Vraagt een klant hoe jouw cyberbeveiliging is geregeld? Dan wil je weten wat je moet aantonen, zonder een heel nieuw project op te tuigen. Begin met twee vragen: wat vraagt de wet van jouw organisatie en welke beveiligingsafspraken heb je met jouw klant gemaakt? Jouw plek als directe leverancier of tier 2-, 3- of 4-partij bepaalt niet vanzelf of je onder NIS2 valt.
NIS2 is in Nederland uitgewerkt in de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. In dit artikel maken we het verschil tussen wettelijke plichten en klanteisen praktisch. KAM helpt je om bestaande maatregelen te benutten en duidelijk te krijgen wat nog nodig is.
Beoordeel eerst of de Cyberbeveiligingswet voor jouw organisatie geldt. Bekijk daarnaast de beveiligingsafspraken met klanten. Zo weet je wat je moet regelen en welke voorbereiding daarbij past.
Begin bij jouw rol in de keten
In deze reeks volgen we één vereenvoudigd ketenvoorbeeld. Defensie koopt een systeem bij een OEM of hoofdaannemer, hier tier 1 genoemd. Een tier 2-bedrijf levert een subsysteem, een tier 3-bedrijf onderdelen en een tier 4-bedrijf materialen of componenten. Die telling sluit aan op een Nederlandse Kamerbeantwoording. Vraag bij jouw afnemer welke indeling die gebruikt; de benamingen kunnen verschillen.
Twee bedrijven op dezelfde plek in de keten kunnen verschillende verplichtingen hebben. Het ene valt zelf onder de Cyberbeveiligingswet. Het andere valt erbuiten, maar moet wel beveiligingsafspraken met klanten nakomen. Daarom onderzoeken we de wet en de klantafspraken apart.
Lees voor de samenhang met AQAP, ABRO en andere eisen ook ‘Werken voor Defensie: welke eisen gelden voor jouw plek in de keten?’
Wanneer valt jouw organisatie zelf onder de Cyberbeveiligingswet?
Kijk naar wat jouw organisatie doet
De wet noemt specifieke soorten organisaties en activiteiten. Voor maakbedrijven kan het bijvoorbeeld gaan om bepaalde elektronica, elektrische apparatuur, machines of transportmiddelen. Ook digitale dienstverlening kan een reden zijn om onder de wet te vallen. Controleer dus welke categorie bij jouw werkzaamheden hoort; alleen het etiket ‘maakbedrijf’ of ‘defensieleverancier’ geeft nog geen antwoord.
Beschrijf wat je doet: software ontwikkelen, machines produceren of systemen voor klanten beheren. Zoek daarmee de passende wettelijke categorie.
Neem ook de omvang en bedrijfsstructuur mee
Naast de activiteiten zijn de omvangscriteria van belang. Voor veel entiteiten is de hoofdregel: 50 of meer medewerkers (in fte), óf bij minder dan 50 medewerkers zowel een jaaromzet als een balanstotaal boven € 10 miljoen. Deze toets speelt pas nadat jouw activiteiten binnen een wettelijke categorie vallen. Voor sommige soorten organisaties geldt geen omvangseis.
Gegevens van partner- en verbonden ondernemingen kunnen meetellen. Een relatief kleine vestiging is daardoor niet zonder meer een kleine zelfstandige onderneming voor deze beoordeling.
Leg vast welke onderneming je beoordeelt, welke gegevens je gebruikt en wat de uitkomst is. Herzie de beoordeling bij groei, een overname of nieuwe dienstverlening.
Ga na of een aanwijzing of uitzondering voor jou geldt
Het ministerie van Defensie is in beginsel uitgezonderd van de wet. Die uitzondering geldt niet algemeen voor commerciële leveranciers. Voor specifieke defensie- en veiligheidsactiviteiten kan een ontheffing bestaan, maar daarvoor is een toepasselijke regeling of besluit nodig. Je kunt dus niet zelf een vrijstelling aannemen omdat jouw klant Defensie is.
De zelfevaluatie van de overheid helpt je op weg. Bij twijfel over activiteiten, structuur of uitzonderingen helpt KAM je de vragen en benodigde informatie te ordenen. Laat die vragen waar nodig juridisch toetsen.
