Je kunt je eigen systemen perfect op orde hebben en toch door een leverancier worden geraakt. Een onderhoudsbedrijf met remote toegang tot je machines, een softwareleverancier met je klantdata of een transporteur die op je planning zit: als zij worden gehackt, heb jij er net zo goed last van. Dat besef groeit, en sinds de Cyberbeveiligingswet van kracht is, is het ook geen vrijblijvend onderwerp meer.
We nemen je erin mee.
Beveiliging van je toeleveringsketen
De Cyberbeveiligingswet is de Nederlandse toepassing van de Europese NIS2-richtlijn. Sinds 15 augustus 2026 is de wet officieel van kracht. Ongeveer 10.000 organisaties vallen er direct onder, en naar schatting hebben nog veel meer organisaties in Nederlands er indirect mee te maken.
Wat veel directeuren of bestuurders nog onderschatten: de wet gaat niet alleen over jouw eigen beveiliging. Artikel 21 van NIS2 verplicht organisaties om risico’s rond de beveiliging van hun toeleveringsketen te beheersen. Dat betekent dat grote bedrijven hun leveranciers moeten doorlichten, afspraken moeten vastleggen in contracten en moeten kunnen aantonen dat ze dit ook echt doen.
En dan komt de boodschap: die eisen werken door naar de hele keten. Heb je een grote klant die onder de wet valt? Dan gaat die hoogstwaarschijnlijk ook bij jou vragen hoe het met je beveiliging zit.
Waarom de maakindustrie, transport en logistiek extra gevoelig zijn
In productie, transport en logistiek draait alles op onderlinge koppelingen. Je ERP praat met je WMS, je TMS wisselt data uit met partners via EDI en je productielijnen hangen aan OT-systemen die vaak al jaren oud zijn. Elke koppeling is een potentiële ingang voor cybercriminaliteit.
Daar komt bij dat veel van die systemen onderhouden worden door externe partijen. Een machineleverancier die op afstand meekijkt, of een softwareontwikkelaar met admin-rechten op je omgeving. Het zijn precies de plekken waar het misgaat als er geen goede afspraken zijn. Een ransomware-aanval bij één leverancier kan zo je productie of distributie platleggen, zonder dat jouw eigen beveiliging ook maar iets heeft kunnen doen.
Wat betekent dit concreet?
Je hoeft niet meteen een enorm programma op te tuigen, maar het is belangrijk om wel nu te beginnen als je hier nog niet naar hebt gekeken.
Begin met een overzicht van al je leveranciers. Klinkt saai, maar veel organisaties weten niet eens precies welke partijen toegang hebben tot welke systemen of data. Deel ze daarna in op risico. Welke leveranciers hebben toegang tot welke kritieke systemen, persoonsgegevens of productieprocessen? Zo bepaal je waar je prioriteiten naartoe moeten gaan (en heb je meteen een risico-inventarisatie).
Leg vervolgens de afspraken vast. Denk aan beveiligingseisen in je contracten, een meldplicht bij incidenten, afspraken over toegangsbeheer en het recht om controles uit te voeren. Veel leveranciers hebben dit soort clausules nog niet, maar het is wel iets wat je nu kunt regelen bij verlengingen of nieuwe contracten.
Tot slot: blijf het periodiek controleren en bijsturen waar nodig. Een leverancier die vorig jaar veilig was, is dat dit jaar niet per se nog steeds. Een jaarlijkse check of een vragenlijst is een goed begin, zeker voor de leveranciers waar het risico en de impact heel groot is voor jouw organisatie en processen.
Certificering als bewijs?
Uiteindelijk komt de Cyberbeveilgingswet neer op het aan kunnen tonen van je informatiebeveiliging. Niet alleen doén, maar ook kunnen bewijzen dat je de juiste maatregelen treft. Om dat makkelijker te maken, is de NIS2 Supply Chain-norm ontwikkeld door Stichting Kwaliteitsinnovatie. Er zijn drie niveaus: NIS2-SC10 (basic), NIS2-SC20 (substantial) en NIS2-SC30 (high). Het niveau dat bij jouw organisatie past, hangt af van je rol en je risicoprofiel.
Laat je niet gek maken: een certificaat is geen wondermiddel. Het geeft je klanten en toezichthouders wél een duidelijk en concreet bewijsstuk. Voor leveranciers in de maakindustrie en logistiek kan het een concurrentievoordeel zijn, omdat het laat zien dat je de zaken op orde hebt, nog vóórdat zij er zelf naar moeten vragen.
Ook als je zelf niet direct onder de wet valt
Misschien denk je: “Wij vallen er niet onder, dus dit gaat ons niet aan.” Dat is te makkelijk. Je krijgt het vroeg of laat tóch voorgeschoteld. Bijvoorbeeld via vragenlijsten van belangrijke klanten, aanbestedingseisen of verplichte security-clausules in contracten. Hoe eerder je weet waar je staat, hoe minder je ad-hoc grote maatregelen moet treffen.
Begin daarom met de vragen die je klanten waarschijnlijk gaan stellen. Heb je een ISMS of een ISO 27001-certificering? Hoe ga je om met incidenten? Wie heeft toegang tot klantdata? Als je die vragen kunt beantwoorden, ben je een stuk sterker in je onderhandelingen.
Conclusie
Zet je leveranciers op een lijst en definieer de kritieke. Dat betekent: welke leveranciers hebben de grootste impact op onze keten en/of werken met van ons afkomstige gevoelige informatie? Kijk welke contracten verlengd of herzien worden en neem daar beveiligingsafspraken in op. Vraag je grootste leveranciers naar hun eigen beveiliging en naar hun certificering. En zorg dat iemand binnen je organisatie hier de eigenaar van is, want supply chain security die van niemand is, gebeurt niet.
Wil je weten hoe je dit concreet aanpakt, zonder dat het je hele organisatie stilzet? Bij CISO-as-a-Service helpen we bedrijven met precies dit. Van de eerste inventarisatie tot het op orde krijgen van je leveranciersrisico’s. Lees er meer over op onze blogpagina of neem gerust contact op om er eens met een kop koffie over te sparren.
