Pomp je als ondernemer jaarlijks duizenden euro’s in de beveiliging van je IT-infrastructuur? Dan installeer je waarschijnlijk de modernste firewalls, richt je strikte toegangsbeheersystemen in, voorzie je waterdichte back-upstrategieën en laat je je personeel bijscholen om verdachte e-mails meteen te herkennen. Je digitale voordeur zit met andere woorden dubbel op slot en op het eerste gezicht lijk je volledig afgeschermd van digitaal onheil.
Toch blijkt die perceptie van veiligheid al te vaak een illusie, want de gevaarlijkste kwetsbaarheid kan zich natuurlijk ook elders in je eigen netwerk bevinden. Kwaadwilligen hebben immers allang begrepen dat het veel efficiënter is om een omweg te nemen via de zijdeur. Net daarom verschuift de focus van cybercriminelen op grote schaal naar softwareleveranciers, cloudproviders, hostingpartners en Managed Service Providers. Wanneer zo’n externe dienstverlener een beveiligingslek vertoont, krijgen aanvallers in één klap een loper in handen die toegang geeft tot de gevoelige systemen en data van tientallen of honderden van hun klanten tegelijk.
Voor een zaakvoerder of IT-verantwoordelijke voelt dat bijzonder onrechtvaardig. Je huiswerk is vlekkeloos gemaakt, en toch lekken je klantendata door een fout bij een leverancier. Wanneer de chaos toeslaat en de herstelkosten oplopen, verandert een technisch incident al snel in een juridisch conflict. Wie draait er dan op voor de schade? Dat antwoord is in de praktijk helaas een stuk complexer dan je zou inschatten…
Waarom supply chain attacks een groeiend probleem vormen
Denk maar aan de chaos op Brussels Airport in september 2025. De IT-infrastructuur van de luchthaven zelf stond als een huis, maar een ransomware-aanval bij externe leverancier Collins Aerospace (die de wereldwijde inchecksystemen beheert) legde de boel toch volledig lam. Passagiers moesten plots met pen en papier worden ingecheckt en talloze vluchten liepen uren vertraging op. De luchthaven en luchtvaartmaatschappijen moesten de klappen opvangen en reizigers vergoeden, voor een probleem dat niet in hun eigen netwerk zat.
Het is het perfecte, pijnlijke voorbeeld van de hedendaagse realiteit. Of het nu gaat om een cruciaal inchecksysteem op een luchthaven, een cloudgebaseerd boekhoudpakket, of een IT-partner die permanente toegang op afstand heeft tot jouw bedrijfsnetwerk: elke externe koppeling vormt een potentiële invalshoek waar je zelf geen rechtstreekse controle over uitoefent. Wanneer die partner het slachtoffer wordt van een incident, zie je de eigen werking plotseling volledig stilvallen, ontstaat er aanzienlijke reputatieschade en riskeer je bovendien zware boetes. Deze evolutie verklaart waarom de wetgever via regelgeving zoals de NIS2-richtlijn bedrijven nu ook expliciet verplicht om het leveranciersrisico actief te beheersen en contractueel te waarborgen.
Aansprakelijkheid bij een datalek of cyberaanval via je leveranciers
Wanneer een beveiligingsincident ontstaat bij een leverancier, luidt de eerste reactie vaak dat de schuld en de rekening volledig bij die leverancier liggen. De juridische werkelijkheid is echter aanzienlijk genuanceerd. Tegenover je eigen klanten, contractpartijen en de Gegevensbeschermingsautoriteit blijf jij in de eerste plaats zelf aansprakelijk voor de naleving van je verplichtingen en de beveiliging van persoonsgegevens, ongeacht of de feitelijke oorzaak bij een onderaannemer ligt.
Of je de opgelopen schade vervolgens succesvol kan verhalen op de gehackte leverancier, hangt integraal af van de afspraken die vooraf contractueel werden vastgelegd. Daarbij spelen enkele specifieke juridische instrumenten een cruciale rol:
- In de eerste plaats zijn dat de verwerkersovereenkomsten. Wanneer een leverancier in jouw opdracht persoonsgegevens verwerkt, is volgens de AVG een verwerkersovereenkomst verplicht. Dit document moet niet alleen de concrete beveiligingsmaatregelen omschrijven, maar legt ook strikte meldtermijnen bij incidenten vast. Een vage of gestandaardiseerde verwerkersovereenkomst biedt juridisch onvoldoende houvast wanneer het tot een geschil komt.
