Krijg je sinds deze zomer vragenlijsten over je beveiliging van een gemeente, een ziekenhuis, een netbeheerder of een vervoerder, dan is dit het korte antwoord. Val je zelf niet onder de Cyberbeveiligingswet, dan legt die wet jou ook geen verplichtingen op. De plicht ligt bij je opdrachtgever. Alleen: hij moet kunnen aantonen dat hij de beveiliging van zijn toeleveringsketen op orde heeft, en jij bent een stuk van die keten. Wat hij van je verlangt staat dus niet in de wet, maar in jullie contract. Vrijblijvend is het daarmee niet, want je omzet hangt eraan. Maar het bepaalt wel de toon van het gesprek: je onderhandelt over eisen, je voert geen wet uit.
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor de organisaties die eronder vallen is ketenbeveiliging een van de maatregelen die ze moeten treffen. Voor hun leveranciers betekent dat post.
De plicht blijft liggen waar hij ligt
De wet noemt ketenbeveiliging als een maatregel die de organisatie zelf neemt. Artikel 21 heeft het over "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners".
Let op dat woord rechtstreekse. Je opdrachtgever kijkt naar de partijen waarmee hij zelf een contract heeft. Dat ben jij. Jouw eigen onderaannemers vallen buiten zijn wettelijke opdracht, al mag hij ernaar vragen, want jouw beveiliging leunt deels op hen.
Toezicht en handhaving richten zich uitsluitend op de organisaties die onder de wet vallen. Geen toezichthouder kan met deze wet in de hand bij een leverancier aankloppen. Eén uitzondering, en die gaat niet over gewone inkoop: de minister kan een organisatie verbieden producten of diensten van een aangewezen partij te gebruiken, om redenen van nationale veiligheid.
Wat overblijft is het contract.
Bij de Nederlandse implementatie is de eis aangescherpt
Hier zit het verschil dat de vragenlijstengolf verklaart. De Europese richtlijn zegt dat een organisatie "rekening houdt met" de kwaliteit van de beveiliging bij haar leveranciers. Bij de omzetting naar Nederlandse regelgeving is dat scherper geworden. Het Cyberbeveiligingsbesluit verlangt in artikel 10 dat de organisatie haar ketenbeleid schriftelijk vaststelt en aantoonbaar toepast. Het verlangt ook dat zij periodiek toetst of haar rechtstreekse leveranciers voldoen aan de beveiligingseisen die zij zelf stelt.
Toetsen en periodiek controleren is iets anders dan rekening houden met. Het eerste vraagt om bewijs, en bewijs haal je op bij je leveranciers. De vragenlijst op je bureau is dus geen overijverigheid van een inkoper. Het is iemand die zelf moet kunnen laten zien dat hij gekeken heeft.
Hoe hij moet toetsen ligt niet vast. De toelichting bij het besluit noemt twee voorbeelden: certificering van de leveranciers, of clausules in leveringsovereenkomsten. Verplichte contractbepalingen kent de wet verder niet.
Voor één groep opdrachtgevers werkt het anders. Entiteiten in de digitale sector, zoals aanbieders van cloud- en datacenterdiensten en van beheerde diensten, vallen niet onder de maatregelenartikelen van het Nederlandse besluit. Voor hen geldt in plaats daarvan Uitvoeringsverordening (EU) 2024/2690. Die schrijft acht onderwerpen voor die in het contract met hun leveranciers geregeld moeten zijn, waaronder het recht om te controleren of om auditverslagen te ontvangen. Lever je aan zo'n partij, dan is een streng contract geen willekeur maar een verplichting van je klant.
De leverancier van potloden valt erbuiten
De nuttigste zin uit de toelichting: "De relatie met een leverancier van potloden zal bijvoorbeeld buiten de reikwijdte van de verplichtingen vallen." De afbakening is dat het gaat om leveranciers die invloed hebben op de netwerk- en informatiesystemen van de organisatie.
