NIS2 Cyber Score: wat het bewijst aan je opdrachtgever, en wat niet

Je krijgt een vragenlijst van een klant en iemand tipt je: doe eerst de NIS2 Cyber Score, dat is gratis en je hebt binnen tien minuten een pdf. Dat klopt. De vraag is wat je klant met die pdf kan, en wat hij daarna nog vraagt.

Wat de NIS2 Cyber Score is

De score is een initiatief van brancheorganisaties, onder regie van het platform Samen Digitaal Veilig. Vakblad Security Management schreef er op 16 mei 2025 over.

“Op initiatief van meer dan 100 brancheorganisaties, en onder regie van platform Samen Digitaal Veilig (SDV)”

Security Management, Brancheorganisaties lanceren centrale NIS2 Cyber Score, 16 mei 2025

“Na het invullen van de vragenlijst ontvangt het bedrijf een PDF-rapport met de score en een toelichting. Dit rapport kan worden gedeeld met klanten.”

Security Management, Brancheorganisaties lanceren centrale NIS2 Cyber Score, 16 mei 2025

Op de site van Samen Digitaal Veilig staat, gelezen op 2 oktober 2026, dat de check gratis is, ongeveer tien minuten kost en een pdf met je score oplevert. Het doel dat de site zelf noemt: niet voor elke klant een andere vragenlijst hoeven invullen.

Waarom je klant er blij mee is

Voor een opdrachtgever met honderd leveranciers is een score op één schaal prettig. Hij kan sorteren. Een leverancier zonder enig antwoord valt op, en een leverancier met een pdf heeft in elk geval nagedacht. Veel vragenlijsten van opdrachtgevers lijken op elkaar, dus de score raakt vaak dezelfde onderwerpen: toegang, back-ups, updates, wie er belt bij een incident. Zeven vragen die in elke leveranciersvragenlijst terugkomen laat zien hoe groot die overlap is.

Doe hem dus. Hij kost niets, en je ziet waar je staat voordat een klant het ziet.

Wat een zelfcheck niet kan

Een score is een zelfbeoordeling. Jij vult in, niemand kijkt mee. Dat is geen verwijt aan de makers, het is wat het is. Voor je klant heeft dat gevolgen.

• De score zegt niet hoe je iets hebt geregeld. Back-ups: ja, is een antwoord. Een inkoper wil weten waar de kopie staat, hoe oud hij mag zijn, en wanneer je voor het laatst iets hebt teruggezet.
• De score is van jou, niet van je klant. Zijn vragenlijst komt uit zijn contract en zijn eigen risicoanalyse. Hij mag een pdf van een derde meewegen, maar hij hoeft hem niet te nemen als antwoord op zijn eigen vragen.
• Er staat geen verantwoordelijke met een datum onder. Wie bij jou heeft vastgesteld dat de antwoorden kloppen, en wanneer, staat er niet in. Dat is precies wat een inkoper vraagt zodra hij doorvraagt.

Een opdrachtgever die onder de Cyberbeveiligingswet valt, moet de beveiliging van zijn keten beheersen en dat kunnen laten zien. Hoe je klant jou als leverancier beoordeelt beschrijft wat hij daarvoor vastlegt. Een score is daar het begin van, niet het dossier.

Wanneer de score genoeg is

Soms is hij genoeg. Lever je kantoorartikelen aan een ziekenhuis, zonder toegang tot systemen of gegevens, dan is de kans groot dat een score volstaat, of dat niemand erom vraagt. Hoe dichter je bij de systemen of de gegevens van je klant zit, hoe eerder hij meer wil zien: een procedure, een contactpunt, een verklaring met een naam eronder. Vraag het hem. Een mail met de vraag of deze pdf is wat hij nodig heeft, of dat hij meer wil zien, scheelt jullie allebei een ronde.

Wat er na de pdf komt

Na de score komt de vraag naar onderbouwing. Dat is de leveranciersverklaring en de documenten erachter: wie doet wat, welke maatregelen staan, en wie dat heeft vastgesteld. Wat hoort er in een leveranciersverklaring? beschrijft die vorm. Het Ketendossier maakt die negen documenten uit je eigen antwoorden; het hele pakket kost eenmalig €595 excl. btw. De gratis scopecheck laat eerst zien of je klant onder de wet valt en wat hij daardoor van je vraagt. De Cyber Score en het dossier bijten elkaar niet. De score is de snelle stand, het dossier is het antwoord als hij doorvraagt.