Risicobeheer van derden in 2026: van vragenlijstmoeheid naar continue zekerheid

Leveranciersvragenlijsten vermenigvuldigen zich terwijl regelgevers meer dan papierwerk verlangen. Hier is hoe je risicobeheer van derden opnieuw in balans brengt rond concentratierisico, continue monitoring en gepubliceerde assurance.

Risicobeheer van derden (TPRM) is een van de meest arbeidsintensieve onderdelen van een beveiligings- en complianceprogramma geworden. Elke klant stuurt zijn eigen vragenlijst, elke leverancier beantwoordt honderden ervan, en veel van de inspanning levert documenten op die binnen enkele maanden verouderd zijn. Tegelijkertijd verwacht Europese regelgeving van organisaties nu dat ze aantonen dat ze hun toeleveringsketen begrijpen en controleren. Dit artikel kijkt naar wat er in 2026 is veranderd en hoe je een TPRM-proces bouwt dat zowel verdedigbaar als duurzaam is.

Waarom leveranciersrisico nu een regelgevingskwestie is

Blootstelling aan derden is geen theoretisch probleem. Het 2025 Data Breach Investigations Report van Verizon stelde vast dat betrokkenheid van derden bij inbreuken was verdubbeld tot 30% ^[1]. Regelgevers hebben hierop gereageerd door toezicht op leveranciers in de wet op te nemen.

NIS2

Artikel 21, lid 2, onder d), van NIS2 noemt beveiliging van de toeleveringsketen, "inclusief beveiligingsaspecten met betrekking tot de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners", onder de minimale maatregelen voor het beheer van cyberbeveiligingsrisico's ^[2]. Artikel 21, lid 3, bepaalt dat entiteiten rekening moeten houden met de kwetsbaarheden die specifiek zijn voor elke directe leverancier en de algemene kwaliteit van haar producten en cyberbeveiligingspraktijken. ^[2].

Voor aanbieders van digitale infrastructuur en digitale diensten (cloud, datacenters, managed service en managed security service providers, onder anderen) maakt Uitvoeringsverordening (EU) 2024/2690 dit concreet: een beleid voor beveiliging van de toeleveringsketen, criteria voor leveranciersselectie, contractuele beveiligingsvereisten en regelmatige controle van leverancierspraktijken ^[3]. De Technische Implementatierichtlijn van ENISA van juni 2025 voegt voorbeelden toe van bewijsmateriaal dat toezichthouders kunnen verwachten ^[4]. Voor andere NIS2-entiteiten zijn deze documenten niet bindend, maar zij vormen een verstandige maatstaf.

DORA

Voor financiële entiteiten is DORA dwingender. Artikel 28 vereist een strategie voor ICT-risico's van derden en een register met informatie over alle contractuele regelingen met ICT-dienstverleners van derden ^[5]. Artikel 29 vereist een voorafgaande beoordeling van ICT-concentratierisico voordat contracten worden gesloten die kritieke of belangrijke functies ondersteunen, inclusief of de dienstverlener gemakkelijk vervangbaar is en of meerdere contracten met dezelfde of nauw verbonden dienstverleners worden gesloten ^[5].

Een vragenlijst vertelt je wat een leverancier op één dag zei; je risico hangt af van wat de leverancier elke dag doet.

Vragenlijstmoeheid: symptomen en oorzaak

Vragenlijstmoeheid treft beide zijden. Kopers sturen lange generieke vragenlijsten naar elke leverancier, ongeacht het risico. Leveranciers beantwoorden dezelfde vragen in iets verschillende formaten, vaak via verkoop- of accountteams in plaats van beveiligingspersoneel. Het resultaat is een groot volume zelfverklaarde antwoorden die zelden worden geverifieerd en snel verouderd raken.

Het onderliggende probleem is niet de vragenlijst zelf, maar het gebrek aan differentiatie. Wanneer elke leverancier op dezelfde manier wordt beoordeeld, wordt de inspanning dun uitgespreid en krijgen de weinige leveranciers die er echt toe doen niet meer aandacht dan een cateringbedrijf.

Een op risico afgestemde aanpak

Een duurzamer model begint met classificatie:

• Kritiekheid: ondersteunt de leverancier een kritieke of belangrijke functie, of zou het uitvallen ervan je diensten verstoren?
• Gegevenstoegang: verwerkt zij persoonsgegevens, vertrouwelijke informatie of inloggegevens?
• Systeemtoegang: maakt zij verbinding met je netwerk, beheert zij je systemen of levert zij software in je omgeving?
• Vervangbaarheid: hoe snel zou je haar kunnen vervangen?

Leveranciers met laag risico hebben mogelijk alleen contractuele bepalingen en een basisverklaring nodig. Leveranciers met hoog risico rechtvaardigen een diepgaandere beoordeling: onafhankelijke certificeringen, auditverslagen, contractuele auditrechten, meldingsverplichtingen voor incidenten en periodieke herbeoordeling.

Concentratierisico krijgt meer aandacht

Concentratierisico stelt een andere vraag dan klassieke due diligence: niet 'is deze leverancier veilig?' maar 'wat gebeurt er als deze leverancier, of de provider erachter, uitvalt?'

