Cyberbeveiligingswet: welke eisen kan je klant aan jou stellen?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Dat je klant onder de wet valt, betekent niet automatisch dat jij als leverancier er zelf onder valt. Je staat ook niet onder Cbw-toezicht enkel omdat je toeleverancier bent van een Cbw-organisatie. Maar je klant moet de risico's in zijn keten beheersen en mag daarom beveiligingseisen aan jou stellen. Die eisen kunnen per klant verschillen. Bereid je voor met bewijs over je basisbeveiliging, toegang, back-ups en incidenten.
Een klant die onder de Cyberbeveiligingswet valt, kan jou vragen om maatregelen, bewijs en afspraken in het contract. Wat kun je verwachten, en hoe bereid je je voor?
Val je zelf onder de wet?
Niet automatisch. Dat je klant onder de Cyberbeveiligingswet valt, betekent niet dat jij als leverancier er zelf onder valt. De plichten liggen bij de organisaties die onder de wet vallen. Het NCSC schrijft dat je niet onder toezicht staat enkel omdat je toeleverancier bent van een Cbw-organisatie (NCSC, De Cyberbeveiligingswet en toeleveranciers). Je kunt wel zelfstandig onder de wet vallen vanwege je eigen activiteiten, sector en omvang. Controleer je eigen situatie apart.
Waarom je klant eisen stelt
De wet verplicht organisaties tot passende maatregelen, ook voor de beveiliging van hun toeleveringsketen. Daarom kunnen ze maatregelen opleggen aan hun rechtstreekse leveranciers en dienstverleners. Dat geldt niet voor elke leverancier: volgens het NCSC levert niet elke toeleverancier producten of diensten die een risico vormen voor de keten, en de maatregelen moeten passend en evenredig zijn en voortkomen uit een risicogebaseerde aanpak. Kort gezegd: jij valt niet onder de wet omdat je klant eronder valt, maar je klant kan wel eisen, bewijs en contractafspraken van je vragen. Dat kan gaan over één specifiek risico of over je algemene beveiliging. Lever je aan meerdere klanten onder de wet, dan kun je verschillende lijsten met eisen krijgen.
Wat je kunt verwachten
Op basis van het NCSC (Toeleveranciers van Cbw-organisaties) kun je vragen verwachten over:
| Onderwerp | Typische vraag |
|---|---|
| Wat telt voor de klant | Welke van onze systemen en gegevens raak jij, en welke invloed heb je erop? |
| Risico's beheersen | Hoe regel je beveiligingsupdates, veilige instellingen en het tijdig zien van dreigingen? |
| Toegang | Gebruik je MFA of passkeys, en heb je een overzicht van wie welke rechten heeft? |
| Back-ups en herstel | Heb je een back-upstrategie en een incidentresponsplan? |
| Afspraken | Wat spreken we af over audits, incidentmeldingen en updates? |
| Incidenten | Wie informeer je wanneer, en hoe beperk je de schade? |
Afspraken komen vaak in een SLA, een aparte bijlage of het bestaande contract. Certificaten zoals ISO 27001 kunnen helpen, maar de wet schrijft ze niet voor.
Zo bereid je je voor
- Zorg dat de basis op orde is. Het NCSC verwijst naar de vijf basisprincipes en de Basisscan Cyberweerbaarheid.
- Ga het gesprek aan. Vraag welke risico’s de klant bij jou ziet en welke eisen daaruit volgen.
- Zet bewijs klaar. Toegangsbeleid, patchbeleid, back-up- en hersteltest, incidentprocedure. Zie de bewijsladder.
- Leg afspraken schriftelijk vast. En oefen een incident samen met de klant.
- Beloof niet meer dan je kunt. Een meldtermijn die je niet haalt, is erger dan een eerlijk antwoord.
Meer over de tien onderwerpen uit de wet en de vragen die daarbij horen: NIS2-vragenlijst van je klant.
Hoe Holdvero helpt
Bij Questionnaire Rescue beantwoorden we de leveranciersvragen van je klant op basis van je eigen documentatie, met een bron bij elk antwoord en eerlijke open punten. Holdvero geeft geen juridisch advies over de vraag of je zelf onder de wet valt. Meer over Nederlandse klanten op de pagina Nederland.
Veelgestelde vragen
Sinds wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn.
Krijg ik een boete als ik niet voldoe aan de eisen van mijn klant?
Volgens het NCSC sta je niet onder Cbw-toezicht enkel omdat je toeleverancier bent van een Cbw-organisatie. Maar je klant kan eisen in het contract opnemen. Haal je die niet, dan raakt dat je contract en je relatie met de klant.
Moet ik ISO 27001 hebben?
De wet schrijft geen certificaat voor. Een certificaat kan wel helpen om te laten zien hoe je beveiliging is ingericht. Vraag wat je klant verwacht.
Krijg ik van elke klant dezelfde vragen?
Niet altijd. Elke klant bepaalt zelf welke risico’s hij bij jou ziet. Bewaar je goedgekeurde antwoorden en bewijs op één plek, dan kun je ze hergebruiken.
Leveranciersvragen onder de Cyberbeveiligingswet ontvangen?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan