Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Valt je klant eronder, dan kan hij eisen stellen aan zijn leveranciers, ook aan jou. Wat dat volgens NCSC en RDI inhoudt, en welke lijst je deze week maakt.
Er ligt een vragenlijst van je grootste klant in je inbox. Vragen over beveiliging, over toegang en over waar zijn gegevens staan. Je weet dat je iets moet invullen, en je weet niet precies wat.
Dit stuk is voor eigenaren en managers in het MKB die aan een grotere klant leveren. Je leest wat je klant volgens de overheid van leveranciers mag verwachten en welke lijst je deze week maakt. Het is geen juridisch advies: of de wet op jou van toepassing is, bepaal je met de zelfevaluatie van de RDI of met een jurist.
Het korte antwoord alvast. Organisaties die onder de Cyberbeveiligingswet vallen, kunnen eisen stellen aan de digitale veiligheid van hun rechtstreekse toeleveranciers.1 Ook als de wet niet op jou van toepassing is, kan zijn vraag dus bij jou belanden.
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen.23 Samen met de Wet weerbaarheid kritieke entiteiten brengt de Cbw nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland.3 Die organisaties hebben een zorgplicht: ze moeten passende maatregelen nemen om de continuïteit van hun diensten zoveel mogelijk te waarborgen en de informatie die ze gebruiken te beschermen.4
Die zorgplicht stopt niet bij de eigen muren. De RDI schrijft dat zulke organisaties beleid moeten hebben voor de beveiliging van hun toeleveringsketen: bestaande leveranciers beoordelen ze met een risicoanalyse, nieuwe via het inkoopproces.5 Het NCSC zegt het zo: als via een rechtstreekse toeleverancier een risico bestaat voor hun netwerk- en informatiesystemen, moet de organisatie daar maatregelen op nemen of laten nemen.1
Niet elke leverancier komt in zo’n risicoanalyse voor. Het NCSC noemt drie situaties waarin de kans aanwezig is: je levert diensten of producten die samenhangen met de netwerk- en informatiesystemen van de klant, je levert een ICT-component van die systemen, of je hebt toegang tot die systemen. Een leverancier van koffiebonen vormt volgens het NCSC waarschijnlijk geen risico, de beheerder van het netwerk of van de kantoorautomatisering wel.1
De criteria staan niet expliciet in de wet, schrijft het NCSC erbij.1 Herken je jezelf in een van de drie, dan is de vragenlijst geen toeval.
De wet geldt voor essentiële en belangrijke organisaties in sectoren als energie, ruimtevaart, onderzoek, digitale infrastructuur en overheid. Ook grotere bedrijven in andere sectoren kunnen eronder vallen. De RDI noemt als voorbeeld bedrijven met meer dan 50 medewerkers, of met een jaaromzet en/of balanstotaal van meer dan 10 miljoen euro. Ook toeleveranciers of dochterbedrijven van zulke organisaties kunnen onder de wet vallen, afhankelijk van hun rol in de keten.6
Een harde grens voor iedereen is dat dus niet: sector en rol in de keten spelen mee. De RDI biedt een zelfevaluatie waarmee je nagaat of je mogelijk onder de wet valt.6
Of de wet op jou van toepassing is en of je klant eisen aan je mag stellen, zijn twee aparte vragen.
De klant weegt per leverancier twee dingen: de specifieke kwetsbaarheden van de leverancier, en de algemene kwaliteit van zijn producten en cyberbeveiligingspraktijken, inclusief veilige ontwikkelprocedures. De gevraagde maatregel moet bij de leverancier passen.1 Er is dus geen vaste lijst. Het NCSC zegt zelf dat het beveiligen van de keten vaak een maatwerkpakket van eisen per toeleverancier oplevert, en dat je bij meerdere klanten onder de wet verschillende lijsten met maatregelen kunt krijgen.1
De RDI verwacht daarnaast dat organisaties onder de wet hun leveranciers om extra maatregelen zullen vragen, zoals het hebben van bepaalde certificaten.5 Een toezichthouder houdt volgens het NCSC geen toezicht op toeleveranciers en legt geen boete op voor het ontbreken van een certificaat of keurmerk.1 Het risico zit dus in de klantrelatie en niet bij een toezichthouder die jou als leverancier beboet.
Wat er in jouw vragenlijst staat, weten we niet. De RDI noemt voorbeelden van wat een organisatie onder de wet met haar leveranciers kan vastleggen, zoals afspraken over wie welke rol heeft bij grote incidenten, en over wat er met bedrijfsmiddelen, zoals apparatuur en data, gebeurt als een contract wordt beëindigd, of bij faillissement of overname van de leverancier. Bij nieuwe contracten kan het gaan om het wissen van data, het retourneren van apparatuur en het afsluiten van toegangsrechten.5
Onze lezing: je klant zal willen weten in welke systemen zijn gegevens staan, wie daar bij kan, wie die toegang weghaalt als iemand vertrekt en wat er met de gegevens gebeurt als de samenwerking stopt. Naast vragen over beveiligingsmaatregelen zelf zijn dit vragen over inventaris.
