NIS2 raakt ook leveranciers buiten de Cyberbeveiligingswet. Lees hoe cybersecurity-eisen doorwerken in contracten, ISO 27001 en het mkb.
Gastschrijver
Digitaal en AI-strateeg en medeoprichter van Schmuki, een onafhankelijk adviesbureau dat organisaties helpt bij technologische verandering. Hij schrijft over de invloed van innovatie op organisaties, ondernemers en de samenleving.
Deel 2 van een drieluik over digitale weerbaarheid
Een ondernemer hoeft geen brief van een toezichthouder te ontvangen om iets van de Cyberbeveiligingswet te merken.
Een e-mail van een opdrachtgever kan voldoende zijn.
Kunt u aangeven hoe incidenten bij u worden gemeld? Heeft u een continuïteitsplan? Worden medewerkers getraind? Hoe beheert u kwetsbaarheden? Zijn uw systemen gecertificeerd? Welke onderaannemers gebruikt u? Binnen welke termijn meldt u een beveiligingsincident dat onze dienstverlening kan raken?
Tijdens mijn gesprek met Jesper Pelgrim vertelde hij dat zulke vragen voor Enreach heel normaal zijn geworden. Partners sturen questionnaires, vragen naar de ISO-certificering en krijgen documenten waarmee Enreach kan laten zien hoe beveiligingsmaatregelen zijn ingericht.
Dat lijkt misschien administratief.
Maar precies hier wordt zichtbaar hoe cybersecuritywetgeving zich in de praktijk verspreidt.
Niet alleen via de overheid, maar via handelsrelaties.
De redenering achter de Cyberbeveiligingswet is relatief eenvoudig.
Een organisatie kan zijn eigen systemen uitstekend beveiligen en toch kwetsbaar blijven wanneer een essentiële leverancier uitvalt, wordt gehackt of een verkeerde software-update uitvoert.
Voor telecom is dat geen theoretisch probleem. De Rijksinspectie Digitale Infrastructuur (RDI) analyseerde de incidentmeldingen uit de sector over het voorafgaande jaar en meldde in juli 2026 dat bij 76 procent van die incidenten een externe partij betrokken was.
Daarom behoort beveiliging van de toeleveringsketen expliciet tot de zorgplicht onder de Cyberbeveiligingswet. Organisaties moeten begrijpen welke afhankelijkheden van producten en diensten hun netwerk- en informatiesystemen kunnen raken en daar passende maatregelen voor treffen.
Belangrijk daarbij is wat er níét staat.
Een organisatie hoeft niet iedere leverancier dezelfde cybersecurity-eisen op te leggen. De leverancier van kantoorartikelen vormt doorgaans een ander risico dan de partij die toegang heeft tot het netwerk, de cloudomgeving of de klantendatabase.
Het gaat om de leveranciers die daadwerkelijk invloed kunnen hebben op de beveiliging en continuïteit van de relevante systemen. De beoordeling begint dus opnieuw bij risico en afhankelijkheid.
Dat is in theorie behoorlijk redelijk.
In de praktijk begint daarna het moeilijke werk.
Tijdens het interview gaf Jesper een eenvoudig voorbeeld.
Je kunt een open wettelijke term als incidentmanagement niet één op één in een leverancierscontract plakken. Een opdrachtgever moet daar iets concreets van maken. Bijvoorbeeld dat een leverancier een relevant incident binnen 24 of 48 uur meldt, wie daarbij wordt geïnformeerd en welke informatie wordt aangeleverd.
Op die manier verandert een abstracte wettelijke verantwoordelijkheid in een operationele afspraak tussen twee bedrijven.
Dat gebeurt op allerlei manieren: via procurementvragen, security questionnaires, contractvoorwaarden, audits, bewijsstukken, periodieke beoordelingen en eisen rond incidentmelding of continuïteit.
