Er komt een mail binnen van je grootste opdrachtgever. Vriendelijke toon, kort berichtje, en een bijlage van vier pagina’s. Of je even wilt invullen hoe je je informatiebeveiliging hebt geregeld. Graag binnen twee weken.
Je scrollt door de vragen. Bewaartermijn van back-ups. Datum van je laatste herstelproef. Meldtermijn bij incidenten. Of je personeel periodiek getraind wordt. Onderaan een vakje voor je ISO 27001-certificaatnummer.
Je hebt geen ISO 27001. Je hebt ook geen informatiebeveiligingsbeleid in een map liggen. Wat je wel hebt is een bedrijf met twaalf man dat gewoon zijn werk doet, en een opdrachtgever die je niet wilt kwijtraken.
Dit stuk gaat over hoe je die lijst invult. Niet met mooie praatjes, maar met wat je werkelijk hebt.
Waarom je die vragenlijst ineens krijgt
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ongeveer achtduizend organisaties vallen eronder: ziekenhuizen, energiebedrijven, drinkwaterbedrijven, overheden, transport, digitale infrastructuur.
Die organisaties hebben een zorgplicht. Ze moeten maatregelen nemen om hun risico’s te beheersen, en in de opsomming van maatregelen staat er eentje die verder reikt dan hun eigen muren: de beveiliging van de toeleveringsketen. Concreet betekent dat dat ze moeten kunnen aantonen dat ze weten met wie ze zakendoen en hoe die partijen hun zaken op orde hebben.
Jij bent zo’n partij. Niet omdat jij onder de wet valt, maar omdat je klant eronder valt en jij in zijn keten zit.
Dat verklaart ook de toon van die mail. Er zit geen dreigement in, want je opdrachtgever wil je helemaal niet kwijt. Hij moet alleen iets kunnen laten zien aan zijn eigen toezichthouder.
Val je er zelf ook onder?
Waarschijnlijk niet. De wet richt zich op achttien sectoren en hanteert daarbinnen een omvangdrempel: meestal vanaf vijftig medewerkers of tien miljoen euro omzet. De meeste mkb-bedrijven vallen daar ruim onder.
Er is een uitzondering die je wel moet controleren. Een aantal groepen valt onder de wet ongeacht hun omvang. Dat zijn onder meer aanbieders van domeinnaamregistratiediensten, DNS-dienstverleners, registerbeheerders van topleveldomeinen, gekwalificeerde vertrouwensdiensten, aanbieders van openbare elektronische communicatienetwerken, en overheidsorganisaties.
Zit je daar niet tussen en heb je minder dan vijftig man, dan val je er hoogstwaarschijnlijk niet onder. Dat mag je in je antwoord ook gewoon zo opschrijven.
Eerst dit: je hoeft niet aan de wet te voldoen
Dit is het misverstand dat de meeste tijd kost, dus laten we het meteen wegnemen.
Als leverancier van een NIS2-plichtige organisatie ben je niet zelf verplicht om aan de Cyberbeveiligingswet te voldoen. Je hebt geen registratieplicht, geen meldplicht bij het NCSC en geen zorgplicht onder die wet.
Wat er wel gebeurt: je klant legt zijn eigen verplichting contractueel bij jou neer. Dat is geen wettelijke eis maar een afspraak tussen twee bedrijven. En dat betekent dat je erover kunt praten. Je mag zeggen dat iets niet van toepassing is, dat je iets anders hebt geregeld, of dat een eis niet in verhouding staat tot de dienst die je levert.
Dat laatste is belangrijker dan het klinkt. Veel vragenlijsten zijn zonder nadenken doorgestuurd. Een bedrijf dat jou inhuurt om drie keer per jaar een machine af te stellen, krijgt exact dezelfde lijst als de partij die zijn complete ICT beheert. Je mag dat benoemen.
Wat er meestal in zo’n lijst staat
De inhoud verschilt per opdrachtgever, maar de onderwerpen komen steeds terug. Dit zijn de blokken die je vrijwel altijd tegenkomt.
1. Wie ben je en wat lever je precies
Bedrijfsgegevens, KvK-nummer, een contactpersoon voor beveiliging met naam en telefoonnummer, en een beschrijving van de dienst. Vaak ook: waar staan de gegevens, welke onderaannemers gebruik je, gaan er gegevens buiten de Europese Economische Ruimte.