Essentieel en belangrijk zijn geen ketenniveaus
Valt jouw organisatie onder de wet, dan kijk je of je een essentiële of belangrijke entiteit bent. Die indeling bepaalt onder meer hoe het toezicht is ingericht. Het woord ‘belangrijk’ betekent dus niet dat beveiliging vrijblijvend is, en de indeling staat los van jouw tiernummer.
Wettelijke plicht of klanteis: wat is het verschil?
Dit overzicht laat vier mogelijke situaties zien. Gebruik de beoordeling van jouw eigen organisatie om te bepalen welke voorbereiding past.
| Jouw situatie | Wat betekent dit voor de voorbereiding? |
|---|---|
| Je valt onder de wet én ontvangt klanteisen. | Organiseer wat de wet vraagt en beoordeel aanvullende klantafspraken. Het contract vervangt de wet niet. |
| Je valt onder de wet, maar jouw klant noemt NIS2 niet. | Jouw wettelijke verplichtingen blijven gelden. Wacht niet op een vragenlijst van de klant. |
| Je valt niet onder de wet, maar ontvangt klanteisen. | Voer de afgesproken beveiligingsmaatregelen uit. Die klanteisen maken je niet automatisch wettelijk NIS2-plichtig. |
| Je valt niet onder de wet en hebt geen specifieke klanteisen. | Bepaal welke beveiliging jouw bedrijfsvoering en levering nodig hebben. Ook zonder NIS2-plicht zijn er cyberrisico’s. |
Een klantafspraak en een wettelijke plicht kunnen naast elkaar bestaan. Dat is de reden om beide in beeld te brengen, ook wanneer jouw afnemer zelf nog geen vragen stelt.
Wat moet je organiseren als de wet voor jou geldt?
Valt jouw organisatie onder de Cyberbeveiligingswet, dan moet je onder meer de registratie, de zorgplicht en het melden van significante incidenten regelen. Ook het bestuur heeft een duidelijke rol: maatregelen goedkeuren, toezien op de uitvoering en over passende kennis beschikken. Je legt dit dus niet alleen bij IT neer.
De zorgplicht vraagt om maatregelen die passen bij jouw risico’s. Denk aan veilige toegang, incidentafhandeling, continuïteit, leveranciersbeveiliging en het aanpakken van kwetsbaarheden. Je moet ook beoordelen of de maatregelen werken. Wat daarvoor nodig is, hangt af van jouw organisatie en de risico’s die je loopt.
Wij maken dit concreet met vier vragen per onderwerp: wie is verantwoordelijk, wat is afgesproken, hoe laat je de uitvoering zien en wanneer controleer je die? Neem het afsluiten van accounts. Een procedure is een begin; de registratie moet laten zien dat toegang bij uitdiensttreding ook op tijd wordt ingetrokken.
Spreek vooraf af wie welk incident meldt
Bij een significant incident telt snelheid. In de reguliere wettelijke route geef je zo snel mogelijk, uiterlijk binnen 24 uur na kennisneming, een vroegtijdige waarschuwing. De incidentmelding volgt zo snel mogelijk, uiterlijk binnen 72 uur na diezelfde kennisneming. In beginsel volgt binnen één maand na de incidentmelding het eindverslag. Loopt het incident nog, dan geef je eerst een voortgangsverslag en volgt het eindverslag binnen één maand na afhandeling. Controleer welke drempels, sectorregels en uitzonderingen voor jouw organisatie gelden.
Jouw klant kan daarnaast een eigen, soms kortere, meldingstermijn afspreken. Leg daarom vooraf vast wie je informeert, via welk kanaal en binnen welke termijn. Neem wettelijke meldingen en meldingen aan klanten apart op. Zo hoeft jouw team tijdens een incident niet meer uit te zoeken wie welk bericht moet ontvangen. Een melding aan de klant vervangt een verplichte melding aan de overheid niet.
Welke beveiligingseisen kan jouw klant stellen?
Een klant die onder de Cyberbeveiligingswet valt, moet ook de cyberrisico’s van leveranciers en dienstverleners beheersen. Daarom kan die afspraken met je willen maken over maatregelen, incidenten, kwetsbaarheden en continuïteit. De afspraken moeten passen bij wat je levert en de risico’s die daarbij horen.
