Het is 16:00 en er komt een vraag binnen van de toezichthouder: laat zien welke beveiligingsafspraken met je ICT-leverancier nu openstaan, en sinds wanneer. Je weet dat het SLA ergens staat. In welke map, in welke versie, en of die afspraak ooit getoetst is, dat weet je niet meer zeker. Naleving contractafspraken aantoonbaar maken betekent precies dit: op elk moment kunnen tonen welke afspraak geldt, welke status die heeft en welk bewijs erbij hoort.
Het verschil tussen data hebben en aantoonbaar grip hebben is groter dan het lijkt. Data heb je: in drie mappen, twee Excels en een mailbox. Aantoonbaar grip heb je pas als één bron je binnen vijf minuten laat zien wat openstaat en wie eraan werkt. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is dat verschil geen interne kwestie meer, maar een externe controle.
Waarom “we hebben het geregeld” niet meer genoeg is
De Cyberbeveiligingswet (Cbw), de Nederlandse invulling van NIS2, is op 15 augustus 2026 in werking getreden zonder algemene overgangstermijn (Staatsblad 2026, 189). Alleen het hoger onderwijs kreeg drie jaar. Circa 8.000 tot 10.000 organisaties vallen er direct onder, met verplichte registratie in het entiteitenregister via het NCSC.
Voor contractmanagers is één onderdeel relevant: de ketenverantwoordelijkheid. Je moet aantoonbaar beheersen welke cyberrisico’s uit je leveranciersketen komen. Dat betekent weten welke leveranciers je hebt, welke beveiligings- en continuïteitseisen in de uitbestede contracten staan, en welke afspraken openstaan. De vraag verschuift van “houd ik intern overzicht?” naar “wat leg ik voor als de toezichthouder morgen aanklopt?”
Wat je toezichthouder eigenlijk wil zien
Wie de toezichthouder is, hangt af van je sector. Zorginstellingen krijgen te maken met de IGJ, in de publieke sector spelen onder meer de RDI en de ILT een rol, met daarnaast DNB, AFM en NVWA voor andere sectoren. Wat ze gemeen hebben: ze willen geen stapel documenten, ze willen traceerbaarheid.
Een toezichthouder vraagt zelden of je een contract hebt. Die vraagt of je kunt tonen welke afspraak geldt, welke status die heeft, welk bewijs erbij hoort en sinds wanneer. Een map met PDF’s beantwoordt die vraag niet. Een overzicht waarin per afspraak zichtbaar is dat de meting gedaan is, dat er een afwijking was en dat er een actie loopt, wel. Aantoonbaar is niet hetzelfde als gedocumenteerd.
Het probleem met losse mappen en Excel als bewijs
Excel en gedeelde mappen werken tot het moment dat iemand ernaar vraagt. Dan blijkt de zwakte: geen versiebeheer, geen eigenaarschap, geen zekerheid dat je de laatste waarheid toont. Neem een gemeente met tientallen leverancierscontracten waarin beveiligingseisen staan. De rapportages liggen deels in de mailbox, deels in het FMIS, deels in een gedeelde map. Wie welke eis wanneer heeft aangepast, is niet terug te halen.
Versnipperde data is geen aantoonbaarheid. Je kunt vier tot vijf bronnen combineren en na een halve dag een beeld hebben, maar je kunt niet garanderen dat het klopt. Toezicht draait om die garantie. De les: het probleem los je niet op met een strengere map-structuur, maar met één bron die zelf bijhoudt wat er gebeurt.
De minimale bewijsset per contractafspraak
Per contractafspraak heb je zes elementen nodig om iets aantoonbaar te maken:
- De afspraak zelf, met verwijzing naar het contract en de versie
- De norm of KPI die eraan hangt
- De meting of toetsing die is uitgevoerd
- De registratie van een eventuele afwijking
- De actie die daarop volgt, met eigenaar
- De actuele status, met datum
Voor een ICT-SLA met continuïteitseisen betekent dit: de eis van 99,9% beschikbaarheid, de maandelijkse rapportage die dat toetst, de registratie van een storing in maart, de actie richting de leverancier en de status “opgelost per 12 april”. Voor een uitbestede schoonmaakdienst is het dezelfde logica met een DKS-meting als toetsing. De structuur is identiek, ongeacht het contracttype.
