Je grootste klant gaat je binnenkort om bewijs vragen. Dat is goed nieuws.
Er komt een moment dat er een e-mail binnenkomt van je belangrijkste opdrachtgever, met een bijlage. Een vragenlijst over informatiebeveiliging, met het verzoek die binnen twee weken ingevuld terug te sturen. En met de mededeling dat het antwoord meeweegt bij de verlenging van het contract.
Voor de meeste organisaties is dat een vervelende middag. Voor een enkele organisatie is het een kans om te winnen wat de concurrent verliest. Het verschil zit niet in wie het beste beveiligd is, maar in wie het kan aantonen.
Waarom die e-mail komt
Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 Nederlandse organisaties vallen er direct onder. Zij moeten zich registreren, een risicoanalyse uitvoeren, passende maatregelen nemen en significante incidenten binnen 24 uur melden. De maximale boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Bestuurders moeten de maatregelen zelf goedkeuren, toezien op de uitvoering en voldoende kennis hebben om de risico’s te kunnen beoordelen. Toeleveringsketen is daarbij één van de tien verplichte maatregelgebieden — en de reden waarom die controle nu ook bij jou als leverancier terechtkomt.
Dat is hun opgave. Voor jou begint het verhaal daarna.
Die 8.000 organisaties zijn namelijk ook verplicht om de risico’s in hun toeleveringsketen te beheersen. In de praktijk doen ze dat op één manier: ze stellen strengere beveiligingseisen aan hun leveranciers, ongeacht hoe groot die leverancier is. Lever je aan een ziekenhuis, een energiebedrijf, een waterschap, een grote logistieke partij of een overheidsorganisatie, dan komt de vraag bij jou terecht. Niet als wet, maar als contractvoorwaarde. En een contractvoorwaarde is in de praktijk dwingender dan een wet, want er hangt een opdracht aan.
Wat er op het spel staat, is geen boete
Val je zelf niet onder de wet, dan riskeer je geen boete. Je riskeert iets wat directer voelt. Dat je in de tweede ronde van een tender afvalt op een vraag die je niet kon onderbouwen. Dat een raamcontract dat vijf jaar automatisch werd verlengd, dit jaar naar de partij gaat die de bijlage compleet terugstuurde. Dat een inkoper je opneemt in het lijstje leveranciers die nog aandacht behoeven.
Omgekeerd geldt precies hetzelfde, en dat is het punt van dit verhaal. Word je gevraagd en kun je binnen een dag met bewijs antwoorden, dan gebeurt er meer dan het zetten van een vinkje. Je wordt de leverancier over wie de inkoper zich geen zorgen maakt. Dat is de kortste route naar verlenging, naar uitbreiding van je opdracht en naar het gesprek waarin ze vragen of je nog meer voor hen kunt doen.
De vragen zijn voorspelbaar, dus de antwoorden mogen dat ook zijn
Er zit weinig fantasie in die vragenlijsten, en dat is gunstig. Ze vragen vrijwel altijd hetzelfde. Staat er MFA op alles wat vanaf internet bereikbaar is? Is er een back-up die getest is? Wie heeft beheerrechten, en waarom? Wordt vastgelegd wie wat wanneer wijzigt? Hoe snel merk je een inbraak? Wat is je incidentprocedure?
Het opvallende is dat de meeste organisaties die wij tegenkomen hier al grotendeels aan voldoen. MFA staat aan, er wordt gepatcht, er is een back-up. Wat ontbreekt, is niet de maatregel, maar het bewijs. Een vastgelegde baseline, gedocumenteerd beleid, logging van toegang en wijzigingen, een periodieke rapportage met een datum erop.
Dat verschil bepaalt hoe zo’n middag verloopt. Zonder bewijs ben je twee weken bezig met screenshots maken, collega’s navragen en zinnen formuleren die net genoeg zeggen. Met bewijs stuur je een bestaand document door en ga je verder met je werk.
Wat je klant eigenlijk koopt
Een inkoper die zo’n vragenlijst uitstuurt, wil geen securityrapport. Hij wil weten of jij een risico vormt voor zijn eigen verplichtingen. Hij wil kunnen doorwerken zonder aan jou te denken.
Dat is precies wat je verkoopt zodra dit op orde is. Geen certificaat, maar de zekerheid dat jij niet degene bent die zijn probleem wordt. Organisaties die dat kunnen bieden, merken het in hun orderportefeuille voordat ze het in hun risicoregister merken.
Wil je weten of je die e-mail vandaag zou kunnen beantwoorden?
Doe de test met ons. In een gratis IT-scan lopen we de vragen langs die je klanten je gaan stellen, en vertellen we je precies wat je vandaag kunt aantonen en wat niet. Je krijgt geen rapport van dertig pagina’s, maar een antwoord op één vraag. Sta je sterk of sta je met lege handen als er morgen om bewijs wordt gevraagd?
Sta je sterk, dan weet je dat en kun je het zelf inzetten bij je volgende tender. Sta je met lege handen, dan weet je wat het kost om dat te veranderen en wat het je oplevert.
Plan een gratis IT-scan -> of bel 085 – 30 16 410. Binnen één werkdag contact, vrijblijvend en zonder verplichtingen.