Ketenzorgplicht onder de Cbw: hoe toets je je leveranciers (Cbb art. 10)

Het woord “ketenzorgplicht” staat niet in de wet. Samen Digitaal Veilig gebruikt het (SDV), anderen spreken van ketenverantwoordelijkheid of leveranciersmanagement. De Cyberbeveiligingswet zelf heeft het over “de beveiliging van de toeleveringsketen” (Cbw, artikel 21, derde lid, onderdeel d). Wat dat in de praktijk van je vraagt, staat in artikel 10 van het Cyberbeveiligingsbesluit (Cbb), dat sinds 15 augustus 2026 geldt.

Dit artikel legt uit wat er staat, voor wie het geldt, en hoe je het in acht stappen uitvoert.

Wat artikel 10 zegt

Het eerste lid:

“De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van de toeleveringsketen. De entiteit bepaalt in dat beleid haar omgang met afhankelijkheden van de producten en diensten van haar leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.”

Het tweede lid:

“De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.”

(Cbb, artikel 10)

Dat zijn drie plichten.

1. Beleid. Schriftelijk vastgelegd, en aantoonbaar toegepast.
2. Toetsen tegen je eigen eisen. Artikel 7, vijfde lid, vraagt je om op basis van je overzicht van risico's beveiligingseisen te formuleren. Volgens de toelichting gebruik je die eisen “waar mogelijk” bij artikel 10 (nota van toelichting bij artikel 7). Het besluit schrijft dus geen standaard voor waartegen je toetst. Jouw risicoanalyse bepaalt de maat.
3. Periodiek controleren. Het besluit noemt geen termijn.

De nota van toelichting bij artikel 10 vult dit op drie punten in (Stb. 2026, 189):

• Reikwijdte. “De relatie met een leverancier van potloden zal bijvoorbeeld buiten de reikwijdte van de verplichtingen vallen.” Een softwareleverancier of een leverancier van hardware die relevant is voor je systemen valt er wel onder.
• Middelen. “De entiteit kan dit bijvoorbeeld beoordelen door certificering van de toeleveranciers of clausules in leveringsovereenkomsten.”
• Als het niet goed is. Je beoordeelt of aanvullende maatregelen mogelijk zijn: “Gedacht kan worden aan het heronderhandelen van contracten, het afsluiten van een aanvullend contract of het overstappen naar een andere leverancier of dienstverlener.”

Geldt artikel 10 voor jou, of de Europese verordening?

Voor een aantal digitale dienstverleners gelden de artikelen 6 tot en met 18 van het Cbb niet, omdat zij rechtstreeks onder de Uitvoeringsverordening (EU) 2024/2690 vallen (Cbb, artikel 4):

• DNS-dienstverleners en registers voor topleveldomeinnamen;
• aanbieders van cloudcomputingdiensten, datacentrumdiensten en netwerken voor de levering van inhoud;
• aanbieders van beheerde diensten en van beheerde beveiligingsdiensten;
• onlinemarktplaatsen, onlinezoekmachines en platforms voor socialenetwerkdiensten;
• verleners van vertrouwensdiensten.

De bijlage van die verordening is concreter dan artikel 10 (Uitvoeringsverordening 2024/2690, bijlage, punten 5.1.4 en 5.2). Contracten met leveranciers moeten onder meer regelen:

• cyberbeveiligingseisen;
• eisen aan opleiding en, waar passend, certificaten van medewerkers;
• achtergrondcontroles;
• het onverwijld melden van incidenten;
• “het recht op controle of het recht om auditverslagen te ontvangen”;
• het aanpakken van kwetsbaarheden;
• eisen aan onderaannemers;
• afspraken bij beëindiging.

Daarnaast houd je een register bij van directe leveranciers, met contactpunten en de ICT-producten en -diensten die ze leveren.

Val je onder artikel 10? Dan is die lijst geen verplichting, maar wel een bruikbare checklist.

In acht stappen

1. Breng je rechtstreekse leveranciers in kaart

Het NCSC noemt drie bronnen (NCSC, rechtstreekse leveranciers in kaart):

• een bestaand leveranciersoverzicht van inkoop;
• je financiële gegevens over het afgelopen jaar;
• je assets, bijvoorbeeld in een asset managementsysteem of een CMDB.

Spreek af wie het overzicht actueel houdt.

2. Bepaal welke leveranciers ertoe doen

Niet elke leverancier hoeft dezelfde toets. Het NCSC adviseert te prioriteren op drie punten:

• leveranciers die belangrijk zijn voor je tien belangrijkste te beschermen belangen;
• leveranciers met toegang tot vertrouwelijke systemen of data;
• leveranciers waarmee je slechte ervaringen of incidenten hebt gehad.

En: “Begin klein (bijvoorbeeld met tien belangrijke leveranciers) en bouw het programma steeds verder uit” (NCSC, weerbaarheid van leveranciers).

Gemeenten hebben sinds 2 oktober 2026 een eigen model: PLC van de IBD. Dat deelt leveranciers in op “dienstkritiek, ketenpositie en digitale autonomie” en koppelt daar een van drie borgingsniveaus aan (IBD).

3. Formuleer je eisen per risicoklasse

Leg per klasse vast wat je verwacht (artikel 7, vijfde lid). Houd het proportioneel. Het NCSC: “Zorg ervoor dat de afspraken die jij met een leverancier maakt proportioneel en realistisch zijn.” Bouw ook geen vragenlijst vanaf nul: het NCSC raadt aan bestaande vragenlijsten te gebruiken, zoals die van CYRA en NIS2 Supply Chain, en ze aan te passen (NCSC).

