NIS2 en leveranciers: wat je grote klant van je vraagt en hoe je dat aantoont

Gepubliceerd op 12 mei 2026 · Bijgewerkt op 28 oktober 2026

Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.

Een vragenlijst over je beveiliging, afzender: de inkoopafdeling van je grootste klant. Je levert software, hosting, beheer, onderhoud of onderdelen aan een ziekenhuis, een netbeheerder of een gemeente, en die klant valt onder NIS2. Het korte antwoord: je valt er als toeleverancier zelf meestal niet onder, je klant wel. Hij moet sinds 15 augustus 2026 kunnen aantonen dat hij de risico's van zijn leveranciers beheerst, en mag jou daarom eisen stellen die passen bij het risico van jouw dienst. Wat je terugstuurt, is een eerlijk ingevulde vragenlijst met gedateerd bewijs van wat er van je aan het internet hangt en wat je daaraan herstelt.

In het kort

NIS2 verplicht de organisaties die eronder vallen (de wet noemt ze essentiële en belangrijke entiteiten) om de beveiliging van hun toeleveringsketen te regelen, inclusief hun relatie met rechtstreekse leveranciers (artikel 21 lid 2 sub d van de richtlijn). In Nederland geldt dat sinds 15 augustus 2026 via de Cyberbeveiligingswet.
De plicht ligt bij je klant. Jouw verplichtingen ontstaan via het contract en het inkoopbeleid van die klant.
De eisen moeten evenredig zijn aan het risico dat jouw dienst oplevert. Een marketingbureau krijgt lichtere eisen dan wie kernsystemen host.

Vaak komen twee vragen terug: welke norm of welk certificaat je volgt, en bewijs dat je basisbeveiliging klopt. Dit artikel gaat vooral over het tweede: weten wat er van je aan het internet hangt, kwetsbaarheden op tijd dichten en dat kunnen laten zien.

Val je zelf onder de wet?

De wet geldt voor organisaties in aangewezen sectoren, zoals energie, drinkwater, zorg, digitale infrastructuur, vervoer en overheid, en dan vanaf een bepaalde omvang. Een installatiebedrijf of onderhoudspartij valt daar meestal niet onder, ook niet met meer dan 50 medewerkers. Zo'n bedrijf krijgt de vragenlijst omdat het op afstand of fysiek toegang heeft tot de installaties of systemen van een klant die er wél onder valt. Produceer of handel je zelf, kijk dan goed. Wie vanaf middelgrote omvang (doorgaans 50 medewerkers) onder meer elektronica, elektrische apparatuur, machines, voertuigen of medische hulpmiddelen maakt, of groothandel drijft in levensmiddelen of chemische stoffen, kan er zelf onder vallen. Dat geldt ook voor wie IT-diensten levert: beheerders van IT-omgevingen (managed service providers), beveiligingsdienstverleners, cloudaanbieders en datacenters vallen er vanaf diezelfde omvang zelf onder, met technische eisen uit een Europese uitvoeringsregeling (Uitvoeringsverordening 2024/2690). Twijfel je, doe dan de NIS2-zelfcheck. Registreren in het entiteitenregister van het NCSC hoeft alleen wie zelf onder de wet valt.

Waarom je grote klant ineens eisen stelt

Volgens de Rijksoverheid vallen ruim 8.000 organisaties in 18 sectoren onder de Cyberbeveiligingswet. Omdat elk daarvan bij veel leveranciers inkoopt, raakt de wet indirect een veelvoud daarvan; een officiële telling is er niet.

Voor die 8.000 organisaties is de ketenzorgplicht een onderdeel van hun zorgplicht waarop de toezichthouder kan controleren. Het NCSC adviseert hen om antwoorden van leveranciers te controleren, omdat een ingevulde vragenlijst alleen niet genoeg zegt. Daar komen de vragenlijst, het aangepaste contract of het verzoek om een recent scanrapport vandaan. Wat de wet in bredere zin wel en niet van je klant eist, staat in wat is écht verplicht onder de NIS2-ketenzorgplicht.

