De Cyberbeveiligingswet komt eraan: wat merk jij ervan als leverancier?
Op 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking - de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet legt beveiligingsverplichtingen op aan duizenden Nederlandse organisaties in sectoren als zorg, energie, drinkwater, transport, overheid en digitale dienstverlening.
Grote kans dat jouw bedrijf daar zelf niet onder valt. Toch ga je de wet merken - via je klanten.
De zorgplicht raakt de hele leveranciersketen
Organisaties die onder de Cbw vallen, krijgen een zorgplicht: ze moeten passende maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. Die zorgplicht omvat uitdrukkelijk ook de beveiliging van de leveranciersketen. Een ziekenhuis, gemeente of energiebedrijf moet dus kunnen laten zien dat het weet hoe zijn leveranciers ervoor staan - van het softwarepakket tot de ingehuurde IT-dienstverlener.
Dat aantonen gebeurt in de praktijk op één manier: beveiligingsvragenlijsten en leveranciersbeoordelingen. Wie levert aan organisaties in deze sectoren, kan de komende tijd zulke lijsten verwachten - bij nieuwe contracten, bij verlengingen en steeds vaker ook tussentijds.
Even scherp: wie moet wat?
- Je klant (als die onder de Cbw valt) moet zijn leveranciers beoordelen en dat kunnen aantonen. Dat is zíjn wettelijke plicht.
- Jij als leverancier hebt meestal géén rechtstreekse plicht onder de Cbw. Maar zonder ingevulde vragenlijst kan je klant zijn huiswerk niet af - en in de praktijk hangt je deal of contractverlenging daaraan.
Wees dus op je hoede voor iedereen die je vertelt dat je als leverancier "verplicht bent te voldoen aan NIS2" en daar diensten aan koppelt. De vraag die er echt toe doet is praktischer: kun je de vragenlijst van je klant snel, eerlijk en onderbouwd beantwoorden?
Wat je nu al kunt doen
- Inventariseer welke klanten onder de wet (gaan) vallen. Lever je aan zorg, overheid, energie, water, transport of grote digitale dienstverleners? Dan komt er vrijwel zeker een vragenlijst.
- Zet je basisdocumentatie klaar. Beveiligingsbeleid, back-upafspraken, wie toegang heeft tot wat, je eigen lijstje subverwerkers. Dat zijn de vragen die altijd terugkomen.
- Wacht niet tot de deadline. De lijsten komen vaak op het spannendste moment van een deal. Wie zijn antwoorden klaar heeft liggen, houdt de vaart erin.
Hoe zo'n lijst eruitziet en hoe je 'm goed beantwoordt, lees je in onze gidsen over de NIS2-leveranciersvragenlijst en het invullen van beveiligingsvragenlijsten.
Vragenlijst al binnen?
Mail 'm naar ons voor een gratis triage: binnen korte tijd weet je wat de vijf lastigste vragen zijn, hoe een uitgewerkt antwoord eruitziet en of er gaten zitten die je eerst moet dichten. Invullen kost daarna een vast bedrag van €295 excl. btw, klaar binnen 2 werkdagen na een complete intake. Jij controleert, blijft eigenaar en dient zelf in bij je klant; wij certificeren niets en geven geen juridisch advies.