De toeleveringsketen is een steeds aantrekkelijker doelwit voor cybercriminelen. In plaats van direct een grote organisatie aan te vallen, richten aanvallers zich op kleinere, minder goed beveiligde leveranciers die toegang hebben tot kritieke systemen of data. Deze aanpak – bekend als een supply chain attack – kan enorme gevolgen hebben.

Bekende voorbeelden zijn de aanvallen op SolarWinds en Kaseya, waarbij kwaadwillenden via software-updates of externe tools toegang kregen tot honderden organisaties wereldwijd. Zulke incidenten tonen aan dat een zwakke schakel in de keten kan leiden tot grootschalige schade, datalekken en verstoring van bedrijfsprocessen.

Onder NIS2 wordt het belang van ketenbeveiliging expliciet erkend. Organisaties zijn niet alleen verantwoordelijk voor hun eigen cybersecurity, maar ook voor het beheer van risico’s die voortkomen uit externe relaties. Dit betekent dat je moet kunnen aantonen dat je leveranciers zorgvuldig hebt geselecteerd, beoordeeld en gemonitord – en dat je passende maatregelen hebt genomen om risico’s te beperken.

Daarnaast vergroot NIS2 de aansprakelijkheid van bestuurders. Als blijkt dat er onvoldoende aandacht is besteed aan ketenbeveiliging, kunnen zij persoonlijk verantwoordelijk worden gehouden. Dit maakt het des te belangrijker om ketenbeveiliging niet als een IT-issue te zien, maar als een strategisch en bestuurlijk thema.