Proportionaliteit is ook een kwestie van haalbaarheid. Het mkb-panel bij het besluit schreef: “De panelleden signaleren dat de kleinere toeleveranciers van hun ondernemingen moeilijk aan de eisen met betrekking tot de beveiliging van de toeleveringsketen zullen kunnen voldoen.” De regering antwoordde dat de artikelen over de toeleveringsketen “alleen van toepassing [zijn] op de leveranciers die van invloed zijn op de netwerk- en informatiesystemen van een organisatie” (nota van toelichting, §3.4).

4. Vraag bewijs, en controleer het bij de bron

Niet elk bewijs weegt even zwaar. Maak onderscheid tussen drie soorten.

• Te controleren bij een bron. Een certificaat bij de instelling die het afgaf, de inschrijving in het Handelsregister, een DNS-record op het domein van de leverancier. Controleer het zelf, of laat zien wie het heeft gecontroleerd en wanneer. Hoe je een ISO 27001-certificaat controleert, lees je in een ISO 27001-certificaat controleren.
• Verklaard door een persoon. Antwoorden op een vragenlijst. Laat ze ondertekenen door iemand die er bij de leverancier op aangesproken kan worden, met naam en datum.
• Niet publiek te controleren. Een SOC 2-rapport kun je lezen als de leverancier het met je deelt, maar er is geen openbaar register waarin je het kunt nagaan.

Weeg certificaten en keurmerken op hun werkelijke waarde.

• Het NCSC: “Een ISO 27001-certificering bevat geen evaluatie van de weerbaarheid an sich” (NCSC).
• De Rijksoverheid over keurmerken uit de markt: “Keurmerken hebben echter geen zelfstandige status in relatie tot het voldoen aan de wettelijke vereisten” (NCTV, vragen en antwoorden).

Een certificaat is een goed begin, geen eindoordeel.

5. Leg afspraken vast in het contract

De toelichting noemt clausules in leveringsovereenkomsten als middel. De lijst uit punt 5.1.4 van de Uitvoeringsverordening (zie hierboven) is daarvoor een volledige checklist. Het NCSC raadt aan afspraken over beveiliging en onderhoud vast te leggen in een SLA of een Dossier Afspraken en Procedures, meetbaar en eenduidig (NCSC).

Gemeenten gebruiken voor IT-contracten de GIBIT, de Gemeentelijke Inkoopvoorwaarden bij IT (VNG). De VNG publiceerde de GIBIT 2025 op 2 maart 2026 (VNG), en de borgingsniveaus van PLC zijn verankerd in de GIBIT-contractvoorwaarden (IBD).

6. Houd vast wat je hebt getoetst

Artikel 10 vraagt dat je je beleid “aantoonbaar” toepast. Leg daarom per leverancier vast:

• welke eisen golden;
• welk bewijs je kreeg;
• waar en wanneer je het controleerde;
• wat de uitkomst was;
• wanneer de volgende controle is.

Voor de entiteiten uit artikel 4 is een register van directe leveranciers verplicht (punt 5.2 van de verordening). Voor anderen is het de eenvoudigste manier om te laten zien dat je toetst.

7. Controleer periodiek

Het besluit zegt “periodiek” en noemt geen termijn. Het NCSC houdt het leveranciersoverzicht “doorgaans ten minste één keer per jaar” bij, en vaker als actuele ontwikkelingen daar aanleiding toe geven (NCSC). Controleer ook tussendoor bij:

• een certificaat dat verloopt;
• een incident;
• een wijziging in de dienst;
• een nieuwe onderaannemer.

8. Als een leverancier tekortschiet

Kijk eerst wat proportioneel is. De toelichting noemt drie wegen: het contract heronderhandelen, een aanvullend contract sluiten, of overstappen naar een andere leverancier (nota van toelichting). Leg het besluit en de reden vast, zoals bij stap 6.

Vijf fouten die we vaak zien

1. Iedere leverancier dezelfde lange vragenlijst sturen. Dat kost hen veel en levert jou weinig op.
2. Een certificaat-pdf accepteren zonder te controleren welke instelling het afgaf, wat de scope is en of het nog geldig is.
3. Een keurmerk behandelen als bewijs van naleving van de wet.
4. Eén keer toetsen en het daarna laten liggen.
5. Vastleggen dát je hebt getoetst, maar niet wát, hoe en wanneer.

Waar about.biz past

Op about.biz vraag je het paspoort van een leverancier aan met zijn domeinnaam.

• Eerst de voorcontrole. about.biz controleert direct wat zonder medewerking kan: de e-mail- en domeininstellingen, TLS en security.txt. Met een KvK-nummer doet het ook registercontroles. Alleen jij ziet die uitkomst.
• Dan de leverancier. Je nodigt de leverancier uit om zijn paspoort één keer in te vullen:
  • certificaten controleert about.biz bij de certificatie-instelling;
  • de vragenlijst wordt ondertekend door iemand van de leverancier, met naam.
• Elk feit krijgt bron en datum. Wat niet te controleren is, staat er als “opgegeven”. Dat helpt bij stap 4, 6 en 7.

De eisen en het oordeel blijven van jou. about.biz levert het bewijs, per feit met de bron en de datum, zodat je toets herhaalbaar en uitlegbaar is.

Lees wat je als inkoper krijgt, of controleer een ISO-certificaat.