De NVWA houdt toezicht op je klant. Dit vraagt zij, en dit komt bij jou terecht

Lever je aan een voedselproducent, een slachterij, een bakkerijketen of een groothandel in levensmiddelen, dan heeft je klant sinds 15 augustus 2026 een toezichthouder voor zijn cyberbeveiliging: de NVWA. Dezelfde dienst die zijn hygiëne controleert. Die klopt niet bij jou aan. Maar wat zij je klant vraagt, komt een paar weken later in een andere vorm bij jou terecht.

Voor wie de NVWA dit doet

“Heeft u een groot of middelgroot levensmiddelenbedrijf? Dan krijgt u verplichtingen om uw cyberbeveiliging op orde te hebben.”

NVWA, Cyberbeveiliging en fysieke weerbaarheid voor levensmiddelenbedrijven

De NVWA controleert bij die bedrijven de registratie-, zorg- en meldplicht. Een bedrijf van twaalf man dat eraan levert, valt daar niet onder, ook niet als het de hele koelketen van die klant verzorgt. Val ik als onderaannemer onder NIS2? legt die grens uit.

Wat zij in het eerste jaar doet

De NVWA zegt zelf waar het eerste jaar uit bestaat.

“kennismaking en een beeld krijgen van het huidige beveiligingsniveau van de organisatie”

NVWA, Ons toezicht op naleving Cbw en Wwke

Dat beeld haalt zij op met een vragenlijst, met informatie die een bedrijf op een andere manier deelt, of in een kennismakingsgesprek. Handhaving voert zij gefaseerd in, schrijft zij, met oog voor de tijd die organisaties nodig hebben. Twee dingen wil zij weten, in haar eigen woorden.

“of u goed zicht heeft op de risico's in uw organisatie”

NVWA, Ons toezicht op naleving Cbw en Wwke

“of u passende beheersmaatregelen heeft genomen”

NVWA, Ons toezicht op naleving Cbw en Wwke

Een adviseur die het toezicht volgt, Van Oers, schreef op 21 september 2026 welke onderwerpen daarbij op tafel komen.

“governance, beleid, incidentmanagement, bedrijfscontinuïteit en leveranciersbeheer”

Van Oers, NVWA start toezicht op Cyberbeveiligingswet, 21 september 2026

Dat laatste woord is waar jij in beeld komt.

Waarom dat bij jou terechtkomt

Zicht op risico's betekent voor een voedselbedrijf ook zicht op de risico's die via zijn leveranciers binnenkomen. De wet noemt dat met zoveel woorden als een van de maatregelen die hij neemt.

“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners”

Artikel 21, derde lid, onderdeel d Cbw

Zijn transporteur ziet zijn planning. Zijn installateur zit in de koelregeling. Zijn uitzendbureau levert mensen die met zijn systemen werken. Zijn IT-partner beheert alles. Als de NVWA vraagt of hij zicht heeft op zijn risico's, hoort daar een antwoord over die leveranciers bij. En het enige wat hij daarover kan laten zien, is wat jij hem hebt gegeven.

Vandaar de vragenlijst die ineens bij de contractverlenging zit. Zeven vragen die in elke leveranciersvragenlijst terugkomen laat zien wat erin staat. Het zijn grotendeels dezelfde onderwerpen die de NVWA bij hem op tafel legt.

Wat je nu kunt doen

• Weet welke klanten eronder vallen. Een middelgroot levensmiddelenbedrijf wel, de snackbar niet. Vraag het bij twijfel aan je klant zelf.
• Zet op een A4 wat je al hebt: tweestapsverificatie, back-ups met de datum van de laatste herstelproef, wie er toegang heeft tot wat, en wie belt bij een incident en binnen hoeveel uur.
• Wacht niet op de vragenlijst. Een klant die zijn antwoord aan de NVWA voorbereidt, onthoudt welke leverancier hem daarbij voor was.

Hoe zo'n bezoek er aan zijn kant uitziet, staat in wat er gebeurt als de toezichthouder bij je opdrachtgever langsgaat.

Wat je vastlegt

Een A4 is een begin. Een inkoper bij een voedselbedrijf wil het in een vorm die hij in zijn eigen dossier kan leggen: een leveranciersverklaring met een datum en een naam eronder, en de documenten erachter. Dat is het Ketendossier, negen documenten uit je eigen antwoorden, voor eenmalig €595 excl. btw. De gratis scopecheck laat eerst zien of je klant onder de wet valt en wat hij daardoor van je vraagt.