Je IT-partner heeft het Keurmerk Digitale Basisveiligheid MKB. Wat zegt dat je opdrachtgever?

Vraag een directeur van twaalf man wie zijn beveiliging regelt, en het antwoord is bijna altijd: onze IT-partner. Sinds september 2026 kun je bij die partner naar een keurmerk vragen. Wat dat keurmerk wel en niet bewijst richting je opdrachtgever.

Wat het keurmerk is

Het CCV ontwikkelde het Keurmerk Digitale Basisveiligheid MKB, en het NCSC beheert het certificatieschema sinds 1 januari 2026. Het keurmerk is voor ICT-dienstverleners, niet voor jou.

“Met dit keurmerk wordt straks zichtbaar welke ICT-dienstverleners de cybermaatregelen die de Risicoklassentool voorschrijft, goed kunnen uitvoeren.”

NCSC, Keurmerk Digitale Basisveiligheid MKB gelanceerd, 16 december 2025

Op 23 september 2026 meldde het NCSC de eerste ICT-dienstverleners die het keurmerk hebben gehaald. Een onafhankelijke partij toetst of de dienstverlener de maatregelen uit de Risicoklassenindeling Digitale Veiligheid goed uitvoert bij zijn klanten.

Waarom het iets anders is dan ISO 27001

“ISO 27001 zegt vooral iets over de manier waarop een ICT-dienstverlener de informatiebeveiliging van de eigen organisatie heeft georganiseerd. Het keurmerk Digitale Basisveiligheid MKB kijkt naar de kwaliteit van de dienstverlening aan de klant en of de beveiligingsmaatregelen bij de klant goed worden uitgevoerd.”

NCSC, Eerste ICT-dienstverleners gecertificeerd voor keurmerk Digitale Basisveiligheid MKB, 23 september 2026

Dat verschil is voor jou het hele punt. Een IT-partner met ISO 27001 heeft zijn eigen huis op orde. Een IT-partner met dit keurmerk is getoetst op wat hij bij jou doet. Je opdrachtgever vraagt naar het tweede. Wat kost ISO 27001, en moet het van NIS2? legt uit waarom een certificaat van jezelf meestal niet de vraag is.

Wat je opdrachtgever eraan heeft

Je opdrachtgever vraagt niet of je IT-partner een keurmerk heeft. Hij vraagt of jouw tweestapsverificatie aanstaat, of je back-ups getest zijn, wie er toegang heeft, en hoe snel je belt bij een incident. Het keurmerk geeft op die vragen geen antwoord. Het geeft iets anders: een reden om te vertrouwen dat de partner die het uitvoert, het goed uitvoert.

Jouw antwoord blijft van jou. Wat er in je bedrijf staat, verschuift niet naar de partij die het installeert. Zo kijkt je klant er ook naar: hij heeft een contract met jou, niet met je IT-partner. Wie is er bij jou verantwoordelijk voor de Cyberbeveiligingswet? gaat daar dieper op in.

Wat je ermee doet

• Vraag je IT-partner of hij het keurmerk heeft of ernaartoe werkt. Het NCSC schrijft dat het keurmerk de markt voor mkb-ondernemers overzichtelijker maakt. Gebruik dat.
• Zet in je leveranciersverklaring wie je IT beheert en op grond waarvan. Een keurmerk met een datum is daar een regel die een inkoper kan nakijken.
• Laat je partner de maatregelen uitvoeren, maar houd de uitdraai zelf: de datum van de laatste herstelproef, de lijst met accounts, de meldwerkwijze.

Een keurmerk bij je partner naast een eigen verklaring is sterker dan allebei los.

Wat je vastlegt

Die eigen verklaring, met de documenten erachter, is het Ketendossier: negen documenten uit je eigen antwoorden, voor eenmalig €595 excl. btw. Wat hoort er in een leveranciersverklaring? beschrijft de vorm. De gratis scopecheck laat eerst zien of je klant onder de wet valt en wat hij daardoor van je vraagt.