Op 15 augustus 2026 werd je wakker met een wet die al gold. De Cyberbeveiligingswet (Cbw, de Nederlandse invulling van NIS2) is die dag in werking getreden, zonder algemene overgangstermijn. Alleen instellingen in het hoger onderwijs kregen drie jaar. Circa 8.000 tot 10.000 organisaties zijn direct verplicht, en registratie in het entiteitenregister via het NCSC is vanaf die datum verplicht. Als je leidinggevende nu vraagt of je leveranciers op orde zijn, is dat geen theoretische vraag meer.
Dit stuk is een verdieping op een eerder artikel over NIS2 en contractmanagement. De focus verschuift van “wat moet je doen” naar “hoe toon je aan dat je het gedaan hebt”. Want dat is waar de meeste organisaties nu vastlopen: NIS2 ketenverantwoordelijkheid is geen kwestie van weten, maar van aantoonbaar weten.
Wat betekent NIS2 ketenverantwoordelijkheid concreet?
NIS2 ketenverantwoordelijkheid houdt in dat je niet alleen je eigen beveiliging op orde hebt, maar aantoonbaar de cyberrisico’s uit je leveranciersketen beheerst. Je moet weten welke leveranciers er zijn, welke beveiligings- en continuiteitseisen in de uitbestede contracten staan, en welke afspraken openstaan. Het gaat om aantoonbaarheid: kun je het laten zien als een toezichthouder ernaar vraagt?
Toezicht is in Nederland sectorafhankelijk belegd. Afhankelijk van je organisatie krijg je te maken met de RDI, DNB, AFM, IGJ, ILT of NVWA. De onderliggende vraag is bij elke toezichthouder dezelfde. Weet je welke partijen toegang hebben tot je systemen en processen, en heb je dat contractueel geborgd?
Welke leveranciers moet je nu echt beoordelen?
Prioriteer op toegang en impact, niet op contractwaarde. Een schoonmaakbedrijf dat ’s nachts alle sloten opent kan een groter risico vormen dan een dure softwareleverancier zonder toegang tot gevoelige data. Ketenverantwoordelijkheid gaat over digitale én fysieke toegang.
De leveranciers die je als eerste tegen het licht houdt:
- ICT-leveranciers, SaaS-partijen en hosting: toegang tot systemen, netwerken en data
- Beveiliging en toegangscontrole: fysieke toegang tot gebouwen en installaties
- Schoonmaak: vaak buiten kantooruren, met sleutels of pasjes voor het hele pand
- Technisch beheer en installatietechniek: toegang tot kritieke infrastructuur zoals klimaat, stroom en toegangssystemen
Een FM-manager met schoonmaak, beveiliging en techniek uitbesteed heeft hier het meeste werk. Fysieke toegang valt namelijk óók onder ketenverantwoordelijkheid, en dat besef komt bij veel organisaties laat. Begin met een korte lijst kritieke leveranciers en breid daarna pas uit. Alle 200 contracten tegelijk opnieuw doorspitten werkt niet.
Welke eisen horen aantoonbaar in het contract te staan?
Een contract dat alleen prijs en dienst regelt, is voor NIS2 ketenverantwoordelijkheid niet genoeg. Zes elementen horen concreet vastgelegd te zijn per kritieke leverancier:
- Beveiligingseisen: welk niveau van informatiebeveiliging de leverancier aantoonbaar hanteert, bijvoorbeeld een certificering zoals ISO 27001
- Incidentmelding: binnen welke termijn de leverancier een cyberincident of datalek bij je moet melden, en via welk kanaal
- Auditrecht: het recht om de beveiliging van de leverancier te toetsen of te laten toetsen
- Continuiteitsafspraken: wat er gebeurt bij uitval, en welke hersteltijden gelden
- Subverwerkers: welke onderaannemers de leverancier inschakelt en of die aan dezelfde eisen voldoen
- Exit: hoe data en toegang worden teruggegeven of vernietigd bij het einde van het contract
De valkuil zit in de tijd. Beveiligingsclausules die in 2021 zijn afgesproken staan niet vanzelf in het verlengde of geherziene contract van 2026. Bij een aanbesteding of verlenging moet je actief controleren of deze eisen nog aanwezig en actueel zijn.
Het echte probleem: je weet het wel, maar kun je het laten zien?
