ISO 27001 leveranciersbeoordeling
Leveranciersbeoordeling voor ISO 27001 die de auditor overtuigt
Wij brengen uw leveranciers in kaart, delen ze in naar risico en beoordelen ze zoals de externe auditor dat verwacht. Zo heeft u grip op uw keten en een dossier dat klopt.
- Geen eindeloze vragenlijsten, wel een grondige toets waar het risico hoog is
- Voldoet aan de leveranciersmaatregelen 5.19 tot en met 5.23 uit Annex A
- Kritieke leveranciers binnen zes weken beoordeeld
Vertrouwd door 500+ bedrijvenGecertificeerde lead auditorsOok voor de Cyberbeveiligingswet
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen.
Pascal KamphuisCorpoflow
Plan een vrijblijvend gesprek
Een van onze ISO 27001-experts neemt binnen een werkdag contact met u op. We bespreken uw leveranciers, de aanpak en de kosten.
Waar kunnen we u mee helpen?
Binnen een werkdag reactie van een ISO 27001-consultant. Vrijblijvend en zonder verkooppraatje.
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Wie beoordeelt uw leveranciers?
U kunt leveranciers ook zelf beoordelen, met een standaard vragenlijst of in software. Dit zijn de verschillen die bij de audit het verschil maken.
| Nestor Security | Zelf met een standaard vragenlijst | Platform voor leveranciersbeheer | |
|---|---|---|---|
| Aanpak | Risicogericht, met een grondige toets alleen waar het risico hoog is | Dezelfde lange vragenlijst voor iedere leverancier | Standaardvragenlijsten vanuit de software |
| Beoordeling | Antwoorden en bewijs inhoudelijk getoetst door een lead auditor | Antwoorden worden verzameld, maar zelden beoordeeld | Automatische scores op basis van zelfrapportage |
| Certificaten | Scope, geldigheid en Verklaring van Toepasselijkheid gecontroleerd | Een certificaat wordt vaak zonder meer geaccepteerd | Upload van het certificaat, zonder inhoudelijke controle |
| Contracten | Ontbrekende beveiligingsafspraken benoemd en voorgesteld | Vaak buiten beeld | Meestal buiten de scope |
| Uw leveranciers | Korte vragenlijsten waar ze ook echt op antwoorden | Lage respons door lange vragenlijsten | Nog een platform waar ze op moeten inloggen |
| Bewijs voor de auditor | Register, dossiers en planning zoals de auditor ze wil zien | Losse bestanden en mails | Rapportages in de software |
| Kosten | Vaste prijs, zonder nacalculatie | Veel interne uren | Jaarlijkse licentie |
Grip op uw leveranciers, zoals de auditor het wil zien
Na de beoordeling weet u welke leveranciers kritiek zijn, waar het risico zit en welke afspraken nog ontbreken. Alles staat in een register dat u zelf kunt bijhouden.
- Een register van al uw leveranciers, ook de clouddiensten die buiten IT om zijn afgenomen
- Een indeling in risicoklassen met vastgelegde criteria
- Een beoordelingsdossier per kritieke leverancier, met bevindingen en advies
- Een planning voor herbeoordeling en een werkwijze die u zelf kunt herhalen
Beheer van servers en werkplekkenKritiekActies open
Hosting van de klantomgevingKritiekGoedgekeurd
Verwerkt personeelsgegevensHoogContract aanvullen
Klantgegevens in de cloudHoogGoedgekeurd
Toegang tot het kantoorLaagLichte check
Zo verloopt de leveranciersbeoordeling
In vier stappen en gemiddeld zes weken. Het contact met uw leveranciers nemen wij over, zodat uw team er weinig tijd aan kwijt is.
