Op 15 augustus 2026 trad de Cyberbeveiligingswet daadwerkelijk in werking – zonder overgangsperiode. Vier dagen later blijkt in de praktijk dat de discussie is verschoven: niet langer “wat gaat er veranderen”, maar “kunt u aantonen dat u het op orde heeft”. Voor de tienduizenden mkb-bedrijven die als leverancier onder de NIS2-aantoonbaarheid vallen, is dat een fundamenteel andere vraag dan de voorbereidingsvragen van de afgelopen maanden.
Van aankondiging naar aantoonbaarheid
Tot voor kort konden veel bedrijven volstaan met een intentieverklaring: “we werken eraan”. Nu de wet daadwerkelijk van kracht is, verwachten zowel de tien aangewezen toezichthouders als grote opdrachtgevers concreet bewijs. Brancheorganisaties die leveranciers begeleiden constateren dat een simpele vragenlijst – jarenlang de standaardaanpak bij leveranciersbeoordeling – niet meer volstaat. NIS2 vraagt niet om een handtekening onder een checklist, maar om onderbouwing dat beveiligingsmaatregelen er daadwerkelijk zijn én werken.
Waarom een vragenlijst niet meer genoeg is
Het verschil zit in de bewijslast. Een vragenlijst registreert wat een leverancier zégt te doen; NIS2-aantoonbaarheid vraagt om onderbouwing die een audit of toezichthouder standhoudt. In de praktijk zien organisaties twee routes: zelf controleren via audits en inhoudelijke checks bij leveranciers, of vertrouwen op bestaande zekerheid zoals certificering. ISO 27001 wint daarbij snel terrein, omdat toezichthouder ENISA voor de uitvoeringsverordening een expliciete mapping naar deze norm heeft gemaakt – een gecertificeerd information security management system telt dus direct mee als onderbouwing.
Wat grote klanten nu concreet vragen
Voor mkb-leveranciers aan organisaties die wél rechtstreeks onder de wet vallen, verandert de contractpraktijk merkbaar. Opdrachtgevers leggen beveiligingseisen, meldprocedures bij incidenten, hersteltijden, afspraken over onderaannemers en een auditrecht vast in de contracten zelf – niet meer als losse bijlage, maar als kernvoorwaarde. Wie dat nu niet op orde heeft, loopt het risico dat een lopende opdracht bij verlenging alsnog vastloopt op een leveranciersbeoordeling die eerder een formaliteit was.
Dat risico is niet theoretisch. Van de tien toezichthouders die de Cyberbeveiligingswet handhaven, mogen sommige zowel proactief als reactief controleren – dus ook zonder aanleiding van een incident. En omdat er, anders dan bij eerdere wetgeving, geen overgangsperiode geldt, telt “we zijn er nog mee bezig” vanaf 15 augustus niet meer als antwoord. Grote afnemers die zelf onder toezicht staan, willen dat risico logischerwijs niet in hun eigen keten laten hangen en schuiven de bewijslast direct door naar hun leveranciers.
Hoe u het structureel oplost in plaats van ad hoc
De meest duurzame manier om aantoonbaarheid te vereenvoudigen, is het aantal plekken waar gevoelige data staat en het aantal partijen dat erbij kan, terugbrengen. Elke Amerikaanse cloudpartij of onduidelijke subverwerker in uw keten is een extra vraag die u in een audit moet beantwoorden. Bedrijven die overstappen naar Europese, zelf beheerde of transparant gehoste privacy-vriendelijke alternatieven voor cloud en samenwerking, hoeven bij een leveranciersaudit niet te gokken wat een externe partij intern doet – ze kunnen het zelf laten zien. Ook het onderbrengen van kritieke diensten op een eigen of gecertificeerde node maakt de bewijsvoering rond dataopslag en toegang aanzienlijk eenvoudiger dan bij een stapeling van buitenlandse SaaS-abonnementen.
Met andere woorden: hoe minder u hoeft uit te leggen, hoe makkelijker aantonen wordt. Voor mkb-bedrijven die nu voor het eerst een grondige leveranciersaudit doorlopen, is dit een goed moment om niet alleen de papieren onderbouwing op orde te brengen, maar ook de onderliggende infrastructuurkeuzes tegen het licht te houden. Wie dit liever kant-en-klaar geregeld heeft in plaats van zelf in te richten, kan ook kiezen voor een beheerde Europese private cloud, waarbij de aantoonbaarheid richting toezichthouders en klanten al is ingebouwd in de dienst.
Bron: CertificeringsAdvies Nederland – “NIS2 leveranciers: waarom een vragenlijst niet meer genoeg is”
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.