Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Daarmee is de Europese NIS2-richtlijn in Nederland in wetgeving omgezet.
Voor ruim 8.000 Nederlandse organisaties betekent dit dat zij rechtstreeks te maken krijgen met nieuwe verplichtingen op het gebied van cybersecurity. Denk onder andere aan een zorgplicht, registratieplicht en meldplicht bij significante incidenten.
Maar daar houdt het niet op.
Want de Cyberbeveiligingswet zegt óók iets belangrijks over de toeleveringsketen.
Organisaties die onder de Cyberbeveiligingswet vallen, moeten niet alleen hun eigen informatiebeveiliging op orde hebben. Ze moeten ook rekening houden met cyberrisico's die ontstaan door hun rechtstreekse leveranciers en dienstverleners.
En daardoor kan de wet ook gevolgen hebben voor jouw organisatie als je zelf helemaal niet rechtstreeks onder de Cyberbeveiligingswet valt.
Je klant kan bijvoorbeeld ineens vragen:
Dat laatste woord is belangrijk:
aantonen.
Want zeggen dat je informatiebeveiliging goed hebt geregeld is één ding.
Het kunnen bewijzen wordt iets heel anders.
De Cyberbeveiligingswet, meestal afgekort tot Cbw, is de Nederlandse implementatie van de Europese NIS2-richtlijn.
De wet is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen.
De Cyberbeveiligingswet is rechtstreeks van toepassing op organisaties die essentiële of belangrijke diensten verlenen binnen 18 sectoren. Daaronder vallen onder andere organisaties in de energie, gezondheidszorg, digitale infrastructuur, overheid, drinkwatervoorziening en vervoer.
Voor organisaties die rechtstreeks onder de wet vallen gelden onder andere verplichtingen rond:
En juist dat laatste onderdeel zorgt ervoor dat de gevolgen van de Cyberbeveiligingswet veel verder reiken dan alleen die ruim 8.000 organisaties.
Nee.
Dat moeten we wel duidelijk blijven zeggen.
Als jouw klant onder de Cyberbeveiligingswet valt, betekent dat niet automatisch dat jouw eigen organisatie daardoor ook rechtstreeks Cbw-plichtig wordt.
Je krijgt dus niet vanzelf dezelfde wettelijke registratieplicht en meldplicht als je klant.
Maar je klant heeft wél een probleem dat hij moet oplossen.
Hij moet namelijk beoordelen welke risico's zijn rechtstreekse leveranciers en dienstverleners vormen voor zijn netwerk- en informatiesystemen.
Het NCSC – het Nationaal Cyber Security Centrum – zegt hierover heel concreet dat Cbw-organisaties cybersecuritymaatregelen kunnen opleggen aan hun rechtstreekse leveranciers en dienstverleners. Dat kan om één specifieke maatregel gaan, maar ook om bredere eisen aan de cybervolwassenheid van een leverancier.
Dus:
Je hoeft niet rechtstreeks onder de Cyberbeveiligingswet te vallen om er in de praktijk toch mee te maken te krijgen.
Voor veel leveranciers zal dat waarschijnlijk niet gebeuren doordat er een brief van de overheid op de mat valt.
Het begint veel eerder met een e-mail van een klant.
Of een nieuwe leveranciersvragenlijst.
Of gewijzigde inkoopvoorwaarden.
Of de vraag:
“Kunnen jullie aantonen hoe informatiebeveiliging bij jullie is geregeld?”
Omdat vrijwel geen enkele organisatie nog alles zelf doet.
Bedrijven besteden steeds meer processen uit.
Denk aan:
Daarmee ontstaat automatisch afhankelijkheid.
Je kunt je eigen systemen uitstekend beveiligen, maar ondertussen kan een leverancier toegang hebben tot jouw gegevens of processen.
En wordt die leverancier geraakt?
Dan kun jij daar uiteindelijk net zo goed last van krijgen.
Het NCSC omschrijft dit heel duidelijk: een organisatie kan afhankelijk zijn van de digitale weerbaarheid van haar leveranciers, zelfs wanneer de eigen digitale weerbaarheid op orde is.
Begin augustus 2026 kregen we daar nog een bijzonder duidelijk voorbeeld van.
