Een effectief TPRM-programma begint met inventarisatie. Breng in kaart welke derde partijen toegang hebben tot welke data en classificeer hen op basis van risico. Een leverancier van kantoorartikelen vormt een ander risico dan een cloudprovider die persoonsgegevens verwerkt. Voer vervolgens een due diligence uit door beveiligingscertificaten op te vragen en verwerkersovereenkomsten te toetsen. Implementeer tot slot een cyclus van periodieke monitoring en audits om te garanderen dat de afgesproken maatregelen ook daadwerkelijk worden nageleefd en actueel blijven.
IT-managers kunnen vandaag al beginnen met het verkleinen van de risico's. Start met deze drie acties: 1. Controleer de verwerkersovereenkomsten van uw top vijf meest kritieke leveranciers op actuele AVG-clausules en afspraken over datalekmeldingen. 2. Plan een security-assessment met de partij die de hoogste risico's met zich meebrengt. 3. Activeer multifactorauthenticatie (MFA) op alle accounts die toegang geven tot systemen van derde partijen.
Het datalek bij Ledger onderstreept het belang van een integrale visie op risicobeheer. De zwakste schakel bepaalt de sterkte van uw hele keten. Voor een diepgaande analyse van het beveiligen van uw toeleveringsketen, verwijzen we naar ons IT Insights-artikel over Supply Chain Security. De specifieke juridische verplichtingen onder de AVG worden verder uitgediept in onze gids over incident response en de meldplicht.
De Europese Unie scherpt de regels rondom de digitale weerbaarheid van toeleveranciers verder aan. Wetgeving zoals de Digital Operational Resilience Act (DORA), primair voor de financiële sector, en NIS2 stellen expliciete eisen aan het beheer van IT-risico's bij derde partijen. Organisaties moeten zich voorbereiden op een toekomst waarin proactief en aantoonbaar ketenbeheer geen optie meer is, maar een wettelijke verplichting wordt.