De cyberbeveiliging van een leverancier beoordelen: certificering, beoordeling met score, vragenlijst, wat elk bewijst

In het kort: wanneer u identiteiten, bewijsstukken en bankgegevens toevertrouwt aan een leverancier, erft u zijn beveiligingsniveau. Er circuleren drie soorten bewijs om dat vast te stellen, en zij zeggen helemaal niet hetzelfde. Een certificering zoals ISO 27001 toont aan dat een managementsysteem is geauditeerd, maar geeft geen enkele maat voor het niveau en hangt volledig af van de reikwijdte ervan. Een beoordeling met score zoals CyberVadis levert een score op 1.000 en een granulariteit per domein, maar het is geen certificeringsaudit. Een vragenlijst op basis van eigen verklaring bewijst op zichzelf niets. De nuttige reflex is niet logo's verzamelen, maar zes precieze vragen stellen.

‍

Waarom de beveiliging van uw leverancier uw probleem is

‍

De redenering is inmiddels gemeengoed, maar ze klopt nog steeds: een slecht beveiligde leverancier wordt uw zwakke plek. Als uw aanbieder van identiteitsverificatie een datalek krijgt, zijn het de identiteitsbewijzen van uw klanten die circuleren, niet die van hem.

‍

Drie kaders maken van die vaststelling een verplichting.

‍

De AVG, die van de verwerker een schakel maakt waarvan de verwerkingsverantwoordelijke zich ervan moet vergewissen dat hij afdoende garanties biedt. Het contract volstaat niet: u moet kunnen aantonen waarop die zekerheid berust.

‍

DORA, voor de financiële sector en zijn leveranciers, die verplicht om contractueel kaders te stellen aan ICT-dienstverleners en hen te monitoren, in het bijzonder degenen die kritieke functies ondersteunen. Ons artikel over digitale operationele weerbaarheid beschrijft in detail wat daaronder valt.

‍

De zorgplicht en, breder, de kennis van uw leveranciers, die onder dezelfde logica valt als Know Your Supplier: verifiëren voordat u vertrouwen geeft, en daarna blijven verifiëren.

‍

In alle drie de gevallen moet de koper bewijs leveren. Rest de vraag welk bewijs, en wat het waard is.

‍

De 3 soorten bewijs, en wat zij aantonen

‍

De certificering

‍

Een certificering zoals ISO 27001 toont aan dat een onafhankelijke instantie een managementsysteem voor informatiebeveiliging heeft geauditeerd en conform de norm heeft bevonden. Dat is een sterk bewijs, omdat het van buitenaf komt en periodiek opnieuw wordt getoetst.

‍

Zij heeft twee beperkingen die vaak worden vergeten.

‍

Zij is binair. Een onderneming is gecertificeerd of zij is het niet. De certificering zegt niet of zij uitstekend is of net conform, en evenmin waar haar zwakke punten zitten.

‍

Zij hangt af van haar reikwijdte. Het certificaat bevat een verklaring van toepassingsgebied, en dat toepassingsgebied kan smal zijn: één vestiging, één dochteronderneming, één dienst. Een leverancier kan een volkomen echt certificaat voorleggen dat niet het product dekt dat u koopt. Dat is de meest rendabele controle die er is, en tegelijk de minst vaak uitgevoerde.

‍

De beoordeling met score

‍

Een beoordeling met score, zoals die van CyberVadis, levert een cijfermatige score en een uitsplitsing per domein op. De methode is opgebouwd rond vier functies: Identify, Protect, Detect, React. Risico's en assets identificeren, ze beschermen, incidenten detecteren en erop kunnen reageren. Elke functie krijgt een aparte score, die vervolgens wordt gewogen in een totaalscore op 1.000, met een volwassenheidsniveau dat loopt van onvoldoende tot volwassen.

‍

Haar nut is precies het omgekeerde van dat van de certificering: zij is granulair en vergelijkbaar. Zij vertelt u niet alleen dat een leverancier serieus is, maar ook waarop hij dat minder is. U kunt twee leveranciers op dezelfde schaal vergelijken, wat een certificering niet mogelijk maakt.

‍

Sinds 1 januari 2026 is de medailleschaal van CyberVadis als volgt:

‍

• Platinum: van 950 tot 1.000
• Gold: van 900 tot 949
• Silver: van 800 tot 899
• Bronze: van 700 tot 799

‍

Onder de 700 is er geen medaille, alleen een bewijs van deelname. Een leverancier die een eenvoudige deelnamebadge naar voren schuift, communiceert dus geen resultaat, maar het feit dat hij heeft geantwoord.

