Je kreeg de vraag van IT of compliance: kun jij aantonen welke leveranciers aan de NIS2-eisen voldoen? En toen besefte je dat het antwoord verspreid zit over vijftig losse mappen, een gedeelde schijf en een paar Excel-tabbladen. Voor NIS2 zorg leverancierscontracten is dat precies het probleem. Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking, de Nederlandse invulling van NIS2. Zorginstellingen moeten aantoonbaar grip hebben op cyberrisico’s uit hun leveranciersketen. Niet alleen in nieuwe contracten, maar ook in de contracten die er al jaren liggen.
Dit stuk bouwt voort op ons eerdere artikel over NIS2 en contractmanagement en gaat dieper in op wat de wet concreet voor de zorg betekent.
Wat er op 15 augustus 2026 veranderde voor de zorg
De Cbw trad in werking op 15 augustus 2026, gepubliceerd in Staatsblad 2026, 189. Er is geen algemene overgangstermijn. Wie onder de wet valt, moet er vanaf die datum aan voldoen. De enige uitzondering is het hoger onderwijs, dat drie jaar krijgt. In Nederland raakt de wet direct circa 8.000 tot 10.000 organisaties. Registratie in het entiteitenregister via het NCSC is vanaf 15 augustus 2026 verplicht.
Voor de zorg is de IGJ de sectorale toezichthouder. Dat betekent dat de IGJ je kan vragen om aan te tonen dat je cyberrisico’s uit de keten beheerst. Niet met een mooie intentieverklaring, maar met bewijs per leverancier. En daar zit voor de meeste zorginstellingen de pijn: de keten is groot en het overzicht ontbreekt.
De zorgplicht stopt niet bij je eigen muren
NIS2 verplicht organisaties om cyberrisico’s uit de leveranciersketen aantoonbaar te beheersen. Dat betekent: weten welke leveranciers er zijn, welke beveiligings- en continuiteitseisen in de uitbestede contracten staan, en welke afspraken nog openstaan. Voor NIS2 zorg leverancierscontracten gaat het dus niet om één partij, maar om de hele keten van uitbestede diensten.
Een ziekenhuis met 200 leverancierscontracten heeft al snel tientallen partijen met digitale toegang tot kritieke systemen. De EPD-leverancier is voor de hand liggend. De partij achter het gebouwbeheersysteem, de toegangscontrole en de klimaatinstallatie veel minder, terwijl die vaak remote toegang hebben tot systemen die direct raken aan zorgcontinuiteit. Die FM-leveranciers staan in de inkoopadministratie als facilitair en worden daardoor zelden als cyberrisico bekeken.
Niet elke leverancier is gelijk: risicogestuurd segmenteren
Je gaat niet elk contract op dezelfde manier aanpakken. Begin met segmenteren op risico. Voor de zorg ziet dat er concreet zo uit:
- Hoog risico: EPD, hosting, medische technologie, medicatiesystemen, gebouwbeheersysteem (BMS). Uitval of een incident raakt direct de zorg.
- Midden risico: leveranciers met toegang tot persoonsgegevens of je netwerk, zonder dat ze de zorg direct platleggen.
- Laag risico: partijen zonder digitale toegang tot systemen of data.
De les hier: segmenteer op digitale toegang en continuiteitsimpact, niet op inkoopcategorie. Een toegangscontrole-partij met remote toegang hoort in de hoogste categorie, ook al staat die geboekt als facilitair. Begin met je hoog-risicoleveranciers en werk van daaruit terug. Alles tegelijk aanpakken werkt niet.
Welke eisen aantoonbaar in je contracten moeten staan
NEVI adviseert om bestaande en nieuwe contracten te toetsen en aan te vullen met bepalingen over informatiebeveiliging, incidentmelding en toezicht. Voor hoog-risicoleveranciers in de zorg zijn dit de afspraken die aantoonbaar vastgelegd moeten zijn:
- Incidentmeldplicht met concrete meldtermijnen
- Patchbeleid en logging
- Back-up- en herstelafspraken
- Auditrecht: mag je controleren of de leverancier doet wat is afgesproken?
- Onderaanneming: weet je wie jouw leverancier weer inschakelt?
- Exit en data-portabiliteit: krijg je je data terug bij beeindiging?
- Continuiteitsafspraken bij uitval van kritieke systemen
Deze lijst is geen juridisch sjabloon maar een toetskader. Het punt is niet om elke clausule zelf te schrijven, maar om per leverancier te weten welke van deze afspraken er staan en welke ontbreken.
