Voor organisaties die onder NIS2 vallen, direct of via hun keten
Onderbouw uw NIS2-ketenzorgplicht
De NIS2-richtlijn verplicht u passende maatregelen te nemen voor de beveiliging van uw keten, en is via de Cyberbeveiligingswet sinds 15 augustus 2026 ook in Nederland afdwingbaar. Exposentry levert doorlopende externe metingen met een bewijsspoor bij de bevindingen: wat er van buiten zichtbaar is, gedateerd en verzegeld.
Wat is de NIS2-ketenzorgplicht?
NIS2 (in Nederland geïmplementeerd via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026) verplicht essentiële en belangrijke entiteiten om risico's in hun toeleveringsketen te beheersen. Naast uw eigen beveiligingsrisico's beheerst u daarmee ook de risico's die via uw rechtstreekse leveranciers en dienstverleners binnenkomen.
De plicht geldt direct voor ruim 8.000 essentiële en belangrijke entiteiten (raming Rijksoverheid), en raakt indirect hun leveranciers: die entiteiten moeten ook eisen stellen aan de beveiliging in hun keten. Toezichthouders verwachten dat u kunt aantonen welke maatregelen u neemt en bewijs daarvan kunt overleggen. In de kennisbank leest u wat er écht verplicht is onder de ketenzorgplicht.
Wat de Cyberbeveiligingswet in haar geheel eist, per artikel →
Wat de wet bij de keten vraagt
In de Cyberbeveiligingswet staat de ketenzorgplicht in artikel 21, lid 3, onder d: de beveiliging van de toeleveringsketen, met inbegrip van de beveiligingsaspecten van de relatie met uw rechtstreekse leveranciers en dienstverleners. Lid 4 vraagt u daarbij onder meer de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener mee te wegen, en de kwaliteit van hun producten en cyberbeveiligingspraktijken, met inbegrip van hun procedures voor veilige ontwikkeling. Het Cyberbeveiligingsbesluit werkt dat uit in artikel 10: u legt beleid voor de beveiliging van uw toeleveringsketen schriftelijk vast en past dat aantoonbaar toe (lid 1). Daarnaast toetst u of uw rechtstreekse leveranciers en dienstverleners voldoen aan de beveiligingseisen die u op basis van uw risicoanalyse stelt, en controleert u dat periodiek (lid 2; de eisen zelf volgen uit artikel 7, lid 5).
In de praktijk heet dit ook ketenverantwoordelijkheid: de risico's die via een leverancier binnenkomen, beheerst u zelf, ook als die leverancier niet onder de wet valt. Het gaat om leveranciers die invloed kunnen hebben op de beveiliging van uw netwerk- en informatiesystemen; de nota van toelichting bij het Cyberbeveiligingsbesluit noemt de leverancier van potloden als voorbeeld van wie erbuiten valt. Hoe u toetst, laat de wet aan u; dezelfde toelichting noemt als voorbeeld certificering en clausules in leveringsovereenkomsten. Dat is papier: een clausule legt vast wat een leverancier belooft, een certificaat toont dat zijn managementsysteem op een eerder moment is beoordeeld. Een externe meting laat zien wat er van buiten werkelijk zichtbaar is. Vraagt een auditor hoe u weet dat het klopt, dan heeft u met beide een antwoord.
Wat een auditor in de praktijk wil zien: welke rechtstreekse leveranciers invloed hebben op de beveiliging van uw systemen en hoe zwaar u ze weegt, welke beveiligingseisen u ze stelt (bijvoorbeeld in het contract), hoe en wanneer u heeft getoetst of ze daaraan voldoen (vragenlijst, certificaat, meting), en wat u deed als een leverancier tekortschoot. Samen vormt dat uw leveranciersdossier.
Hoe Exposentry uw ketenzorgplicht onderbouwt
Doorlopende monitoring
Doorlopende scans van uw publieke aanvalsoppervlak, zodat nieuwe kwetsbaarheden snel zichtbaar worden in plaats van één keer per jaar.
Herleidbaar bewijs
Waar het spoor te herleiden is, legt OpenKAT vast hoe en wanneer een bevinding is aangetroffen. Dat gedateerde bewijsspoor kunt u overleggen aan auditors, klanten en verzekeraars.
Bevindingen gekoppeld aan normen
Bevindingen in het rapport zijn waar mogelijk indicatief gekoppeld aan beheersmaatregelen uit ISO 27001 en, als uw sector bekend is, uit een kader dat daarbij past. Die koppeling is een startpunt voor uw eigen toetsing.
Leveranciers in beeld
Monitor naast uw eigen domeinen ook de buitenkant van kritieke leveranciers. In NIS2 + Keten zijn tien leveranciers inbegrepen, elk met een passieve meting op openbare bronnen: DNS, certificaatlogboeken en internetindexen, zonder dat Exposentry de systemen van de leverancier zelf scant. Dat beeld is breed, maar tweedehands en niet altijd actueel. Wilt u meer zien, dan kan de leverancier zelf een gedateerd rapport van zijn eigen meting aanleveren.
