NIS-2 supply chain ketenverantwoordelijkheid is de verplichting voor essentiële en belangrijke entiteiten om niet alleen hun eigen cyberbeveiliging op orde te hebben, maar ook aantoonbaar de beveiligingsrisico’s van hun hele toeleveringsketen te identificeren, beoordelen en beheersen. Dit omvat cloudproviders, managed service providers (MSP’s), softwareleveranciers en datacentrumoperators die toegang hebben tot systemen of gegevens van de entiteit.
Wat artikel 21 NIS-2 concreet verlangt van uw organisatie
Artikel 21(2)(d) van Richtlijn (EU) 2022/2555 verplicht essentiële en belangrijke entiteiten expliciet maatregelen te nemen voor de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners. Dat gaat verder dan een standaardclausule in een verwerkersovereenkomst.
De verplichting is drieledig. Ten eerste moeten organisaties een actueel overzicht bijhouden van alle leveranciers die toegang hebben tot hun netwerken, informatiesystemen of gegevens. Ten tweede is een risicobeoordeling per leverancier verplicht, waarbij gekeken wordt naar de blootstelling, de kritikaliteit van de geleverde dienst en de kwetsbaarheden die de leverancier zelf introduceerde. Ten derde moeten de uitkomsten van die beoordeling leiden tot aantoonbare beheersmaatregelen, zoals contractuele vereisten, auditrechten en exitstrategieën.
Statistisch gezien is dit geen theoretisch risico. Volgens het Verizon Data Breach Investigations Report 2024 had 15% van alle onderzochte datalekken in 2023 een directe link met een supply chain-partner. En de ENISA Threat Landscape 2023 stelt dat 58% van de Europese cybersecurity-beslissers supply chain-risico als een van de drie grootste bedreigingen bestempelt.
Hoe voert u een derde-partijrisicobeoordeling uit voor cloudproviders en MSP’s
Een derde-partijrisicobeoordeling (Third Party Risk Management, TRM) voor cloudproviders vereist een gestructureerde aanpak die verder gaat dan het lezen van een privacybeleid of het controleren van een certificering.
Stap 1: Jurisdictieanalyse
De eerste vraag is niet technisch, maar juridisch: onder welke wetgeving opereert de cloudprovider? Amerikaanse providers vallen onder de CLOUD Act en, in counterterrorisme-context, de USA PATRIOT Act. Beide wetten kunnen Amerikaanse autoriteiten toegang geven tot gegevens die op Europese servers zijn opgeslagen, zonder dat de Europese klant daarvan op de hoogte wordt gesteld. Dit is geen hypothetisch scenario; het is een structureel jurisdictierisico dat in de TRM als hoog moet worden aangemerkt voor organisaties met bijzondere categorieën persoonsgegevens of staatsvertrouwelijke informatie.
Stap 2: Technische beoordeling op basis van EU 2024/2690
Uitvoeringsverordening (EU) 2024/2690, gepubliceerd in oktober 2024, concretiseert de technische en methodologische vereisten voor de risicobeheermaatregelen uit artikel 21 NIS-2. De verordening is rechtstreeks toepasselijk in alle EU-lidstaten en bevat specifieke vereisten voor cloudaanbieders, MSP’s en datacentrumproviders, waaronder verplichte encryptie van gegevens in transit en at rest, segmentatie van klantenomgevingen, en aantoonbare incidentrespons-procedures met vastgelegde meldtijden.
Een TRM voor een cloudprovider moet minimaal toetsen of de provider voldoet aan de technische eisen uit bijlage I en II van deze verordening. Concreet betekent dit: controleer de subverwerkers van de provider, verifieer waar back-ups worden opgeslagen en onder welke juridische regimes, en leg auditrechten contractueel vast.
Stap 3: Doorlopende monitoring en contractuele verankering
Een eenmalige beoordeling is onvoldoende. NIS-2 verlangt periodieke herziening, zeker bij materiële wijzigingen in de dienstverlening of na een incident bij de leverancier. De ENISA Good Practices for Supply Chain Cybersecurity biedt een gedetailleerd referentiekader voor het inrichten van een doorlopend leveranciersbeheerprogramma, inclusief scorekaarten per risicodomein en escalatieprocedures.
