Menu

Voor inkopers

Toets je leveranciers op bewijs dat bij de bron is gecontroleerd.

Vraag een leverancier om zijn about.biz-paspoort. Je ziet per feit hoe, waar en wanneer het is gecontroleerd, en de volgende keer hoef je niet opnieuw te beginnen.

Een domein of een link naar de website. Je logt in met je werkadres; alleen jij ziet het resultaat.

Lees hoe we controleren

De plicht

Wat artikel 10 van het Cyberbeveiligingsbesluit vraagt

Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb). Het tweede lid van artikel 10 luidt:

De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.

Bron:Cyberbeveiligingsbesluit, artikel 10, tweede lid

  • Beleid

    Je legt beleid voor de beveiliging van de toeleveringsketen schriftelijk vast, en past het aantoonbaar toe (eerste lid).

  • Je eigen eisen

    Je toetst tegen de beveiligingseisen die je zelf opstelt op basis van je risico's (artikel 7, vijfde lid). Het besluit schrijft geen norm voor.

  • Periodiek

    Je controleert het periodiek. Het besluit noemt geen termijn.

De nota van toelichting noemt twee middelen: “certificering van de toeleveranciers of clausules in leveringsovereenkomsten”. Een leverancier van potloden valt er volgens de toelichting buiten; een leverancier van software of hardware die relevant is voor je systemen valt erbinnen.

Bron:Stb. 2026, 189, nota van toelichting bij artikel 10

Lees de uitgebreide uitleg: hoe je je leveranciers toetst onder artikel 10

Gemeenten

PLC: drie borgingsniveaus

Op 2 oktober 2026 lanceerde de Informatiebeveiligingsdienst (IBD) Proportioneel Leveranciers- en Contractbeheer (PLC) voor gemeenten. Een gemeente deelt elke leverancier in op drie dimensies: hoe kritiek de dienst is, hoeveel toegang de leverancier heeft (ketenpositie), en hoe makkelijk de gemeente kan overstappen (digitale autonomie). Daar hoort een van drie borgingsniveaus bij. Een hoger niveau omvat alle eisen van de lagere. De gemeente bepaalt het niveau, niet de leverancier.

  1. Niveau 1

    Een aantoonbare norm, zoals ISO 27001 of een vergelijkbaar bewijs. Onder meer incidenten melden, een SBOM bij software en een meldpunt voor kwetsbaarheden gelden op elk niveau.

  2. Niveau 2

    ISO 27001 met een scope die de ingekochte dienst dekt, niet ouder dan drie jaar. Bij SaaS jaarlijks een TPM of het ISO-certificaat, en een verplicht exitplan.

  3. Niveau 3

    ISO 27001 en daarnaast een TPM (een verklaring van een onafhankelijke derde). Onder meer verwerking binnen de EER en een getest exitplan.

In onze eigen woorden, op basis van de PLC-documenten van de IBD (versie 1.0, 28 september 2026). Die documenten zijn leidend en niet overal eenduidig: de introductie noemt de TPM al bij niveau 2, de contracteisen bij niveau 3. Lees ze bij de IBD.

PLC is gepubliceerd door de VNG en de IBD onder CC BY-NC-SA 4.0. We citeren de documenten niet en nemen er geen tekst uit over.

Bron:PLC bij de IBD

Wat je krijgt

Wat je als inkoper krijgt

  • Een eerste controle, direct

    E-mail- en domeininstellingen, TLS, security.txt en een LEI als die er is. Met een KvK-nummer ook de registercontroles: inschrijving, insolventie en sancties. Alleen jij ziet de uitkomst.

  • Een uitnodiging die je zelf verstuurt

    Onze tekst en een unieke link, vanuit je eigen mailbox. Je past de tekst aan zoals je wilt. about.biz bewaart het adres niet.

  • Het paspoort van de leverancier

    Domein bewezen, certificaten gecontroleerd bij de certificatie-instelling, een vragenlijst ondertekend door iemand met naam. Elk feit met bron en datum.

  • Het zegel

    In één oogopslag welke verplichte controles kloppen, met de datum. Mislukt er iets, dan zie je het.

  • Hergebruik

    Staat de leverancier al op about.biz, dan deelt hij zijn paspoort meteen met je, als zijn instellingen dat toestaan.

  • Vastgelegd wat je toetste

    Elk feit heeft een bron en een datum. Daarmee laat je zien wat je hebt gecontroleerd, en wanneer.

Aanvragen

Zo vraag je een paspoort aan

  1. 01Log in met je werkadres. Adressen van gratis maildiensten werken niet.
  2. 02Vul het domein van de leverancier in, en als je die hebt het KvK-nummer en een contactadres.
  3. 03Bekijk de eerste controle. Die is alleen voor jou.
  4. 04Stuur het verzoek vanuit je eigen mailbox, met onze tekst en de unieke link.
Check een bedrijf

Per organisatie kun je 20 aanvragen per dag doen.

Veelgestelde vragen

Wat ziet de leverancier van mijn aanvraag?
Wie het vroeg, en de privacy-informatie waar hij recht op heeft. Hij kan bezwaar maken; dan stopt het verzoek en verwijderen we de eerste controle.
Is een ISO 27001-certificaat van een leverancier genoeg?
Dat bepaal je zelf, op basis van je eigen eisen. Het NCSC wijst erop dat een certificaat helpt, maar geen garantie is dat jouw ketenrisico is afgedekt. Controleer in elk geval of het echt is en of de scope past.
Wat als de leverancier niet reageert?
about.biz stuurt geen herinneringen. In je overzicht zie je of de link is geopend, en je volgt het zelf op vanuit je eigen mailbox.