Cyberbeveiligingswet: wat moet er nu in uw leverancierscontracten?

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw). Daarmee is de Europese NIS2-richtlijn in Nederland ingevoerd. Volgens het kabinet krijgen ruim 8.000 organisaties in achttien sectoren met de wet te maken, van energie en drinkwater tot digitale infrastructuur, zorg en vervoer.

Veel ondernemers buiten die sectoren merken de wet toch. Niet via een toezichthouder, maar via hun klanten. Een organisatie die onder de Cbw valt, moet ook de risico's beheersen die via haar leveranciers binnenkomen. Dat zien leveranciers terug in vragenlijsten, verzoeken om bewijs en nieuwe contractbepalingen.

Valt u zelf onder de wet, of merkt u haar via een klant?

Dat onderscheid bepaalt wat u moet doen, dus begin daar. De Cbw geldt voor essentiële en belangrijke entiteiten. Of uw organisatie daartoe hoort, hangt af van de sector, de diensten die u levert en in de meeste gevallen ook van de omvang van uw onderneming. Die toets moet u zelf doen.

Valt u onder de wet, dan moet u zich registreren bij het Nationaal Cyber Security Centrum (NCSC). Verder geldt de zorgplicht uit artikel 21, de meldplicht voor significante incidenten uit de artikelen 25 tot en met 29, en de regel uit artikel 24 dat het bestuur de maatregelen goedkeurt en zelf genoeg kennis heeft om de risico's te beoordelen.

Levert u alleen aan een Cbw-organisatie, dan valt u daardoor niet automatisch zelf onder de wet. Het NCSC is daar duidelijk over: de wet legt toeleveranciers geen eigen verplichtingen op en er is geen toezichthouder die bij u komt controleren. Uw klant moet u wel meenemen in haar risicobeheer. Wat zij van u vraagt, komt dus via het contract bij u terecht.

Let wel op. Sommige leveranciers vallen wel zelf onder de wet, omdat hun eigen dienst in een aangewezen sector valt. Aanbieders van clouddiensten en van beheerde ICT- of beveiligingsdiensten zijn daar voorbeelden van, afhankelijk van onder meer hun omvang. Voor hen komen de eisen van klanten bovenop hun eigen wettelijke plichten.

Wat de wet van uw klant vraagt

Artikel 21, eerste lid, Cbw verplicht een essentiële of belangrijke entiteit om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico's voor haar netwerk- en informatiesystemen te beheersen. Het derde lid noemt tien onderwerpen die die maatregelen ten minste moeten omvatten. Onderdeel d is de beveiliging van de toeleveringsketen, inclusief de relatie met rechtstreekse leveranciers en dienstverleners. Dat volgt artikel 21 van de NIS2-richtlijn.

Het vierde lid maakt het concreet. Bij het kiezen van ketenmaatregelen houdt de organisatie rekening met de specifieke kwetsbaarheden van iedere rechtstreekse leverancier, en met de kwaliteit van diens producten en beveiligingspraktijk, inclusief veilige ontwikkeling. Een klant die dat serieus neemt, gaat u vragen stellen.

Dan de meldplicht. Bij een significant incident geeft de Cbw-organisatie onverwijld, en in elk geval binnen 24 uur, een vroegtijdige waarschuwing aan haar CSIRT en haar bevoegde autoriteit. Binnen 72 uur volgt een melding en uiterlijk een maand daarna een eindverslag (artikelen 26, 27 en 29 Cbw, gebaseerd op artikel 23 NIS2). Die termijnen gelden voor uw klant, niet voor u. Maar begint het incident bij u, dan haalt uw klant ze alleen als u snel en bruikbaar informeert.

Vijf onderwerpen voor het contract

Een incidentmelding die tijdens een incident werkt

"Zo spoedig mogelijk" leest prima, tot het ergens om gaat. Spreek af wat als beveiligingsincident geldt, binnen welke termijn de leverancier de klant informeert, welke informatie er in die eerste melding staat en wie buiten kantooruren bereikbaar is. Leg ook vast hoe u samenwerkt bij het onderzoek en bij de wettelijke melding van de klant. Dat de meldtermijn voor de leverancier korter is dan de 24 uur van de klant, ligt voor de hand. Hoeveel korter, hangt af van de dienst en is onderdeel van de onderhandeling.

