Zeven vragen die in elke leveranciersvragenlijst terugkomen

De mail komt op een dinsdag. Je vaste contactpersoon bij een klant waar je al zes jaar voor rijdt, met een spreadsheet eraan vast en een zin erboven die niets uitlegt. Veertig vragen over cyberbeveiliging. Retour binnen twee weken.

Je leest de eerste vijf en je weet al dat je er drie niet kunt beantwoorden. Niet omdat het slecht geregeld is. Omdat niemand het ooit heeft opgeschreven.

Waar die vragen vandaan komen

Je opdrachtgever verzint ze niet. De Cyberbeveiligingswet zegt hem waar hij naar moet kijken als hij bepaalt wat hij van jou mag verlangen.

“a. de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; b. de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures”

Artikel 21, vierde lid, onderdelen a en b Cbw (Stb. 2026, 187)

Kijk wie daar wordt aangesproken. De entiteit, dus je klant. Hij heeft de plicht, jij hebt de vragenlijst. Dat verschil werk ik uit in wat je opdrachtgever van je mag eisen.

Er zit ook iets prettigs in. Zijn wet noemt drie dingen waar hij op moet letten, en jouw antwoorden hoeven alleen die drie te raken. Wat hij verder vraagt, vraagt hij omdat hij het wil weten.

De zeven die blijven terugkomen

Ik heb twee vragenlijstsjablonen naast elkaar gelegd. 3rdRisk publiceerde er een in oktober 2025, Aravina in maart 2026. Ze verwijzen niet naar elkaar en ze komen allebei op zeven onderwerpen uit. Over vier zijn ze het eens.

• Wie is bij jou verantwoordelijk voor beveiliging, en weet de directie ervan? Beleid inzake risicoanalyse staat in artikel 21, derde lid, onderdeel a. Dat de directie het moet goedkeuren staat apart, in artikel 24.
• Wat doe je als er iets misgaat, en hoe snel bel je mij? Onderdeel b, incidentenbehandeling. De haast is geen willekeur: je klant moet zelf binnen 24 uur zijn eerste melding doen, dus jouw bericht moet daar ruim voor liggen.
• Hoe hou je je systemen bij? Onderdeel e gaat over het verwerven, ontwikkelen en onderhouden van systemen, en over de respons op kwetsbaarheden. In gewone taal: updates.
• Wie zijn jouw leveranciers? Onderdeel d, dezelfde bepaling waar de hele vragenlijst uit voortkomt. Jouw hoster en jouw boekhoudpakket zitten in zijn keten, via jou.

En dan de drie waarin ze verschillen. Aravina vraagt naar toegang en tweestapsverificatie, naar encryptie, en naar wat er gebeurt als jouw systemen een week plat liggen. Die drie staan alle drie in artikel 21, derde lid: onderdelen i en j, onderdeel h, en onderdeel c. 3rdRisk vraagt in plaats daarvan om een certificaat en om contractuele auditrechten.

Twee van de zeven staan niet in de wet

Vraagt je opdrachtgever om een ISO 27001-certificaat, dan vraagt hij om iets wat de Cyberbeveiligingswet nergens van jou verlangt. Dat mag. Hij mag in een contract zetten wat hij wil, en jij mag zeggen dat het niet in verhouding staat tot de opdracht. Maar het is een wens, geen wet. Wat zo'n certificaat kost staat in wat ISO 27001 kost.

Hetzelfde geldt voor een auditrecht, het beding dat hij bij jou langs mag komen om te controleren. Dat is een afspraak tussen jullie tweeen. De wet noemt het niet.

Ken je dat verschil, dan verandert het gesprek. Je zegt niet meer dat je iets niet kunt. Je zegt: dit noemt de wet, hier sta ik, en dit valt daarbuiten.

Wat ze vergeten te vragen

Interessanter dan wat er in de lijst staat, is wat er ontbreekt. Geen van beide sjablonen vraagt naar opleiding en bewustzijn, terwijl onderdeel g daar letterlijk over gaat: basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging. Bij de meeste bedrijven van twaalf man is dat het gat, en het is het goedkoopste gat om te dichten.

Heb je dat wel geregeld en staat het opgeschreven, dan lever je iets aan waar niet naar gevraagd is. Dat valt op.

Wat je invult als het antwoord nee is

Dit is de vraag die ik het vaakst krijg. Je komt bij vraag elf en het antwoord is gewoon nee.

Vul dan nee in. En zet erbij wanneer het wel geregeld is.

De wet is hier uitdrukkelijk niet absoluut. Artikel 21, tweede lid, zegt dat de maatregelen passend en evenredig moeten zijn, en dat je klant daarbij rekening houdt met de omvang van de entiteit, de mate waarin die aan risico's is blootgesteld, en de uitvoeringskosten. Een bedrijf van twaalf man hoort niet te regelen wat een ziekenhuis regelt. Dat is geen uitvlucht, dat staat er.

Wat een inkoper wel doorheeft, is een lijst waarop alles groen staat. Hij leest er tien per week. Een eerlijk nee met een datum erachter houdt beter stand dan een ja dat hij niet gelooft.

Levert je klant aan de zorg, dan is het wel concreet

Er is een uitzondering waar de eis bij naam wordt genoemd. In de Cyberbeveiligingsregeling voor de zorg van 14 augustus 2026 staat dat zorginstellingen van hun leveranciers aantoonbare naleving van NEN 7510, ISO 27001 of ISO 27002 moeten eisen, dat vastleggen in het contract en erop toezien. Vindplaats: Staatscourant 2026, 28763. Lever je aan een ziekenhuis, dan komt die vraag dus niet uit een sjabloon maar uit een regeling.

Een bank zegt: stop met vragen stellen

ABN AMRO schreef in december 2024 een stuk met de kop dat je geen onnodige vragen aan je leveranciers moet stellen. Dat klinkt als goed nieuws. Lees je verder, dan staat er iets anders.

“Een vragenlijst biedt weinig juridische bescherming. Certificaten zoals ISO27001 en NIS2 QM bieden een duidelijk juridisch kader.”

ABN AMRO, 2 december 2024

Het advies is niet om minder te vragen. Het advies is om geen lijst te vragen maar een certificaat. Onderaan het artikel staat dat het tot stand kwam in samenwerking met Samen Digitaal Veilig, die het NIS2 Quality Mark aanbiedt dat erin wordt genoemd. Het stuk is bovendien van anderhalf jaar voordat de wet inging.

Ik denk er anders over, en dat is geen toeval, want ik verkoop het alternatief. Oordeel zelf. Wat ik erover kwijt wil: een certificaat is een van de manieren om het te laten zien, en de wet noemt er geen enkele bij naam.

Waarom je dit een keer opschrijft en niet veertig keer

“a vendor with 50 customers receives 50 questionnaires, often asking the same questions in different formats”

Aravina, 18 maart 2026

Vijftig lijsten, dezelfde antwoorden, andere hokjes. Je back-upregeling verandert niet omdat er iemand anders naar vraagt.

Schrijf het dus een keer op, in jouw woorden, met de artikelen erbij. Wat daar precies in hoort staat in een apart stuk. Dan is de volgende lijst geen avondwerk maar overtypen.