Hoe Beoordeelt En Contracteert U Leveranciers Onder NIS2?

De meeste organisaties beheren hun eigen systemen maar voor een deel zelf. De rest staat bij een hostingpartij, een softwareleverancier, een salarisverwerker of een externe beheerder. Als daar iets misgaat, staat uw dienstverlening stil en bent u degene die verantwoording aflegt.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van NIS2. Beveiliging van de toeleveringsketen is maatregel 4 van de tien maatregelgebieden uit artikel 21. Een werkend NIS2 leveranciersbeleid is daarmee geen papieren exercitie, maar de manier waarop u grip houdt op risico’s die buiten uw eigen muren ontstaan.

Hoe beoordeelt en contracteert u leveranciers onder NIS2?

Artikel 21 lid 2 punt 4 vraagt om beveiliging van de toeleveringsketen, inclusief beveiligingsaspecten in de relatie tussen uw organisatie en haar directe leveranciers of dienstverleners. De wetgever noemt daarbij uitdrukkelijk de kwetsbaarheden van elke individuele leverancier en de algehele kwaliteit van diens beveiligingspraktijken.

Dat is een belangrijke nuance. U hoeft niet de hele keten tot in de derde schakel te doorgronden. U beoordeelt uw directe leveranciers, en u doet dat proportioneel: zwaarder voor partijen die uw kernproces kunnen platleggen, lichter voor partijen die dat niet kunnen.

Het proces bestaat uit vier stappen die elkaar opvolgen: registreren, classificeren, eisen stellen en herbeoordelen. Wie een van die stappen overslaat, houdt een beleid over dat op papier klopt maar in de praktijk niets stuurt. De bredere context vindt u in het artikel over NIS2 en de toeleveringsketen.

Wat hoort er in een leveranciersregister?

Begin met een lijst, niet met beleid. U kunt geen risico’s beoordelen zolang u niet weet welke partijen toegang hebben tot uw gegevens of uw processen ondersteunen. Vraag de lijst op bij inkoop, bij finance (crediteurenlijst) en bij IT (systeem- en koppelingsoverzicht), en leg ze naast elkaar.

Per leverancier legt u minimaal vast wie de contactpersoon is, welke dienst wordt geleverd, welke systemen of gegevens daarbij betrokken zijn, of de leverancier toegang heeft tot uw netwerk, waar gegevens worden opgeslagen, wanneer het contract afloopt en wie binnen uw organisatie eigenaar is van de relatie.

Dat laatste punt wordt vaak vergeten en is juist doorslaggevend. Zonder een interne eigenaar per leverancier is er niemand die de vragenlijst uitstuurt, de antwoorden beoordeelt en aan de bel trekt als de kwaliteit terugloopt.

Hoe classificeert u leveranciers naar risico?

Niet elke leverancier verdient dezelfde aandacht. De partij die uw kernapplicatie host, vraagt om een ander regime dan de leverancier van het koffieapparaat. Werk daarom met klassen, en koppel per klasse een vast eisenpakket. Zo voorkomt u dat u elke leverancier opnieuw vanaf nul beoordeelt.

Een praktische indeling gebruikt twee vragen: wat gebeurt er met onze dienstverlening als deze partij uitvalt, en hoeveel toegang heeft deze partij tot onze gegevens en systemen? De onderstaande tabel werkt dat uit in drie klassen.

Leg de gehanteerde criteria vast, zodat de indeling navolgbaar is. De toezichthouder beoordeelt niet of u dezelfde klassen gebruikt als een ander, maar of uw afweging logisch en consequent is. Sluit de indeling aan bij uw risicoanalyse, dan hoeft u het werk maar één keer te doen.

Wat vraagt u in een leveranciersvragenlijst?

Houd de vragenlijst kort genoeg om ingevuld te worden en concreet genoeg om iets te zeggen. Twintig gerichte vragen leveren meer op dan honderd algemene. Vraag naar bewijs, niet naar intenties.

• Governance. Is er een vastgesteld informatiebeveiligingsbeleid en wie is binnen de organisatie verantwoordelijk voor beveiliging?
• Certificering of audit. Beschikt de leverancier over een ISO 27001-certificaat, een auditrapport of een gelijkwaardige onafhankelijke toetsing, en wat is de scope daarvan?
• Toegangsbeheer. Hoe wordt toegang tot uw gegevens beperkt, en wordt multifactorauthenticatie toegepast op beheeraccounts?
• Versleuteling. Worden uw gegevens versleuteld opgeslagen en verzonden? Dit sluit aan op cryptografie en encryptie binnen uw eigen maatregelen.
• Kwetsbaarheden en updates. Binnen welke termijn worden kritieke kwetsbaarheden verholpen en hoe wordt u daarover geïnformeerd?
• Back-up en herstel. Hoe vaak wordt een back-up gemaakt, hoe lang duurt herstel en wanneer is dat voor het laatst getest?
• Incidenten. Binnen welke termijn meldt de leverancier een beveiligingsincident dat u raakt, en aan wie?
• Onderaannemers. Welke partijen schakelt de leverancier in, en gelden daar dezelfde eisen?
• Locatie van gegevens. In welke landen worden uw gegevens opgeslagen en verwerkt?
• Beëindiging. Hoe krijgt u uw gegevens terug en hoe wordt vernietiging bij de leverancier aangetoond?