Verdieping: wat artikel 21 precies over leveranciers zegt

Artikel 21 lid 2 sub d van de NIS2-richtlijn noemt de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van de relatie tussen de entiteit en haar rechtstreekse leveranciers en dienstverleners. Lid 3 voegt toe dat de entiteit rekening houdt met de kwetsbaarheden die specifiek zijn voor elke rechtstreekse leverancier en met de kwaliteit van diens producten en cyberbeveiligingspraktijken, waaronder veilige ontwikkelprocedures. In de Cyberbeveiligingswet staat die laatste bepaling in artikel 21 lid 4. Lever je software, dan komen de vragen over je ontwikkelproces en je afhankelijkheden hier vandaan.

Voor jouw positie zijn twee woorden belangrijk. Rechtstreekse leveranciers: de plicht van je klant richt zich op zijn directe leveranciers, dus op jou. En passend en evenredig (lid 1): de eisen moeten in verhouding staan tot het risico. Veel vragenlijsten vragen ook naar jouw eigen leveranciers, ook al legt de richtlijn jou daar zelf niets over op. Hoe je dat beantwoordt, staat in thema 4 van de gids voor de NIS2-leveranciersvragenlijst. Heb je ISO 27001, dan dekken de leveranciersmaatregelen 5.19 tot en met 5.23 van ISO 27002 die vraag. De vergelijkingstabel van Digitale Overheid, opgesteld voor overheden, koppelt artikel 21 lid 2 sub d aan precies die vijf maatregelen.

Welke eisen mag je NIS2-klant aan jou als toeleverancier stellen?

Evenredigheid is de maatstaf. Een leverancier die kernsystemen host of toegang heeft tot klantgegevens mag zwaardere eisen verwachten dan een leverancier van kantoormeubilair. Onevenredig kan bijvoorbeeld zijn: een verplicht ISO 27001-certificaat voor een leverancier zonder toegang tot klantsystemen, elk kwartaal een inbraaktest door een specialist (pentest) voor een dienst zonder internetkoppeling, of een onbeperkt auditrecht ter plaatse. Het NCSC adviseert je klant om leveranciers naar belang in te delen en de eisen daarop af te stemmen. Het kijkt daarbij onder meer of een leverancier onmisbaar is voor wat de klant het meest moet beschermen, en of hij toegang heeft tot vertrouwelijke systemen of gegevens. Stel jezelf die vragen ook, en vraag je klant of en in welke categorie hij je heeft ingedeeld. Bied bij een zware eis een lichter alternatief dat hetzelfde aantoont.

Binnen die grens komen dezelfde vragen steeds terug. Ze gaan over hoe je systemen bijgewerkt blijven met beveiligingsupdates (kwetsbaarhedenbeheer, ook wel kwetsbaarheidsbeheer), of er verouderde software of inlogpagina's voor beheer open aan het internet hangen, en hoe je toegang en je domein beheert. Daarnaast gaan er vragen over inloggen met een tweede stap (MFA, bijvoorbeeld een code op je telefoon), over een meldtermijn voor incidenten en over je eigen onderaannemers. Zo'n leveranciersbeoordeling (inkopers noemen die vaak een Vendor Security Assessment) bevat bijvoorbeeld een vraag als deze:

"Beschrijf uw proces voor patchmanagement en kwetsbaarhedenbeheer. Geef daarbij aan binnen hoeveel dagen kritieke kwetsbaarheden in systemen die vanaf internet bereikbaar zijn worden verholpen, en voeg bewijs toe van de meest recente kwetsbaarheidsscan. Bevestig tevens of meervoudige authenticatie (MFA) is afgedwongen op alle systemen van waaruit gegevens van [klantnaam] benaderbaar zijn."

"Wij patchen maandelijks conform ons beleid" is een antwoord dat je klant moet geloven. "Kritieke kwetsbaarheden op systemen aan het internet binnen 14 dagen; bijgevoegd ons scanrapport van 1 oktober en onze lijst van de septemberbevindingen met de datum waarop we elk ervan herstelden" kan hij nakijken. Vraag bij "de meest recente kwetsbaarheidsscan" door of je klant je buitenkant bedoelt of je interne systemen. Voor wat aan het internet hangt, is een externe meting het juiste stuk. Hoe je de vragenlijst thema voor thema beantwoordt, staat in de gids voor de NIS2-leveranciersvragenlijst.

