NIS2 supply chain risico: uw leveranciers vallen er vanaf 15 augustus ook onder

Over twee dagen, op 15 augustus 2026, treedt de Cyberbeveiligingswet in werking — de Nederlandse vertaling van de Europese NIS2-richtlijn. Ruim 8.000 organisaties in achttien sectoren krijgen dan een directe zorgplicht. Wat in de berichtgeving vaak ondersneeuwt: die zorgplicht stopt niet bij de eigen voordeur. Het NIS2 supply chain risico is expliciet onderdeel van de wet, en raakt via de ketenverplichting ook de tienduizenden leveranciers, softwarepartijen en dienstverleners die zelf niet direct onder de wet vallen.

Voor crisisteams en directies betekent dit twee dingen tegelijk: u moet aantoonbaar maken dat uw eigen leveranciers geen onbeheerst risico vormen, én u moet zelf antwoord kunnen geven op de vragenlijsten die uw grootste klanten vanaf nu sturen. Dit artikel legt uit wat er precies verandert, wie er wordt geraakt en wat dit betekent voor uw crisisplan.

Wat is NIS2 supply chain risico precies?

De zorgplicht van de Cyberbeveiligingswet bestaat uit tien concrete maatregelen. Maatregel vier heet “maak je toeleveringsketen veilig” en is vastgelegd in artikel 21, lid 2 onder d, van de wet: de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners. Het Nationaal Cyber Security Centrum (NCSC) formuleert de kern scherp: u bent afhankelijk van de digitale weerbaarheid van uw toeleveranciers, zelfs wanneer uw eigen weerbaarheid volledig op orde is.

Dat is precies waarom de grootste incidenten van de afgelopen jaren zelden via de voordeur van het slachtoffer binnenkwamen, maar via een beheertool, een koppeling of een softwareupdate van een derde partij. NIS2-ketenverantwoordelijkheid vraagt daarom dat u ketenrisico’s expliciet opneemt in uw eigen risicomanagement, in plaats van te vertrouwen op een certificaat dat een leverancier ooit heeft overlegd.

Wie valt direct onder de wet — en wie via de keten?

De Cyberbeveiligingswet geldt direct voor ruim 8.000 organisaties in achttien sectoren: energie, drinkwater, digitale infrastructuur, zorg, overheid, vervoer en elf andere sectoren, boven bepaalde omvangsdrempels. Via de ketenplicht schuiven de eisen echter door naar een veel grotere groep. Schattingen lopen uiteen van 50.000 tot 100.000 kleine en middelgrote bedrijven die met de gevolgen te maken krijgen, ook al vallen zij zelf niet onder de wet.

Praktisch betekent dit: zodra uw klant onder de Cyberbeveiligingswet valt, moet die klant kunnen onderbouwen dat u als leverancier geen onbeheerst risico vormt. U krijgt daardoor te maken met beveiligingsbijlagen bij nieuwe of te verlengen contracten, vragenlijsten over hoe u ontwikkelt, test en beheert, en meldafspraken met een termijn die korter is dan die van uw klant — want uw klant moet zelf binnen 24 uur melden bij het NCSC, en heeft uw signaal dus eerder nodig. U hoeft zich niet te registreren en krijgt geen boete van de toezichthouder, maar u verliest wel opdrachten als u deze vragen niet kunt beantwoorden.

De vragen die uw grootste klant u nu stelt

De vragenlijsten die door de keten heen bewegen, zijn redelijk voorspelbaar en gaan vrijwel altijd over dezelfde onderwerpen: valt u zelf onder de Cyberbeveiligingswet of onder DORA, en zo ja, bent u geregistreerd? Welke certificeringen heeft u, met welke scope en welke datum? Hoe houdt u zicht tussen twee audits door? Wie is eigenaar van een bevinding en binnen welke termijn wordt die opgelost? Waar staan de gegevens van uw klant en wie heeft er toegang toe? Hoe snel meldt u een incident? En welke subverwerkers gebruikt u zelf — de keten stopt namelijk niet bij uw eigen directe leverancier.

Krijgt een van uw eigen leveranciers op deze vragen geen concreet antwoord, dan heeft u een bevinding voor uw eigen risicoanalyse — en daarmee een gat in uw crisisplan dat u nu nog kunt dichten, in plaats van tijdens een incident.

Meldplicht in de keten: 24 uur is korter dan u denkt

De meldplicht van de Cyberbeveiligingswet werkt in drie stappen: een vroegtijdige waarschuwing binnen 24 uur na constatering, een uitgebreidere melding binnen 72 uur, en een eindrapport binnen een maand. Die klok tikt ook door wanneer het incident niet bij uzelf, maar bij een leverancier begint. Krijgt u pas na drie dagen bericht van een leverancier, dan bent u als organisatie die onder de wet valt al te laat met uw eigen 24-uursmelding.

Wie in de financiële sector werkt, herkent dit patroon. Daar geldt sinds 17 januari 2025 al de Europese verordening DORA, die vergelijkbare eisen stelt aan het beheer van ICT-dienstverleners: een informatieregister met alle contractuele afspraken, dat op verzoek beschikbaar moet zijn voor toezichthouders als De Nederlandsche Bank en de AFM. De overlap tussen NIS2 en DORA is groot — organisaties die onder beide kaders vallen, doen er verstandig aan één leveranciersdossier te bouwen dat beide vragen beantwoordt, in plaats van twee losse administraties.

