Wat is ISO 27036?
ISO/IEC 27036 is een meerdelige internationale normenreeks die beschrijft hoe afnemers en leveranciers informatiebeveiliging regelen gedurende de hele leveranciersrelatie, van planning en selectie via contract en beheer tot beëindiging, inclusief de beveiliging van de hardware-, software- en dienstenketen en het gebruik van clouddiensten. De reeks hoort bij de ISO/IEC 27000-familie en sluit aan op het managementsysteem van ISO 27001. Sinds de herziening van 2021 draagt de reeks de titel Cybersecurity - Supplier relationships. Voor OT-omgevingen is ISO 27036 relevant omdat systeemintegrators, machinebouwers en onderhoudspartijen vaak diepe en blijvende toegang hebben tot de installatie.
ISO 27036 helpt u cyberrisico’s te beheersen bij leveranciers, dienstverleners, cloudproviders en softwareontwikkelaars, ook als die zelf weer onderaannemers inschakelen.
📦 Uit welke delen bestaat ISO 27036?
ISO 27036 bestaat uit vier delen. Deel 1 tot en met 3 zijn tussen 2021 en 2023 herzien; deel 4 dateert nog uit 2016.
| Deel | Titel (vrij vertaald) | Huidige editie | Eerste editie | Inhoud |
|---|---|---|---|---|
| 27036-1 | Overzicht en begrippen | 2021 | 2014 | Inleiding, begrippen, soorten leveranciersrelaties en risico’s |
| 27036-2 | Eisen | 2022 | 2014 | Basiseisen voor het opzetten, uitvoeren, bewaken en verbeteren van leveranciersrelaties |
| 27036-3 | Richtlijnen voor beveiliging van de hardware-, software- en dienstenketen | 2023 | 2013 | Risico’s in meerlagige ketens, zoals gemanipuleerde componenten en onbekende onderaannemers |
| 27036-4 | Richtlijnen voor beveiliging van clouddiensten | 2016 | 2016 | Risico’s van cloudgebruik voor cloudklanten en cloudproviders |
De reeks geldt voor elke organisatie, ongeacht omvang of sector, en ook als er geen commercieel contract is, bijvoorbeeld bij levering tussen dochterbedrijven of bij gebruik van open-source software.
🧠 Wat staat er in de eisen van deel 2?
Deel 2 is het normatieve hart van de reeks. Het gaat ervan uit dat een organisatie al basisprocessen heeft voor bedrijfsvoering, risicomanagement, personeel en informatiebeveiliging, en beschrijft daarbovenop de leveranciersrelatie als een levenscyclus:
- Planning - bepaal welke informatie en systemen een leverancier raakt en welk risico dat oplevert.
- Selectie - beoordeel kandidaat-leveranciers op hun beveiligingsvolwassenheid voordat u kiest.
- Overeenkomst - leg beveiligingseisen, rapportageverplichtingen en auditrechten vast in het contract.
- Beheer - bewaak de naleving, beheer wijzigingen en werk samen bij incidenten.
- Beëindiging - trek toegang in, haal of vernietig gegevens en borg de kennis bij afloop.
Ondanks de titel Requirements bestaat er voor deel 2 geen gangbaar geaccrediteerd certificatieschema. In de praktijk toetsen auditors leveranciersbeheer binnen een ISMS volgens ISO 27001, waarbij ISO 27036 de invulling geeft.
🔄 Hoe verhoudt ISO 27036 zich tot ISO 27001 en IEC 62443?
ISO 27001 vraagt dat u leveranciersrisico’s beheerst; ISO 27036 legt uit hoe. In ISO 27002:2022 gaan vijf beheersmaatregelen over leveranciers: 5.19 (informatiebeveiliging in leveranciersrelaties), 5.20 (beveiliging in leveranciersovereenkomsten), 5.21 (beveiliging in de ICT-toeleveringsketen), 5.22 (monitoren en beoordelen van leveranciersdiensten) en 5.23 (beveiliging bij gebruik van clouddiensten). ISO 27002 verwijst bij deze maatregelen voor verdere uitwerking naar de ISO 27036-reeks: deel 2 en 3 werken vooral 5.19 tot en met 5.22 uit, deel 4 sluit aan op 5.23.
