#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---


| Attribuut                            | Waarde                                                                  |
| :----------------------------------- | :---------------------------------------------------------------------- |
| Type beheersmaatregel:               | #Preventief                                                             |
| Informatiebeveiligingseigenschappen: | #Vertrouwelijkheid #Integriteit #Beschikbaarheid                        |
| Cybersecurityconcepten:              | #Identificeren                                                          |
| Operationele capaciteiten:           | #Beveiliging_in_leveranciersrelaties #Borging_van_informatiebeveiliging |
| Beveiligingsdomeinen:                | #Governance_en_Eco-systeem #Bescherming #Verdediging                    |


**Beheersmaatregel**

De organisatie behoort de informatiebeveiligingspraktijken en de leveranciersdiensten regelmatig te monitoren, beoordelen, evalueren en veranderingen daaraan te beheren.

**Doel**

Een overeengekomen niveau van informatiebeveiliging en dienstverlening in overeenstemming met de leveranciersovereenkomsten handhaven.

**Richtlijn**

Het monitoren en beoordelen van, en het beheren van veranderingen aan, leveranciersdiensten behoort te bewerkstelligen dat aan de informatiebeveiligingsvoorwaarden van de overeenkomsten wordt voldaan, informatiebeveiligingsincidenten en -problemen naar behoren worden beheerd en veranderingen in leveranciersdiensten of de bedrijfsstatus niet van invloed zijn op de dienstverlening.

Hiertoe behoort een proces voor het beheer van de relatie tussen de organisatie en de leverancier te bestaan om:

a) de prestatieniveaus van de dienstverlening te monitoren om de naleving van de overeenkomsten te verifiëren;

b) door leveranciers aangebrachte veranderingen te monitoren, waaronder:

1) verbeteringen van de huidige aangeboden dienstverlening;
2) ontwikkelingen van nieuwe toepassingen en systemen;
3) wijzigingen in of updates van beleid en procedures van de leverancier;
4) nieuwe of gewijzigde beheersmaatregelen om informatiebeveiligingsincidenten op te lossen en om de informatiebeveiliging te verbeteren;

c) veranderingen in leveranciersdiensten te monitoren, waaronder:

1) veranderingen en verbeteringen van netwerken;
2) gebruik van nieuwe technologieën;
3) aanvaarding van nieuwe producten of nieuwere versies of uitgaven;
4) nieuwe ontwikkelinstrumenten en omgevingen;
5) veranderingen in fysieke locatie van dienstverleningsfaciliteiten;
6) verandering van onderleveranciers;
7) uitbesteding aan een andere leverancier;

d) de rapporten over de dienstverlening die zijn opgesteld door de leverancier, te beoordelen en regelmatig voortgangsbesprekingen te regelen voor zover door de overeenkomsten vereist;

e) audits van leveranciers en onderleveranciers uit te voeren, in samenhang met de beoordeling van rapporten van onafhankelijke auditoren, indien beschikbaar, en vastgestelde kwesties op te volgen;

f) informatie te verstrekken over informatiebeveiligingsincidenten en deze informatie te beoordelen voor zover vereist door de overeenkomsten en ondersteunende richtlijnen en procedures;

g) audittrajecten van leveranciers en registraties van informatiebeveiligingsgebeurtenissen, operationele problemen, weigeringen, opsporing van storingen en onderbrekingen in verband met de geleverde dienst te beoordelen;

h) te reageren op geïdentificeerde informatiebeveiligingsgebeurtenissen of -incidenten en deze te beheren;

i) kwetsbaarheden in de informatiebeveiliging te identificeren en beheren;

j) informatiebeveiligingsaspecten van de relaties van de leverancier met zijn eigen leveranciers te beoordelen;

k) te bewerkstelligen dat de leverancier voldoende capaciteit voor de diensten onderhoudt samen met werkbare plannen die zijn ontworpen om te waarborgen dat de overeengekomen continuïteitsniveaus van de dienstverlening na grote storingen of calamiteiten in de dienstverlening worden onderhouden (zie 5, 5, 5, 5, 8);

l) ervoor te zorgen dat leveranciers verantwoordelijkheden toewijzen voor het beoordelen van naleving en voor het dwingend uitvoeren van de eisen van de overeenkomsten;

m)regelmatig te evalueren of de leveranciers afdoende informatiebeveiligingsniveaus in stand houden.

De verantwoordelijkheid voor het beheer van leveranciersrelaties behoort te worden toegekend aan een daarvoor aangewezen persoon of teamm te monitoren dat de eisen van de overeenkomst, in het bijzonder de informatiebeveiligingseisen, worden nagekomen, behoren voldoende technische vaardigheden en middelen beschikbaar te worden gesteldls tekortkomingen in de dienstverlening worden waargenomen behoren passende maatregelen te worden getroffen.


**Overige informatie**

Zie ISO/IEC 27036-3 voor nadere details.
