Het contract met een leverancier is afgelopen en jullie werken niet meer samen. Maar bepaalde gegevens van jullie bedrijf, zoals teeltgegevens, klantgegevens of informatie over jullie bedrijfsprocessen, staan nog wel op de computers van die leverancier. Wie kan daar nu bij? Wat gebeurt er verder mee? En wat als de leverancier over een paar jaar wordt gehackt?
Waarom is dit belangrijk voor de glastuinbouwsector?
In de tuinbouwcluster wordt er veel informatie gedeeld met andere bedrijven. Denk aan persoonsgegevens, teeltgegevens, offertes of informatie over productie- en logistieke processen. Die informatie is vaak vertrouwelijk. Als er iets misgaat, kan belangrijke informatie lekken, wat grote gevolgen kan hebben voor je bedrijfsvoering. Het helpt om drie vragen te stellen voordat je iets deelt: Wat deel ik? Met wie deel ik het? En hoe deel ik het?
Wat deel ik? Eerst classificeren!
Niet alle informatie is even gevoelig. Een algemeen bericht over de start van het oogstseizoen is minder vertrouwelijk dan persoonsgegevens van een medewerker. Het NCSC verdeelt informatie in minstens vier categorieën: geheim, vertrouwelijk, intern en publiek (er zijn ook organisaties die er zes hanteren). Het verschil zit in de gevolgen als de informatie per ongeluk openbaar wordt.
- Geheim: De wet stelt eisen aan deze informatie, en een lek kan ernstige schade veroorzaken.
- Vertrouwelijk: Informatie waarbij een lek negatieve gevolgen heeft voor je bedrijf, of informatie die bij een persoon hoort.
- Intern: Informatie die je nodig hebt voor de dagelijkse gang van zaken. Als die uitlekt, heeft dat geen directe negatieve gevolgen.
- Publiek: Informatie die je met de buitenwereld mag delen.
De eigenaar van de informatie bepaalt het niveau. Dit niveau bepaalt dan weer hoe goed je de informatie moet beveiligen. De eigenaar is ook verantwoordelijk voor het maken, gebruiken en beveiligen zelf. Geef vertrouwelijke documenten een duidelijk label, bijvoorbeeld door het woord “vertrouwelijk” op elke pagina te zetten. Wil je toch vertrouwelijke informatie delen? Vraag dan altijd eerst toestemming aan de eigenaar.
Let extra op persoonsgegevens. Als daarmee iets misgaat, kun je niet alleen te maken krijgen met boetes, maar kan ook het vertrouwen van zakelijke relaties in je bedrijf beschadigd raken.
Met wie? Toegang beperken!
Niet iedereen binnen of buiten een bedrijf hoeft overal bij. Het NCSC adviseert om mensen alleen toegang te geven tot wat ze nodig hebben voor hun werk, en alleen zolang ze dat nodig hebben. Dat geldt dus ook voor partijen buiten je bedrijf. Check regelmatig of de rechten nog kloppen, ook voor medewerkers uit dienst. Zo is de kans op fouten kleiner. Bovendien kan een aanvaller zo minder schade aanbrengen als deze een specifiek account buitmaakt: diegene kan alleen bij de informatie die bij die rol past.
Delen met leveranciers en ketenpartners
Met leveranciers wordt vaak informatie gedeeld. Daarom is het belangrijk dat je weet waar je aan toe bent. Zonder duidelijke verantwoordelijkheden raken risico’s in de keten snel buiten beeld. Maak daar goede afspraken over.
- Bepaal welke informatie je uitwisselt en hoe belangrijk die voor je bedrijf is.
- Spreek af over welke incidenten je bericht wilt krijgen, en hoe snel.
- Zet de afspraken op papier, bijvoorbeeld in een Service Level Agreement (SLA). Dat is een overeenkomst waarin staat wat je van elkaar mag verwachten.
- Regel ook wat er gebeurt als de samenwerking stopt. Leg vast dat gevoelige gegevens dan worden verwijderd.
Ga er niet vanuit dat een ander het oplost. Het NCSC gebruikt hiervoor het motto “jouw probleem, jouw risico”. Gaat er bij je leverancier iets mis, dan kan dat jouw bedrijf alsnog raken. Dat geldt ook als je er juridisch niets verantwoordelijk voor bent.
Valt je bedrijf onder de Cyberbeveiligingswet? Dan is de veiligheid van de keten, waaronder de vertrouwelijkheid van gegevens, een verantwoordelijkheid van het bestuur van je bedrijf. De wet is op 15 augustus 2026 in werking getreden.
Hoe? Praktische afspraken.
- Werk je met software die online draait? Kijk dan eerst of je daarmee bestanden kunt delen.
- Versleutel vertrouwelijke informatie, zowel tijdens het versturen als tijdens het opslaan. Versleutelen betekent dat alleen wie bijvoorbeeld het wachtwoord heeft, het bestand kan lezen.
- Kies een dienst waarbij je moet inloggen of een wachtwoord nodig hebt om iets te downloaden. Dan kan niet zomaar iedereen het bestand openen als de link per ongeluk wordt doorgestuurd.
- Stuur het wachtwoord niet in dezelfde mail als de link. Gebruik liever een geheel ander kanaal, zoals een Signal-bericht.
- Kijk hoe lang de dienst je bestanden bewaart, en of je ze zelf kunt verwijderen.
- Stuur vertrouwelijke informatie niet door naar gedeelde mailadressen (zoals info@) of externe adressen, tenzij de eigenaar dat goedkeurt.
Benieuwd naar kwetsbaarheid binnen de keten? Lees Zo sterk als de zwakste schakel: het Albert Heijn incident en de kwetsbaarheid van ketens.
Bron: Nationaal Cybersecurity Centrum
Foto: iStock/metamorworks