Dat geeft je een bruikbare toets. Heb je toegang tot de systemen van je klant? Lever je software, beheer je apparatuur, staat er een koppeling tussen jullie systemen, of draait er een dienst van jou in zijn processen? Dan hoor je bij de groep waar hij naar moet kijken. Lever je kantoorartikelen, meubilair of catering, zonder toegang tot iets digitaals, dan hoor je er niet bij.
Die toets werkt twee kanten op. Gaat een uitvraag verder dan de invloed die jij op de systemen van je klant hebt, dan vraag je wat dat met jouw dienst te maken heeft.
Misschien val je er zelf wel onder
Voordat je concludeert dat de wet niet over jou gaat, één sector uit bijlage 1 die veel ondernemers over het hoofd zien: beheer van ICT-diensten tussen bedrijven onderling. Daaronder vallen aanbieders van beheerde diensten en van beheerde beveiligingsdiensten. Een systeembeheerder met vijftig voltijdplaatsen is dan geen leverancier in de marge van deze wet, maar een belangrijke entiteit met een eigen registratieplicht en een eigen meldplicht.
De omvangstoets is dan: vijftig of meer werkzame personen, gerekend in voltijdplaatsen, of een jaaromzet boven de tien miljoen euro én een balanstotaal boven de tien miljoen. Cijfers van verbonden ondernemingen tellen volledig mee, die van partnerondernemingen naar rato. Ook een investeerder met een belang tussen de 25 en 50 procent telt dus deels mee. Je status verandert pas als je twee boekjaren achter elkaar over de grens zit, gemeten bij het afsluiten van je jaarrekening. Dat werkt twee kanten op: één jaar erboven verandert nog niets, en zak je later weer eronder, dan ben je er ook niet meteen vanaf. Net gestart en nog geen boekjaar afgesloten? Dan maak je een schatting te goeder trouw.
Niemand stuurt je hierover een brief. De inschrijving in het landelijke register dat het NCSC beheert, doe je zelf. En als er iets misgaat gelden er korte termijnen: een eerste melding binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand na die eerste melding.
Elke sector vraagt het in zijn eigen taal
Wat een opdrachtgever wil weten, en in welke woorden, hangt af van zijn sector.
Werk je voor gemeenten, provincies of het Rijk, dan komt de uitvraag in de taal van ISO 27001 als manier om beveiliging te organiseren, met ISO 27002 en de overheidsvertaling daarvan als maatregelenlijst. Werk je voor de zorg, dan is NEN 7510 het vertrekpunt, met ISO 27001 en 27002 als aanvaard alternatief. In beide regelingen staat een gelijkwaardigheidsclausule: aantoonbaar gelijkwaardig mag ook. De toelichting bij de zorgregeling zegt het onomwonden: "Het behalen van een certificering toont aan dat een entiteit voldoet aan de norm, maar is in dezen geen vereiste."
Eén ding om alvast weg te strepen: er bestaat geen NIS2-certificaat. Geen keurmerk, geen certificerende instelling, en het NCSC en de NCTV zeggen los van elkaar dat keurmerken geen zelfstandige status hebben tegenover de wettelijke eisen. Kom je een aanbieder tegen die je een NIS2-certificering verkoopt, dan koop je een gespreksdocument, geen naleving.
Een certificaat verkort het gesprek, maar sluit het niet af
Heb je ISO 27001 of NEN 7510, dan scheelt dat je veel uitzoekwerk bij zo'n uitvraag. Andersom is één vragenlijst geen reden om zo'n traject te beginnen: of certificering iets voor je is, hangt af van wat een nulmeting laat zien, niet van de klant die het hardst vraagt. Je opdrachtgever toetst namelijk aan zijn eigen beveiligingseisen en niet aan een externe norm. Hij mag dus aanvullende vragen stellen over precies dat stuk van zijn dienstverlening waar jij in zit.
Kijk daarbij vooral naar de scope. Dat gaat aan beide kanten van de tafel geregeld mis. Een certificaat geldt voor een omschreven onderdeel: een vestiging, een dienst, een platform. De leverancier stuurt het mee zonder scopeverklaring, de opdrachtgever vinkt af zonder te lezen wat eronder valt, en pas bij een incident blijkt dat de geleverde dienst er niet in zat. Stuur die scopeverklaring dus altijd mee, ook ongevraagd.
