Val ik onder de Cyberbeveiligingswet als transportbedrijf?

Waarschijnlijk niet rechtstreeks. De wet wijst sectoren aan die in bijlage 1 en 2 staan, en het gros van de toeleveranciers staat daar niet tussen. Je opdrachtgever staat er vaak wel tussen, en die moet volgens artikel 21, derde lid, onderdeel d naar zijn leveranciers kijken.

Moet ik die vragenlijst van mijn opdrachtgever invullen?

Niet van de wet. Wel van je contract, of van de verlenging die eraan komt. De opdrachtgever moet kunnen laten zien dat hij zijn keten heeft beoordeeld, en een leverancier die niet antwoordt is voor hem ook een antwoord.

Krijg ik een boete als ik niets doe?

Nee. De handhaving richt zich op de organisaties die zelf onder de wet vallen, niet op hun leveranciers. Wat je wel kunt verliezen is de opdracht, aan een concurrent die het bewijs wel kan laten zien.

Heb ik ISO 27001 nodig om dit te beantwoorden?

Nee. ISO 27001 is één manier om het aan te tonen en voor sommige opdrachtgevers de bekendste, maar de wet schrijft geen norm voor. Artikel 21, tweede lid vraagt om maatregelen die passen bij je omvang en je risico, en om een afweging die je hebt vastgelegd.

Wat wil mijn opdrachtgever precies zien?

Artikel 21, vierde lid noemt drie dingen: waar jij kwetsbaar bent, hoe jij werkt inclusief je ontwikkelprocedures als je software maakt, en wat je met bekende bevindingen hebt gedaan. Dat is de inhoudsopgave van vrijwel elke leveranciersvragenlijst die je krijgt.

Blog

Waarom je opdrachtgever ineens om NIS2-bewijs vraagt

28 augustus 2026 · 6 min leestijd

Je krijgt een mail van een opdrachtgever met een vragenlijst over cyberbeveiliging. Of een addendum bij het contract dat er vorig jaar nog niet was. Je bedrijf is niet veranderd, jullie doen hetzelfde werk als altijd, maar er wordt ineens iets van je gevraagd wat er nooit eerder was. Dat is geen toeval en het is ook geen bureaucratische gril van die ene klant. Er zit een wet achter, en die wet is niet voor jou geschreven.

De wet verplicht je klant, niet jou

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse invoering van de Europese NIS2-richtlijn. De meeste bedrijven die deze site bezoeken vallen daar niet zelf onder. Vervoerders, installatiebedrijven, schoonmaakbedrijven, uitzendbureaus, cateraars, kleine IT-partijen: de kans is groot dat de wet jou niet rechtstreeks raakt. Wat wel vaak het geval is: je opdrachtgever valt er wel onder. Een netbeheerder, een ziekenhuis, een gemeente, een groter logistiek bedrijf. En die opdrachtgever heeft een wettelijke plicht die hem dwingt om naar jou te kijken.

“De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.”
Artikel 21, eerste lid Cbw

Dat eerste lid is breed geformuleerd, maar het derde lid wordt concreet. Daar staat, onder onderdeel d, dat die maatregelen ten minste moeten omvatten:

“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners.”
Artikel 21, derde lid, onderdeel d Cbw

Jij bent die rechtstreekse leverancier. Het vierde lid van hetzelfde artikel werkt dat verder uit, en dat vierde lid is het stuk wet dat elke vragenlijst die je ooit krijgt in feite naleest.

Wat je opdrachtgever wettelijk moet beoordelen

Artikel 21, vierde lid Cbw somt op waar een opdrachtgever rekening mee moet houden als hij beoordeelt welke maatregelen rond zijn leveranciers passend zijn:

de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener
de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van zijn leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures
de resultaten van gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens

Dat eerste punt, de kwetsbaarheden en de kwaliteit van jouw beveiligingspraktijken, is precies waar die vragenlijst over gaat. Je opdrachtgever vraagt het niet omdat hij nieuwsgierig is. Hij is wettelijk verplicht om het te kunnen aantonen, en jij bent het antwoord dat hij moet documenteren.

