Wie wil weten wat de Cyberbeveiligingswet (Cbw) van het leveranciersbeleid vraagt, moet drie lagen lezen: de wet zelf (artikel 21), het Cyberbeveiligingsbesluit (Cbb) dat de zorgplicht uitwerkt, en per sector een regeling. Voor de overheid is dat de Cyberbeveiligingsregeling sector overheid. Dit artikel loopt die lagen langs met de artikelnummers uit de gelezen teksten, en vertaalt ze naar classificatie van leveranciers, risicoanalyse en de eisen die u stelt. Wat wij niet in de wettekst zelf hebben kunnen controleren, staat als zodanig vermeld.
Laag 1: artikel 21 Cbw, de zorgplicht
Artikel 21 Cbw bevat de zorgplicht. Het NCSC rangschikt die in tien maatregelen. Maatregel 4, de beveiliging van de toeleveringsketen, verwijst naar artikel 21 lid 2 onder d. De wettekst vraagt om de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten. Andere bronnen noemen een ander lid; controleer het lidnummer dus in de actuele wettekst op wetten.overheid.nl voordat u het in een beleidsstuk opneemt. De risicoanalyse, de eerste maatregel, verwijst het NCSC naar artikel 21 lid 3 onder a, en de beoordeling van de effectiviteit van maatregelen naar lid 2 onder f.
Het NCSC adviseert twee stappen voor de keten: breng uw rechtstreekse leveranciers in kaart en versterk hun weerbaarheid, onder meer via dialoog. Het gaat om de relatie met rechtstreekse leveranciers en dienstverleners en om hun kwetsbaarheden en cyberbeveiligingspraktijken.
Laag 2: het Cyberbeveiligingsbesluit (artikelen 5 tot en met 18)
Artikel 5 Cbb bepaalt dat de artikelen 6 tot en met 18 de uitvoering vormen van artikel 21 Cbw. Voor leveranciers zijn de volgende artikelen bepalend:
- Artikel 7 Cbb (risicomanagement): schriftelijk risicomanagementbeleid met minimaal een risicomanagementmethodiek en criteria voor risicoacceptatie (lid 2), processen voor risicoanalyse, risicobeoordeling en risicobehandeling (lid 3), een overzicht van de risico’s (lid 4) en beveiligingseisen die daaruit volgen (lid 5). Lid 5 is het uitgangspunt voor artikel 10 lid 2 en artikel 11 lid 1.
- Artikel 10 Cbb (toeleveringsketen): schriftelijk beleid over de beveiliging van de toeleveringsketen, dat beschrijft hoe de entiteit omgaat met afhankelijkheden van producten en diensten van leveranciers en dienstverleners die de beveiliging van de systemen kunnen beïnvloeden (lid 1). Directe leveranciers en directe dienstverleners worden getoetst aan de beveiligingseisen uit artikel 7 lid 5 en dat wordt periodiek gecontroleerd (lid 2).
- Artikel 11 Cbb (verwerving, ontwikkeling en onderhoud): schriftelijk beleid om risico’s bij de aankoop van software, hardware of diensten te beperken, gebaseerd op artikel 7 lid 5 (lid 1), waar van toepassing veilige ontwikkelprocessen (lid 2) en processen voor onderhoud en beheer, ten minste configuratie- en wijzigingsbeheer (lid 3).
- Artikel 8 Cbb (incidentenbehandeling): beleid, rollen en processen voor zes fasen, van detectie tot leren (leden 1, 2, 4), monitoring (lid 3) en logging van relevante gebeurtenissen, beschermd tegen ongeautoriseerde wijziging (lid 6). Voor leveranciers vertaalt dit zich in eisen aan meldingen en logging.
- Artikel 17 lid 2 Cbb: beveiligingsadviezen en dreigingsinformatie van onder meer directe leveranciers of dienstverleners beoordeelt u en de uitkomst legt u schriftelijk vast.
- Artikel 18 Cbb: periodieke evaluatie van de doeltreffendheid van de maatregelen, schriftelijk vastgelegd.
Het Cbb stelt de eisen aan het beleid en aan de toetsing van directe leveranciers. Wat een directe leverancier is en hoe diep u onderaannemers moet toetsen, geeft het Cbb in de gelezen tekst niet. Het doorleggen van eisen aan onderaannemers via het contract is onze aanbeveling, geen wettelijke eis.
Laag 3: de sectorregeling voor de overheid
De Cyberbeveiligingsregeling sector overheid geldt voor essentiële entiteiten in de overheidssector, met uitzondering van de waterschappen (artikel 2), en is sinds 15 augustus 2026 van kracht. De regeling stelt vier dingen vast:
- Artikel 3: de entiteit past NEN-EN-ISO/IEC 27001:2023 toe voor een managementsysteem voor netwerk- en informatiebeveiliging, inclusief de bepaling van de scope.
