Er valt een mail in uw inbox. Uw grootste klant (een ziekenhuis, een logistiek bedrijf, een energieleverancier) stuurt een “leveranciersvragenlijst cyberbeveiliging”. Veertig vragen. Over uw back-ups, uw incidentdetectie, uw logging, uw toegangsbeheer. En onderaan: “Gelieve binnen de dertig dagen te beantwoorden.”

Uw eerste reactie is misschien: wij vallen toch niet onder NIS2? Klopt wellicht. Maar dat is niet de vraag. De vraag is of uw klant eronder valt. En als dat zo is, bent u vanaf nu deel van zijn probleem, of van zijn oplossing.

De wet werkt via de keten

NIS2 is sinds oktober 2024 van kracht in België. De wet verplicht duizenden “essentiële” en “belangrijke” entiteiten, van ziekenhuizen tot voedingsbedrijven, om hun cyberrisico’s te beheren. En één van die risico’s staat expliciet in de wet: de toeleveringsketen.

Concreet: een NIS2-entiteit moet de cyberveiligheid van haar leveranciers en dienstverleners beoordelen. Niet vrijblijvend, maar als wettelijke verplichting, met het Centrum voor Cybersecurity België (CCB) als toezichthouder en boetes die kunnen oplopen tot miljoenen euro’s. Geen enkele compliance-verantwoordelijke neemt daar nog risico’s mee.

Het gevolg laat zich raden. De verplichting sijpelt door naar beneden. Het ziekenhuis bevraagt zijn softwareleverancier. De softwareleverancier bevraagt zijn hostingpartij. En het boekhoudkantoor dat de lonen van het ziekenhuis verwerkt? Dat krijgt diezelfde vragenlijst. U hoeft niet onder de wet te vallen om er de gevolgen van te dragen.

Wat er concreet gevraagd wordt

De vragenlijsten verschillen per sector, maar de kern komt telkens terug:

  • Weet u wat er in uw IT-omgeving draait? Een actuele inventaris van systemen, software en diensten.
  • Merkt u het als er iets misgaat? Detectie van storingen en verdachte activiteit, liefst met aantoonbare reactietijden.
  • Houdt u bij wat er gebeurt? Logging van events, en de mogelijkheid om achteraf te reconstrueren wat er fout liep.
  • Hoe snel bent u terug operationeel? Back-ups, hersteltijden, beschikbaarheidscijfers.

Merk op wat hier niet gevraagd wordt: een duur certificaat, een compliance-afdeling, een fulltime security officer. Wat gevraagd wordt, is bewijs dat u uw zaken op orde hebt.

”Nee” invullen is ook een antwoord, en een duur antwoord

Wat gebeurt er als u de vragenlijst leeg of negatief terugstuurt? Meestal niet meteen iets dramatisch. Maar bij de volgende contractverlenging ligt er een concurrent op tafel die de vragen wél kon beantwoorden. Leveranciersbeoordeling is geen eenmalige formaliteit; ze wordt een vast onderdeel van inkoopbeslissingen. De vraag is niet of cyberveiligheid een gunningscriterium wordt, maar wanneer u er voor het eerst een opdracht door verliest, zonder dat iemand u dat vertelt.

Draai het om, en het wordt een troef. De KMO die als eerste in haar sector “ja, en hier is het maandrapport” kan antwoorden, onderscheidt zich moeiteloos van de rest.

Beginnen zonder te verdrinken

Het goede nieuws: België heeft met CyberFundamentals (CyFun) een raamwerk dat precies hiervoor gemaakt is: een praktisch stappenplan op maat van KMO’s, ontwikkeld door het CCB. Het Basic-niveau dekt de essentie: weten wat er draait, problemen detecteren, events loggen, beschikbaarheid bewaken.

En dat is geen toeval mijn vakgebied. Professionele monitoring levert een groot deel van die antwoorden automatisch op: een inventaris die zichzelf actueel houdt, detectie binnen de minuut, logging die u zwart op wit kunt voorleggen. Niet als papieren oefening, maar als draaiend systeem.

Hebt u zo’n vragenlijst ontvangen, of wilt u er één voor zijn? Plan een vrijblijvend gesprek, dan overlopen we samen wat uw klanten straks van u verwachten, en wat daarvan vandaag al geregeld kan zijn.