Je opdrachtgever vraagt om NIS2-bewijs. Dit dossier is het antwoord.

Waarschijnlijk niet rechtstreeks. De Cyberbeveiligingswet legt verplichtingen op aan essentiële en belangrijke entiteiten, en de meeste leveranciers vallen daar niet onder. Je opdrachtgever vaak wel, en dat is precies waarom je van hem vragen krijgt. De gratis check laat in twee minuten zien hoe het voor jouw bedrijf ligt.

Nee. De Cyberbeveiligingswet legt ketenleveranciers geen verplichtingen op, dus niemand kan je dwingen dit te hebben. Je opdrachtgever mag het wel van je vragen, en steeds vaker doet hij dat ook.

Omdat de wet hem dat opdraagt. Artikel 21, derde lid, onderdeel d van de Cyberbeveiligingswet noemt “de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners”. Hij kan daar alleen aan voldoen door het bij jou na te vragen.

Negen documenten, opgesteld op basis van de tien zorgplichtmaatregelen zoals het NCSC die uitwerkt. Naast de leveranciersverklaring krijg je onder meer een informatiebeveiligingsbeleid, een risicoanalyse met maatregelenregister, een incident- en meldprocedure, een continuïteits- en back-upbeleid en een plan van aanpak voor de komende twaalf maanden.

Dat is het document dat je rechtstreeks naar je opdrachtgever stuurt: één of twee pagina's met wie je bent, welke dienst je levert, welke toegang daarbij hoort en per zorgplichtthema wat er geregeld is en waar het vastligt. Ook je doormeldtermijn, je contactpunt en je eigen sub-leveranciers staan erin. Bij Ketenborg is dit het gratis document.

Nee. Het dossier is geen certificering en geen vervanging daarvan. Het is een onderbouwde en vastgelegde afweging, passend bij de omvang en het risicoprofiel van je bedrijf, bedoeld om aan je opdrachtgever te overleggen. Een geaccrediteerde instelling geeft een certificaat af. Wij zijn dat niet.

In veel gevallen wel. De zorgplicht in de wet is risicogestuurd: maatregelen moeten passend en evenredig zijn, en er is geen voorgeschreven checklist en geen verplichte norm. Voor een bedrijf van twaalf man is een volledig certificeringstraject vaak niet evenredig. Je opdrachtgever heeft dan een onderbouwd alternatief op papier nodig.

{prijs} excl. btw, eenmalig, voor het volledige dossier van negen documenten. Een geactualiseerde versie kost {herhaalprijs} excl. btw per keer. Dat is geen abonnement: je betaalt alleen als je zelf een nieuwe versie laat maken. Ter vergelijking: een adviesbureau rekent voor alleen al een nulmeting doorgaans €3.000 tot €10.000, en levert daar nog geen documenten bij.

Ongeveer twintig minuten, verdeeld over acht korte stappen. Je vult in wat je zelf weet over je bedrijf en je IT-omgeving; er is geen technische kennis voor nodig.

Je riskeert geen boete en geen sanctie van de toezichthouder; die kijkt niet naar jou. Wat je wel riskeert is de opdracht. Als je opdrachtgever moet aantonen dat hij zijn keten op orde heeft en jij levert niets aan, dan is de eenvoudigste route voor hem een leverancier die dat wel doet.