De meeste organisaties beheersen leveranciersrisico per leverancier. Contract op orde, vragenlijst ingevuld, certificaat opgevraagd. Wat daarbij buiten beeld blijft, is de optelsom: concentratierisico, het risico dat te veel van je dienstverlening aan één partij hangt.
Elke afzonderlijke leverancier kan dan keurig scoren, terwijl je organisatie toch op één punt kan omvallen. Onder NIS2 is dit expliciet onderdeel van de ketenverplichting, en het is het onderdeel dat het minst wordt opgepakt omdat het geen eigenaar heeft. Inkoop kijkt per contract, IT kijkt per systeem, en niemand kijkt naar het geheel.
Kort samengevat
- Concentratierisico ontstaat als meerdere kritieke processen van dezelfde partij afhankelijk zijn.
- Het is onzichtbaar in een beoordeling per leverancier, want elke partij op zich kan prima scoren.
- Er zijn drie vormen: één leverancier, één onderliggend platform, en een gedeelde onderaannemer.
- Volledig vermijden is zelden realistisch; het doel is bewust kiezen en voorbereid zijn.
- Een exitplan dat nooit is doorgerekend, is geen exitplan.
Wat is concentratierisico precies?
Het risico dat de uitval, het faillissement of de compromittering van één partij meerdere kritieke processen tegelijk raakt. De schade is dan niet de som van de losse risico’s maar een veelvoud daarvan, omdat je uitwijkmogelijkheden tegelijk wegvallen.
Een voorbeeld dat ik regelmatig tegenkom: een organisatie heeft haar ICT-beheer, haar telefonie, haar back-up en haar monitoring bij dezelfde partij ondergebracht. Prettig in het dagelijks gebruik, één aanspreekpunt. Tot die partij zelf wordt getroffen en je tegelijk je systemen, je bereikbaarheid, je herstelmogelijkheid en je zicht op wat er gebeurt kwijt bent.
Welke vormen van concentratie zie je in de praktijk?
Concentratie bij één leverancier
De zichtbaarste vorm. Meerdere diensten bij dezelfde partij, vaak historisch gegroeid omdat de samenwerking goed bevalt.
Concentratie op één onderliggend platform
De sluipende variant. Je hebt vijf verschillende leveranciers, en alle vijf draaien op hetzelfde cloudplatform of in dezelfde regio. Op papier heb je spreiding, in werkelijkheid deel je één storingsdomein.
Een gedeelde onderaannemer
De onzichtbare variant, en daarom de gevaarlijkste. Twee leveranciers die je bewust naast elkaar hebt gezet, blijken hetzelfde onderliggende bedrijf in te schakelen voor de feitelijke uitvoering. Zonder afspraken over het melden van onderaanneming kom je hier pas achter tijdens een incident.
Hoe breng je concentratierisico in beeld?
Je hebt hier geen ingewikkeld model voor nodig. Een overzichtelijke tabel volstaat, mits je hem één keer serieus invult:
- Zet je kritieke processen op een rij. Welke processen mogen niet langer dan een dag stilliggen?
- Noteer per proces de leveranciers. Ook de partijen die alleen beheer of ondersteuning leveren.
- Vraag door naar de onderlaag. Op welk platform draait het, en welke onderaannemers zitten erachter? Dit is de stap die iedereen overslaat.
- Tel de kolommen op. Welke naam komt bij meerdere kritieke processen terug?
- Bepaal per opeenstapeling wat er gebeurt bij uitval. En hoe lang je dat volhoudt.
Die laatste vraag is het hele punt. Concentratie is geen probleem zolang je weet wat je doet als het misgaat. Het wordt een probleem op het moment dat het antwoord “dan hebben we een probleem” is.
Hoe je de individuele leveranciers toetst, hebben we beschreven bij de NIS2 supply chain audit. Voor de bredere ketenaanpak: NIS2 Supply Chain.
Wat doe je eraan zonder alles te verbouwen?
Spreiden klinkt logisch maar is vaak duur en soms schadelijk: twee leveranciers voor dezelfde dienst betekent twee keer beheer, twee keer afstemming en een grotere kans op fouten in de overdracht. Er zijn goedkopere maatregelen die meer opleveren:
- Maak het exitplan concreet. Niet “dan zoeken we een alternatief”, maar: welke partij, welke data, welk formaat, hoeveel tijd, wie doet wat.
- Haal één schakel eruit. Vaak kun je met één gerichte wijziging de grootste stapeling doorbreken. Back-up bij een andere partij dan het beheer is het klassieke voorbeeld, en meestal het meest waardevolle.
- Regel onafhankelijke communicatie. Als je telefonie bij dezelfde partij zit, heb je tijdens een incident geen manier om te overleggen. Een alternatief kanaal is goedkoop.
- Leg onderaanneming contractueel vast. Melden vooraf, dezelfde eisen doorleggen, bezwaarrecht voor jou.
- Oefen het scenario. Twee uur aan tafel met de vraag “deze partij is vanochtend geraakt” levert onmiddellijk zichtbare gaten op.
Wanneer is concentratie acceptabel?
Vaker dan je denkt. Voor veel organisaties is één goede partij met een aantoonbaar hoog beveiligingsniveau een beter resultaat dan drie middelmatige partijen die je niet kunt aansturen.
De voorwaarde is dat het een besluit is en geen toevalligheid. Concreet: het risico is in kaart gebracht, het is besproken op directieniveau, er ligt een exitplan waarvan de doorlooptijd is doorgerekend, en de acceptatie is vastgelegd met datum en onderbouwing.
Dat onderscheid is precies wat een toezichthouder na een incident zoekt. Niet of je spreiding had, maar of je wist waar je stond.
Veelgestelde vragen over concentratierisico
Is concentratierisico ook een NIS2-verplichting?
Beveiliging van de toeleveringsketen staat expliciet in de zorgplicht, en daar hoort de afhankelijkheid van individuele leveranciers bij. In de financiële sector is het onder DORA nog explicieter uitgewerkt, met een verplicht contractregister.
Moet ik altijd twee leveranciers voor dezelfde dienst hebben?
Nee, en vaak is dat onverstandig. Dubbel beheer kost geld en introduceert eigen fouten. Beter is een aantoonbaar exitplan en het doorbreken van de gevaarlijkste stapeling.
Hoe kom ik erachter welke onderaannemers mijn leverancier gebruikt?
Vragen, en het contractueel vastleggen. Neem op dat onderaanneming vooraf wordt gemeld en dat jij bezwaar kunt maken. Zonder die clausule is het antwoord vrijblijvend.
Wat is de eerste stap als ik hier nog niets aan heb gedaan?
Maak het overzicht van kritieke processen tegenover leveranciers. Alleen die tabel maakt de opeenstapelingen al zichtbaar, en dat kost meestal een dagdeel.
Hoe vaak moet ik dit herzien?
Jaarlijks, en daarnaast bij elke overname, migratie of leverancierswissel. Juist bij een overname verandert de onderlaag zonder dat er aan jouw kant iets lijkt te gebeuren.
