kunnen meerdere medewerkers van mijn bedrijf inloggen op hetzelfde account

Meerdere gebruikers per account is de norm, niet de uitzondering

Ja, dat is bij Supplia de bedoelde manier van werken. Eén account is gekoppeld aan één onderneming, niet aan één persoon. Collega's die bij die onderneming horen, loggen elk met hun eigen gebruikersnaam in op hetzelfde ketendossier. Dat is handig omdat de gegevens in de praktijk uit verschillende hoeken komen: iemand van HR vult het aantal medewerkers aan, iemand van finance de omzet, en iemand van IT of compliance de vragen over informatiebeveiliging.

Wie er precies bij mag, blijft binnen de invulling van het bedrijf zelf — Supplia schrijft daar geen rolverdeling voor voor. Wel is het zinvol om intern af te spreken wie welk onderdeel beheert, zeker bij gevoelige velden. Zo kan de vertrouwelijkheidsknop per antwoord worden gezet door wie er verstand van heeft, zonder dat iedereen bij elk detail moet zijn. Dat werkt anders dan bij bijvoorbeeld de vraag of de onderneming ISO 9001-gecertificeerd is, waar meestal één persoon het certificaat beheert maar een collega het antwoord alleen bevestigt voordat het naar het portaal van de klant gaat.

Waarom dit geen securityrisico op zich is

Meerdere accounts op één ketendossier is geen afwijking van een beveiligingsnorm, zolang toegang en rollen beheerd worden. Dat is precies waar Annex A van ISO/IEC 27001 over gaat: niet over de vraag óf meerdere mensen toegang hebben, maar over hoe die toegang wordt toegekend, gelogd en weer ingetrokken. Een onderneming die deze annex als naslag gebruikt bij het invullen van vragen over toegangsbeheer, kan dezelfde logica hanteren voor het eigen Supplia-account: gebruikers individueel toevoegen en verwijderen, in plaats van één wachtwoord te delen. Dat sluit ook aan bij artikel 21 lid 2 van de NIS2-richtlijn, waar toegangsbeheer een van de tien genoemde maatregelen is — al gaat dat artikel over de beveiliging van de eigen organisatie, niet specifiek over het gebruik van Supplia.