Third Party Risk Management

Wat is Third Party Risk Management (TPRM)?

Third Party Risk Management (TPRM) is het doorlopende proces waarmee een organisatie de risico’s van externe partijen, zoals leveranciers, dienstverleners, integrators en consultants, identificeert, beoordeelt, beperkt en bewaakt gedurende de hele relatie, van selectie tot beëindiging. Het is de toepassing van risicomanagement op alles wat u niet zelf in handen heeft. In OT-omgevingen zijn die risico’s technisch, operationeel én cybergerelateerd: een onderhoudspartij met toegang op afstand kan net zo goed een productielijn stilleggen als een aanvaller.

In een OT-context betekent TPRM vooral het screenen en blijvend controleren van leveranciers die (op afstand) toegang hebben tot industriële systemen, componenten leveren of software en firmware onderhouden.

🧠 Wat doet TPRM precies?

TPRM volgt de levenscyclus van een leveranciersrelatie in zes kernfuncties:

1. Identificatie - weten wie uw derde partijen zijn, inclusief onderleveranciers (“fourth parties”) en cloudplatforms die zij zelf gebruiken
2. Classificatie - een risico-inschatting per leverancier op basis van toegang, impact en afhankelijkheid
3. Due diligence - toetsing vóór het contract op beveiliging, integriteit, financiële stabiliteit en compliance
4. Contractuele afspraken - eisen vastleggen over beveiliging, auditrecht, meldplicht en onderaanneming
5. Monitoring - periodieke herbeoordeling via vragenlijsten, assurancerapporten, audits of technische scans
6. Exitstrategie - plannen voor een veilige beëindiging: accounts intrekken, data terughalen en een vervanger kunnen inschakelen

Het verschil met supplier security is vooral het niveau. TPRM is het bestuurlijke proces dat bepaalt welke leveranciers kritiek zijn en hoeveel controle zij krijgen; supplier security is de concrete set maatregelen per leverancier, en supply chain-risico’s beschrijven de dreigingen in de hele keten.

🔐 Welke cyberrisico’s brengen derde partijen mee?

Dat dit geen theorie is, laten bekende incidenten zien. Bij de Amerikaanse winkelketen Target kwamen aanvallers in 2013 binnen met inloggegevens van een installateur van klimaatsystemen. Op 2 juli 2021 misbruikte REvil een zero-day in de beheersoftware Kaseya VSA; via minder dan 60 getroffen IT-dienstverleners werden tot ongeveer 1.500 bedrijven verderop in de keten geraakt. De 3CX-aanval van 2023 begon zelfs bij een vierde partij: een besmette installer van de handelssoftware X_TRADER leidde tot een gemanipuleerde 3CX-telefonie-app, en dezelfde X_TRADER-besmetting trof ook organisaties in de energiesector. Volgens het Verizon Data Breach Investigations Report 2025 was bij ongeveer 30 procent van de datalekken een derde partij betrokken.

🏭 Hoe verschilt TPRM in OT van TPRM in IT?

In OT zijn derde partijen fysiek én digitaal verweven met kritieke processen. Vervangen is lastig: de leverancier kent de installatie vaak beter dan de eigenaar. Dat maakt lock-in een eigen risicocategorie, die u al bij de aanschaf moet meewegen.

⚖️ Welke wetten en normen vragen om TPRM?

De kaders vullen elkaar aan. NIS2 en de Cyberbeveiligingswet leggen de plicht bij de afnemer, de Cyber Resilience Act bij de fabrikant van het product en IEC 62443-2-4 bij de dienstverlener die het systeem bouwt of onderhoudt. Onder DORA wezen de Europese toezichthouders EBA, EIOPA en ESMA op 18 november 2025 voor het eerst kritieke ICT-dienstverleners aan die direct onder Europees toezicht vallen.

🔧 Hoe richt u TPRM stap voor stap in?

