Sinds 15 augustus 2026 zijn de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit in werking. Voor wie leveranciers inkoopt is artikel 10 van het besluit het hoofdstuk dat het meest concreet wordt. In dit artikel lees ik het opbouwend door: wat staat er, wat betekent het in de praktijk, en welke eisen stelt u aan leveranciers. De lidnummers hieronder komen uit de tekst op wetten.overheid.nl (gelezen op 14 oktober 2026). Artikel 10 lid 1 heb ik slechts gedeeltelijk gelezen; controleer de volledige formulering in de bron voordat u het in beleid overneemt.
Wat artikel 10 vastlegt
Lid 1 begint met de verplichting dat de essentiële of belangrijke entiteit vastgesteld beleid heeft over de beveiliging van de toeleveringsketen. Het gaat daarbij om de afhankelijkheden van leveranciers en dienstverleners en om schriftelijke vastlegging en toepassing. Lid 2 gaat een stap verder: de entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners voldoen aan de beveiligingseisen uit artikel 7 lid 5, en controleert dat periodiek. De wet vraagt dus niet om een eenmalige leveranciersvragenlijst bij contractsluiting, maar om een terugkerende toets.
Artikel 7 lid 5 is het ijkpunt. Op basis van het overzicht van de risico’s uit lid 4 stelt de entiteit eisen aan de beveiliging van haar netwerk- en informatiesystemen, en neemt zij, als de risicoanalyse daartoe aanleiding geeft, maatregelen om die beveiliging structureel en aantoonbaar te borgen. De keten hangt dus direct aan uw eigen risicoanalyse: eerst weten welke risico’s u loopt, dan eisen stellen, dan leveranciers daaraan toetsen.
Van wettekst naar classificatie
Omdat de toets voor rechtstreekse leveranciers geldt en periodiek moet plaatsvinden, is een classificatie onvermijdelijk: u kunt niet elke leverancier even diep toetsen. Een werkbare indeling gebruikt drie vragen. Hoe kritiek is het proces dat de leverancier ondersteunt? Welke toegang heeft de leverancier tot uw systemen en gegevens, ook op afstand? En hoe moeilijk is vervanging, met andere woorden hoe groot is de afhankelijkheid? Het antwoord bepaalt de toetsdiepte: bij een hoge klasse vraagt u bewijs en een audit, bij een lage klasse volstaat een verklaring. Dit is mijn voorstel voor een methode en geen wettelijke indeling; de wet schrijft geen klassen voor.
- Klasse 1, kritieke leverancier: toegang tot kernsystemen of beheer op afstand, lastig te vervangen. Toets jaarlijks met bewijs.
- Klasse 2, belangrijke leverancier: verwerkt gevoelige gegevens of levert een bedrijfsproces. Toets tweejaarlijks, aangevuld met een verklaring bij wijziging.
- Klasse 3, overige leverancier: geen toegang en geen gevoelige gegevens. Basisverklaring bij contractsluiting.
Welke eisen stelt u aan leveranciers
Uit het beleid volgen contracteisen. Een praktijkvoorbeeld uit de industrie: de Amerikaanse overheidsdiensten CISA en FBI adviseren in een fact sheet over integrators van industriële besturingssystemen om de toegang van integrators tot het minimum te beperken en contractueel cybersecurity- en ketenvereisten vast te leggen, onder meer over de locatie van gegevensopslag, toegang op afstand en patchbeheer. Dat sluit aan bij wat Nederlandse organisaties nodig hebben. Ik haal dat uit een bericht van SecurityWeek over dit fact sheet; het originele document heb ik niet gelezen.
- Beveiligingseisen die aansluiten op uw eigen eisen uit artikel 7 lid 5, met recht op bewijs en op audit.
- Meldplicht voor incidenten bij de leverancier binnen een afgesproken korte termijn, zodat u zelf aan uw meldplichten kunt voldoen.
- Beheer op afstand alleen met minimale rechten, gelogd en bij voorkeur op aanvraag.
- Afspraken over onderaannemers: toestemming vooraf en doorgifte van dezelfde eisen.
- Patch- en kwetsbaarheidsbeleid met termijnen, en de plicht om beveiligingsadviezen tijdig te delen.
- Exit en continuïteit: terugkrijgen van gegevens, overdrachtshulp en een testbaar herstelplan.
Op dat laatste punt helpt artikel 17 lid 2. Daarin staat dat de entiteit gerichte beveiligingsadviezen en dreigingsinformatie die zij van onder meer CSIRT’s, toezichthouders en haar rechtstreekse leveranciers en dienstverleners ontvangt, moet verwerken. Leg dus contractueel vast dat de leverancier zulke adviezen actief naar u doorgeeft, en richt intern in wie ze ontvangt en beoordeelt.
Certificering als hulpmiddel, niet als vrijbrief
Het NCSC meldde op 23 september 2026 dat de eerste ICT-dienstverleners zijn gecertificeerd voor het keurmerk Digitale Basisveiligheid MKB. Een onafhankelijke certificeerder beoordeelt of de dienstverlener de maatregelen uit de Risicoklassenindeling Digitale Veiligheid op een juiste wijze uitvoert, ook bij de klant. Het keurmerk is niet gelijk aan ISO 27001, dat vooral over de organisatie van de dienstverlener zelf gaat. Gebruik zoiets daarom als bewijsstuk bij een lagere klasse, niet als vervanging van uw toets bij een kritieke leverancier.
Stappenplan en checklist
- Stel het ketenbeleid vast en leg het schriftelijk vast (artikel 10 lid 1).
- Maak een overzicht van alle rechtstreekse leveranciers en dienstverleners (ketenregister).
- Classificeer ze op kritiekheid, toegang en vervangbaarheid.
- Koppel aan elke klasse een toetsdiepte en frequentie (artikel 10 lid 2).
- Leg de eisen uit uw risicoanalyse vast als contractbijlage (artikel 7 lid 5).
- Plan de eerste toetsen en bewaar het bewijs; leg uit wat u niet kon toetsen.
- Neem leveranciersadviezen op in uw proces voor dreigingsinformatie (artikel 17 lid 2).
- Rapporteer de uitkomsten aan het bestuur, met afwijkingen en besluiten.
Wat betekent dit? De wet vraagt van u een aantoonbaar proces: beleid, classificatie, periodieke toets, bewijs en bestuurlijke verantwoording. Wat ik hier niet kan beoordelen, is hoe uw sector, uw aanwijzing en de latere regelingen dit verder invullen; dat moet u in de officiële tekst en bij uw toezichthouder verifiëren. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt u het ketenregister op te zetten, leveranciers te classificeren en de eisen en toetsen zo vast te leggen dat u ze richting toezichthouder en bestuur kunt aantonen.