Vraag een offerte aan
NIS2-ketenverantwoordelijkheid wordt vanaf 15 augustus werkelijkheid

NIS2-ketenverantwoordelijkheid: wat vraag je vanaf 15 augustus aan jouw leveranciers?

Vanaf 15 augustus 2026 geldt de Cyberbeveiligingswet. Ontdek wat NIS2-ketenverantwoordelijkheid betekent en welke zeven vragen je jouw leveranciers moet stellen.
  • Artikel

Geschatte leestijd: 9 minuten

In het kort

  • De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, wat betekent dat je keten ook moet voldoen aan de nieuwe eisen.
  • Maatregel vier van de zorgplicht richt zich op de beveiliging van je toeleveringsketen en verplicht je tot risicoanalyse.
  • In de financiële sector geldt DORA al sinds januari 2025, met vergelijkbare eisen aan ICT-leveranciers.
  • Een certificaat is slechts een momentopname; je moet ook tussentijds de effectiviteit van maatregelen toetsen.
  • NIS2-ketenverantwoordelijkheid vereist dat je ketenrisico’s in jouw risicomanagement opneemt.

Inhoudsopgave

Jouw eigen huis is op orde. Het Information Security Management System (ISMS) draait, de risicoanalyse is actueel en het bestuur is aangehaakt. Toch ligt er een dossier dat blijft knagen. Je leveranciersregister is namelijk nog steeds een spreadsheet. En daar zitten certificaten in die soms twee jaar oud zijn. Precies daar begint NIS2-ketenverantwoordelijkheid.

Vanaf 15 augustus 2026 wordt dat dossier ineens een stuk belangrijker. Op die datum treedt namelijk de Cyberbeveiligingswet in werking. Dat is de Nederlandse invulling van de Europese Network and Information Security Directive 2 (NIS2). En die wet kijkt niet alleen naar jouw organisatie, maar ook naar jouw keten.

Op 15 augustus 2026 treedt de NIS2 wetgeving in werking

Wat verandert er op 15 augustus 2026?

De Cyberbeveiligingswet (Cbw) vervangt de huidige Wet beveiliging netwerk- en informatiesystemen. De wet richt zich op organisaties die essentiële diensten leveren, zoals in de energie, de zorg en het openbaar bestuur. Valt jouw organisatie onder de wet, dan gelden de verplichtingen direct vanaf de invoeringsdatum [1]. Er is dus geen overgangstermijn waarin je nog rustig kunt inregelen.

Concreet krijg je te maken met drie hoofdverplichtingen:

  • Registratieplicht: je meldt je organisatie aan in het nationaal entiteitenregister [1]
  • Meldplicht: significante incidenten meld je binnen 24 uur. Dat doe je bij het Computer Security Incident Response Team (CSIRT) en bij de toezichthouder [1]
  • Zorgplicht: je voert een risicoanalyse uit en neemt op basis daarvan passende maatregelen [2]

De zorgplicht is uitgewerkt in tien concrete maatregelen [2]. Eén daarvan gaat volledig over jouw leveranciers.

De zorgplicht gaat trouwens verder dan techniek alleen. Je moet ook maatregelen nemen die de bedrijfscontinuïteit (business continuity) borgen, zodat je diensten blijven draaien na een incident.

Maatregel 4 van de zorgplicht heet "maak je toeleveringsketen veilig"

Beveiliging van de toeleveringsketen is maatregel vier

Maatregel vier van de zorgplicht heet “maak je toeleveringsketen veilig”. Deze maatregel is vastgelegd in artikel 21 van de Cyberbeveiligingswet [3]. Hij gaat over de beveiliging in de relatie tussen jouw organisatie en jouw directe leveranciers.

Het Nationaal Cyber Security Centrum (NCSC) formuleert het scherp. Je bent afhankelijk van de digitale weerbaarheid van jouw toeleveranciers. Dat geldt ook wanneer jouw eigen weerbaarheid volledig op orde is [2].

Dat is de kern van NIS2-ketenverantwoordelijkheid. Jij bent verantwoordelijk voor het beheersen van de risico’s die voortkomen uit de afhankelijkheid van jouw leveranciers. Dus moet je ketenrisico’s opnemen in je eigen risicomanagement.

Herken je deze problemen?

In de praktijk lopen compliance officers steeds tegen dezelfde knelpunten aan. Misschien herken je er een paar:

  • Je leveranciersregister staat in Excel en niemand weet zeker of het compleet is
  • In het dossier zit een certificaat uit 2024, maar je weet niet wat er sindsdien is veranderd
  • Klantcommunicatie loopt via meerdere partijen, zoals een drukker, een e-mailplatform en een archiefoplossing
  • Je hebt geen zicht op de subverwerkers van jouw leveranciers
  • Bij een incident bij een leverancier weet je niet hoe snel je zelf een melding kunt doen

Dat laatste punt is verraderlijk. De meldplicht van 24 uur ligt namelijk bij jou, ook als het incident bij je leverancier plaatsvindt. Krijg je pas na drie dagen bericht, dan ben jij te laat.

In de financiële wereld geldt al langer de DORA-wetgeving. Deze wet lijkt flink op de NIS2 wetgeving

In de financiële sector geldt DORA al langer

Werk je bij een verzekeraar, bank of pensioenfonds, dan is dit verhaal niet nieuw. De Digital Operational Resilience Act (DORA) is sinds 17 januari 2025 van toepassing en stelt vergelijkbare eisen aan het beheer van ICT-dienstverleners [4].

Onder DORA houd je een informatieregister bij met alle contractuele afspraken over ICT-diensten van derden. Dat register moet op verzoek beschikbaar zijn voor de toezichthouder. De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) kunnen er namelijk om vragen [5].

