Alles wat je wilt weten voordat je begint.

Waarschijnlijk niet rechtstreeks. De Cyberbeveiligingswet legt verplichtingen op aan essentiële en belangrijke entiteiten, en de meeste leveranciers vallen daar niet onder. Je opdrachtgever vaak wel, en dat is precies waarom je van hem vragen krijgt. De gratis check laat in twee minuten zien hoe het voor jouw bedrijf ligt.

Er zijn twee voorwaarden, en ze gelden allebei tegelijk: je sector moet in bijlage 1 of 2 van de wet staan, en je bedrijf moet de omvangsdrempel halen. Middelgroot betekent vanaf 50 medewerkers, of een jaaromzet én balanstotaal boven €10 miljoen. Groot betekent vanaf 250 medewerkers, of een omzet boven €50 miljoen samen met een balanstotaal boven €43 miljoen.

In de regel wel, maar er zijn uitzonderingen. Overheden, gekwalificeerde vertrouwensdienstverleners, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners vallen er altijd onder, hoe klein ze ook zijn. Daarnaast kan de minister een organisatie alsnog aanwijzen als uitval grote maatschappelijke gevolgen zou hebben.

Een ketenleverancier levert aan een organisatie die wél onder de Cyberbeveiligingswet valt, en heeft daarbij toegang tot systemen, netwerken of bedrijfsgegevens van die organisatie. Denk aan IT-dienstverleners, softwareleveranciers en clouddiensten, maar ook aan facilitaire partijen met toegang. De wet legt die leverancier zelf geen verplichtingen op. Zijn opdrachtgever krijgt ze wel.

Nee, de verplichting blijft bij je opdrachtgever liggen en verschuift niet naar jou. Artikel 21 draagt hem op de beveiliging van zijn toeleveringsketen te regelen. Omdat hij dat alleen kan door bij jou na te gaan hoe het ervoor staat, komt zijn wettelijke opdracht bij jou terecht als een vragenlijst.

Je SBI-code bepaalt in welke sector je bedrijf valt, en dus of je in bijlage 1 of 2 van de Cyberbeveiligingswet staat. Het is de eerste van twee toetsen, niet de enige: zonder de omvangsdrempel te halen kom je er alsnog niet onder. Voor ketenleveranciers is de SBI-code van je opdrachtgever vaak relevanter dan die van jezelf.

De verplichtingen zijn grotendeels hetzelfde; het toezicht verschilt. Bij essentiële entiteiten mag de toezichthouder uit zichzelf controleren. Bij belangrijke entiteiten gebeurt dat meestal pas na een signaal of een incident. Groot en in bijlage 1 levert essentieel op, middelgroot en in bijlage 1 levert belangrijk op, en alles uit bijlage 2 dat de drempel haalt is belangrijk.

Ja, dat kan, ook bij een klein bedrijf. De minister mag een organisatie aanwijzen als die in Nederland de enige aanbieder van een essentiële dienst is, of als verstoring aanzienlijke gevolgen kan hebben voor de openbare veiligheid of de volksgezondheid. Een scopecheck kan dit niet uitrekenen, dus vertrouw hier niet blind op een online tool.

Omdat de wet hem dat opdraagt. Artikel 21, derde lid, onderdeel d van de Cyberbeveiligingswet noemt “de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners”. Hij kan daar alleen aan voldoen door het bij jou na te vragen.

Negen vragen komen steeds terug: heb je een risicoanalyse, wie heeft toegang tot wat en staat MFA aan, hoe en binnen welke termijn meld je een incident, heb je een certificering en zo nee wat dan, wat is je patchbeleid, hoe zijn onze gegevens beschermd, wat gebeurt er als je uitvalt, welke sub-leveranciers zet je in, en wie is je aanspreekpunt buiten kantooruren.

Gemeenten vallen altijd onder de Cyberbeveiligingswet, ongeacht hun omvang. Dat betekent dat jouw contactpersoon daar een wettelijke opdracht heeft om de beveiliging rond zijn leveranciers te regelen. Voor de sector overheid wordt daarbij verwezen naar aantoonbaar werken volgens onder meer NEN 27002:2022 en BIO2, dus in die taal wordt de vraag vaak gesteld.

Zorginstellingen werken met NEN 7510, en die norm dekt al een deel van de Cbw-verplichtingen. De recente herziening bevat NIS2-elementen. Praktisch gevolg: als je aan de zorg levert, krijg je de vraag waarschijnlijk in NEN 7510-termen gesteld, ook al gaat het onderliggend om dezelfde zorgplichtmaatregelen.

Energie staat in bijlage 1 van de Cyberbeveiligingswet, dus een netbeheerder van enige omvang valt er vrijwel zeker onder, vaak als essentiële entiteit. Bij essentiële entiteiten mag de toezichthouder proactief controleren, zonder dat er eerst iets misgaat. Die druk voelt de inkoper, en die geeft hij door aan zijn leveranciers.

