- Betekenis
- Risico's door derden
- Voorbeelden
- Cloudaanbieders, IT-dienstverleners, toeleveranciers
- Sturing
- Beoordeling, contracten, monitoring (TPRM-levenscyclus)
- Relatie tot NIS2
- Onderdeel van de ketenbeveiliging
- Bijgewerkt
- juni 2026
- Redactie
- Compliance Compass
Wat is leveranciersrisico?
Leveranciersrisico (third party risk) is het concrete risico dat ontstaat door elke afzonderlijke externe dienstverlener, partner of leverancier. Terwijl de ketenbeveiliging het overkoepelende programma beschrijft en de toeleveringsketen de totale structuur, richt leveranciersrisico de blik op het afzonderlijke geval: hoe groot is het risico van juist deze ene aanbieder? Een beveiligingsincident of uitval bij een dienstverlener kan direct het eigen probleem worden – bijvoorbeeld wanneer daar gevoelige gegevens liggen of hij via toegang op afstand in de eigen systemen werkt.
Waarom het steeds belangrijker wordt
Organisaties besteden steeds meer uit – cloud, software, IT-beheer, vakinhoudelijke processen. Daarmee verschuift een deel van het risico naar buiten, zonder dat de verantwoordelijkheid ervoor verdwijnt. Wie de regie wil houden, moet zijn dienstverleners kennen, hun beveiligingsniveau beoordelen en de relatie gedurende de hele looptijd in de gaten houden.
Leveranciersrisico sturen
In de praktijk volgt de sturing een levenscyclus (third party risk management, TPRM) – van de selectie tot het einde van de samenwerking:
- Beoordelen: kritieke partners en hun beveiligingsniveau vóór contractsluiting in kaart brengen en indelen.
- Contractueel borgen: eisen vastleggen, bij gegevensverwerking via een verwerkersovereenkomst.
- Bewaken: doorlopend in plaats van eenmalig toetsen en bij het einde van het contract toegangen en gegevens netjes teruggeven of verwijderen.
Concreet: Een webwinkel wil een nieuwe betaaldienstverlener aansluiten. Vóór de goedkeuring vult de aanbieder een beveiligingsvragenlijst in, legt hij een actueel certificaat over en aanvaardt hij een meldplicht van 24 uur voor incidenten. Pas daarna wordt het contract gesloten; de status wordt elk jaar opnieuw beoordeeld. Zo wordt het risico van deze ene dienstverlener bewust besloten in plaats van onopgemerkt aangegaan.
Leveranciersrisico en NIS2
NIS2 – in Nederland uitgevoerd door de Cyberbeveiligingswet (Cbw), Stb. 2026, 187, die sinds 15 augustus 2026 geldt – verlangt dat deze risico's actief worden gestuurd, als operationele kern van de ketenbeveiliging en ingebed in het risicomanagement. Wie risico's van derden negeert, riskeert niet alleen beveiligingsincidenten, maar ook boetes tot 10 mln EUR of 2 % van de jaaromzet bij essentiële entiteiten.
Meer informatie: NIS2-richtlijn (EU) 2022/2555 (EUR-Lex)
Veelgestelde vragen
Wat is leveranciersrisico?
Leveranciersrisico (third party risk) is het concrete risico dat ontstaat door één afzonderlijke externe dienstverlener, partner of leverancier. Het wordt bijvoorbeeld reëel wanneer die dienstverlener gevoelige gegevens verwerkt of via toegang op afstand in de eigen systemen werkt en daar wordt gecompromitteerd. Anders dan de overkoepelende ketenbeveiliging kijkt leveranciersrisico gericht naar het afzonderlijke geval: hoe groot is het risico van juist deze ene aanbieder?
Hoe stuurt u leveranciersrisico?
Leveranciersrisico wordt gestuurd langs een levenscyclus, het third party risk management (TPRM). Concreet betekent dat: kritieke partners vóór contractsluiting beoordelen op hun beveiligingsniveau, beveiligingseisen contractueel vastleggen (bij gegevensverwerking via een verwerkersovereenkomst), het niveau doorlopend in plaats van eenmalig bewaken en bij het einde van het contract alle toegangen en gegevens netjes teruggeven of verwijderen.
Waarom is leveranciersrisico relevant voor NIS2?
De NIS2-richtlijn verplicht entiteiten die eronder vallen uitdrukkelijk om keten- en dienstverlenersrisico's te sturen als operationeel onderdeel van hun risicomaatregelen; in Nederland geldt de Cyberbeveiligingswet sinds 15 augustus 2026. Wie deze risico's van derden negeert, riskeert niet alleen beveiligingsincidenten, maar ook boetes tot 10 mln EUR of 2 % van de wereldwijde jaaromzet bij essentiële entiteiten, en tot 7 mln EUR of 1,4 % bij belangrijke entiteiten.