Een leveranciersbeleid voor de installatiebranche is een overzicht van de partijen waarmee u zelf werkt — onderaannemers, zzp'ers, softwareleveranciers voor uw planning of gebouwbeheersystemen — met per partij een inschatting van het risico dat zij meebrengen. Voor installatiebedrijven ligt de nadruk vaak niet alleen op digitale toegang, maar ook op fysieke toegang: wie krijgt een sleutel, een toegangspas of een inlog op het beheersysteem van uw klant.
Dat maakt de installatiebranche een bijzonder geval. Waar een softwarebedrijf vooral kijkt naar wie er bij de broncode kan, kijkt een installatiebedrijf naar wie er in het pand van de klant staat, aan welke bekabeling wordt gewerkt en welke gegevens over dat pand — plattegronden, alarmcodes, toegangslogs — onderweg zijn naar een onderaannemer. Een leveranciersbeleid brengt die twee werelden, fysiek en digitaal, samen in één overzicht.
Waarom dit ook zonder eigen plicht relevant is
Installatiebedrijven vallen meestal niet zelf onder de zorgplicht van de Cyberbeveiligingswet. Maar de opdrachtgever die wél plichtig is — een ziekenhuis, een energiebedrijf, een gemeente — moet zijn eigen keten beoordelen, en dat betekent dat hij ook kijkt naar wie ú weer inschakelt. Een onderaannemer met een onbeheerde laptop die inlogt op het gebouwbeheersysteem van een ziekenhuis is voor die opdrachtgever een risico, ook als het contract formeel met u is afgesloten. Een leveranciersbeleid laat zien dat u die doorgeefketen kent en beheert, in plaats van dat u het antwoord schuldig blijft zodra de vraag komt. Meer over wat die opdrachtgever precies mag vragen, leest u in het overzicht van onderwerpen per sector.
Wat er concreet in het beleid hoort
Een werkbaar leveranciersbeleid begint met een lijst: wie werkt er voor u, met welke toegang, en hoe vast staat die relatie. Voor installatiebedrijven zijn dat doorgaans drie categorieën. Onderaannemers en zzp'ers die op locatie werken en daarbij fysieke toegang krijgen tot panden, sleutelkasten of serverruimtes. Softwareleveranciers van planning-, facturatie- of gebouwbeheersystemen die op afstand meekijken of meewerken. En leveranciers van materialen of apparatuur die soms ook een eigen inlog nodig hebben, bijvoorbeeld voor garantieregistratie op afstand.
Per partij is het de vraag wat een redelijke controle is: een verklaring dat wachtwoorden niet gedeeld worden tussen medewerkers, een afspraak over wat er gebeurt met toegangscodes na afloop van een klus, of simpelweg een contactpersoon die u kunt bereiken als er iets misgaat. Niet elke leverancier vraagt om dezelfde diepgang — een leverancier van schroeven vraagt iets anders dan een onderaannemer die met uw account inlogt op het beheersysteem van een ziekenhuis.
Onderaannemers en toegang: het punt waar het vaak misgaat
In de installatiebranche wordt veel gewerkt met wisselende onderaannemers, soms voor één klus, soms structureel. Dat maakt toegangsbeheer lastiger dan in een bedrijf met een vast team. Een praktisch startpunt is een simpele vraag per onderaannemer: krijgt deze persoon een eigen toegangspas of sleutel, of wordt er gewerkt met een gedeelde code? Wordt die toegang ingetrokken zodra de klus klaar is, of blijft die actief tot iemand eraan denkt om hem te blokkeren? En wie binnen uw eigen bedrijf is verantwoordelijk voor die intrekking?
Deze vragen lijken organisatorisch, niet technisch, maar ze zijn precies waar een leveranciersbeleid over gaat: niet over firewalls, maar over wie waar binnenkomt en waarom. Voor de bredere maatregelen rond toegang binnen uw eigen bedrijf is er aparte verdieping; dit artikel gaat specifiek over de partijen buiten uw bedrijf die u zelf inschakelt.
Hoe u begint zonder er een jaarproject van te maken
Een leveranciersbeleid hoeft niet in één keer compleet te zijn. Een werkbare volgorde is: begin met de partijen die toegang hebben tot de meest gevoelige omgevingen — gebouwbeheersystemen bij klanten uit de vitale sectoren, of software die op afstand meekijkt. Leg per partij vast wat u weet, wat u nog moet navragen en wie dat oppakt. Breid dat overzicht daarna uit naar de rest van de keten.
Of en in welke mate dit voor uw bedrijf relevant is, hangt af van de sectoren waarin uw klanten actief zijn en van de aard van uw eigen dienstverlening. Een korte check laat zien waar uw bedrijf in de keten staat, en de kennisbank op secria.eu laat per onderwerp zien welke vindplaats in de officiële tekst daarbij hoort. Hoe wij die bronnen bijhouden, staat toegelicht op de pagina over onze werkwijze.
Wat dit artikel niet vervangt
Een leveranciersbeleid is een organisatorisch document, geen juridisch advies over uw specifieke contracten of aansprakelijkheid richting onderaannemers. Voor vragen daarover is een jurist of de brancheorganisatie het aangewezen aanspreekpunt. Veelgestelde vragen over de reikwijdte van de wet en de rol van leveranciers staan verzameld op de pagina met veelgestelde vragen.
Wilt u weten waar uw eigen bedrijf staat, en welke leveranciers in uw keten het eerst aandacht verdienen? De quick-scan is gratis en geeft in een paar minuten een eerste indicatie, zonder dat u daarvoor een account nodig heeft.