Met betrekking tot bewijs dat leveranciers voldoen aan de informatiebeveiligingseisen, MOET het volgende worden overwogen en contractueel vastgelegd:
Het recht om beheerprocessen en beheersmaatregelen van de leverancier te auditen door onze eigen of een externe auditor.
De verplichting van de leverancier om vast te stellen of geleverde producten en diensten voldoen aan de gestelde technologische informatiebeveiligingseisen middels security reviews en/of penetratietesten door een gecertificeerde en onafhankelijke specialist.
De verplichting van de leverancier om periodiek een rapport te verstrekken over de doeltreffendheid van beheersmaatregelen en overeenkomst over tijdige correctie van relevante kwesties die in het rapport aan de orde worden gesteld.
De verplichting van de leverancier om haar onderleveranciers te auditen door een onafhankelijke auditor, indien dit noodzakelijk wordt geacht op basis van een risicoanalyse.
Optioneel, de verplichting van de leverancier om te certificeren conform een informatiebeveiligingsstandaard en/of het verstrekken door de leverancier van formele attesten - zie maatregel “Verantwoording”.
