Een NIS2-vragenlijst van je klant gekregen? Dit doe je nu

Een vragenlijst over cyberbeveiliging, van een opdrachtgever die al jaren dezelfde spullen of diensten bij je afneemt. Veertig vragen, een deadline van een paar weken, en het gevoel dat er iets is veranderd zonder dat iemand het heeft aangekondigd. Dat gevoel klopt voor een deel. Er is iets veranderd, en het is normaal dat je die lijst nu pas krijgt.

Waarom deze vragenlijst nu op je bureau ligt

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Die wet verplicht niet jou, maar wel je opdrachtgever: hij moet de cyberbeveiliging van zijn leveranciers beoordelen en dat kunnen aantonen.

“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners.”

Artikel 21, derde lid, onderdeel d Cbw

Jij bent die rechtstreekse leverancier. De vragenlijst is zijn manier om aan die verplichting te voldoen, niet een losse eis die je opdrachtgever zelf heeft bedacht. Hier staat precies waar dat in de wet staat.

Wat er niet gebeurt als je hem laat liggen

Geen boete, geen toezichthouder die bij jou aanklopt. Die kant van de wet raakt je opdrachtgever, niet jou. Wat wel kan gebeuren: een opdrachtgever die geen bruikbaar antwoord terugkrijgt, kiest bij de volgende contractronde eerder voor een leverancier die dat antwoord al klaar heeft liggen. Dat is een concurrentierisico, geen juridisch risico.

Wat je nu doet

1. 01Lees de vragenlijst rustig door en doe de gratis check: binnen een paar minuten zie je op welke van de vijf kernmaatregelen je nog iets moet regelen.
2. 02Gebruik dat overzicht om te bepalen of je de antwoorden zelf optikt, of in één keer een compleet dossier laat opmaken.