In Q3 2025 treedt de NIS2 in werking, in Nederland de Cyberbeveiligingswet. De NIS2-richtlijn geldt direct voor managed service providers (MSP’s) met een omzet van meer dan 10 miljoen euro en meer dan 50 werknemers. Maar ook zullen andere, kleinere MSP’s er zeker mee te maken krijgen via hun klanten. Een MSP is natuurlijk een groot risico in de supply chain. Er is altijd een risico, dus alle MSP’s moeten aan de slag. En wacht niet op de teksten van de aanstaande Nederlandse Cyberbeveiligingswet.
Dus ook kleine MSP’s krijgen via de supply chain te maken met NIS2 als zij diensten leveren aan organisaties die wel onder de NIS2 vallen, direct of indirect. Bedrijven die direct onder NIS2 vallen, ongeveer 10.000, moeten een beveiligingsbeleid opstellen voor hun toeleveranciersketen. Dit beleid bevat onder andere eisen aan hun leveranciers om aan bepaalde cybersecuritystandaarden te voldoen. Van bedrijven wordt verwacht dat ze vooraf heldere selectiecriteria hanteren bij het kiezen van hun leveranciers en dat deze afspraken in de contracten worden vastgelegd.
Daarnaast houdt de verplichting niet op; zorgplicht is breder. Bedrijven moeten periodiek controleren of hun toeleveranciers nog steeds voldoen aan de gestelde beveiligingseisen. Dit betekent dat zij ook inzicht moeten hebben in jouw cyberbeveiligingspraktijken. Bovendien moeten zij een overzicht bijhouden met daarin de contactgegevens van hun leveranciers, inclusief een overzicht van de door hen geleverde IT-producten, -diensten en -services.
Kortom, hoewel je misschien niet rechtstreeks onder de NIS2 valt, is de kans groot dat je met de richtlijn te maken krijgt, tenzij je enkel levert aan kleinere mkb-bedrijven.
Maar wacht niet te lang om stappen te ondernemen. Het NIS2 Quality Mark is hiervoor een geschikte norm die al door veel bedrijven wordt gebruikt.