Eén bron met een sluitende audit trail
Een audit trail is het mechanisme dat bewijs traceerbaar maakt. Het legt vast wie wat wanneer aanpaste, wie welke autorisatie had en welke afspraak sinds wanneer openstaat. Dat is het verschil tussen “ik denk dat dit de laatste versie is” en “dit is de laatste versie, aangepast op deze datum door deze persoon”.
In het Contract Dashboard van GRIP zie je openstaande afspraken en verlopen eisen direct, met de historie erachter. Registratie blijft in je bestaande ERP of FMIS. Het managen en aantoonbaar maken doe je in GRIP. Zo hoef je bij een auditvraag niet te zoeken, maar te tonen. Dat scheelt volgens onze eigen benchmark tot 30% op contractadministratie, mits je het proces compliant inricht.
Wat GRIP wel en niet doet
Wees hier eerlijk: GRIP maakt niemand Cbw-compliant. GRIP is contractmanagement-software voor leverancierscontracten van Nederlandse organisaties in zorg, onderwijs en publieke sector, geen cybersecurity- of compliancetool. Wat GRIP wel doet, is grip krijgen op de contractkant van je zorgplicht: welke leveranciers je hebt, welke eisen in de uitbestede contracten staan en welke afspraken openstaan. Dat is de laag die de meeste organisaties missen, en tegelijk de laag die een toezichthouder als eerste opvraagt.
Dat GRIP zelf ISO 27001-gecertificeerd is (certificaatnummer NL-2596.1.1) en contractdata uitsluitend binnen Europa verwerkt, helpt bij die verantwoording. Maar de kern van de waarde zit in de traceerbaarheid: één bron waarin de bewijsset per afspraak compleet en actueel is.
Veelgestelde vragen
Wat betekent “naleving contractafspraken aantoonbaar maken” precies?
Het betekent dat je op elk moment kunt tonen welke afspraak geldt, welke status die heeft, welk bewijs erbij hoort en sinds wanneer. Documentatie hebben is niet genoeg. Traceerbaarheid, met historie en eigenaarschap, is wat een toezichthouder vraagt.
Wie is mijn toezichthouder onder de Cyberbeveiligingswet?
Dat is sectorafhankelijk. Voor zorg is dat de IGJ, in de publieke sector spelen onder meer de RDI en de ILT een rol, met daarnaast DNB, AFM en NVWA voor andere sectoren. Het toezicht is actief sinds 15 augustus 2026.
Wanneer trad de Cyberbeveiligingswet in werking?
Op 15 augustus 2026, zonder algemene overgangstermijn (Staatsblad 2026, 189). Alleen instellingen in het hoger onderwijs kregen drie jaar. Circa 8.000 tot 10.000 organisaties vallen er direct onder.
Waarom volstaan mappen en Excel niet als bewijs?
Ze bieden geen versiebeheer, geen eigenaarschap en geen zekerheid dat je de laatste versie toont. Bij een auditvraag ben je uren bezig informatie uit mail, mappen en Excels te combineren, zonder garantie dat het klopt.
Wat hoort er minimaal in de bewijsset per afspraak?
Zes elementen: de afspraak zelf, de norm of KPI, de meting, de afwijkingsregistratie, de actie met eigenaar en de actuele status met datum. Deze structuur werkt voor ICT-SLA’s én uitbestede diensten.
Maakt GRIP mijn organisatie NIS2- of Cbw-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand compliant. GRIP geeft grip op de contractkant van de zorgplicht: welke leveranciers, welke eisen in de contracten en welke afspraken openstaan.
Wat is een audit trail in contractmanagement?
Een audit trail legt vast wie wat wanneer aanpaste en welke autorisatie daarbij hoorde. Zo weet je zeker welke versie geldt en sinds wanneer een afspraak openstaat. Dat maakt bewijs traceerbaar.
Wil je van zoeken naar tonen? Bekijk hoe het Contract Dashboard openstaande afspraken en bewijs op één plek samenbrengt, en boek een demo van GRIP.