1. Maak een leveranciersregister - koppel uw assetinventaris aan leveranciers, contracten, toegangsroutes en onderleveranciers.
2. Classificeer in niveaus - een indeling in drie of vier niveaus is gangbaar, bijvoorbeeld op basis van een business impact analysis.
3. Stem de toetsing af op het niveau - vragenlijst voor laag risico, assurancerapport of certificaat voor middel, audit of field-inspectie voor kritieke leveranciers.
4. Leg eisen contractueel vast - verwijs naar IEC 62443-2-4 of ISO 27001, en regel meldplicht, auditrecht, goedkeuring van onderaanneming en exit.
5. Beheers de toegang technisch - toegangsbeheer via een jump server met PAM, persoonlijke accounts, MFA, minimale rechten en sessie-opname.
6. Bewaak doorlopend - volg leveranciersactiviteit met monitoring en anomaliedetectie en leg bevindingen vast in het risicoregister.
7. Oefen de exit en de uitval - neem kritieke leveranciers mee in business continuity-plannen en incidentoefeningen.

Typische waarden uit de praktijk:

Let bij assurancerapporten op wat ze dekken. Een ISAE 3402-rapport, vergelijkbaar met SOC 1, gaat over beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. Voor beveiliging is een SOC 2-rapport of een ISAE 3000-rapport passender. Een Type II-rapport toetst de werking over een periode van doorgaans zes tot twaalf maanden, een Type I-rapport alleen de opzet op één moment.

✅ Welke beveiligingsmaatregelen horen bij TPRM?

❓ Veelgestelde vragen

Wat is het verschil tussen TPRM en supplier security?

Third Party Risk Management is het overkoepelende proces waarmee u bepaalt welke externe partijen welk risico vormen en hoeveel controle daarbij hoort. Supplier security is de concrete uitvoering daarvan per leverancier, zoals contracteisen, toegangsregels en monitoring. TPRM stuurt dus, supplier security voert uit.

Is TPRM verplicht onder NIS2 en de Cyberbeveiligingswet?

Ja, NIS2 artikel 21 verplicht essentiële en belangrijke entiteiten om de beveiliging van hun toeleveringsketen te regelen. In Nederland werkt artikel 10 van het Cyberbeveiligingsbesluit dat uit tot beleid voor leveranciersafhankelijkheden en periodieke toetsing van directe leveranciers. Een aantoonbaar TPRM-proces is daarvoor de logische invulling.

Hoe vaak moet u een leverancier opnieuw beoordelen?

De frequentie van herbeoordeling in TPRM hangt af van het risiconiveau van de leverancier. Kritieke OT-leveranciers worden in de praktijk jaarlijks en na elke grote wijziging opnieuw beoordeeld, leveranciers met laag risico vaak alleen bij contractverlenging. Een incident bij de leverancier is altijd aanleiding voor een tussentijdse herbeoordeling.

Is een ISAE 3402-rapport genoeg om een leverancier te vertrouwen?

Een ISAE 3402-rapport geeft zekerheid over beheersmaatregelen die relevant zijn voor de financiële verslaggeving, niet primair over cybersecurity. Voor de beveiliging van een OT-dienstverlener zeggen een SOC 2 Type II-rapport, een ISO 27001-certificaat of een IEC 62443-2-4-certificaat meer. Controleer altijd of de scope van het rapport de dienst dekt die u afneemt.

Wat zijn fourth parties in TPRM?

Fourth parties zijn de onderleveranciers van uw directe leveranciers, zoals het cloudplatform waarop een leverancier zijn remote-servicetool draait. Een aanval of storing bij zo’n fourth party kan uw installatie raken zonder dat u een contract met die partij heeft. TPRM vraagt daarom om inzicht in onderaanneming en om contractuele goedkeuring van nieuwe onderleveranciers.

Waar begint u met TPRM in een OT-omgeving?

Begin TPRM in OT met een overzicht van alle partijen die toegang hebben tot uw besturingssystemen, en via welke route. Classificeer daarna de leveranciers die bij uitval of compromittering het proces kunnen stilleggen, en breng hun toegang onder in een gecontroleerde route met een jump server en MFA. Dat levert de grootste risicoreductie op voor de minste moeite.

📌 Samengevat

TPRM brengt in kaart welke externe partijen invloed hebben op uw installaties, beoordeelt hun risico per niveau en borgt de afspraken in contracten, techniek en monitoring. In OT weegt dat extra zwaar door de lange levensduur van installaties en de diepe toegang van integrators en onderhoudspartijen. NIS2, de Cyberbeveiligingswet, ISO 27001 en IEC 62443-2-4 maken het bovendien een aantoonbare plicht.

Third Party Risk Management is in OT onmisbaar om leveranciersrisico’s te beheersen: niet alleen met beleid, maar met monitoring, technische toegangsbeheersing en een aantoonbare zorgplicht.