‍

Haar beperking is symmetrisch: het is geen certificeringsaudit in de zin van ISO. Een beoordeling met score meet een verklaarde volwassenheid die daarna aan de hand van stukken wordt geverifieerd, en de kwaliteit van het resultaat hangt af van het geleverde bewijsmateriaal. Zij vult een certificering aan, zij vervangt die niet.

‍

De vragenlijst op basis van eigen verklaring

‍

Dat is het document dat uw leverancier zelf invult, vaak een spreadsheet van 200 regels. Het heeft een echt nut: specifieke vragen stellen die bij uw context horen en die noch een norm noch een generieke beoordeling dekt.

‍

Maar op zichzelf bewijst het niets. Een vragenlijst op basis van eigen verklaring zonder bewijsstuk bij elk antwoord is een vormgegeven intentieverklaring. De waarde ervan berust volledig op de bijgevoegde documenten: beveiligingsbeleid, rapport van een penetratietest, continuïteitsplan, hostingschema, lijst van onderaannemers.

‍

Certificering of beoordeling: de juiste lezing

‍

De vraag is niet om te kiezen. Beide beantwoorden verschillende vragen, en een geïnformeerde koper gebruikt ze allebei.

‍

• De certificering beantwoordt de vraag “is deze leverancier gestructureerd?” Zij bewijst het bestaan van een aangestuurde, gedocumenteerde en geauditeerde aanpak. Zij brengt geen rangorde aan.
• De beoordeling met score beantwoordt de vraag “op welk niveau, en waarop?” Zij brengt een rangorde aan en maakt vergelijking mogelijk. Zij heeft niet de normatieve waarde van een certificaat.
• De vragenlijst beantwoordt de vraag “en voor mijn specifieke geval?” Zij dekt uw eigen bijzonderheden. Zij levert geen enkele externe garantie.

‍

De reflex die u moet vermijden is de meest verbreide: dit bewijs behandelen als onderling verwisselbare logo's om af te vinken in een leverancierstabel. Een logo leest u niet, een toepassingsgebied en een score leest u wel.

‍

De 6 vragen die u stelt voordat u tekent

‍

Ze passen in een paar regels en ze nemen het grootste deel van de vaagheid weg.

‍

1. Wat is de exacte reikwijdte van de certificering? Vraag het certificaat zelf op, niet het logo. Controleer of de dienst die u koopt erin staat, en niet alleen de moedermaatschappij.

‍

2. Van wanneer dateert het bewijs, en op welke versie van de norm berust het? Een actuele ISO 27001-certificering heeft betrekking op de versie 2022. Een cyberbeveiligingsbeoordeling van 3 jaar oud zegt niets over de huidige stand van zaken.

‍

3. Waar worden de gegevens gehost, en onder welke jurisdictie? De fysieke locatie en het recht dat op de hostingpartij van toepassing is, zijn twee verschillende vragen, en beide tellen.

‍

4. Hoe ziet de keten van onderaanneming eruit? Uw leverancier steunt zelf op derden. Vraag de lijst op, en wat aan hen wordt toevertrouwd. Daar raken de toepassingsgebieden zoek.

‍

5. Hoe verloopt het proces van incidentmelding? Binnen welke termijn wordt u gewaarschuwd, via welk kanaal, met welke mate van detail? Een contractuele toezegging met cijfers is meer waard dan een intentie.

‍

6. Wat laat de uitsplitsing van de score zien, niet alleen de score zelf? Bij een beoordeling met score kan een vleiende totaalscore een zwakke functie verhullen. Het reactievermogen is vaak het minst goed bedeeld.

‍

Deze aanpak verschilt niet van een risicogebaseerde benadering toegepast op uw leveranciers: de intensiteit van de controle wordt afgestemd op de gevoeligheid van wat u hun toevertrouwt. Een tool die identiteitsbewijzen en bankgegevens verwerkt, vraagt niet om hetzelfde niveau van eisen als een tool voor het beheer van onkostennota's.

‍

Hoe het ervoor staat bij Meelo

‍

Op onszelf toepassen wat wij van anderen vragen, betekent verifieerbare elementen geven in plaats van een verhaal.

‍

Meelo behaalde 930 van de 1.000 bij zijn CyberVadis-beoordeling, wat overeenkomt met de medaille Gold. Deze beoordeling heeft betrekking op de vier hierboven beschreven functies: identificatie van risico's, bescherming, detectie en reactie.

‍

Het is een score die door een derde partij is toegekend, en dat is precies wat wij zochten: een externe meting in plaats van een interne bewering. Wij noemen het liever wat het is, een beoordeling met score en geen certificering, omdat de verwarring tussen die twee precies is wat dit artikel wil wegnemen.