Krijg je de vraag ‘zijn jullie NIS2-compliant?’, bespreek dan eerst wat jouw klant precies bedoelt. Gaat het om toegang tot een portaal, het verwerken van ontwerpen, onderhoud op afstand of een kritieke productielevering? Met dat antwoord kun je bepalen welke maatregelen en onderbouwing nodig zijn.
Maak de afspraken herkenbaar voor de mensen die ze uitvoeren. Wie krijgt toegang en wie trekt die weer in? Wat doe je als een account wordt misbruikt? Welke eisen geef je door wanneer je werk uitbesteedt? Spreek ook af wat jouw klant wil zien bij een vragenlijst, audit of verklaring.
Je hoeft daarvoor niet zonder meer al jouw beveiligingsinformatie te delen. Bespreek welk bewijs nodig is en hoe je het veilig overdraagt. Een samenvatting van een hersteltest kan voldoende zijn, terwijl een andere vraag om een gerichte beoordeling vraagt. Zo onderbouw je jouw aanpak zonder onnodig gevoelige details te verspreiden.
Praktijkillustratie: van OEM naar tier 2, 3 en 4
Stel dat een OEM een voertuig levert en een elektronisch subsysteem bestelt bij een tier 2-bedrijf. Dat bedrijf betrekt onderdelen bij een tier 3-producent, die weer materialen van een tier 4-leverancier ontvangt.
In dit fictieve voorbeeld vallen de OEM en het tier 2-bedrijf na een eigen beoordeling onder de Cyberbeveiligingswet. De andere twee bedrijven vallen erbuiten. Dat is het vertrekpunt van het voorbeeld, niet een gevolg van hun tiernummer.
De OEM spreekt met het tier 2-bedrijf af hoe projectinformatie wordt beschermd en hoe incidenten worden gemeld. Het tier 2-bedrijf kijkt vervolgens wat nodig is bij de onderdelenproducent. Een partij zonder ontwerpbestanden vraagt mogelijk om andere afspraken dan een partij die toegang krijgt tot het ontwikkelplatform.
Ook de tier 3-producent bespreekt de afhankelijkheid van zijn materiaalleverancier. Welke informatie delen zij, wat gebeurt er bij uitval van het bestelportaal en wanneer informeren ze elkaar over een verstoring?
Zo werken beveiligingsafspraken door in de keten, terwijl ieder bedrijf zijn eigen wettelijke positie houdt. Je kopieert niet overal hetzelfde contract. Je spreekt af wat nodig is om de relevante risico’s te beheersen en wie daarvoor verantwoordelijk is.
Hoe verhouden NIS2, ISO 27001, ABRO en AQAP zich tot elkaar?
Je hoeft voor ieder onderwerp niet opnieuw te beginnen. Bestaande maatregelen kunnen bruikbaar zijn, maar deze kaders beantwoorden elk een andere vraag.
| Kader | Centrale vraag |
|---|---|
| Cyberbeveiligingswet / NIS2 | Welke wettelijke cyberverplichtingen gelden voor deze organisatie? |
| ISO 27001 | Hoe beheerst de organisatie informatiebeveiligingsrisico’s met een managementsysteem? |
| ABRO | Welke beveiliging is nodig voor de betreffende bijzondere overheidsopdracht? |
| AQAP | Hoe borgt de leverancier de contractueel voorgeschreven kwaliteit van de levering? |
Werk je al met ISO 27001? Dan heb je een bruikbare structuur voor risico’s, maatregelen, verantwoordelijkheden en verbetering. Kijk vervolgens wat de wet daarnaast vraagt, zoals registratie, bestuurlijke verantwoordelijkheid en wettelijke meldingen. Controleer ook of het managementsysteem de juiste organisatieonderdelen en activiteiten omvat. Het certificaat neemt die beoordeling niet over.
ABRO gaat over de beveiliging van een specifieke overheidsopdracht en kent eigen procedures en beoordeling door het NBIV. Een ISO 27001-certificaat vervangt die beoordeling niet. Andersom geeft een positieve ABRO-beoordeling geen antwoord op alle verplichtingen uit de Cyberbeveiligingswet.
AQAP richt zich op kwaliteitsborging, niet op cybercertificering. De afnemer bepaalt welke AQAP voor jouw levering geldt. In de praktijk kunnen kwaliteit en informatiebeveiliging elkaar wel raken, bijvoorbeeld wanneer je productwijzigingen vastlegt of afspraken met leveranciers beheert. Juist daar zoeken we naar samenhang.
