Een beveiligingsvragenlijst van uw klant: wat de Cyberbeveiligingswet daarmee te maken heeft, en wat u in een week voorbereidt

De Cyberbeveiligingswet geldt voor "essentiële" en "belangrijke" entiteiten: grotere organisaties in sectoren als energie, zorg, digitale infrastructuur, transport en (lokale) overheid, zonder overgangsperiode (rijksoverheid.nl, 7 juli 2026; wettekst: wetten.overheid.nl, Cyberbeveiligingswet BWBR0052872). Als kleinere leverancier, IT-partner of zzp'er valt u in de meeste gevallen zelf niet onder deze wet. Toch is de kans groot dat u er dit jaar iets van merkt — als vraag van een klant, niet als eigen verplichting.

Waarom uw klant nu met vragen komt

In-scope organisaties hebben een zorgplicht: "passende en evenredige technische, operationele en organisatorische maatregelen" om risico's voor hun netwerk- en informatiesystemen te beheersen (NCTV, vragen en antwoorden). Een van de tien maatregelgebieden uit de onderliggende EU-richtlijn gaat expliciet over u: ketenbeveiliging, inclusief de beveiligingsaspecten van de relatie tussen de entiteit en haar directe leveranciers (artikel 21, tweede lid, onder d, Richtlijn (EU) 2022/2555 — EUR-Lex, CELEX:32022L2555).

Uw klant moet dus kunnen aantonen dat hij ook de risico's van zijn leveranciers beoordeelt. Dat gebeurt via een vragenlijst, een contractclausule, of een informele vraag van een account- of inkoopmanager — allemaal hetzelfde uitvloeisel van dezelfde verplichting. Het betekent niet dat u zelf een "essentiële" of "belangrijke" entiteit wordt: de wet verplicht ú niet rechtstreeks tot registratie of meldplicht. Ze verplicht uw klant om u te beoordelen.

De 8 vragen die het vaakst terugkomen

1. Multi-factor authenticatie (MFA) — op welke systemen staat dit aan?
2. Patchbeleid — hoe snel worden kritieke updates doorgevoerd, en waar?
3. Back-ups — hoe vaak, waar bewaard, wanneer voor het laatst getest?
4. Incidentprocedure — is er een vast meldpunt, intern en eventueel extern?
5. Bewustwording/training — krijgen medewerkers iets over phishing, en hoe vaak?
6. Overzicht van uw eigen leveranciers — wie heeft toegang tot relevante systemen?
7. Certificering — ISO 27001, SOC 2, of iets lichters zoals SC 10 Basic?
8. Een concreet aanspreekpunt — wie is verantwoordelijk, met naam en contact?

Een eerlijk "nog niet, maar gepland voor [datum]" landt bij klanten beter dan een vage toezegging — en veel beter dan een antwoord dat achteraf niet blijkt te kloppen.

Wat u in een week voorbereidt

• Dag 1 — wijs één verantwoordelijke aan, ook als dat de eigenaar zelf is.
• Dag 2 — loop de 8 punten hierboven langs en schrijf eerlijk op waar u staat.
• Dag 3 — pak de twee met de kleinste moeite en het grootste effect aan: MFA aan waar het nog mist, en één back-up echt terugzetten om te testen.
• Dag 4 — zet een half A4 op papier met wie u belt of mailt bij een incident.
• Dag 5 — noteer welke eigen leveranciers toegang hebben tot relevante systemen.

Bewaar wat u vastlegt — de volgende vragenlijst begint dan niet meer bij nul.

Waar u gratis hulp vindt

Sinds 1 januari 2026 zijn het Digital Trust Center en het NCSC samengevoegd tot één versterkt NCSC, met één aanspreekpunt voor digitale weerbaarheid voor alle Nederlandse organisaties (NCSC, nieuwsbericht).

• NCSC — de 5 basisprincipes en de CyberVeilig Check (±5 minuten, met actielijst): ncsc.nl/basisprincipes/overzicht.
• KVK — checklist en gratis cyberscan, plus het adviesteam op 088 585 22 22: kvk.nl/veilig-zakendoen, met een pagina specifiek over de wet op kvk.nl/cyberbeveiligingswet.
• RVO — subsidie "Mijn Cyberweerbare Zaak" (≤50 medewerkers, <€10 mln omzet; 2026: 50% tot €1.250, aanvragen t/m 30 november): rvo.nl/subsidies-financiering/mcz — een tegemoetkoming in de kosten, geen gratis dienst, maar wel goedkoper dan een adviseur alleen inhuren.