Uw klant stuurt een NIS2-leveranciersvragenlijst: wat vult u in?

Waarom u de vragenlijst krijgt

De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht. Organisaties die eronder vallen, moeten passende maatregelen nemen voor "de beveiliging van de toeleveringsketen" (artikel 21, derde lid, onder d, Cbw). Het Cyberbeveiligingsbesluit maakt dat concreet: de entiteit heeft vastgesteld beleid over ketenbeveiliging en "toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners [...] voldoen aan de beveiligingseisen" (artikel 10, Cyberbeveiligingsbesluit). Die toets is uw vragenlijst.

Dat maakt u niet zelf tot een entiteit onder de wet. De NCTV schrijft letterlijk dat een toeleverancier "niet automatisch zelf onder de Cyberbeveiligingswet valt". U heeft geen registratieplicht en geen meldplicht bij het NCSC omdat een klant u een lijst stuurt. Wat u wél heeft, is een klant die uw antwoorden moet kunnen beoordelen en bewaren. Hoe beter die antwoorden te toetsen zijn, hoe sneller u er doorheen bent.

Stap 1 — Lees eerst de scope, niet de vragen

Voordat u één vraag beantwoordt, legt u voor uzelf (en zo nodig met uw klant) drie dingen vast:

• Welke dienst het betreft. Een schoonmaakbedrijf met een toegangspas heeft een ander risicoprofiel dan een IT-partner met beheerrechten. Veel vragen zijn bij een beperkte dienst eerlijk met "niet van toepassing" te beantwoorden.
• Welke systemen en gegevens van de klant u raakt. Heeft u toegang op afstand? Verwerkt u persoonsgegevens van de klant? Host u iets voor hem? Dat bepaalt welke vragen zwaar wegen.
• Wanneer en in welk format. Vraag naar de deadline en of een eigen document (een beveiligingsverklaring of certificaat) een deel van de lijst mag vervangen.

Een korte mail met deze drie vragen is normaal en wordt meestal gewaardeerd. U laat zien dat u het serieus neemt, en u voorkomt dat u vragen beantwoordt die voor uw dienst niet gelden.

Stap 2 — Kies per vraag een eerlijk antwoordniveau

De meeste vragen gaan over dezelfde onderwerpen: multifactor-authenticatie (MFA), updates, back-ups, toegangsbeheer, incidenten, bewustwording, uw eigen leveranciers en certificering. Voor elke vraag is één van drie antwoorden waar:

Een "deels" of "nog niet" met een datum en een tussenmaatregel is voor een klant beter te beoordelen dan een "ja" die bij een audit of incident niet blijkt te kloppen. Een onjuist "ja" kan later ook contractuele gevolgen hebben. Vul dus nooit een hoger niveau in dan u kunt laten zien.

Stap 3 — Stuur bewijs mee, maar niet alles

Bewijs maakt een antwoord toetsbaar. Voor een kleine leverancier is dat meestal licht: een informatiebeveiligingsbeleid van twee pagina's, een schermafdruk van een MFA-instelling, het verslag van de laatste hersteltest van een back-up, een trainingslijst met data en namen, of een certificaat zoals ISO 27001 als u dat heeft.

Deel geen gegevens die een aanvaller helpen: geen wachtwoorden of sleutels, geen volledige netwerktekeningen, geen IP-adressen of lijsten van kwetsbaarheden die nog open staan. Gevoelige details kunt u aanbieden "ter inzage" of onder een geheimhoudingsafspraak. Een redelijke klant accepteert dat.

Stap 4 — Lees de contractclausules apart

Bij de vragenlijst zit vaak een clausule of een bijlage bij het contract, bijvoorbeeld: incidenten melden binnen een vast aantal uren, een auditrecht, of een verplichting om dezelfde eisen door te leggen naar uw eigen leveranciers. De klant heeft zelf een meldtermijn van 24 uur voor een vroegtijdige waarschuwing aan zijn CSIRT; hij wil dus snel van u horen. Dat is begrijpelijk, maar u hoeft niet elke termijn of eis zonder meer te tekenen. Check of u een melding buiten kantoortijden echt kunt doen, met wie, en via welk kanaal. Stel zo nodig een haalbare termijn of een lichtere variant voor. U mag zeggen dat een eis niet in verhouding staat tot de dienst die u levert.

Stap 5 — Maak er een antwoordbestand van

Na de eerste lijst komt de volgende. De vragen verschillen in formulering maar komen inhoudelijk steeds terug. Bewaar daarom uw antwoorden per onderwerp, met datum, bewijs en eigenaar, en kijk ze één keer per jaar na. Stel dezelfde vragen aan uw eigen IT-partner, hostingpartij en softwareleveranciers: dan kunt u naar hun antwoorden of certificaten verwijzen en hoeft u voor hun deel niets te verzinnen.