NIS2 en uw toeleveringsketen: waarom de vragenlijst ook bij u belandt
Veel organisaties toetsen alleen of ze zelf onder de Cyberbeveiligingswet vallen. Dat is de halve vraag. De wet verplicht organisaties die er wél onder vallen om de beveiliging van hun leveranciers te beoordelen, en die eis reist de keten in. Levert u software, hosting of beheer aan een ziekenhuis, een gemeente of een energiebedrijf, dan komt de vragenlijst uw kant op, of u nu zelf onder de wet valt of niet.
De Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) is op 7 juli 2026 aangenomen en treedt op 15 augustus 2026 in werking, zonder overgangsperiode. Beveiliging van de toeleveringsketen is een van de expliciete onderdelen van de zorgplicht. Voor de bredere uitleg van wie eronder valt en wat de wet vraagt, zie Cyberbeveiligingswet (NIS2): valt u eronder en wat verandert er?
De wet stopt niet bij uw klant
De zorgplicht uit de Cyberbeveiligingswet somt een aantal gebieden op die een organisatie in elk geval moet afdekken. Eén daarvan is de beveiliging van de toeleveringsketen. Dat is geen bijzin. Het betekent dat een organisatie die onder de wet valt niet alleen haar eigen systemen op orde moet hebben, maar ook aantoonbaar moet beoordelen of haar leveranciers dat zijn.
De reden is praktisch. Veel grote incidenten van de afgelopen jaren begonnen bij een leverancier: een beheerpartij met te ruime toegang, een softwarepakket met een kwetsbaarheid, een koppeling die niemand meer in de gaten hield. Wie zijn eigen deur op slot doet maar de leverancier een sleutel geeft, is nog steeds kwetsbaar. Daarom legt de wet de verantwoordelijkheid ook bij de partij die inkoopt.
Waarom u de vragenlijst krijgt, ook als u er niet onder valt
Hier zit de verrassing voor veel kleinere leveranciers. U kunt zelf ruim onder de omvangscriteria blijven en in een sector zitten die niet is aangewezen. Rechtstreeks valt u dan niet onder de wet. Maar uw klant valt er misschien wél onder, en die klant is nu verplicht om de beveiliging van zijn leveranciers te borgen.
Uw klant lost dat op de enige manier op die hem past: door de eis aan u door te geven. In de praktijk gebeurt dat op drie manieren, vaak tegelijk.
- Een leveranciersvragenlijst. Een uitvraag over uw beveiliging, van toegangsbeheer tot incidentproces, die u ingevuld moet terugsturen.
- Aangescherpte contractvoorwaarden. Nieuwe of verlengde contracten krijgen bepalingen over beveiligingsmaatregelen, meldtermijnen bij incidenten en het recht op controle.
- Bewijsvereisten. Steeds vaker wordt om concreet bewijs gevraagd, zoals een recent penetratietestrapport of een certificering, in plaats van alleen een ingevulde vragenlijst.
Het gevolg is dat de wet u bereikt via de keten. U voelt geen boete van de toezichthouder, maar u voelt wel de klant die zonder een bevredigend antwoord niet verlengt of niet gunt. Voor een SaaS-leverancier of een IT-dienstverlener is dat commercieel net zo hard.
Krijgt u de leveranciersvragenlijst van een klant die onder NIS2 valt? Een pentestrapport is het meest geaccepteerde bewijs dat uw technische maatregelen werken, en beantwoordt de lastigste vragen in één keer.
Plan een gratis intake →Wat er in zo'n vragenlijst staat
De vragenlijsten verschillen per klant, maar ze putten allemaal uit dezelfde onderwerpen van de zorgplicht. Onderstaande tabel geeft de meest voorkomende blokken, en waar het bij elk blok echt om draait.
| Onderwerp | Wat de klant wil zien |
|---|---|
| Beleid & governance | Een informatiebeveiligingsbeleid dat leeft, met een verantwoordelijke die is aangewezen |
| Toegang & authenticatie | Rolgebaseerde toegang, multifactor-authenticatie, beheer van accounts die de organisatie verlaten |
| Incident & melding | Een proces om incidenten te detecteren en te melden, met termijnen die aansluiten op de meldplicht van de klant |
| Back-up & continuïteit | Aantoonbaar geteste back-ups en een herstelplan, niet alleen een back-upschema op papier |
| Bewijs dat het werkt | Een recent, onafhankelijk penetratietestrapport en een hertestverklaring van de kritieke systemen |
De eerste vier blokken beantwoordt u met beleid en procedures. Het laatste blok is het blok waar een ingevulde vragenlijst tekortschiet. "Wij nemen beveiliging serieus" is geen bewijs. Een externe partij die geprobeerd heeft binnen te komen en het resultaat heeft vastgelegd, is dat wel.
