NIS2 voor auditbureaus

Auditbureaus vallen niet rechtstreeks onder NIS2. Wel krijgt een auditbureau bij elke opdracht inzage in de zwakke plekken van zijn opdrachtgever en dat maakt de eigen beveiliging tot een geloofwaardigheidsvraag naast een contractuele. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen auditbureaus onder NIS2?

Auditbureaus vallen niet rechtstreeks onder NIS2. Auditdienstverlening staat niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De plicht ontstaat alleen indirect, via de opdrachtgever.

De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• Opdrachtgevers die onder de wet vallen: zij laten hun beheersmaatregelen toetsen en delen daarvoor bevindingen, gaps en herstelplannen. Dat is de meest bruikbare informatie die er over een organisatie bestaat.
• Aanbestedingen: publieke opdrachtgevers zetten hun zorgplicht door in het contract voor auditdiensten.
• De eigen geloofwaardigheid: een bureau dat de beveiliging van anderen beoordeelt, krijgt de vraag naar de eigen maatregelen scherper terug dan wie dan ook. Opdrachtgevers willen weten of je die kennis ook op je eigen omgeving hebt toegepast en of je dat kunt aantonen.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van auditbureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een auditbureau en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Auditsoftware, de systemen van opdrachtgevers en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, werkpapieren en rapportages	Bevindingen, gap-analyses en conceptrapporten lopen hierlangs. Dit is een verzameling zwakke plekken van meerdere organisaties tegelijk en daarmee waardevoller dan de losse bevindingen.	Beheerd
Laptops en telefoons bij de opdrachtgever	Auditwerk gebeurt op locatie, met werkpapieren en bewijsmateriaal op het toestel.	Beheerd
Accounts van auditors, specialisten en inleen	Per opdracht wisselt de bezetting. Toegang tot dossiers van een afgeronde opdracht moet aantoonbaar worden ingetrokken.	Beheerd
Audit- en werkpapiersoftware	De registratie van bevindingen en bewijsmateriaal. De leverancier beveiligt de applicatie, jij bepaalt wie inlogt en met welke rechten.	Buiten scope, toegang wel beheerd
Toegang tot systemen en logbestanden van opdrachtgevers	Voor het auditwerk krijg je leesrechten in de omgeving van de opdrachtgever. Die omgeving is van hem, jouw account en apparaat staan in zijn risicoanalyse.	Buiten scope, toegang wel beheerd

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

Wat ClickOn hier wel en niet doet

ClickOn is zelf geen adviseur, auditor of certificerende instelling. ClickOn werkt uitsluitend in de technische laag: de digitale werkplek, de apparaten en de accounts. Het oordeel over normen, de uitvoering van audits en het advies aan een cliënt blijven bij jou.

Voor een auditbureau weegt dat onderscheid extra zwaar, omdat het jouw vak raakt. ClickOn levert het technische bewijs waar jij, of jouw opdrachtgever, een oordeel over velt. Waar het opdrachten betreft die jij bij cliënten uitvoert, is ClickOn nooit de beoordelende partij.

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor arbodiensten
• NIS2 voor assurantietussenpersonen
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor belastingadvieskantoren
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor re integratiebureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vermogensbeheerders
• NIS2 voor vertaalbureaus

Andere normen die voor auditbureaus meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij auditbureaus regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

AVG

In je dossiers zitten persoonsgegevens die je bij auditwerkzaamheden in de systemen van opdrachtgevers tegenkomt. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor auditbureaus

Valt een auditbureau onder NIS2?

Nee. Auditdienstverlening staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet. De eisen komen binnen via opdrachtgevers die zelf onder de wet vallen en via aanbestedingen bij publieke opdrachtgevers.

Waarom is de eigen beveiliging bij een auditbureau een geloofwaardigheidsvraag?

Omdat een bureau dat de beveiliging van anderen beoordeelt, de vraag naar de eigen maatregelen scherper terugkrijgt dan wie dan ook. Opdrachtgevers willen weten of je je eigen omgeving op orde hebt en of je dat kunt aantonen.

Wat maakt de eigen dossiers zo gevoelig?

Ze bevatten precies wat een organisatie geheim houdt: waar de beheersing tekortschiet, welke maatregelen ontbreken en wanneer die hersteld zouden worden. Over een hele portefeuille verzameld is dat waardevoller dan de losse bevindingen.

Beoordeelt ClickOn mijn auditwerk of mijn opdrachtgevers?

Nee. ClickOn werkt uitsluitend in de technische laag: de digitale werkplek, de apparaten en de accounts. Het oordeel over normen en de uitvoering van audits blijven bij jou; ClickOn is nooit de beoordelende partij.

Welk deel van de ICT van een auditbureau valt buiten de scope van ClickOn?

Buiten scope vallen de audit- en werkpapiersoftware en de toegang tot systemen en logbestanden van opdrachtgevers. Wie daarop inlogt en met welke rechten, beheert ClickOn wel.