onze klant valt onder NIS2 en stelt nu eisen aan ons, wat betekent dat

Uw klant geeft de tien maatregelen van artikel 21 aan u door

Dat betekent dat u onderdeel wordt van de ketenaanpak die artikel 21 lid 2 van NIS2 voorschrijft. Een entiteit die onder NIS2 valt, moet zelf "beveiligingsmaatregelen in de toeleveringsketen" nemen — punt (d) van dat lid — en dat doet uw klant door de eisen die hij aan zichzelf stelt, ook bij u neer te leggen. U wordt dus niet zelf NIS2-plichtig door deze vragenlijst; u krijgt de weerslag van de plicht van uw klant op uw bord. Of u daarnaast zelf onder de richtlijn valt, is een aparte vraag — die beantwoordt u los, bijvoorbeeld met de toelichting over of de onderneming zelf onder de NIS2-richtlijn valt.

In de praktijk vertaalt de vragenlijst artikel 21 lid 2 naar losse vragen: heeft u risicoanalyse en beleid voor informatiebeveiliging, hoe behandelt u incidenten, hoe zit het met back-ups en herstel, hoe beheert u toegang en gebruikt u meerfactorauthenticatie, en — de bepaling die uw klant nu net op u toepast — stelt u zelf ook eisen aan uw leveranciers. Voor elk van die punten bestaat een aparte uitleg in de kennisbank, zoals beleid voor risicoanalyse en beveiliging van informatiesystemen en beveiligingseisen aan de eigen leveranciers. Heeft u al een ISO 27001-certificaat, dan dekt dat een groot deel van deze vragen in één keer.

Waar dat in de richtlijn staat: artikel 21 lid 2

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de tien maatregelen letterlijk, van beleid voor risicoanalyse (a) tot beveiliging bij de aanschaf van producten en diensten en de leveranciersrelatie (d), tot toegangsbeheer en meerfactorauthenticatie (j). De Nederlandse Cyberbeveiligingswet zet deze richtlijn om in nationaal recht en treedt op 15 augustus 2026 in werking; tot die datum kan uw klant al wel zijn eigen voorbereiding op u afwentelen, ook zonder dat de wet al geldt. Wie de tien maatregelen als losse Annex A-controls van ISO/IEC 27001 herkent, kan veel antwoorden rechtstreeks uit een bestaand ISMS overnemen.