Aantoonbaar veilig met de NIS2 Supply Chain audit
Met de NIS2 Supply Chain audit toon je als leverancier aan dat je digitale beveiliging op orde is. De audit volgt het NIS2 Quality Mark Compliance en Certificeringsschema van de Stichting Kwaliteitsinnovatie. Je vraagt hem aan via AuditPlanner. Voor SC10 en SC20 voeren wij hem uit als erkend auditor, de SC30-audit doet een gecertificeerde instelling.
Bereken wat jouw NIS2 Supply Chain audit kost
De audittijd bepaalt de prijs van de audit. Die tijd volgt rechtstreeks uit het NIS2 Quality Mark Compliance en Certificeringsschema, dus je kunt hem zelf narekenen. Vul je situatie in en je ziet meteen het aantal audituren, wat het auditwerk kost en wat een compleet traject naar het certificaat ongeveer vraagt.
Bron: NIS2 Quality Mark Compliance en Certificeringsschema versie 3.2, geldig vanaf 1 januari 2026, Stichting Kwaliteitsinnovatie. De uitkomst is een berekening volgens dat schema en geen offerte. De offerte maakt AuditPlanner.
Bewaar deze berekening
Je ontvangt de berekening met de stappen naar het certificaat. Geen nieuwsbrief en geen verplichtingen.
Wat de NIS2 Supply Chain audit inhoudt
Wat is de NIS2 Supply Chain audit?
Het is de onafhankelijke toetsing waarmee je aantoont dat je beveiliging voldoet aan het NIS2 Quality Mark. Dat keurmerk is opgesteld door de Stichting Kwaliteitsinnovatie en is gemapt op artikel 21 van de NIS2-richtlijn. Bij een positief resultaat ontvang je een certificaat dat drie jaar geldig is.
Waarom leveranciers hiermee te maken krijgen
Artikel 21.2(d) van de NIS2-richtlijn verplicht essentiële en belangrijke entiteiten om de beveiliging van hun toeleveringsketen te borgen. Zij moeten controleren en verifiëren dat hun directe leveranciers passende maatregelen hebben genomen. Daarom vragen zij hun leveranciers om aantoonbare beveiliging. Het schema richt zich nadrukkelijk op die directe leveranciers, doorgaans mkb-bedrijven.
Drie niveaus
Het schema kent drie normen die een groeiladder vormen: SC10 Basic als minimumdrempel, SC20 Substantial met technologische OT- en ICT-maatregelen, en SC30 High met uitgebreide aandacht voor OT en ICT. Je klimt op wanneer je klant of je eigen risico daarom vraagt.
Wat wij doen en wat wij niet doen
Voor SC10 en SC20 voeren wij de audit uit als door de Stichting Kwaliteitsinnovatie erkende auditor, met de verplichte audittool. Na afloop leveren wij ons advies of onze diagnose aan bij de Stichting. De SC30-audit voeren wij niet zelf uit: die doet een gecertificeerde instelling, wij begeleiden je tot aan die audit. Het certificaat zelf wordt niet door ons verstrekt maar door ASQ.
Zo verloopt de aanvraag en de audit
Je meldt je organisatie aan via de website van het NIS2 Quality Mark. Je krijgt een registratienummer dat je later nodig hebt bij de aanvraag. Zonder pre-registratie kan er geen audit worden afgenomen.
Je neemt deel aan de pre-auditwebinar en voert waar nodig aanvullingen of correcties uit. Ook dit is een harde voorwaarde: zonder deelname aan de webinar gaat de audit niet door. Een goede voorbereiding houdt de audit hanteerbaar in tijd en belasting.
De aanvraag doe je zelf via het order intake-formulier op auditplanner.eu. Je geeft daar onder meer je registratienummer op, het aantal medewerkers, of je ICT centraal of decentraal is georganiseerd, en het niveau waarvoor je gecertificeerd wilt worden.
AuditPlanner berekent de audittijd volgens het schema en stuurt je een offerte. Na jouw akkoord ontvang je de factuur. Zodra die is voldaan is de opdracht definitief en nemen wij contact met je op om de datum te plannen.
Voor SC10 en SC20 voeren wij de audit uit, de SC30-audit doet een gecertificeerde instelling. De auditor beoordeelt eerst de aangeleverde bewijsstukken. Daarna volgt het auditgesprek, waarin per normelement wordt getoetst. De verplichte maatregelen moeten minimaal een voldoende scoren, een 6 of hoger. Van de overige maatregelen mogen er onderdelen onvoldoende zijn, zolang het gemiddelde van alle maatregelen op 6,0 of hoger uitkomt.
