De NIS2-boete is niet uw grootste risico — contractverlies wel

Tien miljoen euro. Dat bedrag opent vrijwel elke presentatie over NIS2, en het doet zijn werk: de zaal is er stil van. Het gevolg is alleen dat de aandacht uitgaat naar het verkeerde risico. Een boete is een mogelijkheid op termijn. Het verlies van een contract omdat u uw beveiliging niet kunt aantonen, speelt nu al.

Waarom de boete niet uw prioriteit zou moeten zijn

Bekijk de boete eens op zijn praktische merites. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden, waarmee de zorgplicht, de meldplicht en de registratieplicht bij het NCSC voor ongeveer achtduizend organisaties gelden. Het toezicht moet zich vanaf dat moment echter nog opbouwen, en een toezichthouder begint niet met de hoogste sanctie. De gebruikelijke volgorde is een informatieverzoek, gevolgd door een waarschuwing, een bindende aanwijzing en een verbetertraject. Boetes vormen het sluitstuk van die reeks, en de eerste substantiële boete zal naar verwachting nog enkele jaren op zich laten wachten.

Contracten worden intussen wel degelijk verloren, bij iedere aanbesteding waarin beveiliging als criterium meeweegt. Dat aantal neemt per kwartaal toe, en sinds de wet van kracht is stellen afnemers hun vragen bovendien met een wettelijke verplichting in de hand.

Hoe inkoopafdelingen denken

De verschuiving zit in de vraag wie de vraag stelt. Enkele jaren geleden kwam een beveiligingsvraag doorgaans van de IT-afdeling van uw afnemer en ging het gesprek over techniek. Tegenwoordig komt diezelfde vraag van de inkoopafdeling, en gaat het over aansprakelijkheid.

De achterliggende redenering is voor inkopers eenvoudig. Wie een leverancier selecteert die vervolgens wordt getroffen door een incident dat de eigen bedrijfsvoering verstoort, draagt daar onder NIS2 aantoonbaar verantwoordelijkheid voor. Die verantwoordelijkheid is niet over te dragen. Het gevolg is dat leveranciers die hun beveiliging niet kunnen aantonen, in de eerste selectieronde afvallen, nog voordat er over prijs of levertijd wordt gesproken.

Dit speelt inmiddels in de inkoopprocessen bij:

• Energiebedrijven, aangemerkt als essentiële entiteit. Iedere leverancier krijgt een beveiligingsvragenlijst voorgelegd.
• Waterbedrijven en waterschappen, die ISO 27001 of gelijkwaardig contractueel eisen van hun IT- en OT-leveranciers.
• Grote industriële bedrijven, die right-to-audit clausules opnemen en jaarlijkse beveiligingsrapportages verplicht stellen.
• Logistieke dienstverleners, waar TAPA-certificering gezelschap heeft gekregen van aanvullende cybersecurity-eisen in raamcontracten.
• De automotive supply chain, waar TISAX een harde eis is die rechtstreeks aan NIS2-ketenverantwoordelijkheid wordt gekoppeld.

Het domino-effect in de supply chain

NIS2 wijdt een afzonderlijke bepaling aan ketenbeveiliging: artikel 21, lid 2, onder d. Essentiële en belangrijke entiteiten dienen de beveiligingsrisico's in hun toeleveringsketen te beheersen. In de praktijk komt dat neer op drie verplichtingen: eisen stellen aan leveranciers, toetsen of die eisen worden nagekomen, en consequenties verbinden aan het uitblijven daarvan.

Daarmee ontstaat een kettingreactie. Het energiebedrijf legt eisen op aan zijn systeemintegrator. Die integrator legt dezelfde eisen op aan zijn software- en hardwareleveranciers, die ze op hun beurt doorgeven aan hun eigen toeleveranciers. Twee tot drie schakels verderop raakt NIS2 daarmee organisaties die zelf buiten het toepassingsbereik van de richtlijn vallen, maar wier afnemers er middenin zitten.

Een machinebouwer met 85 medewerkers voldoet doorgaans niet aan de criteria voor een essentiële entiteit. Zijn drie grootste afnemers mogelijk wel. In dat geval voldoet hij aan hun eisen, of hij levert niet langer. De richtlijn verplicht hem tot niets; het contract des te meer. Voor de uitkomst maakt dat onderscheid weinig verschil.

Concrete contracteisen die we nu al zien

In de aanbestedingen en raamcontracten die wij het afgelopen jaar hebben beoordeeld, keren zeven eisen stelselmatig terug:

1. Een aantoonbaar informatiebeveiligingsbeleid. Niet een passage op de website, maar een gedocumenteerd beleid dat door de directie is vastgesteld.
2. Een actuele risicoanalyse, minimaal jaarlijks herzien. Opdrachtgevers vragen in toenemende mate om inzage in het document zelf.
3. Melding van incidenten binnen 24 uur. Contractueel vastgelegd, doorgaans met een boeteclausule bij overschrijding.
4. Bewijs van patchmanagement. Een beleidsdocument volstaat niet; gevraagd wordt om rapportages waaruit blijkt dat patches daadwerkelijk tijdig zijn toegepast.
5. Multifactor-authenticatie op alle toegangspunten, geformuleerd als eis en niet als aanbeveling.
6. Een jaarlijkse penetratietest of audit door een onafhankelijke partij.
7. Een back-up- en herstelplan met bewijs dat het is beproefd. Een back-up die nooit is teruggezet, wordt in deze trajecten niet als bewijs geaccepteerd.

Organisaties die deze stukken niet kunnen overleggen, vallen af. Doorgaans zonder toelichting, omdat de inkoper voldoende alternatieven heeft die de gevraagde documentatie wel kunnen aanleveren.

Het concurrentievoordeel van vroeg bewegen

Er is ook een keerzijde, en die is aanmerkelijk gunstiger. Organisaties die nu investeren in NIS2-readiness bouwen een voorsprong op die zich laat kwantificeren. Zij zijn de partij die een beveiligingsvragenlijst binnen een week retourneert, een klantaudit doorstaat en de contracteisen zonder voorbehoud ondertekent. Waar twee technisch gelijkwaardige aanbieders tegenover elkaar staan, geeft die aantoonbaarheid de doorslag.

De investering laat zich bovendien afzetten tegen een concreet bedrag. Een certificeringstraject vergt bij een MKB-organisatie doorgaans een eenmalige investering in de orde van enkele tienduizenden euro's, afhankelijk van omvang en uitgangssituatie. Zet die uitgave naast de jaaromzet die met één grote afnemer gemoeid is, en de afweging is doorgaans binnen één rekensom gemaakt.

Wat u nu moet doen

Verleg uw aandacht van de toezichthouder naar uw afnemers. Vier stappen die op korte termijn uitvoerbaar zijn:

• Breng in kaart welke van uw klanten onder NIS2 vallen, als essentiële dan wel belangrijke entiteit. Van hen zullen de eisen afkomstig zijn, voor zover ze nog niet zijn gesteld.
• Vraag hun proactief naar hun leverancierseisen. Dat gesprek voert u bij voorkeur nu, met ruimte om maatregelen te treffen, in plaats van op het moment dat de eis in een aanbestedingsdocument is opgenomen.
• Begin bij de documentatie. Het verschil tussen "wij doen dit" en "wij kunnen aantonen dat wij dit doen" is in aanbestedingen doorslaggevend.
• Maak de afweging financieel. Zet de kosten van NIS2-readiness naast de omzet die met uw twee grootste afnemers gemoeid is. Die vergelijking levert de businesscase op.