NIS2 voor leveranciers: Waarom cybersecurity nu ook uw probleem is

U denkt dat NIS2 u niet raakt? Uw grootste klanten denken daar anders over.

Ik hoor het voortdurend. Een productiebedrijf met 20 medewerkers in de Eifel, toeleverancier voor een autofabrikant, zegt tegen mij: "Dat is toch iets voor de groten." En technisch heeft hij gelijk. Zijn bedrijf zit onder de NIS2-drempels. Maar toen kwam de e-mail van de OEM. Onderwerp: Beveiligingsaudit toeleveringsketen Q2 2026.

Ik heb bij DHL, Delivery Hero en New Relic gewerkt. Ik ken het perspectief van grote ondernemingen van binnenuit. En ik kan u een ding zeggen: ze gaan precies dit soort audits uitvoeren. De vraag is niet of, maar wanneer.

In dit artikel laat ik u zien wat er op leveranciers afkomt, wat uw grote klanten concreet zullen eisen en wat u als bedrijf van 20 personen realistisch kunt doen. Geen angstmarketing, geen "u moet onmiddellijk alles omgooien." Wel een eerlijke blik op de situatie.

Wat NIS2 eigenlijk vereist

De NIS2-richtlijn is een EU-richtlijn die in elke lidstaat wordt omgezet. Nederland heeft de Cyberbeveiligingswet in voorbereiding. In Duitsland is de implementatiewet (NIS2UmsuCG) sinds 6 december 2025 van kracht. Geen overgangsperiode. Het raakt direct zo'n 29.000 bedrijven in Duitsland in sectoren als energie, transport, gezondheidszorg, voedselproductie en maakindustrie. De kerneisen bestrijken tien categorieen van maatregelen. Dit zijn de vijf die het meest relevant zijn voor leveranciers:

• Risicobeheer voor IT-systemen en netwerken
• Incidentmeldingen aan de bevoegde autoriteit binnen 24 uur na detectie
• Beveiligingsbeleid en voortdurende documentatie daarvan
• Cybersecuritytraining voor de directie (ja, de bazen persoonlijk)
• En hier is het kernpunt: beveiliging van de toeleveringsketen

De sancties zijn niet mild. Tot 10 miljoen euro boete of 2% van de wereldwijde jaaromzet. En de directie is persoonlijk aansprakelijk. Dat is nieuw en dat komt hard aan. Wanneer een CEO met zijn persoonlijke vermogen aansprakelijk is voor de IT-beveiliging van zijn bedrijf, kunt u zich voorstellen hoe grondig hij zijn toeleveringsketen zal doorlichten.

Het toeleveringsketeneffect: Waarom het u toch raakt

Hier wordt het relevant voor leveranciers. NIS2 verplicht elk bedrijf dat onder de richtlijn valt om de beveiliging van zijn directe toeleveringsketen te beoordelen en te documenteren. Dat betekent: uw grote klant moet aantonen dat u veilige IT-processen hebt.

Het principe werkt zo: de OEM heeft compliance nodig. Compliance vereist veilige leveranciers. Dus de eisen komen bij u terecht, of u nu direct onder NIS2 valt of niet.

Ik heb dit bij DHL meegemaakt. Leveranciersaudits waren daar dagelijkse kost. Wie niet aan de eisen voldeed, vloog eruit. Punt. Geen discussie. En precies zo zal het met NIS2 gaan, alleen nu geformaliseerd en met de wet erachter.

De Europese Commissie heeft dit bewust zo opgezet. Het idee: zelfs als je niet elk MKB-bedrijf direct kunt reguleren, zorgt de marktdruk via de toeleveringsketen ervoor dat de beveiligingsstandaarden naar beneden doorsijpelen. Uw grote klant zal niet vriendelijk vragen. Hij zal het tot voorwaarde maken voor de samenwerking.

In de auto-industrie komt TISAX erbij. Als u daar al leverancier bent, kent u het thema informatiebeveiligingsaudits. Maar NIS2 gaat verder dan TISAX. De twee standaarden overlappen, maar NIS2 vereist aanvullende zaken zoals de 24-uursmeldplicht, formeel incidentbeheer en expliciete bestuursverantwoordelijkheid. TISAX hebben geeft u een voorsprong, maar dekt niet alles.

Het effect strekt zich ook uit buiten de auto-industrie. Energieleveranciers, ziekenhuizen, logistieke bedrijven, voedselproducenten: ze vallen allemaal onder NIS2. En ze hebben allemaal leveranciers. Misschien bent u er een van.

