Cybersecurity · NIS2
NIS2-eisen als leverancier: wat vragen uw klanten en hoe bereidt u zich voor?
Kort antwoord
Sinds 15 augustus 2026 moeten organisaties die onder de Cyberbeveiligingswet vallen ook de risico's in hun toeleveringsketen beheersen. Dat merkt u als leverancier aan beveiligingsvragenlijsten, nieuwe contractclausules en soms een verzoek om een certificaat of een audit. U valt dan niet zelf onder de wet en hebt geen registratie- of meldplicht bij het NCSC, maar uw klant mag passende maatregelen van u verlangen. Wie zijn basis op orde heeft en die in één beveiligingsdossier vastlegt, beantwoordt elke klant sneller en maakt er een verkoopargument van.
Wat kunt u verwachten?
| Vraag van de klant | Wat het in de praktijk betekent |
|---|---|
| Beveiligingsvragenlijst | Vragen over MFA, back-ups, updates, toegangsbeheer, incidentafhandeling en uw eigen leveranciers. Vaak gebaseerd op standaarden als SIG of CAIQ, of op een eigen sjabloon. |
| Contractclausules | Afspraken over minimale maatregelen, het melden van incidenten bij de klant binnen een korte termijn, het recht op audit en de inzet van onderaannemers. |
| Bewijs | Een certificaat (ISO 27001, NIS2 Supply Chain of een ander keurmerk), een recente pentest, of een ingevuld zelfassessment. |
| Toegang tot hun systemen | Werkt u in de systemen van de klant, dan gelden vaak extra eisen voor accounts, MFA en logging. |
Mag een klant dit van u eisen?
De Cyberbeveiligingswet verplicht uw klant om ketenrisico's te beheersen. Vormt u via uw dienst of uw toegang een risico voor hun systemen, dan mag de klant maatregelen van u verlangen en die contractueel vastleggen. Wat redelijk is, hangt af van wat u levert: een IT-dienstverlener met beheerrechten krijgt zwaardere eisen dan een leverancier van kantoorartikelen. Twijfelt u of een eis proportioneel is, bespreek het dan; veel inkopers zoeken zelf ook naar werkbare afspraken.
Hulpmiddelen om dubbel werk te beperken
- NIS2 Cyber Score: een gratis, gestandaardiseerde online vragenlijst van het platform Samen Digitaal Veilig. U krijgt een rapport dat u met klanten kunt delen.
- Keurmerken: er zijn certificeringen speciaal voor NIS2-leveranciers, en ISO 27001 blijft de breedst erkende norm.
- NCSC-materiaal: de NCSC-zelfevaluatie helpt te bepalen of u toch zelf onder de wet valt.
Zo bereidt u zich voor
- Inventariseer: welke klanten vallen onder de Cyberbeveiligingswet, en wat levert u hun precies? Hebt u toegang tot hun systemen of gegevens?
- Regel de basis: MFA overal, geteste back-ups, tijdig patchen, beheerde accounts en e-mailbeveiliging.
- Leg vast: een kort beveiligingsbeleid, een incidentprocedure met wie u wanneer belt, en een overzicht van uw eigen leveranciers.
- Maak één beveiligingsdossier met standaardantwoorden en bewijs, en hergebruik het voor elke vragenlijst.
- Lees contracten kritisch: let op meldtermijnen, aansprakelijkheid en auditrechten, en spreek af wat haalbaar is.
- Overweeg certificering als meerdere grote klanten erom vragen.
Dit artikel is algemene informatie en geen juridisch advies. Laatst bijgewerkt: 7 november 2026.
Veelgestelde vragen
Val ik als leverancier onder de Cyberbeveiligingswet?
Niet automatisch. U valt er alleen onder als uw eigen organisatie in een aangewezen sector zit en groot genoeg is. Wel kunnen klanten die onder de wet vallen beveiligingseisen aan u stellen.
Moet ik als leverancier incidenten melden bij het NCSC?
Nee, de meldplicht bij het NCSC geldt voor organisaties die zelf onder de wet vallen. Wel kan uw klant contractueel afspreken dat u incidenten snel bij hen meldt.
Welke vragen stellen klanten in een NIS2-vragenlijst?
Meestal over MFA, back-ups, updates, toegangsbeheer, incidentafhandeling, bewustwording en de beveiliging van uw eigen leveranciers.
Moet ik ISO 27001-gecertificeerd zijn?
Niet wettelijk. Sommige klanten vragen er wel om. Een certificaat beantwoordt veel vragen in één keer, maar een goed onderbouwd beveiligingsdossier is vaak al voldoende.
Wat is de NIS2 Cyber Score?
Een gratis, gestandaardiseerde online vragenlijst van het platform Samen Digitaal Veilig waarmee mkb-leveranciers hun digitale weerbaarheid in een deelbaar rapport laten zien.