vragenlijst vraagt naar risico's in onze toeleveringsketen, wat betekent dat

Ketenrisico's zijn de veiligheid van je eigen leveranciers

Ketenrisico's gaan over de leveranciers en dienstverleners die jij inschakelt, en of die een gat vormen in de beveiliging van je klant. De vraag komt niet uit het niets: het is een letterlijke maatregel uit artikel 21 lid 2 van NIS2, onderdeel d, dat expliciet gaat over de beveiliging van de toeleveringsketen, inclusief de relatie met leveranciers. Je klant moet kunnen aantonen dat hij dit bij zijn eigen leveranciers — dus bij jou — heeft nagevraagd. Vandaar de vraag in de lijst.

In de praktijk wordt er twee dingen tegelijk gevraagd. Eén: heb jij zelf zicht op de risico's die jouw kritieke leveranciers (hosting, software, IT-beheer) met zich meebrengen? Twee: stel jij zelf eisen aan die leveranciers, contractueel of anders? Dat tweede overlapt met de vraag of je eigen leveranciers aan beveiligingseisen moeten voldoen — vaak is dat letterlijk dezelfde vraag in een ander jasje, dus check eerst of je die al beantwoord had. Heb je geen formeel leveranciersbeleid, dan is een eerlijk "nee, nog niet" preciezer dan een antwoord dat meer belooft dan er is.

Terug te voeren op artikel 21 lid 2 sub d NIS2

Deze vraag volgt direct uit de tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555, waarin de beveiliging van de toeleveringsketen als apart onderdeel (sub d) naast risicoanalyse en incidentafhandeling staat. In de Cyberbeveiligingswet, de Nederlandse omzetting die op 15 augustus 2026 in werking treedt, komt deze maatregel terug voor de entiteiten die onder de wet vallen. Wie werkt met ISO/IEC 27001, herkent dezelfde eis terug in Annex A onder de beheersmaatregelen voor leveranciersrelaties. Of jouw onderneming zelf ook onder de reikwijdte van die verplichting valt, hangt af van of de onderneming als entiteit onder NIS2 of de nationale omzetting valt — dat bepaalt of dit voor jou een verplichting is of alleen een vraag die je klant je doorstuurt.