Wat zet u in de beveiligingsbijlage bij het contract?

Een vragenlijst legt vast wat een leverancier zegt te doen, een contractbijlage legt vast waar u hem aan kunt houden. Werk daarom met een standaardbijlage die u aan nieuwe en te verlengen contracten hangt, in plaats van elk contract apart te onderhandelen.

De belangrijkste bepalingen zijn de meldtermijn bij incidenten, het recht om naleving te toetsen (via audit of via het overleggen van rapportages), afspraken over onderaannemers, patchtermijnen voor kritieke kwetsbaarheden, en een exitregeling met teruggave en vernietiging van gegevens.

De meldtermijn verdient extra aandacht. Uw eigen meldplicht kent een vroege waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur. Als uw leverancier pas na een week meldt, kunt u die termijn niet halen. Spreek daarom een termijn af die ruim binnen uw eigen verplichting past, en verwerk de leveranciersmelding als trigger in uw incident response plan.

Hoe vaak herbeoordeelt u leveranciers?

Een beoordeling is een momentopname. Leveranciers reorganiseren, worden overgenomen, verliezen hun certificaat of schakelen nieuwe onderaannemers in. Plan de herbeoordeling daarom vast in, volgens het ritme uit de tabel hierboven.

Naast het vaste ritme zijn er gebeurtenissen die een tussentijdse herbeoordeling rechtvaardigen: een beveiligingsincident bij de leverancier, een overname, het vervallen van een certificaat, of een structurele verslechtering van de dienstverlening. Leg deze triggers expliciet vast in uw beleid.

Wat als een leverancier zelf niet onder NIS2 valt?

Dat verandert niets aan uw verplichting. Veel leveranciers vallen niet zelf onder de wet, bijvoorbeeld omdat ze te klein zijn of in een sector werken die er niet onder valt. Uw zorgplicht blijft onverkort gelden voor het risico dat via die partij binnenkomt.

In de praktijk merken kleinere leveranciers dat hun klanten steeds meer vragen stellen, ook als de wet hen zelf niet raakt. De positie van deze partijen is uitgewerkt in het artikel over NIS2 voor leveranciers. Voor uw eigen beoordeling betekent het vooral dat u niet kunt terugvallen op een certificaat, maar zelf de vragen moet stellen.

Veelgestelde vragen over NIS2 leveranciersbeleid

1. Moet ik al mijn leveranciers beoordelen onder NIS2?

Nee, de beoordeling is proportioneel. U registreert al uw leveranciers, maar beoordeelt inhoudelijk vooral de partijen die toegang hebben tot uw systemen of gegevens, of waarvan uitval uw dienstverlening raakt. Leg de gehanteerde criteria vast, zodat navolgbaar is waarom een leverancier wel of niet uitgebreid is getoetst.

2. Is een ISO 27001-certificaat van een leverancier voldoende bewijs?

Het is sterk bewijs, maar niet automatisch voldoende. Controleer altijd de scope van het certificaat: die dekt soms alleen een datacenter of een enkele dienst, en niet de dienst die u afneemt. Vraag daarnaast naar zaken die het certificaat niet regelt, zoals de meldtermijn bij incidenten die uw organisatie raken.

3. Ben ik aansprakelijk als mijn leverancier wordt gehackt?

U blijft verantwoordelijk voor uw eigen zorgplicht en meldplicht. De toezichthouder beoordeelt of u passende maatregelen heeft genomen om risico’s in de keten te beheersen, dus of u de leverancier heeft beoordeeld, eisen heeft gesteld en afspraken heeft vastgelegd. Een incident bij een leverancier ontslaat u niet van uw eigen verplichtingen.

4. Moet ik bestaande contracten openbreken voor NIS2?

Meestal niet direct. Een werkbare aanpak is om nieuwe en te verlengen contracten meteen van een beveiligingsbijlage te voorzien, en bij bestaande kritieke leveranciers apart aanvullende afspraken te maken. Documenteer die keuze en de planning, zodat zichtbaar is dat het een bewuste, gefaseerde aanpak is.

5. Hoe leg ik leveranciersbeoordelingen aantoonbaar vast?

Gebruik een leveranciersregister waarin per partij de klasse, de datum van de laatste beoordeling, de uitkomst, het contract met bijlage en de eventuele bevindingen staan. Bewaar de ingevulde vragenlijsten en ontvangen rapportages als bijlage. Dit register is bij een controle uw belangrijkste bewijsstuk.

Conclusie

Leveranciersbeheer onder NIS2 is minder ingewikkeld dan het lijkt, mits u het als een proces inricht en niet als een eenmalige uitvraag. Registreer, classificeer, stel per klasse vaste eisen, leg die vast in het contract en herbeoordeel volgens een vast ritme. Zo blijft de inspanning beheersbaar en is de uitkomst op elk moment aantoonbaar.

Begin bij de leveranciers die uw kernproces raken, want daar zit het grootste risico en de snelste winst. Wilt u niet zelf een register, vragenlijst en contractbijlage ontwerpen, dan bevat het NIS2 compliance pakket deze onderdelen al uitgewerkt en aangesloten op de overige negen maatregelgebieden. In de 176 NIS2 document templates vindt u de bijbehorende formulieren en registraties, en op de pagina met pakketten en prijzen ziet u welke variant bij uw organisatie past.