Dit blok is makkelijk maar wordt vaak slordig ingevuld. Zet er een echte naam en een echt 06-nummer neer, geen info@. De hele reden dat ze het vragen is dat ze iemand willen kunnen bereiken als er ’s avonds iets misgaat.
2. Onafhankelijke zekerheid
Hier wordt gevraagd naar ISO 27001, een SOC-rapport of een pentestsamenvatting. Voor de meeste mkb-bedrijven is het antwoord: die hebben we niet.
Zeg dat dan ook, en zet erbij waarom. Bijvoorbeeld: “Wij zijn niet ISO 27001-gecertificeerd. Voor een organisatie van onze omvang staan de kosten van certificering niet in verhouding tot het risicoprofiel van de dienst die wij leveren. Wij leggen onze maatregelen wel vast en actualiseren die jaarlijks. Zie de bijlage.”
Dat werkt beter dan het vakje leeg laten. Een leeg vakje leest als “niet geregeld”, een uitleg leest als een afweging.
En laat je niet gek maken door dat certificaat. Ook aan de kant van je opdrachtgever weten ze dat een ISO 27001-certificaat op zichzelf weinig zegt zolang je de scope niet kent. Een certificaat waarvan de scope alleen het hoofdkantoor dekt en niet de dienst die jij afneemt, is minder waard dan een goed onderbouwd eigen verhaal.
3. Back-ups en herstel
Hoe vaak maak je back-ups, hoe lang bewaar je ze, waar staan ze, en de vraag waar het echt om draait: wanneer heb je voor het laatst getest of je ze kunt terugzetten.
Op die laatste vraag geeft bijna iedereen een vaag antwoord, en precies daarom valt een concreet antwoord op. Meer daarover in het stuk over de herstelproef.
4. Incidenten
Heb je een incidentprocedure, wie is het aanspreekpunt, en binnen hoeveel tijd meld je een incident aan je klant.
Die laatste is een strikvraag, want er staat vaak al een termijn ingevuld. Zesendertig uur, of vierentwintig uur. Kijk daar goed naar voor je tekent, want je zegt daarmee toe dat je binnen die tijd merkt dát er iets is en het ook meldt. Als je ’s avonds en in het weekend niemand aan de telefoon hebt, is vierentwintig uur een belofte die je niet waar kunt maken.
5. Toegang en mensen
Gebruik je multifactorauthenticatie, hoe zijn wachtwoorden geregeld, wie heeft waar toegang toe, en krijgt je personeel training in het herkennen van phishing.
Dit blok is voor de meeste bedrijven het pijnlijkst, want hier zit vaak echt een gat. Het goede nieuws: het is ook het blok dat je het snelst dichtzet. Een wachtwoordmanager en een trainingsabonnement zijn samen een kwestie van weken, niet maanden.
6. Wat er gebeurt als het contract stopt
Krijg je je gegevens terug, in welk formaat, en hoe lang duurt het voor ze verwijderd zijn. Ook hier: dit hoort in je verwerkersovereenkomst te staan, en als dat zo is verwijs je er gewoon naar.
De aanpak: doe het één keer goed
De fout die de meeste mensen maken is dat ze de lijst als een los klusje behandelen. Ze vullen hem in, mailen hem terug, en zes weken later komt er een andere klant met een andere lijst en begint het opnieuw.
Doe het anders. Maak van die eerste lijst een document dat je opnieuw kunt gebruiken.
Stap 1. Zet je antwoorden in één bestand
Niet in het formulier van je klant, maar in een eigen document. Per onderwerp een kopje en een antwoord van drie tot vijf regels. Waar de data staat, hoe back-ups werken, wat je doet bij een incident, hoe toegang geregeld is.
Dat document is je basis. De volgende vragenlijst vul je in door eruit te kopiëren, en dat kost een uur in plaats van een middag.
Stap 2. Zoek per antwoord het bewijsstuk erbij
Een antwoord zonder bewijs is een bewering. Bij “wij maken dagelijks back-ups” hoort een schermafdruk van je back-upschema of een bevestiging van je hostingpartij. Bij “onze medewerkers krijgen training” hoort een deelnamerapport.
Verzamel die stukken in één map met een datum in de bestandsnaam. Dan kun je in één keer meesturen wat er gevraagd wordt.
