Te klein voor de Cyberbeveiligingswet? De vragen komen toch

Wat er op 15 augustus verandert

De Cyberbeveiligingswet verplicht organisaties in essentiële en belangrijke sectoren om hun informatiebeveiliging aantoonbaar op orde te hebben. Onderdeel van die zorgplicht is de eigen leveranciersketen: wie onder de wet valt, moet weten welke risico’s leveranciers meebrengen en daar afspraken over maken.

Voor die organisaties is dat huiswerk. Voor hun leveranciers, en dat ben jij als je levert aan een zorginstelling, gemeente, transportbedrijf of grotere onderneming, betekent het iets anders: je klant gaat je vragen stellen. Niet omdat hij je wantrouwt, maar omdat de wet hem daartoe verplicht.

Waarom de vragen bij jou landen

Een organisatie met honderd leveranciers gaat geen honderd audits doen. Ze stuurt een vragenlijst. Soms een eigen document, soms een branchestandaard, soms een portaal waarin je moet inloggen en vinkjes zetten met bewijsstukken erbij.

De vragen komen op momenten die je niet kiest: bij een contractverlenging, bij een aanbesteding, of ineens, omdat de compliance-afdeling van je klant een deadline heeft. Wie dan pas begint met documenteren, schrijft antwoorden onder tijdsdruk. Dat leidt tot twee slechte uitkomsten: je belooft dingen die je niet waarmaakt, of je laat velden leeg en je klant trekt zijn conclusie.

Wat er meestal gevraagd wordt

De vragenlijsten verschillen per klant, maar de thema’s komen terug:

– Beleid: is er een informatiebeveiligingsbeleid, en wie is er verantwoordelijk voor?
– Toegang: wie kan bij welke gegevens, en hoe worden accounts van vertrokken medewerkers gesloten?
– Continuïteit: zijn er back-ups, en zijn die getest?
– Incidenten: wat gebeurt er als het misgaat, en wanneer hoort je klant dat?
– Bewijs: kun je het bovenstaande laten zien, of staat het alleen in je hoofd?

Die laatste vraag is de scheidslijn. Vrijwel elk bedrijf regelt in de praktijk iets van beveiliging. Het verschil zit in aantoonbaarheid: een document met een datum en een eigenaar telt, een mondelinge gewoonte niet.

Zo bereid je je voor zonder er een project van te maken

Begin bij je klanten, niet bij de norm. Loop je klantenlijst na en markeer wie er waarschijnlijk onder de wet valt: zorg, overheid, transport, energie, grotere ondernemingen. Dat zijn de afzenders van de toekomstige vragenlijsten.

Leg daarna de basis vast op papier. Geen normenkader van honderd pagina’s, maar de documenten die de terugkerende thema’s hierboven afdekken, elk met een datum en een verantwoordelijke.

Beantwoord vragenlijsten daarna altijd met een verwijzing naar een document. Een antwoord zonder bron is een belofte; een antwoord met bron is bewijs. Waar je geen document hebt, schrijf je dat eerlijk op en zet je een datum bij wanneer het er wel is. Dat antwoord wint het van een leeg veld.

Onze gratis analyse op keten.alta-ict.nl helpt bij de eerste stap. Eerlijk vooraf: de tool leest je vragenlijst, herkent de thema’s en laat zien hoe ver je bent, maar hij schrijft je antwoorden niet voor je. Wat ontbreekt, blijft zichtbaar als gap. Dat is bewust: een verzonnen antwoord in een leveranciersbeoordeling valt vroeg of laat door de mand.

Hoe ALTA-ICT dit zelf doet

Wij zitten aan beide kanten van deze tafel. Als MSP krijgen we zelf leveranciersbeoordelingen van klanten, en we zijn gecertificeerd voor ISO 27001:2023, ISO 9001:2015 en NEN 7510:2024. Onze antwoorden op vragenlijsten verwijzen naar de documenten uit ons eigen managementsysteem, met documentnummer en datum. Diezelfde aanpak, vastleggen wat je doet en verwijzen naar wat er ligt, past ook zonder certificaat.

Veelgestelde vragen

Geldt de Cyberbeveiligingswet voor mijn MKB-bedrijf?

Vaak niet direct. De wet richt zich op essentiële en belangrijke sectoren. Lever je aan organisaties die er wel onder vallen, dan raakt de wet je via hun zorgplicht.

Mag ik een vragenlijst gewoon negeren?

Dat kan, maar je klant moet zijn keten aantoonbaar beheersen. Een leverancier die niet antwoordt, wordt een risico op papier. Bij een contractverlenging weegt dat mee.

Heb ik een certificering nodig om te kunnen antwoorden?

Nee. Een certificaat maakt antwoorden makkelijker, maar de meeste vragenlijsten vragen om aantoonbare maatregelen, niet om een certificaat. Documenten met datum en eigenaar komen een heel eind.

Wat als ik een vraag echt niet kan beantwoorden?

Schrijf op wat er wel ligt, benoem wat ontbreekt en zet er een datum bij. Een eerlijke gap met een plan is een beter antwoord dan een belofte zonder bewijs.

Wanneer moet dit klaar zijn?

De wet geldt vanaf 15 augustus 2026, maar jouw deadline wordt bepaald door je klanten: de eerstvolgende contractverlenging of aanbesteding. Vroeg beginnen betekent antwoorden zonder tijdsdruk.

Conclusie

De Cyberbeveiligingswet verplicht jou waarschijnlijk niets. Je klanten wel, en hun verplichting wordt jouw vragenlijst. Wie de basis nu vastlegt, beantwoordt die lijst straks in een middag in plaats van in een paniekweek.

Wil je weten waar je staat voordat de eerste vragenlijst binnenkomt? Plan een korte sessie met ALTA-ICT, dan lopen we je situatie samen door.

Bron: behandeling Cyberbeveiligingswet en Wwke, Eerste Kamer, 7 juli 2026. Gecontroleerd op 10 juli 2026.