mijn opdrachtgever valt onder nis2 en ik niet, wat betekent dat voor mij

U wordt via het contract geraakt, niet via de wet

U valt zelf niet onder NIS2, maar dat betekent niet dat er niets verandert. Uw klant die wél onder de richtlijn valt, moet zelf onder artikel 21 lid 2 van Richtlijn (EU) 2022/2555 zorgen voor beveiliging in de hele keten. Dat verplicht hem om eisen door te leggen aan zijn leveranciers — dus aan u. Niet omdat u entiteit bent in de zin van de wet, maar omdat uw klant zijn eigen verantwoordelijkheid moet aantonen, en u daar onderdeel van bent.

In de praktijk merkt u dit als een vragenlijst of als aanvullende contractvoorwaarden, niet als een wettelijke plicht die rechtstreeks op u rust. De vragen gaan meestal over dezelfde tien maatregelen die uw klant zelf moet nemen: risicobeleid, incidentafhandeling, continuïteit, kwetsbaarhedenbeheer, toegang en cryptografie. U kunt dus dezelfde onderbouwing gebruiken die u al heeft, ook als u die nooit voor uzelf hoefde op te stellen. Heeft u die stukken nog niet compleet, dan is het aan te raden eerst te kijken of er beleid is voor risicoanalyse en beveiliging van informatiesystemen en of beveiligingseisen aan eigen leveranciers al ergens zijn vastgelegd — want die twee onderwerpen komen in vrijwel elke ketenvragenlijst terug, ongeacht of u zelf entiteit bent.

Vastgelegd in artikel 21, doorwerkend via het contract

De verplichting tot ketenbeveiliging staat in artikel 21 lid 2, onderdeel d, van Richtlijn (EU) 2022/2555: entiteiten moeten maatregelen nemen voor de beveiliging van de toeleveringsketen, inclusief de relatie met hun directe leveranciers. De Nederlandse omzetting daarvan volgt via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. Zolang u zelf niet onder de reikwijdte van die wet valt, blijft de doorwerking naar u contractueel: uw klant bepaalt zelf hoe hij zijn verplichting bij u uitvraagt, en dat kan per klant verschillen.