Wat zijn de risico’s van vertrouwen op een certificaat zonder verificatie bij een leverancier?

Vertrouwen op een leverancierscertificaat zonder verificatie brengt serieuze risico’s met zich mee voor jouw organisatie. Een certificaat dat niet is gecontroleerd, kan verlopen zijn, zijn ingetrokken of zelfs vervalst zijn, waardoor je een vals gevoel van veiligheid krijgt terwijl de risico’s onverminderd aanwezig blijven. In dit artikel beantwoorden we de meest gestelde vragen over certificaatverificatie bij leveranciers, van de gevaren van blinde aanname tot concrete stappen voor betrouwbaar leveranciersbeheer. Wil je direct advies? Neem gerust contact met ons op en we helpen je graag verder.

Wat maakt een ongeverifieerd certificaat gevaarlijk voor jouw organisatie?

Een ongeverifieerd certificaat is gevaarlijk omdat het geen garantie biedt dat een leverancier daadwerkelijk aan de gestelde beveiligingseisen voldoet. Je neemt een beveiligingsbeslissing op basis van een document waarvan je de geldigheid, reikwijdte en authenticiteit niet hebt vastgesteld. Dat maakt het een blinde vlek in je risicobeheer.

In de praktijk betekent dit dat je gevoelige data, systemen of processen toevertrouwt aan een partij die mogelijk niet voldoet aan de normen die het certificaat suggereert. Als die leverancier vervolgens een datalek veroorzaakt of een beveiligingsincident niet adequaat afhandelt, draag jij als opdrachtgever mede de gevolgen. Denk aan reputatieschade, boetes onder de AVG of operationele uitval.

Leveranciersrisico op het gebied van informatiebeveiliging is een van de meest onderschatte aanvalsvectoren. Aanvallers richten zich steeds vaker op zwakke schakels in de keten, en een leverancier met een papieren certificaat maar gebrekkige beveiliging is precies zo’n zwakke schakel.

Hoe kan een leverancier een certificaat misbruiken of verkeerd voorstellen?

Een leverancier kan een certificaat op verschillende manieren verkeerd voorstellen: door een verlopen certificaat te tonen, een certificaat te overleggen dat betrekking heeft op een andere scope dan de dienst die jij afneemt, of door een certificaat te tonen van een niet-geaccrediteerde certificerende instelling. In zeldzame gevallen worden certificaten ook ronduit vervalst.

De meest voorkomende situatie is echter geen bewuste fraude, maar eerder slordigheid of onwetendheid. Een leverancier toont een ISO 27001-certificaat dat drie jaar geleden is behaald maar sindsdien niet is verlengd. Of het certificaat dekt alleen de hoofdvestiging, terwijl jij samenwerkt met een andere afdeling of locatie die buiten de scope valt.

Ook de keuze voor een certificerende instelling speelt een rol. Niet alle certificaten zijn gelijkwaardig. Een certificaat afgegeven door een niet-geaccrediteerde instelling zegt weinig over de werkelijke beveiligingsstatus van een organisatie, omdat er geen onafhankelijk toezicht is op de kwaliteit van de audit.

Wat is het verschil tussen een geldig en een geaccrediteerd certificaat?

Een geldig certificaat is een certificaat dat formeel nog niet is verlopen. Een geaccrediteerd certificaat gaat verder: het is afgegeven door een certificerende instelling die zelf is beoordeeld en goedgekeurd door een nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland. Accreditatie borgt de kwaliteit en onafhankelijkheid van de audit zelf.

Een certificaat kan dus formeel geldig zijn, maar toch weinig waarde hebben als de uitgevende instelling niet geaccrediteerd is. In dat geval is er geen externe controle geweest op de werkwijze van de auditor, de gehanteerde normen of de onafhankelijkheid van het oordeel.

Voor organisaties die leveranciers beoordelen op het gebied van informatiebeveiliging, is het onderscheid cruciaal. Alleen een geaccrediteerd certificaat biedt de zekerheid dat een erkende en getoetste instelling de audit heeft uitgevoerd. Wij bij DigiTrust zijn geaccrediteerd door de RvA (C618), wat betekent dat onze certificaten aan de hoogste onafhankelijkheidseisen voldoen.

Hoe controleer je of een leverancierscertificaat echt geldig is?

Je controleert de geldigheid van een leverancierscertificaat door drie zaken te verifiëren: de geldigheidsperiode, de scope en de accreditatiestatus van de uitgevende instelling. Dit doe je aan de hand van het certificaat zelf en via openbare registers van accreditatie-instanties.

