Bij NIS2 leverancierscontracten denken de meeste organisaties aan een verwerkersovereenkomst en een ingevulde vragenlijst. Dat is precies wat je niet genoeg gaat helpen. Een contract is onder NIS2 geen juridische formaliteit maar een beheersmaatregel: het is het enige instrument waarmee je gedrag bij een andere organisatie kunt afdwingen.
De test is eenvoudig. Als je belangrijkste leverancier vanavond gehackt wordt, staat er dan in je contract binnen hoeveel uur hij jou moet informeren? Bij de meeste organisaties is het antwoord nee. Dit artikel gaat over de clausules die dat oplossen.
Kort samengevat
- De zorgplicht noemt beveiliging in de toeleveringsketen expliciet, en contracten zijn daar het handhavingsinstrument.
- Vijf bepalingen doen het meeste werk: meldtermijn, auditrecht, onderaanneming, beveiligingsniveau en exit.
- Een verwerkersovereenkomst uit de AVG dekt persoonsgegevens, niet continuïteit en beschikbaarheid.
- Nieuwe contracten pas je meteen aan; bestaande pak je mee bij verlenging, behalve bij leveranciers met hoge impact.
- Een clausule zonder controle is een intentie. Koppel het contract aan een toetsing.
Waarom zijn NIS2 leverancierscontracten een beheersmaatregel?
Omdat de verplichting bij jou ligt en de uitvoering bij een ander. Valt jouw dienstverlening uit doordat een toeleverancier is getroffen, dan ben jij degene die moet melden, verantwoorden en herstellen. Je kunt niet naar je leverancier wijzen.
Tegelijk heb je geen zeggenschap over hoe die leverancier zijn beveiliging inricht. Het enige moment waarop je daar invloed op hebt, is bij het sluiten of verlengen van het contract. Daarna ben je afhankelijk van wat je toen hebt vastgelegd.
Hoe je de bredere ketenverplichting aanpakt, staat beschreven bij NIS2 Supply Chain. Zit je aan de andere kant van de tafel en word je als leverancier bevraagd, dan is ons stappenplan voor leveranciers het startpunt.
Welke afspraken horen er in een leverancierscontract?
Een meldtermijn richting jou
De belangrijkste clausule, en de meest ontbrekende. Jij hebt 24 uur voor je eerste melding aan de toezichthouder. Als je leverancier drie dagen mag wachten met jou informeren, is die termijn wiskundig onhaalbaar.
Leg vast binnen hoeveel uur hij meldt, aan wie, via welk kanaal en wat de melding minimaal bevat. Kies een termijn die jou ruimte laat, in de orde van 24 uur of korter voor kritieke diensten.
Een recht om te toetsen
Zonder auditrecht is een verzoek om toetsing iets wat een leverancier mag weigeren. Neem het recht op, met een redelijke aankondigingstermijn, en spreek af dat een certificaat of een onafhankelijke rapportage ook als bewijs mag dienen. Dat maakt het voor beide kanten werkbaar.
Afspraken over onderaanneming
Je leverancier heeft zelf ook leveranciers. Wordt jouw data door een onderaannemer verwerkt of beheerd, dan is dat jouw risico zonder dat je het weet. Leg vast dat onderaanneming vooraf wordt gemeld, dat dezelfde eisen worden doorgelegd en dat jij bezwaar kunt maken.
Een concreet beveiligingsniveau
“Passende technische en organisatorische maatregelen” is te vaag om iets aan af te dwingen. Maak het concreet op de punten die er voor jou toe doen: multifactorauthenticatie voor beheertoegang, een patchtermijn voor kritieke kwetsbaarheden, logging met een bewaartermijn, en herstel dat aantoonbaar is getest.
Een exitregeling die werkt
Wat gebeurt er als de samenwerking eindigt, gepland of gedwongen? Leg vast in welk formaat je je data terugkrijgt, binnen welke termijn, wat er daarna wordt verwijderd en hoe dat wordt aangetoond. Regel ook overgangsondersteuning, want een overstap zonder medewerking van de vertrekkende partij duurt maanden langer.