Wat Uitvoeringsverordening (EU) 2024/2690 specifiek eist van cloudaanbieders en MSP’s
EU 2024/2690 is de eerste bindende uitvoeringsverordening onder NIS-2 die sectorspecifieke technische vereisten vaststelt. Voor cloudaanbieders, MSP’s en datacentrumproviders gelden aanvullende verplichtingen bovenop de basismaatregelen van artikel 21.
| Categorie aanbieder | Specifieke verplichtingen onder EU 2024/2690 |
|---|---|
| Cloudaanbieder (IaaS/PaaS/SaaS) | Verplichte klantenomgevingsisolatie, encryptie at rest en in transit, transparantie over subverwerkers en datalokatieregistratie |
| Managed Service Provider | Aantoonbaar patchbeheer, incidentmelding binnen 24 uur aan afnemende entiteit, contractuele doorzakkingsplicht naar sub-MSP’s |
| Datacentrumprovider | Fysieke toegangscontrole, redundante stroomvoorziening en koeling, klimaatmonitoring, en bewijs van periodieke continuïteitstests |
De verordening verlangt ook dat afnemende entiteiten bij contractsluiting met deze aanbieders de naleving van deze vereisten afdwingbaar vastleggen. Een generieke SLA zonder verwijzing naar EU 2024/2690-vereisten voldoet niet langer.
NIS-2-ketenbeveiliging in relatie tot de Cyber Resilience Act en de herziene Cybersecurity Act
NIS-2 regelt de operationele risicobeheerplicht bij de afnemende organisatie. De Cyber Resilience Act (CRA), gepubliceerd in het Publicatieblad van de EU in oktober 2024 en gefaseerd van toepassing, verlegt de verantwoordelijkheid deels naar de producent: fabrikanten en importeurs van producten met digitale elementen, van industriële software tot netwerkrouters, zijn verplicht security-by-design te implementeren en kwetsbaarheden gedurende de volledige levensduur te adresseren.
Voor supply chain-beheer betekent dit dat een organisatie in de toekomst kan verlangen dat haar softwareleverancier een CE-markering met CRA-conformiteit overlegt. Dit maakt de TRM eenvoudiger te standaardiseren, maar ontslaat de afnemer niet van de NIS-2-plicht een eigen beoordeling uit te voeren van de specifieke risico’s die de leverancier in haar omgeving introduceert.
De herziene Cybersecurity Act (CSA, Verordening (EU) 2019/881, herzien in 2023) versterkt het ENISA-mandaat en introduceert Europese cybersecurity-certificeringsschema’s. Het EUCS-schema (European Union Cloud Security certification Scheme), dat door ENISA wordt ontwikkeld, zal cloudaanbieders in staat stellen hun beveiliging op een gestandaardiseerd niveau te certificeren. Organisaties kunnen dit schema gebruiken als referentie bij hun TRM, maar een certificering vervangt ook hier geen eigen risicobeoordeling van jurisdictiefactoren.
Aansprakelijkheid van directie en bestuur bij onvoldoende ketenbeheersing
NIS-2 breekt expliciet met de praktijk waarbij cyberbeveiliging als een puur technische verantwoordelijkheid van de IT-afdeling werd beschouwd. Overweging 74 van Richtlijn (EU) 2022/2555 stelt:
“De directie van een entiteit moet toezicht houden op de implementatie van risicobeheermaatregelen voor cyberbeveiliging en kan persoonlijk aansprakelijk worden gesteld voor inbreuken op deze verplichtingen.” (Richtlijn (EU) 2022/2555, Overweging 74)
In de praktijk betekent dit dat een Raad van Bestuur of directie die niet aantoonbaar betrokken is geweest bij de vaststelling en goedkeuring van het supply chain-beveiligingsbeleid, bij een ernstig incident blootstaat aan persoonlijke sancties. De Cyberbeveiligingswet (Cbw), waarmee Nederland NIS-2 implementeert, werkt dit uit in nationale handhavingsbevoegdheden. Toezichthouders kunnen een tijdelijk bestuursverbod opleggen aan individuele bestuurders, naast boetes voor de entiteit zelf van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet (artikel 34 NIS-2), afhankelijk van welk bedrag hoger is.
