De Cyberbeveiligingswet voor leveranciers: wat je klanten nu van je vragen

Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb) (Cbb, artikel 35). Misschien val je zelf niet onder de wet. Een deel van je klanten wel. En die moeten nu toetsen of jij aan hun beveiligingseisen voldoet.

Dit artikel legt uit waar die vragen vandaan komen, wat klanten in de praktijk vragen en hoe je ze beantwoordt zonder voor elke klant opnieuw te beginnen.

Val je zelf onder de Cyberbeveiligingswet?

Niet automatisch. De NCTV schrijft: “Leveranciers vallen door het leveren aan een organisatie die onder de Cyberbeveiligingswet valt niet automatisch zelf onder de Cyberbeveiligingswet” (NCTV, toeleveringsketen). Of je organisatie zelf onder de wet valt, hangt af van je sector en je omvang. Het NCSC heeft daar informatie en hulpmiddelen voor, en spreekt van “ruim 8.000” organisaties die onder de wet vallen (NCSC).

Val je er niet onder, dan krijg je er toch mee te maken, via je klanten. De Rijksoverheid zegt het zonder omwegen: “Ja, ook toeleveranciers kunnen gevolgen ondervinden van de Cyberbeveiligingswet” (NCTV, vragen en antwoorden).

Waarom je klant nu vragen stelt

De zorgplicht in de wet omvat “de beveiliging van de toeleveringsketen”, inclusief de relatie met rechtstreekse leveranciers en dienstverleners (Cbw, artikel 21, derde lid, onderdeel d, en vierde lid). Het besluit maakt dat concreet. Artikel 10, tweede lid, van het Cbb luidt:

“De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.” (Cbb, artikel 10)

Drie dingen vallen op.

1. Het gaat om de eisen van je klant zelf. Artikel 7, vijfde lid, verwijst naar de beveiligingseisen die je klant opstelt op basis van zijn eigen overzicht van risico's. De wet schrijft geen vaste norm voor leveranciers voor; het NCSC zegt over normenkaders letterlijk: “Maar de Cbw schrijft dit niet voor” (NCSC, de Cyberbeveiligingswet en toeleveranciers). Daarom vraagt elke klant net iets anders.
2. Het gaat om leveranciers die ertoe doen voor de systemen van je klant. De toelichting geeft zelf het voorbeeld: “De relatie met een leverancier van potloden zal bijvoorbeeld buiten de reikwijdte van de verplichtingen vallen”, terwijl een software- of hardwareleverancier die relevant is voor de systemen er wel onder valt (nota van toelichting bij artikel 10). Het NCSC noemt drie situaties waarin je waarschijnlijk in de risicoanalyse van je klant terechtkomt: je levert producten of diensten die samenhangen met de netwerk- en informatiesystemen van je klant, je levert een ICT-onderdeel van die systemen, of je hebt er toegang toe. Het NCSC merkt daarbij op dat deze criteria niet letterlijk in de wet staan (NCSC).
3. Het is niet eenmalig. “De entiteit controleert dit periodiek.” Reken erop dat dezelfde klant terugkomt.

Wat klanten in de praktijk vragen

De toelichting bij artikel 10 noemt twee manieren om te toetsen: “certificering van de toeleveranciers of clausules in leveringsovereenkomsten” (nota van toelichting). In de praktijk komt het neer op vier soorten verzoeken.

1. Een vragenlijst

De meeste klanten beginnen met vragen. Er is geen officiële vragenlijst van de overheid. Het NCSC raadt organisaties aan om bestaande vragenlijsten te gebruiken en die aan te passen aan hun eigen informatiebehoefte, en noemt initiatieven als CYRA en NIS2 Supply Chain als vertrekpunt (NCSC, weerbaarheid van leveranciers).

Verwacht dus verschillende formats met grotendeels dezelfde onderwerpen: wie bij jou verantwoordelijk is voor beveiliging, hoe je toegang en inlogmethoden regelt, back-ups, updates, incidenten, waar data staat en welke onderaannemers je gebruikt.

2. Een certificaat of verklaring

Vaak gevraagd: ISO 27001, in de zorg NEN 7510, het NIS2 Supply Chain-certificaat (niveaus SC10, SC20 en SC30, nis2supplychain.eu), of een ISAE 3402- of TPM-verklaring.

Twee kanttekeningen, allebei uit primaire bronnen.