Waarom een vragenlijst of certificaat geen bewijs is
Een ingevulde securityvragenlijst of een ISO-certificaat van je leverancier voelt als een afvinkmoment. Het is het niet. Trustbound en ABN AMRO wijzen er terecht op dat een certificaat je eigen risicoanalyse niet vervangt. De IGJ wil niet zien dat je ooit een vragenlijst hebt uitgestuurd. De toezichthouder wil zien welke afspraken contractueel vastliggen, welke afwijkingen je bewust hebt geaccepteerd en hoe je openstaande punten opvolgt.
Dat verschuift de vraag van “hebben we het gevraagd?” naar “ligt het vast, en waar?”. En dat is precies waar de meeste zorginstellingen vastlopen, omdat de antwoorden in addenda, mailboxen en hoofden van mensen zitten.
Continuiteit is in de zorg net zo belangrijk als security
In de zorg is beschikbaarheid van zorg minstens zo belangrijk als het voorkomen van een datalek. Een EPD dat uitvalt, een medicatiesysteem dat niet beschikbaar is, een BMS dat het klimaat in een OK-complex niet meer regelt: dat zijn directe risico’s voor patienten. Daarom hoort naast security een tweede as in je contracten: continuiteit. Denk aan escrow-afspraken, een werkbaar exitscenario en afspraken over disaster recovery bij kritieke systemen. Deze afspraken worden vaak vergeten omdat ze niet onder het label security vallen, maar ze zijn even hard nodig.
Je leveranciersregister als bewijslast
De brug tussen al deze eisen en aantoonbaarheid is een leveranciersregister: per leverancier vastleggen welke eisen er in het contract staan, welke risicocategorie geldt en welke afspraken openstaan. Niet in een losse Excel die niemand bijhoudt, maar op een plek waar het overzicht actueel blijft en waar je bij een vraag van de IGJ direct kunt laten zien hoe de keten ervoor staat.
Hier past een eerlijke afbakening. GRIP is contractmanagement-software voor leverancierscontracten van Nederlandse organisaties in zorg, onderwijs en publieke sector. GRIP is geen cybersecuritytool en maakt je niet NIS2-compliant. Wat GRIP wel doet: grip geven op de contractkant van de zorgplicht. In het Contract Dashboard leg je per leverancier vast welke eisen er staan en welke afspraken openstaan, zodat je de keten aantoonbaar kunt maken. KAIA leest je contracten in en herkent de relevante clausules, zodat je niet handmatig 200 contracten hoeft door te spitten. GRIP werkt onder ISO 27001 en verwerkt contractdata uitsluitend binnen Europa.
Veelgestelde vragen
Wanneer is de Cyberbeveiligingswet voor de zorg in werking getreden?
De Cbw trad in werking op 15 augustus 2026, gepubliceerd in Staatsblad 2026, 189. Er is geen algemene overgangstermijn. Alleen het hoger onderwijs krijgt drie jaar. Voor de zorg geldt de wet dus direct.
Wie houdt in de zorg toezicht op NIS2?
De IGJ is de sectorale toezichthouder voor de zorg. De IGJ kan vragen om aan te tonen dat je cyberrisico’s uit de leveranciersketen beheerst, met bewijs per leverancier.
Vallen facilitaire leveranciers ook onder de zorgplicht?
Ja, als ze digitale toegang hebben tot kritieke systemen. Een gebouwbeheersysteem, toegangscontrole of klimaatinstallatie met remote toegang raakt zorgcontinuiteit en hoort daarom in je risico-inventarisatie, ook al staat de leverancier geboekt als facilitair.
Welke eisen moeten in mijn leverancierscontracten staan?
Voor hoog-risicoleveranciers minimaal: incidentmeldplicht met meldtermijnen, patchbeleid, logging, back-ups, auditrecht, afspraken over onderaanneming, exit en data-portabiliteit, en continuiteit bij uitval van kritieke systemen.
Is een certificaat van mijn leverancier voldoende bewijs?
Nee. Een certificaat vervangt je eigen risicoanalyse niet. De toezichthouder wil zien welke afspraken contractueel vastliggen, welke afwijkingen je hebt geaccepteerd en hoe je openstaande punten opvolgt.
Maakt GRIP mijn organisatie NIS2-compliant?
Nee. GRIP is geen cybersecuritytool. GRIP geeft grip op de contractkant van de zorgplicht: per leverancier vastleggen welke eisen in het contract staan en welke afspraken openstaan, zodat je de keten aantoonbaar kunt maken.
Bekijk hoe je per leverancier eisen en openstaande afspraken vastlegt in het Contract Dashboard en boek een demo.