Bestuurders zijn zelf verantwoordelijk voor het volgen van adequate training op het gebied van cyberbeveiliging, zoals artikel 20(2) NIS-2 expliciet stelt. In de context van supply chain-risico’s houdt dit in dat bestuurders moeten begrijpen welke data bij welke leveranciers is ondergebracht, welke jurisdictiefactoren daarin spelen, en hoe de organisatie reageert als een leverancier wordt gecompromitteerd.
Praktische stappen voor compliance officers en IT-beslissers
De combinatie van NIS-2, Uitvoeringsverordening (EU) 2024/2690 en de aankomende CRA vraagt om een geïntegreerde aanpak. Een leveranciersregister is de minimale basis: een actueel overzicht van alle leveranciers met toegang tot systemen of data, hun juridische vestiging, de aard van de toegang en de kritikaliteit van hun dienst. Zonder dit register is een adequate TRM structureel onmogelijk.
Contracten met cloudproviders en MSP’s moeten worden herzien op drie punten: verwijzingen naar EU 2024/2690-vereisten, vastgelegde auditrechten (inclusief het recht op externe audits), en een exitclausule die de overdraagbaarheid van data en configuraties garandeert. Bij providers buiten de EU of met Amerikaanse moedermaatschappijen is een aanvullende jurisdictieclausule en een transfer impact assessment (TIA) noodzakelijk onder de AVG.
Tot slot geldt dat bestuursbetrokkenheid aantoonbaar moet zijn. Notulen van bestuursvergaderingen waarin supply chain-risico’s structureel worden besproken, goedgekeurde risicobeoordelingen en jaarlijkse rapportages over leveranciersbeheersing vormen het bewijsmateriaal dat toezichthouders bij een onderzoek als eerste opvragen.
Veelgestelde vragen
Vanaf wanneer geldt NIS-2 in Nederland en wie valt eronder?
De NIS-2-richtlijn had uiterlijk 17 oktober 2024 in nationaal recht omgezet moeten zijn. In Nederland gebeurt dit via de Cyberbeveiligingswet (Cbw). De wet geldt voor essentiële entiteiten (zoals energie, water, gezondheidszorg en digitale infrastructuur) en belangrijke entiteiten (zoals post, afvalverwerking en bepaalde digitale diensten) boven de drempelwaarden voor middelgrote ondernemingen.
Wat moet een derde-partijrisicobeoordeling voor een cloudprovider minimaal bevatten?
Een TRM moet ten minste de juridische vestigingsplaats en toepasselijke wetgeving van de provider in kaart brengen, een beoordeling bevatten van toegangsrechten en subverwerkers, technische beveiligingsmaatregelen toetsen aan Uitvoeringsverordening (EU) 2024/2690, en periodiek worden herhaald. Contractuele SLA’s en auditrechten zijn verplicht te documenteren.
Kan een bestuurder persoonlijk aansprakelijk worden gesteld voor een NIS-2-overtreding?
Ja. Overweging 74 van de NIS-2-richtlijn bepaalt expliciet dat de directie toezicht moet houden op risicobeheermaatregelen en persoonlijk aansprakelijk kan worden gesteld. De Cyberbeveiligingswet werkt dit verder uit. Naast boetes tot 10 miljoen euro voor de entiteit zelf kan de toezichthouder een tijdelijk bestuursverbod opleggen aan verantwoordelijke bestuurders.
Wat voegt de Cyber Resilience Act toe aan de NIS-2-ketenverplichtingen?
De CRA verplicht fabrikanten en importeurs van software en hardware tot aantoonbare security-by-design gedurende de volledige levenscyclus. Waar NIS-2 de operationele risicobeheerplicht bij de afnemende organisatie legt, richt de CRA zich op de producent. Samen sluiten beide regelingen de keten af: de leverancier moet veilige producten leveren, de afnemer moet de risico’s van die leverancier beoordelen.
Welke rol speelt het NCSC Nederland bij handhaving van NIS-2?
Het NCSC Nederland fungeert als nationaal CSIRT en ondersteunt organisaties bij incidentrespons en dreigingsinformatie. Handhaving en toezicht op naleving van de Cyberbeveiligingswet valt onder sectorale toezichthouders. Het NCSC publiceert richtlijnen en dreigingsanalyses die als referentiekader dienen bij audits en die organisaties kunnen gebruiken ter onderbouwing van hun risicobeoordelingen.
