NIS2 voor managed service providers: dubbel binnen de reikwijdte

Een managed service provider valt dubbel binnen de reikwijdte van NIS2: als eigen entiteit zodra je de omvangsdrempels haalt, en als leverancier via de ketenverplichting van elke klant die zelf binnen de reikwijdte valt. De meeste sectorrichtsnoeren over NIS2 richten zich op de afnemer: het ziekenhuis, het nutsbedrijf, de fabrikant. Relatief weinig richt zich op de leverancier die onder al die partijen zit. Dat is een gat de moeite waard om te dichten, want managed service providers nemen een ongewone positie in binnen de richtlijn. Ze worden expliciet genoemd als sector binnen de reikwijdte, en tegelijk zijn ze de archetypische derde partij waar de maatregel voor de toeleveringsketen over geschreven is.

Dit artikel behandelt beide. Hoe de directe verplichting werkt en hoe je nagaat of die op jou van toepassing is. Hoe de indirecte verplichting je bereikt via klanten, ongeacht je omvang. Wat die klanten vragen, en welke van hun verzoeken redelijk zijn. En hoe je een enkel dossier bouwt dat tegelijk de toezichthouder, de klant en de verzekeraar bedient.

Deur een: je bent een entiteit binnen de reikwijdte

Bijlage I van de richtlijn somt de sectoren met hoge kritikaliteit op. Naast energie, transport, bankwezen, gezondheidszorg, water en digitale infrastructuur staat beheer van ICT-diensten voor business-to-businessdiensten, en daarbinnen managed service providers en managed security service providers. Die plaatsing is bewust. Een compromittering van een provider met beheerderstoegang tot tientallen klantomgevingen is een systemische gebeurtenis, geen incident van een enkel bedrijf.

In bijlage I staan brengt je op zich niet binnen de reikwijdte. De omvangsregel uit artikel 2 blijft van toepassing: de richtlijn dekt over het algemeen entiteiten die kwalificeren als middelgrote onderneming of die grenzen overschrijden, gemeten met de criteria uit de bijlage bij Aanbeveling 2003/361/EG van de Commissie. Die berekening telt het personeelsbestand mee naast omzet en balanstotaal, en telt gelieerde en partnerondernemingen op. Een provider van 40 medewerkers die voor het merendeel eigendom is van een grote groep, wordt hoogstwaarschijnlijk meegeteld met die groep in plaats van op zichzelf.

Waar je uitkomt bepaalt ook je toezichtregime. Entiteiten van bijlage I boven de grenzen voor middelgrote ondernemingen zijn over het algemeen essentiële entiteiten, onder ex ante toezicht op grond van artikel 32, met inspecties, steekproeven en audits beschikbaar zonder voorafgaande aanwijzing van een probleem. Middelgrote entiteiten van bijlage I zijn over het algemeen belangrijke entiteiten, onder ex post toezicht op grond van artikel 33. Voor een groeiende provider is dit relevant, want het overschrijden van een drempel voor personeelsbestand of omzet kan je in een jaar waarin verder niets aan het bedrijf veranderde, van het ene naar het andere regime verplaatsen.

Deur twee: de toeleveringsketenverplichting van je klanten

Artikel 21(2)(d) vereist dat entiteiten binnen de reikwijdte maatregelen nemen voor de beveiliging van de toeleveringsketen, inclusief beveiligingsgerelateerde aspecten van de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners. Overwegingen en richtsnoermateriaal dringen er bij entiteiten op aan om de specifieke kwetsbaarheden van elke leverancier te overwegen, de algehele kwaliteit van diens producten en cyberbeveiligingspraktijken, en diens procedures voor veilige ontwikkeling.

Voor een managed service provider is dit de deur die commercieel telt, want die gaat open ongeacht of je zelf binnen de reikwijdte valt. Een provider van 20 medewerkers zonder directe verplichting merkt toch dat zijn ziekenhuisklant verplicht is hem als leverancier te beheren. Die verplichting wordt nagekomen via contractvoorwaarden, vragenlijsten, bewijsverzoeken en, in toenemende mate, auditrechten.

De ongemakkelijke dynamiek is dat klanten onder toezichtdruk eisen sneller de keten in duwen dan ze die onderhandelen. Providers die vooraf niet hebben bepaald waar ze wel en niet aan willen committeren, ondertekenen in een verlengingsvenster uiteindelijk voorwaarden die ze operationeel niet kunnen waarmaken. Dat is erger dan een verloren verlenging, want een gemiste contractuele meldtermijn tijdens een echt incident wordt bovenop een beveiligingskwestie ook een aansprakelijkheidskwestie.

Wat vragen klanten, en wat zeg je?