Neem een contractmanager bij een zorginstelling met 200 lopende contracten. De contracten staan verspreid over Excel, een documentmanagementsysteem en de mailbox van een collega die inmiddels weg is. De vraag “welke van deze contracten hebben eigenlijk een incidentmeldplicht?” is niet in vijf minuten te beantwoorden. Het wordt handwerk, elke keer opnieuw.
Dat is precies het gat tussen weten en aantoonbaar weten. De meeste organisaties dénken hun leveranciers te kennen. Maar zodra een toezichthouder vraagt om een actueel overzicht van leveranciers, contractuele eisen en openstaande acties, begint het zoeken in vier of vijf bronnen. Tegen de tijd dat je het beeld compleet hebt, is de vraag alweer verouderd.
Grip op de contractkant van je zorgplicht
Belangrijk om helder te zijn: GRIP maakt niemand NIS2-compliant. GRIP is geen cybersecuritytool en geen compliancesysteem. NIS2 raakt techniek, processen, governance en meer. GRIP pakt één specifiek deel: de contractkant van de zorgplicht.
In het Contract Dashboard van GRIP staat in één overzicht welke leveranciers er zijn, welke eisen in de contracten staan en welke afspraken nog openstaan. De AI-assistent Kaia leest contractdocumenten in en herkent waar clausules over incidentmelding, auditrecht of continuiteit staan, ook in contracten van tientallen pagina’s. Zo wordt de ketenvraag beantwoordbaar zonder handmatig doorspitten. Gebruikers besparen gemiddeld 30% op contractadministratie, mits het gestructureerd wordt opgepakt.
Behandel ketenverantwoordelijkheid niet als een eenmalig project maar als een vaste cyclus. Leveranciers wisselen, contracten worden verlengd, subverwerkers veranderen. Zet de herbeoordeling van kritieke contracten als terugkerende actie in je dashboard, zodat de eisen actueel blijven en openstaande punten niet verdampen tot de volgende toezichtvraag.
Veelgestelde vragen
Wat is NIS2 ketenverantwoordelijkheid?
NIS2 ketenverantwoordelijkheid betekent dat je organisatie aantoonbaar de cyberrisico’s uit haar leveranciersketen beheerst. Je moet weten welke leveranciers toegang hebben tot systemen, data of gebouwen, welke beveiligings- en continuiteitseisen in de contracten staan en welke afspraken openstaan.
Sinds wanneer geldt de Cyberbeveiligingswet in Nederland?
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden, gepubliceerd in Staatsblad 2026, 189. Er is geen algemene overgangstermijn. De enige uitzondering is het hoger onderwijs, dat drie jaar krijgt.
Valt schoonmaak onder NIS2?
Schoonmaak kan onder ketenverantwoordelijkheid vallen wanneer de leverancier fysieke toegang heeft tot gebouwen en installaties, bijvoorbeeld met sleutels of pasjes buiten kantooruren. Fysieke toegang telt mee, niet alleen digitale toegang.
Welke eisen moet ik in leverancierscontracten opnemen?
Neem voor kritieke leveranciers minimaal op: beveiligingseisen, een termijn voor incidentmelding, auditrecht, continuiteitsafspraken, afspraken over subverwerkers en een exit-regeling voor data en toegang. Controleer bij verlenging of deze eisen nog actueel zijn.
Hoeveel organisaties zijn direct verplicht onder de Cyberbeveiligingswet?
Circa 8.000 tot 10.000 organisaties zijn direct verplicht. Zij moeten zich vanaf 15 augustus 2026 registreren in het entiteitenregister via het NCSC. Toezicht is sectorafhankelijk en ligt onder meer bij RDI, DNB, AFM, IGJ, ILT en NVWA.
Maakt GRIP mijn organisatie NIS2-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand NIS2-compliant. GRIP geeft grip op de contractkant van de zorgplicht: één overzicht van leveranciers, contractuele eisen en openstaande acties, zodat je die kant aantoonbaar op orde hebt.
Hoe houd ik de contractuele eisen actueel?
Zet de herbeoordeling van kritieke contracten als terugkerende actie in je contractdashboard. Leveranciers, subverwerkers en contracten veranderen, dus behandel ketenverantwoordelijkheid als doorlopende cyclus in plaats van eenmalig project.
Wil je in één overzicht zien welke leveranciers er zijn, welke eisen in je contracten staan en welke afspraken openstaan? Bekijk het Contract Dashboard of boek een demo.