Een securityvragenlijst van uw afnemer: zo pakt u het aan

Het gebeurt steeds vaker: bij de jaarlijkse leveranciersbeoordeling of bij een nieuw contract stuurt een afnemer een vragenlijst over informatiebeveiliging. Soms tien vragen, soms honderdvijftig. Vaak met een deadline van een paar weken. Zo pakt u het aan zonder dat het een maand van uw tijd kost, en zonder antwoorden te geven die u later niet kunt waarmaken.

Waarom u die vragenlijst krijgt

Retailers, merkfabrikanten en grotere producenten moeten hun keten beoordelen. Voor wie onder de Cyberbeveiligingswet valt, is ketenbeveiliging een van de verplichte maatregelen. Andere afnemers doen het omdat hun eigen klanten of verzekeraars erom vragen. Het doel is steeds hetzelfde: weten of u een risico bent voor hun bedrijf.

De vragenlijst is dus geen formaliteit. Een zwak of vaag antwoord kan leiden tot extra eisen, een lagere score als leverancier of in het uiterste geval tot het verlies van de opdracht.

Stap 1: lees de hele lijst en sorteer

Begin niet bij vraag 1. Lees de hele lijst en deel de vragen in drie groepen:

• Weten we en kunnen we aantonen. Bijvoorbeeld: er zijn dagelijkse back-ups en die zijn getest.
• Weten we, maar niet vastgelegd. Bijvoorbeeld: er is een vaste werkwijze voor nieuwe accounts, maar die staat nergens.
• Weten we niet, of hebben we niet. Bijvoorbeeld: er is geen incidentprocedure.

Zo ziet u in een uur waar het werk zit.

Stap 2: verzamel de informatie bij de juiste mensen

Een vragenlijst gaat over meer dan IT. Vragen over personeel horen bij HR, vragen over leveranciers bij inkoop, vragen over continuïteit bij operations. Wijs per onderwerp één persoon aan en geef een duidelijke deadline. Heeft u een externe IT-partij, vraag die dan om schriftelijke bevestiging van wat zij voor u regelen.

Stap 3: antwoord eerlijk en concreet

Dit is de belangrijkste regel. Beantwoord geen vraag met "ja" als het antwoord eigenlijk "deels" is. Afnemers kunnen vragen om bewijs, en bij een audit valt een te rooskleurig antwoord direct door de mand.

Een goed antwoord is kort, concreet en verwijst naar bewijs:

• Zwak: "Wij nemen informatiebeveiliging zeer serieus."
• Sterk: "Alle medewerkers loggen in met een persoonlijk account en multifactorauthenticatie. Accounts worden bij uitdiensttreding binnen één werkdag geblokkeerd, volgens procedure P-04."

Heeft u een maatregel nog niet, zeg dat dan, en geef aan wanneer u hem heeft. "Nog niet ingericht; gepland voor maart 2027" is een beter antwoord dan een vage bewering. Afnemers waarderen een eerlijk plan meer dan een antwoord dat bij controle niet standhoudt.

Stap 4: leg het bewijs op één plek

Bewaar bij elk antwoord het bewijs: een procedure, een schermafdruk van een instelling, een testrapport van de back-up, een contract met een leverancier. Zet alles in één map met een logische naam. De volgende vragenlijst komt, en dan heeft u het meeste al klaarliggen.

Stap 5: maak er een plan van

De vragen uit groep drie zijn uw verbeterpunten. Zet ze in een plan voor de komende 90 dagen, met per punt een eigenaar en een datum. Dan heeft u meteen een antwoord als de afnemer vraagt wat u gaat doen.

De volgende vragenlijst kost minder tijd

De meeste vragenlijsten vragen grotendeels hetzelfde, alleen anders geformuleerd. Wie één keer een goede set antwoorden en bewijs heeft opgebouwd, beantwoordt de volgende lijst in uren in plaats van weken. Krijgt u regelmatig vragenlijsten, dan is een ISMS volgens ISO 27001 de structurele oplossing: één set maatregelen waar elk antwoord uit voortkomt.

Ligt er nu een vragenlijst op uw bureau? Met de Vragenlijst-Sprint beantwoorden wij hem binnen 3 weken onderbouwd, inclusief bewijsmap en 90-dagenplan, voor een vaste prijs van € 2.950. Stelt uw afnemer binnen 30 dagen aanvullende vragen, dan verwerken wij die zonder extra kosten.