NIS2 voor leveranciers: wat moet je weten?
NIS2 raakt niet alleen organisaties die zelf onder de wet vallen. Via hun opdrachtgevers krijgen ook veel leveranciers met beveiligingseisen te maken.
Wat is NIS2?
De NIS2-richtlijn (EU 2022/2555) is Europese wetgeving die een hoger, gelijkwaardig niveau van cybersecurity moet realiseren in de hele EU. Ze vervangt de eerdere NIS-richtlijn en geldt voor veel meer sectoren en organisaties.
Wat verandert er door de Nederlandse implementatie?
Nederland zet de richtlijn om in de Cyberbeveiligingswet (Cbw). Daarin worden onder meer een zorgplicht (passende maatregelen nemen), een meldplicht voor significante incidenten, een registratieplicht en toezicht geregeld. De precieze inhoud en datum van inwerkingtreding volgen uit het wetgevingstraject; controleer altijd de actuele stand via officiële bronnen zoals overheid.nl en het NCSC.
Welke organisaties kunnen rechtstreeks onder de wet vallen?
Als hoofdregel: middelgrote en grote organisaties in de sectoren uit bijlage I en II van de richtlijn, zoals energie, vervoer, zorg, digitale infrastructuur, beheer van ICT-diensten, post, afval, levensmiddelen en delen van de maakindustrie. Voor enkele diensten geldt de omvang niet. Lees meer over mkb of leverancier.
Hoe kunnen opdrachtgevers eisen stellen aan leveranciers?
Organisaties onder NIS2 moeten ook de beveiliging van hun toeleveringsketen beheersen. In de praktijk vertalen zij dat naar:
- beveiligingsvragenlijsten en leveranciersbeoordelingen;
- contractuele beveiligingsbijlagen en meldafspraken;
- verzoeken om bewijs, zoals beleid, procedures of een certificaat.
Wettelijke verplichting of contractuele eis?
| Wettelijke verplichting | Contractuele eis | |
|---|---|---|
| Bron | Cyberbeveiligingswet | Afspraak met opdrachtgever |
| Geldt voor | Organisaties die onder de wet vallen | Leveranciers die het contract aangaan |
| Toezicht | Aangewezen toezichthouder | Opdrachtgever |
Beide kunnen tegelijk gelden, maar het zijn verschillende zaken.
Welke maatregelen kunnen relevant zijn?
Artikel 21 van de richtlijn noemt onder meer risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en back-ups, ketenbeveiliging, toegangsbeheer, MFA, cryptografie en training. Bekijk de checklist voor leveranciers.
Hoe documenteer je wat je hebt geregeld?
Leg per onderwerp vast wat de maatregel is, wie eigenaar is en welk bewijs er is. Zie documenten en beleid.
Hoe begin je praktisch?
- Bepaal of je mogelijk zelf onder de wet valt.
- Verzamel de eisen die opdrachtgevers nu stellen.
- Breng in kaart wat al geregeld is en waar bewijs ontbreekt — bijvoorbeeld met de gratis quickscan.
Breng je aandachtspunten in kaart
De gratis quickscan geeft in ongeveer vijf minuten een eerste overzicht van relevante verbeterpunten.