Werkwijze · Leveranciersbeheer
Leveranciersbeheer: weet welke leverancier welke gegevens raakt
Inkoop kent het contract, privacy kent de verwerkersovereenkomst, security kent het pentestrapport. Niemand kent het geheel. In IRMA staat elke leverancier één keer, met de dienst die hij levert, de gegevens die hij raakt, hoe kritiek hij is en wanneer hij weer beoordeeld moet worden. Contracten en subverwerkers hangen eraan.
Vanaf € 149 per maand. Proefomgeving op aanvraag.
Eén leveranciersregister voor inkoop, privacy en security
Per leverancier legt u vast welke dienst hij levert en wat voor leverancier het is: een gewone leverancier, een subverwerker, een clouddienst, een AI-dienst of tooling. U legt vast welke gegevens hij raakt, hoe kritiek hij is (laag, gemiddeld of hoog), in welke regio de gegevens staan en op welke grondslag ze eventueel worden doorgegeven. Of er een verwerkersovereenkomst is, welke certificering of assurance de leverancier heeft, zoals ISO 27001 of SOC 2, en wanneer de volgende review is.
De status van de relatie houdt u bij: actief, in beoordeling, uitgefaseerd of beëindigd. Zo is het register ook het antwoord op de vraag welke leveranciers u afbouwt.
Due diligence als checklist per leverancier
Voordat u een leverancier toelaat, wilt u een aantal dingen zeker weten. In IRMA heeft elke leverancier een eigen checklist voor due diligence. Elk punt staat op open, voldaan of niet van toepassing, met een notitie. Zo ziet u bij de review in één oogopslag wat er nog uitgezocht moet worden.
De BIO2 vraagt bijvoorbeeld dat beveiligingseisen uit de offerteaanvraag in het contract komen, dat de leverancier jaarlijks aantoont dat hij voldoet en dat er een exitstrategie is. Die eisen koppelt u aan de maatregelen waarmee u ze afdekt.
Contracten met looptijd en opzegtermijn
Het contractenregister zet de data die er toe doen vooraan: de startdatum, de einddatum, de opzegtermijn in maanden, de waarde en de eigenaar. Een contract hoort meestal bij een leverancier uit het register, maar kan ook een andere partij betreffen. Uit de einddatum en de opzegtermijn berekent IRMA de uiterste opzegdatum. Het getekende contract en de bijlagen koppelt u als document. Zo ziet u een aflopend contract of een naderende opzegdatum voordat hij verstrijkt.
Een concept-verwerkersovereenkomst vanuit het register
Ontbreekt de verwerkersovereenkomst, dan stelt IRMA een concept op, gevuld met wat het leveranciers- en subverwerkersregister al weten: wie de partijen zijn, welke dienst, welke gegevens en welke regio. Juridische bepalingen vult IRMA niet in. Elk artikel is een gemarkeerde plaatshouder voor uw jurist of uw eigen modeltekst.
Het concept komt in de documentenstroom van IRMA, met versies, zodat u het kunt bewerken, laten beoordelen en downloaden. Stelt u het opnieuw op, dan wordt het een nieuwe versie van hetzelfde document en geen tweede document ernaast.
Subverwerkers: intern volledig, publiek wat mag
Het subverwerkersregister houdt per subverwerker de rol, de categorie gegevens, de regio, de doorgiftegrondslag en de kritiekheid bij. Per subverwerker bepaalt u of hij op de publieke lijst komt of intern blijft. De publieke lijst is wat uw Trust Center toont. Eén register, twee weergaven, zonder dat u twee lijsten hoeft bij te houden.
Stap voor stap
Zo doet u het in IRMA.
- 01Breng uw leveranciers in kaartVoer leveranciers in of lees ze in, met dienst, type, gegevens en kritiekheid.
- 02Doorloop de due diligenceWerk per leverancier de checklist af en leg assurance en verwerkersovereenkomst vast.
- 03Registreer de contractenLeg looptijd, opzegtermijn, waarde en eigenaar vast en koppel het getekende contract.
- 04Stel ontbrekende verwerkersovereenkomsten opLaat IRMA een concept met de registergegevens opstellen en laat uw jurist de bepalingen invullen.
- 05Bepaal wat publiek wordtMarkeer per subverwerker of hij op de publieke lijst van het Trust Center komt.
- 06Plan de reviewGeef elke leverancier een reviewdatum en bekijk de incidenten per leverancier.
Normen en wetgeving
- ISO/IEC 27001:2022, bijlage A, 5.19 tot en met 5.23
- BIO2, 5.19 tot en met 5.22 en de overheidsmaatregelen
- AVG, artikel 28 (verwerkersovereenkomst)
- NIS2 en Cyberbeveiligingswet, beveiliging van de toeleveringsketen
Vragen
Veelgestelde vragen.
Ja, en ze zijn aan elkaar gekoppeld. Een subverwerker is meestal ook een leverancier. De koppeling is optioneel, zodat geen van beide registers het andere blokkeert.
IRMA stelt een concept op met de gegevens van de leverancier uit het register. De juridische bepalingen zijn gemarkeerde plaatshouders voor uw jurist of uw eigen modeltekst. Het concept bewerkt en beoordeelt u in de documentenstroom, met versies.
Ja. IRMA toont de incidenten per leverancier, zodat terugkerende problemen meetellen bij de review van die leverancier.
Verder lezen
Hoort hierbij.
- FunctiesTrust CenterEen openbare trustpagina met certificeringen, subverwerkers, beleid en maatregelen, rechtstreeks uit IRMA en alleen met wat u vrijgeeft.
- WerkwijzenIncidentbeheer en datalekkenEén incidentenregister, ook gevoed door uw monitoring, met een datalekregister dat de 72-uurstermijn van de AVG zelf zet en elke stap in een logboek bewaart.
- Voor wieFunctionaris gegevensbeschermingVerwerkingsregister, DPIA's, datalekken en privacyverzoeken naast het ISMS, met de wettelijke termijnen uitgerekend en een eigen plek voor het advies van de FG.
- FunctiesDocumentbeheer en reviewcyclusBeleid en procedures met versiebeheer, eigenaar, zichtbaarheid, reviewcyclus en kennisname, en een vastgelegd besluit bij elke publicatie.
- Voor wieCISORisicobeoordeling, behandelplan, Verklaring van Toepasselijkheid en bewijs in één keten, met één toetsing per maatregel voor elke norm die u draagt.
Plan een demo
Begin bij een leeg register.
In een demo laten wij zien hoe IRMA uw risico's, maatregelen en bewijs in één keten brengt, gebaseerd op uw eigen documenten. Daarna zetten wij op aanvraag een proefomgeving klaar met voorbeeldinhoud van uw eigen organisatie. Vanaf € 149 per maand.
Verwerking & naleving
Prudai is gecertificeerd volgens ISO/IEC 27001:2022 en NEN 7510-1:2024