Op 1 augustus 2026 werd bol geïnformeerd over een beveiligingsincident bij een logistieke warehousingpartner.
Belangrijk detail:
de systemen van bol zelf waren niet geraakt.
Het probleem zat bij de leverancier.
Onbevoegden hadden mogelijk toegang gekregen tot systemen en gegevens die de logistieke partner gebruikte voor het verwerken van bestellingen vanuit één van de distributiecentra van bol.
Daarbij konden onder andere gegevens als naam, adres, e-mailadres, telefoonnummer, ordernummer, track&trace-informatie en bestelgegevens zijn bekeken of gekopieerd.
Maar het incident had niet alleen gevolgen voor persoonsgegevens.
Ook de bedrijfsvoering werd geraakt.
Een deel van het assortiment werd tijdelijk offline gehaald, bepaalde bestellingen werden geannuleerd of vertraagd en bol stopte tijdelijk de gegevensuitwisseling met de betrokken partner.
En dat is precies waarom ketenbeveiliging veel breder is dan alleen privacy.
Een probleem bij een leverancier kan gevolgen hebben voor:
Met andere woorden:
je eigen voordeur kan uitstekend op slot zitten, terwijl iemand via de achterdeur van je leverancier binnenkomt.
Het voorbeeld wordt nog duidelijker als we kijken naar de betrokken logistieke partij: CEVA Logistics.
Niet alleen bol werd geraakt.
Ook De Bijenkorf werd getroffen. Vervolgens bleek dat ook organisaties zoals Ajax, Ace & Tate en ING gevolgen ondervonden van het incident bij dezelfde logistieke dienstverlener.
Eén leverancier.
Meerdere klanten.
Meerdere organisaties die ineens met de gevolgen van hetzelfde cyberincident te maken kregen.
Dat is ketenrisico in één voorbeeld samengevat.
En het verklaart ook waarom een Cbw-organisatie niet meer alleen kan zeggen:
“Wij hebben onze eigen beveiliging goed geregeld.”
Ze moet ook nadenken over organisaties waarvan zij afhankelijk is.
Nog geen maand daarvoor speelde iets vergelijkbaars bij Lidl.
In juli 2026 waarschuwde Lidl Nederlandse en Belgische klanten nadat er een beveiligingsincident had plaatsgevonden bij een externe IT-dienstverlener.
Daarbij werden onder andere namen, telefoonnummers, e-mailadressen, geboortedata en klantnummers buitgemaakt.
Volgens Lidl was de webshop zelf niet getroffen.
Ook hier zat het probleem dus bij een externe partij.
Het patroon is inmiddels duidelijk:
uitbesteden betekent niet dat je het risico ook hebt uitbesteed.
En voor organisaties die onder de Cyberbeveiligingswet vallen, wordt dat uitgangspunt nu nog belangrijker.
Een ander interessant voorbeeld zagen we bij Bevolkingsonderzoek Nederland.
Een laboratorium waarmee Bevolkingsonderzoek Nederland samenwerkte voor het bevolkingsonderzoek naar baarmoederhalskanker werd getroffen door een grote hack.
De samenwerking met het laboratorium werd daarop stilgelegd.
Dat had uiteindelijk ook gevolgen voor de capaciteit van de twee andere laboratoria. Zij moesten extra onderzoeken verwerken, waardoor vertraging ontstond bij het uitnodigen van vrouwen voor het bevolkingsonderzoek.
Een informatiebeveiligingsprobleem bij een leverancier werd daarmee uiteindelijk ook een continuïteitsprobleem voor de opdrachtgever.
Maar nog interessanter is wat Bevolkingsonderzoek Nederland daarna heeft gedaan.
De organisatie geeft zelf aan de werkwijze rond informatiebeveiliging te hebben aangescherpt, niet alleen intern maar ook bij ketenpartners. Externe partijen worden scherper beoordeeld en informatiebeveiliging heeft meer gewicht gekregen in contracten en aanbestedingen.
Dat is volgens mij een ontwikkeling waar veel leveranciers de komende tijd mee te maken gaan krijgen.
Niet noodzakelijk omdat hun klant ineens een enorm dik eisenpakket gaat sturen.
Maar wel omdat informatiebeveiliging steeds vaker onderdeel wordt van:
Niet iedere leverancier vormt hetzelfde risico.
Dat is belangrijk.
De partij die één keer per maand koffie levert, vormt normaal gesproken een heel ander cyberrisico dan de softwareleverancier die permanent toegang heeft tot bedrijfskritische systemen.
De Cyberbeveiligingswet werkt daarom risicogestuurd.
Vooral leveranciers die invloed kunnen hebben op de netwerk- en informatiesystemen van de klant zijn interessant.
Denk bijvoorbeeld aan organisaties die:
Een eenvoudige vraag helpt vaak al:
Wat gebeurt er bij onze klant wanneer wij morgen door een cyberaanval volledig uitvallen?
Is het antwoord:
“Niet zoveel.”
Dan is het risico waarschijnlijk beperkt.
Is het antwoord:
“Dan kan onze klant een belangrijk proces niet meer uitvoeren, kan hij niet bij zijn gegevens of komen zijn leveringen stil te liggen.”
Dan ligt dat anders.
En juist dat soort leveranciers zal waarschijnlijk steeds vaker moeten aantonen dat informatiebeveiliging serieus en structureel is georganiseerd.
Daar bestaat geen universele lijst voor.
Dat is misschien niet het antwoord dat iedereen graag hoort, maar wel het juiste antwoord.
De maatregelen moeten passen bij het risico.
Het NCSC geeft aan dat afspraken met leveranciers bijvoorbeeld kunnen gaan over:
In de praktijk kun je daarom vragen verwachten over de volgende onderwerpen.
Hebben jullie de belangrijkste informatiebeveiligingsrisico's vastgesteld?
Wie is verantwoordelijk voor die risico's?
Welke maatregelen zijn genomen?
En worden de risico's periodiek opnieuw beoordeeld?
Wie heeft toegang tot welke systemen en gegevens?
Worden toegangsrechten aangepast wanneer iemand een andere functie krijgt?
Worden rechten ingetrokken wanneer iemand uit dienst gaat?
Hoe zijn beheeraccounts beveiligd?
Wordt MFA gebruikt voor belangrijke systemen, beheeraccounts en externe toegang?
Wat gebeurt er wanneer jullie worden gehackt?
Wie doet wat?
Hoe wordt het incident onderzocht?
Welke acties worden genomen?
En vooral voor de klant:
wanneer worden wij geïnformeerd als een incident ook gevolgen voor ons kan hebben?
Worden back-ups gemaakt?
Zijn deze voldoende beschermd?
En wordt periodiek getest of een herstel daadwerkelijk werkt?
Weten medewerkers wat er van hen wordt verwacht?
Krijgen zij training?
Weten ze hoe ze phishing herkennen en waar ze een beveiligingsincident moeten melden?
Hoe zorgen jullie ervoor dat beveiligingsupdates tijdig worden uitgevoerd?
Wie is daarvoor verantwoordelijk?
Wat gebeurt er als een belangrijk systeem uitvalt?
Kunnen jullie blijven leveren?
Hoe snel kan de dienstverlening worden hersteld?
En ja:
jouw klant kan ook willen weten hoe jíj vervolgens met je eigen belangrijke leveranciers omgaat.
Want wanneer jij een cruciale dienst voor een klant levert maar daarvoor volledig afhankelijk bent van één onbeveiligde onderaannemer, blijft er natuurlijk een risico bestaan.
Hier zit volgens mij uiteindelijk de kern.
Veel organisaties hebben best het nodige geregeld.
Vraag of er back-ups zijn en het antwoord is:
“Ja hoor.”
Vraag of medewerkers weten hoe ze met phishing moeten omgaan:
“Dat hebben we een keer uitgelegd.”
Vraag of toegangsrechten worden ingetrokken:
“Dat doet onze IT'er.”
Dat kan allemaal waar zijn.
Maar stel vervolgens de vraag:
“Kun je laten zien hoe dit is geregeld en wanneer het voor het laatst is gecontroleerd?”
Dan wordt het vaak een stuk lastiger.
Aantoonbaarheid betekent dat je niet alleen een maatregel hebt, maar dat je bijvoorbeeld kunt laten zien:
Een mooi informatiebeveiligingsbeleid op de server is dus niet genoeg.
Het systeem moet leven.
Dat is overigens niets nieuws.
In de ruim 30 jaar waarin wij organisaties helpen met managementsystemen en certificering zie ik steeds hetzelfde principe terug:
Wat je hebt afgesproken moet je uitvoeren. Wat je uitvoert moet je kunnen aantonen. En vervolgens moet je controleren of het ook werkelijk werkt.
Over ons – ruim 30 jaar ervaring met managementsystemen en certificering
Hier komt ook de commerciële kant om de hoek kijken.
Stel:
twee organisaties bieden ongeveer dezelfde dienst aan.
Leverancier A antwoordt op vragen over informatiebeveiliging:
“Volgens onze IT-partner zit het wel goed.”
Leverancier B kan laten zien:
Welke leverancier geeft dan het meeste vertrouwen?
Precies.
Voor leveranciers gaat NIS2 daarom niet alleen over cybersecurity of compliance.
Het kan uiteindelijk ook gaan over:
klanten behouden.
En over:
nieuwe klanten overtuigen.
Een klant die zelf onder de Cyberbeveiligingswet valt moet zijn ketenrisico's serieus nemen. Het is daarom logisch dat informatiebeveiliging steeds vaker onderdeel wordt van de keuze met welke leveranciers die organisatie zaken wil doen.
Dat betekent niet dat iedere leverancier morgen een certificaat moet halen.
Maar het betekent wel dat de vraag:
“Hoe toon jij aan dat informatiebeveiliging op orde is?”
steeds belangrijker wordt.
Dit is waarschijnlijk de belangrijkste vervolgvraag.
Want wanneer een klant informatiebeveiliging gaat eisen, denken veel organisaties direct:
Moeten we nu ISO 27001 halen?
Niet noodzakelijk.
Er zijn verschillende manieren om informatiebeveiliging gestructureerd en aantoonbaar te organiseren.
Voor leveranciers zijn vooral vier routes interessant:
| Situatie | Mogelijke route |
|---|---|
| Je wilt op een praktisch basisniveau aantoonbaar met informatiebeveiliging werken | NIS2 SC10 Basic |
| Je risicoprofiel of klant vraagt om een uitgebreider beveiligingsniveau | NIS2 SC20 Substantial |
| Je wilt een internationaal erkend ISMS of klanten vragen specifiek om ISO 27001 | ISO 27001 |
| Je werkt in de zorg of verwerkt persoonlijke gezondheidsinformatie en NEN 7510 is relevant of vereist | NEN 7510 |
Maar let op:
dit is geen automatische beslisboom.
Uiteindelijk bepalen drie zaken welke oplossing het beste past:
Vraag daarom altijd aan belangrijke klanten welke eisen zij nu of in de nabije toekomst verwachten te stellen.
NIS2 Supply Chain SC10 is het basisniveau binnen het NIS2 Supply Chain-certificatieschema.
Het NIS2 Supply Chain-schema kent drie oplopende niveaus: SC10 Basic, SC20 Substantial en SC30 High. De keuze voor een niveau is risicogestuurd.
SC10 is interessant wanneer je als leverancier wilt laten zien dat je de basis van informatiebeveiliging serieus en gestructureerd hebt ingericht, zonder direct een volledig ISO 27001-traject te hoeven doorlopen.
Denk bijvoorbeeld aan organisaties die:
Belangrijk:
SC10 is niet wettelijk verplicht en het is geen door de Cyberbeveiligingswet voorgeschreven certificaat.
De toegevoegde waarde zit juist in de praktische aantoonbaarheid richting opdrachtgevers en ketenpartners.
Voor veel leveranciers kan het daarom een veel overzichtelijkere eerste stap zijn dan direct ISO 27001.
Met onze NIS2 SC10 Succesformule krijg je hiervoor een volledig ingericht systeem in VisionManager, inclusief processen, templates, stappenplan, checklist en ISOmatrix.
Zo hoef je niet zelf uit te zoeken welke onderdelen je moet opzetten en hoe je ze met elkaar verbindt.
SC20 staat voor Substantial en gaat verder dan het basisniveau van SC10.
Dat wordt interessanter wanneer het risico van jouw dienstverlening groter is.