Inventarisatie
- Alle leveranciers in beeld, ook clouddiensten die buiten IT om zijn afgenomen
- Per leverancier vastgelegd welke informatie en systemen geraakt worden
- Een eigenaar per leveranciersrelatie
Indeling naar risico
- Vaste criteria voor toegang tot gegevens, afhankelijkheid en vervangbaarheid
- Indeling in kritiek, hoog, midden en laag
- Per risicoklasse de diepgang van de beoordeling
Beoordeling
- Certificaten gecontroleerd op scope en geldigheid
- Korte vragenlijsten op maat, inhoudelijk getoetst
- Contracten en verwerkersovereenkomsten nagelopen op beveiligingsafspraken
- Bij kritieke leveranciers een gesprek of audit op locatie
Rapport en borging
- Bevindingen en advies per leverancier
- Afspraken over verbeteracties met de leverancier
- Een planning voor herbeoordeling
- Werkwijze en templates zodat u het zelf kunt bijhouden
Klaar voor de audit
Uw leveranciersbeheer voldoet aan de maatregelen 5.19 tot en met 5.23 uit Annex A en aan clausule 8.1 van de norm. Kritieke leveranciers beoordeelt u voortaan jaarlijks, en opnieuw bij grote wijzigingen in hun dienstverlening.
Dit wil de auditor zien bij leveranciersbeheer
U kunt diensten uitbesteden, maar de verantwoordelijkheid voor de beveiliging blijft bij u. Daarom toetst de auditor vijf maatregelen die over leveranciers gaan, en de manier waarop u ze aantoont.
Leveranciersrelaties
Een vaste werkwijze voor het selecteren en beoordelen van leveranciers.
Afspraken in contracten
Beveiligingseisen, een meldplicht voor incidenten en het recht om te controleren.
De ICT-keten
Zicht op de leveranciers van uw leveranciers, waar het risico dat vraagt.
Monitoring en herbeoordeling
Periodieke beoordelingen en aandacht voor wijzigingen in de dienstverlening.
Clouddiensten
Afspraken over het kiezen, gebruiken en beëindigen van clouddiensten.
Uitbestede processen
Ook processen die u heeft uitbesteed, vallen onder de beheersing van uw ISMS.
Volledig overzicht
Alle leveranciers met dienst, eigenaar, risicoklasse en status.
Vastgelegde beoordelingen
Per leverancier aantoonbaar wat er is beoordeeld, wanneer en met welke uitkomst.
Ook de basis voor de ketenplicht uit de Cyberbeveiligingswet
Sinds 15 augustus 2026 vraagt de Cyberbeveiligingswet om aantoonbare grip op de beveiliging van uw toeleveringsketen. Volgens ENISA is juist dat het zwakste punt in de voorbereiding van organisaties. Een leveranciersbeoordeling volgens ISO 27001 dekt een groot deel van die eisen af.
Succesverhaal van Effectory
Feedback analytics developers met een team van meer dan 250 mensen
Maanden voor een traject met ISO 27001 en ISO 27701
Nieuwe beveiligingsmaatregelen geïmplementeerd
Succes tijdens de externe audit
De uitdaging
Effectory verwerkt gevoelige medewerkersdata voor ruim 1.200 organisaties. De uitdaging was om het informatiebeveiligingssysteem continu te versterken en te laten meegroeien met de hoge eisen van klanten, zonder de dagelijkse dienstverlening te verstoren.
De aanpak
In nauwe samenwerking hebben we het managementsysteem aangescherpt voor zowel ISO 27001 als ISO 27701. Met een vast aanspreekpunt zijn verantwoordelijkheden helder vastgelegd, processen beveiligd en is de organisatie voorbereid op de externe audit om gecertificeerd te worden.
De uitkomst
Effectory behaalde binnen 6 maanden ISO 27001 certificering zonder enige sprake van knelpunten. Richting klanten is de beveiliging nu aantoonbaar op orde, security-vragenlijsten worden sneller beantwoord en er ligt een stevige, toekomstbestendige basis.
Nestor Security heeft voor ons de interne audits van zowel ISO 27001 als ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Wouter BuzingCISO, Effectory
Vragenlijsten rondsturen, of echt grip op uw leveranciers
Een datalek bij een leverancier wordt al snel uw datalek. Zo lekten bij meerdere grote Nederlandse organisaties klantgegevens uit via de softwareleverancier van een marktonderzoeksbureau. Een jaarlijkse vragenlijst alleen geeft dan schijnzekerheid.
Zelf vragenlijsten rondsturen
Veel werk, weinig zekerheid
Met Nestor Security
Risicogericht, onderbouwd en aantoonbaar
Ook hulp bij de rest van uw ISMS?
