de vragenlijst vraagt hoe wij de cyberveiligheid van onze eigen leveranciers controleren

Ketenveiligheid: wat de klant precies wil weten

Deze vraag gaat over artikel 21 lid 2 sub d van NIS2: de beveiliging van de toeleveringsketen, inclusief de relatie met elke individuele leverancier. De klant wil dus niet weten of u zelf veilig bent, maar of u dat ook van úw leveranciers eist en controleert. Concreet zoekt de vragenlijst meestal naar drie dingen: heeft u beveiligingseisen opgenomen in contracten met leveranciers, beoordeelt u leveranciers voordat u ze inschakelt, en herbeoordeelt u ze periodiek. Een antwoord als "wij vertrouwen onze leveranciers" is voor dit veld geen bewijs — er moet een proces achter zitten.

Als u dat proces heeft, is het bewijsstuk meestal een leveranciersbeleid of een clausule in de standaardovereenkomst, eventueel aangevuld met een overzicht van uitgevoerde beoordelingen. Heeft u dat niet, dan is "nee" hier het eerlijke antwoord — invullen op basis van een aanname levert geen ja op, want daar heeft het dossier geen bron voor. Dit onderwerp hangt overigens samen met een ander veld in dezelfde vragenlijst: of de onderneming beveiligingseisen stelt aan haar eigen leveranciers is vaak een apart gestelde vraag, maar het bewijs overlapt met wat hier gevraagd wordt. Ook relevant is of uw eigen risicoanalyse leveranciers als aparte risicocategorie meeneemt; dat sluit aan bij het beleid voor risicoanalyse en informatiebeveiliging dat elsewhere in de lijst wordt uitgevraagd.

Grond: artikel 21 lid 2 en Annex A

De verplichting volgt uit artikel 21 lid 2 sub d van Richtlijn (EU) 2022/2555, dat ketenveiligheid noemt als een van de tien verplichte maatregelen. ISO/IEC 27001 werkt dit uit in Annex A, onder de beheersmaatregelen voor leveranciersrelaties: daar wordt onderscheid gemaakt tussen eisen bij aanvang van de relatie en periodieke monitoring. Voor Nederlandse ondernemingen komt dezelfde verplichting terug in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt als omzetting van NIS2. Of deze verplichting op uw onderneming zelf van toepassing is, hangt af van of u onder de richtlijn valt; dat is een andere vraag dan wat hier wordt uitgevraagd, en staat aparte toegelicht bij of de onderneming zelf onder NIS2 valt.