Werk je met persoonsgegevens, dan lag er al meer
Verwerk je persoonsgegevens voor je opdrachtgever (denk aan personeelsgegevens, klantbestanden of patiëntgegevens), dan gold er voor jou al een hardere plicht dan alles wat hierboven staat. Passende technische en organisatorische maatregelen treffen is een eigen verplichting van jou als verwerker, met een eigen toezichthouder erachter. Datzelfde geldt voor je eigen register van wat je voor opdrachtgevers verwerkt, en voor het melden van een incident aan de opdrachtgever voor wie je werkt. Dát er een verwerkersovereenkomst ligt is een andere zaak: die plicht legt de AVG primair bij je opdrachtgever. Dit alles bestond al ruim voor 15 augustus 2026.
Wat er nu bij komt is geen tweede wettelijke plicht voor jou, maar de contractuele eis van je klant. Ketenbeveiliging blijft zijn maatregel. Het scheelt wel dat een deel van het werk al gedaan is: wie zijn verwerkersovereenkomsten en maatregelenoverzicht op orde heeft, beantwoordt daarmee een groot deel van zo'n beveiligingsvragenlijst.
Wat je maandag kunt doen
Begin bij de vraag welke van je opdrachtgevers onder de wet vallen. Gemeenten, waterschappen en provincies vallen er altijd onder, ongeacht omvang. Zorg, energie, drinkwater, transport, productie, afvalverwerking en digitale dienstverlening vallen eronder vanaf een zekere omvang. In de digitale sector zitten uitzonderingen waar omvang niet uitmaakt, zoals aanbieders van DNS-diensten, domeinnaamregistratie, vertrouwensdiensten en openbare communicatienetwerken. Die lijst vertelt je waar je uitvraag vandaan gaat komen.
Zet daarna op papier wat je nu al doet. Niet als beleidsdocument, maar als één overzicht: wie beheert je systemen, hoe is toegang geregeld, waar staan je back-ups en wanneer heb je er voor het laatst een teruggezet, wat gebeurt er bij een incident en wie belt de klant. Dat overzicht beantwoordt een groot deel van de vragenlijst, alleen anders geordend.
Breng ook je eigen toeleveringsketen in kaart, want dezelfde vraag rolt bij jou verder naar beneden. Er is een invulbare keteninventarisatie, gemaakt door het Digital Trust Center en nu te vinden bij het NCSC: per leverancier loop je langs waar je van afhankelijk bent, wat je hebt afgesproken en welk alternatief er is als die partij uitvalt. Hij is bedoeld voor mkb met een overzichtelijke keten. Daarnaast is er de Basisscan Cyberweerbaarheid van het NCSC, vijfentwintig stellingen langs de vijf basisprincipes van veilig digitaal ondernemen, met een rapport en een actielijst. Allebei gratis en anoniem in te vullen. Reken je met die basisscan alleen niet rijk richting een opdrachtgever: hij meet je digitale basis en niet de eisen van de Cyberbeveiligingswet, en je klant toetst aan zijn eigen eisen. Om je eigen stand te leren kennen is hij een prima vertrekpunt.
Twijfel je of je zelf onder de wet valt, dan is er de NIS2-Zelfevaluatie van de RDI. Let op een veelgemaakte verwisseling: op dezelfde site staat ook een NIS2-Quickscan, en die meet je beveiliging en zegt niets over de vraag of de wet op jou van toepassing is. Allebei dragen ze publicatiedatum 16 oktober 2024, dus je leest er nog dat de wetgeving eraan komt. De zelfevaluatie wordt naar eigen zeggen pas bijgewerkt na vaststelling van de Nederlandse wet, en dat is nog niet gebeurd. Neem de uitkomst dus als eerste indruk, niet als uitsluitsel.
Kijk tot slot je lopende contracten na op wat er al is toegezegd. Er staan vaker beveiligingsafspraken en auditrechten in dan mensen denken, en een eis die je twee jaar geleden hebt geaccepteerd is nu net zo hard als een nieuwe.