NIS2 voor uitzendbureaus: waarom je opdrachtgever ineens vragen stelt

Je opdrachtgever belde vroeger over tarief, beschikbaarheid en het aantal uitzendkrachten dat hij nodig had. Sinds kort komt daar een ander soort vraag bij: welk wachtwoordbeleid je hanteert, en wat je doet als er iets misgaat. Dat is geen toeval. Het komt uit een wet die niet over uitzendbureaus gaat, maar via hun opdrachtgevers wel bij hen terechtkomt.

Het korte antwoord eerst. Een uitzendbureau valt vrijwel nooit rechtstreeks onder de Cyberbeveiligingswet. Valt je opdrachtgever er wel onder, dan moet hij naar zijn eigen leveranciers kijken, en een uitzendkracht die bij hem inlogt telt daarvoor mee. Val ik als onderaannemer onder NIS2? laat zien hoe je dat voor je eigen bedrijf natrekt.

Wat de eigen brancheorganisatie tegen leden zegt

ABU, de Algemene Bond Uitzendondernemingen, waarschuwt haar eigen leden hier al voor. In een kennisbank-artikel van januari 2026 legt de branchevereniging uit dat organisaties die onder de wet vallen, moeten weten wie hun leveranciers zijn en welk risico die met zich meebrengen. Zulke organisaties mogen daarvoor contractueel eisen stellen aan hun leveranciers, en kunnen certificaten of audits vragen. Voor een uitzendbureau dat zelf niet onder de wet valt, betekent dat volgens ABU dat cyberbeveiliging een voorwaarde wordt om klant te mogen blijven.

Wat dat in de praktijk vraagt

FlexNieuws, het vakblad voor de uitzend- en flexbranche, werd op 27 juli 2026 concreter over wat opdrachtgevers gaan vragen.

“Opdrachtgevers gaan dus vragen stellen aan hun flexleveranciers over wachtwoordbeleid, incidentprotocollen en certificering.”

FlexNieuws, 27 juli 2026

Denk aan een vraag als: welk protocol volg je als een uitzendkracht na afloop van een opdracht nog toegang blijkt te hebben tot een systeem van de klant? Dat is het soort vraag waar deze drie onderwerpen om draaien, en het is een vraag die je kunt beantwoorden voordat hij wordt gesteld.

FlexNieuws wijst ook op een tweede reden waarom opdrachtgevers kijken. Een uitzendbureau verwerkt zelf al veel persoonsgegevens: in het systeem waarin het sollicitanten en kandidaten bijhoudt (het ATS), in de salarisadministratie en in klantportalen. Dat maakt een bureau een doelwit op zichzelf, los van de toegang die zijn uitzendkrachten bij een klant hebben.

"Wij zijn maar een tussenpersoon" is niet het hele verhaal

Een uitzendbureau bemiddelt. Het levert geen product en voert zelf meestal geen kritiek proces uit. Dat voelt als een reden om achterover te leunen. Het klopt niet helemaal: juist de toegang die een uitzendkracht krijgt tot systemen van de klant is waar diens eigen verplichting om zijn keten te beoordelen aan raakt. Waarom vraagt je opdrachtgever ineens om NIS2-bewijs? legt uit welk stuk wet daarachter zit.

Dat geldt ook voor een uitzendbureau van een handjevol mensen. Artikel 21, tweede lid Cbw schrijft voor dat maatregelen passend en evenredig moeten zijn bij de omvang van een organisatie, en dat werkt door in wat een opdrachtgever van een klein bureau mag verwachten. Om hoeveel opdrachtgevers het uiteindelijk gaat, is niet in één getal te vatten. De Rijksinspectie Digitale Infrastructuur schreef op de dag dat de wet inging dat ruim achtduizend organisaties in negen sectoren onder haar toezicht vallen, en zij is niet de enige toezichthouder. Een deel daarvan werkt met uitzendkrachten of detachering, en dat deel gaat zijn eigen keten langs.

Waar je begint

Heb je de vraag al gekregen? Dan helpt het om te weten welke van de drie onderwerpen (wachtwoordbeleid, incidentprotocollen, certificering) je al op papier hebt staan, en welke nog niet. Zeven vragen die in elke leveranciersvragenlijst terugkomen laat zien hoe die vraag er in de praktijk uitziet.

Heb je hem nog niet gekregen? Dan is dit het moment om het antwoord vast klaar te zetten in plaats van te wachten. De gratis scopecheck laat in een paar minuten zien welke onderdelen van je beveiliging al op papier staan.