NIS2 ketenverantwoordelijkheid: wat bestuur en toezicht moeten regelen

NIS2 ketenverantwoordelijkheid betekent in de praktijk dat bestuur en directie moeten weten van welke externe partijen de organisatie werkelijk afhankelijk is, welke risico’s daardoor ontstaan en hoe die risico’s aantoonbaar worden beheerst. Onder de Cyberbeveiligingswet is beveiliging van de toeleveringsketen expliciet onderdeel van de zorgplicht. Daarbij gaat het om leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van netwerk- en informatiesystemen, maar ook om hun relevante onderaannemers en de fysieke omgeving waarin systemen worden gehost.

Beoordeel leveranciers op basis van hun werkelijke invloed op continuïteit en kritieke dienstverlening. Stel vervolgens passende NIS2 leveranciers eisen, beoordeel bewijs en assurance en leg incident- en continuïteitsafspraken vast. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden; sindsdien gelden onder meer de zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid voor organisaties die onder de wet vallen.

Voor bestuur, directie, RvC en RvT is NIS2 en ketenverantwoordelijkheid daarom vooral een governancevraag: kun je uitleggen welke ketenrisico’s je accepteert, welke je mitigeert en welke afhankelijkheden niet langer verantwoord zijn?

Wat betekent NIS2 ketenverantwoordelijkheid?

De zorgplicht van de Cyberbeveiligingswet vraagt om passende en evenredige technische, operationele en organisatorische maatregelen. Eén van de expliciete onderwerpen is de beveiliging van de toeleveringsketen, waaronder beveiligingsaspecten in de relatie met leveranciers en dienstverleners. De NCTV benadrukt dat organisaties risico’s van leveranciers en onderaannemers in kaart moeten brengen en maatregelen moeten treffen die passen bij de afhankelijkheid en impact.

Dat maakt ketenverantwoordelijkheid onder NIS2 breder dan leverancierscontracten alleen. Het gaat om de combinatie van:

• zicht op kritieke processen, systemen, data en leveranciers;
• een risicogebaseerde classificatie van leveranciers en afhankelijkheden;
• contractuele en operationele beveiligingsafspraken;
• toetsing van naleving en assurance;
• incidentmelding en samenwerking tijdens verstoringen;
• bedrijfscontinuïteit, herstel en exitmogelijkheden;
• bestuurlijke rapportage, escalatie en expliciete risicoacceptatie.

De formele wettelijke verplichtingen liggen bij de organisatie die onder de Cyberbeveiligingswet valt. Een leverancier valt niet automatisch zelf onder de wet omdat hij aan een NIS2-entiteit levert. Wel kan een leverancier indirect met aanvullende eisen worden geconfronteerd, omdat de afnemer zijn eigen ketenrisico’s moet beheersen.

Welke leveranciers en afhankelijkheden zijn kritisch?

Niet iedere leverancier verdient dezelfde bestuurlijke aandacht. Begin bij partijen waarvan uitval, compromittering of verlies van toegang direct raakt aan primaire dienstverlening, gevoelige informatie of herstelvermogen. De NCTV adviseert expliciet te beoordelen welke processen, systemen en gegevens afhankelijk zijn van leveranciers en wat er gebeurt wanneer een leverancier uitvalt of slachtoffer wordt van een cyberincident.

Bestuurlijk relevante kenmerken van een kritieke leverancier

• de leverancier ondersteunt een primair of maatschappelijk kritiek proces;
• de leverancier beheert identiteiten, privileged accounts of technische beheerrechten;
• de leverancier verwerkt grote hoeveelheden vertrouwelijke, bijzondere of bedrijfskritische gegevens;
• een SaaS-, cloud-, MSP- of hostingdienst vormt een single point of failure;
• de organisatie kan niet binnen acceptabele tijd overstappen of zelf herstellen;
• de leverancier is afhankelijk van onderaannemers waar weinig zicht op bestaat;
• uitval raakt wettelijke termijnen, patiëntenzorg, publieke dienstverlening, logistiek of andere kritieke prestaties;
• alternatieven, back-ups of exitmogelijkheden zijn beperkt.

De bestuurlijke vraag luidt: “Hoe afhankelijk zijn wij van deze leverancier, welk scenario kan ons raken en welke handelingsruimte hebben wij dan?”

Ketenverantwoordelijkheid NIS2: wat verandert bij uitbesteden?

Uitbesteden kan een verstandige beheersmaatregel zijn. Een gespecialiseerde partij kan technisch sterker zijn dan de eigen organisatie. Maar uitbesteding verandert niet dat de organisatie zelf haar wettelijke zorgplicht moet invullen en dat het bestuur de maatregelen voor cyberrisicobeheersing moet goedkeuren en op de uitvoering moet toezien.

Dat betekent bestuurlijk drie dingen:

1. Uitvoering kan extern liggen. Beheer, hosting, monitoring, back-up of softwareontwikkeling kan worden uitbesteed.
2. Risico-eigenaarschap blijft intern. De organisatie moet zelf beoordelen of het restrisico acceptabel is en welke aanvullende maatregelen nodig zijn.
3. Aantoonbaarheid blijft noodzakelijk. “De leverancier regelt het” is geen bestuurlijke onderbouwing. Je moet kunnen laten zien op welke informatie, assurance, contractafspraken en controles je oordeel is gebaseerd.

