Ketenrisico is eerst een zichtbaarheidsprobleem

Vraag een team dat leveranciersrisico's beheert wat een kritieke leverancier bij de laatste beoordeling heeft verklaard, en het antwoord staat in het dossier. Vraag welke software die leverancier levert, op welk cloudplatform hij draait en wie de servicedesk verzorgt, en het antwoord is vaak een schatting. Het cyberrisico in de keten zit in de afstand tussen verklaarde maatregelen en werkelijke afhankelijkheden.

De lat komt hoger te liggen

Vragenlijsten, audits en certificaten zijn niet verkeerd. Hun grens is structureel: ze beschrijven een moment en een reikwijdte, niet waarvan u vandaag afhangt. Intussen verschuiven NIS2, DORA en de Cyber Resilience Act het toezicht van periodieke documentatie naar bewijs dat actueel is, en leggen ze de verantwoordelijkheid voor de beveiliging van de keten bij het bestuur. Geen van deze instrumenten schrijft een tool voor. Samen maken ze een leveranciersdossier dat bij de laatste beoordeling compleet was, lastiger te verdedigen.

Wat wij hebben onderzocht

Samen met Antwerp Management School en prof. dr. Yuri Bobbert hebben wij onderzocht of AI organisaties kan helpen hun keten te zien zoals die is, in plaats van zoals die is verklaard: het geautomatiseerd opsporen en verbinden van systemen en risicosignalen van leveranciers.¹ Wij hebben de literatuur doorgenomen en een panel bijeengebracht van veertien professionals in cybersecurity en governance uit Nederland en België.

Twee bevindingen bepalen de richting. Het panel gaf voorrang aan signalen die van buitenaf waarneembaar zijn en doorlopend kunnen worden ververst, boven alles wat een leverancier over zichzelf verklaart. En het was duidelijk over de grenzen: zulke signalen werken als uitlegbare beslisondersteuning voor de mensen die al besluiten over onboarding, verlenging en escalatie, nooit als een score die hun oordeel vervangt. Welke signalen bovenaan eindigden, hoe eensgezind het panel daarover was en wat nodig is om ze in een gereguleerde organisatie te laten werken, bespreken wij liever in een gesprek.

Drie vragen voor bestuur en directie

Voordat een tool aan de orde is, laten drie vragen zien of het zicht er is:

1. Welke afzonderlijke leveranciers kunnen een kritieke functie stilleggen? Niet de leverancierslijst, maar een korte lijst met namen, elk met de functie die ervan afhangt.
2. Hoe actueel is ons bewijs over hen? De datum van de laatste vragenlijst is iets anders dan wat vandaag waarneembaar is.
3. Wie is eigenaar van de escalatie? Wie beoordeelt een signaal als het verandert, wie besluit, en binnen welke termijn?

Kost het meer dan één vergadering om deze antwoorden bijeen te brengen, dan staat het zichtbaarheidsprobleem al op de agenda. Wij lopen de bevindingen graag met u door, en wat ze betekenen voor uw keten; de besluiten blijven bij het bestuur.

Bronnen

1. Onderzoek van A. Sewnandan en M. El Jerrari met Antwerp Management School, samen met prof. dr. Yuri Bobbert. Een daarvan afgeleid paper, ChainShield: AI-Driven Enumeration for Supply Chain Cyber Risk Governance, is gepresenteerd op IEEE ICAISF 2026 in Catania. ↩︎