• Incidentmelding binnen een vastgesteld venster. Redelijk, en je zou het moeten aanbieden voordat ze erom vragen. Werk terug vanaf hun meldplicht van 24 uur voor de vroegtijdige waarschuwing: een toezegging van 24 uur van jouw kant is voor hen nutteloos. Bied over het algemeen twaalf uur aan, en zes uur voor incidenten die hun productieomgeving raken, en houd die lijn aan bij alle klanten zodat de toezegging operationeel houdbaar is.
• MFA op alle beheerderstoegang tot hun omgeving. Redelijk en in de praktijk niet onderhandelbaar. Wees klaar om registratiecijfers te tonen voor je eigen bevoorrechte accounts, inclusief eventuele break-glass-accounts en hoe die worden gecontroleerd.
• Aangewezen securitycontact en escalatiepad. Redelijk en goedkoop. Een functionele mailbox, een telefoonnummer, en een plaatsvervanger, gepubliceerd in het contractschema in plaats van weggestopt in een onboarding-e-mail.
• Openheid over onderaannemers. Redelijk. Klanten kunnen geen keten beheren die ze niet zien. Houd de lijst bij, spreek een meldtermijn af voor wijzigingen, en verzet je tegen open-eindig toestemmingsrecht waarmee een klant je bedrijfsmodel kan tegenhouden.
• Auditrechten. In principe redelijk, in de praktijk duur als elke klant het recht apart uitoefent. Kom hiertegen op met een onafhankelijk beoordelingsrapport of certificaat plus een begrensd recht om te auditen op basis van gegronde reden, met vastgelegde aankondigingstermijn en kostenverdeling.
• Toegang tot je incidentbewijs. Redelijk voor incidenten die hen raken, en de moeite waard om strak af te bakenen. Committeer je aan de feiten die relevant zijn voor hun omgeving en tijdlijn, niet aan je volledige interne forensische rapport, dat data van andere klanten bevat.
• Doorbelasting van de volledige NIS2-verplichtingen van de klant. Niet redelijk. Je kunt de regelgevende verplichtingen van een andere entiteit niet contractueel overnemen, en een clausule die zegt dat je "de NIS2-naleving van de klant garandeert" is onbegrensd. Bied in plaats daarvan specifieke, meetbare toezeggingen aan.

Bouw een dossier, beantwoord drie doelgroepen

De efficiëntiewinst voor een provider is dat de toezichthouder, de klant en de cyberverzekeraar overlappend bewijs willen. Bouw het eenmaal, in een vorm die je kunt delen zonder herschrijven, en de leveranciersvragenlijst stopt met elke keer een project van twee weken te zijn.

Welke drie gaten kom ik het vaakst tegen bij providers?

Providers zijn doorgaans technisch sterk en bewijsmatig dun, het tegenovergestelde faalpatroon van hun klanten. Drie gaten komen steeds terug.

Ten eerste is de beheertooling het kroonjuweel en wordt niet als zodanig behandeld. Platforms voor remote monitoring en beheer, deployment tools en scriptbibliotheken bereiken alle klanten tegelijk. Ze staan vaak buiten de formele asset-inventaris, buiten het changeproces, en op een authenticatiepad dat gemakkelijker is dan het pad dat aan klantsystemen wordt opgelegd. Elke risicobeoordeling die het beheervlak niet behandelt als het asset met de hoogste impact in het bedrijf, beschrijft niet het werkelijke risico.

Ten tweede worden toezeggingen voor incidentmelding vastgelegd in contracten en nooit verankerd in het proces voor dienstdoen. De servicedesk die het incident ontdekt, weet niet dat er een klok van zes uur voor de klant is gestart, want die klok staat in een contractschema dat operations nooit heeft gelezen. De oplossing is de meldvensters op te nemen in het runbook dat de dienstdoende engineer daadwerkelijk opent, met de contactroute per klant.

Ten derde zijn de eigen leveranciers van de provider onbeheerd. Providers vragen hun klanten om een lijst met onderaannemers te accepteren, terwijl ze er zelf geen bijhouden voor de softwareleveranciers, cloudplatforms en offshoreteams waarvan ze afhankelijk zijn. Artikel 21(2)(d) geldt voor jouw directe leveranciers net zo goed als voor die van iedereen anders, en het is de vraag die een goed voorbereide klant als tweede zal stellen.

Hoe zet je de verplichting om in een salesvoordeel?

Elke klant binnen de reikwijdte moet aantonen dat hij due diligence uitvoert op zijn kritieke leveranciers. Een provider die bij de contractverlenging met het dossier al klaarstaand aankomt, maakt die aantoning eenvoudig, en wordt de leverancier waar de klant naar wijst als de toezichthouder vraagt hoe de beveiliging van de toeleveringsketen wordt beheerd. Dat is een echt onderscheidend punt in een markt waar de meeste concurrenten reageren op vragenlijsten met een certificaatnummer en twee weken stilte.

De praktische zet is een standaard leveranciersborgingsdossier te publiceren, dat op een vaste cyclus te vernieuwen, en er in het salesgesprek mee voorop te lopen in plaats van te wachten tot inkoop erom vraagt. Het verkort deals, vermindert de hoeveelheid maatwerk aan vragenlijsten, en geeft je een verdedigbare positie als een klant vraagt om voorwaarden die je niet kunt waarmaken, want je kunt laten zien waar je wel aan committeert en waarom die cijfers de cijfers zijn die je daadwerkelijk kunt leveren.

Veelgestelde vragen

Gerelateerde artikelen