Ketenafspraken met toeleveranciers zijn onder de NIS2-richtlijn verplicht voor organisaties die als essentiële of belangrijke entiteit worden aangemerkt. De richtlijn vereist dat je aantoonbaar beheert welke risico’s jouw leveranciers en partners meebrengen voor jouw digitale veiligheid. Dit geldt niet alleen voor grote bedrijven: ook MKB-organisaties in sectoren zoals zorg, transport en maakindustrie kunnen hieronder vallen. In dit artikel beantwoorden we de meest gestelde vragen over ketenverplichtingen, leveranciersbeveiliging en wat je concreet moet regelen.
Welke ketenafspraken zijn verplicht onder NIS2?
Onder de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet ben je verplicht om schriftelijke afspraken te maken met toeleveranciers over informatiebeveiliging. Concreet gaat het om afspraken over toegang tot jouw systemen, de beveiliging van gedeelde data, incidentmeldingen en de maatregelen die een leverancier zelf treft. Mondelinge afspraken of een standaard inkoopcontract zijn niet voldoende.
De wet schrijft geen vaste contractvorm voor, maar verwacht wel dat je als organisatie een risicogebaseerde aanpak hanteert. Dat betekent: breng in kaart welke leveranciers toegang hebben tot jouw netwerk of gevoelige data, beoordeel het risico dat zij vormen en leg passende beveiligingseisen vast in een overeenkomst. Denk aan eisen rondom wachtwoordbeleid, encryptie, patchmanagement en het melden van incidenten binnen een afgesproken termijn.
De Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt in Nederland, maakt deze verplichtingen juridisch afdwingbaar. Wie dan geen aantoonbare ketenafspraken heeft, loopt het risico op toezichthoudende maatregelen.
Welke bedrijven vallen onder de ketenverplichtingen van NIS2?
| Afspraak maken |
De ketenverplichtingen van NIS2 gelden voor organisaties die als essentiële of belangrijke entiteit worden aangemerkt. Dit zijn bedrijven met meer dan 50 medewerkers of een omzet boven tien miljoen euro, actief in sectoren zoals zorg, transport, energie, voedselproductie, maakindustrie, afvalbeheer en digitale dienstverlening. Voor deze organisaties is supplychainbeveiliging geen optie maar een wettelijke eis.
Maar er is een belangrijk tweede effect: ook bedrijven die zelf niet onder NIS2 vallen, kunnen via de keten te maken krijgen met deze eisen. Als jij toeleverancier bent van een organisatie die wel onder de wet valt, dan kan die opdrachtgever jou verplichten om aan bepaalde beveiligingsnormen te voldoen. In de praktijk zien we dit al in 2026: grotere bedrijven en overheidsinstellingen stellen compliance-eisen als voorwaarde voor samenwerking.
Weet je niet zeker of jouw organisatie onder de wet valt? De zelfevaluatietools van de overheid geven een eerste indicatie, maar geen definitief antwoord. Een gesprek met een IT-partner die bekend is met de NIS2-wetgeving helpt je sneller tot helderheid.
Wat gebeurt er als je geen ketenafspraken hebt?
Als je als NIS2-plichtige organisatie geen aantoonbare ketenafspraken met toeleveranciers hebt, riskeer je boetes tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Bovendien legt NIS2 de verantwoordelijkheid expliciet bij het management: bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende maatregelen hebben genomen.
Naast juridische risico’s zijn er ook commerciële gevolgen. Opdrachtgevers in de keten gaan steeds vaker vragen om bewijs van NIS2-compliance voordat ze een contract verlengen of afsluiten. Wie dat bewijs niet kan leveren, verliest opdrachten. Dit speelt nu al in sectoren zoals de zorg en bij overheidsaanbestedingen.
Een derde risico is operationeel: zonder afspraken over incidentmeldingen weet je niet tijdig dat een leverancier is gehackt en jouw systemen mogelijk ook gevaar lopen. NIS2 vereist dat incidenten binnen 24 uur worden gemeld. Als jouw leverancier dit niet contractueel verplicht is te doen, mis je die vroege waarschuwing.
Hoe stel je ketenafspraken op die voldoen aan NIS2?
Ketenafspraken die voldoen aan NIS2 stel je op in drie stappen: breng eerst je leverancierslandschap in kaart, beoordeel vervolgens het risico per leverancier en leg ten slotte passende eisen vast in een schriftelijke overeenkomst. Begin met de leveranciers die toegang hebben tot jouw netwerk, systemen of gevoelige bedrijfsdata.