Wat uw grote klanten zullen eisen

Laten we concreet worden. Wat komt er op u af? Ik heb bekeken welke eisen momenteel worden gesteld bij leveranciersaudits in de NIS2-context. Het patroon herhaalt zich:

Documentatie die u moet overleggen:

• Een IT-beveiligingsbeleid (geen 200 pagina's, maar meer dan "we hebben een wachtwoord")
• Bewijs van regelmatige back-ups en hersteltests
• Verslagen van uw recente beveiligingsincidenten en hoe u hebt gereageerd
• Contractuele afspraken met uw eigen IT-dienstverleners

Technische controlepunten die aan bod zullen komen:

• Versleuteling van gevoelige gegevens, zowel tijdens transport als bij opslag
• Multifactorauthenticatie voor externe toegang en VPN-verbindingen
• Regelmatige software-updates en patchbeheer
• Netwerksegmentatie tussen kantoor-IT en productie-OT
• Monitoring: worden toegangen tot kritieke systemen gelogd?

Organisatorische vragen die zullen komen:

• Wie is verantwoordelijk voor IT-beveiliging in uw bedrijf?
• Hebt u een noodplan voor cyberaanvallen?
• Worden uw medewerkers opgeleid?

Ik weet dat dit veel lijkt. Maar laten we eerlijk zijn: de meeste van deze punten zijn dingen die u sowieso zou moeten doen. NIS2 geeft het gewoon een naam en een deadline.

Minimum Viable Security voor een bedrijf van 20 personen

Nu wordt het praktisch. U hebt geen ISO 27001-certificering nodig om de audits te doorstaan. Maar u hebt een basis nodig. Ik noem het "Minimum Viable Security": het minimale beveiligingsniveau dat uw klanten zullen accepteren.

Stap 1: Verantwoordelijkheid vaststellen

Wijs iemand aan die verantwoordelijk is voor IT-beveiliging. Bij 20 medewerkers hoeft dat geen voltijdse functie te zijn. Maar iemand moet de verantwoordelijkheid dragen. Dat kan de directie zelf zijn of een technisch onderlegde medewerker. Belangrijk is dat deze persoon het overzicht heeft en als aanspreekpunt dient voor uw klanten bij auditvragen.

Stap 2: Inventarisatie maken

Maak een lijst:

• Welke IT-systemen gebruikt u? (ERP, e-mail, productiebesturing, ...)
• Waar staan uw gegevens? (Lokaal, in de cloud, bij uw IT-dienstverlener?)
• Wie heeft toegang tot wat?
• Welke contracten hebt u met IT-dienstverleners?

Stap 3: De quick wins implementeren

Dit zijn maatregelen die weinig kosten en veel opleveren:

• Multifactorauthenticatie activeren voor alle diensten (bij Microsoft 365, Google Workspace en vergelijkbare platforms is dit inbegrepen)
• Automatische back-ups instellen en eenmaal per kwartaal testen of het herstel daadwerkelijk werkt
• Software-updates automatiseren waar mogelijk. Voor productie-IT: onderhoudvensters definiëren
• Medewerkers eenmalig trainen: phishing herkennen, veilige wachtwoorden, verdachte e-mails melden
• Adminrechten beperken tot het strikt noodzakelijke. Niet elke medewerker heeft beheerderstoegang nodig

Stap 4: Documentatie opstellen

Leg vast wat u doet. Een eenvoudig IT-beveiligingsbeleid heeft ongeveer deze opbouw:

1. Scope en verantwoordelijkheden: welke systemen vallen eronder en wie beheert ze?
2. Beschermingsmaatregelen: wat doet u concreet?
3. Incidentbeheer: wat gebeurt er bij een aanval?
4. Evaluatie en verbetering: hoe vaak bekijkt u het opnieuw?

Tien tot vijftien pagina's volstaan. Geen roman. Uw grote klanten willen zien dat u erover hebt nagedacht en systematisch werkt. En ja: het document moet levend zijn. Een keer schrijven en in de la leggen helpt niets. Plan in om het minimaal eenmaal per jaar te herzien en bij te werken.

Een praktische tip: veel IT-dienstverleners bieden sjablonen voor IT-beveiligingsbeleid die op kleine bedrijven zijn afgestemd. Vraag ernaar bij uw dienstverlener. U hoeft het wiel niet opnieuw uit te vinden.

Stap 5: Noodplan opstellen

Een cyberaanval gebeurt vroeg of laat. Ransomware, gecompromitteerde e-mailaccounts, datalekken. De vraag is: weet u wat u dan moet doen?

Uw noodplan moet antwoord geven op:

• Wie belt u? (IT-dienstverlener, NCSC-hotline, cyberverzekering)
• Hoe scheidt u getroffen systemen van het netwerk?
• Hoe communiceert u intern, extern en richting autoriteiten?
• Waar zijn uw offline back-ups als de online back-ups getroffen zijn?

Print het noodplan uit. Serieus. Wanneer uw IT versleuteld is, helpt een digitaal document op de versleutelde server u niet verder. Een gelamineerd vel naast de router klinkt ouderwets, maar het werkt.

Stap 6: Cyberverzekering bekijken

Dit wordt vaak vergeten. Een cyberverzekering vervangt geen beveiligingsbeleid, maar het is een belangrijke bouwsteen. De kosten van een ransomware-incident voor een bedrijf van 20 personen lopen snel op tot 50.000 tot 200.000 euro: forensisch onderzoek, bedrijfsonderbreking, melding aan getroffen klanten en eventuele boetes.

