Wat er gebeurt als de toezichthouder bij je opdrachtgever langsgaat

Je opdrachtgever stelt ineens vragen die hij nooit eerder stelde. Over back-ups, over wachtwoorden, over wie er bij zijn systemen kan. Daar zit meestal iets eenvoudigs achter. Hij houdt er rekening mee dat er een inspecteur langskomt, en dan moet hij kunnen laten zien hoe hij zijn keten heeft geregeld.

De inspectie gaat over je opdrachtgever, niet over jou

De Cyberbeveiligingswet richt zich op organisaties die als essentiële of belangrijke entiteit zijn aangemerkt. Het toezicht richt zich op diezelfde groep. Een toeleverancier valt daar zelf meestal buiten. Twijfel je of de wet jou wel raakt, lees dan eerst of je er als onderaannemer onder valt.

“ambtenaren van de IGJ, ILT, NVWA en RDI, die op grond van artikel 68 van de Cbw door een in artikel 15 van de Cbw genoemde minister, zijn belast met het toezicht op de naleving van de Cbw door essentiële entiteiten, belangrijke entiteiten en leden van bestuur van essentiële en belangrijke entiteiten”

Samenwerkingsprotocol inzake toezicht Cyberbeveiligingswet, Stcrt. 2026, 29343

In die omschrijving staat geen leverancier. Wat er wel gebeurt: de toezichthouder kijkt bij je opdrachtgever ook naar de beveiliging van zijn keten. En die keten ben jij.

Wie er langskomt hangt af van de sector van je klant

Vier rijksinspecties houden toezicht op de Cyberbeveiligingswet. Welke van de vier bij je opdrachtgever hoort, volgt uit zijn sector. De aanwijzingen staan in de Staatscourant, verdeeld over zes besluiten.

• Vervoer over weg, spoor, water en lucht, leidingwater, afvalwater, afvalstoffenbeheer, chemie en de waterschappen: de Inspectie Leefomgeving en Transport.
• Productie, verwerking en distributie van levensmiddelen, en verpakt drinkwater: de Nederlandse Voedsel- en Warenautoriteit.
• Gezondheidszorg en de vervaardiging van medische hulpmiddelen: de Inspectie Gezondheidszorg en Jeugd.
• Energie, digitale infrastructuur, beheer van ICT-diensten, post, ruimtevaart, maakindustrie en de overheid zonder de waterschappen: de Rijksinspectie Digitale Infrastructuur.

Voor het bankwezen en de infrastructuur van de financiële markt is in de Staatscourant geen aanwijzingsbesluit terug te vinden. Werkt je opdrachtgever daar, ga dan niet uit van een naam. Valt hij onder meer dan één sector, dan kan hij met meer dan één inspectie te maken krijgen. De vier diensten hebben afgesproken dat er dan één de leiding neemt, zodat het bij één gesprek blijft.

Zo verloopt zo'n bezoek

Inspecteurs van de RDI, de NVWA en de ILT bespraken dat op 3 september 2026 bij het NCSC, in het zesde webinar over de Cyberbeveiligingswet. De opname staat op de site van het NCSC. Uit dat gesprek komt een vaste volgorde naar voren.

• De inspecteur kondigt zijn bezoek aan en legitimeert zich. Niemand staat onverwacht voor de deur.
• Eerst vraagt hij de documenten op. Die leest hij op zijn eigen bureau. De gevoeligste stukken blijven bij het bedrijf zelf.
• Daarna komt hij een dag langs. Hij toetst of het papier klopt met de praktijk, met gesprekken en steekproeven.
• Hij schrijft een inspectierapport. Je opdrachtgever mag daarop reageren voordat het definitief is.
• Ontbreekt er iets, dan krijgt je opdrachtgever de opdracht om zelf een verbeterplan te schrijven, met een termijn die past bij het werk.

Pas als er daarna niets verandert, grijpt de toezichthouder naar zwaardere middelen. Een inspectie begint dus als een gesprek. Je opdrachtgever wil zijn papier voor dat gesprek op orde hebben, en daarom vraagt hij het bij jou op.

Waarom de ene klant harder duwt dan de andere

Bij een essentiële entiteit mag de toezichthouder uit zichzelf controleren. Bij een belangrijke entiteit gebeurt dat meestal pas na een signaal of een incident. Dat verschil staat in de wet, en het verklaart waarom de ene opdrachtgever al maanden geleden een vragenlijst stuurde en de andere nog niets heeft laten horen. Het zegt niets over hoe streng ze naar jou kijken als de vraag eenmaal komt.

Papier alleen is niet genoeg, maar zonder papier begint het niet

De inspecteurs kijken verder dan de map. Ze willen weten of een maatregel ook echt werkt, of de risicoanalyse compleet is, en of het bestuur de stukken heeft vastgesteld. Uit eerdere inspecties noemen ze twee gebreken die steeds terugkomen: het bestuur was niet aangehaakt, en stukken waren nooit formeel vastgesteld.

Tegelijk schrijft niemand een model voor. De vorm is vrij. Wat telt is dat een buitenstaander de redenering kan volgen: wat is er bekeken, en waarom is er zo besloten. Dat geldt bij je opdrachtgever, en het geldt bij het papier dat jij hem geeft.

Een certificaat beslist het niet

Een kijker vroeg tijdens datzelfde webinar of je met een certificaat aan de wet voldoet. Het antwoord van de toezichthouder was nee. Een normenkader of een certificaat helpt een organisatie op weg, maar de toezichthouder beoordeelt zelf. Voor jou betekent dat iets praktisch: een klant die om ISO 27001 vraagt, vraagt naar een hulpmiddel en niet naar een eindoordeel. Wat er dan wel telt, staat in NIS2 aantonen zonder ISO 27001.

Welk papier van jou in dat dossier kan liggen

• De vragenlijst die je hebt ingevuld.
• De leveranciersverklaring die je hebt afgegeven.
• De beveiligingsafspraken in je contract.
• De afspraak wie je belt als er bij jou iets misgaat.

Zodra een inspecteur meeleest, zijn dat geen losse formaliteiten meer. Ze moeten met elkaar kloppen, een datum dragen, en overeenkomen met wat er bij jou echt gebeurt. Een verklaring die mooier is dan de praktijk valt op het moment dat iemand doorvraagt.

Wat dit voor jou betekent

De wet legt jou als leverancier niets op. Wat er wel speelt is je contract. Een opdrachtgever die zijn keten moet kunnen laten zien, houdt de leverancier die dat papier zonder gedoe aanlevert. Het volledige pakket van negen documenten, inclusief de leveranciersverklaring, kost eenmalig €595 excl. btw. De gratis scopecheck laat in een paar minuten zien waar dit bedrijf al staat.