Je CISO stuurt een mail: geef morgen een lijst van alle leveranciers met toegang tot onze systemen, en wat we contractueel met ze hebben afgesproken over beveiliging. Dan besef je dat dat antwoord verspreid zit over mappen, mailboxen en drie Excel-bestanden. Voor de NIS2-zorgplicht je leveranciers registreren betekent het opbouwen van een leveranciersregister: een vaste plek waarin je per leverancier vastlegt welke beveiligingsafspraken er liggen en welke toegang die partij heeft. Het is geen aanmelding bij een instantie, maar de administratieve basis onder je ketenverantwoordelijkheid. Dat is iets heel anders dan de wettelijke registratie die de wet van je eigen organisatie vraagt.
Registreren betekent drie dingen, en maar een ervan doe je bij het NCSC
Het woord registreren wordt in NIS2-content constant door elkaar gehaald. Er zijn drie verschillende handelingen, en verwarring hierover kost je weken.
- Je eigen entiteit registreren. Val je onder de Cyberbeveiligingswet, dan meld je je organisatie aan in het entiteitenregister via MijnNCSC. Dat gaat om je organisatienaam, adres, contactgegevens, sector en de lidstaten waar je diensten levert. Dit doe je zelf, buiten GRIP om.
- Je leveranciers vastleggen in je eigen contractregister. Dit is geen wettelijke aanmelding. Het is de administratieve basis die je nodig hebt om je zorgplicht aantoonbaar te maken.
- Je leveranciers beoordelen in je ketenrisicobeheer. Welke leverancier heeft toegang tot welke systemen, welke eisen gelden, wanneer herzie je dat.
Punt 1 is een formulier. Punt 2 en 3 zijn het echte werk, en daar zit de vraag van je CISO. Wie deze drie op een hoop gooit, gaat op zoek naar een compliancetool terwijl het probleem eerst administratief is.
Wat de Cyberbeveiligingswet echt van je vraagt over je leveranciers
De Cyberbeveiligingswet (Cbw), de Nederlandse invulling van NIS2, is op 15 augustus 2026 in werking getreden zonder algemene overgangstermijn. Alleen instellingen in het hoger onderwijs krijgen drie jaar. Circa 8.000 tot 10.000 organisaties vallen er direct onder en moeten zich vanaf die datum registreren via het NCSC (Staatsblad 2026, 189). Wijzigingen in je registratiegegevens geef je binnen een korte termijn door.
Belangrijk: je leveranciers vallen niet automatisch zelf onder de wet. Maar als NIS2-plichtige organisatie moet je de cyberrisico’s uit je leveranciersketen aantoonbaar beheersen. Dat heet ketenverantwoordelijkheid. Je moet dus weten welke leveranciers je hebt, welke beveiligings- en continuiteitseisen in de uitbestede contracten staan en welke afspraken openstaan. Precies daar begint het praktische werk voor de contractmanager en inkoper.
Welke leveranciers je als eerste in kaart brengt
Begin niet met een complete inventarisatie van alle contracten. Begin met de leveranciers die toegang hebben tot je systemen, je data of beheerrechten. Dat is de kortste route naar de vraag van je CISO.
De meeste NIS2-content gaat over cloud en software. Terecht, maar onvolledig. Een facilitaire of vastgoedleverancier kan net zo goed ketenrisico dragen. Denk aan de installateur met remote toegang tot het gebouwbeheersysteem (GBS), de storingsdienst die op afstand inlogt, of de leverancier van toegangscontrole en beveiliging. Neem een organisatie met 40 locaties: de partij die de klimaatinstallaties op afstand monitort, heeft vaak diepere systeemtoegang dan menig SaaS-leverancier.
- Leveranciers met remote toegang tot systemen (hosting, SaaS, GBS-onderhoud, storingsdiensten)
- Leveranciers die persoonsgegevens of gevoelige data verwerken
- Leveranciers met beheerrechten of het beheer van kritieke installaties
- Leveranciers van kritieke diensten waarvan uitval je continuiteit raakt
De volgorde is het advies: eerst toegang, dan data, dan continuiteit. Wie alles tegelijk wil vastleggen, komt nergens.
Wat je per leverancier vastlegt in je contractregister
Per leverancier wil je een vast setje velden, zodat een export volstaat wanneer de vraag komt. Niet in iemands hoofd, niet in een losse mailthread.
- Contactgegevens en type dienst
- Toegangsniveau tot systemen en data
- Beveiligingseisen die in het contract staan
- Meldtermijn bij incidenten
- Continuiteits- en exitafspraken
- Subleveranciers of subverwerkers
- Datum van laatste beoordeling en herzieningsdatum
Deze velden zijn de kern van je leveranciersregister voor de NIS2-zorgplicht. Ze vertalen een juridische verplichting naar iets wat je daadwerkelijk kunt bijhouden en tonen.
