Cyberbeveiligingswet leverancierscontracten zijn contracten met leveranciers waarin je de beveiligings- en continuiteitseisen vastlegt die de Cyberbeveiligingswet (de Nederlandse invulling van NIS2) vereist. GRIP is contractmanagement-software voor leverancierscontracten van Nederlandse organisaties in zorg, onderwijs en publieke sector. De wet trad op 15 augustus 2026 in werking, zonder algemene overgangstermijn. Het lastige zit niet in wat je leverancier moet doen, maar in wat jij aantoonbaar in je contracten hebt vastgelegd. Beheer je 300 contracten in mappen en Excel, dan weet je waarschijnlijk niet eens in welke een beveiligingsclausule staat.
De Cyberbeveiligingswet legt de keten bij jou neer, niet bij je leverancier
De Cyberbeveiligingswet is gepubliceerd in Staatsblad 2026, 189 en geldt direct voor circa 8.000 tot 10.000 organisaties. Registratie in het entiteitenregister via het NCSC is verplicht vanaf 15 augustus 2026. Alleen instellingen in het hoger onderwijs krijgen drie jaar. Verder is er geen overgangstermijn.
Een veelvoorkomend misverstand: de wet verplicht niet dat je leveranciers zelf onder de wet vallen of een keurmerk hebben. Er bestaat geen certificaat waarmee een leverancier aantoont dat hij Cbw-compliant is. De zorgplicht ligt bij jou als opdrachtgever. Jij moet cyberrisico’s uit je keten aantoonbaar beheersen. Dat betekent: weten welke leveranciers er zijn, welke beveiligings- en continuiteitseisen in de contracten staan, en welke afspraken nog openstaan.
Welke eisen horen in een leverancierscontract? Zes concrete blokken
IT-sourcinganalyses noemen minimaal zes contractonderwerpen die je moet vastleggen. Behandel ze als een checklist, niet als juridisch abstracte tekst.
- Beveiligingsmaatregelen. Concrete eisen aan hoe de leverancier jouw data en systemen beschermt. Denk aan toegangsbeheer, encryptie en patchbeleid, niet een vage verwijzing naar passende maatregelen.
- Incidentmelding en meldtermijnen. Binnen hoeveel uur moet een leverancier een incident melden dat jouw dienstverlening raakt? Leg een harde termijn vast, plus aan wie en hoe.
- Auditrecht en bewijsverzoeken. Het recht om naleving te controleren en bewijs op te vragen: rapportages, testresultaten, verklaringen.
- Onderaannemers. Wat mag je leverancier uitbesteden, aan wie, en gelden dan dezelfde eisen door de hele keten? Een keten is zo sterk als de zwakste subcontractor.
- Continuiteit en exit. Wat gebeurt er bij een storing, faillissement of contracteinde? Afspraken over dataoverdracht, back-ups en een geordende exit.
- Aansprakelijkheid. Wie draagt welke schade bij een incident, en tot welk bedrag?
De volgorde waarin je begint is niet willekeurig. Incidentmelding en beveiligingsmaatregelen zijn het eerst relevant voor een toezichthouder. Dat zijn de blokken die je bij je meest kritieke leveranciers als eerste op orde brengt.
Krijgt elke leverancier dezelfde eisen?
Nee. Iedereen dezelfde zware set opleggen jaagt kosten en gedoe op bij leveranciers die nauwelijks digitaal risico dragen. Differentieer op risico. De vraag is niet of dit een IT-leverancier is, maar welke toegang deze partij heeft tot jouw data of systemen.
- ICT en software: een hostingpartij of SaaS-leverancier met toegang tot je kernsystemen krijgt het volle pakket, inclusief strakke meldtermijnen en auditrecht.
- Facilitair en vastgoed: denk niet te snel dat het IT is. Een toegangscontrolesysteem, gebouwbeheersysteem (BMS) of installatiepartner heeft digitale componenten die met je netwerk verbonden zijn. Die horen bij de kritieke categorie.
- Sociaal domein: een Wmo- of jeugdhulpaanbieder verwerkt clientgegevens. Dat is gevoelige data, ook zonder dat het een softwareleverancier is.
- Laag risico: een leverancier zonder toegang tot data of systemen krijgt een lichte set. Geen reden om een groenvoorziener door dezelfde molen te halen als je clouddienst.
Begin dus met classificeren voordat je clausules schrijft. Een risico-indeling van je leveranciersbestand bepaalt waar je eerst tijd insteekt.