Ja. Er is geen wettelijke plicht die jou dwingt, maar er is ook niets dat je opdrachtgever verbiedt om beveiligingseisen in een contract op te nemen. In de praktijk gebeurt dat steeds vaker. De handhaving ligt daarmee bij je opdrachtgever en niet bij een toezichthouder.

Je riskeert geen boete en geen sanctie van de toezichthouder; die kijkt niet naar jou. Wat je wel riskeert is de opdracht. Als je opdrachtgever moet aantonen dat hij zijn keten op orde heeft en jij levert niets aan, dan is de eenvoudigste route voor hem een leverancier die dat wel doet.

Wettelijk niet. Artikel 21 gaat over rechtstreekse leveranciers, dus de leveranciers van jouw leveranciers vallen buiten de reikwijdte van de wet. Contractueel ligt het anders: opdrachtgevers vragen steeds vaker door op de partijen achter jouw partijen, en dan wil je kunnen laten zien welke dat zijn en wat je met ze hebt afgesproken.

Sneller dan de termijn die voor hem geldt. Een Cbw-plichtige organisatie moet binnen 24 uur een vroegtijdige waarschuwing indienen, binnen 72 uur een incidentmelding en binnen een maand een eindverslag. Haalt hij die eerste 24 uur alleen als jij op tijd meldt, dus een doormeldafspraak van 12 tot 24 uur richting je opdrachtgever is gebruikelijk.

Negen documenten, opgesteld op basis van de tien zorgplichtmaatregelen zoals het NCSC die uitwerkt. Naast de leveranciersverklaring krijg je onder meer een informatiebeveiligingsbeleid, een risicoanalyse met maatregelenregister, een incident- en meldprocedure, een continuïteits- en back-upbeleid en een plan van aanpak voor de komende twaalf maanden.

Dat is het document dat je rechtstreeks naar je opdrachtgever stuurt: één of twee pagina's met wie je bent, welke dienst je levert, welke toegang daarbij hoort en per zorgplichtthema wat er geregeld is en waar het vastligt. Ook je doormeldtermijn, je contactpunt en je eigen sub-leveranciers staan erin. Bij Ketenborg is dit het gratis document.

Op de tien zorgplichtmaatregelen uit artikel 21 van de Cyberbeveiligingswet, in de uitwerking die het NCSC eraan geeft. Elk document is gekoppeld aan een specifiek onderdeel van dat artikel. Je opdrachtgever ziet daardoor bij elk stuk welke wettelijke bepaling erbij hoort.

Ongeveer twintig minuten, verdeeld over acht korte stappen. Je vult in wat je zelf weet over je bedrijf en je IT-omgeving; er is geen technische kennis voor nodig.

Ja. Er zit een knop in waarmee je jezelf een link mailt, en die link brengt je terug op precies het punt waar je gebleven was. Je antwoorden blijven bewaard, dus je hoeft de intake niet in één keer af te maken.

De inhoud komt uit jouw intake, wij leveren de structuur en de formulering. Er komt geen adviseur langs en er loopt geen apart traject. Jij blijft eigenaar van de antwoorden en het dossier staat op naam van je bedrijf.

Ja. Je krijgt elk document als PDF en als Word-bestand, dus je kunt tekst aanvullen of wijzigen voordat je het doorstuurt. Dat is ook de bedoeling: jij weet dingen over je bedrijf die niet in twintig minuten intake passen. Het Word-bestand draagt geen kenmerk, juist omdat je de tekst kunt wijzigen. De PDF is de versie die je opdrachtgever kan nakijken.

Ja, vanuit je eigen omgeving op ketenborg.nl. Je kiest losse documenten of je stuurt alles in een keer, je vult het e-mailadres van je opdrachtgever in, en wij sturen hem een mail met een link. Hij hoeft geen account te maken en niets te installeren. Antwoordt hij op die mail, dan komt dat bij jou terecht.

Negentig dagen. Voordat je verstuurt zie je op je scherm tot en met welke datum de link werkt, en diezelfde datum staat in de mail die je opdrachtgever krijgt. Daarna werkt hij niet meer en stuur je een nieuwe.

Ja, met een klik in je eigen omgeving, en de ontvanger komt er dan meteen niet meer in. Dat is het verschil met een bijlage in een mail: die blijft rondgaan zodra hij verstuurd is. In dezelfde lijst zie je ook of de link al is geopend.

Ja. Op elk gewaarmerkt document staat een kenmerk, en dat kenmerk kan hij nakijken op ketenborg.nl/waarmerk. Daar staat of wij het hebben uitgegeven, voor welk bedrijf en op welk moment. Wat er niet staat, is of de opgave klopt: de antwoorden komen van de leverancier zelf, en dat vermelden we erbij.

Nee. Het dossier is geen certificering en geen vervanging daarvan. Het is een onderbouwde en vastgelegde afweging, passend bij de omvang en het risicoprofiel van je bedrijf, bedoeld om aan je opdrachtgever te overleggen. Een geaccrediteerde instelling geeft een certificaat af. Wij zijn dat niet.

