De vraag komt bijna altijd in deze vorm: er ligt een lijst met vragen op tafel, er staat een deadline bij, en iemand wil weten of dit eigenlijk wel verplicht is. Het korte antwoord is dat het voor u waarschijnlijk niet wettelijk verplicht is, en dat u het toch zult moeten doen.
Val ik onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn en geldt vanaf 15 augustus 2026. De wet richt zich op organisaties in aangewezen sectoren (onder meer zorg, energie, transport, digitale infrastructuur en overheid) en dan vooral op de grotere partijen daarbinnen.
Bent u een bedrijf van vijfentwintig man dat onderhoud levert aan een ziekenhuis, dan valt u daar vrijwel zeker niet zelf onder. Uw klant wel.
Of u er zelf onder valt, hangt af van uw sector en uw omvang. Dat is een juridische vraag, en deze pagina geeft daar geen antwoord op dat u bij een toezichthouder kunt gebruiken. Twijfelt u, dan is dat een gesprek met een jurist waard, geen gesprek met uw ICT-leverancier.
Waarom krijg ik die vragenlijst dan toch?
Omdat de wet uw klant verplicht om de beveiliging van zijn hele keten aantoonbaar te beoordelen. "Aantoonbaar" is het woord dat het werk veroorzaakt: uw klant moet aan een toezichthouder kunnen laten zien wát hij van u weet en hóe hij dat weet. Bestuurders zijn daar persoonlijk voor aansprakelijk.
De praktische uitweg die vrijwel iedereen kiest, is de leveranciers bevragen. Vandaar de lijst. Naar schatting krijgen 50.000 tot 100.000 Nederlandse bedrijven op die manier met deze eisen te maken zonder zelf onder de wet te vallen.
Kan ik weigeren?
U kunt de vragenlijst naast u neerleggen. Uw klant kan dan echter niet aantonen dat hij zijn keten heeft beoordeeld, en dat is precies waar hij op wordt afgerekend. In de praktijk betekent niet invullen dat het contract bij de volgende ronde ergens anders terechtkomt.
Het is dus geen wettelijke verplichting maar een contractuele. Dat onderscheid is nuttig om te kennen, en verandert niets aan wat u te doen staat.
Wie houdt hier eigenlijk toezicht op?
Op u: niemand, zolang u niet zelf onder de wet valt. Het toezicht richt zich op de organisaties in de aangewezen sectoren, en dat gebeurt per sector door de daarvoor aangewezen toezichthouder. Een boete voor een tekortschietende leverancier bestaat niet.
Wat wel bestaat, is de boete bij uw klant. De richtlijn noemt voor essentiële entiteiten bedragen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, en voor belangrijke entiteiten tot zeven miljoen euro of 1,4 procent. Bestuurders kunnen daarnaast persoonlijk worden aangesproken. Dat verklaart de toon van de vragenlijst die u kreeg: de afzender heeft er meer belang bij dan u.
Voor u vertaalt dat risico zich in contractvoorwaarden. Steeds vaker staan er een meldtermijn bij incidenten, een auditrecht en het recht om bij tekortkomingen op te zeggen in het contract. Die clausules zijn de plek waar de wet u daadwerkelijk raakt, en het zijn er niet veel; ze zijn wel het lezen waard voordat u tekent.
Wat kost dit mij?
Voor de meeste toeleveranciers zit de kost niet in techniek maar in uitzoekwerk. De basis die klanten vragen, is grotendeels functionaliteit die u al betaalt en alleen moet aanzetten: meervoudige authenticatie zit in vrijwel elk mailpakket, schijfversleuteling zit in Windows en macOS, en een back-upschema met een herstelproef kost vooral een middag plannen.
De echte rekening is de derde vragenlijst. Wie elke lijst opnieuw vanaf nul beantwoordt, betaalt telkens dezelfde uren. Wie de antwoorden één keer vastlegt, betaalt ze één keer.
Wat moet ik dan geregeld hebben?
De maatregelen waar het om draait, staan in artikel 21 lid 2 van de NIS2-richtlijn. Het zijn er tien, en ze zijn minder exotisch dan de vraagformulieren doen vermoeden:
- risicoanalyse en beveiligingsbeleid
- incidentafhandeling
- bedrijfscontinuïteit en back-ups
- beveiliging van de toeleveringsketen
- aanschaf, ontwikkeling en onderhoud van systemen
- toetsen of de maatregelen werken
- cyberhygiëne en training
- cryptografie en encryptie
- personeel, toegangsbeheer en bedrijfsmiddelen
- meervoudige authenticatie en veilige communicatie
Vrijwel elke vragenlijst die u van een klant krijgt, is hier een vertaling van. Dat is goed nieuws: u beantwoordt in feite steeds dezelfde tien onderwerpen in een ander jasje.
Elk van deze tien heeft een eigen pagina in de gids, met per onderwerp wat een klant vraagt en wat u op papier moet hebben.
Waar begin ik?
Begin met weten waar u staat. Loop de tien onderwerpen hierboven langs en bepaal per onderwerp of het geregeld is, half geregeld, of helemaal niet. Dat is precies wat uw klant u vraagt, alleen dan in zijn eigen formulier.
Wat u daarna nodig heeft, is één plek waar dat antwoord vastligt, zodat de volgende vragenlijst invulwerk is in plaats van uitzoekwerk. Hoe u zo'n vragenlijst van een klant aanpakt en in welke volgorde de eerste stappen het meeste opleveren, staat elders in deze gids.
Deze pagina geeft algemene uitleg en is geen juridisch advies. Of uw organisatie onder de Cyberbeveiligingswet valt en welke verplichtingen dan precies gelden, hangt af van uw sector en omvang.