De inspecteur belt en vraagt welke incidentmeldingstermijn in je ICT-hostingcontract staat. Kun je dat binnen een minuut laten zien? Of begint dan het zoeken door mappen, mailwisselingen en een oud Excel? Naleving contractafspraken aantoonbaar maken is sinds de Cyberbeveiligingswet geen administratieve luxe meer, maar precies waar toezicht naar vraagt.
Naleving contractafspraken aantoonbaar maken betekent: op elk moment kunnen tonen welke eisen in je contracten staan, wie de eigenaar is en hoe de opvolging verliep. Niet met een verklaring, maar met vastgelegd bewijs. Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw, de Nederlandse invulling van NIS2) in werking. Circa 8.000 tot 10.000 organisaties vallen er direct onder. Toezicht is sectorafhankelijk: RDI, IGJ, DNB en ILT kijken elk naar hun eigen domein. En ze vragen niet om een verklaring dat je eraan voldoet. Ze vragen om bewijs.
Waarom “we voldoen eraan” niet meer genoeg is
Een vinkje zetten is iets anders dan naleving contractafspraken aantoonbaar maken op je contractkant. Voorheen kon je vaak wegkomen met een beleidsstuk en een goede intentie. Dat werkt niet meer. Een toezichthouder wil zien dat de beveiligings- en continuiteitseisen die je aan leveranciers stelt, ook echt in je contracten staan.
Het verschil is fundamenteel. Een verklaring zegt: wij doen dit. Aantoonbaarheid laat zien: hier staat de afspraak, dit is de eigenaar, dit is de datum, en zo verliep de opvolging. Het hoger onderwijs krijgt als enige sector drie jaar overgangstijd. Voor zorg, gemeenten en de meeste andere organisaties geldt de verplichting per direct.
Volgens WorldCC, PwC en McKinsey heeft 95 procent van de organisaties geen volledig inzicht in de eigen contractuele verplichtingen. Dat cijfer klonk lang als een efficiencyprobleem. Onder de Cbw is het een nalevingsprobleem: wat je niet kunt tonen, telt niet.
Wat vraagt een toezichthouder concreet van je?
De vraag klinkt simpel: laat maar zien dat je grip hebt op je leveranciersketen. In de praktijk splitst die vraag zich uit in een paar deelvragen die je op elk moment moet kunnen beantwoorden om naleving contractafspraken aantoonbaar te maken.
- Welke uitbestede contracten heb je, en welke leveranciers zitten in je keten?
- Welke beveiligings- en continuiteitseisen staan in die contracten?
- Welke afspraken staan nu open, en wie is daarvan de eigenaar?
- Hoe verliep de opvolging: wanneer is er gerappelleerd, wat is gewijzigd, wat is afgerond?
Een IGJ-inspecteur in de zorg kijkt anders dan de ILT, maar de onderliggende eis is hetzelfde: bewijs, geen belofte. Een contractmanager bij een zorginstelling met 80 leverancierscontracten kan die vragen niet beantwoorden met een gedeelde schijf. Niet omdat de afspraken ontbreken, maar omdat ze nergens herleidbaar zijn vastgelegd.
Waar loopt aantoonbaarheid in de praktijk vast?
Zonder centraal overzicht loopt aantoonbaarheid vrijwel altijd op dezelfde drie plekken vast. Herken je er een, dan spelen de andere twee waarschijnlijk ook.
- Contracten in mappen. Verspreid over netwerkschijven, SharePoint en mailboxen. Niemand weet zeker of het beeld compleet is.
- Afspraken in hoofden. De incidentmeldingstermijn, de indexatieafspraak, de continuiteitsclausule. Ooit besproken, zelden vastgelegd op een vindbare plek.
- Opvolging in niemands geheugen. Er is een afspraak gemaakt, maar of die is nagekomen en wie erop stuurde, valt niet te reconstrueren.
Het gevolg: als de inspectie belt, begint een zoektocht van dagen in plaats van een antwoord van minuten. Precies dat is het verschil tussen aantoonbaar en niet. Voor de regieorganisatie die stuurt op leveranciers in plaats van zelf uitvoert, is dat verschil beslissend.
Van afspraak naar bewijs: wat een audit trail doet
Een audit trail legt vast wie wat wanneer deed. Welke afspraak stond open, wie was de eigenaar, welke wijziging is doorgevoerd en op welke datum. Dat is geen overhead, dat is je bewijsmateriaal. Naleving aantonen begint hier: bij de historie die je op elk moment kunt tonen.
Neem de inkoopmanager bij een gemeente met tientallen aanbieders in het sociaal domein. Als een leverancier de continuiteitseis niet haalt, is de vraag of je kunt aantonen dat je erop stuurde: wanneer je signaleerde, wat je afsprak, en hoe de leverancier opvolgde. Zonder vastgelegde historie is dat een woord tegen een woord. Met een audit trail is het een feit.
