Lees hoe NIS2 doorwerkt naar leveranciers, welke vragen klanten kunnen stellen en hoe je ketenrisico’s aantoonbaar beheert.
Waarom klanten meer informatie vragen
Een klant moet begrijpen welke afhankelijkheden een kritieke dienst heeft en wat er gebeurt bij een verstoring of beveiligingsincident. Daarom worden leveranciers geclassificeerd en krijgen kritieke leveranciers meer aandacht.
Een generieke vragenlijst is niet genoeg. De diepgang moet aansluiten op toegang, gegevens, vervangbaarheid, continuïteit en mogelijke incidentimpact.
- beveiligingsbeleid en verantwoordelijkheden
- toegangsbeheer en technische beveiliging
- incidentmelding en samenwerking
- continuïteit, herstel en exit
- subleveranciers en verwerkingslocaties
- assurance, audits en periodieke herbeoordeling
Wat kun je als leverancier voorbereiden?
Maak een herbruikbaar informatiepakket met actuele, controleerbare informatie. Zorg dat commerciële antwoorden aansluiten op de werkelijke uitvoering; beloof geen maatregelen die niet bestaan.
Passende eisen in plaats van doorschuiven
De bedoeling is niet dat iedere leverancier exact hetzelfde pakket krijgt opgelegd. Een leverancier met beheerrechten op een kernsysteem vraagt een andere beoordeling dan een partij die openbare informatie levert.
Leg daarom de risicoklasse en onderbouwing vast. Dat maakt gesprekken met inkoop, security en leverancier concreter.
Blijf de keten volgen
Beoordeling bij contractstart is niet genoeg. Plan herbeoordeling op basis van risico en leg relevante wijzigingen vast. Combineer contractmanagement, securitymonitoring en continuïteitsplanning zodat signalen niet in losse teams blijven hangen.
Veelgestelde vragen
Valt iedere leverancier onder NIS2?+
Nee. De eigen diensten, sector, omvang en uitzonderingen bepalen de directe toepasselijkheid. Daarnaast kunnen klanten passende keteneisen contractueel afspreken.
Mag een klant een ISO 27001-certificaat vragen?+
Een certificaat kan een contractuele eis zijn; NIS2 verplicht niet iedere leverancier tot ISO 27001-certificering. Toets de relevantie en scope van het gevraagde bewijs. Een certificaat vervangt de beoordeling van de concrete dienst en risico’s niet.
Hoe vaak beoordeel je leveranciers?+
Stem frequentie af op risico, wijzigingen en incidenten; kritieke leveranciers vragen doorgaans vaker aandacht.
Gebruikte en geraadpleegde bronnen
Voor feitelijke en tijdgevoelige informatie gebruiken we bij voorkeur primaire bronnen. Controleer bij belangrijke besluiten altijd de actuele officiële publicatie.
- NCSC: Cyberbeveiligingswet en toeleveranciersGeraadpleegd op 20 september 2026
- NCSC: praktische ketenbeveiligingGeraadpleegd op 20 september 2026
- Cyberbeveiligingswet: definitieve wet (Staatsblad 2026, 187)Geraadpleegd op 20 september 2026
Gerelateerde artikelen
Deze uitleg is algemeen en vervangt geen juridische beoordeling of de officiële normtekst.