‍

Voor het overige zijn de elementen de volgende: de gegevens worden gehost in Frankrijk, zijn versleuteld, de toegang is gecontroleerd, en elke beslissing over identiteitsverificatie, fraude of kredietwaardigheid wordt getraceerd en is auditeerbaar. Het certificeringstraject ISO 27701, de uitbreiding van ISO 27001 gewijd aan de bescherming van persoonsgegevens, is gestart. Wij hebben voor deze norm gekozen en niet voor een andere, omdat zij gaat over wat onze verwerkingen daadwerkelijk behandelen: identiteiten, bewijsstukken en persoonsgegevens.

‍

Tot slot

‍

De beveiliging van een leverancier blijkt niet uit een logo en wordt niet geverifieerd door een vakje aan te kruisen. Een certificering bewijst dat er een aanpak bestaat en dat die is geauditeerd, zonder te zeggen op welk niveau. Een beoordeling met score geeft het niveau en splitst het uit per domein, zonder de draagwijdte van een certificaat te hebben. Een vragenlijst dekt uw bijzonderheden en bewijst in haar eentje niets.

‍

De drie vullen elkaar aan, en geen enkele ontslaat u van het lezen van de reikwijdte, de datum en het detail. Als u maar één vraag uit dit artikel onthoudt, onthoud dan de eerste: vraag het certificaat op, niet het logo.

‍

FAQ

‍

Wat is het verschil tussen een ISO 27001-certificering en een CyberVadis-beoordeling?

‍

De ISO 27001-certificering wordt afgegeven door een geaccrediteerde instantie na een audit, en zij is binair: de onderneming is conform of niet, op een verklaard toepassingsgebied. Een CyberVadis-beoordeling levert een score op 1.000 en een uitsplitsing per domein op, waarmee een niveau kan worden gemeten en leveranciers onderling kunnen worden vergeleken. De eerste heeft een normatieve draagwijdte, de tweede een vergelijkende. Ze vullen elkaar aan.

‍

Wat betekent een CyberVadis-score van 930 van de 1.000?

‍

Hij komt overeen met de medaille Gold, waarvan de schijf sinds 1 januari 2026 van 900 tot 949 loopt. Daarboven ligt Platinum, vanaf 950. Daaronder Silver vanaf 800 en Bronze vanaf 700. Onder 700 wordt geen medaille toegekend.

‍

Welke 4 functies beoordeelt CyberVadis?

‍

Identify, Protect, Detect en React: de identificatie van risico's en assets, de bescherming ervan, de detectie van incidenten en het vermogen erop te reageren. Elke functie krijgt haar eigen score, waarna het geheel wordt gewogen in een totaalscore op 1.000, met een volwassenheidsniveau.

‍

Dekt een ISO 27001-certificaat de hele onderneming?

‍

Niet noodzakelijk, en dat is het punt dat het vaakst over het hoofd wordt gezien. Elk certificaat bevat een verklaring van toepassingsgebied die beperkt kan zijn tot één vestiging, één dochteronderneming of één dienst. U moet dus nagaan of het product dat u koopt wel binnen dat toepassingsgebied valt, door het certificaat op te vragen en niet het logo.

‍

Volstaat een beveiligingsvragenlijst voor leveranciers?

‍

Nee, niet alleen. Hij is nuttig om uw eigen eisen te dekken, die generieke referentiekaders niet behandelen, maar zijn antwoorden berusten op eigen verklaring. Zijn waarde hangt af van de bijlagen: beveiligingsbeleid, rapport van een penetratietest, continuïteitsplan, hostingschema, lijst van onderaannemers.

‍

Wat vraagt DORA over de beveiliging van leveranciers?

‍

DORA verplicht financiële entiteiten om contractueel kaders te stellen aan hun ICT-dienstverleners en hen te monitoren, met aangescherpte eisen voor degenen die kritieke of belangrijke functies ondersteunen. De verplichting betreft de beheersing van het risico dat met derden samenhangt, wat veronderstelt dat het bewijs waarop het verleende vertrouwen berust wordt gedocumenteerd.

‍

Is Meelo ISO 27001-gecertificeerd?

‍

Nee. Meelo behaalde 930 van de 1.000 bij zijn CyberVadis-beoordeling, oftewel de medaille Gold, wat een door een derde partij toegekende beoordeling met score is en geen certificering. Het certificeringstraject ISO 27701, de uitbreiding van ISO 27001 gewijd aan de bescherming van persoonsgegevens, is gestart. De gegevens worden gehost in Frankrijk, zijn versleuteld, de toegang is gecontroleerd, en elke beslissing wordt getraceerd en is auditeerbaar.

‍

Bronnen: CyberVadis-documentatie over de scoreschaal, de badges en de medailles; ISO/IEC 27001:2022 en ISO/IEC 27701, Internationale Organisatie voor Standaardisatie; verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid van de financiële sector (DORA); AVG, de algemene verordening gegevensbescherming.