Ketenverantwoordelijkheid: grip op de contractkant van je zorgplicht
Hier past eerlijkheid. GRIP is geen cybersecuritytool en maakt niemand “Cbw-compliant”. Dat kan geen enkel contractsysteem. Wat GRIP wel doet: grip geven op de contractkant van je zorgplicht. De Cbw verplicht organisaties om cyberrisico’s uit de leveranciersketen aantoonbaar te beheersen. Dat betekent weten welke leveranciers je hebt, welke eisen in de contracten staan en welke afspraken openstaan.
Die afbakening is geen zwakte, maar het punt. Registratie in het entiteitenregister via het NCSC regel je zelf. Je technische beveiliging regel je met je IT-afdeling. Maar de vraag “kan ik laten zien welke eisen in mijn contracten staan en hoe ik erop stuurde” beantwoord je op de contractkant. Daar begint het, en daar loopt het zonder centraal overzicht ook vast. Dit speelt niet alleen bij ICT-contracten, maar ook bij uitbestede diensten in de zorg zoals catering, beveiliging en technisch beheer.
Hoe sluit contractnaleving aan op ISO 9001 en 27001?
Veel organisaties in zorg en onderwijs zijn al ISO 27001- of ISO 9001-gecertificeerd. Toch leeft het contractdossier vaak in een apart Excel, los van het kwaliteitssysteem. Bij de audit betekent dat dubbel werk: alles handmatig bij elkaar zoeken en hopen dat je niets mist.
Het werkt beter om contractnaleving te koppelen aan je bestaande governance. Eén bewijssysteem waarin afspraken, eigenaren, wijzigingen en opvolging samenkomen, sluit aan op wat je certificering al vraagt. GRIP is zelf ISO 27001- en ISO 9001-gecertificeerd en verwerkt contractdata uitsluitend op Europese platformen, onder Europees recht.
Zo maak je naleving aantoonbaar met een centraal contractdashboard
De oplossing begint niet bij een strenger contract of een extra beleidsstuk. Ze begint bij één plek waar contracten, afspraken, eigenaren en opvolging samenkomen, met een historie die je op elk moment kunt tonen. Registratie blijft in je ERP of FMIS. Het managen en naleving contractafspraken aantoonbaar maken doe je in een centraal contractdashboard.
Voor de FM-manager bij een hogeschool betekent dat: bij de audit één bron in plaats van een handmatige zoektocht. Voor de contractmanager in de zorg: de incidentmeldingstermijn uit het hostingcontract in een minuut op het scherm. Boek een demo van GRIP en loop je eigen contractsituatie door.
Veelgestelde vragen
Wat betekent naleving van contractafspraken aantoonbaar maken?
Het betekent dat je op elk moment kunt laten zien welke afspraken in je contracten staan, wie de eigenaar is, en hoe de opvolging verliep. Niet met een verklaring, maar met vastgelegd bewijs: wie deed wat, wanneer, en welke afspraak stond open.
Wat wil een toezichthouder onder de Cyberbeveiligingswet concreet zien?
Een overzicht van je uitbestede contracten, de beveiligings- en continuiteitseisen die erin staan, welke afspraken openstaan, en de historie van opvolging. Toezicht is sectorafhankelijk, met onder meer RDI, IGJ, DNB en ILT.
Maakt GRIP mijn organisatie Cbw-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand compliant. GRIP geeft grip op de contractkant van je zorgplicht: welke leveranciers je hebt, welke eisen in de contracten staan en welke afspraken openstaan.
Wat is een audit trail in contractmanagement?
Een audit trail legt vast wie welke wijziging of actie uitvoerde en wanneer. Zo herleid je op elk moment welke afspraak openstond, wie de eigenaar was en hoe de opvolging verliep. Dat is je bewijsmateriaal richting een toezichthouder.
Hoe sluit contractnaleving aan op mijn ISO-certificering?
Door contractafspraken, eigenaren en opvolging te koppelen aan je bestaande kwaliteitssysteem in plaats van er een apart Excel naast te houden. Zo werk je met één bewijssysteem dat aansluit op de governance die ISO 9001 en ISO 27001 al vragen.
Geldt er een overgangstermijn voor de Cyberbeveiligingswet?
De wet is in werking sinds 15 augustus 2026, zonder algemene overgangstermijn. De enige uitzondering is het hoger onderwijs, dat drie jaar krijgt. Voor zorg, gemeenten en de meeste andere organisaties geldt de verplichting per direct.
Wat gaat er mis zonder een centraal contractdashboard?
Contracten liggen verspreid over mappen, afspraken zitten in hoofden en de opvolging is niet vastgelegd. Als de inspectie belt, wordt het een zoektocht van dagen in plaats van een antwoord van minuten.