Uw klant valt onder de Cbw: wat nu?
Door Niels Maas (LinkedIn) · Gepubliceerd op 18 oktober 2026
Inhoud van deze pagina
Valt uw klant onder de Cyberbeveiligingswet (Cbw)? Dan merkt u dat als leverancier, ook als de wet niet voor u zelf geldt. Uw klant moet de beveiliging van zijn toeleveringsketen regelen en toetsen of zijn rechtstreekse leveranciers aan zijn beveiligingseisen voldoen (artikel 21 Cbw; artikel 10 Cyberbeveiligingsbesluit). Die eisen komen via een vragenlijst of contract bij u terecht. Een wettelijke lijst met eisen voor leveranciers bestaat niet: uw klant bepaalt ze zelf op basis van zijn risicoanalyse. Hieronder leest u wat u kunt verwachten, wat u níet hoeft en hoe u het aantoont.
Wat moet uw klant regelen?
Een organisatie onder de Cbw heeft een zorgplicht: passende maatregelen voor de beveiliging van haar netwerk- en informatiesystemen, met tien onderwerpen die er ten minste in zitten. Eén daarvan is de beveiliging van de toeleveringsketen, inclusief de relatie met rechtstreekse leveranciers en dienstverleners (artikel 21, derde lid, onder d, Cbw).
Het Cyberbeveiligingsbesluit werkt dat uit: de organisatie toetst of haar rechtstreekse leveranciers voldoen aan haar eigen beveiligingseisen, en controleert dat periodiek (artikel 10 Cbb). Volgens de toelichting kan dat bijvoorbeeld met certificering van de leverancier of met clausules in de leveringsovereenkomst. Het gaat alleen om leveranciers die invloed hebben op de beveiliging van de netwerk- en informatiesystemen van de klant (Staatsblad 2026, 189).
Uw klant blijft zelf verantwoordelijk: hij kan de zorgplicht niet bij u neerleggen, maar moet wel kunnen laten zien dat hij zijn leveranciers heeft getoetst.
Wat kunt u verwachten?
In de praktijk komen de eisen in drie vormen:
| Vorm | Wat u krijgt | Wat u doet |
|---|---|---|
| Vragenlijst | Vragen over beleid, toegang, back-ups, updates, incidenten, meerfactorauthenticatie | Eén keer goed beantwoorden, met bewijs, en hergebruiken |
| Contract of verwerkersovereenkomst | Bepalingen over beveiliging, melden van incidenten, controle (audit) en onderaannemers | Nagaan of u ze kunt waarmaken vóór u tekent |
| Bewijsverzoek | Vraag om een certificaat, rapport of documenten | Een bewijsmap bijhouden die u snel kunt delen |
Veel vragenlijsten volgen de tien onderwerpen uit artikel 21 Cbw, omdat de klant daarop zijn eigen beveiliging inricht. Een overzicht van die onderwerpen staat in het artikel over de zorgplicht.
Wat hoeft u niet, als u zelf niet onder de wet valt?
- Niet registreren bij het NCSC; dat geldt alleen voor entiteiten onder de wet (artikel 44 Cbw).
- Niet zelf melden bij het NCSC of een toezichthouder. Wel vraagt uw klant meestal dat u incidenten die hem raken snel aan hém meldt, omdat hij zelf binnen 24 uur een eerste waarschuwing moet geven (meldplicht).
- Geen bestuurderstraining volgens artikel 24 Cbw; die plicht ligt bij het bestuur van uw klant.
- Geen certificaat van rechtswege. Uw klant mag erom vragen, maar het is geen wettelijke eis.
Wat u met uw klant afspreekt, moet u wel nakomen: dat is dan een contractuele verplichting.
Valt u misschien zelf onder de wet?
Controleer dat eerst. Aanbieders van beheerde ICT-diensten en beheerde beveiligingsdiensten (MSP's en MSSP's) staan zelf in bijlage 1 van de wet, net als aanbieders van onder meer clouddiensten en datacentra. Bent u middelgroot of groot, dan valt u er dan zelf onder, met alle plichten van dien. Doe de Cbw-check of lees valt mijn bedrijf onder de Cyberbeveiligingswet?
Zo beantwoordt u de vragen van uw klant
- Inventariseer uw klanten onder de wet en welke dienst u hen levert; noteer per klant wat er al is afgesproken.
- Leg een beveiligingsbeleid vast dat u kunt delen, afgestemd op de tien onderwerpen.
- Richt basismaatregelen in en leg ze vast: toegangsbeheer met meerfactorauthenticatie, back-ups en hersteltests, updates, logging, en een overzicht van uw eigen onderaannemers.
- Maak een antwoordset voor vragenlijsten: per onderwerp een vast antwoord en een verwijzing naar het bewijs.
- Spreek een meldprocedure af: wanneer en hoe meldt u een incident aan de klant, en binnen welke termijn.
- Houd een bewijsmap bij met beleid, registraties en testverslagen, zodat u een bewijsverzoek snel beantwoordt.
- Lees contracten kritisch: beloof geen termijnen of auditrechten die u niet kunt waarmaken.
De documenten voor deze stappen, met 28 basismaatregelen, een antwoordset en een bewijsmap, zitten in het Cbw-ketenpakket voor leveranciers. Vraagt uw klant om ISO 27001, dan is dat pakket een begin; voor certificering is een volledig managementsysteem nodig (Cbw en ISO 27001).
Meer over de wet zelf leest u op de pagina over de Cyberbeveiligingswet.
Veelgestelde vragen
Moet ik als leverancier zelf aan de Cyberbeveiligingswet voldoen?
Alleen als uw organisatie zelf onder de wet valt. Anders komen de eisen via uw klant bij u: hij moet zijn toeleveringsketen beveiligen (artikel 21 Cbw) en toetsen of u aan zijn eisen voldoet (artikel 10 Cyberbeveiligingsbesluit), meestal met een vragenlijst of contractbepalingen.
Mag mijn klant een ISO 27001-certificaat eisen?
Hij mag het vragen; certificering is in de toelichting bij het besluit een van de genoemde manieren om leveranciers te toetsen. Het is geen wettelijke eis. Vraag uw klant of bewijs per maatregel, zoals beleid, procedures en registraties, ook volstaat.
Moet ik incidenten bij het NCSC melden?
Niet als u zelf niet onder de wet valt. Uw klant moet zijn significante incidenten wel melden, binnen 24 uur een eerste waarschuwing. Daarom vraagt hij u meestal om incidenten die hem raken snel aan hem te melden. Leg die termijn vast in het contract.
Welke leveranciers vallen onder de ketenbeveiliging?
Rechtstreekse leveranciers en dienstverleners die invloed hebben op de beveiliging van de netwerk- en informatiesystemen van de klant, volgens de toelichting bij artikel 10 Cyberbeveiligingsbesluit. Een leverancier van kantoorartikelen valt er doorgaans niet onder, een ICT-beheerder of softwareleverancier wel.
Hoe weet ik of ik zelf onder de wet val?
Dat hangt af van uw sector, uw omvang en uw vestiging. Doe de gratis Cbw-check op maasiso.nl: in ten hoogste acht vragen ziet u het antwoord, met het wetsartikel erbij.