Verdieping: welke bepalingen je in het contract kunt tegenkomen

Dezelfde eisen komen terug in het contract of in een beveiligingsbijlage. Reken op een meldtermijn voor incidenten die je klant kunnen raken, want hij moet een significant incident zelf binnen 24 uur als vroegtijdige waarschuwing bij het centrale meldpunt van het NCSC melden en binnen 72 uur als incidentmelding. Daarnaast kun je bijvoorbeeld tegenkomen:

een bijlage met minimumeisen, zoals hersteltermijnen voor kwetsbaarheden, MFA en logbestanden;
inzage in je eigen onderaannemers, en een melding als je daarin wisselt;
een recht op audit of op een test door of namens je klant, een bepaling die het NCSC zelf noemt.

Ook afspraken over continuïteit, overdracht bij beëindiging en opzegging na een ernstig incident kun je verwachten. Lees zo'n bijlage als verlengstuk van de vragenlijst, want alles wat je toezegt, moet je later kunnen laten zien. Een ruimere termijn die je aantoonbaar haalt, telt doorgaans zwaarder dan een krappe die je mist. Kijk ook of een eis als resultaatsverplichting is geformuleerd ("je voorkomt") of als inspanningsverplichting ("je spant je in"), en wat er over aansprakelijkheid staat. Voldoe je nog niet aan een eis, bied dan een verbeterplan met een planning aan.

Wat gebeurt er als je niet meewerkt?

De boetes van de Cyberbeveiligingswet gelden alleen voor je klant. Val je zelf niet onder de wet, dan legt NIS2 jou geen verplichting op. Staat medewerking aan een leveranciersbeoordeling in je contract of in je dienstverleningsovereenkomst (SLA), dan is niet invullen een contractuele kwestie. Commercieel telt het altijd mee. Een klant die vage antwoorden krijgt, kan jouw risico niet inschatten en schaalt het waarschijnlijk hoger in, met gevolgen bij een aanbesteding of contractverlenging. Bij gelijke prijs en kwaliteit kan het de doorslag geven dat jij je risico kunt laten zien.

Verdieping: regels die wél rechtstreeks voor jou kunnen gelden

Los van NIS2 kunnen andere regels jou direct raken. De AVG vraagt van je als verwerker van persoonsgegevens passende beveiliging en afspraken met je klant (artikelen 28 en 32). DORA, de Europese regels voor digitale weerbaarheid in de financiële sector, speelt als je ICT-diensten levert aan banken, verzekeraars of beleggingsinstellingen. Rechtstreeks toezicht geldt daar alleen voor aangewezen kritieke aanbieders; de rest loopt via verplichte contractbepalingen. De Cyber Resilience Act geldt als je producten met software erin maakt, zoals apps, apparaten of software die je verkoopt. De meldplichten gelden sinds 11 september 2026, de overige eisen vanaf 11 december 2027. Diensten die alleen online draaien (SaaS) vallen er doorgaans buiten.

Hoe toon je als leverancier je basisbeveiliging aan?

Een vragenlijst is papier: een momentopname en een belofte, door jou opgesteld. Een externe meting laat zien wat er op een vaste datum aan de buitenkant van je omgeving zichtbaar is: toegangen tot je systemen die vanaf internet bereikbaar zijn (open poorten), softwareversies, het beveiligingscertificaat van je website, de beveiliging van je domein en je mail, bereikbare inlogpagina's voor beheer. Ook een meting heeft grenzen. Ze ziet alleen wat van buitenaf bereikbaar is, kijkt niet achter inlogschermen en vervangt geen pentest. Een rapport zonder bevindingen zegt dus iets over je buitenkant op die dag. Welke domeinen en systemen worden gemeten (de scope), bepaal je zelf, en het zegel bewijst alleen dat het rapport achteraf ongewijzigd is. Of MFA voor iedereen aanstaat, of je back-ups werken en hoe je intern bijwerkt, bewijs je met andere stukken, zoals een schermafdruk van de inloginstellingen in Microsoft 365 of Google Workspace, of een logboek. Laat je je IT door een externe beheerder doen, vraag die dan om die stukken.

De inspanning schaalt mee met het risico. Ben je een leverancier zonder toegang tot klantsystemen of klantgegevens, dan kun je vaak volstaan met een actueel overzicht van je buitenkant en een vast ritme van herstellen; vraag je klant of dat voor hem genoeg is. Een certificeringstraject komt pas bij een hoger risicoprofiel in beeld.

