Cyberbeveiligingswet: wat mag je klant van je vragen?

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Heeft je bedrijf minder dan vijftig mensen, dan val je er waarschijnlijk zelf niet onder, en toch kan er binnenkort een vragenlijst van een klant in je mailbox liggen met 'NIS2' in de kop. Rond die vragenlijst wordt op dit moment veel verkocht: certificaten, trainingen, abonnementen. Dit artikel legt uit wat er in de wet zélf staat over leveranciers, wat je klant je wel en niet mag opleggen, wat de overheid dacht dat dit jou zou kosten, en wat de markt er inmiddels voor rekent. Met de wetsartikelen erbij, zodat je het kunt nakijken.

Val je zelf onder de Cyberbeveiligingswet?

Waarschijnlijk niet. De wet richt zich op ruim 8.000 organisaties in aangewezen sectoren, en de drempel ligt bij 50 medewerkers óf 10 miljoen euro omzet of balanstotaal. Er is geen overgangs- of gedoogtermijn geweest: de plicht is op 15 augustus 2026 gewoon ingegaan.

Twee dingen die daarbij vaak verkeerd worden verteld. Ten eerste is 15 augustus een startdatum en geen deadline, vanaf die dag geldt de plicht, het is niet zo dat er iets op die dag af had moeten zijn. Ten tweede geldt de registratieplicht alleen voor organisaties die er zelf onder vallen; die registreren zich via mijn.ncsc.nl met eHerkenning op niveau EH2+, en moeten wijzigingen binnen veertien dagen doorgeven. Val je er niet onder, dan hoef je je nergens aan te melden.

Waarom die vragenlijst dan tóch bij jou komt

Omdat de zorgplicht van je klant niet ophoudt bij zijn eigen voordeur. Het Cyberbeveiligingsbesluit bepaalt in artikel 10 lid 2 dat een organisatie die onder de wet valt, toetst of haar rechtstreekse leveranciers en dienstverleners voldoen aan de beveiligingseisen, en daar staat één woord bij dat vaak wordt gemist: 'De entiteit controleert dit periodiek'.

Dat betekent dat je geen formulier invult en er vanaf bent. Je komt in een terugkerende cyclus terecht. En het moment waarop de vraag komt, kies je zelf niet: meestal bij een contractverlenging, een aanbesteding, of ineens omdat de afdeling van je klant die dit moet regelen een eigen deadline heeft.

Er bestaat geen wettelijke vragenlijst, en dat is een bewuste keuze

Dit is het stuk dat de meeste ondernemers verrast. Er is geen landelijke standaardvragenlijst voor leveranciers, en er is geen wettelijke certificeringsplicht. Artikel 7 lid 5 legt vast dat je klant de beveiligingseisen zélf opstelt, op basis van zijn eigen risico-overzicht. Twee klanten in dezelfde sector kunnen dus volkomen legitiem verschillende dingen van je vragen.

Dat is geen slordigheid van de wetgever. In de internetconsultatie is voorgesteld om leveranciersscreening en ketenaudits verplicht te stellen, en dat voorstel is expliciet afgewezen omdat het volgens de toelichting 'zou leiden tot verhoogde regeldruk en aanzienlijk hogere kosten'. De ministeriële regelingen werken het ketenartikel bewust niet verder uit.

Daar volgt iets praktisch uit. 'Wij voldoen aan NIS2' is als leverancierslabel inhoudsloos, want er is voor jou als leverancier niets om aan te voldoen. Wat wél telt, is of je de vragen van díe ene klant kunt beantwoorden met iets dat je kunt laten zien.

Het enige dat de wet wél over leveranciers zegt

Eén leverancierseigenschap wordt bij naam genoemd. Artikel 21 lid 4 van de Cyberbeveiligingswet draagt organisaties op rekening te houden met de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers, 'met inbegrip van hun veilige ontwikkelingsprocedures'.

Vertaald naar de praktijk: als er iets voor je gebouwd wordt, een website, een webshop, een koppeling, een stuk automatisering, dan is de manier waarop dat gebouwd wordt onderdeel van jouw antwoord aan je klant. Dat is ook het enige onderdeel waarvan je met zekerheid kunt zeggen dat het terugkomt. Wie zich ergens op voorbereidt, bereidt zich hierop voor:

• Wie heeft toegang tot de systemen waarin met jouw klantgegevens wordt gewerkt, en hoe wordt die toegang ingetrokken als iemand vertrekt?
• Wordt er met tweestapsverificatie ingelogd, en waar staat dat opgeschreven?
• Wie bouwt er mee van buiten je bedrijf, en wat is er met die partij afgesproken?
• Zijn er back-ups, en is er ooit getest of ze terug te zetten zijn?
• Wat gebeurt er als het misgaat, en op welk moment hoort je klant het?

Dat lijstje kost je geen certificaat. Het kost je een middag, een document met een datum en een naam erop, en de discipline om het jaarlijks bij te werken.

Wat de wet je klant kost, en wat er van jouw kant op nul is geraamd

De overheid heeft in de toelichting bij de wet zelf uitgerekend wat dit kost voor de bedrijven die eronder vallen: €142.000 per bedrijf per jaar, structureel, en €1,071 miljard voor de 7.550 bedrijven samen. Het leeuwendeel zit in de zorgplicht: 1.758 uur per jaar tegen €63 per uur plus €30.646 aan externe kosten. In tijd is dat ruwweg één voltijdsplaats, elk jaar opnieuw.

