Valt Jouw MKB-Bedrijf onder NIS2? Beveiligingseisen in de Keten
De Europese NIS2-richtlijn richt zich primair op middelgrote en grote organisaties in essentiële en belangrijke sectoren, maar kan het MKB indirect raken via toeleveringsketens. Organisaties die rechtstreeks onder NIS2 vallen, moeten risico's in hun toeleveringsketen meenemen in hun beveiligingsmaatregelen. Daardoor kunnen zij aanvullende beveiligings- en bewijsvereisten stellen aan directe leveranciers en dienstverleners.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Levert jouw MKB-bedrijf goederen, IT-diensten, logistiek of specialistische software aan overheden, zorginstellingen, energiebedrijven of grote industriële partijen? Dan kun je vragenlijsten en aangescherpte beveiligingsvoorwaarden verwachten. Wie basisbeveiliging en verantwoording aantoonbaar op orde heeft, voorkomt vertraging of uitsluiting bij tenders en contractverlengingen.
Waarom NIS2 indirect invloed heeft op toeleveranciers
Grote ondernemingen en overheden investeren fors in hun eigen IT-beveiliging. Aanvallers wijken daarom steeds vaker uit naar toeleveranciers met minder strenge beveiliging om via die weg binnen te dringen (zogeheten supply chain attacks).
NIS2 verplicht entiteiten daarom om de beveiligingsaspecten van de relaties met hun directe leveranciers actief te beoordelen. Klanten die onder NIS2 vallen, kijken daardoor kritischer naar:
- Wie toegang heeft tot hun systemen, portalen en data.
- Welke beveiligingsstandaarden toeleveranciers intern hanteren (zoals MFA en updatebeleid).
- Hoe snel een leverancier een beveiligingsincident meldt als er data of inloggegevens zijn gelekt.
De Norm: Wat regelt NIS2 over de toeleveringsketen en bestuur?
- Richtlijn (EU) 2022/2555 (NIS2, Artikel 21 lid 2 sub d): Schrijft voor dat entiteiten passende maatregelen nemen rond de beveiliging van de toeleveringsketen en de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners.
- Bestuurlijke betrokkenheid (Artikel 20): Bestuursorganen moeten risicobeheermaatregelen goedkeuren, toezien op de uitvoering en relevante cybersecurityopleidingen volgen. Bestuurders kunnen onder voorwaarden aansprakelijk worden gesteld voor het niet naleven van deze verplichtingen, waarbij de precieze uitwerking mede wordt bepaald door de nationale omzettingswet (in Nederland de Cyberbeveiligingswet).
Praktische ICTklaar-richtlijn: 5 onderwerpen die klanten kunnen uitvragen
Een opdrachtgever kan bijvoorbeeld vragen naar de volgende aantoonbare basismaatregelen:
- Toegangsbeheer: Is meervoudige verificatie (MFA) verplicht voor alle medewerkers en externe beheerders?
- Back-up en herstel: Is er een onafhankelijke back-up aanwezig die beschermd is tegen gijzelsoftware en periodiek wordt getest?
- Endpoint- en systeembeveiliging: Worden laptops en servers centraal beheerd, tijdig gepatcht en gemonitord tegen malware?
- Meldingsprocedure bij incidenten: Is vastgelegd wie binnen welke termijn wordt gewaarschuwd wanneer een datalek of inbraak wordt vermoed?
- Verantwoordelijkheid en bewustwording: Is er binnen de directie iemand aangewezen voor cybersecurity en worden medewerkers geïnformeerd over phishing en veilig digitaal werken?
Praktijkscenario: De logistieke toeleverancier en de tender
Aantoonbaar Bewijs: Wat verwacht de klant?
Voorkom algemene beloftes en overleg verifieerbare documentatie:
- Statusoverzicht basisbeveiliging: Een ingevuld assessment of nulmetingsrapportage met implementatiescores per onderdeel.
- Plan van aanpak voor verbeterpunten: Een overzicht van openstaande acties met planning en verantwoordelijken.
- Afspraken met de IT-beheerder: Relevante passages uit de overeenkomst of verwerkersovereenkomst over logging, back-up en incidentondersteuning.
Veelgestelde vragen
Krijgt mijn MKB-bedrijf direct een boete van de toezichthouder als we niet aan NIS2 voldoen?
Als jouw organisatie niet rechtstreeks onder de reikwijdte van NIS2 valt, legt de toezichthouder geen directe bestuurlijke boete aan jou op. Het risico is contractueel en commercieel: opdrachtgevers kunnen aanvullende eisen stellen, audits uitvoeren of bij aanhoudende tekortkomingen besluiten de samenwerking te beëindigen.
Moet elk MKB-bedrijf nu direct een formele ISO 27001-audit ondergaan?
Nee. Certificeringen brengen aanzienlijke kosten en beheerlasten met zich mee. Veel NIS2-plichtige organisaties vragen toeleveranciers om aantoonbare naleving van erkende basisbeveiligingsprincipes (zoals CIS Controls of een gevalideerde nulmeting) in plaats van een formeel geaccrediteerd certificaat.