Breng in kaart wat er van je aan het internet hangt

Begin met wat een aanvaller van jouw domein ziet, want dat kan de beoordelaar van je klant ook bekijken zonder jou iets te vragen. Typische bevindingen bij een eerste externe meting zijn een vergeten testomgeving op een subdomein, een (bijna) verlopen beveiligingscertificaat, mail zonder DMARC-beleid (de instelling die voorkomt dat anderen mail versturen namens jouw domein) en een verouderd websitesysteem of beheerpaneel. Zulke punten staan zelden in de vragenlijst die je net hebt ingevuld, terwijl een buitenstaander ze bij een eerste blik kan zien. Voor het domein van je zakelijke e-mailadres kun je de mailbeveiliging en het certificaat van je website zelf nalopen met de gratis DMARC-check en SSL-check.

Monitor doorlopend, want één rapport bewijst één dag

Er verschijnen dagelijks nieuwe kwetsbaarheden en collega's zetten nieuwe diensten online. Een reeks maandrapporten laat je proces zien: wat in september openstond en in oktober niet meer, met jouw hersteldatum erbij. Ligt er een vragenlijst met een deadline, laat dan een tussentijds rapport over de huidige stand maken.

Herstel wat je vindt en leg vast wat je hebt gedaan

Leg per bevinding in je eigen administratie vast wat je hebt besloten: verholpen, beperkt of bewust geaccepteerd met reden. Een bevinding met zo'n besluit is voor een beoordelaar normaal. Een bevinding die in het volgende rapport zonder toelichting nog openstaat, vraagt om uitleg. De wet zelf noemt geen hersteltermijn. Publieke richtlijnen geven een houvast. Het Britse keurmerk Cyber Essentials eist van deelnemers dat updates voor kritieke en hoge kwetsbaarheden binnen 14 dagen na verschijnen zijn geïnstalleerd. De Amerikaanse overheid schrijft haar federale diensten sinds juni 2026 voor dat publiek bereikbare systemen met een kwetsbaarheid op de lijst van aantoonbaar misbruikte kwetsbaarheden (KEV) doorgaans binnen drie dagen zijn hersteld. Noem in een vragenlijst alleen een termijn die je in je eigen rapporten en administratie kunt terugvinden.

Verdieping: hoe je een hersteltermijn aantoont

De Amerikaanse richtlijn BOD 26-04 (10 juni 2026) werkt met vier vragen: is het systeem publiek bereikbaar, staat de kwetsbaarheid op de KEV-lijst, is misbruik te automatiseren, en hoeveel controle krijgt een aanvaller? Daaruit volgen termijnen van 3, 14 of 60 dagen, of herstel bij de eerstvolgende upgrade. De volledige tabel geldt vanaf december 2026. Hoe je met EPSS (een score voor de kans dat een kwetsbaarheid wordt misbruikt) en KEV bepaalt wat eerst moet, staat in welke kwetsbaarheid eerst.

Het rapport waarin een kwetsbaarheid voor het eerst staat en het rapport waarin ze verdwenen is, begrenzen samen je gemeten hersteltermijn. Met maandrapporten bewijs je zo "binnen een maand", gerekend vanaf het rapport waarin ze voor het eerst stond. Wil je 14 dagen aantonen, dan heb je een tussentijds rapport nodig of de hersteldatum uit je eigen administratie ernaast. Een bevinding verdwijnt ook als een systeem offline was of buiten de meting viel. Leg de hersteldatum daarom zelf vast. Een beoordelaar kan dan drie dingen naast elkaar leggen: de termijn die je in de vragenlijst noemt, de gemeten termijn uit de rapportenreeks en de datum op het rapport zelf. Wijkt de gemeten termijn af van wat je opgaf, dan wordt juist je eigen verklaring het zwakke punt. Wat auditors en verzekeraars onder controleerbaar bewijs verstaan, staat in forensisch onderbouwd bewijs.

Een scan maakt overigens niemand "NIS2-compliant". De wet vraagt van je klant ook risicomanagement, incidentmelding en bestuurlijke verantwoordelijkheid. Dat onderscheid staat in scannen is geen NIS2-compliance.

