Je klant beoordeelt jou als leverancier. Zo bereid je je voor.
Een leveranciersbeoordeling (vendor assessment) is het hele proces waarmee je klant bepaalt hoeveel risico jij als leverancier meebrengt. De vragenlijst is maar één onderdeel. Daarnaast kijkt de klant naar je documenten, soms naar een externe scan van je domein, en legt hij afspraken vast in het contract. Wie de stappen kent, kan zich voorbereiden.
Grotere klanten moeten hun leveranciers beoordelen, voor hun eigen beleid, voor auditors of vanwege NIS2, DORA of de AVG. Voor jou voelt dat als een vragenlijst. Maar er gebeurt meer, en wie weet wat er na de vragenlijst komt, voorkomt verrassingen.
Vendor assessment of vragenlijst: wat is het verschil?
De vragenlijst is wat jij ziet. De beoordeling is wat je klant ermee doet: je antwoorden wegen, bewijs controleren, een risico bepalen en beslissen onder welke voorwaarden je leverancier mag worden. Een sterk ingevulde vragenlijst helpt, maar het gaat om het eindoordeel.
De stappen die je kunt tegenkomen
- Indeling. De klant bepaalt hoe kritiek je bent: verwerk je persoonsgegevens, heb je toegang tot hun systemen, hoe erg is het als je uitvalt? Dat bepaalt hoe zwaar de rest wordt.
- Vragenlijst. Een eigen Excel, een standaardlijst zoals de SIG of CAIQ, of een leveranciersportaal.
- Bewijs. Certificaten, beleid, een samenvatting van je pentest, je lijst met subverwerkers.
- Externe scan. Sommige klanten laten een scan van je domein en publieke systemen maken, bijvoorbeeld op e-mailbeveiliging en open poorten.
- Gesprek. Bij twijfel of hoog risico een call met hun securityteam.
- Uitkomst. Goedgekeurd, goedgekeurd met voorwaarden of afgewezen. Voorwaarden komen vaak in het contract of in een actieplan met data.
- Herbeoordeling. Na een jaar, bij een incident of bij een grote wijziging opnieuw.
Waar het vaak misgaat
- Antwoorden en scan spreken elkaar tegen. Je schrijft dat e-mail goed beveiligd is, maar de scan ziet geen DMARC.
- Beloftes die in het contract terugkomen. Wat je in de vragenlijst toezegt, kan letterlijk in de afspraken belanden.
- Geen eigenaar. Het actieplan na de beoordeling verdwijnt in een inbox, en bij de herbeoordeling is er niets gedaan.
- Elke klant opnieuw. Zonder bewaarde antwoorden en bewijs begin je bij elke beoordeling bij nul.
Zo bereid je je voor
- Vraag welk niveau. Vraag de klant hoe hij je indeelt. Dan weet je hoe diep de beoordeling gaat.
- Controleer je buitenkant. E-mailbeveiliging (SPF, DKIM, DMARC), certificaten van je websites, verouderde subdomeinen. Dat ziet een scan als eerste.
- Leg een bewijsmap klaar. Beleid, procedures, pentest, subverwerkers, continuïteit, incidentprocedure.
- Beantwoord met bron. Bij elk antwoord het document of de instelling waar het uit blijkt.
- Benoem open punten zelf. Met een plan en een datum. Dat voorkomt dat de klant ze ontdekt.
- Bewaar alles. De volgende klant vraagt bijna hetzelfde.
Hoe Holdvero helpt
Wij vullen de vragenlijst van de beoordeling in op basis van jouw eigen documentatie, met een bron bij elk antwoord en open punten waar bewijs ontbreekt. Tot 150 vragen valt dat onder Questionnaire Rescue (€695). Portalen en grote beoordelingen vallen onder de complexe vragenlijst. Komen de beoordelingen steeds terug, dan houden we antwoorden en bewijs actueel met Evidence Maintenance. Holdvero levert geen certificering en geen juridisch advies.
Veelgestelde vragen
Wat is het verschil tussen een vendor assessment en een security-vragenlijst?
De vragenlijst is één onderdeel van de vendor assessment. De assessment is het hele proces: indeling, vragenlijst, bewijs, soms een scan of gesprek, een uitkomst en later een herbeoordeling.
Wat gebeurt er als ik niet aan alle eisen voldoe?
Dat is normaal. Vaak word je goedgekeurd met voorwaarden: een actieplan met data. Belangrijk is dat je eerlijk bent over wat ontbreekt en een realistisch plan geeft.
Mag ik weigeren om mee te werken aan een scan?
Een externe scan kijkt meestal alleen naar wat publiek zichtbaar is. Gaat een klant verder, zoals een pentest op je systemen, dan hoort daar een schriftelijke afspraak bij.
Hoe vaak word ik opnieuw beoordeeld?
Dat verschilt per klant. Vaak jaarlijks voor belangrijke leveranciers, en extra na een incident of een grote wijziging in je dienst.
Hulp nodig bij een leveranciersbeoordeling?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan