Wat NIS2 voor u verandert als u leverancier bent van een grote onderneming

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. Een fictieve kmo met twaalf medewerkers onderhoudt al jaren de printers en kopieerapparaten van een grote groep. Op een ochtend stuurt de aankoopdienst van de klant een rekenblad met 80 vragen over informatiebeveiliging, terug te sturen binnen dertig dagen, met een vetgedrukte zin: ‘In het kader van onze NIS2-verplichtingen’. De zaakvoerder heeft nog nooit van NIS2 gehoord. Hij vraagt zich af of hij nu onder een wet valt die hij niet kent.

Het korte antwoord: niet noodzakelijk. Maar zijn klant valt er wel onder, en de wet vraagt die klant om ervoor te zorgen dat zijn leveranciers geen toegangspoort voor hackers zijn. Via die weg, het contract, komt NIS2 bij de meeste kmo's binnen.

Waarom uw klant u die vragen stelt

NIS2 is een Europese richtlijn over cyberbeveiliging. In België werd ze omgezet door de wet van 26 april 2024, die sinds 18 oktober 2024 van kracht is, en het Centrum voor Cybersecurity België (CCB) is de bevoegde autoriteit. Ze richt zich vooral op organisaties met minstens 50 voltijdse werknemers, of met een omzet en een balanstotaal boven 10 miljoen euro, in welbepaalde sectoren: energie, gezondheidszorg, vervoer, industrie, digitale diensten en andere.

Bij de minimale maatregelen die deze organisaties moeten nemen, noemt de richtlijn (artikel 21) uitdrukkelijk ‘de beveiliging van de toeleveringsketen’, dus de beveiliging van de relaties met hun rechtstreekse leveranciers en dienstverleners. Ze moeten rekening houden met de zwakke punten van elke leverancier en met de kwaliteit van diens beveiligingspraktijken. De overwegingen van de richtlijn gaan nog verder: deze organisaties worden aangespoord om cyberbeveiligingsmaatregelen in hun contracten op te nemen.

Het CCB zegt het eenvoudig op zijn pagina over NIS2: een organisatie die buiten het toepassingsgebied van de wet valt, kan toch cyberbeveiligingsmaatregelen moeten nemen ‘op grond van een contractuele verplichting’, omdat ze deel uitmaakt van de toeleveringsketen van een NIS2-entiteit.

Het tijdpad verklaart waarom het nu snel gaat. Volgens het CCB hadden essentiële entiteiten die het Belgische CyberFundamentals-referentiekader volgen op de niveaus Basic of Important tot 18 april 2026 om hun maatregelen te laten verifiëren door een onafhankelijke instantie. Omdat de beveiliging van de toeleveringsketen tot de minimale maatregelen van de wet behoort, kloppen die organisaties nu bij u aan.

De drie vormen die de vraag aanneemt

• Een beveiligingsvragenlijst. Vaak een rekenblad met tientallen vragen: tweestapsverificatie, back-ups, updates, incidentbeheer, opleiding van het personeel.
• Een bewijs. Een erkend label of een erkende certificering, zoals het CyberFundamentals-label of de ISO 27001-norm (een internationale norm die bevestigt dat een bedrijf zijn informatiebeveiliging methodisch beheert, nagekeken door een externe auditor), waarmee u soms een deel van de vragenlijst kunt overslaan.
• Clausules in het contract. Termijn om een incident te melden, auditrecht, regels voor uw eigen onderaannemers, wat er met de gegevens gebeurt na afloop van het contract.

Alle drie kunnen tegelijk komen, bij een contractverlenging of een aanbesteding. Een vaag antwoord kan volstaan om u uit de boot te laten vallen: de klant moet kunnen aantonen dat hij zijn leveranciers heeft beoordeeld.

De vragenlijst: wat men u echt zal vragen

Elke klant heeft zijn eigen model, maar de thema's volgen de minimale maatregelen die de richtlijn opsomt. Dit zijn de vragen die het vaakst terugkomen, en wat u moet kunnen tonen.

Tweestapsverificatie, die als eerste genoemd wordt, betekent dat er naast het wachtwoord ook een code of een bevestiging op de telefoon gevraagd wordt: met een gestolen wachtwoord alleen komt niemand nog binnen.

De gouden regel: antwoord naar waarheid. Een ‘ja’ dat u niet waarmaakt, bindt uw bedrijf als er een incident gebeurt. Schrijf liever ‘gedeeltelijk, in uitvoering, gepland voor maart’ dan een ‘ja’ dat u niet kunt bewijzen. Een klant weet dat een kmo niet de middelen van een bank heeft; hij verwacht vooral eerlijkheid en een plan met data.

