PR-05

Bij opdrachten die de digitale weerbaarheid van een essentiële of belangrijke dienst raken, worden de zorgplicht- en ketenverplichtingen uit de Cyberbeveiligingswet (Cbw, implementatie van NIS2) contractueel geborgd: risicobeheersmaatregelen, meldplicht bij incidenten, en doorwerking naar onderaannemers in de keten.

Onder NIS2/Cbw blijft de aanbestedende dienst verantwoordelijk voor de beveiliging van de keten, ook waar diensten worden uitbesteed. Zonder contractuele doorgifte van zorgplicht- en meldverplichtingen is naleving in de keten niet afdwingbaar en loopt de organisatie een nalevings- en continuïteitsrisico.

Een netbeheerder besteedt het beheer van een ondersteunend ICT-systeem uit. PR-05 vereist dat het contract de leverancier verplicht tot passende maatregelen, tot melding van significante incidenten binnen de wettelijke termijn, en tot het doorleggen van deze eisen aan diens onderaannemers.

De toets is goed als de organisatie zich op het contract kan beroepen om in de hele keten passende maatregelen en tijdige incidentmelding af te dwingen, in plaats van afhankelijk te zijn van de goede wil van de leverancier, en als de afbakening van de reikwijdte navolgbaar is vastgelegd.

[
  "Vastgesteld of de opdracht een essentiële/belangrijke dienst raakt (reikwijdte Cbw/NIS2)",
  "Zorgplicht-maatregelen contractueel belegd (risicogebaseerd, art. 21 NIS2)",
  "Meldplicht bij significante incidenten contractueel belegd, met termijn",
  "Doorwerking naar onderaannemers/keten geborgd (raakvlak CR-07)",
  "Aansluiting op het eigen incident- en meldproces (zie PR-06)",
  "Betrokken rollen: CISO, JUR"
]

{
  "ICT": "Aanbieders van digitale infrastructuur/beheerde diensten kunnen zelf onder NIS2 vallen; eisen daarop afstemmen.",
  "ZORG": "Zorgaanbieders kunnen als essentiële dienst kwalificeren; koppeling aan NEN 7510 en meldketens.",
  "SPECIAAL": "Kernsector voor NIS2: drinkwater, energie, vervoer vallen veelal onder essentiële diensten; verplichtingen zwaarder."
}

{}

2, 7