Dit is precies waarom NIS2 ketenverantwoordelijkheid een boardroomonderwerp is. Het bestuur richt zich op de materiële afhankelijkheden en de risico’s die expliciete besluitvorming vragen. Technische specialisten leveren daarvoor de onderbouwing.

Welke NIS2 leveranciers eisen leg je contractueel vast?

De Cyberbeveiligingswet schrijft niet voor iedere leverancier één standaardcontract voor. Contractuele eisen moeten passen bij het risico. Het NCSC adviseert om afspraken vast te leggen, bijvoorbeeld in een SLA of DAP, en noemt onder meer security audits, incidentmelding, continuïteit en exit als relevante onderwerpen.

Beveiliging en toegang

• minimumvereisten voor toegangsbeveiliging, MFA, logging en beheeraccounts;
• afspraken over patching, kwetsbaarheden en wijzigingsbeheer;
• eisen aan onderaannemers of subprocessors wanneer zij dezelfde kritieke dienstverlening raken;
• melding van materiële wijzigingen in architectuur, hostinglocatie of subleveranciers.

Incidentmelding en samenwerking

• een korte contractuele meldtermijn voor relevante beveiligingsincidenten;
• duidelijke escalatiekanalen, ook buiten kantooruren;
• verplichte medewerking aan onderzoek, containment, herstel en rapportage;
• afspraken over welke informatie minimaal wordt gedeeld: impact, getroffen systemen, tijdlijn, maatregelen en verwachte hersteltijd.

Continuïteit en exit

• RTO/RPO of andere passende hersteldoelstellingen waar relevant;
• back-up-, herstel- en crisisafspraken;
• periodieke continuïteits- of hersteltests voor kritieke diensten;
• data-export, overdraagbaarheid, escrow of andere exitmechanismen waar afhankelijkheid dat rechtvaardigt;
• ondersteuning bij gecontroleerde beëindiging van de dienstverlening.

Voor verdere praktische uitwerking van leveranciersbeheersing kun je het artikel NIS2 leveranciers gebruiken. Voor de bredere digitale afhankelijkheden en subketens verwijzen we naar NIS2 supply chain.

Assurance: welk bewijs is voldoende?

Een ISO 27001-certificaat, auditrapport, assuranceverklaring of technische test kan waardevol bewijs leveren. Maar geen enkel document vervangt je eigen risicoafweging. Het NCSC waarschuwt dat certificaten een beperkte scope kunnen hebben: bijvoorbeeld slechts één vestiging, dienst of organisatieonderdeel. Beoordeel daarom zowel welk bewijs beschikbaar is als de dienst, vestiging en periode waarop dat bewijs betrekking heeft.

Vragen bij assurance van kritieke leveranciers

• valt precies de afgenomen dienst, hostingomgeving en locatie binnen de scope?
• hoe actueel is het rapport of certificaat?
• welke uitzonderingen, bevindingen of restrisico’s zijn opgenomen?
• is herstel van tekortkomingen aantoonbaar gevolgd?
• welke delen worden door subleveranciers uitgevoerd?
• krijgt de organisatie voldoende informatie om zelf een bestuurlijk oordeel te vormen?

Een certificaat kan dus helpen bij NIS2 leveranciers-beoordeling, maar “gecertificeerd” mag geen synoniem worden voor “risico afgedekt”. Voor kritieke afhankelijkheden kan aanvullende assurance nodig zijn, bijvoorbeeld gerichte bewijsstukken, periodieke reviews, auditrechten of een bespreking van openstaande risico’s.

Incidentmelding in de NIS2-keten: leg meldtermijnen vooraf vast

Sinds 15 augustus 2026 geldt voor essentiële en belangrijke entiteiten een wettelijke meldprocedure voor significante incidenten. De eerste vroegtijdige waarschuwing moet uiterlijk binnen 24 uur nadat de entiteit kennis heeft gekregen van het significante incident worden gedaan; daarna volgt uiterlijk binnen 72 uur een melding met nadere informatie en uiterlijk één maand later een eindverslag.

Die termijnen gelden voor de entiteit zelf. Een leverancier heeft niet automatisch dezelfde wettelijke meldingstermijn richting de organisatie. Daarom moet je contractueel regelen dat een kritieke leverancier veel eerder meldt zodra een incident de dienstverlening, systemen, gegevens of wettelijke verplichtingen van de organisatie kan raken. Zonder zo’n afspraak kun je kostbare uren verliezen voordat je überhaupt weet wat er speelt.

Bestuurlijke controlevraag

Kan de organisatie aantoonbaar binnen de wettelijke meldtermijnen handelen als het incident bij een externe leverancier begint? Een te korte beschikbare reactietijd vormt een governance- en continuïteitsrisico.

Continuïteit: wat als een kritieke leverancier uitvalt?