De auditor levert het advies of de diagnose aan bij de Stichting Kwaliteitsinnovatie. Neemt de Stichting het positieve advies over, dan verstrekt ASQ het certificaat, met een geldigheid van drie jaar. Scoor je op maximaal twee onderdelen onvoldoende, dan krijg je drie maanden om die te herstellen. Het certificaat wordt dan wel direct verstrekt, op voorwaarde dat je het herstel binnen die termijn aantoont. Blijft dat bewijs uit, dan wordt de certificering ingetrokken.
Waarom kiezen voor BOEM?
- Erkend auditor: wij zijn door de Stichting Kwaliteitsinnovatie erkend als auditorganisatie en onze auditoren hebben de verplichte auditopleiding gevolgd.
- Voorbereiding die de audit korter maakt: hoe beter je dossier op orde is, hoe soepeler de audit verloopt. Wij lopen je bewijslast vooraf met je door.
- Heb je al ISO 27001 of NEN 7510? Dan geldt volgens het schema een korting van 60 procent op de audituren, omdat je niet twee keer op hetzelfde getoetst wordt.
- Ervaren specialisten: meer dan 100 organisaties succesvol begeleid richting certificering.
- Zoveel begeleiding als je nodig hebt: van alleen de audit tot volledige implementatiebegeleiding. Een gap-analyse vooraf heb je niet nodig.
Wat kost een NIS2 Supply Chain audit?
Er is geen vaste prijs voor een NIS2 Supply Chain audit
De prijs staat niet vooraf vast en wordt ook niet door ons bepaald. AuditPlanner maakt de offerte, op basis van de gegevens die je bij de aanvraag opgeeft. Die offerte bestaat uit vier onderdelen:
- de kosten van het auditwerk;
- eventuele reiskosten;
- de afdracht aan de Stichting Kwaliteitsinnovatie;
- de opslag van AuditPlanner.
Je ontvangt één offerte en één factuur, allebei van AuditPlanner. Pas nadat je die hebt voldaan wordt de audit ingepland.
Waar hangt de prijs dan van af?
Van de audittijd. Die volgt rechtstreeks uit het certificeringsschema en hangt af van drie dingen: het aantal fte, het niveau dat je wilt halen (SC10, SC20 of SC30) en het aantal locaties of rechtspersonen dat je laat certificeren. Reken je eigen audittijd uit in de rekentool bovenaan deze pagina en je weet binnen een minuut waar je ongeveer aan toe bent. De prijzen voor het auditwerk liggen vast, daar kunnen we niet van afwijken. De SC30-audit wordt uitgevoerd door een gecertificeerde instelling.
Kan het goedkoper?
Ja. Heb je al een ISO 27001- of NEN 7510-certificering die binnen twee jaar voor de auditdatum is beoordeeld, dan gaat er 60 procent van de audituren af. Wat je in die norm aantoonbaar hebt behaald, hoef je niet nog een keer te laten toetsen. Laat je meerdere locaties certificeren, dan halveert centraal geregelde ICT de extra uren die daarvoor gelden.
Goed om te weten
- De audittijd is altijd minimaal vier uur en is inclusief voorbereiding en verslaglegging.
- Scoor je op een onderdeel onvoldoende, dan komen er twee uur per onderdeel bij voor de herbeoordeling.
- Boven 250 fte, boven 500 fte als je zelf onder NIS2 valt, of bij meer dan 25 locaties stelt AuditPlanner de audittijd in overleg vast.
Heb je een gap-analyse nodig?
Nee. Bij de NIS2 Supply Chain-niveaus beginnen we niet met een gap-analyse. We lopen je bewijslast vooraf met je door en dat is voor alle drie de niveaus genoeg. Bekijk de niveaus op de NIS2 Supply Chain-pagina.
Wat kost het in jouw situatie?
Wil je eerst weten waar je inhoudelijk staat? Doe de gratis SC10 en SC20 check: je ziet per normelement wat er al staat en wat de implementatie ongeveer kost. Reken daarna in de rekentool bovenaan deze pagina zelf uit wat de audit kost. Kom je er niet uit, of wil je weten hoeveel werk er nog tussen jou en het certificaat zit? Plan een vrijblijvend gesprek van een half uur en we lopen je uitkomst samen door.
Bron: NIS2 Quality Mark Compliance en Certificeringsschema versie 3.2, geldig vanaf 1 januari 2026, Stichting Kwaliteitsinnovatie, en de workflow van AuditPlanner van 23 juni 2026.
Er is geen vaste prijs. De kosten hangen af van de audittijd, en die volgt uit het aantal fte, het gekozen niveau en het aantal locaties of rechtspersonen. AuditPlanner maakt op basis van jouw gegevens de offerte.
De offerte van AuditPlanner bestaat uit de kosten van het auditwerk, eventuele reiskosten, de afdracht aan de Stichting Kwaliteitsinnovatie en de opslag van AuditPlanner. Je ontvangt één offerte en één factuur, allebei van AuditPlanner.
