De Cyberbeveiligingswet en contractmanagement komen samen op het moment dat deze vraag op je bureau landt: welke van onze leveranciers zijn kritisch, en wat staat er in die contracten over beveiliging en continuïteit? De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht en het antwoord zit verspreid over tientallen tot honderden losse pdf’s, gedeelde mappen en het geheugen van een collega die vorig jaar vertrok. Dit is de contractkant van de zorgplicht, en die is zonder centraal overzicht nergens gestructureerd te beantwoorden.
Dit stuk verdiept ons eerdere artikel over NIS2 en contractmanagement met de actuele status van de Nederlandse implementatie en een scherpere focus op wat je nú met je bestaande contractportefeuille moet doen.
De Cyberbeveiligingswet is er nu: wat verandert er voor je leverancierscontracten?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Zoek je op de ene term, dan bedoel je waarschijnlijk de andere. De wet trad in werking op 15 augustus 2026 (Staatsblad 2026, 189), zonder algemene overgangstermijn. Circa 8.000 tot 10.000 organisaties vallen er direct onder. De enige uitzondering: instellingen in het hoger onderwijs krijgen drie jaar de tijd.
Voor contractmanagers en inkopers in zorg, gemeenten en onderwijs betekent dit geen aankondiging, maar een feit. De registratie in het entiteitenregister via het NCSC is verplicht. De meldplicht voor incidenten start binnen 24 uur. Toezicht is sectorafhankelijk en ligt bij onder meer de RDI, DNB, AFM, IGJ, ILT en NVWA. Er is geen aanloopperiode waarin je je leverancierscontracten rustig op orde brengt.
Wat betekent de zorgplicht van de Cyberbeveiligingswet voor je keten?
De kern van de Cyberbeveiligingswet voor contractmanagement zit in de ketenverantwoordelijkheid. Je moet cyberrisico’s uit je leveranciersketen aantoonbaar beheersen. Aantoonbaar is het sleutelwoord. Het is niet genoeg om te vertrouwen dat een leverancier zijn zaken op orde heeft. Je moet weten welke leveranciers je hebt, welke beveiligings- en continuïteitseisen in de uitbestede contracten staan, en welke afspraken openstaan.
Dat verschuift de vraag van juridisch naar operationeel. Een jurist kan opschrijven welke clausules een nieuw contract moet bevatten. Maar de zorgplicht raakt je hele lopende portefeuille, niet alleen wat je vanaf morgen tekent. Een zorginstelling met 200 uitbestede contracten kan niet wachten tot elke verlenging vanzelf langskomt. Je moet weten welke contracten kritisch zijn en welke je als eerste moet openbreken.
Welke afspraken horen in een leverancierscontract onder de Cbw?
Juridische bronnen zoals CMS wijzen zes onderwerpen aan die in leverancierscontracten moeten landen om de zorgplicht te ondersteunen. Vertaald naar de dagelijkse contractpraktijk gaat het om deze zes.
- Beveiligingsnormen en certificeringen: welke standaard hanteert de leverancier, bijvoorbeeld ISO 27001, en hoe toon je dat aan?
- Incidentmelding: binnen welke termijn meldt de leverancier een incident aan jou, zodat jij je eigen 24-uursmeldplicht haalt?
- Auditrechten: mag je de leverancier controleren of een audit laten uitvoeren?
- Continuïteit en exit: wat gebeurt er bij uitval, en hoe kom je zonder schade uit het contract?
- Aansprakelijkheid: wie draagt de gevolgen van een beveiligingsincident?
- Security-updates: hoe en hoe snel houdt de leverancier zijn systemen actueel?
Weten wélke clausule erin hoort is het makkelijke deel. Het lastige deel is nagaan welke van deze zes onderwerpen al in je bestaande contracten geregeld zijn, en welke ontbreken. Zonder dat overzicht klopt geen enkele planning.
Niet elke leverancier is gelijk: classificeren op kritiekheid
Behandel je alle contracten met dezelfde zwaarte, dan verspil je maanden aan leveranciers die het risico niet rechtvaardigen. Begin daarom niet bij het strengste contract, maar bij classificatie. Deel je leveranciers in op vier factoren: hoe kritisch is de dienst, welke toegang heeft de leverancier tot je systemen, met welke data komt hij in aanraking en hoe makkelijk is hij te vervangen.
Een hostingpartij die je primaire proces draait vraagt een ander contract dan een leverancier die eens per kwartaal een softwareupdate levert. De volgorde is duidelijk: eerst de kritische leveranciers met veel toegang en lastige vervangbaarheid, dan de rest. Pak binnen die groep de contracten die het eerst aflopen, want een verlenging is het natuurlijke moment om de zes onderwerpen alsnog vast te leggen. Een gemeente met 150 leveranciers houdt zo een werkbare lijst van vijftien tot twintig contracten over die echt prioriteit hebben.