| Norm | Focus | Voor wie | Rol in OT |
|---|---|---|---|
| ISO 27001 / ISO 27002 | Managementsysteem en beheersmaatregelen | Elke organisatie | Kader waarin leveranciersbeheer wordt getoetst |
| ISO 27036 | Beveiliging van de leveranciersrelatie en keten | Afnemers en leveranciers | Proces voor selectie, contract, toezicht en exit |
| IEC 62443-2-4 | Beveiligingsprogramma van dienstverleners | Integrators en onderhoudspartijen | Concrete eisen aan wie uw installatie bouwt en onderhoudt |
| IEC 62443-4-1 | Veilige productontwikkeling | Fabrikanten van componenten | Eisen aan hoe PLC’s, DCS’en en software worden ontwikkeld |
ISO 27036 is dus generiek en procesgericht. IEC 62443 is specifiek voor industriële automatisering. In een OT-omgeving gebruikt u ISO 27036 voor de inrichting van het leveranciersproces en verwijst u in uw eisen naar IEC 62443-2-4 en 4-1.
🔐 Waarom is ISO 27036 belangrijk voor OT en ICS?
Supply chain-risico’s zijn in ICS-omgevingen zwaarder dan in kantoor-IT. Leveranciers hebben onderhoud op afstand, leveren firmware en engineeringsoftware, en installaties draaien vaak twintig jaar of langer met dezelfde partner. Bekende incidenten laten zien wat er mis kan gaan: bij NotPetya in 2017 verspreidde malware zich via een update van boekhoudsoftware, en in 2023 werd de desktop-app van 3CX gemanipuleerd via een eerder gecompromitteerd softwarepakket.
| Risico | Zonder ISO 27036-aanpak | Met ISO 27036-aanpak |
|---|---|---|
| Onveilige firmware of software | Geen zicht op componenten of updateproces | SBOM, ondertekende updates en kwetsbaarheidsmeldingen contractueel geregeld |
| Onbetrouwbare leveranciers | Geen due diligence bij onboarding | Beoordeling vooraf op beveiligingsvolwassenheid |
| Gemanipuleerde updates | Geen detectie of respons | Verificatie van updates en afspraken over incidentmelding |
| Ongecontroleerde externe toegang | Permanente VPN-accounts | Remote Access via Jump Server en PAM, met logging |
| Onvoldoende contract | Geen basis voor audits of eisen | Auditrecht, meldtermijnen en exitafspraken |
🏭 Hoe past u ISO 27036 toe in een OT-omgeving?
Een praktische aanpak voor een productiebedrijf of nutsbedrijf:
- Breng leveranciers in kaart - koppel elke leverancier aan de systemen en zones uit uw asset-inventaris waar hij toegang toe heeft of software voor levert.
- Classificeer op risico - onderscheid bijvoorbeeld kritieke leveranciers (DCS, veiligheidssystemen, remote onderhoud) van leveranciers zonder netwerktoegang. Gebruik daarvoor uw risicobeoordeling.
- Stel eisen per klasse - vraag van kritieke leveranciers een SBOM per release, een meldproces voor kwetsbaarheden, ondertekende firmware en een beveiligingsprogramma volgens IEC 62443-2-4.
- Leg het vast in het contract - neem meldtermijnen, auditrechten, toegangsregels en exitafspraken op. Leg ook vast dat onderaannemers aan dezelfde eisen voldoen.
- Regel toegang technisch - geef externen alleen tijdelijke, persoonsgebonden toegang met MFA, via toegangsbeheer en sessie-opname.
- Bewaak en evalueer - beoordeel kritieke leveranciers jaarlijks, bijvoorbeeld via vragenlijsten, certificaten of een audit, en neem leveranciers mee in incidentoefeningen.
- Sluit netjes af - trek accounts en certificaten in, wijzig gedeelde wachtwoorden en controleer dat er geen remote-toegang achterblijft.
Dit sluit aan op Third Party Risk Management en Supplier Security, die dezelfde levenscyclus in meer detail uitwerken.
🧱 Welke wetgeving maakt leveranciersbeveiliging verplicht?