Kijk verder dan kantoor-IT: hoe blijft de productie werken?
Een beveiligingschecklist vertelt nog niet of jouw productie kan doorgaan. Neem daarom ook de operationele technologie mee: de systemen die machines en fysieke processen aansturen. Denk aan onderhoud op afstand en verbindingen tussen kantoor en productie. Het NCSC adviseert onder meer om externe toegang te beheersen en netwerken passend te scheiden.
Bij KAM brengen we productie, IT, inkoop en kwaliteit rond één concrete levering bij elkaar. Welke systemen zijn nodig voor de juiste productversie? Kun je materiaalgegevens nog terugvinden als het centrale systeem uitvalt? En wie beslist over een tijdelijke werkwijze? Zo wordt cyberbeveiliging een gezamenlijk vraagstuk in plaats van een losse IT-actie.
Daarbij kijken we verder dan de aanwezigheid van een back-up. Test of je gegevens bruikbaar terugkrijgt en of het werk binnen de afgesproken tijd kan worden hervat. Dan weet je wat jouw voorbereiding in de praktijk waard is.
Zo brengt KAM samen met jou overzicht en voortgang
1. Vaststellen welke vragen voor jou spelen
We beginnen bij jouw activiteiten, afnemers en contracten. Samen verzamelen we de informatie voor de beoordeling van jouw wettelijke positie. Vragen die een juridische of sectorspecifieke toets vragen, maken we expliciet.
Daarna zetten we de concrete klanteisen ernaast. Je ziet welke afspraken al duidelijk zijn en waar nog overleg nodig is. Dat geeft rust voordat je aan de maatregelen begint.
2. Met een GAP-analyse benutten wat al werkt
We bekijken de bestaande afspraken over informatiebeveiliging, kwaliteit en continuïteit. Per eis kijken we wat is vastgelegd, hoe medewerkers ermee werken en welke onderbouwing beschikbaar is. Bruikbare procedures en registraties nemen we mee.
Je krijgt een verbeterplan met prioriteiten. Daarin staat welke risico’s aandacht vragen, welke besluiten nodig zijn en wie aan zet is. Zo weet jouw team wat het eerst moet oppakken.
3. Het werk verdelen en de planning bewaken
Cyberbeveiliging raakt directie, IT, HR, inkoop, productie en de KAM-verantwoordelijke. We spreken af wie welke actie uitvoert en plannen terug vanaf klantdeadlines en andere belangrijke momenten. Ook leveranciersafspraken, technische wijzigingen en het oefenen met nieuwe werkwijzen krijgen een plek.
Heb je weinig interne capaciteit, dan nemen we met intensieve begeleiding veel werk uit handen. Wil je zelf uitvoeren, dan bieden we coaching en sparring. Een vaste consultant houdt overzicht en bewaakt de voortgang. Voor de afgesproken begeleiding maken we vooraf vaste prijsafspraken.
4. Controleren of maatregelen werken en incidenten oefenen
Met een interne audit of gerichte controle toetsen we de uitvoering. Daarna oefenen we bijvoorbeeld een incidentmelding: wie beslist, welke gegevens zijn nodig en weet de vervanger wat te doen? Zo ontdek je verbeterpunten op een moment waarop je ze nog rustig kunt oplossen.
Hoort ISO 27001-certificering bij het traject, dan plannen we de interne audit, directiebeoordeling en externe audit op tijd. Binnen die afgesproken certificeringsbegeleiding geldt onze slagingsgarantie. Die staat los van een juridisch oordeel over naleving en is geen garantie dat incidenten uitblijven.
5. De afspraken blijven gebruiken en verbeteren
We koppelen leveranciersbeoordelingen, toegangscontroles en verbeteracties aan vaste momenten in de bedrijfsvoering. KAM Academy kan helpen om medewerkers op hun rol voor te bereiden. Met passende ondersteuning vanuit KAM Digital houd je acties en registraties overzichtelijk. Zo groeit de aanpak mee met jouw organisatie.
Praktische checklist: weet je wat geregeld is?
Bespreek onderstaande punten met jouw team. Waar je nog geen antwoord of bewijs hebt, zit een concrete vervolgvraag. De checklist helpt je het werk te ordenen; zij vervangt geen volledige beoordeling van de eisen.