De reden waarom de termijnen zo strak worden

Er zit nog een tweede haak in de wet die minder bekend is, en die verklaart waarom sommige opdrachtgevers ineens hardere afspraken willen over meldtijden bij incidenten. Artikel 30 Cbw verplicht een organisatie om afnemers van haar diensten onverwijld te informeren over significante incidenten die hen kunnen raken. Als bij jou iets misgaat en dat raakt de dienstverlening aan je opdrachtgever, moet die opdrachtgever zijn eigen afnemers daarover informeren, binnen zijn eigen wettelijke klok. Die klok begint niet te lopen op het moment dat hij het hoort, maar op het moment dat het gebeurt. Vandaar dat een doormeldafspraak van 24 uur ineens belangrijker is dan hij een jaar geleden was.

Wat dit voor jou betekent, en wat niet

Geen boete, geen toezichthouder die bij jou aanklopt. Die kant van de wet raakt de essentiële en belangrijke entiteiten, niet hun leveranciers. Wat wel reëel is: een opdrachtgever die de vragenlijst niet ingevuld terugkrijgt, of een antwoord dat niet overtuigt, kan ervoor kiezen om met een andere leverancier verder te gaan die dat wel op orde heeft. Dat is geen wettelijk risico. Dat is een concurrentierisico, en het is precies het soort risico waar een aanbesteding of contractverlenging op kan stuklopen.

Een ISO 27001-certificaat is één manier om dat aan te tonen, en voor sommige opdrachtgevers de bekendste. Het is niet de enige manier, en zeker niet voor een bedrijf van twaalf man dat geen adviesbureau wil inhuren voor een traject van maanden. Wat een opdrachtgever nodig heeft, is een onderbouwde en vastgelegde afweging die past bij de omvang en het risicoprofiel van jouw bedrijf: wat je hebt geregeld, waarom dat toereikend is, en dat je bestuur daar zelf achter staat.

Waar je nu staat

Als je die vragenlijst al hebt liggen en niet weet waar te beginnen: dat is precies het probleem dat de gratis check oplost. Negen vragen, twee minuten, en je ziet direct waar de gaten zitten. Geen verplichting, geen betaalgegevens nodig om te beginnen.

Vragen en antwoorden

Val ik onder de Cyberbeveiligingswet als transportbedrijf?: Waarschijnlijk niet rechtstreeks. De wet wijst sectoren aan die in bijlage 1 en 2 staan, en het gros van de toeleveranciers staat daar niet tussen. Je opdrachtgever staat er vaak wel tussen, en die moet volgens artikel 21, derde lid, onderdeel d naar zijn leveranciers kijken.
Moet ik die vragenlijst van mijn opdrachtgever invullen?: Niet van de wet. Wel van je contract, of van de verlenging die eraan komt. De opdrachtgever moet kunnen laten zien dat hij zijn keten heeft beoordeeld, en een leverancier die niet antwoordt is voor hem ook een antwoord.
Krijg ik een boete als ik niets doe?: Nee. De handhaving richt zich op de organisaties die zelf onder de wet vallen, niet op hun leveranciers. Wat je wel kunt verliezen is de opdracht, aan een concurrent die het bewijs wel kan laten zien.
Heb ik ISO 27001 nodig om dit te beantwoorden?: Nee. ISO 27001 is één manier om het aan te tonen en voor sommige opdrachtgevers de bekendste, maar de wet schrijft geen norm voor. Artikel 21, tweede lid vraagt om maatregelen die passen bij je omvang en je risico, en om een afweging die je hebt vastgelegd.
Wat wil mijn opdrachtgever precies zien?: Artikel 21, vierde lid noemt drie dingen: waar jij kwetsbaar bent, hoe jij werkt inclusief je ontwikkelprocedures als je software maakt, en wat je met bekende bevindingen hebt gedaan. Dat is de inhoudsopgave van vrijwel elke leveranciersvragenlijst die je krijgt.

Doe de gratis check