Eerlijk over wat het wél en niet is
Exposentry is een bouwsteen voor uw kwetsbaarhedenbeheer en ketenzorgplicht: controleerbaar bewijs dat u uw externe aanvalsoppervlak doorlopend meet. NIS2 omvat daarnaast governance, incidentmelding en organisatorische maatregelen; die vallen buiten een scan. Exposentry levert het technische bewijs; de juridische beoordeling blijft bij u en uw adviseur.
Bent u zelf de leverancier die een vragenlijst kreeg?
Deze pagina is geschreven voor uw klant. Voor u is er ook een pagina: wat u als meting bijvoegt bij de NIS2-vragenlijst, hoe die meting werkt en wat het kost.
Wat u bijvoegt bij de vragenlijst →Onafhankelijkheid maakt uw bewijs sterker
Ketenzorgplicht aantonen met een rapport van de partij die uw omgeving beheert, houdt bij een kritische auditor geen stand: die partij beoordeelt zijn eigen werk. Exposentry rapporteert daarom rechtstreeks aan u, nooit via uw IT-dienstverlener, en heeft de functiescheiding met beheer- en herstelwerk vastgelegd in de algemene voorwaarden.
Veelgestelde vragen over NIS2 en ketenzorgplicht
Maakt Exposentry mij NIS2-compliant?
Nee. Exposentry levert een aantoonbare technische bouwsteen: doorlopende externe metingen met een bewijsspoor bij de bevindingen. NIS2 vraagt daarnaast om governance, incidentmelding en organisatorische maatregelen die buiten het bereik van een scan vallen.
Val ik onder de NIS2-ketenzorgplicht?
Als u een essentiële of belangrijke entiteit bent, geldt de zorgplicht direct. Levert u diensten aan zo'n entiteit, dan stelt die waarschijnlijk eisen aan úw beveiliging; daarmee raakt de ketenzorgplicht u indirect. Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht: de toezichthouder kan de entiteit aanspreken op hoe zij haar keten beheerst. Als leverancier merkt u dat aan de eisen in uw contract, vragenlijsten en audits.
Hoe toon ik aan dat ik mijn keten beheers?
Met een leveranciersdossier: welke leveranciers invloed hebben op uw systemen, welke eisen u stelt, hoe en wanneer u toetste en wat u deed als een leverancier tekortschoot. Met NIS2 + Keten legt een gedateerde, passieve meting per leverancier naast de vragenlijst vast wat er van buiten zichtbaar was. Bij een abonnement laat elk volgend rapport voor uw eigen domeinen zien hoe het aantal bevindingen per ernst zich ontwikkelt.
Kan ik ook mijn leveranciers monitoren?
Ja, in het pakket NIS2 + Keten: tien leveranciers, elk met een passieve meting op openbare bronnen. Werkt een leverancier mee, dan kan hij zelf een gedateerd rapport van zijn eigen meting aanleveren.
Zo werkt leveranciersmonitoring →Is ketenverantwoordelijkheid hetzelfde als ketenzorgplicht?
Binnen NIS2 wel. Geen van beide woorden staat in de wet; die spreekt van de beveiliging van de toeleveringsketen (artikel 21, lid 3, onder d). Ketenzorgplicht en ketenverantwoordelijkheid zijn twee gangbare namen voor die plicht: u beheerst de risico's die via uw rechtstreekse leveranciers en dienstverleners binnenkomen. Buiten NIS2 betekent ketenverantwoordelijkheid ook iets anders, zoals onderzoek naar mensenrechten en milieu in de keten.
Hoe vaak moet ik mijn leveranciers toetsen?
De wet noemt geen vaste termijn. Het Cyberbeveiligingsbesluit (artikel 10, lid 2) vraagt u periodiek te controleren; volgens de nota van toelichting bij het besluit bepaalt en onderbouwt u die termijn zelf, op basis van uw risico's. Met leveranciersmonitoring in NIS2 + Keten ziet u ook tussen twee vragenlijstrondes wat er aan de buitenkant van een leverancier verandert.
Wat mag ik van een leverancier vragen?
Wat past bij het risico dat hij meebrengt: beveiligingseisen in het contract, een ingevulde vragenlijst of zelfevaluatie, een certificaat zoals ISO 27001 waar dat past, een gedateerd rapport van zijn externe aanvalsoppervlak, en afspraken over het melden van incidenten aan u.
Begin met een controleerbare meting
De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder algemene overgangstermijn. Start met een nulmeting van €495 (volledig verrekenbaar bij een jaarabonnement) of doorlopende monitoring vanaf €249/maand.
Start nuLiever zelf OpenKAT draaien of een eigen implementatie? Hasecon verzorgt implementatie, beheer en custom development →