mijn klant stuurt een uitgebreide nis2 vragenlijst terwijl dat eerst niet zo was wat moet ik daarmee
Uw klant schuift zijn ketenverplichting door
Dit betekent meestal dat uw klant zelf onder de Cyberbeveiligingswet valt, en dat hij als essentiële of belangrijke entiteit verplicht is om de veiligheid van zijn eigen leveranciers te beoordelen. Die verplichting komt uit de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn, en één daarvan gaat specifiek over ketenveiligheid: de organisatie moet weten hoe veilig haar leveranciers zijn, en moet dat kunnen aantonen. Uw klant zet die vraag dus niet zomaar door — hij is daartoe zelf gehouden, en u bent op dat moment onderdeel van zijn "keten". Vandaar dat de lijst nu wél komt, ook al leverde u al jaren zonder dat dit ooit gevraagd werd: de plicht is voor hem nieuw, niet voor uw relatie.
Wat u kunt verwachten is een combinatie van vragen die eerder bij het toegangsbeleid en het beheer van bedrijfsmiddelen horen, vragen over de procedure bij beveiligingsincidenten en vragen over herstelvermogen na een verstoring. Heeft u geen ISO 27001-certificaat, dan is dat op zichzelf meestal geen probleem — de richtlijn eist niet dat elke leverancier gecertificeerd is, ze eist dat de klant weet hoe u ervoor staat. Een beschrijving van uw eigen maatregelen, met bewijsstukken waar u die heeft, is dan een geldig antwoord. Waar u niets heeft, antwoordt u dat er niets is; een lijst met louter "ja" zonder onderliggend stuk levert bij een latere audit van uw klant meer risico op dan een eerlijk "nee, nog niet".
Waarom dit nu bij u binnenkomt: artikel 21 lid 2
De verplichting om leveranciers te beoordelen staat in artikel 21 lid 2 van Richtlijn (EU) 2022/2555, en wordt voor Nederlandse entiteiten uitgewerkt in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. Of uw klant zelf onder die wet valt, en dus verplicht is deze vragen te stellen, kunt u meestal nagaan via de omvang en sector van zijn onderneming — iets wat ook relevant is om te weten of u zelf als entiteit onder de richtlijn valt.
Dit antwoord geldt voor elke soort vragenlijst, niet alleen voor de duurzaamheidsvragen van je klant, beantwoord. De volledige uitleg — met de bronnen, de landspecifieke bijzonderheden en de verwante onderwerpen — staat op de koepel.
Dit is geen juridisch advies. Deze pagina geeft algemene informatie over de regelgeving waar dit platform over gaat. Wij kennen uw situatie niet. Bij twijfel over uw eigen geval raadpleegt u een jurist of de bevoegde toezichthouder.
Geschreven met AI op basis van de bronnen hierboven, gecontroleerd door een mens op 2026-09-05. Klopt er iets niet? Laat het weten — correcties krijgen voorrang.