Bewaar uw antwoorden in één document, met de bewijzen ernaast. De vragenlijst van de volgende klant gaat grotendeels over dezelfde thema's.

De clausules die u moet lezen vóór u tekent

Wie wil weten hoe die clausules eruitzien, vindt de meest precieze Europese tekst in uitvoeringsverordening 2024/2690. Ze geldt voor de digitale leveranciers die onder NIS2 vallen, zoals hostingbedrijven en aanbieders van beheerde IT-diensten, en geeft een goed beeld van wat grote organisaties vragen. Ze bepaalt dat de contracten met leveranciers, waar passend, het volgende vastleggen:

• de cyberbeveiligingseisen die aan de leverancier worden opgelegd;
• de eisen inzake opleiding en, in voorkomend geval, certificering van zijn personeel;
• de antecedentenonderzoeken van dat personeel;
• de verplichting om een incident dat de klant bedreigt onverwijld te melden;
• het recht op controle, of het recht om auditverslagen te ontvangen;
• het aanpakken van beveiligingslekken die de klant kunnen raken;
• de regels voor uw eigen onderaannemers en wat er van hen verwacht wordt;
• wat er gebeurt bij het einde van het contract: teruggave en vernietiging van de informatie.

Kijk vóór u tekent naar drie punten. De meldingstermijn: ‘onverwijld’ is haalbaar, ‘binnen het uur, dag en nacht’ zelden voor een klein team. Het auditrecht: wie betaalt, hoe lang op voorhand een audit aangekondigd wordt, hoe vaak per jaar. De aansprakelijkheid: een clausule die u aansprakelijk stelt voor alle schade van de klant na een incident, laat u best nalezen door uw advocaat, en verwittig ook uw verzekeraar.

Verwerkt u persoonsgegevens voor uw klant (klantenbestanden, personeelsdossiers, patiëntgegevens), dan verplicht de GDPR u al tot een verwerkersovereenkomst (artikel 28) en moet u elke inbreuk in verband met persoonsgegevens aan uw klant melden ‘zonder onredelijke vertraging’ (artikel 33). De NIS2-clausules vullen dat bestaande contract vaak aan.

Welk niveau nastreven: de CyberFundamentals

Het CCB raadt elke organisatie die in de toeleveringsketen van een NIS2-entiteit kan zitten aan om minstens het niveau Basic van het CyberFundamentals-referentiekader (CyFun) toe te passen, de lijst met beveiligingsmaatregelen die de Belgische overheid publiceert. Het CCB preciseert dat een NIS2-entiteit theoretisch een CyFun-niveau kan opleggen aan haar rechtstreekse leveranciers.

De weg naar het label volgt vier stappen die het CCB publiceert: uw niveau kiezen met de selectietool, de zelfevaluatie invullen en de tekortkomingen wegwerken, het geheel laten verifiëren door een erkende conformiteitsbeoordelingsinstantie, en dan het label aanvragen op het portaal Safeonweb@Work. In oktober 2025 is een nieuwe versie van het referentiekader verschenen; de versies 2023 en 2025 bestaan naast elkaar tot 18 april 2027.

Het label is niet noodzakelijk de eerste stap, tenzij een klant het eist. Als u de zelfevaluatie Basic invult, zelfs zonder externe verificatie, hebt u al het grootste deel van de antwoorden op de vragenlijsten van uw klanten.

Wat u maandagochtend doet

1. Maak een lijst van uw klanten die onder NIS2 vallen of kunnen vallen: grote groepen, ziekenhuizen, energie, vervoer, industrie.
2. Wijs één persoon aan die vragenlijsten en antwoorden centraliseert, met de hulp van uw IT-dienstverlener.
3. Schakel tweestapsverificatie in op de mail en op alle toegang op afstand: dat is bijna altijd de eerste vraag.
4. Test een herstel van een back-up en noteer de datum en het resultaat.
5. Schrijf uw incidentprocedure op één pagina: wie u belt, wie de klant verwittigt, binnen welke termijn.
6. Download de CyberFundamentals-zelfevaluatie op niveau Basic en vul ze eerlijk in.
7. Lees uw lopende en komende contracten na: meldingstermijn, audit, aansprakelijkheid, einde van het contract.

NIS2 lijkt misschien iets voor grote bedrijven. Voor een leverancier is het vooral een kans om maatregelen op orde te zetten die ook hemzelf beschermen, en om klanten gerust te stellen die belangrijk zijn.

Uw antwoorden aan klanten voorbereiden→