NIS2-leveranciersvragenlijst: zo bereidt uw mkb zich voor

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens het Nationaal Cyber Security Centrum (NCSC) gaat het om ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen.

Voor die organisaties gelden drie plichten:

• Registreren. Ze melden zich aan in een landelijk register.
• Zorgplicht. Ze voeren een risicoanalyse uit en nemen passende maatregelen.
• Meldplicht. Voor significante incidenten gelden meldstappen en termijnen. Raadpleeg het NCSC voor de vroege waarschuwing, vervolgmelding en verdere rapportage die op uw organisatie van toepassing zijn.

Dat hangt af van uw sector en uw omvang. De wet richt zich op organisaties in aangewezen sectoren, zoals energie, zorg, transport en digitale infrastructuur. De meeste kleine bedrijven vallen er niet rechtstreeks onder.

Zeker weten doet u het pas als u het nagaat. Het NCSC biedt informatie over de toepasselijkheid en verplichtingen. Twijfelt u, zoek het dan uit: de verantwoordelijkheid om u te registreren ligt bij uzelf.

Organisaties die onder de wet vallen, moeten ook kijken naar de risico's bij hun leveranciers. Levert u software, IT-diensten of iets anders waar hun bedrijfsvoering van afhangt? Dan kunnen zij u vragen om aan te tonen dat uw beveiliging op orde is.

In de praktijk betekent dat: een vragenlijst bij een offerte, nieuwe bepalingen in een contract of het verzoek om bewijs. Wie daar geen goed antwoord op heeft, kan een opdracht mislopen.

Of u nu onder de wet valt of niet, deze basis verkleint uw risico en geeft u een antwoord op bijna elke vragenlijst.

1. Zet tweestapsverificatie aan. Op e-mail, boekhouding, hosting en alle systemen met klantgegevens.
2. Installeer updates automatisch. Verouderde software is een van de bekendste zwakke plekken.
3. Test uw back-ups. Een back-up die u nooit heeft teruggezet, is een aanname.
4. Ruim rechten op. Geef iedereen alleen de toegang die bij het werk hoort en verwijder accounts van oud-medewerkers.
5. Schrijf op wat u doet bij een incident. Wie belt wie, wie beslist, en welke klanten moet u informeren?

Controleer maatregelen op hun werking. Een gepland herstelonderzoek is nog geen uitgevoerde hersteltest; vermeld dat verschil ook in een vragenlijst.

Maatregelen nemen is één ding. Kunnen laten zien dát u ze neemt, is wat klanten van u vragen. Een kort document met uw afspraken over toegang, updates, back-ups en incidenten is vaak al genoeg om een vragenlijst goed te beantwoorden.

Wilt u weten waar u staat? Lees meer over AVG, NIS2 en de AI-regels, of bekijk hoe Managed Services updates, back-ups en monitoring structureel regelt. Begin bij de basis met veilig inloggen en duidelijke toegangsrechten.

Download de invulbare leveranciersvragenlijst. Verzamel per antwoord een vindplaats voor bewijs en benoem wie het actueel houdt. Deel alleen informatie die voor de vraag nodig is; verstuur geen wachtwoorden, geheime sleutels of volledige klantdossiers als bewijs van een maatregel.

Maak onderscheid tussen wat is ingevoerd, wat is getest en wat nog gepland staat. Bespreek een onduidelijke eis eerst met de klant. Een leveranciersvragenlijst is geen wettelijke certificering en bepaalt op zichzelf niet of uw bedrijf rechtstreeks onder de wet valt. De contractuele afspraken en wettelijke toepasselijkheid vragen ieder een eigen beoordeling.

Gebruik ontbrekende antwoorden om een kleine verbeterlijst te maken. Wijs per punt een eigenaar aan, beschrijf welk bewijs nodig is en spreek af wanneer u het opnieuw bekijkt. Geef de klant geen algemene garantie als u alleen één onderdeel hebt onderzocht. Een concreet antwoord met een openstaand punt is bruikbaarder dan een oncontroleerbaar ja.

Bewaar de ingevulde versie met een datum en de gebruikte bewijsstukken. Controleer haar opnieuw wanneer uw systemen, leveranciers of contactpersonen veranderen. Zo hoeft u bij een volgende aanvraag niet alles opnieuw uit te zoeken en blijven uw antwoorden aansluiten op uw werkelijke inrichting.