Maatregelen die u kunt controleren

Een algemene belofte dat de leverancier "passende beveiliging" toepast, geeft weinig houvast. Vertaal de risicoanalyse naar afspraken die u kunt nagaan, zoals toegangsbeheer, multifactorauthenticatie, het tijdig bijwerken van software, logging, versleuteling en back-ups met een geteste hersteltijd. Niet elke leverancier hoeft hetzelfde pakket te krijgen. Het NCSC geeft zelf het voorbeeld: een fysieke toegangseis die past bij de beheerder van een serverruimte, past niet bij een partij die alleen prijsinformatie via een digitale koppeling levert.

Onderaannemers en subleveranciers

Veel digitale diensten zijn gestapeld. Uw leverancier draait bij een hostingpartij, gebruikt supportsoftware van een derde en huurt misschien ontwikkelaars in. Spreek af wanneer subleveranciers mogen worden ingezet, welke eisen voor hen gelden en wanneer u hoort van een wezenlijke wijziging. Een lijst met namen zegt weinig als niet duidelijk is wie waar toegang toe heeft. Hetzelfde vraagstuk speelt bij AI-toepassingen die op meerdere diensten draaien; zie ons artikel over autonome AI-agents.

Bewijs, en wat er gebeurt als het niet klopt

Onbeperkte auditrechten klinken stevig, maar zijn voor beide partijen kostbaar. Spreek liever af welk bewijs de leverancier beschikbaar stelt: een certificering, een onafhankelijk rapport, testresultaten of antwoorden op een gerichte vragenlijst. Het NCSC merkt terecht op dat een certificaat het gesprek makkelijker maakt, maar geen garantie is dat het ketenrisico van een specifieke klant is afgedekt. Regel daarom ook de opvolging: een hersteltermijn, de mogelijkheid tot aanvullende verificatie en het moment waarop opschorting of beëindiging aan de orde is.

Continuïteit, exit en de samenloop met de AVG

Cyberbeveiliging gaat ook over herstel. Leg vast welke hersteltijden gelden, hoe vaak back-ups worden getest en hoe u bij uw gegevens komt als de samenwerking eindigt of de leverancier wegvalt. Verwerkt de leverancier persoonsgegevens, dan lopen de Cbw, de AVG en de verwerkersovereenkomst naast elkaar. Eén incident kan tegelijk een Cbw-melding, een datalek en een tekortkoming in de nakoming opleveren. Zorg dat procedures en termijnen in die documenten op elkaar aansluiten. Anders gaat het juist tijdens een incident mis.

Begin bij afhankelijkheden, niet bij een modelbijlage

Een dikke beveiligingsbijlage is nog geen goed contract. Kijk eerst welke leveranciers uw dienstverlening werkelijk dragen, tot welke systemen, gegevens en accounts zij toegang hebben en wat er gebeurt als hun dienst uitvalt of wordt misbruikt. Het NCSC noemt drie herkenbare risicorelaties: u levert diensten of producten rond de netwerk- en informatiesystemen van de klant, u levert een ICT-onderdeel van die systemen, of u heeft er toegang toe. De leverancier van de koffiebonen hoort daar volgens het NCSC niet bij.

Met dat onderscheid voorkomt u twee fouten tegelijk: een kleine leverancier die een onuitvoerbaar eisenpakket krijgt, en een kritieke IT-partner die met een vage standaardtekst wegkomt.

Wat u deze maand kunt doen

Valt u zelf onder de Cbw? Maak dan een overzicht van de leveranciers waar uw primaire dienstverlening van afhangt. Noteer per partij de dienst, de interne eigenaar, de gegevens en toegangen, de subleveranciers, de incidentroute, de herstelafspraken en het bewijs dat u al heeft. Waar informatie ontbreekt, weet u waar u moet beginnen. Pak eerst de contracten met de grootste impact op uw bedrijfsvoering aan.

Levert u aan een Cbw-organisatie? Wacht dan niet op de vragenlijst. Zet op een rij hoe uw beveiliging is georganiseerd, hoe u incidenten afhandelt, welke maatregelen u heeft genomen, met welke onderaannemers u werkt en welk bewijs u kunt delen. Dan beantwoordt u de vragen van klanten één keer goed, in plaats van telkens opnieuw.

Wilt u eerst een indicatie van waar u staat? De Recht & AI Reality Scan laat in ongeveer vier minuten zien waar uw grootste juridische risico ligt. Die uitslag is indicatief. Voor een beoordeling van uw eigen leverancierscontracten is persoonlijk advies nodig. Lees hoe REZA Legal naar contracten kijkt, of plan een intake.