- Daarnaast heb je een expliciet auditrecht nodig. Zonder dat recht in je contract kan je leverancier eenvoudigweg weigeren om te laten controleren of zijn beveiliging wel op punt staat. Heb je tijdens de samenwerking twijfels over de veiligheid van de data infrastructuur, dan sta je juridisch met lege handen.
- Het grootste struikelblok in de praktijk blijft evenwel de aansprakelijkheidsregeling. Vrijwel alle standaardvoorwaarden van software- en cloudleveranciers bevatten verregaande aansprakelijkheidsbeperkingen. Deze beperkingen beperken de financiële aansprakelijkheid van de leverancier vaak tot het bedrag dat gedurende de laatste twaalf maanden werd gefactureerd, of soms zelfs tot de prijs van één maandabonnement. Zulke bedragen staan in geen enkele verhouding tot de werkelijke schade van een datalek of een meerdaagse productiestop. Het is daarom van essentieel belang om deze clausules vooraf kritisch te onderhandelen en af te stemmen op het reële risicoprofiel van de dienst.
- Tot slot moeten contracten concrete, meetbare en verifieerbare beveiligingsnormen bevatten. Vage formuleringen bieden te weinig houvast. Het contract dient specifieke vereisten te bevatten inzake encryptie, toegangsbeheer, patchmanagement en concrete meldtermijnen bij incidenten.
De GDPR-toolbox als preventief schild: voorkomen is beter dan genezen
Hoewel we vaak naar technische oplossingen zoals patching en firewalls kijken, biedt de privacywetgeving (AVG/GDPR) eigenlijk al alle instrumenten om leveranciersrisico’s preventief en structureel aan te pakken. Voor een DPO of bedrijfsjurist vormt deze juridische toolbox dé hoeksteen van een breder cyberveiligheidsbeleid.
Alles begint bij een grondige Vendor Assessment vóórdat je met een nieuwe partner in zee gaat. Dit gaat veel verder dan een snelle check. Heeft de leverancier zelf een DPO aangesteld? Zijn hun Technische en Organisatorische Maatregelen (TOM’s) transparant en publiek beschikbaar? Waar bevinden de servers zich (datalokalisatie) en zijn er waterdichte Service Level Agreements (SLA’s) beschikbaar? Als een leverancier deze basisinformatie niet vlot kan aanleveren, moeten er al alarmbellen afgaan.
Daarnaast is er de Data Protection Impact Assessment (DPIA). Dit wordt vaak gezien als een administratieve verplichting achteraf, maar het is net het uitgelezen instrument om vooraf de risico’s van een nieuwe toeleverancier bloot te leggen. Een goede DPIA dwingt je om kritisch te kijken naar de datastromen en creëert meteen de ruimte om vast te leggen hoe en wanneer je de toeleverancier mag auditen.
Pas wanneer die beoordeling positief is, volgt de Verwerkersovereenkomst (DPA). Hier wordt in de praktijk nog veel te licht overheen gegaan door simpelweg een standaard template af te vinken. Een robuuste DPA is echter maatwerk: het is het fundament waarin je niet enkel de verwerking van data regelt, maar waarin je harde garanties rond cybersecurity, meldplichten, en jouw controle- en auditrechten juridisch verankert.
Van contractuele afspraak tot technische verificatie
Contractuele afspraken bieden op zichzelf geen garantie als ze niet getoetst worden aan de technische werkelijkheid. Een auditrecht dat nooit wordt uitgeoefend of een beveiligingsnorm die niet wordt gecontroleerd, verliest natuurlijk zijn waarde. Om een effectieve bescherming te bieden, moeten juridische waarborgen hand in hand gaan met technische verificatie.
