NIS2 en je leveranciers: wat je je netwerk- en hostingpartij vraagt

Zes op de tien leveranciers die NIS2 kennen, denken dat de wet integraal voor hen geldt, bleek uit een flitspeiling van het Digital Trust Center. Dat klopt niet. De Cyberbeveiligingswet (Cbw), sinds 15 augustus 2026 van kracht, legt leveranciers van Cbw-organisaties geen eigen plichten op. De plicht ligt bij jou: je moet aantonen dat je de risico's van je rechtstreekse leveranciers in beeld hebt en beheerst. Wat de wet verder vraagt, staat in NIS2 in de praktijk. Dit artikel gaat over één onderdeel: de vragen aan je netwerk- en hostingpartij, en welk antwoord iets waard is.

Een verklaring is geen bewijs

De meeste contracten van vóór de Cbw zeggen dat de leverancier "passende beveiligingsmaatregelen" neemt. Dat is een belofte, geen bewijs. Volgens adviesbureau Metri vraagt de toezichthouder niet wat er in het contract stond, maar wat jij hebt gedaan om het te verifiëren. En auditrechten die in elk contract staan, worden in de praktijk zelden gebruikt.

Vraag dus naar artefacten: iets wat bestaat los van de vragenlijst. Een ondertekende versie van een beleidsdocument, een configuratiehistorie, een afgesproken meldtermijn in het contract, een certificaat mét scope. Een "ja" in een Excel-cel zonder iets erachter is een eigen verklaring, en die kun je bij een audit niet laten zien.

Een tweede valkuil: een certificaat van het datacenter is niet het certificaat van je leverancier. Veel hosters staan in een gecertificeerd datacenter. Dat zegt iets over het gebouw, de stroom en de toegangscontrole, en niets over wie bij jouw router kan.

De vragen die ertoe doen

Voor een netwerk- of hostingpartij zijn dit de vragen met het meeste gewicht:

• Meldtermijn — binnen hoeveel uur hoor je het als een incident jouw dienst raakt, en via welk kanaal? Jij moet zelf binnen 24 uur een vroegtijdige waarschuwing doen. Een leverancier die er een dag over doet, maakt dat onhaalbaar.
• Beheertoegang — hoe komt de leverancier bij de apparatuur: persoonlijke accounts of een gedeelde login, via het publieke internet of via een gescheiden beheernetwerk, met welke tweede factor?
• Configuratiebeheer — is te herleiden wie wat wanneer heeft veranderd? Wordt een wijziging getest of teruggedraaid als hij misgaat?
• Patchtermijnen — hoe snel worden kritieke kwetsbaarheden in netwerk- en serverapparatuur gedicht?
• DDoS — wat gebeurt er bij een aanval, wie beslist over blackholingBlackholing (RTBH) Al het verkeer naar één aangevallen IP-adres weggooien, zodat de rest van je netwerk bereikbaar blijft. Het laatste redmiddel bij een DDoS-aanval., en wat is wel en niet gegarandeerd?
• Back-ups en herstel — waar staan de back-ups, wie kan ze wissen, en wanneer is er voor het laatst uit hersteld?
• Certificering — welk certificaat, met welke scope, en wat als er (nog) geen is?

Vraag proportioneel. De leverancier die bij je systemen kan, krijgt deze lijst. Wie alleen kantoorartikelen levert, niet. Er bestaan ook gestandaardiseerde vragenlijsten die een leverancier één keer invult en met elke klant deelt, zoals de NIS2 Cyber Score van Samen Digitaal Veilig. Dat scheelt jou lezen en de leverancier invullen.

Wat wij antwoorden

Wij krijgen deze vragen zelf ook, en we moeten ze ook aan onze eigen toezichthouder kunnen beantwoorden: we vallen sinds augustus 2026 zelf als essentiële entiteit onder de wet. Kort samengevat:

• Meldtermijn — een incident dat jouw dienst raakt, melden we binnen 8 tot 12 uur. Zo houd je ruimte voor je eigen melding binnen 24 uur.
• Beheertoegang — onze netwerkapparatuur wordt beheerd vanuit een aparte management-VRF, alleen bereikbaar via VPN. Medewerkers komen alleen met een passkeyPasskey Inloggen met een cryptografische sleutel op je apparaat in plaats van een wachtwoord. Bestand tegen phishing, omdat de sleutel alleen bij de echte website werkt. in het beheerdeel van ons dashboard.
• Configuratiebeheer — de configuratie van onze netwerkapparatuur staat in versiebeheer. Wijzigingen rollen we uit met commit confirmed: verliezen we de verbinding, dan draait het apparaat de wijziging zelf terug.
• Patchtermijnen — kritieke kwetsbaarheden binnen 7 dagen, hoge binnen 30 dagen. Dat zijn bovengrenzen; in de praktijk gaat het sneller.
• DDoS — basisbescherming zit bij elke IP-transitverbinding. Mitigatie gebeurt in de praktijk vaak binnen seconden, maar dat is geen garantie. Meer in DDoS-bescherming uitgelegd.
• Certificering — ons ISMS is ingericht volgens ISO 27001; de certificering is in voorbereiding. Ons beleid staat in git, en vastgestelde versies hebben een ondertekende tag.
• Back-ups — we vertellen waar ze staan en noemen pas hersteltijden als die getest en vastgelegd zijn.

We zeggen er ook bij wat we niet doen. We hebben geen SOCSOC Security Operations Centre: bewaakt systemen op aanvallen en misbruik en onderzoekt beveiligingsincidenten. Iets anders dan een NOC. en doen geen pentests. Daarvoor verwijzen we naar gespecialiseerde partijen.

Je leveranciersdossier

Op onze NIS2-pagina voor afnemers lopen we de vragen langs die een Cbw-organisatie aan een infrastructuurleverancier stelt, met per vraag ons antwoord en waar het bewijs zit. Neem je IP-transit, colocatie of NOC-as-a-Service bij ons af en ligt er een vragenlijst op je bureau: neem contact op, dan vullen we hem in met de stukken erbij.