Hoe voldoe ik aan de beveiligingseisen van mijn opdrachtgever?

Om te voldoen aan de beveiligingseisen van een opdrachtgever moet je aantoonbaar kunnen maken dat jouw organisatie informatiebeveiliging structureel en beheerst aanpakt. In de meeste gevallen betekent dit dat je een erkende norm volgt, zoals ISO 27001-certificering, en dit kunt onderbouwen met beleid, processen en soms een onafhankelijk certificaat. Welke stappen daarvoor nodig zijn, hangt af van de eisen die jouw specifieke opdrachtgever stelt en de sector waarin je actief bent.

Welke beveiligingseisen stellen opdrachtgevers tegenwoordig?

Opdrachtgevers stellen steeds vaker concrete beveiligingseisen aan leveranciers en dienstverleners, variërend van het aanleveren van een informatiebeveiligingsbeleid tot het overleggen van een ISO 27001-certificaat of het invullen van een vragenlijst over beveiligingsmaatregelen. Deze eisen komen voort uit wetgeving, aansprakelijkheidsrisico en toenemende afhankelijkheid van digitale ketens.

De meest voorkomende beveiligingsvereisten die opdrachtgevers stellen zijn:

• Een geldig ISO 27001-certificaat of aantoonbare voortgang richting certificering
• Een ingevulde vragenlijst op basis van een normenkader, zoals een ISAE 3402 of een eigen leveranciersbeoordeling
• Bewijs dat je voldoet aan de AVG, inclusief een verwerkersovereenkomst
• Aantoonbare maatregelen op het gebied van toegangsbeheer, incidentbeheer en back-ups
• Naleving van sectorspecifieke normen, zoals NEN-7510 in de zorg of het normenkader IBP FO in het onderwijs

De druk op leveranciers neemt toe door de Europese NIS2-richtlijn, die in Nederland naar verwachting medio 2026 van kracht wordt via de Cyberbeveiligingswet. NIS2-plichtige organisaties zijn verplicht om ook hun toeleveringsketen te beoordelen op beveiligingsrisico’s. Als jij levert aan een partij die onder NIS2 valt, kun je dus indirect te maken krijgen met aangescherpte beveiligingsvereisten van opdrachtgevers.

Wat is het verschil tussen een norm, een certificaat en een verklaring?

Een norm is een set van eisen en richtlijnen waaraan een organisatie kan voldoen, zoals ISO 27001. Een certificaat is een officieel document van een geaccrediteerde certificerende instelling dat bevestigt dat jouw organisatie aan die norm voldoet. Een verklaring is een door de organisatie zelf opgesteld of door een auditor afgegeven document dat aantoont dat bepaalde maatregelen zijn getroffen, zonder dat er een formeel certificaat aan ten grondslag ligt.

Het onderscheid is in de praktijk belangrijk, omdat opdrachtgevers niet altijd hetzelfde vragen:

• Norm: het kader waaraan je werkt, bijvoorbeeld ISO 27001 of NEN-7510. Zelf zeggen dat je “werkt volgens ISO 27001” zonder certificaat heeft beperkte bewijswaarde.
• Certificaat: een onafhankelijk getoetst bewijs dat je aan de norm voldoet. Dit heeft de hoogste bewijswaarde en is vaak vereist bij aanbestedingen.
• Verklaring of rapport: denk aan een ISAE 3402-rapport of een eigen verklaring van naleving. Dit kan volstaan als een opdrachtgever geen volledig certificaat vereist, maar wel aantoonbaarheid vraagt.

Veel organisaties beginnen met het werken aan een norm en leggen dit vast in beleid en procedures, voordat ze de stap naar een formele certificering zetten. Dat is een legitieme route, zolang de opdrachtgever daarmee akkoord gaat.

Hoe weet ik welke eisen specifiek voor mijn situatie gelden?

De eisen die voor jouw situatie gelden, worden bepaald door drie factoren: de sector waarin je actief bent, de aard van de gegevens die je verwerkt, en de specifieke contractuele of wettelijke verplichtingen die jouw opdrachtgevers opleggen. Er is geen universeel antwoord, maar er zijn duidelijke aanknopingspunten om dit te bepalen.

Stel jezelf de volgende vragen:

1. Wat staat er in het contract of de aanbesteding? Opdrachtgevers leggen beveiligingseisen steeds vaker expliciet vast in contracten, bijlagen of vragenlijsten. Dit is het meest directe startpunt.
2. In welke sector lever je? Zorg, onderwijs en overheid kennen eigen normen en verwachtingen. In de zorg speelt NEN-7510 een centrale rol; in het onderwijs het normenkader IBP FO.
3. Verwerk je persoonsgegevens namens de opdrachtgever? Dan ben je verwerker in de zin van de AVG en gelden aanvullende eisen rondom gegevensbeveiliging en verwerkersovereenkomsten.
4. Levert de opdrachtgever aan NIS2-plichtige sectoren? Dan kunnen de eisen indirect doorwerken naar jouw organisatie als onderdeel van de keten.

Een nulmeting of GAP-analyse geeft inzicht in de kloof tussen je huidige situatie en wat er gevraagd wordt. Zo weet je precies waar je staat en wat er nog moet gebeuren om aan de informatiebeveiligingseisen te voldoen. Bekijk de beschikbare normen en kaders om te bepalen welke het best aansluit bij jouw situatie.

Welke stappen moet ik zetten om aan de eisen te voldoen?