Bijvoorbeeld wanneer:
Kiwa omschrijft SC20 bijvoorbeeld als het niveau voor leveranciers die diensten leveren aan NIS2-organisaties en toegang hebben tot gevoelige systemen of gegevens.
Het belangrijkste verschil is dus niet:
“SC20 klinkt beter dan SC10.”
De vraag is:
welk beveiligingsniveau past bij het risico?
Daarom adviseren we organisaties ook niet om automatisch het hoogste niveau te kiezen.
Meer maatregelen betekent namelijk ook meer werk, beheer en controle.
Doe wat nodig is.
Maar zorg vervolgens wel dat je het goed doet.
Soms is NIS2 SC10 of SC20 niet de beste route.
Bijvoorbeeld wanneer je klanten expliciet ISO 27001-certificering eisen.
Of wanneer je internationaal werkt en een wereldwijd herkenbare norm belangrijk is.
ISO/IEC 27001 is een internationale norm voor een Information Security Management System, oftewel ISMS.
Daarmee richt je informatiebeveiliging organisatiebreed en risicogestuurd in.
ISO 27001 kan vooral interessant zijn wanneer:
Je hoeft dus niet eerst SC10 en daarna SC20 te doen voordat je naar ISO 27001 kunt.
Soms is rechtstreeks kiezen voor ISO 27001 logischer.
ISO 27001 en NIS2: overlap en verschillen
Werk je in of voor de Nederlandse zorg?
Dan komt NEN 7510 nadrukkelijk in beeld.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en richt zich op zorgorganisaties én andere organisaties die persoonlijke gezondheidsinformatie verwerken. NEN noemt daarbij bijvoorbeeld ook leveranciers van zorg-ICT.
De actuele norm bestaat uit:
Het amendement uit 2026 heeft onder andere de mapping tussen NEN 7510 en de Cyberbeveiligingswet geactualiseerd.
NEN 7510 kan daarom logischer zijn wanneer je bijvoorbeeld:
Juist het datalek bij het laboratorium van Bevolkingsonderzoek Nederland laat zien waarom informatiebeveiliging in de zorgketen zo belangrijk is.
Als ik het heel eenvoudig maak:
Vraag jezelf af:
1. Wat leveren wij?
2. Tot welke systemen en informatie hebben wij toegang?
3. Wat gebeurt er met onze klant als wij uitvallen of worden gehackt?
4. Welke beveiligingseisen stelt de klant?
Pas daarna kies je het meest passende kader.
Een kleinere leverancier met een beperkt cyberrisico kan heel ergens anders uitkomen dan een softwarebedrijf dat permanent toegang heeft tot gevoelige klantgegevens.
En een IT-leverancier aan een ziekenhuis kan weer andere eisen krijgen dan een leverancier aan een productiebedrijf.
Daarom zou ik een klant ook altijd gewoon vragen:
“Welk aantoonbaar beveiligingsniveau verwachten jullie van ons als leverancier?”
Dat voorkomt dat je maanden werk stopt in een certificering om vervolgens te ontdekken dat de klant iets anders verlangt.
Hier wil ik ook duidelijk in zijn.
Of je nu kiest voor SC10, SC20, ISO 27001 of NEN 7510:
het doel moet niet zijn om alleen een certificaat aan de muur te krijgen.
Een certificaat heeft waarde omdat daarachter een systeem hoort te zitten dat daadwerkelijk wordt gebruikt.
Dat betekent bijvoorbeeld:
De klant wil uiteindelijk weten:
kunnen we op deze leverancier vertrouwen?
Een certificaat helpt daarbij. Maar het onderliggende systeem moet het echte werk doen.
Bij ISOmanager hebben we onze aanpak juist zo ingericht dat je niet begint met een lege map Word-bestanden.
Je krijgt een compleet ingerichte structuur waarmee je stap voor stap zelf kunt werken aan:
Daarbij combineren we:
Het voordeel daarvan merk je vooral wanneer een klant of auditor zegt:
“Prima verhaal. Laat maar zien.”
Dan wil je niet eerst in twintig mappen, Excelbestanden en losse documenten hoeven zoeken.
Je wilt gewoon kunnen aantonen:
dit is de eis, hier hebben we hem geregeld, dit voeren we uit en hier staat het bewijs.