Leveranciersbeheer is een van de 93 maatregelen uit Annex A. Wij begeleiden ook de volledige implementatie, van nulmeting tot certificaat, gemiddeld in 4 tot 5 maanden.
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen. Daardoor is het proces soepel en vrij snel verlopen.
Wij werken het liefst zoveel mogelijk regionaal samen en doen meetings graag face-to-face. Als je kijkt naar partners in het Noorden, blijven er een aantal over, en daar stak Nestor Security met kop en schouders bovenuit.
Nestor Security heeft voor ons de interne audits van ISO 27001 en ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Uw vragen beantwoord
FAQs
Hoeveel tijd kost het ons eigen team?
Vooral bij de start, voor de inventarisatie en de indeling in risicoklassen. Reken op een paar korte sessies met IT, inkoop en de eigenaren van de belangrijkste leveranciersrelaties. Het contact met de leveranciers zelf nemen wij over.
Wat als een leverancier niet meewerkt?
Dat komt voor, zeker bij grote leveranciers. Wij werken dan met wat openbaar beschikbaar is, zoals certificaten, rapporten en beveiligingsdocumentatie, en leggen vast welk restrisico er overblijft.
Zo kunt u bij de audit laten zien dat u een bewuste afweging heeft gemaakt.
Geldt dit ook voor de Cyberbeveiligingswet?
Ja. Sinds 15 augustus 2026 vraagt de Cyberbeveiligingswet om aandacht voor de beveiliging van de toeleveringsketen. Een leveranciersbeoordeling volgens ISO 27001 dekt een groot deel daarvan af.
Wij nemen de onderwerpen uit de wet, zoals afspraken over het melden van incidenten, direct mee.
Moeten we al onze leveranciers beoordelen?
Wel allemaal in beeld, maar niet allemaal even grondig. De norm vraagt om een aanpak die past bij het risico. Een leverancier die uw klantgegevens beheert, verdient een grondige beoordeling. Voor de leverancier van uw kantoorartikelen volstaat een korte check.
Met een vaste indeling in risicoklassen kunt u die keuze aan de auditor uitleggen.
Wat eist ISO 27001 van leveranciersbeoordeling?
ISO 27001 telt vijf maatregelen over leveranciers, 5.19 tot en met 5.23 in Annex A. U legt vast hoe u leveranciers selecteert en beoordeelt, welke beveiligingsafspraken u met ze maakt, hoe u de ICT-keten en clouddiensten beheerst en hoe u leveranciers periodiek opnieuw beoordeelt.
Daarnaast vraagt clausule 8.1 dat ook uitbestede processen onder de beheersing van uw ISMS vallen.
Wat bepaalt de prijs van een leveranciersbeoordeling?
Vooral het aantal leveranciers en hoeveel daarvan kritiek zijn. Na het eerste gesprek ontvangt u een vaste prijs, zonder nacalculatie.
Hoe vaak moeten we leveranciers opnieuw beoordelen?
Kritieke leveranciers in de praktijk jaarlijks, minder belangrijke leveranciers eens in de twee of drie jaar. Daarnaast beoordeelt u opnieuw bij grote wijzigingen, zoals een overname van de leverancier, een nieuwe dienst of een beveiligingsincident.
Is een ISO 27001-certificaat van de leverancier genoeg?
Vaak niet. Een certificaat zegt alleen iets over de scope die erop staat. Wij controleren of de dienst die u afneemt binnen die scope valt, of het certificaat geldig is en of het is afgegeven door een geaccrediteerde instelling.
Ook een SOC 2-rapport of ISAE 3402-verklaring lezen we inhoudelijk, inclusief de uitzonderingen die de auditor van de leverancier heeft gevonden.
Weet welke leveranciers uw grootste risico vormen
Plan een vrijblijvend gesprek. U ontvangt binnen een werkdag reactie en na het gesprek een vaste prijs, zonder nacalculatie.
Plan een vrijblijvend gesprekBekijk wat u krijgt
Annex A 5.19 tot en met 5.23Ook voor de CyberbeveiligingswetGecertificeerde lead auditors