Voor leveranciers van organisaties die onder NIS2 vallen
Uw klant stuurt een NIS2-vragenlijst. Dit voegt u bij.
De vragenlijst van uw klant legt vast wat u verklaart. Een rapport van Exposentry legt vast wat er van uw bedrijf werkelijk aan internet hangt: gemeten door een derde partij, gedateerd en verzegeld. Het soort bewijs waar een beoordelaar om vraagt bij de vraag over kwetsbaarhedenbeheer.
Waarom een ingevulde vragenlijst alleen niet genoeg is
Uw klant valt onder NIS2 en moet de risico's van zijn leveranciers beoordelen. Dat staat in artikel 21 van de richtlijn en sinds 15 augustus 2026 in de Nederlandse Cyberbeveiligingswet. De vraag die daaruit op uw bureau landt, luidt meestal: hoe is uw patchmanagement en kwetsbaarhedenbeheer geregeld, en kunt u dat aantonen?
Het NCSC schrijft dat zo'n papieren exercitie alleen niet genoeg is: de inkoper hoort de leverancier te bevragen op zijn antwoorden en zelf onderzoek te doen. Een zin als 'updates installeren we regelmatig' is dan lastig te onderbouwen. Een gedateerd rapport van een onafhankelijke meting wel: de beoordelaar ziet welke systemen van u aan internet hangen, welke bekende kwetsbaarheden daarbij horen en wanneer dat is vastgesteld. En in het rapport van de maand erna ziet hij of dat aantal daalt. Zo laat u maand na maand zien wat er aan de buitenkant verandert.
Zo werkt het, in drie stappen
1. Aanmelden
U kiest Ketenpartner, vult uw KVK-nummer en uw domein in en betaalt via iDEAL of creditcard. De meting gebeurt van buitenaf, via internet; op uw systemen verandert niets.
2. Uw beheerder zet één record
Om aan te tonen dat het domein van u is, zet uw IT-beheerder of websitebouwer één DNS-record, of een klein tekstbestand op uw website. De instructie krijgt u per e-mail en kunt u doorsturen. Exposentry controleert elke tien minuten of het record er staat; daarna begint OpenKAT te meten. Blijft het uit, dan herinneren we u na drie dagen.
3. Rapport bijvoegen
Het eerste rapport staat doorgaans dezelfde dag in uw mailbox, daarna elke maand. Het rapport wordt digitaal verzegeld met een onafhankelijk tijdstempel (RFC 3161): wijzigt er daarna iets aan het bestand, dan klopt het zegel niet meer. U voegt het als bijlage bij uw antwoord op de vragenlijst.
Wat er in het rapport staat
- Welke domeinen, subdomeinen en diensten van uw bedrijf vanaf internet zichtbaar zijn, inclusief subdomeinen die vaak over het hoofd worden gezien.
- Hoe uw certificaten en mailbeveiliging (SPF, DKIM, DMARC) erbij staan.
- Welke bekende kwetsbaarheden daarbij horen, met ernst, uitleg en herstelstap, en hoe het aantal zich ontwikkelt ten opzichte van de vorige meting.
Het voorbeeldrapport over dvwa.cloud, een met opzet kwetsbare oefenomgeving van Hasecon, laat zien hoe het rapport eruitziet dat u aan uw klant kunt overleggen (PDF van 21 pagina's, verzegeld en vrij te delen, op aanvraag via uw zakelijke e-mailadres). Bij elke soort bevinding staat waar die vandaan komt. Het voorbeeld is gemaakt op scanniveau 3; Ketenpartner en de nulmeting scannen standaard op niveau 2, zonder de actieve kwetsbaarheidsscans.
Elk rapport draagt de datum en het tijdstempel van de meting, zodat de beoordelaar ziet dat het bewijs actueel is. Hoe uw klant het zegel controleert, staat in Een Exposentry-rapport verifiëren.
Wie er achter het rapport zit
Exposentry is een dienst van Hasecon, een Nederlands bedrijf. De meting komt van OpenKAT, de scanner met open broncode die binnen de Nederlandse overheid is ontwikkeld. Oprichter Edward Hasekamp werkt zelf mee aan die scanner; lees wie er achter Exposentry zit.
- Gebouwd op OpenKAT, ontwikkeld bij de Nederlandse overheid
- Oprichter Edward Hasekamp is collaborator op het OpenKAT-project
- Gehost in de EU door Hasecon, Nederlands bedrijf
Wat het kost
Ketenpartner
€249 per maand, excl. btw
Tot tien domeinen doorlopend gemeten, elke maand een verzegeld rapport, toegang tot het dashboard en ondersteuning per e-mail. Op elk moment opzegbaar; het abonnement loopt dan tot het einde van de betaalde periode.
Start KetenpartnerNulmeting
€495 eenmalig, excl. btw
Voor wie één vragenlijst moet beantwoorden: één domein, één verzegeld rapport en een half uur bespreking met Edward Hasekamp. Stapt u binnen 60 dagen over op een jaarabonnement, dan verrekenen we de nulmeting volledig.
Nulmeting bestellenWat het rapport beantwoordt, en wat u zelf aanlevert
Het rapport is uw bijlage bij de vragen over kwetsbaarhedenbeheer en over wat u aan internet heeft hangen. Het meet de buitenkant van uw bedrijf: openbare bronnen plus lichte controles op uw certificaten, poorten en webpagina's. Interne systemen blijven buiten beeld en het is geen pentest. Wilt u die diepere meting, dan zijn daar de NIS2-pakketten.
Vragen over uw MFA-beleid, uw incidentprocedure en uw eigen leveranciers beantwoordt u met uw eigen documentatie. Hoe u die vragen aanpakt, leest u in de gids voor het beantwoorden van een NIS2-leveranciersvragenlijst.
Veelgestelde vragen
Accepteert mijn klant dit als bewijs?
Dat bepaalt uw klant. Wat u levert, is een gedateerde meting door een derde partij, verzegeld met een tijdstempel, van de buitenkant die ook een beoordelaar zelf kan controleren. Het NCSC raadt inkopers aan de antwoorden van leveranciers te verifiëren; met dit rapport maakt u dat voor uw klant mogelijk.
Moet ik iets installeren of mijn beheerder inschakelen?
De meting gebeurt van buitenaf, via internet; u installeert niets. Uw beheerder is één keer nodig, voor het DNS-record of het tekstbestand waarmee u aantoont dat het domein van u is. Dat is één record of één bestand, met de instructie in één e-mail.
Wat als het rapport kwetsbaarheden laat zien?
Dan weet u het zelf, met een datum erbij. Elke bevinding komt met uitleg en een herstelstap, zodat uw beheerder weet wat te doen. In het rapport van de maand erna ziet u of het aantal daalt. Een verbeterpunt met een datum is in een vragenlijst goed te verantwoorden.
Hoe snel heb ik het eerste rapport?
Doorgaans dezelfde dag nadat uw domein is geverifieerd. Is OpenKAT op dat moment nog bezig, dan is het een tussenstand en volgt de rest in het volgende rapport. OpenKAT meet daarna doorlopend; het maandrapport bundelt de stand van dat moment.
Volgende vragenlijst: één bijlage
Start Ketenpartner en voeg vanaf nu bij elke vragenlijst hetzelfde bewijsstuk bij. Twijfelt u nog, vraag dan eerst de gratis scan aan of plan een gesprek van 30 minuten.