Om leveranciersafspraken op te stellen voor NIS2-compliance, leg je in contracten vast welke beveiligingseisen je aan leveranciers stelt, hoe zij incidenten melden en hoe jij hun naleving controleert. Dit geldt voor elke leverancier die toegang heeft tot jouw systemen, data of netwerk. Hieronder vind je per vraag een concreet antwoord op wat je moet regelen, met wie en wanneer.
Welke eisen stelt NIS2 aan leveranciersrelaties?
NIS2 verplicht organisaties om de beveiligingsrisico’s in hun toeleveringsketen actief te beheren. Dat betekent dat je niet alleen je eigen beveiliging op orde moet hebben, maar ook moet zorgen dat leveranciers die toegang hebben tot jouw systemen of data aan aantoonbare beveiligingseisen voldoen. De verantwoordelijkheid voor ketenrisico’s ligt bij jou als afnemer, niet bij de leverancier.
Concreet verwacht de Cyberbeveiligingswet, die naar verwachting medio 2026 in Nederland van kracht wordt, dat je een risicoanalyse maakt van je leveranciersrelaties, beveiligingseisen contractueel vastlegt en toeziet op naleving. Dit is geen administratieve formaliteit: als een leverancier een incident veroorzaakt dat jouw organisatie raakt, ben jij als organisatie verantwoordelijk voor de gevolgen richting toezichthouders.
De NIS2-ketenverantwoordelijkheid gaat dus verder dan een clausule in een contract. Het vraagt om een actief beleid voor leveranciersmanagement, inclusief periodieke controles en duidelijke afspraken over wat er gebeurt bij een beveiligingsincident.
Welke leveranciers moeten worden meegenomen in NIS2-compliance?
| Afspraak maken |
Elke leverancier die toegang heeft tot jouw systemen, netwerken of gevoelige bedrijfsdata valt binnen de scope van NIS2-leveranciersmanagement. Denk aan IT-dienstverleners, cloudproviders, softwareleveranciers, maar ook partijen die fysieke toegang hebben tot kritieke omgevingen of die data verwerken namens jouw organisatie.
Een handige manier om te prioriteren is op basis van risico. Stel jezelf per leverancier drie vragen:
- Heeft deze leverancier toegang tot mijn systemen of data?
- Wat is de impact als deze leverancier uitvalt of gehackt wordt?
- Verwerkt deze partij persoonsgegevens of bedrijfskritische informatie?
Hoe meer vragen je met “ja” beantwoordt, hoe hoger de prioriteit. Leveranciers met directe systeemtoegang of een grote operationele impact hebben de zwaarste beveiligingseisen nodig. Leveranciers met een beperkte rol en geen datatoegang kunnen volstaan met lichtere afspraken, maar moeten wel worden meegenomen in je leveranciersregister.
Wat moet er minimaal in een NIS2-leveranciersovereenkomst staan?
Een NIS2-conforme leveranciersovereenkomst bevat minimaal afspraken over beveiligingseisen, incidentmelding, auditrechten en aansprakelijkheid. Zonder deze elementen kun je als organisatie niet aantonen dat je de ketenrisico’s actief beheert, wat een vereiste is onder de Cyberbeveiligingswet.
Neem de volgende onderdelen op in elke overeenkomst met een relevante leverancier:
- Beveiligingseisen: Welke minimale maatregelen moet de leverancier treffen? Denk aan toegangsbeheer, versleuteling, patchbeleid en back-ups.
- Incidentmelding: Binnen welke termijn moet de leverancier jou informeren bij een beveiligingsincident? NIS2 hanteert 24 uur voor de eerste melding.
- Auditrecht: Mag jij (of een derde partij) de beveiligingsmaatregelen van de leverancier controleren?
- Aansprakelijkheid: Wie is verantwoordelijk voor schade als het incident bij de leverancier ontstaat?
- Subcontractors: Mag de leverancier werk uitbesteden, en gelden jouw eisen dan ook voor die partijen?
- Beëindiging: Wat gebeurt er met jouw data als de samenwerking eindigt?
Als managed IT-partner helpt TCA organisaties bij het opstellen van dit soort contractuele kaders, inclusief het vertalen van NIS2-vereisten naar werkbare afspraken met leveranciers.