Is een verwerkersovereenkomst niet genoeg?
Nee, en dat is een van de meest hardnekkige misverstanden. Een verwerkersovereenkomst komt uit de AVG en gaat over persoonsgegevens: rechtmatigheid, geheimhouding, datalekken, subverwerkers.
NIS2 gaat over de continuïteit en veiligheid van je dienstverlening. Een leverancier die je logistieke systeem draait, verwerkt misschien nauwelijks persoonsgegevens en kan je bedrijf tegelijk volledig stilleggen. Voor die partij is een verwerkersovereenkomst grotendeels irrelevant en zijn beschikbaarheid, herstel en meldtermijn juist cruciaal.
De praktische conclusie: beide documenten hebben hun eigen doel en dekken elkaar niet af.
Hoe pak je bestaande contracten aan?
Niet allemaal tegelijk, want dat lukt niet. Werk op volgorde van impact:
- Maak een overzicht. Welke leveranciers ondersteunen een kritiek proces, en welke hebben toegang tot je systemen of data?
- Deel in drie groepen. Hoge impact, gemiddelde impact, laag. Alleen de eerste groep vraagt om actie op korte termijn.
- Voer het gesprek bij hoge impact nu. Wacht daar niet op de verlengdatum. In de praktijk zijn leveranciers hier vaker toe bereid dan verwacht, omdat hun andere klanten dezelfde vraag stellen.
- Pak de rest mee bij verlenging. Maak een standaard bijlage met je NIS2-bepalingen, dan hoef je niet elke keer opnieuw te onderhandelen.
- Neem het op in je inkoopproces. Zodat een nieuw contract er niet meer zonder doorheen komt.
Hoe controleer je of afspraken worden nagekomen?
Dit is het deel dat vaak ontbreekt, en zonder dit blijft het bij papier. Koppel elk contract met hoge impact aan een toetsmoment: jaarlijks een gesprek met bewijs uit de praktijk, en tussentijds bij grote veranderingen aan hun kant.
Vraag niet naar beleid maar naar uitvoering. Niet: heb je een herstelprocedure? Maar: wanneer heb je voor het laatst een herstel getest en wat kwam daaruit? Het verschil in antwoord is het verschil tussen een leverancier die het geregeld heeft en een die het opgeschreven heeft.
Voor leveranciers met hoge impact is een gerichte NIS2 supply chain audit de zwaarste vorm van die controle.
Veelgestelde vragen over NIS2 en leverancierscontracten
Moet ik al mijn contracten aanpassen?
Nee. Richt je op leveranciers die een kritiek proces ondersteunen of toegang hebben tot je systemen en data. Voor de rest volstaat een lichtere aanpak en meenemen bij verlenging.
Wat als een leverancier weigert?
Dan is dat informatie. Weigert een partij met hoge impact elke afspraak over melden of toetsen, dan is dat een risico dat je bewust accepteert of een reden om alternatieven te bekijken. Dat besluit hoort bij de directie te liggen, niet bij inkoop.
Geldt dit ook voor kleine leveranciers?
Omvang is niet de maatstaf, impact wel. Een klein bureau dat de koppeling met je kernsysteem beheert, verdient scherpere afspraken dan een grote partij die kantoorartikelen levert.
Welke meldtermijn is redelijk?
Voor kritieke diensten 24 uur of korter, zodat je je eigen termijn richting de toezichthouder haalt. Voor minder kritieke diensten is 72 uur meestal werkbaar.
Kan ik een certificaat accepteren in plaats van een audit?
Ja, en dat is vaak praktisch. Controleer wel of de dienst die jij afneemt binnen de scope van dat certificaat valt. Een certificaat op de hoofdvestiging zegt weinig over een team of onderaannemer daarbuiten.
