De NIS2-boete is niet uw grootste risico — contractverlies wel

Elke NIS2-presentatie opent met hetzelfde getal: 10 miljoen euro. De maximale boete voor essentiële entiteiten. Het staat op elke slide, in elke brochure, in elk nieuwsartikel. En het werkt — het trekt de aandacht. Maar het leidt ook af van het risico dat veel groter is en veel eerder toeslaat: het verlies van klanten en contracten.

Waarom de boete niet uw prioriteit zou moeten zijn

Laten we eerlijk zijn over de boete. De Nederlandse toezichthouder bestaat nog niet eens in operationele vorm. De Cyberbeveiligingswet moet nog worden aangenomen. Daarna volgt een opbouwfase van het toezicht. Daarna volgen waarschuwingen, aanwijzingen en verbetertrajecten. En pas daarna, als allerlaatste stap, komen de boetes. Realistisch gezien praat u over 2028 of 2029 voordat de eerste serieuze boetes in Nederland vallen.

Maar contracten worden nu verloren. Vandaag. Deze week. Bij elke aanbesteding waar beveiliging een criterium is — en dat zijn er steeds meer.

Hoe inkoopafdelingen denken

De verschuiving is subtiel maar fundamenteel. Vijf jaar geleden was cybersecurity een vraag voor de IT-afdeling. Nu is het een vraag voor de inkoopafdeling. En inkopers denken in risico's, niet in techniek.

Een inkoopmanager bij een groot energiebedrijf legde het me onlangs zo uit: "Als ik een leverancier selecteer die vervolgens gehackt wordt en onze operatie verstoort, is dat mijn verantwoordelijkheid. NIS2 maakt dat expliciet. Dus ik selecteer alleen leveranciers die hun beveiliging kunnen aantonen. De rest valt af in de eerste ronde."

Dit is geen theorie. Dit is wat er nu gebeurt in inkoopprocessen bij:

• Energiebedrijven (essentieel onder NIS2) — alle leveranciers moeten een beveiligingsvragenlijst invullen.
• Waterbedrijven en waterschappen — contractuele eisen voor ISO 27001 of gelijkwaardig bij alle IT- en OT-leveranciers.
• Grote industriele bedrijven — right-to-audit clausules en jaarlijkse beveiligingsrapportages als contractuele verplichting.
• Logistieke dienstverleners — TAPA-certificering plus aanvullende cybersecurity-eisen in raamcontracten.
• Automotive supply chain — TISAX-certificering als harde eis, gekoppeld aan NIS2-ketenverantwoordelijkheid.

Het domino-effect in de supply chain

NIS2 kent een expliciet artikel over supply chain beveiliging (Artikel 21, lid 2d). Essentiële en belangrijke entiteiten moeten de beveiligingsrisico's in hun supply chain beheersen. Dat betekent concreet: eisen stellen aan leveranciers, die eisen monitoren, en leveranciers die niet voldoen vervangen.

Dit veroorzaakt een domino-effect. Een energiebedrijf stelt eisen aan zijn systeemintegrator. Die integrator stelt dezelfde eisen aan zijn softwareleveranciers en hardwareleveranciers. Die leveranciers stellen op hun beurt eisen aan hun underleveranciers. Binnen twee tot drie schakels raakt NIS2 bedrijven die zelf helemaal niet onder de richtlijn vallen — maar die wel klanten hebben die eronder vallen.

Een machinebouwer met 85 medewerkers is waarschijnlijk niet rechtstreeks een "essentiële entiteit" onder NIS2. Maar als zijn drie grootste klanten dat wel zijn, dan moet hij aan hun eisen voldoen. Niet omdat de wet het hem direct oplegt, maar omdat zijn klanten het hem contractueel opleggen. Het resultaat is hetzelfde: wie niet voldoet, verliest de klant.

Concrete contracteisen die we nu al zien

In de aanbestedingen en raamcontracten die ik de afgelopen maanden heb beoordeeld, kwamen de volgende eisen steeds terug:

1. Aantoonbaar informatiebeveiligingsbeleid — niet alleen "we doen iets aan security", maar een gedocumenteerd beleid dat is goedgekeurd door de directie.
2. Risicoanalyse — een actuele risicoanalyse die minimaal jaarlijks wordt herzien. Veel opdrachtgevers willen deze inzien.
3. Incidentmelding binnen 24 uur — contractueel vastgelegd, met boeteclausules bij niet-nakoming.
4. Bewijs van patchmanagement — niet alleen een beleid, maar aantoonbare rapportages dat patches tijdig worden toegepast.
5. MFA op alle toegangspunten — multifactor-authenticatie als harde eis, niet als aanbeveling.
6. Jaarlijkse penetratietest of audit — een onafhankelijke beoordeling van de beveiligingsmaatregelen.
7. Back-up en herstelplan — inclusief bewijs dat dit regelmatig wordt getest.

Bedrijven die deze documenten en bewijzen niet kunnen leveren, worden niet uitgenodigd voor de volgende aanbestedingsronde. Geen discussie, geen tweede kans. De inkoper heeft genoeg alternatieven die het wel kunnen.

Het concurrentievoordeel van vroeg bewegen

Er is ook een positief verhaal. Bedrijven die nu investeren in NIS2-readiness creeren een meetbaar concurrentievoordeel. Zij zijn de leveranciers die de vragenlijsten kunnen invullen, die de audits kunnen doorstaan, die de contracteisen kunnen ondertekenen.

Een IT-dienstverlener in Noord-Holland investeerde begin 2025 in ISO 27001-certificering. De investering: circa 65.000 euro. In de twaalf maanden daarna won het bedrijf drie aanbestedingen waar ze eerder niet voor in aanmerking kwamen. Geschatte extra omzet: 1,2 miljoen euro per jaar. Rendement op investering: meer dan 1800 procent.

Dat is geen uitzondering. Ik zie het patroon steeds vaker: bedrijven die hun beveiliging op orde hebben, winnen contracten van concurrenten die technisch gelijkwaardig zijn maar hun beveiliging niet kunnen aantonen. De prijs is niet langer het enige criterium. Beveiliging is het nieuwe kwaliteitskeurmerk.

Wat u nu moet doen

Stop met focussen op de boete. Focus op uw klanten en hun eisen. Concreet betekent dat:

• Inventariseer welke van uw klanten onder NIS2 vallen (essentieel of belangrijk). Dat zijn de klanten die eisen gaan stellen — als ze dat niet al doen.
• Vraag proactief aan die klanten wat hun beveiligingseisen worden voor leveranciers. Liever nu, wanneer u nog tijd heeft om te reageren, dan straks wanneer het een eis in de aanbesteding is.
• Begin met documentatie. Het verschil tussen "we doen het" en "we kunnen bewijzen dat we het doen" is het verschil tussen een contract winnen of verliezen.
• Reken het door. Wat kost NIS2-readiness? En wat kost het verlies van uw twee grootste klanten? Die vergelijking maakt de businesscase vanzelf duidelijk.