In veel gevallen wel. De zorgplicht in de wet is risicogestuurd: maatregelen moeten passend en evenredig zijn, en er is geen voorgeschreven checklist en geen verplichte norm. Voor een bedrijf van twaalf man is een volledig certificeringstraject vaak niet evenredig. Je opdrachtgever heeft dan een onderbouwd alternatief op papier nodig.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, verplicht voor zorgaanbieders zelf. Als leverancier heb je hem niet nodig, maar het helpt te weten dat je zorgklant in die taal denkt. De norm dekt al een deel van de Cbw-verplichtingen en de recente herziening bevat NIS2-elementen.

BIO2 is de nadere invulling van de zorgplicht voor de sector overheid. Het is relevant zodra je aan gemeenten, provincies of ministeries levert, want die worden erop aangesproken. Voor de overheid wordt aantoonbaar werken volgens onder meer NEN 27002:2022 en BIO2 genoemd.

Beter van niet. NIS2-compliant als kwaliteitsstempel is een claim die niemand kan afgeven, omdat er geen instantie bestaat die dat voor leveranciers toetst. De securityofficer die je verklaring leest herkent dat meteen. Beschrijf liever wat er feitelijk ligt: een onderbouwde en vastgelegde afweging op basis van de zorgplichtmaatregelen.

€595 excl. btw, eenmalig, voor het volledige dossier van negen documenten. Een geactualiseerde versie kost €195 excl. btw per keer. Dat is geen abonnement: je betaalt alleen als je zelf een nieuwe versie laat maken. Ter vergelijking: een adviesbureau rekent voor alleen al een nulmeting doorgaans €3.000 tot €10.000, en levert daar nog geen documenten bij.

Omdat de wet een cyclus verwacht en geen eenmalig document. Onderdeel f van artikel 21, derde lid gaat over het beoordelen van de effectiviteit van je maatregelen, en dat is iets wat je periodiek herhaalt. Een dossier van vorig jaar beschrijft je bedrijf van vorig jaar. Opdrachtgevers vragen dan ook regelmatig om een recente versie.

Binnen één werkdag. Na de intake en de betaling stellen we de documenten op en kijken we ze na; je krijgt een mail zodra alles klaarstaat. De leveranciersverklaring kun je al inzien voordat je betaalt.

Omdat we het dossier eerst nakijken voordat het naar je opdrachtgever kan. Je krijgt een mail zodra het klaarstaat, en dat is binnen een werkdag. Je factuur kun je wel meteen openen.

Nee. Tot 7 dagen nadat je dossier klaarstaat, pas je je antwoorden aan in je eigen paneel en maken we het opnieuw op. Dat kost niets. Je vorige dossier blijft ondertussen gewoon staan, want dat heb je misschien al doorgestuurd. Pas daarna is het een nieuwe versie van €195 excl. btw.

Direct online via je eigen bank, met Mollie als betaaldienst. Je ziet de volledige inhoudsopgave en één compleet voorbeelddocument voordat er iets betaald hoeft te worden.

Nee. De Cyberbeveiligingswet legt ketenleveranciers geen verplichtingen op, dus niemand kan je dwingen dit te hebben. Je opdrachtgever mag het wel van je vragen, en steeds vaker doet hij dat ook.

Nee, dat zijn twee losse sporen. Als er bij een incident persoonsgegevens betrokken zijn, loopt de AVG-melding gewoon door naast de melding onder de Cyberbeveiligingswet. Dit gaat bij veel organisaties mis, dus het is een goed punt om in je incidentprocedure expliciet vast te leggen.

Dan werk je de intake bij en genereer je een nieuwe versie via de jaarlijkse actualisatie. Overstappen naar een andere IT-partner of MFA alsnog overal aanzetten hoort in het dossier terug te komen, anders klopt het niet meer met hoe je bedrijf er werkelijk voor staat.

We verwerken je bedrijfsgegevens en de contactgegevens die je zelf invult, uitsluitend om je dossier te genereren en te leveren. Meer daarover staat in de algemene voorwaarden.

Meestal wel, want het probleem is zelden dat er niets geregeld is. Het probleem is dat het nergens staat. De gratis check laat zien welke punten al staan en welke nog open zijn, en het plan van aanpak in het dossier zet die openstaande punten op volgorde.

Ja. In je eigen omgeving voeg je een tweede e-mailadres toe, en daarmee kan een collega ook inloggen. Het moet een adres op hetzelfde domein zijn. De bevestiging gaat naar het hoofdadres, zodat niemand zichzelf erbij kan zetten.

In je eigen omgeving, onder Facturen en onder Documenten. Elke bestelling heeft daar zijn eigen factuur met een doorlopend nummer. Oudere versies blijven staan, want die heb je misschien al aan een opdrachtgever gegeven.