Ketenverantwoordelijkheid: waarom je klant naar jou kijkt
In april 2026 werd softwarebedrijf ChipSoft getroffen door ransomware. Huisartsenpraktijken, revalidatieklinieken en het Oogziekenhuis Rotterdam werken met het cloudplatform HiX 365 van ChipSoft, en zij gingen mee. Bij de Autoriteit Persoonsgegevens kwamen 66 meldingen van een datalek binnen. ChipSoft bevestigde later dat er patiëntgegevens waren gestolen. Ziekenhuizen die dezelfde software op hun eigen servers draaien, bleven buiten schot.
Geen van die praktijken was zelf gehackt. Hun eigen wachtwoorden lagen niet op straat en hun eigen laptops waren niet versleuteld. Ze hadden een leverancier, en die leverancier had een probleem. Dat staat in DutchNews.nl van 17 april 2026.
Dit is ketenverantwoordelijkheid
Je opdrachtgever moet zijn eigen systemen beschermen. Dat lukt niet door alleen naar binnen te kijken, want een deel van zijn bedrijfsvoering hangt aan bedrijven die hij niet bestuurt. De Cyberbeveiligingswet zegt dat met zoveel woorden.
“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners.”
Artikel 21, derde lid, onderdeel d Cbw
Die plicht ligt bij hem, niet bij jou. De wet wijst sectoren aan, en het gros van de toeleveranciers staat daar niet tussen. De wet dwingt je opdrachtgever wel om naar jou te kijken. Het vierde lid van hetzelfde artikel laat zien hoe ver dat kijken gaat.
“de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener.”
Artikel 21, vierde lid, onderdeel a Cbw
Elke. Jij dus, apart bekeken. Daar komt die vragenlijst op je bureau vandaan.
In dit verhaal ben jij de leverancier
ChipSoft is een groot bedrijf. Jij bent waarschijnlijk met twaalf man. In het verhaal sta je op dezelfde plek: het werk van iemand anders hangt aan het jouwe. Ligt jouw planning een week plat, of blijkt jouw mailbox de ingang, dan is dat het probleem van je klant geworden.
Daarom staat op vrijwel elke vragenlijst dezelfde vraag. Wat gebeurt er als u uitvalt, hoe lang duurt herstel, en wanneer is dat voor het laatst getest. Achter die vraag zit een inkoper die het bovenstaande in de krant heeft gelezen.
Er is geen formulier, en dat is het lastige
De wet schrijft geen checklist voor. De maatregelen moeten passen bij de omvang en het risico, en verder mag je opdrachtgever het zelf invullen. Dus vult hij het zelf in. Drie klanten sturen drie verschillende formulieren en geen ervan lijkt op de andere.
Vervelend. Er zit ook iets goeds in: er is geen norm waar je langs gelegd wordt. Er is een inkoper die wil weten of hij jou kan uitleggen aan zijn eigen toezichthouder.
Wat je nu kunt doen
- Zoek uit hoe lang je zonder je eigen IT verder kunt, en test een keer of dat klopt.
- Spreek af binnen hoeveel uur je een incident bij je opdrachtgever meldt, en zet die termijn op papier.
- Schrijf op welke leveranciers je zelf inzet voor de dienst die je levert. Daar wordt naar gevraagd.
- Wijs een aanspreekpunt aan voor beveiliging, ook voor een zaterdag.
- Noteer wat er nog niet af is. Een verhaal waarin alles al goed staat, gelooft een inkoper niet.
Die meldtermijn is minder vanzelfsprekend dan hij lijkt. Je opdrachtgever heeft na een significant incident 24 uur voor zijn vroegtijdige waarschuwing en 72 uur voor de melding zelf. Die klok haalt hij alleen als hij het op tijd van jou hoort. Wat voor jou een redelijke termijn is, hangt af van wat je levert en die kies je zelf. Leg hem wel vast, want anders kiest je klant hem voor je.
ChipSoft is een groot bedrijf, en het gebeurde toch. Niemand verwacht van een leverancier met twaalf man dat hij zoiets tegenhoudt; die garantie bestaat niet. Wat je klant wel verwacht is dat je hebt nagedacht over de dag dat het misgaat. Dat leest hij liever voordat hij erom vraagt.
Vragen en antwoorden
- Wat is ketenverantwoordelijkheid onder NIS2?
- Het is de plicht van je opdrachtgever om de beveiliging van zijn toeleveringsketen mee te nemen in zijn eigen maatregelen. Artikel 21, derde lid, onderdeel d Cbw noemt de relaties met rechtstreekse leveranciers letterlijk. Die plicht ligt bij hem; jij merkt hem als een vraag in je mailbox.
- Val ik onder de wet als mijn opdrachtgever een ziekenhuis is?
- Waarschijnlijk niet. De Cyberbeveiligingswet wijst sectoren aan, en het gros van de toeleveranciers staat daar niet tussen. Je opdrachtgever staat er wel tussen, en die moet volgens artikel 21, vierde lid kijken naar de kwetsbaarheden van elke rechtstreekse leverancier. Vandaar de vragenlijst.
- Binnen hoeveel uur moet ik een incident bij mijn klant melden?
- Voor jou staat er geen termijn in de wet. Voor je opdrachtgever wel: 24 uur voor de vroegtijdige waarschuwing en 72 uur voor de melding zelf. Die klok haalt hij alleen als jij hem eerder belt, dus spreek een termijn af en leg hem vast in het contract.
- Wat als een van mijn eigen leveranciers wordt gehackt?
- Dan is dat jouw verhaal richting je klant. De wet kijkt naar rechtstreekse leveranciers, dus de partij achter jou valt buiten de reikwijdte. Je opdrachtgever mag er contractueel wel naar vragen, dus houd bij welke partijen je inzet voor de dienst die je levert.
- Voorkomt ISO 27001 dat mij dit overkomt?
- Nee. Een certificaat zegt iets over hoe je het geregeld hebt, niet dat er nooit iets gebeurt. Het is bovendien een momentopname: de dag na de audit kan de situatie anders zijn. Wat je opdrachtgever nodig heeft is een actueel en onderbouwd verhaal, en dat kan ook zonder certificaat.