En nu het interessante. Wat er in die berekening níét zit, is de rekening bij de toeleveranciers. Het Adviescollege toetsing regeldruk heeft daarop gewezen; het antwoord in de toelichting is dat het alleen gaat om leveranciers die relevant zijn voor de systemen van de organisatie, 'waardoor de inschatting is dat op dit punt de Cbw en het Cbb geen hogere regeldruk veroorzaken'. De last in de keten is dus officieel op nul geraamd.

Twee bladzijden eerder in datzelfde document zeggen de bevraagde bedrijven het omgekeerde: bedrijven die veel op projectbasis met ketenpartners werken verwachten dat het sluiten van overeenkomsten met die partijen structureel meer tijd gaat kosten, en het geraadpleegde mkb-panel waarschuwt dat kleinere toeleveranciers 'moeilijk aan de eisen (…) zullen kunnen voldoen'. Dat staat er gewoon, in het Staatsblad, in hetzelfde stuk.

De markt heeft die nul intussen beprijsd

De wet schrijft geen leverancierscertificaat voor, maar MKB-Nederland en VNO-NCW hebben er via hun initiatief Samen Digitaal Veilig zelf een gebouwd: NIS2 Supply Chain. Er is een gratis startpakket, en de betaalde niveaus beginnen op €725 per jaar en lopen op met het aantal medewerkers. De externe audit zit daar niet bij in. Aangesloten brancheorganisaties, 96 stuks, waaronder Techniek Nederland, Bouwend Nederland, TLN, BOVAG en Koninklijke Metaalunie, geven hun leden korting.

Eerlijk erbij: zo'n keurmerk kan gewoon handig zijn. Eén herkenbaar antwoord is prettiger dan tien verschillende formulieren, en het traject ernaartoe dwingt je om dingen op te schrijven die je toch al had moeten opschrijven. Maar het is geen wettelijke eis, en niemand kan het van je eisen mét een beroep op de wet. Kort samengevat: de wetgever raamde de ketenkosten op nul, en de markt prijst diezelfde keten per leverancier per jaar.

En dan de zwaarste variant, die soms wordt gevraagd: ISO 27001. Heel Nederland telt 1.568 geldige ISO 27001-certificaten, inclusief elke bank, verzekeraar, multinational en elk ziekenhuis (ISO Survey 2024). Voor een bedrijf onder de vijftig medewerkers is dat certificaat dus een uitzondering en geen norm. Dat zie je terug in de prijs: alleen de audit kost een klein bedrijf in het eerste jaar ruwweg €4.000 tot €12.500, plus €2.000 tot €4.500 per jaar aan tussentijdse controles.

Twee dingen die als wettelijke eis worden verkocht en dat niet zijn

• 'Je hebt een certificaat nodig.' Nee. De wet kent geen certificeringsplicht voor leveranciers, en er is geen norm waaraan je als leverancier moet voldoen. Een keurmerk maakt antwoorden makkelijker; het is geen toegangseis.
• 'De bestuurstraining moet door een onafhankelijke, externe partij worden gegeven.' Die eis heeft in het concept gestaan en is geschrapt. In de toelichting staat het letterlijk: 'De eis van een onafhankelijke trainer is na de internetconsultatie geschrapt.' De trainingsplicht zelf blijft wél staan, die komt uit de Europese richtlijn, maar wie de training geeft is vrij. En die plicht geldt voor het bestuur van de organisatie die onder de wet valt, niet voor jou als leverancier.

Wat je nu wél kunt doen

• Loop je klantenlijst na en markeer wie waarschijnlijk onder de wet valt: zorg, overheid, energie, water, transport, grotere ondernemingen. Daar komen de vragenlijsten vandaan.
• Leg de basis vast op papier: toegang, tweestapsverificatie, back-ups, wat er gebeurt bij een incident, en wie waarvoor verantwoordelijk is. Elk document met een datum en een naam erop.
• Zet erbij wie er van buiten meebouwt aan je systemen, en wat je daarmee hebt afgesproken. Dat is het ene punt dat de wet expliciet noemt.
• Beantwoord een vragenlijst altijd met een verwijzing naar een document. Een antwoord zonder bron is een belofte, een antwoord met bron is bewijs.
• Heb je iets niet, schrijf dat dan op met een datum waarop het er wel is. Een eerlijk gat met een plan is een beter antwoord dan een leeg veld, en veel beter dan een belofte die je bij de volgende ronde niet kunt waarmaken.
• Koop pas iets als je twee keer dezelfde vraag hebt gekregen. Dan weet je welke vraag het is, en betaal je niet voor een antwoord dat niemand stelt.

En rustig blijven mag ook

Er is geen paniekgolf, en dat is te meten. Het aandeel Nederlandse ondernemers dat cybercriminaliteit als (heel) veel risico ziet was 35% in 2023, 40% in 2024, 33% in 2025 en 37% in 2026, het onderzoek noemt die laatste beweging zelf 'niet-significant' (ABN AMRO/MWM2 Cybertrends 2026, n=777). Vier jaar vlak. Wie je vertelt dat de wereld ineens is veranderd, verkoopt iets.

Maar het ketenrisico is wél echt, en Nederland heeft er dit jaar een voorbeeld van gezien. Op 7 april 2026 werd ChipSoft getroffen door gijzelsoftware, de leverancier die de patiëntendossiers beheert van circa 76% van alle Nederlandse ziekenhuizen. Elf tot vijftien ziekenhuizen haalden hun patiëntportalen offline (bronnen: security.nl en NOS, april 2026). Het punt is niet de sector maar het mechanisme: de eigen beveiliging van al die organisaties kan prima op orde zijn geweest, en ze lagen er tóch uit. Dáárom stelt je klant je die vragen. Niet omdat hij je wantrouwt.