Dat is uiteindelijk waar een goed managementsysteem voor bedoeld is.
Over ISOmanager en onze 30+ jaar ervaring
Je hoeft morgen niet direct een certificering te bestellen.
Maar niets doen omdat je zelf niet rechtstreeks onder de Cyberbeveiligingswet valt, vind ik inmiddels ook geen verstandige aanpak meer.
Begin met vijf eenvoudige stappen.
Zijn daar organisaties bij die onder de Cyberbeveiligingswet vallen?
Denk bijvoorbeeld aan organisaties in:
Zo ja, dan is het verstandig om verder te kijken.
Heb je toegang tot systemen?
Verwerk je gegevens?
Lever je software?
Ben je noodzakelijk voor een belangrijk bedrijfsproces?
Wat gebeurt er wanneer jij een week uitvalt?
Hoe groter die afhankelijkheid, hoe relevanter informatiebeveiliging wordt.
Heb je bijvoorbeeld:
Wij hebben hiervoor een gratis checklist ontwikkeld waarmee je snel een eerste beeld krijgt.
Doe de gratis checklist informatiebeveiliging
Wacht niet noodzakelijk tot de vragenlijst binnenkomt.
Je kunt ook zelf vragen:
“Welke eisen gaan jullie in verband met de Cyberbeveiligingswet aan ons als leverancier stellen?”
Dat kan je een hoop onnodig werk besparen.
Het NCSC adviseert leveranciers zelf ook om tijdig het gesprek met Cbw-organisaties aan te gaan.
Blijkt dat je informatiebeveiliging aantoonbaarder moet organiseren?
Kijk dan welke route past:
NIS2 SC10 → NIS2 SC20 → ISO 27001 → NEN 7510
Niet automatisch van links naar rechts.
Maar afhankelijk van risico, sector en klantvraag.
Dat is misschien wel mijn belangrijkste praktische advies.
Je kunt wachten totdat je belangrijkste klant ineens een Excelbestand met 60 vragen stuurt.
En daar vervolgens twee weken voor geeft.
Maar een werkend informatiebeveiligingssysteem bouw je niet op dinsdagmiddag tussen twee andere afspraken door.
Je moet maatregelen invoeren, medewerkers moeten weten wat ze moeten doen, registraties moeten ontstaan, controles moeten worden uitgevoerd en sommige maatregelen moeten ook een tijdje aantoonbaar functioneren.
Daarom is het verstandiger om eerder te beginnen.
Zeker wanneer je nu al weet dat je klanten hebt die rechtstreeks onder de Cyberbeveiligingswet vallen.
Nee. Je organisatie wordt niet automatisch zelf Cbw-plichtig omdat je levert aan een organisatie die onder de Cyberbeveiligingswet valt.
De Cbw-organisatie moet wel risico's in de relatie met rechtstreekse leveranciers en dienstverleners beoordelen en beheersen. Daardoor kan je klant cybersecurityeisen aan je stellen.
Ja. Het NCSC geeft expliciet aan dat Cbw-organisaties cybersecuritymaatregelen kunnen verlangen van hun rechtstreekse leveranciers en dienstverleners als dit nodig is om risico's voor hun netwerk- en informatiesystemen te beheersen.
Dat hangt af van het risico. Eisen kunnen bijvoorbeeld betrekking hebben op risicomanagement, toegangsbeheer, incidentmeldingen, audits, beveiligingsupdates, continuïteit, medewerkersbewustzijn en contractuele beveiligingsafspraken.
Nee. NIS2 SC10 is geen wettelijk verplichte certificering.
Het is een vrijwillig certificatieschema waarmee een organisatie gestructureerd kan werken aan informatiebeveiliging en richting klanten aantoonbaarheid kan bieden.
Een klant kan binnen zijn leveranciersvoorwaarden of contractuele afspraken bepaalde beveiligingseisen stellen en bijvoorbeeld vragen om een certificering of ander bewijs.
Dat betekent niet dat de Cyberbeveiligingswet zelf voorschrijft dat iedere leverancier een SC10- of SC20-certificaat moet hebben.
Bespreek daarom altijd met de klant welk bewijs hij accepteert.