De Cyberbeveiligingswet raakt meer dan je IT-leveranciers
Veel content framet de Cyberbeveiligingswet als een IT-inkoopvraagstuk. Dat mist een deel van de keten. De zorgplicht raakt ook leveranciers die je niet meteen als cyberrisico ziet. Denk aan gebouwbeheersystemen, toegangsbeheer met digitale sleutels, sensoren, camerabewaking en onderhoudscontractanten met toegang tot je netwerk.
Een gebouwbeheersysteem dat op je netwerk zit is net zo goed een ingang als een SaaS-abonnement. Toch valt facility hier vaak buiten beeld, omdat die contracten bij een andere afdeling liggen dan de IT-contracten. Precies daarom moet de inventarisatie breder zijn dan de licentielijst van de IT-manager. Elke leverancier met toegang tot systemen of data telt mee. Voor een regieorganisatie die facilitaire en IT-contracten los beheert, is dit het eerste gat dat gedicht moet worden.
Het echte probleem: overzicht over wat er al in je contracten staat
Terug naar het bureau. De clausules kennen is niet het knelpunt. Het knelpunt is dat de afspraken versnipperd liggen. Meldtermijnen staan in de ene pdf, auditrechten in een bijlage, continuïteitsafspraken nergens. Een inkoopmanager die wil weten welke contracten als eerste aangepast moeten worden, mist het simpelste gegeven: welke lopen wanneer af.
Zolang die informatie in losse documenten en Excel-bestanden zit, kost elke verantwoordingsvraag dagen handmatig zoekwerk. En elke gemiste verlenging is een gemiste kans om de juiste clausules alsnog vast te leggen. De contractkant van de zorgplicht valt of staat met overzicht over wat er al in je contracten staat. Volgens WorldCC, PwC en McKinsey heeft 95% van de organisaties geen volledig inzicht in de eigen contractuele verplichtingen. Dat cijfer wordt onder de Cbw ineens een concreet risico.
Grip op de contractkant van de zorgplicht
Hier hoort een eerlijke afbakening bij. GRIP is geen cybersecurity- of compliancetool en maakt niemand Cbw-compliant. GRIP lost je zorgplicht niet op. Waar GRIP wél grip op geeft is de contractkant: welke leveranciers je hebt, welke beveiligings- en continuïteitseisen in de uitbestede contracten staan en welke afspraken openstaan.
In het Contract Dashboard zie je in één overzicht welke leveranciers kritisch zijn, welke contracten wanneer aflopen en welke acties openstaan. GRIP is ISO 27001 en ISO 9001 gecertificeerd en verwerkt contractdata binnen Europa. Dat maakt de verantwoording aan een CISO of jurist een kwestie van openen, niet van dagen uitzoeken. Voor zorginstellingen en gemeenten die morgen moeten kunnen aantonen dat de keten in beeld is, is dat het verschil tussen sturen en achteroplopen.
Veelgestelde vragen
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet trad in werking op 15 augustus 2026 (Staatsblad 2026, 189) en verplicht circa 8.000 tot 10.000 organisaties om hun cyberrisico’s aantoonbaar te beheersen, inclusief de risico’s uit hun leveranciersketen.
Is er een overgangstermijn voor de Cyberbeveiligingswet?
Nee, er is geen algemene overgangstermijn. De wet geldt vanaf 15 augustus 2026. De enige uitzondering is het hoger onderwijs, dat drie jaar de tijd krijgt.
Wat moet er in een leverancierscontract staan volgens de Cbw?
Juridische bronnen wijzen zes onderwerpen aan: beveiligingsnormen en certificeringen, incidentmelding, auditrechten, continuïteit en exit, aansprakelijkheid en security-updates. Deze afspraken ondersteunen de zorgplicht in je keten.
Raakt de Cyberbeveiligingswet ook niet-IT-leveranciers?
Ja. Gebouwbeheersystemen, toegangsbeheer, sensoren en onderhoudscontractanten met toegang tot je netwerk of data vallen ook onder de zorgplicht. De inventarisatie moet breder zijn dan alleen de IT-contracten.
Welke contracten moet ik als eerste aanpakken?
Classificeer je leveranciers op kritiekheid, toegang, data en vervangbaarheid. Begin bij de kritische leveranciers met veel toegang en lastige vervangbaarheid, en pak binnen die groep de contracten die het eerst aflopen.
Maakt GRIP mijn organisatie Cbw-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand Cbw-compliant. GRIP geeft grip op de contractkant van de zorgplicht: overzicht over je leveranciers, de afspraken in je contracten en de openstaande acties.
Hoe houd ik overzicht over honderden bestaande contracten?
Zolang afspraken in losse pdf’s en Excel-bestanden liggen, kost elke verantwoordingsvraag dagen zoekwerk. Een centraal contractdashboard maakt inzichtelijk welke leveranciers kritisch zijn, welke contracten aflopen en welke afspraken openstaan.
Wil je zien hoe je je leverancierscontracten en hun openstaande afspraken op één plek samenbrengt? Bekijk hoe GRIP grip geeft op de contractkant van de zorgplicht en boek een demo.