"Wij zijn te klein voor NIS2" is niet meer het antwoord
Tot voor kort was "wij vallen er zelf niet onder" een afdoende reactie op een securityvraag van een klant. Onder de Cyberbeveiligingswet werkt dat argument tegen u. Uw klant kán het niet accepteren, want zíjn zorgplicht verplicht hem om juist wél naar u te kijken. Hoe kritischer u in zijn proces zit, hoe zwaarder de uitvraag.
Dat is geen slecht nieuws als u het omdraait. Een leverancier die de vragenlijst snel, volledig en met bewijs beantwoordt, verlaagt de drempel om met hem in zee te gaan. In een markt waarin steeds meer opdrachtgevers dezelfde uitvraag doen, helpt een goed onderbouwd securityverhaal u juist om op te vallen.
NIS2 verplicht niet alleen de organisaties die eronder vallen, maar via hen ook hun leveranciers. Wie iets kritieks levert aan zo'n klant, krijgt de vragenlijst. En die beantwoordt u overtuigender met een testrapport dan met een toezegging.
Waar de penetratietest de vragenlijst afdekt
De Cyberbeveiligingswet noemt het woord "penetratietest" nergens letterlijk, net zomin als de NIS2-richtlijn dat doet. Toch komt een pentest in de keten steeds vaker terug, en dat is logisch. Een goed pentestrapport beantwoordt de vraag die een klant zelf het moeilijkst kan controleren: werkt de beveiliging van deze leverancier echt? Het laat zwart op wit zien:
- Welke kwetsbaarheden er feitelijk waren op het moment van testen
- Welke daarvan werkelijk exploiteerbaar waren, en niet alleen theoretisch
- Welke maatregelen aantoonbaar standhielden
- Welke bevindingen na herstel zijn verholpen, via de hertest
Daarmee is een pentestrapport het sterkste antwoord op het bewijsblok van de vragenlijst. Het vervangt de organisatorische afspraken niet, zoals de meldketen en de verwerkersafspraken, maar het dekt het deel af dat u met een formulier niet overtuigend rondkrijgt. Wilt u eerst de basis begrijpen, lees dan wat een penetratietest precies is. Voor het ritme is er hoe vaak u een penetratietest moet laten doen, en voor het kostenplaatje wat een penetratietest kost.
Dan loopt de keten-eis samen met bestaande kaders. Zorginstellingen toetsen leveranciers vaak langs NEN 7510, gemeentes langs ENSIA en de BIO, waarover we schreven in NIS2 en gemeentes: wat verwacht de toezichthouder?. De onderliggende vraag is in alle gevallen dezelfde: kunt u aantonen dat uw maatregelen werken?
Wat u nu kunt doen als leverancier
U hoeft niet te wachten tot de eerste vragenlijst binnenkomt. Sterker nog, wie de uitvraag voor is, onderhandelt vanuit een betere positie. Een werkbare eerste aanzet:
- Breng in kaart welke klanten onder NIS2 vallen. Zorg, overheid, energie, transport, digitale infrastructuur en hun toeleveranciers zijn de eerste die zullen uitvragen.
- Bepaal hoe kritiek u voor hen bent. Hoe dieper u in een primair proces zit, hoe eerder en zwaarder de uitvraag komt.
- Leg uw eigen basis vast. Beleid, toegangsbeheer met multifactor-authenticatie, een incidentproces en geteste back-ups. Dat is het merendeel van elke vragenlijst.
- Regel het bewijs voor de techniek. Plan een penetratietest op uw meest kritieke applicatie of dienst en bewaar het rapport én de hertestverklaring, zodat u ze paraat heeft zodra een klant erom vraagt.
- Maak er een verkoopargument van. Een leverancier die de vragenlijst in één keer volledig beantwoordt, wint tijd en vertrouwen bij de inkoper.
Valt u zelf ook onder de wet, dan is dit slechts één kant van uw verplichtingen. De volledige volgorde staat in de Cyberbeveiligingswet is aangenomen: uw actielijst tot 15 augustus.
Conclusie
De vraag "vallen wij onder NIS2?" is niet de enige vraag die telt. De Cyberbeveiligingswet werkt door in de hele keten, en raakt daarmee ook leveranciers die zichzelf buiten schot waanden. Wie levert aan een organisatie die wél onder de wet valt, krijgt de vragenlijst, de contractclausules en de vraag om bewijs.
Dat bewijs is het lastigst met een formulier rond te krijgen. Een onafhankelijke penetratietest, met rapport en hertestverklaring, geeft daarop het antwoord dat een klant echt overtuigt. Zo wordt de vragenlijst een kans om de opdracht te winnen. Twijfelt u waar te beginnen? Een gratis intake van 30 minuten geeft helderheid over uw situatie, zonder verplichtingen.
Bewijs dat de keten overtuigt.
Een handmatige penetratietest op uw kritieke dienst, met een rapport en hertestverklaring die u direct kunt meesturen als antwoord op de leveranciersvragenlijst. Vaste prijs, hertest inbegrepen.
Plan gratis intake →