Bedrijfscontinuïteit is eveneens een expliciet onderdeel van de zorgplicht. Bij NIS2 en ketenverantwoordelijkheid hoort daarom ook een scenario waarin een leverancier, cloudomgeving, MSP of softwareplatform langdurig wegvalt.

Bestuur en toezicht moeten kunnen zien:

• welke dienstverlening direct geraakt wordt;
• hoe lang de organisatie zonder deze leverancier kan functioneren;
• welke alternatieve werkwijze of leverancier beschikbaar is;
• of eigen data en configuraties tijdig beschikbaar zijn voor herstel;
• wanneer opschaling naar crisismanagement nodig is;
• of exit- en herstelplannen daadwerkelijk zijn getest.

Een mooi contract zonder realistische terugvalmogelijkheid is geen continuïteitsmaatregel. Kritieke leveranciers moeten daarom onderdeel zijn van incidentresponse, business continuity en crisisoefeningen.

Bestuurlijke rapportage over NIS2 ketenverantwoordelijkheid

Bestuurlijke rapportage moet geen lijst van honderd leveranciers worden. Voor bestuur, RvC en RvT is vooral de uitzondering en het materiële risico relevant. Een compacte periodieke rapportage kan bijvoorbeeld bevatten:

• aantal kritieke leveranciers en wijzigingen daarin;
• toprisico’s en afhankelijkheden per kritiek proces;
• leveranciers zonder voldoende assurance of contractuele borging;
• openstaande high-risk bevindingen en achterstallige maatregelen;
• incidenten bij leveranciers en relevante trends;
• status van continuïteits-, herstel- en exittesten;
• concentratierisico: meerdere kritieke diensten bij dezelfde leverancier of subleverancier;
• expliciete risicoacceptaties die bestuurlijke goedkeuring vragen.

De bestuurlijke discussie gaat daardoor over materiële kwetsbaarheid: weet de organisatie waar kritieke afhankelijkheden zitten en worden daar aantoonbaar besluiten over genomen?

Welke vragen moeten bestuur, directie, RvC en RvT stellen?

Voor bestuur en directie

1. Welke vijf tot tien leveranciers kunnen onze primaire dienstverlening daadwerkelijk stilleggen?
2. Welke kritieke afhankelijkheden hebben geen realistisch alternatief of exitpad?
3. Welke NIS2 leveranciers eisen gelden per risicoklasse en wie bewaakt uitzonderingen?
4. Welke assurance ontvangen we en wat zegt die assurance juist níet?
5. Kunnen leveranciersincidenten ons op tijd bereiken om zelf aan de meldplicht te voldoen?
6. Welke ketenrisico’s accepteren we bewust en waar is dat besluit vastgelegd?
7. Zijn continuïteit en herstel met kritieke leveranciers daadwerkelijk getest?

Voor RvC, RvT en auditcommissie

1. Krijgen wij periodiek een bestuurlijk overzicht van de grootste leveranciers- en concentratierisico’s?
2. Is duidelijk wie eigenaar is van ketenrisico: inkoop, IT, CISO, business of bestuur?
3. Zijn openstaande uitzonderingen en niet-geaccepteerde risico’s zichtbaar in de rapportage?
4. Worden kritieke leveranciers opnieuw beoordeeld na incidenten, grote wijzigingen of contractverlenging?
5. Is er aantoonbaar samenhang tussen leveranciersmanagement, incidentresponse en continuïteitsmanagement?
6. Kan het bestuur uitleggen waarom het huidige restrisico acceptabel is?

Deze vragen passen bij de rol van toezicht: toetsen of de organisatie haar afhankelijkheden kent, beheerst en aantoonbaar opvolgt. De audituitvoering blijft bij de daarvoor aangewezen professionals.

NIS2 ketenverantwoordelijkheid, leveranciers en supply chain: houd de rollen uit elkaar

Op deze kennisbank behandelen we drie nauw verwante onderwerpen bewust apart:

• NIS2 ketenverantwoordelijkheid: de bestuurlijke verantwoordelijkheid, risicobesluiten en toezicht op afhankelijkheden;
• NIS2 leveranciers: de praktische inrichting van classificatie, eisen, beoordeling en opvolging van directe leveranciers;
• NIS2 supply chain: de bredere keten, subleveranciers, digitale afhankelijkheden en ketenbeveiliging.

Door die rollen uit elkaar te houden voorkom je dat ketenverantwoordelijkheid wordt gereduceerd tot een inkoopchecklist. De NIS2 keten vraagt uiteindelijk om bestuurlijke samenhang tussen risico, contract, assurance, incidentmanagement en continuïteit.

Veelgestelde vragen over NIS2 ketenverantwoordelijkheid

Bronnen en verdere verdieping

De wettelijke en bestuurlijke duiding in dit artikel is gebaseerd op actuele informatie van de NCTV en het NCSC over de Cyberbeveiligingswet, zorgplicht, toeleveringsketen en bestuurlijke verantwoordelijkheid. Zie onder meer NCTV – Toeleveringsketen, NCTV – Zorgplicht en NCSC – afspraken maken met toeleveranciers.