Als jouw bedrijf onder de NIS2-richtlijn valt, ben je verplicht om ook de cybersecurity van je toeleveranciers te beheren. Dat betekent dat je leveranciers actief moet aanspreken op hun beveiligingsniveau en dat je dit aantoonbaar moet maken. De Cyberbeveiligingswet, die naar verwachting medio 2026 in werking treedt, maakt ketenverantwoordelijkheid een juridische realiteit. In dit artikel beantwoorden we de meest gestelde vragen over hoe je dit in de praktijk aanpakt.
Welke NIS2-eisen mag ik stellen aan mijn toeleveranciers?
Je mag van toeleveranciers verlangen dat ze aantoonbare beveiligingsmaatregelen hebben getroffen die passen bij het risico dat ze voor jouw organisatie vormen. Denk aan een informatiebeveiligingsbeleid, toegangsbeheer, patchbeleid en een procedure voor het melden van incidenten. De NIS2-richtlijn verplicht je als organisatie om de risico’s in je leveranciersketen te beheersen, niet alleen in je eigen systemen.
Concreet kun je de volgende eisen stellen:
- Aantoonbaar beveiligingsbeleid, bij voorkeur op basis van een erkend raamwerk zoals ISO 27001
- Een procedure voor incidentrespons en meldplicht
- Toegangsbeheer en autorisatiebeheer voor medewerkers die toegang hebben tot jouw systemen
- Regelmatige beveiligingsupdates en patchbeheer
- Back-upbeleid en herstelplannen
De eisen die je stelt hoeven niet voor elke leverancier identiek te zijn. Ze moeten proportioneel zijn aan het risico: een leverancier die toegang heeft tot je netwerk vraagt om hogere eisen dan een kantoorartikelleverancier. Dat onderscheid is essentieel voor een werkbare aanpak.
Hoe weet ik welke toeleveranciers een risico vormen?
| Afspraak maken |
Een toeleverancier vormt een risico als een incident bij die leverancier directe gevolgen kan hebben voor de continuïteit, vertrouwelijkheid of integriteit van jouw organisatie. De eerste stap is een leveranciersrisicoanalyse: breng in kaart welke leveranciers toegang hebben tot jouw systemen, data of kritieke processen.
Stel jezelf per leverancier de volgende vragen:
- Heeft deze leverancier toegang tot onze systemen, netwerken of gevoelige data?
- Wat is de impact als deze leverancier uitvalt of gehackt wordt?
- Levert deze leverancier een dienst die direct bijdraagt aan onze kernprocessen?
- Verwerkt deze leverancier persoonsgegevens of vertrouwelijke bedrijfsinformatie?
Leveranciers die op meerdere vragen positief scoren, vallen in de categorie hoog risico en verdienen extra aandacht. Een security baseline helpt je bij het bepalen welk minimumniveau je van jezelf en je leveranciers mag verwachten.
Welke documenten mag ik opvragen als bewijs van NIS2-compliance?
Je mag als opdrachtgever concrete documentatie opvragen die aantoont dat een leverancier zijn cybersecurity serieus neemt. Er is geen wettelijk voorgeschreven format, maar er zijn gangbare documenten die als bewijs dienen.
Denk aan de volgende documenten:
- ISO 27001-certificering: het meest erkende bewijs van een gestructureerd informatiebeveiligingssysteem. TCA is zelf ISO 27001-gecertificeerd sinds 2017 en hanteert dit raamwerk ook bij de begeleiding van klanten.
- SOC 2-rapport: een onafhankelijke audit van beveiligingscontroles, met name gangbaar bij softwareleveranciers.
- Penetratietestrapportage: bewijs dat de systemen periodiek worden getest op kwetsbaarheden.
- Informatiebeveiligingsbeleid: een intern document dat aantoont dat er beleid bestaat en dat dit wordt nageleefd.
- Incidentresponsplan: een procedure die beschrijft hoe de leverancier omgaat met beveiligingsincidenten.
- Zelfevaluatie of vragenlijst: een ingevulde securityvragenlijst op basis van een erkend raamwerk zoals ISO 27001 of het NIST Cybersecurity Framework.
Vraag bij voorkeur om documenten die zijn opgesteld of gevalideerd door een onafhankelijke derde partij. Interne verklaringen zonder externe toetsing bieden minder zekerheid.