De NCTV zegt inmiddels ook expliciet dat leveranciers die zelf niet onder de Cyberbeveiligingswet vallen de gevolgen ervan kunnen merken. Hun klanten kunnen meer informatie vragen en afspraken verlangen over beveiliging, kwetsbaarheden, incidenten en continuïteit. Dat maakt zo'n leverancier overigens niet automatisch zelf een Cbw-entiteit.
Dat onderscheid is belangrijk.
De wet wordt niet juridisch steeds een stukje verder doorgegeven. De verantwoordelijkheid werkt economisch door.
Een organisatie die haar eigen risico's moet beheersen, kan moeilijk zeggen dat het gedrag van een kritieke leverancier haar niets aangaat.
Daarmee wordt ook begrijpelijk waarom standaarden als ISO 27001 steeds vaker opduiken in leveranciersgesprekken.
Niet omdat de Cyberbeveiligingswet zegt dat iedere leverancier ISO 27001-gecertificeerd moet zijn. Dat doet zij niet. De RDI waarschuwt zelfs expliciet dat een keurmerk of ISO 27001-certificaat op zichzelf niet bewijst dat een organisatie aan de zorgplicht voldoet.
Maar een standaard kan wel iets anders leveren dat in deze wereld steeds waardevoller wordt: een gedeelde taal en bestaand bewijs.
Een bedrijf dat zijn informatiebeveiliging al systematisch heeft georganiseerd hoeft bij iedere klantvraag niet vanaf nul uit te leggen wie verantwoordelijk is, welke procedures bestaan en hoe maatregelen worden beoordeeld. Een certificaat, auditrapport of Statement of Applicability lost het gesprek niet op, maar kan het wel aanzienlijk verkorten.
Daar ontstaat een economische prikkel die verder gaat dan juridische compliance.
Een opdrachtgever vergelijkt niet alleen twee technische oplossingen of twee prijzen. Hij vergelijkt ook hoeveel onzekerheid beide leveranciers introduceren en hoeveel werk nodig is om die onzekerheid te beheersen.
Voor een kleinere leverancier kan dat ongemakkelijk uitpakken.
Die spanning is ook tijdens de voorbereiding van de Nederlandse regelgeving naar voren gekomen.
In een mkb-toets waarschuwden deelnemers dat kleinere leveranciers moeite kunnen hebben met eisen rond ketenbeveiliging. Ze wezen bovendien op de machtsverhouding met grotere ondernemingen waarvan zij afhankelijk zijn. De overheid benadrukte in antwoord daarop dat eisen risicogebaseerd moeten blijven en alleen relevante leveranciers betreffen.
Opvallend is dat het Adviescollege toetsing regeldruk tegelijkertijd constateerde dat de gevolgen voor leveranciersketens niet in de oorspronkelijke regeldruktoets waren meegenomen. De regering verwachtte geen aanvullende regeldruk omdat alleen securityrelevante leveranciers geraakt zouden worden.
Dat is juridisch verklaarbaar, maar economisch is de kwestie daarmee niet opgelost.
Een leverancier kan buiten de wet vallen en toch tijd moeten besteden aan questionnaires, contractonderhandelingen, documentatie, audits en technische aanpassingen omdat een belangrijke klant dat verlangt.
Dat zijn echte kosten.
En ze zijn voor een onderneming met vijftien medewerkers relatief zwaarder dan voor een organisatie met een aparte security-, compliance- en juridische afdeling.
De vraag is dan hoe proportioneel de keten zich in de praktijk gaat gedragen.
Het is verleidelijk om daar meteen een verhaal over marktconsolidatie aan vast te knopen.
Daarvoor is het te vroeg.
De Cyberbeveiligingswet geldt in Nederland pas sinds 15 augustus 2026. Er is nog geen overtuigend Nederlands bewijs dat NIS2 daadwerkelijk leidt tot uitsluiting van kleinere IT-leveranciers of tot verdere concentratie van de markt.
Maar het mechanisme dat daartoe zou kunnen bijdragen, is wel zichtbaar.
