wij moeten aantonen dat we onze leveranciers op cyberveiligheid checken, hoe doe ik dat

Ketenveiligheid: wat artikel 21 lid 2 sub d vraagt

Artikel 21 lid 2 sub d van de NIS2-richtlijn noemt beveiliging van de toeleveringsketen als één van de tien verplichte maatregelen, inclusief de beveiligingsaspecten van de relaties tussen de entiteit en haar directe leveranciers. Dat betekent concreet: je moet kunnen laten zien dat je bij het aangaan en onderhouden van leveranciersrelaties beoordeelt of die leverancier een risico vormt voor jouw eigen dienstverlening. Een uitgeschreven leveranciersbeleid met minimaal drie onderdelen dekt dit meestal: een selectiecriterium vooraf (welke eisen stel je aan nieuwe leveranciers), een periodieke toets tijdens de looptijd, en een escalatiepad als een leverancier een incident meldt. Dit is dezelfde vraag die je klant je zelf stelt over ketenrisico — je vult hier eigenlijk je eigen antwoord in, maar dan één laag dieper in de keten.

Wat als bewijsstuk telt, hangt af van hoe volwassen je proces is. Een contractclausule waarin je leverancier zich aan bepaalde beveiligingseisen committeert, is een startpunt maar geen toets. Sterker is een vragenlijst die je zelf naar leveranciers stuurt, gekoppeld aan een simpel risicolabel (laag/midden/hoog) op basis van wat die leverancier ziet of raakt van jouw systemen. Heb je dat niet, dan is het eerlijkste antwoord dat je het proces nog moet inrichten — niet dat je "ja" invult op een contractclausule die er niet toe doet. Let op: dit is een aparte vraag dan of je eigen onderneming onder de richtlijn valt; ook als je zelf niet direct onder NIS2 valt, kan een klant dit via de ketenverplichting toch van je vragen.

Waar dit vandaan komt: richtlijn en de Nederlandse wet

De verplichting staat in artikel 21 lid 2 sub d van Richtlijn (EU) 2022/2555; de Cyberbeveiligingswet zet dit om in Nederlands recht en treedt naar verwachting op 15 augustus 2026 in werking. ISO/IEC 27001 Annex A bevat een vergelijkbare beheersmaatregel over leveranciersrelaties, wat verklaart waarom klanten met een ISO-vragenlijst vaak dezelfde vraag stellen als klanten die naar NIS2 verwijzen.