Nederlandse mediabedrijven leunen zwaar op externe IT-dienstverleners. Van cloudopslag voor video-archieven tot streaminginfrastructuur en advertentieplatforms: het digitale fundament is grotendeels uitbesteed. Met de aanstaande Cyberbeveiligingswet, de Nederlandse vertaling van de Europese NIS2-richtlijn, verschuift de verantwoordelijkheid voor de beveiliging van die keten deels richting de opdrachtgever.
De NIS2-richtlijn werd eind 2022 aangenomen door het Europees Parlement en de Raad. Lidstaten hadden tot 17 oktober 2024 om de richtlijn in nationale wetgeving om te zetten. Nederland haalde die deadline niet en werkt sindsdien aan de Cyberbeveiligingswet, die de vereisten van NIS2 vertaalt naar de Nederlandse situatie. Toch werkt de richtlijn nu al door in de eisen die opdrachtgevers stellen aan hun IT-leveranciers.
Voor mediabedrijven die willen weten of hun cloudleverancier of softwarepartner de beveiliging op orde heeft, is een ISAE 3402 type 2-verklaring een gangbaar instrument. Zo’n verklaring biedt onafhankelijke zekerheid over de interne beheersmaatregelen van een dienstverlener, getoetst over een langere periode. Het is geen papieren formaliteit maar een concrete audituitkomst die steeds vaker wordt gevraagd in aanbestedingen en leveranciersbeoordelingen.
Ketenverantwoordelijkheid als nieuw uitgangspunt in de digitale keten
Een van de opvallendste elementen van NIS2 is de nadruk op supply chain security. Organisaties die onder de richtlijn vallen, moeten niet alleen hun eigen beveiliging op orde hebben, maar ook die van hun toeleveranciers beoordelen. Dat raakt de mediasector indirect: uitgevers, omroepen en streamingdiensten zijn afhankelijk van tientallen digitale toeleveranciers voor hun dagelijkse operatie.
Zelfs als een mediabedrijf zelf niet rechtstreeks onder de NIS2-richtlijn valt, kan het te maken krijgen met strengere eisen van partners die dat wel doen. Een telecombedrijf dat distributie verzorgt, of een cloudprovider die infrastructuur levert, zal op basis van de wetgeving garanties eisen van alle schakels in de keten. Voor een omroep of uitgeverij betekent dat concreet: leveranciers moeten kunnen aantonen dat hun processen onafhankelijk zijn getoetst.
Contracten veranderen, ook bij mediabedrijven
In de praktijk bevatten contracten met IT-dienstverleners steeds vaker clausules over beveiligingsaudits en certificeringen. Waar een omroep of uitgever vijf jaar geleden genoegen nam met een SLA en een privacyverklaring, vragen inkoopafdelingen nu om aantoonbare beheersmaatregelen. Een ISAE 3402 type 2-verklaring is daarbij een veelgebruikte standaard, omdat deze niet alleen het ontwerp maar ook de werking van beveiligingsmaatregelen over een periode van doorgaans zes tot twaalf maanden toetst.
Daarnaast groeit de aandacht voor AVG-compliance in de keten. Mediabedrijven verwerken grote hoeveelheden persoonsgegevens: abonneedata, kijkcijferregistraties, gepersonaliseerde advertentieprofielen. De Autoriteit Persoonsgegevens handhaaft steeds actiever, en de combinatie van AVG-verplichtingen en de aankomende cyberbeveiligingseisen maakt ketencontrole urgenter dan voorheen. Wie als mediabedrijf geen zicht heeft op hoe leveranciers met die data omgaan, loopt een reeel risico.
Wat mediabedrijven nu al kunnen doen
Wachten tot de Cyberbeveiligingswet definitief van kracht is, brengt het risico met zich mee dat organisaties straks onder hoge tijdsdruk moeten schakelen. Een pragmatische eerste stap is het inventariseren van alle IT-leveranciers en per leverancier vaststellen welke certificeringen of auditverklaringen beschikbaar zijn. Veel leveranciers beschikken al over een SOC 2-rapport of een ISAE 3402-verklaring, maar mediaorganisaties vragen er niet altijd actief naar.
IT-auditbureaus helpen organisaties bij het beoordelen van de beheersmaatregelen van hun leveranciers. Het Bredase 2-Control, opgericht in 2006 en gespecialiseerd in informatiebeveiliging, is een voorbeeld van een bureau dat zowel de auditkant als de advisering rond interne beheersing verzorgt. Dergelijke partijen bieden een onafhankelijke blik op de vraag of een leverancier daadwerkelijk doet wat hij belooft.
De mediasector heeft de afgelopen jaren fors geinvesteerd in digitale transformatie. Tegelijkertijd is de afhankelijkheid van externe digitale diensten gegroeid zonder dat de controle op die diensten in hetzelfde tempo mee is ontwikkeld. Nu Europese en nationale regelgeving die controle afdwingt, is het zaak om het leveranciersbeleid op te trekken naar hetzelfde niveau als de technologische ambities.
WAARDEER DIT ARTIKEL!
Als je dit artikel waardeert en je waardering wilt laten blijken met een kleine bijdrage, dan kan dat. Zo help je onafhankelijke mediajournalistiek in stand houden.