Hoe controleer je of leveranciers zich aan de afspraken houden?
Je controleert leveranciers op NIS2-naleving via een combinatie van periodieke audits, documentatieverzoeken en contractueel vastgelegde rapportageplichten. Eenmalig afspraken maken is niet genoeg: NIS2 verwacht dat je actief toezicht houdt op de beveiligingspraktijken van je leveranciers.
Praktische controlemechanismen zijn:
- Jaarlijkse vragenlijsten: Laat leveranciers jaarlijks bevestigen dat ze aan de afgesproken eisen voldoen, bij voorkeur met bewijs zoals certificeringen of auditrapportages.
- Certificeringen als bewijs: Vraag leveranciers om erkende certificeringen zoals ISO 27001. TCA beschikt zelf over ISO 27001-certificering sinds 2017, wat aantoont dat beveiligingsmaatregelen aantoonbaar en controleerbaar zijn.
- Contractuele rapportage: Leg vast dat leveranciers je proactief informeren bij wijzigingen in hun beveiligingsbeleid of bij incidenten.
- Periodieke evaluatiegesprekken: Plan minimaal één keer per jaar een gesprek over de beveiligingsstatus en eventuele wijzigingen in de samenwerking.
Houd de resultaten van deze controles bij in een leveranciersregister. Dat register is niet alleen nuttig voor intern toezicht, maar ook als bewijs richting toezichthouders dat je leveranciersmanagement serieus neemt.
Wat zijn de gevolgen als een leverancier een incident veroorzaakt?
| Afspraak maken |
Als een leverancier een beveiligingsincident veroorzaakt dat jouw organisatie raakt, ben jij als NIS2-plichtige organisatie verantwoordelijk voor de melding bij de toezichthouder en voor de gevolgen voor jouw klanten. De leverancier kan aansprakelijk zijn voor schade, maar jouw meldplicht en verantwoordelijkheid richting toezichthouders vervallen niet.
Dit heeft twee directe gevolgen. Ten eerste: je moet het incident alsnog binnen de wettelijke termijn melden, ook als de oorzaak buiten jouw organisatie ligt. Ten tweede: als je geen aantoonbare beveiligingseisen aan de leverancier hebt gesteld en geen toezicht hebt gehouden, loop je het risico dat de toezichthouder jou een boete oplegt wegens onvoldoende ketenbeheersing.
Goede contractuele afspraken over aansprakelijkheid en incidentmelding beperken je risico, maar maken het niet nul. Daarom is het verstandig om ook intern een incidentresponseprocedure te hebben die rekening houdt met leveranciersincidenten, inclusief escalatielijnen en communicatieprotocollen.
Wanneer moet je bestaande leverancierscontracten herzien voor NIS2?
Bestaande leverancierscontracten moet je herzien voordat de Cyberbeveiligingswet van kracht wordt, naar verwachting medio 2026. Wacht niet tot de wet in werking treedt: contractwijzigingen kosten tijd en leveranciers moeten de gelegenheid krijgen om aan nieuwe eisen te voldoen.
Een goede aanpak is om nu al te beginnen met een inventarisatie van je huidige leverancierscontracten. Stel per contract vast of de NIS2-vereisten erin zijn opgenomen. Bij contractverlenging is het logisch om de nieuwe eisen direct mee te nemen. Bij lopende contracten kun je een addendum toevoegen of de herziening plannen bij de eerstvolgende evaluatiemogelijkheid.
Prioriteer leveranciers met de hoogste risicoscore: die met directe systeemtoegang of een grote operationele rol. Lichtere leveranciers kun je in een tweede ronde meenemen. Zo verdeel je het werk over de beschikbare tijd en zorg je dat de meest kritieke relaties als eerste op orde zijn.
Wil je weten waar jouw organisatie nu staat op het gebied van NIS2-compliance en leveranciersmanagement? TCA biedt een gratis securitycheck waarmee je binnen 48 uur inzicht krijgt in de belangrijkste risico’s en wat er nodig is om compliant te worden. Maak een afspraak en zet de eerste stap zonder verdere verplichtingen.