Wat mag je opdrachtgever van je eisen?

De vragenlijst komt binnen met een zin erboven die niets zegt. Wij verwachten van onze leveranciers dat zij voldoen aan NIS2, of iets in die geest. Daaronder veertig vragen, of honderdvijftig, en nergens staat welke er voor jou toe doen. Het NCSC heeft hier sinds eind augustus een eigen pagina over, voor toeleveranciers van organisaties die onder de Cyberbeveiligingswet vallen. Daar lees je dat de wet jou zelf niets oplegt, en dat je opdrachtgever je wel cybermaatregelen mag opleggen, van een enkel risico tot een brede eis aan je volwassenheid. Welke maatregelen, staat er niet bij.

Het NCSC laat dat niet weg uit slordigheid. Het staat er niet, omdat het nergens staat. De wet zegt wel hoe ver zo'n eis mag gaan, en die zinnen kun je meenemen naar het gesprek met je opdrachtgever.

De plicht ligt bij hem

Artikel 21 van de Cyberbeveiligingswet somt op wat een organisatie die onder de wet valt minimaal moet regelen. Onderdeel d van het derde lid gaat over jou.

“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners”

Artikel 21, derde lid, onderdeel d, Cyberbeveiligingswet (Stb. 2026, 187)

Kijk wie er wordt aangesproken. De entiteit, dus je opdrachtgever. Hij moet zijn keten beoordelen en dat kan hij niet zonder iets van jou. Daar komt die vragenlijst vandaan. Hij stuurt hem op grond van zijn contract met jou, en niet op grond van de wet.

Passend en evenredig

Het eerste lid van hetzelfde artikel zegt dat de maatregelen passend en evenredig moeten zijn. Het tweede lid maakt dat concreet.

“Ten aanzien van de evenredigheid van de maatregelen houdt de entiteit naar behoren rekening met de mate waarin zij aan risico's is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen.”

Artikel 21, tweede lid, Cyberbeveiligingswet

Let op wie er wordt gewogen. De entiteit is nog steeds je opdrachtgever, dus dit gaat over zijn omvang en zijn blootstelling. Over jou gaat het lid daarna.

Wat hij per leverancier moet wegen

“Wanneer de entiteit overweegt welke maatregelen als bedoeld in het derde lid, onderdeel d, passend zijn, houdt zij rekening met: a. de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; b. de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures”

Artikel 21, vierde lid, Cyberbeveiligingswet

Hij weegt elke rechtstreekse leverancier apart. Een schoonmaakbedrijf dat 's avonds in het pand loopt en nooit bij een systeem komt, heeft andere kwetsbaarheden dan een IT-beheerder met beheerderswachtwoorden op de hele infrastructuur. Die twee horen niet dezelfde lijst te krijgen. Krijg je een formulier dat zichtbaar voor een softwareleverancier is geschreven terwijl jij pakketten rijdt, dan mag je dat zeggen.

Alleen wie rechtstreeks levert

In onderdeel d staat het woord rechtstreekse. De wet reikt tot de leveranciers waar je opdrachtgever zelf een relatie mee heeft. De partijen daarachter raakt hij niet. Toch kan het ter sprake komen, want je opdrachtgever mag in het contract afspreken dat jij ook iets over je eigen leveranciers vastlegt. Dat is dan een afspraak uit dat contract, en zo mag je hem ook noemen.

Waar de wet ophoudt, begint het contract

In de wet staat geen checklist. Geen vragenlijst en geen norm die je moet halen. Daarom maakt elke opdrachtgever zijn eigen formulier, en krijg je van drie klanten drie lijsten die hetzelfde willen weten en er anders uitzien.

Het betekent ook dat je opdrachtgever je van alles mag vragen. Hij mag een ISO 27001-certificaat op tafel willen. De wet draagt hem dat niet op, en jou nog veel minder, maar hij mag het wel in zijn inkoopvoorwaarden zetten. Zeg je nee, dan onderhandel je over een contract. Er staat geen toezichthouder achter jou, er staat een klant die zijn eigen dossier rond wil krijgen.

Die positie is sterker dan hij voelt. Evenredigheid staat in de wet die hij wel moet volgen, en jij mag hem daaraan herinneren. Vraagt hij van een bedrijf van twaalf man hetzelfde als van zijn cloudleverancier, dan pak je het vierde lid erbij.

Wat je op tafel kunt leggen

De vragen die opdrachtgevers stellen lijken meer op elkaar dan de formulieren doen vermoeden. Uit NCSC-materiaal en de vragenlijsten die adviesbureaus publiceren komt telkens hetzelfde rijtje terug.

• Heb je een aantoonbare risicoanalyse voor de dienst die je aan ons levert?
• Wie heeft aan onze kant toegang tot wat, en staat MFA aan op beheerderstoegang?
• Hoe en binnen welke termijn informeer je ons bij een incident?
• Heb je een certificering, en zo nee, waarmee toon je anders aan dat het op orde is?
• Wat is je patchbeleid, en hoe snel handel je bij een kritieke kwetsbaarheid?
• Hoe zijn onze gegevens beschermd, in opslag en tijdens transport?
• Wat gebeurt er als je uitvalt? Wat is de hersteltijd, en wanneer is die getest?
• Welke sub-leveranciers zet je in voor deze dienst?
• Wie is je aanspreekpunt voor beveiliging, ook buiten kantooruren?

Beantwoord je die vragen een keer op papier, dan kost de tweede klant je een uur. Het antwoord hoeft niet overal ja te zijn. Een inkoper die tien van dit soort stukken per week leest, herkent een dossier waarin alles goed staat meteen. Schrijf op wat er staat en wat er nog niet staat, met een datum bij dat tweede.

Terug naar de vraag boven dit stuk. Eisen mag je opdrachtgever ongeveer alles wat hij in een contract krijgt. Maar hij moet eerst wegen hoe zwaar jij weegt, en dat staat in artikel 21, vierde lid. Print dat lid uit voordat je aan tafel gaat.