Wanneer een leverancier zijn beveiliging aantoonbaar moet maken, heeft een organisatie die governance, risico’s, processen en bewijsvoering al op orde heeft een voordeel. Een andere leverancier moet bij iedere aanbesteding opnieuw uitzoeken welke informatie wordt gevraagd en hoe hij daaraan kan voldoen.
Security wordt daarmee meer dan een technische eigenschap. Het wordt ook het vermogen om aantoonbaar vertrouwen te bieden.
Dat hoeft kleinere ondernemingen niet per definitie te benadelen. Een kleine gespecialiseerde leverancier kan overzichtelijk zijn, snel handelen en technisch uitstekend beveiligd zijn.
Maar grotere organisaties hebben meestal meer capaciteit voor de laag eromheen: documentatie, audits, certificering, compliance en bewijsvoering.
Daarom wordt belangrijk hoe opdrachtgevers hun verantwoordelijkheid invullen. Stellen zij proportionele eisen die passen bij het werkelijke risico? Of groeit iedere procurementlijst uiteindelijk naar het zwaarste denkbare niveau, omdat dat intern het eenvoudigst te verantwoorden is?
Die uitkomst wordt niet alleen door de Cyberbeveiligingswet bepaald.
Ze ontstaat in duizenden concrete keuzes tussen opdrachtgevers en leveranciers.
Geen organisatie kan cyberrisico volledig uitsluiten. Dat geldt zeker voor kleinere ondernemingen die afhankelijk zijn van dezelfde software, netwerken en leveranciers, maar niet dezelfde capaciteit hebben om iedere kwetsbaarheid zelf op te vangen.
Daar komt de keten opnieuw in beeld. Als één partij wordt geraakt, kunnen gegevensverlies, ongewenste toegang of uitval zich door de keten verspreiden. Individuele beveiliging blijft noodzakelijk, maar is niet altijd voldoende om de schade voor het geheel te begrenzen.
Dat roept een bredere vraag op: welke risico’s verwachten we redelijkerwijs dat een ondernemer zelf draagt, en waar zijn collectieve voorzieningen nodig? Denk aan gedeelde kennis en ondersteuning, afspraken via sector- en brancheorganisaties, verzekerbaarheid of in sommige gevallen publieke hulp wanneer een incident vooral het karakter krijgt van digitaal vandalisme of ontwrichting.
De Cyberbeveiligingswet geeft daar niet zelfstandig een antwoord op. Maar naarmate onze economie sterker digitaal verknoopt raakt, wordt cybersecurity daarmee ook een vraag over hoe ondernemingen elkaar helpen om weerbaar te blijven.
En daarmee komen we bij een groter punt. NIS2 reguleert een aantal organisaties rechtstreeks, maar probeert uiteindelijk iets aan de weerbaarheid van een heel systeem te veranderen.
In het derde en laatste artikel zoomen we daarom nog één niveau verder uit: waarom heeft Europa voor deze aanpak gekozen, en wat zegt dat over de manier waarop cybersecurity inmiddels wordt georganiseerd?
Blog · Geschreven door Rob Hoeijmakers
De Cyberbeveiligingswet verandert de eisen aan telecom- en IT-bedrijven. Waarom digitale weerbaarheid meer vraagt dan beveiliging en NIS2-compliance.
Hoe zorg je dat partners en klanten nieuwe AI-regels kunnen toepassen? In mijn gesprek met Enreach bleek hoeveel werk er achter een eenvoudige melding schuilgaat.
Opnemen, transcriberen en samenvatten lijken één handeling. Voor de gebruiker en de wet zijn het verschillende momenten die ieder om duidelijke uitleg vragen.
Wij zijn de onzichtbare kracht achter jouw IT en Telefonie
Wij zijn benieuwd naar jouw behoeftes
Laten we samen ontdekken hoe we jouw IT en Telefonie kunnen optimaliseren. Kom in contact, dan helpt een van onze specialisten of een van onze partners met jouw vraagstuk.