NIS2

De NIS2 verplicht je om niet alleen je eigen organisatie, maar ook je toeleveringsketen te beveiligen. Je leveranciers moeten dus ook aan de cyberveiligheidseisen voldoen. Hoe meer je van een leverancier afhankelijk bent, hoe hoger het risico. Dus je krijgt zeker met deze wet te maken.
 
Maar wellicht valt jouw bedrijf er ook direct onder. Dat kun je controleren via de NIS2 zelfevaluatietool van de overheid. Na het invullen krijg je inzicht of de richtlijn ook voor jouw organisatie geldt.
 
Het kan zijn dat je na het proberen van de overheidstool toch nog twijfelt en/of vragen hebt. De tool is namelijk niet voor alle organisaties en bedrijven kristalhelder. Mocht dat zo zijn dan kun terecht bij Supportdesk van Samen Digitaal Veilig. Zij kunnen dit kosteloos voor je uitzoeken.

• Energie
• Transport
• Financiële marktinfrastructuur
• Gezondheidszorg
• Drinkwater
• Digitale infrastructuur
• Onderzoek
• Afvalwater
• Vervaardiging/manufacturing
• Overheidsdiensten
• Ruimtevaart
• ICT-dienstverleners
• Bankwezen
• Digitale aanbieders
• Post- en koeriersdiensten
• Afvalstoffenbeheer
• Levensmiddelen
• Chemische stoffen

Er zijn nog veel meer belangrijke bedrijven die onder de NIS2 vallen, zoals levensmiddelenbedrijven, productiebedrijven en afvalstoffenbeheerders. Bij een cybersecurity incident moet je dit binnen 24 uur melden bij de toezichthouder. Dit geldt ook voor je toeleveringsketen. Als een leverancier die belangrijke producten of diensten levert uitvalt, kan dit je bedrijfsvoering verstoren. Daarom moeten leveranciers ook incidenten melden in de keten.

De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, is sinds 15 augustus 2026 van kracht. Een belangrijk onderdeel van de wet is het in kaart brengen en beheersen van cyberrisico’s bij leveranciers. Als inkoper heb je daarin een belangrijke rol:

Via Samen Digitaal Veilig vind je praktische hulpmiddelen, ondersteuning en webinars om hiermee aan de slag te gaan.

Ga als inkoop niet zelf inhoudelijke vragen stellen aan de leveranciers maar vraag om een bewijs dat ze NIS2-proof zijn. Er zijn verschillende certificeringen en keurmerken op de markt. Let op dat je niet overvraagt. Voor verschillende type organisaties zijn verschillende niveaus van eisen waar ze aan moeten voldoen. Ga dus niet iedereen langs dezelfde meetlat leggen. 
 
NIS2 Supply Chain (NIS2-SC) certificering kan een goede keuze zijn. Met drie niveaus, SC10, SC20 en SC30, kunnen leveranciers hun cyberbeveiliging aantonen op een niveau dat past bij hun risicoprofiel. Voor 90% van de mkb-leveranciers is SC10 een passend basisniveau.

1. Productiesystemen en machines: Van lopende banden tot verpakkingsmachines (ingekocht en onderhouden door leveranciers): als deze systemen worden gehackt, kunnen productieprocessen stilvallen, met grote financiële gevolgen.
2. Facilitaire leveranciers: Schoonmaakdiensten of beveiligingsbedrijven met fysieke toegang spelen rol in de veiligheid van je bedrijf. Onbevoegden mogen geen toegang krijgen tot je pand.
3. ICT-dienstverleners en software: Leveranciers die je netwerk, firewalls en back-ups beheren, zijn een stevig risico voor je  cyberveiligheid. Een zwakke schakel in je IT-beveiliging kan grote gevolgen hebben. Maar ook je software is natuurlijk een risico.
4. Logistieke partners: Transporteurs en opslagbedrijven zorgen dat je producten op tijd bij klanten komen. Een cyberaanval op hen kan dit proces verstoren en je vermogen tot leveren sterk verstoren. De verantwoordelijkheid van jullie om bijvoorbeeld producten te leveren gaat verder dan de muren van je bedrijf.
5. Financiële dienstverleners: Je accountant, boekhouder of payrollprovider beheert gevoelige financiële gegevens. Een hack bij hen kan leiden tot financieel misbruik.
6. Leveranciers zoals ontwerpers of marketing- en communicatiebureaus: Ontwerpers die meehelpen bij productontwerp, uitvinders, consultants, reclamebureaus, e-mailmarketingbedrijven en communicatiepartners hebben vaak toegang tot klantgegevens of vertrouwelijke product- en bedrijfsinformatie. Deze informatie is vaak heel gevoelig.

Door toenemende digitalisering zijn er nieuwe kwetsbaarheden ontstaan die specifiek voortkomen uit de supply chain. Dit zijn de meest voorkomende kwetsbaarheden binnen een supply chain: 

• Cyberaanvallen op leveranciers
   Leveranciers binnen de supply chain kunnen het doelwit worden van cyberaanvallen met als doel toegang te verkrijgen tot gevoelige data of systemen. Wanneer een leverancier gecompromitteerd raakt, kan dit leiden tot een reeks beveiligingsproblemen in de gehele keten.
   
• Onveilige externe toegang
  Wanneer derde partijen toegang krijgen tot systemen of gegevens binnen de supply chain, kan een gebrekkige beveiliging van externe toegangspunten een bedreiging vormen. Deze onbeveiligde toegang kan worden misbruikt voor kwaadwillende doeleinden.
   
• Onvoldoende gegevensbeveiliging bij partners
  Als partners in de supply chain onvoldoende gegevensbeveiliging implementeren, kunnen gevoelige gegevens worden blootgesteld aan ongeautoriseerde toegang.
   
• Malware en kwaadaardige software
  Malware en andere kwaadaardige software kunnen zich verspreiden via de supply chain. Hierdoor kunnen systemen en gegevens beschadigd raken of gecompromitteerd worden.
   
• Verstoring van leveringen
  Cyberaanvallen kunnen ook gericht zijn op het verstoren van de logistieke processen binnen de supply chain. Dit kan leiden tot vertragingen, verstoorde voorraden en uiteindelijk impact hebben op de operationele efficiëntie.

Je kunt ook een analyse doen vanuit het beschermen van de belangen van de organisatie. Wil je daar meer over weten? Via Samen Digitaal Veilig lees je hier meer over.