De overlap tussen beide kaders is groot. Bouw daarom één leveranciersdossier dat beide vragen beantwoordt, in plaats van twee losse administraties.

Een certificaat is een momentopname. Maatregel 10 van de cyberbeveiligingswet eist dat je de effectiviteit van je maatregelen periodiek toetst.

Waarom een certificaat alleen niet meer volstaat

Hier zit het echte probleem, en het wordt vaak over het hoofd gezien. Een certificaat is een momentopname.

Een ISO 27001-audit toetst op één moment in het jaar. Een ISAE 3402 Type 2-rapportage kijkt terug over een afgeronde periode. Tussen twee audits zit dus een periode waarin je eigenlijk niets weet.

De Cyberbeveiligingswet vraagt daar expliciet aandacht voor. Maatregel tien van de zorgplicht schrijft namelijk voor dat je de effectiviteit van je maatregelen periodiek toetst [2].

Voor jouw keten betekent dat het volgende:

  • Een certificaat toont aan dát er een systeem is, niet dat het vandaag werkt
  • Een jaarlijkse leveranciersvragenlijst is een terugblik, geen actueel beeld
  • Aantoonbaarheid vraagt om herhaalde toetsing, niet om een pdf in een map
  • Toezicht houden betekent dat je afspraken maakt over opvolging en doorlooptijden

Vraag jouw leveranciers dus niet alleen naar hun certificaat. Vraag ook hoe zij de periode tussen twee audits invullen. Wij schreven eerder over hoe wij informatiebeveiliging in elk proces inbedden.

Stel je communicatieadviseur de volgende 7 vragen om te zien of ze klaar zijn voor de NIS2

Zeven vragen voor jouw communicatieleverancier

Klantcommunicatie is een blinde vlek in veel leveranciersdossiers. Toch stromen er juist daar veel persoonsgegevens doorheen. Denk aan polisnummers, betalingsherinneringen en medische correspondentie.

Stel jouw communicatieleverancier daarom deze zeven vragen:

  1. Val je zelf onder de Cyberbeveiligingswet of onder DORA? Zo ja, ben je geregistreerd?
  2. Welke certificeringen heb je, met welke scope en welke datum? Scope is belangrijker dan het logo.
  3. Hoe houd je zicht tussen twee audits door? Vraag door naar de frequentie van toetsing.
  4. Wie is eigenaar van een bevinding en binnen welke termijn wordt die opgelost? Vraag om doorlooptijden per severity.
  5. Waar staan mijn gegevens en wie heeft er toegang toe? Vraag ook naar de fysieke locatie van de opslag.
  6. Hoe snel meld je een incident aan mij? Jouw meldplicht is 24 uur, dus jij hebt sneller bericht nodig.
  7. Welke subverwerkers gebruik je? De keten stopt namelijk niet bij jouw directe leverancier.

Krijg je op een van deze vragen geen concreet antwoord, dan heb je een bevinding voor je eigen risicoanalyse.

NIS2-ketenverantwoordelijkheid begint bij zelf zicht houden

Wij geloven dat compliance niet gaat over dikkere dossiers, maar over zicht houden. Wie afhankelijk is van een leverancier die pas achteraf rapporteert, kan geen verantwoordelijkheid nemen voor de keten.

Daarom werkt Impress als self-serviceplatform. Jij bepaalt zelf wat er de deur uitgaat, wanneer en via welk kanaal. En jij ziet zelf wat er gebeurt. Zo blijft de regie bij jouw organisatie, ook wanneer de toezichthouder vragen stelt.

Impress verstuurt al ruim dertig jaar klantcommunicatie voor organisaties in de financiële en publieke sector. Ons platform is ISO 27001 en ISO 9001 gecertificeerd, en wij beschikken over een ISAE 3402 Type 2-verklaring. Bekijk hier onze certificeringen.

Wil je weten hoe jouw klantcommunicatie er onder NIS2 voor staat? Plan dan een gratis online consult, of vraag direct een offerte aan.

Veelgestelde vragen over veilige klantcommunicatie

Veelgestelde vragen

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking [1]. Er geldt geen overgangstermijn. Organisaties die onder de wet vallen, moeten dus vanaf die datum voldoen aan de registratieplicht, de meldplicht en de zorgplicht.

Dat hangt af van je sector en je omvang. Val je er niet direct onder, dan kun je er alsnog mee te maken krijgen. Jouw klanten hebben namelijk een ketenverantwoordelijkheid. Zij zijn verplicht om eisen aan jou te stellen en toezicht te houden op de uitvoering daarvan.

Ketenverantwoordelijkheid betekent dat je ketenrisico’s meeneemt in je risicomanagement. Je stelt aantoonbaar eisen aan je directe leveranciers, en je controleert of zij die eisen ook waarmaken. Jouw eigen weerbaarheid is dus niet genoeg.

Nee, een certificaat is een goed startpunt, maar het is een momentopname met een afgebakende scope. De zorgplicht vraagt ook dat je de effectiviteit van maatregelen periodiek beoordeelt. Vraag daarom altijd naar de scope, de datum en de manier waarop je leverancier tussentijds toetst.

DORA richt zich specifiek op de financiële sector en geldt sinds 17 januari 2025 [4]. De Cyberbeveiligingswet vertaalt NIS2 naar Nederlands recht en raakt een bredere groep sectoren. Beide kaders stellen eisen aan het beheer van ICT-leveranciers, dus in de praktijk overlappen ze sterk.

Bronnen

Foto van Radboud van Keulen

Radboud van Keulen

Radboud is de marketingmanager van Impress en een ervaren online marketeer. Hij vindt het een uitdaging om ingewikkelde stof zo te 'vertalen' dat iedereen mee kan. Verder is hij groot fan van marketing automations en SEO.