Hoe Exposentry hierbij past

Met een abonnement doet Exposentry de meting en de maandrapportage, zodat jij je op het herstel kunt richten; een Nulmeting geeft een eenmalig beeld. De meting komt van OpenKAT, de beveiligingsscanner met open broncode die binnen de Nederlandse overheid is ontwikkeld en waaraan oprichter Edward Hasekamp bijdraagt. De servers van je domein- en mailprovider, die via je domeininstellingen in beeld komen, zet het rapport apart onder "buiten scope". Per soort bevinding staat, waar dat bekend is, welke scanmodule die wanneer vaststelde. Het rapport is verzegeld met het eigen certificaat van Exposentry en een tijdstempel van een onafhankelijke dienst, zodat je klant kan controleren dat het daarna niet is gewijzigd. Een tussentijds rapport vraag je zelf aan vanuit je dashboard. Wat je met zo'n rapport bij de NIS2-vragenlijst van je klant voegt, staat op die pagina. Een eerste beeld van je buitenkant geeft de gratis scan op basis van openbare bronnen.

Veelgestelde vragen

Val ik als leverancier zelf onder NIS2? Alleen als je organisatie zelf in een van de aangewezen sectoren actief is en groot genoeg is: doorgaans vanaf 50 medewerkers, of een jaaromzet én balanstotaal boven 10 miljoen euro. Enkele digitale diensten vallen er ongeacht omvang onder. Lever je zelf IT-beheer, IT-beveiligingsdiensten, clouddiensten of datacenterruimte, dan val je er vanaf middelgrote omvang (doorgaans 50 medewerkers) zelf onder. Lever je aan organisaties die er wél onder vallen, dan raakt NIS2 je indirect, via de eisen die je klant op grond van zijn ketenzorgplicht aan jou stelt. Twijfel je over je eigen positie, doe dan de NIS2-zelfcheck.

Welke eisen mag mijn NIS2-klant aan mij stellen? Eisen die passend en evenredig zijn aan het risico dat jouw dienst voor die klant oplevert. Wie kernsystemen host of toegang heeft tot klantgegevens krijgt zwaardere eisen dan een leverancier van kantoormeubilair. Een klant mag vragen hoe je je systemen bijwerkt, of je MFA gebruikt en binnen welke termijn je incidenten aan hem meldt, en mag daar bewijs bij vragen.

Moet ik een NIS2-certificaat hebben? Nee. Er bestaat geen officieel NIS2-certificaat en de wet schrijft op dit moment geen specifieke norm of keurmerk voor. Keurmerken met NIS2 in de naam hebben geen wettelijke status. Het NCSC noemt het keurmerk NIS2 Supply Chain en de beoordelingsmethode Cyra wel als hulpmiddel op weg naar ISO 27001. Eist je klant er een, dan is dat een contracteis. Een ISO 27001-certificaat helpt bij het beantwoorden van vragen en zegt iets over je managementsysteem; wat er vandaag aan je buitenkant openstaat, laat een meting zien.

Wat gebeurt er als ik de vragenlijst van mijn klant niet invul? Boetes uit NIS2 gelden voor je klant. Staat medewerking in je contract of SLA, dan is niet invullen een contractuele kwestie. En commercieel telt het altijd: een klant die geen of vage antwoorden krijgt, kan jouw risico niet beoordelen en weegt dat waarschijnlijk mee bij contractverlenging of een aanbesteding.

Moet ik mijn eigen leveranciers ook controleren? Je klant mag via het contract om inzicht in jouw leveranciers vragen, ook al legt de wet jou daar zelf niets over op. Houd een lijst bij van wie jouw omgeving host, wie je e-mail beheert en wie toegang heeft tot de gegevens van die klant, met wat je van hun beveiliging weet.

Hoe toon ik als leverancier NIS2-compliance aan? NIS2-compliance is iets wat je klant moet aantonen, want de wet geldt voor hem. Jij laat zien dat je voor hem een beheerst risico bent: met een actueel beeld van wat er van je aan het internet hangt, gedateerd bewijs van herstel, en een duidelijk antwoord op zijn vragenlijst en contractbijlage.

Wat is voldoende bewijs voor mijn klant? Een ingevulde vragenlijst is een eigen verklaring. Overtuigender is een gedateerde externe meting van je domeinen en systemen, met jouw herstelstatus van wat daarin stond. Daarmee laat je zien wat een buitenstaander op dat moment van je zag en wat je ermee hebt gedaan.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.