- Artikel 4: de entiteit houdt een overzicht bij van haar cruciale netwerk- en informatiesystemen. Bij centrale overheden is een systeem cruciaal bij een te beschermen belang op niveau 1, 2 of 3 volgens Bijlage 1 (lid 2); bij decentrale overheden bij impactniveau hoog of zeer hoog volgens Bijlage 2 (lid 3).
- Artikel 5 lid 1: minimaal de beheersmaatregelen uit NEN-EN-ISO/IEC 27002:2022, behalve 5.32 en 5.34, en de relevante maatregelen uit de Baseline Informatiebeveiliging Overheid 2 (BIO2, versie 1.3), behalve 5.32.01 tot en met 5.34.01. Lid 3: de entiteit toont aan dat de maatregelen zijn opgezet, bestaan en werken.
- Artikel 6: wanneer een incident significant is, onder meer bij uitval van ten minste vier uur. De regeling bevat zelf geen meldtermijnen en geen specifieke eisen aan leveranciers.
De regeling geeft de overheid dus geen aparte leverancierseisen: die komen uit artikel 21 Cbw, artikel 7, 10 en 11 Cbb en uit de maatregelen van BIO2 en ISO 27002 die artikel 5 aanwijst. Dat de uitgezonderde maatregelen 5.32 en 5.34 zijn, hebben wij uit de regeling zelf gelezen; welke maatregelen in de ISO 27002-reeks over leveranciers gaan, hebben wij in deze run niet in de normtekst gecontroleerd en noemen wij daarom niet.
De Wwke: leveranciers voor kritieke entiteiten
Voor kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (Wwke) noemen de zoekresultaten die wij raadpleegden het Besluit weerbaarheid kritieke entiteiten: artikel 3 (beleid voor de risicobeoordeling, schriftelijk en aantoonbaar toegepast) en artikel 7 (identificeren van directe leveranciers en dienstverleners die met de essentiële dienst verband houden, en beleid over hun rol voor de weerbaarheid). Dit zijn secundaire bronnen en de nummering kan in de definitieve tekst afwijken; controleer artikel 3 en 7 van het Besluit en artikel 14 van de wet op wetten.overheid.nl voor gebruik in een document.
Van kader naar classificatie van leveranciers
De kaders geven de randvoorwaarden; de indeling maakt u zelf. Een werkbare volgorde, als uitwerking van de artikelen hierboven (onze methode, geen wettelijke indeling):
- Bepaal uw cruciale systemen (artikel 4 regeling) of de systemen die uw essentiële dienst dragen (Wwke), en leg per systeem vast welke leveranciers eraan raken.
- Voer de risicoanalyse uit volgens artikel 7 Cbb lid 3 en 4, met uw eigen methodiek en acceptatiecriteria (lid 2). Neem cyberrisico’s, spionage en sabotage als aparte scenario’s op.
- Leid uit lid 5 de beveiligingseisen af die voor leveranciers gelden, per klasse. Klasse hangt af van het te beschermen belang of het impactniveau van het systeem waaraan de leverancier raakt.
- Toets directe leveranciers periodiek aan die eisen (artikel 10 lid 2 Cbb) en leg het resultaat schriftelijk vast.
- Leg beveiligings- en meldeisen vast bij aankoop (artikel 11 lid 1 Cbb) en in het contract, inclusief doorgifte aan onderaannemers.
- Beoordeel adviezen en dreigingsinformatie van leveranciers (artikel 17 lid 2 Cbb) en evalueer jaarlijks (artikel 18 Cbb).
Eisen die u uit deze artikelen in het contract zet
- Beveiligingseisen per klasse, afgeleid van artikel 7 lid 5 Cbb, met bewijs dat ze werken (artikel 5 lid 3 regeling voor de overheid).
- Een meldplicht voor incidenten en kwetsbaarheden, zodat u uw eigen meldlijn naar het CSIRT en de toezichthouder kunt halen.
- Logging en bewaartermijn van relevante gebeurtenissen die u nodig hebt voor artikel 8 lid 6 Cbb.
- Het recht op periodieke toetsing en audit (artikel 10 lid 2 Cbb), en medewerking aan de evaluatie (artikel 18 Cbb).
- Verplichte doorgifte van de eisen aan onderaannemers en een lijst van onderaannemers.
- Levering van beveiligingsadviezen en dreigingsinformatie (artikel 17 lid 2 Cbb) en een afgesproken termijn voor patches.
- Een exitregeling: teruggave van gegevens en overdracht van systemen.
Wat betekent dit? De Cyberbeveiligingswet maakt van leveranciersbeleid een toetsbare plicht: schriftelijk beleid (artikel 10 lid 1 Cbb), periodieke toetsing van directe leveranciers (lid 2), een risicoanalyse die de eisen bepaalt (artikel 7 lid 5 Cbb) en bewijs dat het werkt. Wie classificatie, risicoanalyse en contracteisen op deze artikelen aan laat sluiten, kan het richting toezicht aantonen. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om leveranciers te classificeren volgens deze kaders, de risicoanalyse uit te werken en de eisen vast te leggen in beleid en contract.