Hoe verwerk ik NIS2-eisen in leverancierscontracten?
NIS2-vereisten verwerk je in leverancierscontracten door beveiligingsverplichtingen expliciet op te nemen als contractuele voorwaarden. Dit geeft je een juridische basis om naleving te eisen en geeft de leverancier duidelijkheid over wat je van hem verwacht.
Neem in elk geval de volgende bepalingen op:
- Een verplichting om een minimaal beveiligingsniveau te handhaven, bij voorkeur omschreven aan de hand van een raamwerk
- Een meldplicht bij beveiligingsincidenten, inclusief een maximale reactietijd (NIS2 hanteert 24 uur voor eerste melding)
- Het recht om beveiligingsaudits uit te voeren of te laten uitvoeren
- Een verplichting om wijzigingen in beveiligingsmaatregelen vooraf te melden
- Consequenties bij niet-naleving, inclusief de mogelijkheid tot contractbeëindiging
Bij bestaande contracten is het verstandig om bij de eerstvolgende verlenging of heronderhandeling deze clausules toe te voegen. Wacht daar niet te lang mee: opdrachtgevers in jouw keten zullen dezelfde eisen aan jou stellen, en dan is het handig als je ze al doorvertaald hebt naar je eigen leveranciers.
Wat doe ik als een toeleverancier weigert compliance aan te tonen?
| Afspraak maken |
Als een toeleverancier weigert bewijs van zijn beveiligingsniveau te leveren, is dat op zichzelf al een risicosignaal. Je hebt dan drie opties: de druk opvoeren, het risico accepteren met compenserende maatregelen, of de relatie beëindigen.
Stap voor stap:
- Ga het gesprek aan: vraag waarom de leverancier niet wil of kan aantonen dat hij compliant is. Soms is het een gebrek aan kennis, niet onwil.
- Stel een termijn: geef de leverancier een redelijke periode om documentatie aan te leveren en leg dit schriftelijk vast.
- Beoordeel het risico: als de leverancier geen toegang heeft tot kritieke systemen en data, kun je het risico mogelijk accepteren, mits je dit onderbouwt in je risicoregister.
- Overweeg alternatieven: bij hoog-risico leveranciers die blijven weigeren, is vervanging de veiligste optie. Jouw compliance is immers afhankelijk van hun gedrag.
Documenteer elke stap. Als er ooit een incident plaatsvindt of een toezichthouder om uitleg vraagt, moet je kunnen aantonen dat je actief hebt gestuurd op ketenbeveiliging.
Wie is aansprakelijk als een toeleverancier een incident veroorzaakt?
Onder NIS2 blijf jij als organisatie aansprakelijk voor de gevolgen van een incident, ook als de oorzaak bij een toeleverancier ligt. De richtlijn legt de verantwoordelijkheid voor ketenbeveiliging expliciet bij de organisatie die onder de wet valt, niet bij de leverancier die het incident veroorzaakte.
Dit heeft twee belangrijke gevolgen:
Ten eerste: persoonlijke aansprakelijkheid van bestuurders. NIS2 en de aankomende Cyberbeveiligingswet leggen de eindverantwoordelijkheid bij het management. Als jouw organisatie onvoldoende maatregelen heeft getroffen om leveranciersrisico’s te beheersen, kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Dit is geen theoretisch risico, maar een bewuste keuze van de Europese wetgever om compliance hoger op de bestuurstafel te krijgen.
Ten tweede: contractuele verhaalsmogelijkheden. Als je beveiligingseisen contractueel hebt vastgelegd en de leverancier heeft die geschonden, heb je een juridische basis om schade te verhalen. Zonder contractuele afspraken sta je veel zwakker.
De conclusie is helder: zorg dat je je leveranciersketen actief beheert, eisen contractueel vastlegt en dit periodiek toetst. Wil je weten hoe jouw organisatie er nu voor staat? TCA helpt MKB-bedrijven en organisaties in gereguleerde sectoren met een gratis nulmeting, zodat je direct inzicht hebt in je huidige positie en wat er nog moet gebeuren. Bekijk wie we zijn en hoe we als partner meebouwen aan aantoonbare compliance, van beleid tot techniek.