NIS2 voor leveranciers: wat je klant van jou kan eisen

De Belgische NIS2-wet geldt sinds 18 oktober 2024. Ze richt zich op middelgrote en grote organisaties in sectoren zoals energie, transport, gezondheid, voeding en digitale diensten. Een bakkerij, een boekhoudkantoor of een installateur met vijf man valt er meestal niet onder.

Toch merken steeds meer kleine bedrijven er iets van. Niet door een brief van de overheid, maar door een mail van een klant. Het Centrum voor Cybersecurity België (CCB) zegt het zelf: veel organisaties krijgen indirect met NIS2 te maken, omdat ze deel uitmaken van de toeleveringsketen van een NIS2-organisatie.

Waarom je klant ineens vragen stelt

Een organisatie die onder NIS2 valt, moet een reeks minimale beveiligingsmaatregelen nemen. Een daarvan is de beveiliging van de toeleveringsketen: de veiligheid van de relatie met haar rechtstreekse leveranciers en dienstverleners. Volgens de FAQ van het CCB moeten die leveranciers "soortgelijke maatregelen treffen".

De logica is eenvoudig. Een aanvaller die niet binnenraakt bij een groot bedrijf, probeert het via een kleinere partner die wel toegang heeft: tot het netwerk, tot een gedeelde map of tot de mailbox van de aankoopdienst. Jouw zwakke plek wordt dan de zwakke plek van je klant.

Wat je klant kan vragen

De wet zegt weinig over hoe een organisatie haar leveranciers moet controleren. In de praktijk komen er vooral deze vragen terug:

Wat je krijgt	Wat het betekent voor jou
Een vragenlijst over cyberveiligheid	Bijvoorbeeld vragen over back-ups, wachtwoorden, tweestapsverificatie, updates en wie toegang heeft tot wat
Nieuwe contractclausules	Afspraken over beveiliging, opleiding van je personeel, het melden van incidenten en het recht om je te controleren
Een meldplicht bij incidenten	Je klant moet zelf snel melden (een eerste waarschuwing binnen 24 uur), dus verwacht hij dat jij hem ook snel verwittigt
Eisen voor je onderaannemers	Wat jij uitbesteedt, moet even veilig zijn als wat je zelf doet
Een certificaat	CyberFundamentals of ISO 27001, als bewijs dat je maatregelen ook echt werken

Dat laatste is geen theorie. Het CCB schrijft letterlijk dat een NIS2-organisatie contractueel kan eisen dat haar leveranciers over een van de erkende certificeringen beschikken. En de druk stijgt: essentiële entiteiten moesten tegen 18 april 2026 kunnen aantonen dat ze hun maatregelen effectief toepassen. Wie zelf gecontroleerd wordt, kijkt strenger naar zijn leveranciers.

CyberFundamentals: welk niveau past bij jou?

CyberFundamentals (CyFun) is het Belgische kader van het CCB. Het heeft vier niveaus:

• Small: het startniveau, bedoeld voor micro-ondernemingen en organisaties met weinig technische kennis.
• Basic: de standaardmaatregelen voor alle ondernemingen.
• Important en Essential: voor organisaties die rekening moeten houden met gerichte of geavanceerde aanvallen.

Voor de meeste kleine leveranciers ligt de vraag tussen Small en Basic. Een formele controle gebeurt door een erkende keuringsinstantie, niet door het CCB zelf. Vraag je klant daarom eerst wat hij precies verwacht: een ingevulde vragenlijst, een zelfevaluatie of een echt attest. Dat verschil bepaalt hoeveel werk en kosten er op je afkomen.

Vijf vragen om jezelf vandaag te stellen

1. Welke klanten vallen onder NIS2? Denk aan ziekenhuizen, transportbedrijven, voedingsproducenten, energiebedrijven, gemeenten en grotere maakbedrijven.
2. Waar heb je toegang tot hun systemen of gegevens? Een login op hun portaal, een VPN, gedeelde mappen, plannen of klantgegevens.
3. Kan je aantonen wat je doet? Een lijst met toestellen en accounts, een back-up die getest is, een afspraak over wie wat beheert.
4. Weet je wie je verwittigt als het misgaat? Met een naam en een nummer, niet "iemand van IT".
5. Wat besteed je zelf uit? Je boekhouder, je webbouwer, je IT-hulp: ook zij horen in het verhaal.

Wie de basis al op orde heeft, zit snel goed. Wat die basis is, lees je in cyberveiligheid voor je KMO: de basis. Hoe snel een incident bij een klein bedrijf uit de hand loopt, zie je in wat er gebeurt als je bedrijf gehackt wordt.

Het zit ook in je voordeel

NIS2 klinkt als extra papierwerk, maar het werkt ook andersom. Een leverancier die meteen een duidelijk antwoord heeft op de vragenlijst, staat sterker bij een aanbesteding of een contractverlenging dan een concurrent die moet beginnen zoeken. En de maatregelen die je klant vraagt, beschermen in de eerste plaats je eigen zaak: tegen ransomware, factuurfraude en een week stilstand.

Hoe we het aanpakken

We lezen samen met jou de vragenlijst of de contractclausules van je klant en vertalen ze naar wat dat concreet betekent voor jouw zaak. Daarna brengen we in kaart wat er al in orde is en wat er ontbreekt, en zetten we de ontbrekende maatregelen op hun plaats: accounts, tweestapsverificatie, updates, back-ups en een kort incidentplan. Je hebt één vast aanspreekpunt dat de vragen van je klant kan beantwoorden. Moet er een formeel attest komen, dan zorgen we dat je klaar bent voor de keuring.

Dit is uitleg, geen juridisch advies. Twijfel je over wat een contract van je vraagt, laat het dan nalezen door je juridisch adviseur.

Veelgestelde vragen

Bronnen

1. NIS2 FAQ (versie 1.0) — Centrum voor Cybersecurity België
2. The levels and key measures (CyberFundamentals) — Centrum voor Cybersecurity België
3. NIS2: 18 April 2026 deadline – What essential entities must have in place — Centrum voor Cybersecurity België
4. NIS2 Directive explained, part 3: supply chain security — DLA Piper
5. Wat is de NIS2-richtlijn en waarom is deze belangrijk voor mijn bedrijf? — Unizo

Gecontroleerd op 30 oktober 2026. Regels en prijzen veranderen; kijk bij twijfel de bron na.