Stap 3. Vraag je eigen leveranciers
Op de helft van de vragen ben jij niet het antwoord. Waar je website draait, hoe die back-ups gemaakt worden en welke beveiliging daar omheen zit: dat is je hostingpartij.
Vraag het gewoon. Een fatsoenlijke hostingpartij heeft dit klaarliggen en stuurt het je binnen een dag. Kan of wil hij het niet leveren, dan weet je meteen iets belangrijks over je eigen keten.
Stap 4. Wees eerlijk over wat je niet hebt
Dit is de belangrijkste. De verleiding is groot om overal ja te zetten, want dat leest lekker weg. Doe het niet.
Twee redenen. De praktische: je ondertekent iets, en als er later iets misgaat kijkt iedereen terug naar wat je hebt ingevuld. De commerciële: een lijst met overal ja is ongeloofwaardig. Iemand die dit vaker leest, ziet dat meteen.
Een antwoord in de vorm van “dit hebben we niet, dit is de reden, en dit doen we er in plaats daarvan aan” wekt meer vertrouwen dan een rij vinkjes. En het geeft je bovendien ruimte om iets later alsnog te regelen zonder dat je jezelf hebt tegengesproken.
Wat je binnen twee weken kunt oplossen
Stel dat de lijst gaten blootlegt en je wilt er iets aan doen voor je hem terugstuurt. Dit is realistisch in twee weken, in volgorde van opbrengst:
- Multifactorauthenticatie op je e-mail. Een middag werk voor het hele bedrijf en het dekt in één klap de meest gestelde vraag. Zeker als je op Microsoft 365 zit.
- Wachtwoordmanager uitrollen. Een dag inrichten, een week wennen. Ruimt en passant het Excel-bestand met inloggegevens op.
- Een incidentprocedure op één A4. Wie belt wie, binnen hoeveel tijd, en wie informeert de klant. Dit hoeft geen dik document te zijn, het moet alleen bestaan en kloppen.
- Een herstelproef uitvoeren en vastleggen. Zet één back-up terug, klok hoe lang het duurt, schrijf de datum en de uitkomst op. Dit is de één na kortste actie op deze lijst en levert het sterkste bewijsstuk op.
- Verwerkersovereenkomsten ophalen bij je leveranciers. Een paar mails.
Wat je in twee weken niet oplost: ISO 27001. Reken op een jaar en een aanzienlijk budget. Ga daar dus niet aan beginnen omdat er één vakje om vraagt.
Wat je vooral niet moet doen
Niet blind tekenen. In de begeleidende voorwaarden staat soms een auditrecht, een boeteclausule of een meldtermijn van een paar uur. Lees dat deel net zo goed als de vragen zelf.
Geen certificering claimen die niet bestaat. Er is geen NIS2-certificering. Wie je die verkoopt, verkoopt lucht, en wie hem claimt op een formulier heeft een probleem zodra iemand doorvraagt.
Niet zeggen dat je NIS2-compliant bent. Dat is geen bestaande status voor een bedrijf dat niet onder de wet valt. Wat je wel kunt zeggen: “wij ondersteunen onze klanten die onder de Cyberbeveiligingswet vallen door de gevraagde informatie over onze dienstverlening aan te leveren”.
Niet wachten tot de volgende lijst. Deze komt terug. Als je nu een half uur extra besteedt aan het opslaan van je antwoorden, scheelt dat je bij de volgende klant een middag.
Wat wij hierin doen
Wij hosten websites, e-mail en servers voor ongeveer 185 bedrijven, en wij krijgen deze vragen dus ook. Van onze klanten, en over onszelf.
Twee dingen die je van ons kunt krijgen zonder gedoe. Een verwerkersovereenkomst met daarin welke gegevens wij verwerken, welke partijen daarbij betrokken zijn en waar alles staat. Die kun je rechtstreeks doorsturen. En een overzicht van de technische maatregelen rond de dienst die je bij ons afneemt: back-upfrequentie, bewaartermijn, versleuteling, monitoring en de datum van onze laatste herstelproef.
Neem je meer bij ons af dan alleen hosting, dan kunnen we ook het deel over training, wachtwoordbeheer en e-mailbeveiliging voor je invullen in plaats van dat je het zelf uitzoekt.
Zit je met zo’n lijst en weet je niet waar je moet beginnen? Bel gerust even, ook als je geen klant bent. Meestal is in tien minuten duidelijk welke drie vragen er echt toe doen en welke je met één zin kunt afdoen.