moeten wij dezelfde cybervragen stellen aan onze eigen leveranciers

Ja, want artikel 21 lid 2 verplicht dat letterlijk

Ja, in de meeste gevallen moet dat. Artikel 21 lid 2 van de NIS2-richtlijn noemt tien maatregelen die een entiteit moet nemen, en punt (d) daarvan gaat specifiek over de beveiliging van de toeleveringsketen — inclusief de relatie met en tussen elke leverancier of dienstverlener. Vraagt uw klant dus naar ketenbeveiliging, dan is het niet genoeg om te laten zien wat u zelf doet. U moet ook kunnen laten zien wat u van uw eigen onderaannemers eist en hoe u dat controleert.

In de praktijk betekent dit meestal een gelaagde aanpak, niet een kopie van de hele vragenlijst van uw klant. Vraag van uw kant meestal: heeft de onderaannemer basismaatregelen op orde (toegang, back-ups, incidentafhandeling), is er een contractuele bepaling over meldplicht bij een incident, en — bij kritieke leveranciers — is er bewijs zoals een ISO 27001-certificaat of een eigen verklaring. Hoe zwaarder de onderaannemer weegt in uw dienstverlening aan de klant, hoe specifieker de eisen die u kunt doorleggen. Dit is dezelfde vraag die uw klant u nu stelt over beveiligingseisen aan eigen leveranciers — u zit hier in het midden van de keten, niet aan het begin.

Waar dat in de richtlijn en de norm staat

De verplichting zelf staat in artikel 21 lid 2 onder (d) van de NIS2-richtlijn, dat ketenbeveiliging als een van de tien verplichte maatregelen noemt. Voor de Nederlandse praktijk vertaalt dit zich naar de Cyberbeveiligingswet, de omzetting van NIS2 die op 15 augustus 2026 in werking treedt — vanaf dat moment geldt de verplichting ook formeel naar Nederlands recht voor entiteiten die onder de wet vallen. Wie kan aantonen dat dit systematisch is ingericht, verwijst vaak naar Annex A van ISO/IEC 27001, waar leveranciersrelaties en de beveiliging in de toeleveringsketen als afzonderlijke beheersmaatregelen zijn opgenomen. Of uw onderneming zelf onder de NIS2-richtlijn valt als entiteit, is overigens een aparte vraag die los staat van wat uw klant contractueel van u eist; dat verschil wordt behandeld bij de vraag of de onderneming onder de richtlijn valt.