Waarom een certificaat alleen niet meer volstaat

Hier zit een probleem dat vaak wordt onderschat: een certificaat is een momentopname. Een ISO 27001-audit toetst op één moment in het jaar, een ISAE 3402 Type 2-rapportage kijkt terug over een afgeronde periode. Tussen twee audits in weet u eigenlijk niets. Maatregel tien van de zorgplicht schrijft daarom voor dat u de effectiviteit van uw maatregelen periodiek toetst, bijvoorbeeld jaarlijks — niet alleen bij vernieuwing van een certificaat.

Voor uw leveranciersdossier betekent dat: een certificaat toont aan dát er een systeem is, niet dat het vandaag nog werkt. Een jaarlijkse vragenlijst is een terugblik, geen actueel beeld. Aantoonbaarheid vraagt om herhaalde toetsing, niet om een pdf in een map.

Wat dit betekent voor uw crisisplan

Het NIS2 supply chain risico is in de kern een compliance-verplichting, maar de praktische consequentie landt recht in uw crisisorganisatie. Een crisisplan dat leveranciers alleen noemt in een bijlage met contactgegevens, voldoet niet meer. Een crisisplan dat aantoonbaar rekening houdt met ketenrisico bevat op zijn minst: een actuele lijst van kritieke leveranciers en hun risicoprofiel, een escalatiepad wanneer een leverancier zelf een incident meldt, afspraken over wie namens uw organisatie extern communiceert wanneer de oorzaak buiten uw eigen systemen ligt, en een geoefend proces om de 24-uursmelding te halen ook als de eerste informatie van een derde partij komt.

Dat laatste — het geoefende deel — is precies waar veel organisaties nu nog een blinde vlek hebben. Een risicoanalyse laat zien welke leveranciers ertoe doen; ze bewijst niet dat uw crisisteam onder druk de juiste besluiten neemt wanneer die leverancier zelf dagenlang stil is. Wie dat wil testen, leest verder in ons artikel over de derde partij risico crisisoefening, waarin we beschrijven hoe u een oefening opzet rond precies dit scenario.

Toezicht en handhaving

Het toezicht op de Cyberbeveiligingswet is sectorgebonden. De Rijksinspectie Digitale Infrastructuur (RDI) houdt onder meer toezicht op digitale infrastructuur en voert inspecties uit op leveranciersketenmanagement; in de financiële sector ligt die rol bij De Nederlandsche Bank, in de zorg bij de IGJ. Organisaties die onder de wet vallen, moeten zich bovendien registreren in het nationale entiteitenregister bij het NCSC. Voor leveranciers die zelf buiten de achttien sectoren vallen, is er geen directe meldplicht of boeterisico bij een toezichthouder — het risico is commercieel: wie de vragen van klanten niet kan beantwoorden, valt af bij aanbestedingen en leveranciersbeoordelingen.

Veelgestelde vragen

Wanneer treedt de Cyberbeveiligingswet in werking?

Op 15 augustus 2026, gelijktijdig met de Wet weerbaarheid kritieke entiteiten. De Eerste Kamer stemde op 7 juli 2026 in met beide wetten. Er geldt geen overgangstermijn: organisaties die onder de wet vallen, moeten vanaf de inwerkingtredingsdatum voldoen aan de registratieplicht, de meldplicht en de zorgplicht.

Val ik als leverancier onder de Cyberbeveiligingswet als ik zelf niet in een van de achttien sectoren zit?

Niet direct, maar u krijgt de eisen alsnog doorgeschoven zodra u levert aan een organisatie die wél onder de wet valt. Die klant heeft een ketenverantwoordelijkheid: hij is verplicht om eisen aan u te stellen en toezicht te houden op de naleving daarvan, via contracten, vragenlijsten en meldafspraken.

Wat is het verschil tussen NIS2 en DORA voor ketenrisico?

DORA richt zich specifiek op de financiële sector en geldt al sinds 17 januari 2025. De Cyberbeveiligingswet vertaalt NIS2 naar Nederlands recht en raakt een veel bredere groep sectoren. Beide kaders stellen vergelijkbare eisen aan het beheer van ICT-leveranciers — organisaties die onder beide vallen, kunnen die eisen het beste in één leveranciersdossier combineren.

Conclusie: aantoonbaarheid begint nu

Het NIS2 supply chain risico is geen abstracte juridische bepaling die over een paar jaar relevant wordt — de wet treedt over twee dagen in werking. Of u nu zelf onder de Cyberbeveiligingswet valt, of de eisen via uw grootste klant doorgeschoven krijgt: wie nu kan aantonen dat de eigen keten in beeld is, blijft in beeld bij aanbestedingen en leveranciersreviews. Wie dat niet kan, valt af. Wilt u weten hoe u uw crisisplan en incidentresponsproces NIS2-proof maakt, inclusief de rol van uw leveranciersketen? Bekijk onze aanpak op de pagina NIS2 crisismanagement: voorbereiding, training en compliance.