Een clausule in een PDF is nog geen bewijs van naleving
Hier zit de kern van het probleem. Een clausule opnemen is iets anders dan de naleving ervan aantonen. Toezicht is sectorafhankelijk: RDI, DNB, AFM, IGJ, ILT en NVWA controleren elk hun eigen domein. Vraagt zo’n toezichthouder om bewijs dat je je keten beheerst, dan is een verwijzing naar clausules in de contracten onvoldoende. Je moet kunnen tonen welke eisen, in welk contract, bij welke leverancier, en welk bewijs nog openstaat.
Dat lukt niet met een map vol PDF’s. Neem een zorginstelling met 15 locaties en meer dan 200 leverancierscontracten. De auditresultaten staan in Excel, de incidentafspraken in een contractbijlage, de openstaande bewijsverzoeken in iemands mailbox. Dan combineer je vier bronnen voordat je een vraag kunt beantwoorden. Naleving aantonen begint bij een KPI die je periodiek meet, niet bij een strenger contract dat niemand meer terugvindt.
Je lopende contracten: openbreken of addendum?
Omdat er geen overgangstermijn is, speelt dit ook bij contracten die nog jaren doorlopen. Een compleet contract openbreken is zelden nodig en vaak onhaalbaar. De praktische route is een addendum voor je kritieke leveranciers, waarin je de zes blokken toevoegt of aanscherpt.
Prioriteer op risico, niet op einddatum. Begin bij de leveranciers met toegang tot je kernsystemen of gevoelige data. Nieuwe aanbestedingen neem je meteen goed mee. Verwerk de eisen in het bestek en differentieer de zwaarte per perceel. Zo voorkom je dat je over een jaar opnieuw addenda moet schrijven.
Van clausule naar overzicht: grip houden over honderden contracten
Op het contractdashboard zie je per contract welke eisen erin staan, welke leverancier in welke risicocategorie valt, welk bewijs is aangeleverd en welke acties openstaan. De afspraken zitten niet in je hoofd of in Excel, maar op een plek waar je ze kunt tonen. Voor zorginstellingen werkt dit ook door in de specifieke branche-eisen die spelen rond clientdata.
Wees eerlijk over de grens. GRIP is geen securitytool en maakt niemand Cbw-compliant. GRIP lost de contractkant van de zorgplicht op: weten welke leveranciers er zijn, welke eisen aantoonbaar in de contracten staan en welke afspraken nog lopen. De cybersecurity zelf blijft het werk van je IT en je leveranciers. GRIP is ISO 27001-gecertificeerd en verwerkt contractdata uitsluitend binnen Europa. Dat maakt het inzetbaar als aantoonbare basis onder je ketenverantwoording.
Veelgestelde vragen
Wat betekent de Cyberbeveiligingswet voor contracten met leveranciers? De wet verplicht je om cyberrisico’s uit je keten aantoonbaar te beheersen. Dat vertaalt zich naar concrete beveiligings- en continuiteitseisen in je leverancierscontracten, plus bewijs dat die eisen worden nageleefd.
Welke eisen moet ik sinds de Cyberbeveiligingswet in leverancierscontracten opnemen? Zes blokken: beveiligingsmaatregelen, incidentmelding met meldtermijnen, auditrecht en bewijsverzoeken, afspraken over onderaannemers, continuiteit en exit, en aansprakelijkheid.
Geldt de wet ook voor mijn schoonmaak- of onderhoudsleverancier? Mogelijk. Niet de branche is bepalend, maar de digitale toegang. Toegangscontrole, gebouwbeheersystemen en installatiepartners hebben digitale componenten die met je netwerk verbonden zijn en horen dan bij je risicoafweging.
Moet ik al mijn lopende contracten openbreken? Meestal niet. Voor kritieke leveranciers werk je met een addendum waarin je de vereiste blokken toevoegt. Prioriteer op risico, niet op einddatum, want er is geen overgangstermijn.
Kan een leverancier aantonen dat hij Cbw-compliant is? Er bestaat geen keurmerk of certificaat waarmee een leverancier dat aantoont. De zorgplicht ligt bij jou als opdrachtgever. Je borgt het via contractuele eisen en het opvragen van bewijs.
Wie houdt toezicht op de naleving? Dat is sectorafhankelijk. RDI, DNB, AFM, IGJ, ILT en NVWA controleren elk hun eigen domein. Ze kunnen vragen om bewijs dat je je keten beheerst.
Maakt GRIP mijn organisatie Cbw-compliant? Nee. GRIP is geen securitytool. GRIP geeft grip op de contractkant: welke eisen in welk contract staan, welk bewijs openstaat en welke acties lopen. De cybersecurity zelf blijft bij je IT en je leveranciers.
Wil je zien hoe je per contract laat zien welke eisen erin staan en welk bewijs openstaat? Bekijk het contractdashboard van GRIP of boek een demo.