Begin een leverancierselectie met de vraag welke processen afhankelijk worden van de dienst en welke risico’s u wel of niet wilt uitbesteden. Een scherpe opdracht maakt offertes beter vergelijkbaar en voorkomt dat belangrijke afspraken pas tijdens een incident worden ontdekt.
Wat is een ICT-dienstverlener?
Een ICT-dienstverlener levert, ondersteunt of beheert onderdelen van de digitale omgeving. Dat kan gaan om werkplekken, cloud, netwerken, applicaties, cybersecurity, servicedesk of volledig technisch beheer.
Welke diensten kan een ICT-dienstverlener leveren?
Breng per dienst scope, kritieke processen, gegevens, koppelingen, beheerrechten en afhankelijkheden in kaart. Benoem ook wat nadrukkelijk niet wordt geleverd. Juist grenzen tussen partijen veroorzaken in de praktijk gaten.
Welke eisen stelt u aan informatiebeveiliging?
- passende maatregelen op basis van risico en gegevens
- multifactorauthenticatie en beheersing van privileged access
- patch- en kwetsbaarhedenbeheer met duidelijke termijnen
- logging, monitoring en beschikbaarheid van onderzoeksgegevens
- versleuteling, scheiding van klanten en veilige configuratie
- aantoonbare tests, verbeteracties en rapportages
Wie is verantwoordelijk voor cybersecurity?
Leg verantwoordelijkheden vast in een RACI of vergelijkbaar overzicht. Uitbesteding maakt de leverancier verantwoordelijk voor afgesproken uitvoering; uw bestuur blijft verantwoordelijk voor de eigen risico’s, wettelijke verplichtingen en besluitvorming.
Hoe beoordeelt u toegang en beheerrechten?
Vraag wie toegang heeft, hoe toestemming wordt gegeven, hoe accounts worden gecontroleerd en ingetrokken en hoe noodtoegang werkt. Beperk permanente beheerrechten en zorg dat handelingen herleidbaar zijn.
Hoe beoordeelt u back-up en continuïteit?
Vraag naar hersteldoelen, scheiding en onveranderbaarheid van back-ups, testfrequentie en afhankelijkheid van dezelfde leverancier. Laat aantonen dat herstel werkt voor uw scenario’s.
Welke afspraken zijn nodig over incidenten?
Leg meldtermijnen, bereikbaarheid, escalatie, bewijsbehoud, ondersteuning, communicatie en kosten vast. Uw wettelijke meldtermijn kan korter zijn dan de standaardprocedure van de leverancier.
Hoe beoordeelt u onderaannemers en de keten?
Vraag welke partijen en locaties worden gebruikt, hoe wijzigingen worden gemeld en welke eisen worden doorgelegd. Beoordeel concentratierisico: meerdere diensten kunnen uiteindelijk van dezelfde cloud- of netwerkpartij afhangen.
Waarom is een exitregeling belangrijk?
Een exitregeling beschrijft data-export, overdracht van configuraties, medewerking, termijnen, verwijdering en kosten. Ontwerp de exit vóór contractondertekening en test waar nodig of gegevens en documentatie bruikbaar overdraagbaar zijn.
Wilt u weten of overstappen in de praktijk uitvoerbaar blijft? Lees dan ook hoe u vendor lock-in bij IT-leveranciers voorkomt.
Welke certificeringen zijn relevant?
Een ISO 27001-certificaat of assurance-rapport kan nuttig bewijs geven. Controleer altijd de scope, uitgevende instelling, geldigheid, uitsluitingen en afwijkingen. Een certificaat beantwoordt niet automatisch alle vragen over uw specifieke dienst.
Welke vragen stelt u tijdens een leverancierselectie?
- Welke kritieke afhankelijkheden en onderaannemers gebruikt u?
- Hoe beheert en controleert u beheerrechten?
- Binnen welke termijn meldt u een incident aan ons?
- Hoe toont u hersteltests en kwetsbaarhedenbeheer aan?
- Welke gegevens en configuraties krijgen wij bij beëindiging?
- Welke uitzonderingen staan in recente audit- of assurance-rapportages?
Veelgestelde vragen
Veelgestelde vragen
Wat is een ICT-dienstverlener?
Een ICT-dienstverlener levert of beheert IT-diensten, zoals werkplekken, cloud, netwerk, applicaties, security, support of technisch beheer.
Wie blijft verantwoordelijk voor informatiebeveiliging bij uitbesteding?
De leverancier krijgt uitvoerende taken, maar de uitbestedende organisatie blijft verantwoordelijk voor haar risico’s, wettelijke verplichtingen en keuzes.
Welke certificeringen zijn relevant?
Dat hangt af van de dienst. ISO 27001, assurance-rapporten of sectorspecifieke verklaringen kunnen bewijs leveren, maar moeten op scope, actualiteit en uitzonderingen worden beoordeeld.