• Geen enkel certificaat is wettelijk verplicht voor leveranciers. Volgens het NCSC kan een certificaat helpen in het gesprek, maar “biedt het geen garantie dat het geïnventariseerde ketenrisico ook daadwerkelijk hiermee afgedekt is”. Een toezichthouder gaat leveranciers ook “geen boetes opleggen voor het niet hebben van een certificaat of keurmerk” (NCSC). Over keurmerken uit de markt zegt de Rijksoverheid: “Keurmerken hebben echter geen zelfstandige status in relatie tot het voldoen aan de wettelijke vereisten” (NCTV, vragen en antwoorden).
• Sommige sectoren denken in vaste normen. Zorgorganisaties onder de Cbw moeten zelf aantoonbaar voldoen aan NEN 7510, aan NEN-ISO-IEC 27001 en 27002, of aan een gelijkwaardig beschermingsniveau (Cyberbeveiligingsregeling voor de zorg, artikel 2.1). Overheidsorganisaties die als essentiële entiteit onder de wet vallen, passen ISO/IEC 27001 toe, gebruiken ten minste de beheersmaatregelen uit ISO/IEC 27002:2022, en nemen ten minste de voor hen relevante maatregelen uit de Baseline Informatiebeveiliging Overheid 2 (BIO2, versie 1.3) op (Cyberbeveiligingsregeling sector overheid, artikelen 3 en 5). Die regels gelden voor je klant, niet voor jou. Maar verwacht dat zulke klanten hun vragen in dezelfde termen stellen.

3. Afspraken in het contract

Klanten willen afspraken vastleggen. De NCTV noemt “afspraken over de beveiligingsmaatregelen, het melden van incidenten”, en afspraken over kwetsbaarheden en continuïteit (NCTV). Het NCSC raadt aan zulke afspraken vast te leggen in een SLA of een Dossier Afspraken en Procedures (DAP), en ze meetbaar en eenduidig te maken (NCSC).

Lever je aan een cloudaanbieder, een datacenter, een managed service provider of een van de andere digitale dienstverleners uit artikel 4 van het Cbb? Dan volgt je klant rechtstreeks de Europese Uitvoeringsverordening (EU) 2024/2690. Die somt op wat contracten met leveranciers moeten regelen (Uitvoeringsverordening 2024/2690, bijlage, punt 5.1.4):

• cyberbeveiligingseisen;
• eisen aan bewustzijn, vaardigheden en opleiding, en waar passend certificaten, van je medewerkers;
• controle van de achtergrond van medewerkers;
• de plicht om incidenten die de systemen van je klant raken “onverwijld” te melden;
• “het recht op controle of het recht om auditverslagen te ontvangen”;
• het aanpakken van kwetsbaarheden;
• eisen aan onderaanneming;
• verplichtingen bij het einde van het contract.

Zulke klanten houden ook een register bij van hun directe leveranciers, met contactpunten per leverancier (punt 5.2). Verwacht dus de vraag naar een vast beveiligingscontact.

4. Gemeenten: PLC en GIBIT

Lever je IT aan gemeenten? Op 2 oktober 2026 lanceerde de Informatiebeveiligingsdienst (IBD) Proportioneel Leveranciers- en Contractbeheer (PLC). Gemeenten delen leveranciers daarmee in op “dienstkritiek, ketenpositie en digitale autonomie” en koppelen daar een van drie borgingsniveaus aan, verankerd in de GIBIT-contractvoorwaarden (IBD). Bij de contractering noemt de IBD onder meer een SBOM, een exitplan, een TPM, controlerecht, incidentmelding en continuïteitsafspraken (IBD, PLC).

Een hoger niveau omvat alle eisen van de lagere. Voor het bewijs van een norm vragen de contracteisen van PLC, in onze woorden (IBD, Contracteisen PLC, versie 1.0):

• niveau 1: een aantoonbare norm, zoals een ISO 27001-certificaat of een vergelijkbaar bewijsmiddel;
• niveau 2: een ISO 27001-certificaat waarvan de scope de ingekochte dienst dekt, niet ouder dan drie jaar;
• niveau 3: daarnaast een TPM, een verklaring van een onafhankelijke derde.

De PLC-documenten zijn op dit punt niet eenduidig: de introductie noemt de TPM al bij niveau 2. De gemeente bepaalt het niveau, niet de leverancier.

