Je klant vraagt om een NIS2 Supply Chain-certificaat. Wat nu?
Het NIS2 Supply Chain-certificaat is een vrijwillig keurmerk voor leveranciers van organisaties die onder NIS2 vallen. Er zijn drie niveaus: SC10, SC20 en SC30. De wet schrijft geen certificaat voor. Je klant kan wel van je vragen dat je aantoont dat je veilig werkt, en zelf bepalen of hij daarvoor een certificaat eist. Vraag dus eerst wat je klant precies verwacht: het certificaat, of antwoorden met bewijs.
Een klant onder de Cyberbeveiligingswet kan je vragen om aan te tonen dat je veilig werkt. Soms noemt hij daarbij het NIS2 Supply Chain-certificaat. Dit is wat het is, en wat je kunt doen als je het (nog) niet hebt.
Wat het certificaat is
Het NIS2 Supply Chain-certificaat is ontwikkeld door de Stichting Kwaliteitsinnovatie (Kiwa, NIS2 Supply Chain). Het werd in oktober 2024 gelanceerd onder de naam NIS2 Quality Mark, met de niveaus QM10, QM20 en QM30 (Accountancy van Morgen, 11 oktober 2024). Nu heten de niveaus SC10, SC20 en SC30. Het is een keurmerk, geen wet.
De website van het keurmerk beschrijft de niveaus zo (NIS2 Supply Chain, FAQ):
| Niveau | Voor wie |
|---|---|
| SC10 | Mkb-bedrijven met een beperkt risico die leveren aan organisaties onder NIS2 |
| SC20 | Bedrijven met een verhoogd risico door hun rol of hun toegang tot gevoelige gegevens |
| SC30 | Kritieke bedrijven in de keten, waar een verstoring grote gevolgen kan hebben |
Is het verplicht?
Niet volgens de wet. Organisaties onder NIS2 moeten de beveiliging van hun toeleveringsketen regelen. Daarom kunnen ze van hun rechtstreekse leveranciers vragen dat die aantonen dat ze veilig werken (NIS2 Supply Chain, FAQ). Het NCSC schrijft dat certificaten daarbij kunnen helpen, maar dat de Cyberbeveiligingswet ze niet voorschrijft (NCSC, Toeleveranciers van Cbw-organisaties). Of je een certificaat nodig hebt, bepaalt dus je klant, bijvoorbeeld in een aanbesteding of in het contract. Meer over wat een klant onder de wet van je kan vragen: Cyberbeveiligingswet: welke eisen kan je klant aan jou stellen?
Hoe je het certificaat haalt
Volgens de website van het keurmerk gaat het in vijf stappen (NIS2 Supply Chain, voor bedrijven):
- Je meldt je organisatie vooraf aan.
- Je bereidt de audit voor: documentatie en maatregelen op orde.
- Je volgt een pre-audit-webinar. Dat is verplicht als je het certificaat wilt halen.
- Een onafhankelijke, erkende auditor die je zelf kiest, doet de certificeringsaudit.
- Na een positieve beoordeling krijg je het certificaat.
Voor SC20 en SC30 moet de auditor kennis hebben van ISO 27001 (FAQ). Een van de certificerende instellingen noemt voor SC20 en SC30 een certificeringscyclus van drie jaar (Kiwa). Vraag de actuele voorwaarden en kosten na bij de auditor die je kiest.
Vraag eerst wat je klant echt wil
- Is het certificaat een harde eis, of is gelijkwaardig bewijs ook goed?
- Welk niveau verwacht de klant, en waarom dat niveau?
- Voor wanneer moet het er zijn: voor de gunning, of binnen een termijn na de start?
- Accepteert de klant ook ISO 27001, of een eerdere audit?
- Wil de klant daarnaast nog een vragenlijst ingevuld zien?
