Een vragenlijst over multifactorauthenticatie, incidentmelding, back-ups of leveranciers kan onverwacht op je bureau belanden. De klant zegt dat dit door NIS2 of de Cyberbeveiligingswet komt, terwijl jouw organisatie zelf niet binnen de wettelijke scope valt. Beide kunnen tegelijk waar zijn.
Waarom je klant naar jouw beveiliging vraagt
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Organisaties binnen het toepassingsbereik moeten passende en evenredige maatregelen nemen voor hun netwerk- en informatiesystemen. Daaronder valt ook de beveiliging van de toeleveringsketen.
Als jouw product, koppeling, beheeraccount, software of dienstverlening invloed heeft op een kritisch proces van de klant, ontstaat een relevant ketenrisico. De klant wil daarom weten hoe je toegang beschermt, incidenten meldt, kwetsbaarheden behandelt en continuïteit organiseert.
Vraag welk ketenrisico je klant wil beheersen, maak passende afspraken en lever bewijs dat aansluit op jouw product of dienst. Neem niet zonder analyse aan dat de volledige Cyberbeveiligingswet rechtstreeks op jouw organisatie van toepassing is.
Je wordt niet automatisch een Cbw-entiteit doordat je aan een klant levert
Of jouw organisatie rechtstreeks onder de Cyberbeveiligingswet valt, hangt af van de wettelijke criteria, waaronder activiteiten, sector, omvang en eventuele aanwijzing. Alleen leveren aan een organisatie die onder de wet valt, maakt jou niet automatisch tot essentiële of belangrijke entiteit.
Het NCSC waarschuwt expliciet voor de verkeerde aanname dat de NIS2-regels integraal gelden voor alle toeleveranciers. Wel kan de klant beveiligingseisen contractueel opleggen om zijn eigen ketenrisico's te beheersen. Onderzoek daarom de eigen scope en behandel klanteisen als een afzonderlijke commerciële en risicogestuurde vraag.
Welke leveranciers krijgen waarschijnlijk vragen?
Niet iedere leverancier vormt hetzelfde risico. Een leverancier van kantoorartikelen heeft doorgaans een andere invloed dan een IT-beheerder met beheerrechten, een SaaS-platform met persoonsgegevens of een logistieke koppeling die een kritisch proces aanstuurt.
Klanten zullen vooral kijken naar toegang, gegevens, beschikbaarheid, vervangbaarheid en de mogelijkheid dat een incident bij jou doorwerkt naar hun eigen systemen of dienstverlening.
- IT-dienstverleners, cloud- en softwareleveranciers
- partijen met beheerrechten of netwerktoegang
- leveranciers van kritieke applicaties en koppelingen
- verwerkers van gevoelige of bedrijfskritieke gegevens
- onderhoudspartijen voor OT, machines en operationele technologie
- logistieke en andere partners die kritieke processen ondersteunen
Welke eisen kan een klant stellen?
De eisen horen passend te zijn bij de dienst en het risico. Een standaardvragenlijst kan als startpunt dienen, maar bespreek welke onderdelen werkelijk relevant zijn. Een kleine leverancier zonder klanttoegang hoeft niet automatisch hetzelfde bewijs te leveren als een managed service provider met beheerrechten.
- risicoanalyse en basisbeleid voor informatiebeveiliging
- multifactorauthenticatie, toegangsbeheer en veilige configuratie
- patching en opvolging van kwetsbaarheden
- logging, detectie en incidentrespons
- meldtermijnen en informatie bij een ketenincident
- back-up, hersteltests en continuïteitsafspraken
- beveiliging van ontwikkeling, koppelingen en wijzigingen
- inzicht in kritieke onderaannemers en eigen leveranciers
- auditrecht, rapportages, certificaten of ander bewijs
Wat geldt als bruikbaar bewijs?
Een beleidsdocument laat zien wat is afgesproken; het bewijst nog niet dat de maatregel werkt. Combineer daarom beleid met registraties, configuratieoverzichten, testresultaten, incidentoefeningen, herstelrapporten en opvolging van afwijkingen.
ISO 27001, CYRA of andere kaders kunnen helpen om vragen te structureren. Het NCSC benadrukt dat de Cyberbeveiligingswet niet één specifiek normenkader voorschrijft voor toeleveranciers. Bespreek dus welk bewijs je klant nodig heeft en voorkom kostbare dubbelingen wanneer meerdere klanten verschillende lijsten sturen.
Lees NIS2-clausules als concrete risicoafspraken
Let op formuleringen die de volledige wet of alle verplichtingen zonder afbakening bij de leverancier neerleggen. Vraag welke dienst, gegevens, systemen en incidenten binnen de afspraak vallen. Leg ook vast wat 'onverwijld' of 'tijdig' in uren en informatie betekent.
Controleer of auditrechten, aansprakelijkheid, kosten, onderaannemers en beëindiging in verhouding staan tot het geleverde product en de vergoeding. Laat juridische afspraken aansluiten op wat technisch en organisatorisch uitvoerbaar is.
- scope van de dienst en relevante systemen
- minimummaatregelen en verantwoordelijkheid per partij
- meldcriteria, termijnen en contactpunten
- bewijs, periodieke evaluatie en opvolging
- onderaannemers en wijzigingen in de keten
- ondersteuning bij onderzoek, herstel en rapportage
- auditrecht, vertrouwelijkheid, kosten en aansprakelijkheid
Zo reageer je op een omvangrijke klantvragenlijst
Wijs één coördinator aan en beantwoord vragen vanuit een centraal bewijsdossier. Markeer wat van toepassing is, wat niet van toepassing is en welke verbetering gepland staat. Vermijd onbewezen 'ja'-antwoorden; die kunnen later onderdeel worden van contractuele verwachtingen.
Vraag de klant om prioriteit en context wanneer eisen onduidelijk of disproportioneel lijken. Een gesprek over het ketenrisico levert vaak meer op dan eindeloos corresponderen over generieke formuleringen.
Vergeet je eigen keten niet
Als jouw dienstverlening afhankelijk is van hosting, softwarecomponenten, onderaannemers of externe beheerders, kunnen die partijen ook invloed hebben op de klant. Breng de directe leveranciers in kaart en bepaal welke afhankelijkheden kritiek zijn.
Leg vast hoe je incidentinformatie ontvangt, welke herstelafspraken gelden en of je aan de klant kunt voldoen wanneer een onderaannemer uitvalt. Beloftes aan de klant moeten door de achterliggende keten kunnen worden gedragen.
Maak aantoonbare weerbaarheid commercieel bruikbaar
Goed voorbereide leveranciers reageren sneller op uitvragen en hoeven bewijs niet voor iedere klant opnieuw te verzamelen. Een compact overzicht van maatregelen, verantwoordelijkheden, incidentroutes en testresultaten kan onzekerheid in aanbestedingen verminderen.
Beloof alleen wat je kunt waarmaken. Transparantie over een verbeterpunt is vaak geloofwaardiger dan een brede verklaring dat alles volledig op orde is.
Praktisch stappenplan voor leveranciers
Gebruik de klantvraag om je eigen weerbaarheid en bewijsvoering gericht te verbeteren.
- Beoordeel afzonderlijk of je organisatie zelf onder de Cyberbeveiligingswet valt.
- Bepaal welke klanten, diensten, gegevens en koppelingen ketenkritiek zijn.
- Vraag welke concrete risico's en wettelijke verplichtingen de klant wil beheersen.
- Maak een basisinventarisatie van maatregelen, hiaten, eigenaren en bewijs.
- Prioriteer toegang, kwetsbaarheden, incidentmelding, herstel en eigen leveranciers.
- Beantwoord vragen centraal en feitelijk, inclusief niet-toepasselijke onderdelen.
- Laat contracteisen juridisch, technisch en operationeel op elkaar aansluiten.
- Plan periodieke evaluatie en actualiseer bewijs na wijzigingen en oefeningen.
Bronnen en verdieping
Gebaseerd op officiële kaders en praktische uitvoering
De bronpagina's bieden de formele achtergrond. Kynexis Informatiebeveiliging vertaalt deze informatie naar een uitvoerbare aanpak voor je organisatie, sector en risicoprofiel.