De contractclausules die je in uitbestede contracten wil zien
Voor nieuwe aanbestedingen neem je de eisen vooraf op. Voor lopende raamovereenkomsten is de aanpak anders: je kunt honderden contracten niet in een keer heronderhandelen. Prioriteer de leveranciers met systeemtoegang en werk die eerst bij via een addendum.
- Concrete beveiligingseisen (bijvoorbeeld aansluiting op een erkende norm)
- Auditrecht, zodat je afspraken kunt controleren
- Een meldtermijn voor incidenten
- Transparantie over subverwerkers en de eisen die daar gelden
- Continuiteitsafspraken en een exitregeling
Een IT-hostingcontract vraagt om een strakke meldtermijn en een SLA op beschikbaarheid. Een GBS-onderhoudscontract vraagt om afspraken over remote toegang en logging. Dezelfde clausulelogica, andere invulling per contracttype. GRIP is contractmanagement-software voor leverancierscontracten van Nederlandse organisaties in zorg, onderwijs en publieke sector, en houdt die afspraken en openstaande acties bij op een plek.
Van eenmalige inventarisatie naar een beheercyclus
Een leveranciersregister dat je een keer vult en daarna laat verlopen, is bij de eerste audit waardeloos. Ketenverantwoordelijkheid is een cyclus: je legt vast, je beoordeelt, je herziet periodiek en je bewaakt de afspraken die openstaan. Een herzieningsdatum per leverancier maakt dat aantoonbaar. Heb je dat register al op orde, dan is de zorgplicht-vraag een export in plaats van een projectweek. Gebruikers besparen gemiddeld 30% tijd op contractadministratie zodra afspraken en acties op een plek staan.
Het artikel over NIS2 en contractmanagement van leveranciers gaat dieper in op de ketenverantwoordelijkheid zelf. Zie ook het Contract Dashboard voor het overzicht van contracten, eisen en openstaande acties.
Wat GRIP wel en niet voor je doet
GRIP is geen cybersecurity- of compliancetool en maakt niemand NIS2-compliant. Wat GRIP wel doet: grip geven op de contractkant van de zorgplicht. Welke leveranciers heb je, welke beveiligings- en continuiteitseisen staan in hun contracten, en welke afspraken staan open. GRIP is ISO 27001-gecertificeerd en verwerkt contractdata uitsluitend binnen Europa. Zo geef je het antwoord op de CISO-vraag in een export, niet in een projectweek.
Veelgestelde vragen
Moet ik mijn leveranciers ergens officieel registreren voor NIS2? Nee. De wettelijke registratie geldt voor je eigen organisatie in het entiteitenregister via het NCSC. Je leveranciers leg je vast in je eigen contract- of leveranciersregister, als administratieve basis om je zorgplicht aantoonbaar te maken.
Vallen mijn leveranciers automatisch zelf onder de Cyberbeveiligingswet? Niet automatisch. Maar als NIS2-plichtige organisatie moet je de cyberrisico’s uit je leveranciersketen aantoonbaar beheersen. Je legt daarom vast welke eisen in de contracten staan en welke afspraken openstaan.
Wanneer is de Cyberbeveiligingswet in werking getreden? Op 15 augustus 2026, zonder algemene overgangstermijn. Alleen instellingen in het hoger onderwijs krijgen drie jaar. Registratie van je eigen entiteit is vanaf die datum verplicht (Staatsblad 2026, 189).
Welke leveranciers breng ik als eerste in kaart? De leveranciers met toegang tot je systemen, je data of met beheerrechten. Denk niet alleen aan cloud en software, maar ook aan installateurs met remote toegang tot het gebouwbeheersysteem, storingsdiensten en beveiligingsleveranciers.
Welke afspraken wil ik in uitbestede contracten zien? Concrete beveiligingseisen, auditrecht, een meldtermijn bij incidenten, transparantie over subverwerkers, en continuiteits- en exitafspraken. Voor nieuwe aanbestedingen neem je die vooraf op, bij lopende contracten prioriteer je de leveranciers met systeemtoegang.
Maakt GRIP mij NIS2-compliant? Nee. GRIP is geen compliancetool. GRIP geeft grip op de contractkant van de zorgplicht: het leveranciersregister, de eisen in de contracten en de openstaande afspraken.
Hoe houd ik het register actueel? Door per leverancier een herzieningsdatum vast te leggen en de openstaande afspraken te bewaken. Ketenverantwoordelijkheid is een cyclus van vastleggen, beoordelen en periodiek herzien, geen eenmalige actie.
Wil je het antwoord op de CISO-vraag als export leveren? Bekijk hoe GRIP dit oplost via het contractmanagement van leveranciers en boek een demo.