Voor een mkb-organisatie tot tien medewerkers op één locatie ligt een SC10-traject tussen 2400 en 4200 euro: 1800 tot 3600 euro implementatiebegeleiding en 600 euro auditwerk. SC20 komt op 4200 tot 6000 euro. Bij SC30 voert een gecertificeerde instelling de audit uit: de implementatiebegeleiding door BOEM ligt tussen 4800 en 6000 euro en het auditwerk gaat op offerte. Een gap-analyse vooraf is niet nodig. Alle bedragen zijn exclusief btw en exclusief de afdracht aan de Stichting, de opslag van AuditPlanner en eventuele reiskosten. Heb je alles al op orde, dan vervalt de implementatie en betaal je alleen de audit.
Ja. Met de rekentool op deze pagina bereken je in een minuut je audittijd volgens het certificeringsschema en zie je meteen wat het auditwerk kost. De uitkomst is een berekening volgens het schema en geen offerte: die maakt AuditPlanner.
Via het order intake-formulier op auditplanner.eu. De aanvraag loopt dus niet via ons. Wel moet je vooraf de verplichte pre-registratie hebben gedaan en aan de pre-auditwebinar hebben deelgenomen.
ASQ verstrekt het certificaat. Voor SC10 en SC20 leveren wij als auditor een advies of diagnose aan bij de Stichting Kwaliteitsinnovatie, bij SC30 doet een gecertificeerde instelling de audit. Neemt de Stichting het positieve advies over, dan volgt het certificaat.
Ja, twee dingen, en allebei zijn ze verplicht: de pre-registratie via de website van het NIS2 Quality Mark en deelname aan de pre-auditwebinar. Zonder die twee kan er geen audit worden afgenomen.
Dat verschilt per organisatie. De audittijd is altijd minimaal vier uur en loopt bij de grootste organisaties op tot 48 uur of meer. Voor een mkb-bedrijf tot tien medewerkers staat SC10 op vier uur, SC20 op acht uur en SC30 op twintig uur. De audittijd is inclusief voorbereiding en verslaglegging.
Bij SC10 is de audit volledig online. Bij SC20 is de audit online, maar geldt boven de 24 uur audittijd minimaal één dagdeel op locatie. Bij SC30 is de audit online én op locatie, en boven de 24 uur audittijd geldt minimaal één volledige dag op locatie.
Ja. Dan gaat er 60 procent van de audituren af. Onderdelen die je in die norm aantoonbaar hebt behaald, hoef je niet opnieuw te laten toetsen, mits die norm binnen twee jaar voor de datum is beoordeeld.
Scoor je op maximaal twee onderdelen onvoldoende, dan krijg je maximaal drie maanden om die te herstellen. Voor elke extra beoordeling worden twee uur in rekening gebracht. Het certificaat wordt direct verstrekt, op voorwaarde dat je het herstel binnen die termijn aantoont. Lever je dat bewijs niet, dan wordt de certificering ingetrokken.
Drie jaar. Daarna volgt een volledige herbeoordeling. In die drie jaar moet je de norm wel onderhouden, want de eisen kunnen tussentijds worden aangevuld.
SC10 Basic is de minimumdrempel, kortdurend en zonder specifieke OT- en ICT-maatregelen. SC20 Substantial bouwt daarop voort met technologische OT- en ICT-maatregelen. SC30 High gaat het verst en besteedt uitgebreid aandacht aan OT en ICT. Samen vormen ze een groeiladder.
Gratis en vrijblijvend
Doe de gratis SC10 en SC20 check
Wil je weten hoe ver je bent voor SC10 of SC20? Acht vragen voor SC10, twaalf voor SC20, allemaal rechtstreeks uit het NIS2 Quality Mark-normenkader. Je ziet direct waar je staat en wat de implementatie ongeveer kost. Zonder verplichtingen, zonder kosten en zonder gegevens achter te laten.
-
Vragen uit de norm zelf
Elke vraag bundelt de normelementen waarop de audit toetst, met de nummers erbij. Geen algemene vragenlijst dus.
-
Waar staat je organisatie nu?
Van beleid en toegangsbeheer tot back-ups, MFA en je eigen leveranciers. Bij SC20 komen techniek, incidenten en logging erbij.
-
Wat kost het ongeveer?
Je ziet direct een indicatie van de implementatiebegeleiding, en met de rekentool op de auditpagina reken je de auditkosten uit.
- 8 of 12 vragen
- 2 minuten
- Anoniem
Liever samen doornemen? Plan dan een gesprek.
Plan vandaag nog een vrijblijvende telefonische intake
We leggen je graag uit wat de NIS2 Supply Chain audit inhoudt en wat deze voor jouw organisatie betekent, inclusief de stappen die nodig zijn om aantoonbaar aan de keteneisen te voldoen.
Je spreekt Yannick Boertje, commercieel directeur bij BOEM. Hij begeleidt leveranciers van NIS2-plichtige organisaties naar de niveaus SC10, SC20 en SC30.
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.