NIS2 SC10 Basic is het basisniveau van het NIS2 Supply Chain-certificatieschema. Het is bedoeld om informatiebeveiliging op een praktisch, risicogestuurd basisniveau aantoonbaar te organiseren.
NIS2 SC20 Substantial is een hoger niveau binnen NIS2 Supply Chain. Het is bedoeld voor situaties waarin het risicoprofiel of de eisen van klanten uitgebreidere beveiligingsmaatregelen rechtvaardigen.
Nee. De Cyberbeveiligingswet verplicht leveranciers niet automatisch tot ISO 27001-certificering.
Een klant kan ISO 27001 echter wel als leveranciersvoorwaarde hanteren. Ook kan ISO 27001 vrijwillig worden gekozen wanneer een organisatie een breed en internationaal erkend ISMS wil invoeren.
NEN 7510 is vooral relevant voor organisaties in de Nederlandse zorg en organisaties die persoonlijke gezondheidsinformatie verwerken. De actuele versies zijn NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026.
Een organisatie die rechtstreeks onder de Cyberbeveiligingswet valt heeft zelf wettelijke verplichtingen.
Een leverancier die buiten de wettelijke scope valt krijgt deze verplichtingen niet automatisch.
Hij kan wél indirect gevolgen ondervinden doordat een Cbw-organisatie beveiligingseisen stelt aan leveranciers om de eigen ketenrisico's te beheersen.
Val je zelf niet onder de Cbw, dan krijg je niet alleen vanwege je positie als leverancier automatisch de wettelijke Cbw-meldplicht.
Je klant kan wel contractueel met je afspreken dat incidenten die invloed kunnen hebben op de dienstverlening of informatie van de klant snel moeten worden gemeld.
Dat kan bijvoorbeeld door inzichtelijk te maken:
Dit kun je natuurlijk uitstekend regelen met onze software VisionManager. Een onafhankelijke certificering zoals NIS2 SC10, SC20, ISO 27001 of NEN 7510 kan aanvullend bewijs richting klanten geven, afhankelijk van de situatie.
Vraag het.
Dat klinkt misschien simpel, maar is vaak de beste eerste stap.
Neem contact op met belangrijke klanten en vraag welke eisen zij in verband met de Cyberbeveiligingswet aan leveranciers gaan stellen.
Vervolgens kun je bepalen of je huidige maatregelen voldoende zijn of dat SC10, SC20, ISO 27001 of NEN 7510 logischer is.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet in Nederland van kracht.
Ruim 8.000 organisaties vallen rechtstreeks onder de nieuwe wet. Maar doordat deze organisaties ook hun risico's in de toeleveringsketen moeten beheersen, zullen veel meer bedrijven in de praktijk gevolgen van de wet merken.
Voor leveranciers zijn vooral deze punten belangrijk:
Daarmee verandert volgens mij ook de belangrijkste vraag voor leveranciers.
Die is niet langer alleen:
“Vallen wij zelf onder NIS2?”
Maar vooral:
“Kunnen wij onze klanten aantonen dat wij een veilige en betrouwbare schakel in hun keten zijn?”
Kun je daar nog niet overtuigend ja op zeggen?
Dan hoef je niet automatisch direct ISO 27001 in te voeren.
Voor veel leveranciers kan NIS2 SC10 een praktische eerste route zijn. Is je risicoprofiel hoger, dan kan SC20 passender zijn. Vraagt je klant om een internationaal erkend ISMS, dan ligt ISO 27001 voor de hand. Werk je met persoonlijke gezondheidsinformatie of binnen de zorgketen, dan kan NEN 7510 de juiste keuze zijn.
Begin dan met onze gratis checklist. Daarmee krijg je snel inzicht in wat je al geregeld hebt en waar nog aandacht nodig is.
CTA-KNOP: DOE DE GRATIS NIS2-CHECKLIST
Wil je liever direct weten of NIS2 SC10, SC20, ISO 27001 of NEN 7510 bij je organisatie past?
BEKIJK NIS2 SC10
BEKIJK NIS2 SC20
BEKIJK ISO 27001
Of laat ons tijdens een korte demo zien wat er nodig is om informatiebeveiliging praktisch en aantoonbaar te organiseren.