ISO 27036 zelf is vrijwillig, maar de onderwerpen die de norm behandelt zijn in de EU wettelijk verplicht geworden:
- NIS2 - artikel 21 noemt beveiliging van de toeleveringsketen, inclusief relaties met directe leveranciers, als verplichte maatregel. Organisaties moeten daarbij rekening houden met kwetsbaarheden en ontwikkelpraktijken van hun leveranciers.
- Cyberbeveiligingswet - de Nederlandse invulling van NIS2 is op 15 augustus 2026 in werking getreden; de zorgplicht omvat dus ook ketenbeveiliging.
- Cyber Resilience Act - fabrikanten van producten met digitale elementen moeten actief misbruikte kwetsbaarheden melden vanaf 11 september 2026; de volledige eisen gelden vanaf 11 december 2027. Dat versterkt uw positie als afnemer.
- Hoog-risicoleveranciers - bij vitale processen speelt naast kwaliteit ook de vraag uit welk land een leverancier komt.
ISO 27036 biedt een erkend kader om aan te tonen dat u deze verplichtingen systematisch invult.
❓ Veelgestelde vragen
Kan een organisatie gecertificeerd worden voor ISO 27036?
Voor ISO 27036 bestaat geen gangbaar geaccrediteerd certificatieschema, ook al heet deel 2 Requirements. Organisaties laten leveranciersbeheer meestal toetsen binnen een ISO 27001-certificering, waarbij ISO 27036 als invulling van de leveranciersmaatregelen dient. Een leverancier kan wel aantonen dat hij de eisen van ISO 27036-2 volgt.
Welk deel van ISO 27036 is het meest relevant voor OT?
Voor OT zijn ISO 27036-2 en ISO 27036-3 het belangrijkst. Deel 2 beschrijft het proces van leveranciersselectie tot beëindiging, en deel 3 behandelt risico’s in de hardware-, software- en dienstenketen, zoals gemanipuleerde componenten. Deel 4 gaat over clouddiensten en is vooral relevant als u OT-data of beheer in de cloud onderbrengt.
Wat is het verschil tussen ISO 27036 en IEC 62443-2-4?
ISO 27036 is een generieke reeks voor informatiebeveiliging in alle soorten leveranciersrelaties. IEC 62443-2-4 stelt specifieke eisen aan het beveiligingsprogramma van dienstverleners die industriële automatiseringssystemen bouwen en onderhouden. In OT gebruikt u ISO 27036 voor het proces en IEC 62443-2-4 voor de inhoudelijke eisen aan integrators.
Is ISO 27036 verplicht onder NIS2?
ISO 27036 is niet verplicht onder NIS2 of de Cyberbeveiligingswet, want die wetten schrijven geen specifieke norm voor. Wel verplicht NIS2 maatregelen voor beveiliging van de toeleveringsketen. ISO 27036 is een gangbare manier om die verplichting aantoonbaar in te vullen.
Hoe oud is ISO 27036?
ISO 27036 verscheen tussen 2013 en 2016 in vier delen. Deel 1 is in 2021 herzien, deel 2 in 2022 en deel 3 in 2023, onder de nieuwe reekstitel Cybersecurity - Supplier relationships. Deel 4 over clouddiensten is nog de editie uit 2016.
Vraagt ISO 27036 om een SBOM?
ISO 27036 schrijft geen specifiek formaat voor, maar vraagt wel om inzicht in herkomst en samenstelling van geleverde hardware en software. Een SBOM in SPDX- of CycloneDX-formaat is in de praktijk de manier om dat te regelen. Neem de SBOM-eis daarom op in uw leverancierscontract.
📌 Samengevat
ISO/IEC 27036 is de internationale normenreeks voor informatiebeveiliging in leveranciersrelaties: deel 2 geeft de eisen van planning tot beëindiging, deel 3 de ketenbeveiliging van hardware, software en diensten, en deel 4 de beveiliging van clouddiensten. In OT combineert u ISO 27036 met IEC 62443-2-4 en 4-1 om leveranciers, remote onderhoud en firmware-updates te beheersen, en zo de ketenverplichtingen uit NIS2, de Cyberbeveiligingswet en de Cyber Resilience Act aantoonbaar in te vullen.