vragenlijst vraagt hoe we de beveiliging van onze leveranciers controleren

Ketenbeveiliging: uw klant vraagt door naar uw eigen leveranciers

Deze vraag gaat over artikel 21 lid 2 sub d van NIS2: beveiliging van de toeleveringsketen, inclusief de relatie met elke directe leverancier of dienstverlener. Uw klant wil dus niet alleen weten hoe u zelf beveiligd bent, maar ook hoe u dat afdwingt bij uw onderaannemers. Concreet wordt meestal gevraagd of u beveiligingseisen opneemt in contracten, of u leveranciers vooraf beoordeelt, en of u periodiek controleert of ze die eisen naleven.

Als u dit proces nog niet formeel heeft ingericht, is het eerlijkste antwoord dat u het informeel doet — bijvoorbeeld via contractuele clausules zonder gestructureerde beoordeling — of dat u het nog niet doet. Een "ja" invullen omdat het logisch klinkt, helpt niet: als uw klant doorvraagt naar een voorbeeldcontract of een leverancierslijst met risicoscore, moet dat er dan ook zijn. Dezelfde vraag komt vaak terug in een net iets andere vorm, namelijk of de onderneming beveiligingseisen stelt aan haar eigen leveranciers — dat is in feite dezelfde eis, maar dan losgetrokken van de contractvraag. Het is dus zinvol één antwoord te formuleren dat u op meerdere lijsten kunt hergebruiken.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A.5.19-21

De juridische basis is artikel 21 lid 2 sub d van de NIS2-richtlijn, een van de tien verplichte maatregelen die daar worden genoemd. Voor de Nederlandse praktijk komt dit terug in de Cyberbeveiligingswet, de omzetting van NIS2 die op 15 augustus 2026 in werking treedt — de vraag van uw klant loopt dus vaak vooruit op wat voor u zelf pas later verplicht wordt, tenzij u al onder de richtlijn valt via de definitie van entiteit onder NIS2. Wie ISO/IEC 27001 toepast, herkent dezelfde eis in Annex A, de beheersmaatregelen onder A.5.19 tot en met A.5.21 over leveranciersrelaties en de beveiligingseisen die daarin worden vastgelegd. Beide bronnen vragen in de kern hetzelfde: niet alleen weten wie uw leveranciers zijn, maar aantoonbaar maken dat u hun beveiligingsniveau bewaakt.