Wat je nu al kunt aanleveren
Heb je (nog) geen certificaat, dan kun je wel laten zien welke maatregelen je hebt. Dit bewijs past bij de onderwerpen die een klant kan vragen:
| Onderwerp | Wat je klant wil weten | Bewijs dat je kunt laten zien |
|---|---|---|
| Beleid en risico’s | Heb je je beveiliging en je risico’s op een rij? | Informatiebeveiligingsbeleid, risicoanalyse, overzicht van maatregelen |
| Toegang | Wie kan waarbij, en is MFA aan? | Instellingen voor MFA, overzicht van rechten, procedure voor in- en uitdienst |
| Updates | Hoe snel installeer je beveiligingsupdates? | Patchbeleid, overzicht van recente updates |
| Back-ups en herstel | Kun je je gegevens terugzetten? | Back-upbeleid, verslag van de laatste hersteltest |
| Incidenten | Hoe meld en beperk je een incident? | Incidentprocedure, contactpersonen, meldtermijnen |
| Je eigen leveranciers | Wie werkt er voor jou mee aan de dienst? | Lijst van leveranciers en subverwerkers, hun certificaten of rapporten |
| Bewustzijn | Weten je medewerkers wat ze moeten doen? | Overzicht van trainingen en wie ze volgde |
Hoe sterk elk soort bewijs is, zie je op de bewijsladder. Wees eerlijk over wat er nog niet is. Bijvoorbeeld: “We hebben geen NIS2 Supply Chain-certificaat. Onze maatregelen staan in document X; de hersteltest van september staat in verslag Y.”
Certificaat, ISO 27001 of antwoorden met bewijs?
| Route | Wanneer die past | Let op |
|---|---|---|
| Antwoorden met bewijs | Je klant vraagt geen certificaat, of accepteert gelijkwaardig bewijs | Werk per klant. Houd je antwoorden en bewijs actueel en op één plek. |
| NIS2 Supply Chain-certificaat | Een of meer klanten vragen er uitdrukkelijk om | Een traject met voorbereiding, webinar en audit. Kies het niveau dat je klant vraagt. |
| ISO 27001 | Klanten vragen specifiek om ISO 27001 | Een groter traject. Controleer dat de scope je dienst dekt. Zie vragenlijst zonder ISO 27001. |
Wat je beter niet schrijft
- “Wij zijn NIS2-compliant”. De wet geldt voor je klant; jij laat zien welke maatregelen je hebt.
- “Wij voldoen aan SC20” zonder audit. Dat kan gelezen worden als een certificaat.
- Een certificeringsdatum die nog niet gepland is.
Heb je het certificaat wel, noem dan het niveau, de datum en de auditor, en stuur het certificaat mee.
Hoe Holdvero helpt
Bij Questionnaire Rescue beantwoorden we de vragen van je klant op basis van je eigen documentatie, met een bron bij elk antwoord en eerlijke open punten. Zo laat je zien wat je nu al hebt, ook zonder certificaat. Holdvero certificeert niet, auditeert niet en begeleidt geen certificeringstrajecten. Meer over Nederlandse klanten op de pagina Nederland.
Veelgestelde vragen
Is het NIS2 Supply Chain-certificaat verplicht?
Niet volgens de wet. De Cyberbeveiligingswet schrijft geen certificaat voor. Je klant kan het wel eisen, bijvoorbeeld in een aanbesteding of het contract.
Welk niveau heb ik nodig?
Dat hangt af van je rol in de keten en van wat je klant vraagt. Volgens de website van het keurmerk is SC10 voor mkb-bedrijven met een beperkt risico en SC20 voor bedrijven met een verhoogd risico, bijvoorbeeld door toegang tot gevoelige gegevens. Vraag het niveau aan je klant.
Is dit hetzelfde als ISO 27001?
Nee. ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. Het NIS2 Supply Chain-certificaat is een keurmerk met niveaus voor leveranciers in de NIS2-keten. Vraag je klant of hij ISO 27001 ook accepteert.
Was dit eerder het NIS2 Quality Mark?
Ja. Het keurmerk werd in oktober 2024 gelanceerd als NIS2 Quality Mark, met de niveaus QM10, QM20 en QM30. Nu heten ze SC10, SC20 en SC30.
Kan Holdvero mij certificeren?
Nee. Holdvero certificeert en auditeert niet. We helpen je de vragen van je klant eerlijk en met bewijs te beantwoorden.
Vraagt je klant om een certificaat of een vragenlijst?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan