Supplier Security

Wat is Supplier Security?

Supplier security is het geheel van contractuele, organisatorische en technische maatregelen waarmee een organisatie de beveiligingsrisico’s beheerst die ontstaan doordat externe leveranciers, integrators en dienstverleners producten leveren aan, toegang hebben tot of onderhoud uitvoeren op haar systemen. In OT-omgevingen gaat het vooral om partijen die PLC’s, SCADA-software en netwerkcomponenten leveren, installaties in bedrijf stellen of via toegang op afstand storingen oplossen. Hun accounts, laptops, updates en onderhoudsverbindingen maken onderdeel uit van uw aanvalsoppervlak, ook al heeft u ze niet zelf in beheer.

Supplier Security is essentieel omdat een zwakke plek bij een leverancier direct gevolgen kan hebben voor de productie, de veiligheid en de continuïteit van industriële installaties.

🧠 Waarom is supplier security in OT zo belangrijk?

Een productielocatie werkt al snel met tientallen externe partijen: de OEM van een machine, de systeemintegrator van het besturingssysteem, de leverancier van de historian, een installateur van de gebouwbeheersystemen en een IT-dienstverlener. Vier kenmerken maken die afhankelijkheid in OT extra gevoelig:

• Leveranciers hebben vaak diepe toegang - engineeringrechten op PLC’s en DCS’en, beheeraccounts op servers en soms een permanente onderhoudsverbinding.
• Externe software en hardware kunnen zwakke plekken bevatten - kwetsbare firmware, standaardwachtwoorden of verouderde protocolstacks komen met het product mee.
• Toegang op afstand opent de deur voor aanvallers - gestolen inloggegevens van een onderhoudspartij geven een aanvaller dezelfde route naar binnen als de leverancier zelf.
• Lange levensduur - een installatie draait vaak twintig jaar of langer met dezelfde leverancier, waardoor een slechte afspraak lang doorwerkt.

Hoe dat misgaat, liet de inbraak bij de Amerikaanse winkelketen Target zien. Aanvallers kwamen op 15 november 2013 binnen met inloggegevens die waren gestolen bij Fazio Mechanical, een installateur van koel- en klimaatsystemen. Omdat het netwerk onvoldoende was gesegmenteerd, bereikten ze vanuit die leveranciersomgeving de kassasystemen en verzamelden ze gegevens van ongeveer 40 miljoen betaalkaarten. Een leverancier met beperkte rechten werd zo de ingang voor een van de grootste datalekken van dat decennium.

🔄 Wat is het verschil met supply chain-risico’s en TPRM?

De begrippen overlappen, maar hebben elk een eigen focus:

Supplier security is dus het operationele hart: de afspraken, toegangsregels en controles die u per leverancier daadwerkelijk toepast.

🧭 Hoe ziet de levenscyclus van een leveranciersrelatie eruit?

Supplier security begint niet bij het aanmaken van een account en eindigt niet bij de oplevering. ISO 27036-2 beschrijft de leveranciersrelatie als een levenscyclus van planning, selectie, contract, beheer en beëindiging; IEC 62443-2-4 vult die fasen voor OT-dienstverleners in met concrete eisen:

🛡️ Welke maatregelen horen bij supplier security?

1. Contractuele afspraken

• Securityeisen in contract of SLA - leg vast welke normen gelden, bijvoorbeeld IEC 62443-2-4 voor integrators of ISO 27001 voor IT-dienstverleners.
• Meldplicht - de leverancier meldt incidenten en kwetsbaarheden die uw installatie raken binnen een afgesproken termijn.
• Auditrecht en documentatie - recht op een audit en oplevering van netwerktekeningen, accountoverzichten en een SBOM.

2. Toegangsbeheer

• Least Privilege - toegangsbeheer volgens minimale rechten: een leverancier krijgt alleen toegang tot de systemen die hij onderhoudt en alleen met de rechten die hij nodig heeft.
• Gecontroleerde toegang op afstand - via een Jump Server of beheerd Remote Access-platform met MFA, logging en tijdsbeperking; voor kritieke systemen ook met sessie-opname via PAM.
• Netwerktoegang op locatie - poortauthenticatie met 802.1X en RADIUS, en ACL’s die bepalen welk verkeer een leverancierslaptop mag versturen.

3. Leveranciersclassificatie

• Overzicht - breng in kaart welke leveranciers toegang hebben tot OT, via welke route en tot welke assets.
• Risicoprofiel - bepaal het profiel op basis van rol, toegangsniveau, locatie (op locatie of op afstand) en de impact op proces en veiligheid.

4. Audits en monitoring

• Beoordeling - toets leveranciers via een Audit, certificaten, assessmentrapporten of vragenlijsten; vragenlijsten alleen zijn voor kritieke leveranciers onvoldoende.
• Monitoring - volg leveranciersactiviteit in uw systemen met SIEM en Security Monitoring.

5. Beleid en procedures

• Verankering - supplier security is onderdeel van het Informatiebeveiligingsbeleid.
• Procedures - duidelijke aanvraag- en goedkeuringsstappen voor toegang en een vaste offboarding van leveranciersaccounts.
• Periodieke review - controleer toegangsrechten en inloggegevens regelmatig en vervang gedeelde wachtwoorden.