Stap 1: Breng je leveranciers in kaart
Maak een overzicht van alle externe partijen die toegang hebben tot jouw IT-omgeving of bedrijfsinformatie. Dit omvat softwareleveranciers, cloud-aanbieders, onderhoudsbedrijven met remote toegang en zakelijke partners die data uitwisselen. Zonder dit overzicht kun je geen risicogerichte afspraken maken.
Stap 2: Beoordeel het risico per leverancier
Niet elke leverancier vormt hetzelfde risico. Een schoonmaakbedrijf zonder netwerktoegang vraagt andere maatregelen dan een softwareleverancier die inlogt op jouw systemen. Beoordeel per partij: welke data of systemen zijn toegankelijk, wat is de impact als deze leverancier wordt gehackt en welke beveiligingsmaatregelen treft hij zelf?
Stap 3: Leg eisen vast in een overeenkomst
Vertaal de risicoanalyse naar concrete contractuele eisen. Hoe hoger het risico, hoe strenger de eisen. Voor hoog-risicoleveranciers vraag je om aantoonbare beveiligingsmaatregelen, auditrechten en verplichte incidentmeldingen. Voor laag-risicoleveranciers volstaan basisafspraken over dataverwerking en toegangsbeheer.
Wat moet er in een leveranciersovereenkomst staan voor NIS2?
Een leveranciersovereenkomst die voldoet aan NIS2-eisen bevat minimaal afspraken over: de beveiligingsmaatregelen die de leverancier treft, de verplichting om incidenten binnen een afgesproken termijn te melden, de omgang met toegangsrechten en wachtwoorden en de wijze waarop de leverancier omgaat met jouw bedrijfsdata.
Concreet kun je denken aan de volgende onderdelen:
- Beveiligingsnormen: eisen aan encryptie, patchmanagement en toegangsbeveiliging
- Incidentmeldplicht: de leverancier meldt beveiligingsincidenten binnen 24 uur
- Toegangsbeheer: afspraken over wie toegang heeft, hoe dat wordt gelogd en hoe toegang wordt ingetrokken bij einde samenwerking
- Subverwerkers: mag de leverancier jouw data doorgeven aan derden, en zo ja, onder welke voorwaarden?
- Auditrecht: het recht om de beveiligingsmaatregelen van de leverancier te toetsen of een certificaat te vragen
- Continuïteitsafspraken: wat doet de leverancier bij een uitval of aanval om jouw dienstverlening te beschermen?
Heb je al een ISO 27001-gecertificeerde IT-partner, dan is een deel van dit raamwerk al aanwezig. TCA werkt op basis van ISO 27001 en helpt organisaties om deze leveranciersafspraken gestructureerd op te zetten, zodat ze aantoonbaar voldoen aan de Cyberbeveiligingswet.
Wie is verantwoordelijk voor ketenbeveiliging binnen een bedrijf?
| Afspraak maken |
Onder NIS2 ligt de eindverantwoordelijkheid voor ketenbeveiliging bij het bestuur van de organisatie, niet bij de IT-afdeling. De richtlijn stelt expliciet dat directeuren en bestuurders persoonlijk aansprakelijk kunnen worden gesteld als zij onvoldoende toezicht hebben gehouden op de beveiligingsmaatregelen, inclusief die in de keten. Dit is een fundamentele verschuiving ten opzichte van de oude situatie.
In de praktijk betekent dit dat het management actief betrokken moet zijn bij het ketenbeleid: niet alleen tekenen voor het contract, maar ook periodiek controleren of leveranciers nog aan de eisen voldoen. De uitvoering mag worden belegd bij een IT-manager, compliance officer of externe partner, maar de verantwoordelijkheid blijft bij de directie.
Voor MKB-bedrijven zonder dedicated CISO of juridische afdeling is dit een uitdaging. De meeste IT-managers zijn technisch sterk, maar hebben geen achtergrond in risicomanagement of contractrecht. Hier helpt een externe IT-partner met security-expertise om de vertaalslag te maken: van wetgeving naar concrete maatregelen die het bestuur kan verantwoorden.
Wil je weten hoe jouw organisatie er nu voor staat op het gebied van ketenbeveiliging en NIS2-compliance? TCA biedt een gratis nulmeting waarmee je binnen 48 uur inzicht krijgt in de belangrijkste risico’s en wat er concreet moet gebeuren. Plan een afspraak en zet de eerste stap richting aantoonbare compliance.