Onder DORA is dit nu een toezichtsthema. Op 18 november 2025 publiceerden de Europese Toezichthoudende Autoriteiten (EBA, EIOPA en ESMA) de eerste lijst van aangewezen kritieke ICT-derdendienstverleners, die nu onder direct EU-toezicht vallen ^[6]. Aanwijzing heft de eigen verantwoordelijkheid van een financiële entiteit niet op: entiteiten moeten hun blootstelling aan die dienstverleners nog steeds beheren via exitstrategieën en een vervangbaarheidsanalyse ^[5].

Buiten de financiële diensten geldt dezelfde logica. Veel SaaS-leveranciers draaien op een klein aantal hyperscale cloudplatforms. Het in kaart brengen van je fourth parties (de belangrijkste onderaannemers van je leveranciers) is vaak de enige manier om te zien dat tien 'onafhankelijke' leveranciers een enkel foutpunt delen. Uitvoeringsverordening 2024/2690 verwacht expliciet van relevante entiteiten dat zij de toeleveringsketens van hun leveranciers in beschouwing nemen ^[3].

Van momentopname naar continue monitoring

Een vragenlijst vertelt je wat een leverancier op één dag zei; je risico hangt af van wat de leverancier elke dag doet. Continu leverancierstoezicht beoogt dat gat te dichten. In de praktijk combineert het:

• Herbeoordeling op basis van gebeurtenissen: triggers zoals een beveiligingsincident bij een leverancier, een eigendomsverandering, een nieuwe subverwerker of een verandering in de service die je afneemt.
• Certificaat- en attestatiebewaking: vervaldatums voor ISO/IEC 27001-certificaten, SOC 2-rapporten en soortgelijk bewijs, met vervolgstappen wanneer deze verlopen.
• Externe signalen: openbare meldingen van datalekken, regelgevingsacties en, waar nuttig, externe aanvalsoppervlakbeoordelingen. Behandel beoordelingen als indicatoren om te onderzoeken in plaats van als uitspraken, omdat zij alleen waarnemen wat zichtbaar is vanaf het internet.
• Contractuele aanknopingspunten: incidentmeldingsdeadlines, auditrechten en de verplichting je in te lichten over materiële veranderingen.

Toezicht is alleen waardevol als iemand op de bevindingen handelt. Wijs voor elke leverancier met hoog risico een eigenaar aan en documenteer beslissingen: accepteren, mitigeren, escaleren of uitstappen.

Waarom trustcentra aan terrein winnen

Een trustcentrum is een openbare of gated webpagina waar een leverancier zijn beveiligings- en compliancehouding publiceert: certificeringen, auditverslagen (vaak achter een geheimhoudingsovereenkomst), beleid, subverwerkerslijsten, gegevenslocatie en antwoorden op veelgestelde vragen. Het idee is eenmaal openbaar te antwoorden in plaats van herhaaldelijk privé.

Het concept is niet nieuw. Het STAR Registry van de Cloud Security Alliance stelt cloudproviders al jaren in staat zelfbeoordelingen te publiceren op basis van de Consensus Assessments Initiative Questionnaire (CAIQ), of certificeringen en attestaties van derden, expliciet om de noodzaak meerdere klantvragenlijsten in te vullen te verminderen ^[7].

Wat trustcentra goed doen

• Ze geven kopers onmiddellijke toegang tot standaardbewijs, wat inkooptrajecten verkort.
• Ze stimuleren leveranciers informatie actueel te houden, omdat deze zichtbaar is.
• Ze stellen beveiligingsteams in staat tijd te besteden aan vervolgvragen die er werkelijk toe doen.

Waar ze tekortschieten

• Gepubliceerde inhoud wordt geselecteerd door de leverancier. Het toont wat de leverancier kiest te delen, niet noodzakelijk wat je moet weten.
• Generieke documenten gaan niet in op je specifieke gebruik van de service, gegevensstromen of integratie.
• Regelgevingsplichten blijven de jouwe. Noch NIS2 noch DORA stelt je in staat je beoordeling uit te besteden aan de marketingpagina van een leverancier ^[2][5].

Het praktische antwoord is een hybride aanpak: gebruik trustcentra en gedeelde beoordelingen als standaardbewijs, stuur dan gerichte vervolgvragen alleen voor gaten die materieel zijn voor je risico.

Een praktische checklist voor 2026

1. Bouw en onderhoud één leveranciersoverzicht, afgestemd op het DORA-informatieregister waar relevant.
2. Categoriseer leveranciers naar kriticaliteit, gegevenstoegang, systeemtoegang en substitueerbaarheid.
3. Breng belangrijke vierde partijen in kaart voor je leveranciers met het hoogste niveau.
4. Accepteer trustcentruminhoud, certificeringen en standaardvragenlijsten als primair bewijs; reserveer aangepaste vragen voor echte gaten.
5. Definieer herassessmenttriggers en volg vervaldatums van bewijs.
6. Documenteer exitstrategieën voor kritieke leveranciers en test deze waar haalbaar.
7. Rapporteer leveranciersrisico aan management in termen van bedrijfsimpact, niet vragenlijstscores.

Conclusie

Risicobeheer van derden in 2026 gaat minder over het verzamelen van meer antwoorden en meer over weten welke leveranciers belangrijk zijn, waarom, en wat je zou doen als zij uitvielen. Regelgeving vereist nu dat deze redenering wordt gedocumenteerd.

Secrato helpt organisaties frameworks zoals NIS2, DORA en ISO/IEC 27001 in één EU-gehoste platform te beheren, met gedeelde controls, bewijs en audit trails.