Veel verzekeraars eisen tegenwoordig bewijs dat u basale beveiligingsmaatregelen hebt geimplementeerd voordat ze uberhaupt een polis afgeven. Stappen 1 tot en met 5 zijn dus dubbel nuttig: ze bereiden u voor op klantenaudits en maken u verzekerbaar.

BSI-registratie: Wat u moet weten

Kort terzijde. Als u direct onder NIS2 valt (50+ medewerkers en 10 miljoen euro omzet in bepaalde sectoren), moet u zich registreren bij het BSI (het Duitse Federale Bureau voor Informatiebeveiliging). Het portaal is sinds januari 2026 actief. De deadline voor bijzonder belangrijke entiteiten was 6 maart 2026.

Maar ook als u onder de drempels zit: controleer het toch. De criteria zijn complex. Soms is het voldoende om actief te zijn in een bepaalde sector, en de drempels werken niet zoals verwacht. Energie, transport, gezondheidszorg, maakindustrie, chemie, voeding, digitale infrastructuur. De lijst van getroffen sectoren is lang.

Voor de registratie hebt u nodig:

• Een bedrijfsaccount bij de MUK-identiteitsdienst van de federale overheid
• Gegevens over uw bedrijf en de getroffen diensten
• Een contactpunt voor het BSI

Het registratieproces zelf is eenvoudig. Maar u moet vooraf uitzoeken of u getroffen bent. Het BSI biedt op zijn website een tool aan om te controleren of de richtlijn op u van toepassing is.

Wat u deze week kunt doen

Ik ben een praktijkmens. Grote plannen zijn mooi, maar uiteindelijk telt wat u daadwerkelijk implementeert. Hier is mijn voorstel voor deze week:

Maandag: Controleer op de BSI-website of uw bedrijf direct onder NIS2 valt. De toepasbaarheidscheck duurt 30 minuten, klaar.

Dinsdag: Bel uw grootste klant en vraag rechtstreeks: "Welke IT-beveiligingseisen stelt u aan leveranciers in het kader van NIS2?" U zult verrast zijn hoe concreet het antwoord uitvalt. Veel inkoopafdelingen hebben de vragenlijsten al klaarliggen.

Woensdag: Maak de inventarisatie uit Stap 2. Pen, papier, een uur. Loop elke afdeling door en noteer welke software en welke toegangen in gebruik zijn. Vergeet de productie-IT niet: machinebesturingen, SCADA-systemen, IoT-sensoren.

Donderdag: Activeer multifactorauthenticatie voor alle clouddiensten. Bij Microsoft 365, Google Workspace en de meeste andere aanbieders zit het in de licentie. Geen extra kosten, alleen 15 minuten configuratie per gebruiker.

Vrijdag: Ga zitten en schrijf de eerste pagina van uw IT-beveiligingsbeleid. Alleen de eerste pagina. De rest komt vanzelf. En als het niet vanzelf komt: daarvoor zijn er adviseurs en IT-dienstverleners.

Dat klinkt eenvoudig. En het is eenvoudig. Het moeilijkste is eraan beginnen.

Concurrentievoordeel in plaats van plichtmatige exercitie

Ik wil afsluiten met een gedachte die ik bij dit soort onderwerpen steeds weer benadruk. NIS2-compliance als leverancier is niet alleen risicobeperking. Het is een concurrentievoordeel.

Stel u voor dat uw grote klant moet kiezen tussen twee gelijkwaardige leveranciers. De een heeft een gedocumenteerd IT-beveiligingsbeleid, een noodplan, aantoonbare MFA en regelmatige trainingen. De ander zegt: "We regelen het wel." Wie zal de inkoper kiezen?

Tijdens mijn tijd bij Instacart en DHL heb ik gezien hoe inkoopafdelingen werken. Ze hebben checklists. En wie de checklist niet haalt, komt niet op de lijst. Hoe goed het product ook is. IT-beveiliging wordt een kwalificatiecriterium, net als kwaliteitscertificaten of leveringscapaciteit.

De bedrijven die dit nu aanpakken, worden over twee jaar de geprefereerde leveranciers. Degenen die wachten, zullen op een gegeven moment overhaast moeten bijwerken wanneer hun belangrijkste klant dreigt het contract niet te verlengen.

Trouwens: als u zich ook met de EU AI Act moet bezighouden, bekijk dan ons artikel over EU AI Act opleidingseisen. Compliancethema's grijpen steeds meer in elkaar, en wie op het ene front vooruitloopt, heeft het op de andere fronten makkelijker.

Bij Plexito helpen wij MKB-bedrijven in de Eifel en het Rijnland hun IT-systemen gereed te maken voor dit soort eisen. Niet met een rapport van 200 pagina's, maar met concrete implementatie. Meer informatie op onze servicepagina. Of neem direct contact met ons op via ons contactformulier.