🏭 Welke scenario’s komen in OT veel voor?

🔐 Welke standaarden en wetgeving gelden voor supplier security?

🔧 Hoe richt u supplier security stap voor stap in?

1. Maak een leveranciersregister - koppel elke leverancier aan zijn assets uit de assetinventaris, zijn toegangsroutes en een contactpersoon voor incidenten.
2. Classificeer - deel leveranciers in drie klassen in, bijvoorbeeld hoog (toegang tot besturing of veiligheidssystemen), midden (toegang tot servers of data) en laag (geen digitale toegang).
3. Stel minimumeisen per klasse vast - voor de hoogste klasse bijvoorbeeld persoonsgebonden accounts, MFA, toegang alleen na goedkeuring per sessie en een melding van incidenten binnen 24 uur, in lijn met de vroegtijdige waarschuwing onder NIS2.
4. Neem eisen op in inkoop en contract - gebruik IEC 62443-2-4 voor diensten en vraag bij producten naar beveiligingsfuncties zoals sterke authenticatie, logging en veilige standaardinstellingen. Die punten noemt ook de Secure by Demand-richtlijn die CISA en partners in januari 2025 publiceerden voor de aanschaf van OT-producten.
5. Centraliseer de toegang - één route voor toegang op afstand, gescheiden netwerken en geen losse modems of routers in het veld.
6. Controleer en evalueer - herbeoordeel leveranciers in de hoogste klasse minstens jaarlijks en na elk incident, en controleer elk kwartaal of nog actieve accounts bij lopende contracten horen.

Een veelgebruikt startpunt is een sessie met inkoop, onderhoud en IT: de lijst van partijen met toegang op afstand is vaak korter dan verwacht, maar bevat bijna altijd een vergeten verbinding.

❓ Veelgestelde vragen

Is supplier security verplicht onder de Cyberbeveiligingswet?

Ja, essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet moeten de beveiliging van hun toeleveringsketen regelen. Het Cyberbeveiligingsbesluit vraagt daarvoor schriftelijk beleid en afspraken met directe leveranciers over cyberbeveiliging. Supplier security is daarmee voor deze organisaties een wettelijke zorgplicht en geen vrijblijvende best practice.

Welke norm gebruik ik voor eisen aan een OT-integrator?

Voor integrators en onderhoudspartijen in OT is IEC 62443-2-4 de norm die specifiek voor hun securityprogramma is geschreven. De norm beschrijft twaalf functionele gebieden, van personeel tot back-up, en vier maturity levels waarop een dienstverlener wordt beoordeeld. Voor eisen aan het ontwikkelproces van een productleverancier gebruikt u IEC 62443-4-1.

Is een ISO 27001-certificaat van een leverancier genoeg?

Een ISO 27001-certificaat laat zien dat een leverancier een managementsysteem voor informatiebeveiliging heeft, maar zegt weinig over hoe hij in uw OT-netwerk werkt. Controleer daarom altijd de scope van het certificaat en vul het aan met concrete afspraken over toegang, patches en meldingen. Voor OT-dienstverleners is een IEC 62443-2-4-certificaat vaak specifieker.

Hoe geef ik een leverancier veilig toegang op afstand?

Veilige toegang op afstand voor een leverancier loopt via één centrale route, zoals een jump server of beheerd remote access-platform, met MFA en persoonsgebonden accounts. Sessies worden per keer goedgekeurd, in tijd beperkt en gelogd of opgenomen. Losse modems, 4G-routers en permanente VPN-verbindingen van leveranciers horen daarbij niet thuis.

Wat moet er gebeuren als een leverancierscontract afloopt?

Bij het einde van een leverancierscontract trekt u alle accounts, certificaten, VPN-profielen en sleutels van die leverancier in. Wijzig ook wachtwoorden van gedeelde systeemaccounts die de leverancier kende en controleer of er geen verbindingen of apparatuur achterblijven. Laat de leverancier daarnaast de actuele documentatie en back-ups van de installatie overdragen.

Wat is het verschil tussen supplier security en third party risk management?

Supplier security richt zich op de concrete beveiligingsmaatregelen rond leveranciers, zoals contracteisen, toegangsbeheer en monitoring. Third party risk management is het bredere proces dat alle risico’s van derde partijen beoordeelt, ook financiële, juridische en operationele risico’s. Supplier security is daarmee het securityonderdeel van third party risk management.

📌 Samengevat

Leveranciers zijn in OT onmisbaar en hebben soms meer toegang tot uw installatie dan uw eigen medewerkers. Supplier security maakt die afhankelijkheid beheersbaar met een levenscyclus van selectie, contract, onboarding, toezicht en beëindiging, ondersteund door IEC 62443-2-4, ISO 27036 en ISO 27001 en verplicht gemaakt door NIS2 en de Cyberbeveiligingswet.

Supplier Security richt zich op het afdekken van risico’s die externe leveranciers meebrengen in OT-omgevingen: met harde contracteisen, één gecontroleerde toegangsroute, minimale rechten, monitoring en een strikte offboarding houdt u de controle over wie er aan uw installatie werkt.