Concreet zijn dit de stappen die je neemt:

1. Controleer de geldigheidsdatum. Certificaten zoals ISO 27001 hebben een looptijd van drie jaar, aangevuld met jaarlijkse controle-audits. Vraag altijd naar het meest recente auditrapport of surveillanceverslag.
2. Bekijk de scope nauwkeurig. Op elk certificaat staat beschreven welke diensten, locaties of processen het dekt. Controleer of de scope overeenkomt met wat jij van de leverancier afneemt.
3. Verifieer de uitgevende instelling. Zoek de certificerende instelling op in het register van de Raad voor Accreditatie (rva.nl) of een vergelijkbare Europese accreditatieorganisatie. Staat de instelling er niet in, dan is het certificaat niet geaccrediteerd.
4. Vraag om het originele certificaat. Accepteer geen kopie of screenshot zonder verificatie bij de bron. Sommige certificerende instellingen bieden een online verificatiemogelijkheid.

Door deze stappen structureel op te nemen in je inkoopproces, voorkom je dat certificaatverificatie een formaliteit wordt in plaats van een echte risicobeheermaatregel.

Wanneer is een leverancier verplicht een geldig certificaat te overleggen?

Een leverancier is verplicht een geldig certificaat te overleggen wanneer dit contractueel is vastgelegd, wanneer wet- of regelgeving dit vereist, of wanneer aanbestedingseisen het voorschrijven. In sectoren zoals de zorg, overheid en kritieke infrastructuur is certificering steeds vaker een harde eis, mede door wetgeving zoals de NIS2-richtlijn.

Vanuit de NIS2-richtlijn, die in Nederland van kracht is, zijn organisaties in aangewezen sectoren verplicht om ook de beveiligingsrisico’s van hun toeleveringsketen te beheersen. Dit betekent dat je als organisatie aantoonbaar moet maken dat je leveranciers voldoende beveiligd zijn. Een geldig en geaccrediteerd certificaat is daarvoor een belangrijk bewijsmiddel.

Buiten wettelijke verplichtingen is het ook zakelijk verstandig om certificaatverlening contractueel te verplichten. Neem in leveranciersovereenkomsten op dat een geldig ISO 27001-certificaat of een vergelijkbare norm een voorwaarde is voor de samenwerking, en dat verlies van certificering de leverancier verplicht dit direct te melden.

Welke stappen beschermen je organisatie bij leveranciersbeheer?

Je organisatie beschermt zichzelf bij leveranciersbeheer door een gestructureerd proces te hanteren dat begint vóór de contractsluiting en doorloopt tijdens de hele samenwerking. Eenmalige verificatie bij aanvang is niet genoeg; leveranciersbeheer in informatiebeveiliging is een continu proces.

De meest effectieve maatregelen zijn:

• Leveranciersbeoordeling vooraf: Voer een risicoanalyse uit voordat je een leverancier selecteert. Bepaal welk informatiebeveiligingsniveau vereist is op basis van de data en systemen waartoe de leverancier toegang krijgt.
• Contractuele beveiligingseisen: Leg eisen vast in de overeenkomst, inclusief de verplichting tot het overleggen van actuele certificaten en het melden van beveiligingsincidenten.
• Periodieke hercontrole: Plan jaarlijkse of tweejaarlijkse reviews waarbij je de geldigheid van certificaten opnieuw verifieert en eventuele wijzigingen in de scope of dienstverlening beoordeelt.
• Register van leveranciers: Houd een actueel overzicht bij van alle leveranciers, hun certificaten, vervaldatums en het bijbehorende risiconiveau.
• Escalatieproces bij afwijkingen: Definieer wat er gebeurt als een leverancier zijn certificaat verliest of een incident meldt. Wie beslist, welke acties volgen en wanneer wordt de samenwerking beëindigd?

Een goed ingericht leveranciersbeheerproces sluit naadloos aan bij de eisen van ISO 27001 certificering, die leveranciersrelaties expliciet adresseert als onderdeel van het informatiebeveiligingsmanagement. Wil je weten hoe jouw organisatie dit het beste kan aanpakken? Neem contact met ons op en we denken graag met je mee over een aanpak die past bij jouw situatie.

Gerelateerde artikelen

• Welke escalatiemogelijkheden heb je bij een omstreden auditbevinding?
• Wat is het verschil tussen een fase 1 en een fase 2 audit bij ISO 27001?
• Hoeveel tijd zit er tussen het afronden van de fase 2 audit en de uitgifte van het certificaat?
• Wat is het verschil tussen een fase 1 en een fase 2 audit?
• Welke rol speelt ISO 27001 bij incident response?