen 5.19-5.21 vereisen: - Een beleid voor het beheren van leveranciersrelaties (5.19) - Beveiligingsvereisten vastgesteld en overeengekomen met leveranciers (5.20) - Informatiebeveiliging beheren in de ICT-toeleveringsketen (5.21) Benodigd bewijs: leveranciersbeoordelingsregistraties, beveiligingsbeleid voor leveranciers, contractuele beveiligingsclausules, documentatie van periodieke beoordelingen. ### NIS2 Artikel 21(2)(d) vereist maatregelen voor toeleveringsketenbeveiliging inclusief: - Beveiligingsgerelateerde beoordelingen van directe leveranciers en dienstverleners - Overweging van leverancierspecifieke kwetsbaarheden - Evaluatie van cyberbeveiligingspraktijken van leveranciers - Overweging van gecoördineerde beveiligingsrisicobeoordelingen van toeleveringsketens ### DORA Artikelen 28-30 stellen gedetailleerde vereisten voor ICT-risicobeheer van derden vast: - Pre-contractuele beoordeling van ICT-dienstverleners van derden - Belangrijke contractuele bepalingen voor ICT-diensten - Doorlopende monitoring van ICT-risico van derden - Exitstrategieën voor kritieke ICT-diensten --- ## Van beoordeling naar bewijs Leveranciersrisicobeoordelingen genereren waardevol compliancebewijs — maar alleen als ze goed worden gedocumenteerd en toegankelijk zijn: - **Beoordelingsregistraties** — Ingevulde vragenlijsten, risicoscores, goedkeuringsbeslissingen - **Verificatiedocumenten** — Certificaten, auditrapportages, samenvattingen van penetratietesten - **Risicobehandeling** — Gedocumenteerde beslissingen over risicoacceptatie, vereiste aanvullende maatregelen - **Monitoringregistraties** — Doorlopende beoordelingsresultaten, incidentmeldingen, veranderingen in certificeringsstatus Een Trust Center stroomlijnt beide zijden van leveranciersbeoordeling — publiceer uw eigen beveiligingsbewijs voor beoordelingen door uw klanten, en raadpleeg leveranciersdocumentatie voor uw eigen due diligence. --- ## Hoe Orbiq leveranciersrisicobeoordelingen ondersteunt - **Trust Center:** Publiceer uw beveiligingshouding, certificeringen en compliancebewijs zodat uw klanten uw risico kunnen beoordelen zonder handmatige vragenlijstrondes - **AI-gestuurde vragenlijsten:** Beantwoord automatisch inkomende leveranciersbeoordelingsvragenlijsten met behulp van uw geverifieerde compliancebewijs - **Continue monitoring:** Volg de certificeringsstatus, beveiligingswijzigingen en compliance-tekortkomingen van leveranciers tussen beoordelingen - **Bewijsbeheer:** Centraliseer documentatie van leveranciersbeoordelingen, auditrapportages en risicoacceptatieregistraties --- ## Verder lezen - [Software voor leveranciersrisicobeoordeling: Complete kopershandleiding](/nl/leveranciersrisicobeheer/leveranciersrisicobeoordeling-software) — Platformvergelijking met prijzen, NIS2/DORA-dekking en EU-gegevensopslag voor kopers 2026 - [Leveranciersrisicobeheer: De complete gids](/nl/leveranciersrisicobeheer/leveranciersrisicobeheer) — VRM-programma opbouwen, toolsvergelijking en EU-regelgevingsvereisten - [Risicobeheer van derden](/nl/woordenlijst/risicobeheer-derden) — Een uitgebreid TPRM-programma opbouwen - [Informatiebeveiligingsbeleid](/nl/woordenlijst/informatiebeveiligingsbeleid) — Het basisdocument voor beveiligingsvereisten aan leveranciers - [NIS2-toeleveringsketenbeveiliging](/nl/eu-regelgeving/nis2-toeleveringsketenbeveiliging) — De specifieke toeleveringsketenvereisten van NIS2 - [Compliance-automatisering](/nl/woordenlijst/compliance-automatisering) — Bewijsverzameling automatiseren voor leveranciersbeoordelingen --- *Deze gids wordt onderhouden door het Orbiq-team. Laatst bijgewerkt: maart 2026.*