NIS2 supply chain implementatie begint bijna nooit bij jezelf. Het begint bij een klant die aantoonbaar wil maken dat zijn keten in orde is, en die de vraag bij jou neerlegt.
Kort samengevat
- De eis komt via je klant. Ook als de wet niet rechtstreeks op jou van toepassing is.
- Je klant bepaalt het niveau, op basis van hoe kritiek jouw dienst voor hem is.
- Vraag het niveau expliciet na voordat je begint, want het verschil in werk is groot.
- Aantoonbaarheid is het echte werk. Niet de maatregelen zelf, maar het bewijs erbij.
- Eén keer goed bouwen scheelt tientallen vragenlijsten.
Waarom krijg jij deze vraag?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor ongeveer 8.000 Nederlandse organisaties. Een van de onderdelen van de zorgplicht is de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van de relatie met directe leveranciers en dienstverleners.
Praktisch betekent dat: je opdrachtgever moet kunnen aantonen dat hij weet wie zijn leveranciers zijn, welk risico die vormen en wat hij daaraan doet. Hij kan dat alleen aantonen als jij hem iets levert om mee aan te tonen. Vandaar de vragenlijst, de auditvraag of de nieuwe beveiligingsbijlage bij je contract.
Dat is geen overijverigheid van een inkoper. Het is de wet die zich door de keten beweegt, en het gaat niet meer weg. Wie erop voorbereid is, wint er werk mee; wie het afhoudt, verliest het op termijn.
Stap 1 van je NIS2 supply chain implementatie: bepaal je niveau
Niet alle leveranciers krijgen dezelfde eisen, en dat hoort ook niet. Een partij die de koffieautomaat vult krijgt iets anders dan een partij die je klantsysteem beheert.
In de praktijk wordt gewerkt met gelaagde niveaus, waarbij het zwaartepunt verschuift van een eigen verklaring naar aantoonbaar bewijs en uiteindelijk naar toetsing door een derde partij. Hoe kritieker jouw dienst voor het primaire proces van je klant, hoe zwaarder het niveau.
Vraag dat niveau expliciet na voordat je iets in gang zet. Het verschil tussen een ingevulde vragenlijst en een certificeringstraject is een factor in tijd en geld die je niet wilt ontdekken nadat je bent begonnen. Hoe die weging aan de kant van je klant werkt, staat in het risicoassessment van leveranciers.
Stap 2: breng in kaart waar je staat
Voordat je iets verbetert, moet je weten wat er al is. Dat valt bij de meeste organisaties mee: er is vaak meer geregeld dan er is vastgelegd, en het probleem zit in het tweede.
Loop de onderwerpen langs die in vrijwel elke vragenlijst terugkomen: toegangsbeheer, back-up en herstel, incidentafhandeling, wie er bij welke data kan, hoe je medewerkers zijn geïnstrueerd, en wat je met je eigen onderaannemers hebt afgesproken.
Noteer per onderwerp niet alleen of het geregeld is maar ook waarmee je dat zou bewijzen. Dat tweede is waar het bij een toets op vastloopt. Een GAP-analyse doet dit gestructureerd en levert meteen de urenraming op.
Stap 3: dicht de gaten die ertoe doen
Begin bij de onderwerpen waar je klant op toetst en waar het risico echt zit, niet bij wat het makkelijkst af te vinken is.
Vier dingen komen bijna altijd terug en zijn bijna altijd het snelst winst te halen. Meervoudige authenticatie op alles wat van buiten bereikbaar is. Een back-up waarvan je hersteltest hebt gedaan in plaats van alleen gemaakt. Een incidentprocedure met namen en telefoonnummers erin, ook voor buiten kantooruren. En een actueel overzicht van wie toegang heeft tot wat, inclusief mensen die uit dienst zijn.
Vergeet je eigen keten niet. Jij hebt ook leveranciers, en jouw klant vraagt daar op enig moment naar. Als drie van jouw leveranciers bij dezelfde partij zitten, is dat één storingspunt; daarover gaat concentratierisico in je keten.
Stap 4: maak het aantoonbaar
Dit is het deel dat organisaties onderschatten. Een maatregel die werkt maar nergens is vastgelegd, bestaat niet voor een toetser.
Zorg per onderwerp voor drie dingen: een beschrijving van wat je doet, bewijs dat het gebeurt (een logregel, een screenshot, een verslag, een testrapport), en een datum waarop het voor het laatst is gecontroleerd. Die derde is de meest overtuigende, want die laat zien dat het leeft.
Leg ook vast wat je bewust niet doet en waarom. Een onderbouwde uitzondering is verdedigbaar, een gat zonder verhaal niet.
Stap 5: kies je bewijsvorm
Je kunt eindeloos vragenlijsten blijven invullen, en dat is precies wat er gebeurt als je niets kiest. Drie routes.
- Per klant een vragenlijst. Werkt bij één of twee klanten en loopt daarna vast, want elke klant vraagt net iets anders.
- Een audit op je keten. Een onafhankelijke toets die je aan meerdere klanten kunt laten zien. Zie NIS2 supply chain audit.
- ISO 27001. Het zwaarst om op te bouwen en daarna het lichtst in onderhoud, omdat één certificaat de meeste vragen in één klap beantwoordt.
Vanaf een stuk of vijf klanten die erom vragen verdient de derde route zichzelf terug. De afweging tussen zelf bouwen en uitbesteden staat in zelf doen of uitbesteden, en de bedragen in onze tarieven.
Stap 6: houd het bij
Een momentopname verloopt. Klanten vragen elk jaar opnieuw, en een dossier van vorig jaar valt meteen op.
Zet daarom drie dingen in de agenda: een jaarlijkse actualisatie van je overzicht en je bewijs, een controle na elke wezenlijke wijziging in je dienstverlening, en een moment waarop je je eigen leveranciers opnieuw langsloopt. Wat je daarin vastlegt over hen, hoort ook in je contracten te staan; zie wat je in leverancierscontracten vastlegt.
Wil je toetsen of je klaar bent voor de vraag van je klant, dan is hoe je leveranciers toetst het beste vertrekpunt en kijkt NIS2 Supply Chain naar het geheel. Loop je vast op de vraag of de wet ook rechtstreeks op jou van toepassing is, lees dan of jouw organisatie onder NIS2 valt.