Fox&Fish Cyberdefense brengt de technische risico’s van jouw digitale keten op een gestructureerde manier in kaart. Dit kan via penetratietesten van je eigen omgeving met specifieke focus op VPN-verbindingen of API-koppelingen met leveranciers, via Open Source Intellgicence of OSINT-onderzoek naar publiek toegankelijke kwetsbaarheden in de infrastructuur van je kritieke leveranciers, via een Cyber Fundamentals Audit (CyFun) waarin leveranciersbeheer een vast onderdeel vormt van de beoordeling, of via externe monitoringtools die continu de digitale voetafdruk van je belangrijkste partners opvolgen.
Zo krijg je niet enkel een juridisch kader, maar ook een reëel en onderbouwd beeld van waar je keten kwetsbaar is, wat je nodig hebt om bij contractonderhandelingen concrete eisen op tafel te leggen.
Wat betekent dit concreet voor jouw bedrijf?
Om het risico op ketenincidenten of zijdeur-hacks effectief te beheersen en je schadepositie te beschermen, neem je best de volgende stappen:
- Breng al je externe leveranciers en dienstverleners volledig in kaart en categoriseer hen op basis van hun toegang tot kritieke systemen of gevoelige persoonsgegevens.
- Laat je bestaande contracten, algemene voorwaarden en verwerkersovereenkomsten juridisch doorlichten, met specifieke aandacht voor de aansprakelijkheidsbeperkingen, de meldplichten bij incidenten en het opnemen van afdwingbare auditrechten.
- Leg concrete, meetbare beveiligingsvereisten vast in je inkoopproces en maak het ondertekenen van aangepaste verwerkersovereenkomsten een strikte voorwaarde voor samenwerking.
- Voer periodiek technische verificaties en audits uit op de koppelvlakken en infrastructuur van je meest kritieke leveranciers.
Samen sterker tegen de zwakste schakel
Beveiliging tegen de zijdeur-hack is nooit enkel een juridisch of enkel een technisch vraagstuk. Het is de combinatie van een waterdicht contract en een geverifieerde technische realiteit die je echt beschermt.
Sirius Legal begeleidt je bij het opstellen en onderhandelen van de juiste contractuele bepalingen, verwerkersovereenkomsten en aansprakelijkheidsregelingen. Fox&Fish Cyberdefense brengt de technische risico’s van je leveranciersketen in kaart, met pragmatisch advies dat rechtstreeks aansluit op die contracten. Graag eens kennismaken? Boek via de link hiernaast volledig vrijblijvend een kennismakingsgesprek in met onze advocaten in Hasselt of Mechelen. Mailen kan natuurlijk ook: info@siriuslegal.be.
Dit artikel werd geschreven in samenwerking met Mathias Vissers van Fox&Fish Cyberdefense, onze partners in onze cybersecurity.
Maak hier een afspraak
Veelgestelde vragen / FAQ
Blijf je tegenover je eigen klanten aansprakelijk als je IT-leverancier gehackt wordt?
Tegenover je eigen contractpartijen en op grond van de AVG blijf je in de eerste plaats zelf verantwoordelijk voor de nakoming van je verplichtingen en de beveiliging van persoonsgegevens. Dat de feitelijke oorzaak bij een externe leverancier ligt, heft jouw rechtstreekse aansprakelijkheid tegenover de getroffenen niet op. Wel kan je de opgelopen schade achteraf proberen te verhalen op de leverancier, mits de contractuele afspraken dat toelaten.
Hoe pas je de aansprakelijkheid van een softwareleverancier aan als hun standaardvoorwaarden schade uitsluiten?
Standaardvoorwaarden van software- en cloudleveranciers bevatten vrijwel altijd verregaande aansprakelijkheidsbeperkingen. Om dit risico op te vangen, moet je tijdens de contractonderhandelingen een specifieke afwijking bedingen waarin de aansprakelijkheid voor gegevensinbreuken of ernstige beveiligingsfouten hoger wordt gesteld of wordt uitgezonderd van de algemene financiële limiet.
Wat is het nut van een expliciet auditrecht in een leverancierscontract?
Een auditrecht geeft je de juridische mogelijkheid om zelf, of via een externe expert zoals Fox&Fish Cyberdefense, te controleren of de leverancier de afgesproken technische en organisatorische beveiligingsmaatregelen ook effectief naleeft. Zonder zo’n expliciete clausule kan een leverancier toegang tot zijn systemen of auditrapporten weigeren met een beroep op bedrijfsgeheimen.