Ze zijn niet moeilijk, maar wel moeilijk te beantwoorden als het antwoord op vijf plekken ligt. Klantgegevens in een mailbox, een offerte in een gedeelde map, afspraken in een appgroep, contactpersonen in een CRM en de rest in een sheet. Dan heeft elke vraag vijf antwoorden en geen daarvan is compleet. Waarom opgeslagen documenten toch onvindbaar blijven, lees je in je documenten zijn opgeslagen, waarom vind je ze niet terug.
Achter een vragenlijst over beveiliging zit soms een eenvoudiger vraag: wat staat waar, wie kan erbij, en wat gebeurt er bij het einde van het contract?
Laat de lijst maken door degene die nu de IT regelt. Heb je die rol niet, dan doet de eigenaar het zelf. Zet per systeem vier dingen op een rij:
Doe daarnaast de zelfcheck van het NCSC op je eigen cyberweerbaarheid, met de basismaatregelen en de verdiepende maatregelen. Het NCSC adviseert beide niveaus te doorlopen, ook als je al veel hebt gedaan, omdat je een basismaatregel over het hoofd kunt hebben gezien. Staan afspraken over onderhoud en beveiliging al in een SLA, dan helpt het als de begrippen daarin meetbaar en eenduidig zijn. En ga het gesprek met je klant zo vroeg mogelijk aan, om te horen waar de ketenrisico’s zitten en welke maatregelen passend zijn.1
Over dertig dagen zie je aan één ding of het werkte: komt er een tweede vragenlijst binnen, dan vul je hem in vanuit die lijst in plaats van vanuit je hoofd.
De lijst is niet voor deze ene klant. Lever je aan meerdere organisaties onder de wet, dan krijg je volgens het NCSC mogelijk meerdere lijsten met maatregelen waarop je moet reageren.1 Met een eigen overzicht van systemen, toegang en gegevens heb je voor elke volgende vraag een uitgangspunt. Je zegt dan wat je doet, in plaats van te tekenen wat de ander opschrijft.
Dezelfde lijst is ook handig zodra je iets anders wilt: een pakket vervangen of systemen aan elkaar koppelen. Wat dat inhoudt, staat op software koppelen. Ook voor de andere regel die dit jaar inging, de transparantieplicht uit de AI-verordening, geldt dat je eerst moet weten wat je gebruikt. Die regel staat in de AI-verordening en de transparantieplicht voor je chatbot.
Met een lijst zeg je wat je doet. Zonder lijst teken je wat de ander opschrijft.
Dat hangt af van je sector en je rol in de keten. De wet geldt voor essentiële en belangrijke organisaties in sectoren als energie, ruimtevaart, onderzoek, digitale infrastructuur en overheid. Ook grotere bedrijven in andere sectoren kunnen eronder vallen, volgens de RDI bijvoorbeeld bedrijven met meer dan 50 medewerkers, of met een jaaromzet en/of balanstotaal van meer dan 10 miljoen euro. Ook toeleveranciers kunnen onder de wet vallen. De RDI biedt een zelfevaluatie om dat na te gaan.
Dat kan. Organisaties die onder de wet vallen moeten de risico’s in hun toeleveringsketen beheersen en kunnen daarom eisen stellen aan de digitale veiligheid van hun rechtstreekse toeleveranciers. De gevraagde maatregel moet bij de leverancier passen. Een toezichthouder houdt volgens het NCSC geen toezicht op toeleveranciers, zolang je zelf niet onder de wet valt. De afspraken maak je dus met je klant.
Niet volgens de wet. Het NCSC schrijft dat een certificaat handig kan zijn in het gesprek met je klant, maar niet verplicht is en geen garantie biedt dat het ketenrisico is afgedekt. De RDI verwacht wel dat organisaties onder de wet hun leveranciers om extra maatregelen zullen vragen, zoals bepaalde certificaten. Vraag je klant daarom wat hij verwacht.
Maak een lijst van je systemen, met per systeem welke klantgegevens erin staan, wie toegang heeft, wie die toegang weghaalt bij vertrek en wat er bij het einde van het contract met de gegevens gebeurt. Doe de zelfcheck van het NCSC op je eigen cyberweerbaarheid en ga het gesprek met je klant vroeg aan, zodat je weet welke maatregelen passend zijn.
Wil je weten waar jouw knelpunten zitten? Doe de Quickscan of plan een gesprek.
De Quickscan duurt vijf minuten: acht korte vragen, en jullie zien direct waar het knelt. Vrijblijvend, of jullie daarna klant worden of niet.
Of bekijk eerst een voorbeeld → (opent in een nieuw tabblad)
