PKIsigning behaalt NIS2 Supply Chain SC30-certificering

Cyberbeveiliging houdt niet op bij de grenzen van je eigen organisatie. Je kunt je beveiliging goed hebben ingericht, maar als een belangrijke leverancier wordt getroffen door een cyberincident, kunnen de gevolgen alsnog groot zijn. We lezen regelmatig in het nieuws hoe incidenten bij leveranciers meerdere organisaties raken. Soms komt zelfs een hele keten tot stilstand.

Afgelopen week bleek weer hoe snel dat kan gaan. Nadat details over twee kritieke kwetsbaarheden in de programmeertaal PHP waren uitgelekt, haalden organisaties hun websites en diensten uit voorzorg offline, in afwachting van de beveiligingsupdate. Eén kwetsbaarheid in een veelgebruikt onderdeel raakte zo in korte tijd talloze organisaties en hun gebruikers.

Met de komst van NIS2 is er dan ook terecht meer aandacht voor de beveiliging van leveranciers. Ook bij PKIsigning merken we dat. Klanten stellen steeds vaker vragen over onze informatiebeveiliging en willen weten hoe we omgaan met risico’s en incidenten.

Onlangs hebben wij de NIS2 Supply Chain SC30-certificering behaald. Voor mij een goed moment om stil te staan bij wat NIS2 voor ons betekent, waarom we voor certificering hebben gekozen en wat het traject ons heeft opgeleverd.

NIS2 raakt ook leveranciers die niet onder de wet vallen

Het zal je niet ontgaan zijn dat sinds 15 augustus 2026 de Cyberbeveiligingswet (Cbw) van kracht is. Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet stelt eisen aan de digitale weerbaarheid van organisaties in belangrijke en essentiële sectoren.

PKIsigning valt volgens onze huidige beoordeling vooralsnog niet rechtstreeks onder de Cyberbeveiligingswet. We zijn zelf geen vertrouwensdienstverlener (TSP of QTSP) en geven geen certificaten uit. Wel leveren we een platform voor digitale ondertekening dat onderdeel uitmaakt van belangrijke bedrijfsprocessen bij onze klanten. Een deel van hen valt wél onder NIS2 en moet daarom ook de risico’s van leveranciers zoals PKIsigning beoordelen.

Wij krijgen dus indirect te maken met NIS2. Wat mij betreft is dat ook logisch. Als jouw dienstverlening onderdeel is van een belangrijke keten van bedrijfsprocessen, mag van je worden verwacht dat je verantwoordelijkheid neemt voor de beveiliging van jouw deel daarvan.

Waarom PKIsigning kiest voor NIS2 Supply Chain SC30

PKIsigning is al ISO 27001 gecertificeerd. Waarom dan toch nog een certificering?

NIS2 Supply Chain is ontwikkeld om leveranciers op een toegankelijke manier hun cybersecurity aantoonbaar te laten maken. Ook voor organisaties zonder ISO 27001-certificering biedt het een mogelijkheid om hun beveiligingsmaatregelen onafhankelijk te laten beoordelen.

Het schema kent drie niveaus: SC10 (Basic), SC20 (Substantial) en SC30 (High).

Wij hebben bewust gekozen voor SC30, het hoogste niveau. Onze klanten vertrouwen erop dat hun documenten veilig en betrouwbaar worden ondertekend. Dan past het niet om genoegen te nemen met minder dan het hoogste niveau. Ons bestaande ISO 27001-managementsysteem vormt daarbij een goede basis.

Met onze SC30-certificering kunnen we klanten beter inzicht geven in de maatregelen die we treffen om cybersecurityrisico’s te beheersen.

Door de SC30-eisen naast ons bestaande beveiligingsbeleid en onze processen te leggen, ontdekten we een aantal aandachtspunten. Zo hebben we ons proces voor leveranciersbeoordeling aangescherpt. We kijken nu nadrukkelijker naar de risico’s en afhankelijkheden van kritieke leveranciers. Ook hebben we ons incidentmanagement en onze communicatieprocedures verbeterd. Daarmee kunnen we klanten bij beveiligingsincidenten tijdig informeren, zodat zij waar nodig aan hun eigen NIS2-meldverplichtingen kunnen voldoen.

Daarnaast hebben we bestaande maatregelen voor veilige softwareontwikkeling en het beheer van kwetsbaarheden in componenten opnieuw beoordeeld en verbeterpunten vastgelegd.

Persoonlijk vind ik dat misschien wel de grootste waarde van zo’n traject. Je kijkt opnieuw kritisch naar maatregelen en processen waarvan je denkt dat ze al goed geregeld zijn. En dan blijkt dat er toch zaken zijn die beter kunnen.

Het belang van ketenbeveiliging bij digitaal ondertekenen

Voor PKIsigning is ketenbeveiliging extra relevant. Bij digitale ondertekening gaat het niet alleen om de beschikbaarheid van onze dienstverlening. Ook de integriteit van documenten en de betrouwbaarheid van het ondertekenproces zijn essentieel.

Daarbij zijn we afhankelijk van andere partijen. Denk aan onze cloudinfrastructuur en de vertrouwensdienstverleners waarmee we samenwerken voor onder andere certificaten, elektronische handtekeningen en tijdstempels.

Een beveiligingsincident bij een van deze partijen kan gevolgen hebben voor onze klanten. Daarom moeten we niet alleen onze eigen beveiliging goed organiseren, maar ook weten welke risico’s en afhankelijkheden er binnen onze keten bestaan.

Wat betekent de SC30-certificering voor onze klanten?

Met onze SC30-certificering kunnen we klanten beter inzicht geven in de maatregelen die we treffen om cybersecurityrisico’s te beheersen. De onafhankelijke beoordeling helpt hen bij hun eigen leveranciersbeoordeling en kan voorkomen dat iedere klant afzonderlijk dezelfde controles moet uitvoeren.

Daarbij is een belangrijk onderscheid nodig. NIS2 Supply Chain is een privaat certificeringsschema. Het is geen wettelijk voorgeschreven certificaat en betekent niet automatisch dat een organisatie aan alle verplichtingen van de Cyberbeveiligingswet voldoet.

Ook zegt een certificaat niet dat een organisatie volledig veilig is. Nieuwe kwetsbaarheden en risico’s blijven ontstaan. Daarom vind ik dat we niet alleen moeten kijken naar welke certificaten een leverancier heeft, maar vooral naar hoe die organisatie in de praktijk met beveiliging omgaat.

Voor PKIsigning zit de waarde van SC30 dan ook niet alleen in het certificaat zelf. Het traject heeft ons geholpen om bestaande processen te verbeteren en onze informatiebeveiliging verder aan te scherpen. En dat werk gaat na de certificering gewoon door.

Uiteindelijk draait NIS2 niet alleen om certificaten, maar om onze gezamenlijke digitale weerbaarheid. Vertrouwen in de keten ontstaat niet doordat we verklaren dat we veilig zijn, maar doordat iedere organisatie aantoonbaar verantwoordelijkheid neemt voor haar eigen aandeel in die keten.

Blog door Berry de Graaf | CISO bij PKIsigning

Lees ook deze artikelen:

• Like-IT en PKIsigning lanceren integratie voor digitaal ondertekenen vanuit SharePoint
• Nieuwe release PKIsigning: verbeteringen voor iXBRL en werkgroepen
• Verstegen Accountants & Adviseurs kiest voor PKIsigning