- Wettelijke positie: je hebt vastgelegd hoe activiteiten, omvang, bedrijfsstructuur en uitzonderingen zijn beoordeeld.
- Klanteisen: je weet welke maatregelen, meldingen en onderbouwing jouw klanten verwachten.
- Verantwoordelijkheden: directie en betrokken medewerkers weten wie besluit en wie uitvoert.
- Toegang en productie: je hebt accounts, externe toegang en belangrijke IT- en productiesystemen in beeld.
- Leveranciers: je kent de kritieke afhankelijkheden, afspraken en contactpersonen.
- Herstel: je hebt getest of back-ups en herstelplannen helpen om de levering weer op gang te brengen.
- Opvolging: elke verbeteractie heeft een verantwoordelijke, een planning en een duidelijk resultaat.
Van Norm naar Groei: grip op cyberrisico’s én op klantafspraken
Je wilt een klantvraag met vertrouwen beantwoorden. Dat lukt wanneer je weet welke afspraken gelden, wie ze uitvoert en hoe je laat zien dat ze werken. Een goed ingericht traject geeft je daardoor meer dan een ingevulde vragenlijst: het geeft overzicht in jouw organisatie.
Dat is Van Norm naar Groei: van een beveiligingseis naar duidelijke verantwoordelijkheden, minder uitzoekwerk en een beter voorbereide organisatie. Ook niet-digitale verstoringen verdienen aandacht. Daarover lees je meer in ‘Leveringszekerheid in de defensieketen: blijven leveren onder druk’.
Ligt er een vragenlijst of beveiligingseis van een klant waar je mee verder wilt? Neem die mee in een gesprek met KAM. Samen bekijken we wat al geregeld is en welke stappen nodig zijn, met een aanpak die past bij jouw team.
Breng je cyber- en ketenverplichtingen in kaart. Plan een Defensie-ready kennismakingsgesprek.
Veelgestelde vragen over NIS2 in de defensieketen
Geldt NIS2 automatisch voor tier 2-, 3- en 4-leveranciers?
Nee. Je beoordeelt eerst of jouw organisatie aan de criteria van de Cyberbeveiligingswet voldoet. Daarnaast bekijk je welke beveiligingsafspraken jouw klant verlangt. Die vragen hangen samen, maar een tiernummer bepaalt niet jouw wettelijke verplichtingen.
Zijn alle bedrijven die voor Defensie werken uitgezonderd?
Nee. De uitzondering voor Defensie geldt niet algemeen voor commerciële leveranciers. Bij specifieke activiteiten kan een ontheffing spelen, maar daarvoor moet een toepasselijke regeling of besluit bestaan. Ga dus na wat voor jouw organisatie geldt.
Is ISO 27001 voldoende om aan NIS2 te voldoen?
ISO 27001 biedt een bruikbare basis, maar de wet vraagt ook om bijvoorbeeld registratie en wettelijke meldingen. Controleer bovendien of de juiste organisatieonderdelen en activiteiten onder jouw managementsysteem vallen. Gebruik het bestaande systeem als vertrekpunt en bepaal wat nog nodig is.
Moet een kleine onderaannemer hetzelfde doen als een grote OEM?
Kijk eerst naar de eigen wettelijke positie en daarna naar het contract en de risico’s van de levering. Een kleine organisatie kan een kritieke dienst leveren. Toch hoeft niet iedere leverancier hetzelfde maatregelenpakket in te richten; de afspraken moeten passen bij de werkzaamheden.
Kan ABRO de NIS2-beoordeling vervangen?
Nee. ABRO gaat over de beveiliging van een bijzondere overheidsopdracht; de Cyberbeveiligingswet over wettelijke cyberverplichtingen voor een organisatie. Benut maatregelen die voor beide bruikbaar zijn, maar beoordeel de eisen apart.
Waar begin je als een klant vraagt of je NIS2-compliant bent?
Vraag wat de klant wil weten over jouw werkzaamheden, maatregelen en bewijs. Onderzoek daarnaast of jouw organisatie zelf onder de wet valt. KAM helpt om die vragen met een GAP-analyse te vertalen naar duidelijke acties. Zo weet je wat je kunt toezeggen en wat eerst aandacht nodig heeft.