Om aan de beveiligingseisen van een opdrachtgever te voldoen, doorloop je in de meeste gevallen een gestructureerd implementatietraject: van bewustwording en inventarisatie, via risicoanalyse en beleidsontwikkeling, naar praktische implementatie en controle. De exacte stappen hangen af van de norm die je nastreeft, maar de aanpak is in de kern steeds vergelijkbaar.

De zes stappen die je doorloopt bij een implementatietraject richting ISO 27001-certificering zijn:

1. Betrokkenheid: zorg voor draagvlak en bewustwording binnen de organisatie, inclusief het management.
2. Overzicht: breng in kaart met welke informatie, systemen, leveranciers en middelen je werkt.
3. Risico’s: voer een risicoanalyse uit. Wat kan er misgaan en wat zijn de gevolgen?
4. Beleid: leg werkbare afspraken en maatregelen vast in beleidsdocumenten en procedures.
5. Praktijk: implementeer de maatregelen daadwerkelijk in de dagelijkse werkwijze van de organisatie.
6. Controles: toets of alles werkt zoals bedoeld, via een interne audit als generale repetitie voor de externe certificeringsaudit.

Belangrijk om te weten: ISO 27001 is geen puur IT-vraagstuk. Slechts ongeveer een derde van de maatregelen is technisch van aard. Het grootste deel gaat over organisatie, beleid en menselijk gedrag. Dat maakt informatiebeveiliging een organisatiebrede opgave.

Hoe lang duurt het om aan beveiligingseisen te voldoen?

De doorlooptijd om aan beveiligingseisen te voldoen varieert sterk, maar voor een volledig ISO 27001-implementatietraject rekenen de meeste organisaties op zes tot achttien maanden. Kleinere organisaties met een beperkte IT-omgeving kunnen sneller klaar zijn; grotere of complexere organisaties hebben meer tijd nodig om alle processen en maatregelen te borgen.

Factoren die de doorlooptijd beïnvloeden zijn:

• De omvang en complexiteit van de organisatie
• De mate waarin ICT in eigen beheer is of is uitbesteed
• Het bestaande volwassenheidsniveau van informatiebeveiliging binnen de organisatie
• De beschikbare capaciteit en betrokkenheid van het management
• De norm of het kader waaraan voldaan moet worden

Als een opdrachtgever op korte termijn bewijs vraagt, is het in sommige gevallen mogelijk om eerst te werken aan een verklaring of tussentijdse documentatie, terwijl het volledige traject richting certificering loopt. Een ISO 27001-certificaat is na afgifte drie jaar geldig, met jaarlijkse controle-audits en een volledige hercertificering na drie jaar.

Wat als mijn organisatie (nog) niet gecertificeerd is?

Als jouw organisatie nog niet gecertificeerd is, betekent dat niet automatisch dat je niet kunt voldoen aan de beveiligingseisen van een opdrachtgever. Veel opdrachtgevers accepteren ook aantoonbare voortgang, een ingevulde vragenlijst, of een helder gedocumenteerd beveiligingsbeleid als tussentijds bewijs dat je informatiebeveiliging serieus neemt.

Wat je in de tussentijd kunt doen:

• Stel een informatiebeveiligingsbeleid op en leg dit vast
• Voer een risicoanalyse uit en documenteer de genomen maatregelen
• Sluit de benodigde verwerkersovereenkomsten af
• Benoem een verantwoordelijke voor informatiebeveiliging binnen de organisatie
• Start een implementatietraject en communiceer de voortgang actief richting de opdrachtgever

Sommige opdrachtgevers stellen certificering als harde eis, met name bij aanbestedingen of bij leveranties aan NIS2-plichtige partijen. In dat geval is een certificaat het verschil tussen wel of niet in aanmerking komen. Begin dan zo vroeg mogelijk met het traject, zodat je tijdig kunt aantonen dat je aan de beveiligingseisen van de opdrachtgever voldoet.

Hoe Kwinzo helpt bij het voldoen aan beveiligingseisen

Wij begeleiden organisaties in zorg, ICT en onderwijs bij het aantoonbaar voldoen aan de beveiligingseisen van opdrachtgevers, toezichthouders en ketenpartners. Dat doen we met een bewezen aanpak die standaardisering combineert met persoonlijke begeleiding, zodat het proces efficiënt verloopt zonder dat maatwerk verloren gaat.

Wat wij concreet voor je doen:

• Een nulmeting of GAP-analyse om te bepalen waar je nu staat en wat er nog nodig is
• Begeleiding bij het opzetten en implementeren van een ISMS dat aansluit bij ISO 27001, NEN-7510, NIS2 of andere relevante normen
• Ondersteuning bij het opstellen van beleid, procedures en overige documentatie
• Uitvoering van een onafhankelijke interne audit als voorbereiding op de externe certificeringsaudit
• Toegang tot onze eigen ISMS-tool, voorbeelddocumenten en een actuele kennisbank
• Maandelijkse workshops voor Security Officers die hun kennis willen verdiepen

We stemmen de begeleiding af op jouw situatie: van volledige ontzorging tot een meer zelfstandige aanpak waarbij wij als klankbord fungeren. Onze implementatiedienst is het startpunt voor organisaties die aantoonbaar aan de slag willen met informatiebeveiliging. Wil je weten wat er voor jouw organisatie nodig is? Neem contact op voor een vrijblijvend adviesgesprek.