Waarom grote opdrachtgevers naar hun kleine leveranciers kijken

Grote opdrachtgevers zeggen zelden hardop waarom ze naar hun leveranciers kijken. Eind augustus deed een bestuurder van UWV dat wel, in een artikel op Digitale Overheid. Zijn woorden leggen bloot waar de druk vandaan komt die je zelf misschien ook voelt.

Wat een bestuurder van UWV hardop zegt

Digitale Overheid sprak met de Raad van Bestuur van UWV over de voorbereiding op de Cyberbeveiligingswet. René Steenvoorden, lid van die raad, legde uit waarom UWV verder kijkt dan de eigen organisatie.

“Grote organisaties zoals de Belastingdienst en UWV hebben de juiste mensen en voldoende middelen beschikbaar. Maar we zijn vaak afhankelijk van kleinere leveranciers die daar minder tijd en energie in kunnen stoppen.”

René Steenvoorden, lid Raad van Bestuur UWV, in Digitale Overheid, 24 augustus 2026

Geen verwijt aan één leverancier. Steenvoorden noemt geen namen, en het artikel gaat niet over een geschil. Het is een constatering over hoe een grote keten in elkaar zit: een organisatie met een eigen beveiligingsteam koopt diensten in bij bedrijven die zo'n team niet hebben.

Waarom 'minder tijd en energie' geen verwijt is

UWV heeft duizenden medewerkers en een eigen afdeling die zich de hele dag met informatiebeveiliging bezighoudt. Een bedrijf van twaalf man heeft dat niet, en dat is geen achterstand die je zelf hebt laten ontstaan. Het is een verschil in omvang, en de wet houdt daar rekening mee. Artikel 21, tweede lid Cbw schrijft voor dat maatregelen passend en evenredig moeten zijn, gezien de omvang van een organisatie en haar blootstelling aan risico's. Die evenredigheid geldt voor je opdrachtgever, en werkt door in wat hij redelijkerwijs van jou mag verwachten.

Wat een opdrachtgever als UWV nodig heeft, is dat je kunt laten zien wat je hebt geregeld, passend bij je eigen omvang, op een manier die hij kan controleren zonder zelf bij jou langs te hoeven.

Dat verschil tussen zelf alles optuigen en op orde hebben wat past bij je omvang is precies waarom een leveranciersverklaring meer oplevert dan een certificaat najagen. Je opdrachtgever wil geen bewijs dat je een grote organisatie nadoet. Hij wil een antwoord dat klopt met wie je daadwerkelijk bent.

Dit gaat niet alleen over UWV

Wat UWV hardop zegt, denkt vrijwel elke grote opdrachtgever die onder de Cyberbeveiligingswet valt. De wet vraagt het namelijk letterlijk van hem. Artikel 21, derde lid, onderdeel d verplicht een organisatie die onder de wet valt om de beveiliging van haar toeleveringsketen te beoordelen, met inbegrip van de relatie met haar rechtstreekse leveranciers. Waarom je opdrachtgever ineens om NIS2-bewijs vraagt legt uit welk stuk wet daarachter zit, en wat dat voor jou wel en niet betekent.

Die verplichting geldt voor je opdrachtgever, niet voor jou. De wet wijst specifieke sectoren aan, en de meeste toeleveranciers staan daar niet tussen. Val ik als onderaannemer onder NIS2? laat zien hoe je dat voor je eigen bedrijf natrekt, met de twee bijlagen waar dat op staat.

Wat een opdrachtgever daadwerkelijk wil zien

Het UWV-citaat voegt iets toe wat de wettekst niet geeft. Het zegt hardop wat een opdrachtgever normaal alleen laat blijken via een vragenlijst: hij weet niet zeker of jij de tijd en de mensen hebt om je beveiliging op orde te hebben, en hij moet daar volgens zijn eigen wet iets van weten.

Zeven vragen die in elke leveranciersvragenlijst terugkomen laat zien welke vragen dat in de praktijk zijn. Het zijn dezelfde vragen die achter het UWV-citaat schuilgaan, alleen dan in formuliervorm in plaats van in een interview: wie is verantwoordelijk, wat doe je bij een incident, hoe hou je systemen bij, en wie zijn jouw eigen leveranciers.

Wie die vragen al een keer heeft beantwoord en op papier heeft staan, hoeft niet meer te gissen wat een opdrachtgever bedoelt met minder tijd en energie. De gratis scopecheck laat in een paar minuten zien waar dat papier nog ontbreekt.