De VNG publiceerde op 2 maart 2026 de GIBIT 2025, de Gemeentelijke Inkoopvoorwaarden bij IT (VNG).

Wat je nu kunt doen

1. Weet bij welke klanten je ertoe doet. Maak een lijst van klanten die onder de Cbw vallen en waar jouw product of dienst raakt aan hun systemen. Daar komen de vragen vandaan, en daar loont het om voorbereid te zijn.

2. Zet de basis op orde. Het NCSC verwijst toeleveranciers naar de vijf basisprincipes voor digitale weerbaarheid en naar de Basisscan Cyberweerbaarheid (NCSC, toeleveranciers van Cbw-organisaties).

Heb je een klein bedrijf, tot en met 50 werknemers en met een jaaromzet van maximaal € 10 miljoen? Dan kun je tot maandag 30 november 2026, 17:00 uur, bij RVO subsidie aanvragen voor maatregelen zoals tweestapsverificatie, patchbeheer en back-ups. De subsidie is 50 procent van de kosten, met een maximum van € 1.250. Je hebt het advies van de CyberVeilig Check nodig, en certificeringskosten zoals ISO 27001 vallen erbuiten. Het totale budget is € 1 miljoen; is het op een dag overschreden, dan beslist loting (RVO, Mijn cyberweerbare zaak).

3. Leg één dossier aan. De vragen van klanten overlappen grotendeels. Verzamel daarom één keer:

• je certificaten, met scope en vervaldatum;
• je beveiligingscontactpersoon;
• je incidentprocedure;
• je back-upbeleid;
• de datum van je laatste pentest;
• waar je data staat;
• je onderaannemers;
• je exitplan.

Noteer bij elk stuk wanneer je het hebt vastgesteld. Dan hoef je bij de volgende vragenlijst niet opnieuw te zoeken.

4. Controleer wat iedereen van buiten kan zien. Klanten en hun hulpmiddelen kijken naar je domein.

• security.txt: heb je er een, met in elk geval een contactadres en een vervaldatum? Volgens het NCSC zijn dat de twee verplichte velden (NCSC).
• E-mail: zijn SPF en DMARC voor je e-maildomein ingesteld?

Met onze gratis controle zie je beide in één keer. Het NCSC verwijst voor een volledige test naar internet.nl.

5. Zoek het gesprek. Het NCSC raadt toeleveranciers aan om zelf de dialoog op te zoeken, te begrijpen wat de klant verwacht, en extra afspraken over audits, incidentmeldingen en updates vast te leggen in een contract of SLA (NCSC). Is een vraag vaag of zwaar? Vraag dan naar het risico erachter. De maatregelen die je klant neemt, moeten “passende en evenredige” maatregelen zijn (NCSC).

6. Reken op herhaling. Je klant moet periodiek opnieuw controleren. Houd je dossier actueel, en let vooral op vervaldatums van certificaten en van je security.txt.

Veelgestelde vragen

Moet ik ISO 27001 halen? De wet verplicht dat niet. Je klant kan het wel vragen, als onderdeel van zijn eigen eisen. Vraag welk risico hij ermee wil afdekken; soms volstaat ander bewijs.

Kan een klant overstappen als ik niet voldoe? De toelichting bij artikel 10 noemt dat als mogelijkheid voor de klant, naast het heronderhandelen van het contract of een aanvullend contract (nota van toelichting).

Geldt een keurmerk als bewijs van naleving? Nee. Keurmerken hebben volgens de Rijksoverheid “geen zelfstandige status” ten opzichte van de wettelijke eisen (NCTV). Je klant beslist wat hij als bewijs accepteert.

Waar about.biz past

about.biz is een leverancierspaspoort. Je legt je antwoorden en je bewijs één keer vast en deelt ze met een link met elke klant die erom vraagt. Bij elk feit staat hoe, waar en wanneer het is gecontroleerd:

• je domein via DNS;
• een certificaat bij de certificatie-instelling die het afgaf;
• je antwoorden op de vragenlijst, ondertekend door iemand van je bedrijf, met naam.

Wat niet te controleren is, staat er als “opgegeven”. Zo maakt about.biz je bewijs herbruikbaar: je levert het één keer, en elke klant ziet waar en wanneer het is gecontroleerd.

Lees hoe je een paspoort maakt, of controleer je security.txt. Ben je zelf de klant? Lees dan hoe je je leveranciers toetst onder artikel 10.