Audit je leveranciers waar je jezelf ook audit.
Nodig integrators, onderhoudspartijen en productleveranciers uit om eisen te beantwoorden binnen je eigen OTRISK-omgeving: IEC 62443-2-4, 3-3, 4-1, 4-2 of NIST SP 800-82, tegen het doelniveau dat jij bepaalt. Zij dienen in, jouw team accepteert, en beide oordelen blijven permanent vastgelegd.
Illustratieve weergave van de werkruimte · demodata, geen klantcontent.
Hun systemen, jouw verantwoordelijkheid
Leverancierstoezicht verdient dezelfde discipline als je eigen assessments. Zelfde systeem, zelfde regels.
Het uitnodigingsproces, stap voor stap
Een leveranciersaudit in OTRISK is een gewoon assessment met één verschil: de organisatie die antwoordt is niet de jouwe. Het proces dwingt af wie wat doet.
Twee fasen, allebei vastgelegd
De leverancier dient in. Hun lead keurt goed, fase één. Jouw reviewer beslist, fase twee. Het platform dwingt de volgorde en de scheiding af: niemand accepteert zijn eigen inzending, en een goedkeuring van de leverancier telt nooit als jouw acceptatie.
Waarom dit telt voor inkoop: bij de verlenging of de volgende aanbesteding wisselt niemand herinneringen uit. Beide kanten kijken naar dezelfde eis, hetzelfde bewijs en dezelfde vastgelegde oordelen, elk met een naam, een tijdstempel en een reden. Het gesprek blijft feitelijk.
Wat de asset owner ziet
Een vragenlijst vertrekt en dan wordt het stil. Een leveranciersaudit in je eigen omgeving gedraagt zich anders: je ziet hem bewegen.
Voortgang zonder najagen.
Elke eis toont zijn eigenaar, deadline en status. Achterstallige punten komen vanzelf bovendrijven; niemand jaagt na per e-mail.
Bewijs met de oordelen erbij.
Elk bewijsstuk blijft jarenlang gekoppeld aan zijn eis en beide oordelen. Downloads zijn beleidsmatig afgeschermd.
Rapporten op verzoek.
Genereer het assessmentrapport als pdf wanneer iemand erom vraagt, en exporteer de auditdata naar XLSX of pdf voor inkoop of je auditor.
Het 2-4-profiel: jouw contractbasis
IEC 62443-2-4 beschrijft de beveiligingscapaciteiten die een OT-serviceprovider moet meebrengen: bemensing, architectuur, remote access, patching, back-up en meer. Dat maakt de norm de natuurlijke basis voor integratie- en onderhoudscontracten: spreek het profiel en het maturity-doel af in het contract, en houd er in je eigen omgeving een doorlopend assessment tegen aan.
Contractverlengingen veranderen van karakter. In plaats van een nieuwe vragenlijst open je het logboek: wat is geaccepteerd, wat is afgewezen en waarom, en wat is er veranderd sinds vorig jaar.
Wat er in third-party-modus draait
Vijf eisennormen ondersteunen vandaag het leveranciersproces. Elke norm draait dezelfde lus: hun antwoord, de eerste beoordeling door hun lead, jouw oordeel.
De risicobeoordeling blijft een self-assessment: de risicobeslissing is van jou, genomen volgens het vierogenprincipe. Leveranciersbewijs kan erin meewegen; het vervangt de beoordeling nooit.
Eigenaar zijn van OT-risico over systemen die leveranciers draaien: doelen, bewijs, aantoonbaarheid.
De andere kant van de audit: beantwoord één keer, goed, en hergebruik het bij elke aanbesteding.
De lus van eis, eigenaar, bewijs en oordeel waar elke norm op draait.
Leg je volgende leveranciersaudit vast.
Denk aan één installatie. In dertig minuten laten we zien welke onderdelen van OTRISK bij jullie situatie passen en hoe de werkwijze eruitziet. Je vertrekt met concrete vervolgstappen en een prijsindicatie.