Hoe beïnvloedt NIS2 de samenwerking met buitenlandse leveranciers?

NIS2 heeft directe gevolgen voor hoe je omgaat met buitenlandse leveranciers. De richtlijn verplicht organisaties om de cybersecurityrisico’s in hun volledige toeleveringsketen te beheren, inclusief leveranciers buiten de EU. Dit betekent dat je als organisatie verantwoordelijk bent voor de beveiliging van je keten, ook als een schakel in die keten zich in een ander land bevindt. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 en internationale leveranciersrelaties.

Welke verplichtingen legt NIS2 op aan leveranciersrelaties?

NIS2 verplicht organisaties in essentiële en belangrijke sectoren om de risico’s van hun toeleveringsketen actief te beheren. Dit geldt niet alleen voor je eigen systemen, maar ook voor de producten, diensten en processen die je van derde partijen afneemt. Je bent als organisatie eindverantwoordelijk voor de beveiliging van je keten, ongeacht waar een leverancier gevestigd is.

Concreet betekent dit dat je voor elke leverancier die toegang heeft tot je systemen, data of kritieke processen moet kunnen aantonen dat de risico’s beoordeeld en beheerst zijn. De NIS2-compliancevereisten op dit vlak omvatten onder andere het uitvoeren van risicobeoordelingen per leverancier, het vastleggen van beveiligingseisen in contracten en het periodiek toetsen of leveranciers nog aan die eisen voldoen. NIS2 maakt supplychainbeveiliging daarmee een structureel onderdeel van je informatiebeveiligingsbeleid, in plaats van een eenmalige check.

Wat geldt er specifiek voor leveranciers buiten de EU?

Voor leveranciers buiten de EU gelden dezelfde NIS2-verplichtingen als voor leveranciers binnen de EU, maar de praktische uitvoering is complexer. Als jouw organisatie onder NIS2 valt, ben jij verantwoordelijk voor het beheersen van de risico’s die die buitenlandse leverancier met zich meebrengt. De richtlijn kent geen uitzondering voor niet-Europese partijen.

Wat het lastiger maakt, is dat leveranciers buiten de EU zelf niet direct onder NIS2 vallen. Zij hebben geen wettelijke verplichting om aan de richtlijn te voldoen. Dit betekent dat jij als afnemende organisatie de beveiligingseisen contractueel moet afdwingen. Daarbij speelt ook geopolitiek een rol: leveranciers uit landen met een verhoogd cyberdreigingsniveau, zoals bepaalde landen buiten de NAVO, vragen om extra zorgvuldigheid. In de defensiesector geldt bovendien dat het ABDO-kader aanvullende eisen stelt aan leveranciers die betrokken zijn bij opdrachten voor Defensie, en dat de ABRO-regels per 2026 soortgelijke eisen introduceren voor bredere rijksoverheidsopdrachten.

Hoe beoordeel je het cybersecurityniveau van een buitenlandse leverancier?

Het beoordelen van het cybersecurityniveau van een buitenlandse leverancier begint met een gestructureerde risicoanalyse. Je brengt in kaart welke toegang de leverancier heeft tot je systemen of data, hoe kritiek die toegang is, en welke beveiligingsmaatregelen de leverancier zelf heeft getroffen.

In de praktijk gebruik je hiervoor een combinatie van methoden. Een vragenlijst of self-assessment is een eerste stap, maar biedt op zichzelf onvoldoende zekerheid. Sterker bewijs lever je door te vragen naar:

• Certificeringen zoals ISO 27001 of een equivalent
• Resultaten van recente penetratietests of audits
• Aantoonbare incidentresponsprocessen
• Contractuele garanties over beveiligingsniveaus en meldplichten

Bij leveranciers met een hoog risicoprofiel, bijvoorbeeld omdat ze directe toegang hebben tot kritieke systemen, is een onafhankelijke technische toetsing aan te raden. Dit kan in de vorm van een externe audit of een gerichte beoordeling door een cybersecurityspecialist. Hoe hoger het risico, hoe dieper de beoordeling moet gaan.

Welke contractuele afspraken zijn verplicht onder NIS2?

NIS2 vereist dat organisaties beveiligingseisen vastleggen in contracten met leveranciers die toegang hebben tot netwerk- en informatiesystemen. Hoewel de richtlijn geen standaardcontracttekst voorschrijft, zijn er inhoudelijke vereisten waaraan overeenkomsten moeten voldoen.

Minimaal moet een leverancierscontract onder NIS2 de volgende elementen bevatten: afspraken over de te nemen beveiligingsmaatregelen, een meldplicht bij incidenten die jouw organisatie kunnen raken, het recht op audit of inzage in beveiligingsdocumentatie, en afspraken over wat er gebeurt bij niet-naleving. Voor ISO 27001-gecertificeerde organisaties sluiten deze vereisten goed aan bij bestaande leveranciersbeheerprocedures. Voor organisaties die nog geen formeel leveranciersbeleid hebben, vraagt NIS2 om een inhaalslag op contractueel vlak.

Wat zijn de risico’s als een buitenlandse leverancier niet NIS2-compliant is?

Als een buitenlandse leverancier niet voldoet aan de beveiligingseisen die NIS2 vereist, draag jij als afnemende organisatie het risico. Een cyberincident bij die leverancier kan directe gevolgen hebben voor jouw systemen, data en continuïteit, terwijl jij als eindverantwoordelijke organisatie aansprakelijk bent tegenover toezichthouders.

De gevolgen zijn tweeledig. Operationeel risico: een aanval op een slecht beveiligde leverancier kan zich via gedeelde systemen of netwerken naar jouw organisatie verspreiden. Dit is precies het aanvalspatroon dat NIS2 wil tegengaan met de supplychainbeveiligingseisen. Compliancerisico: als bij een toezichtsonderzoek blijkt dat je de risico’s van buitenlandse leveranciers onvoldoende hebt beheerd, kan de toezichthouder handhavend optreden. Voor essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde omzet. In de defensiesector komt daar nog het risico bij van contractuele uitsluiting als je niet kunt aantonen dat je toeleveringsketen voldoet aan de gestelde eisen.

Hoe verschilt de NIS2-aanpak per sector voor leveranciersbeheer?

De basisverplichtingen voor leveranciersbeheer gelden voor alle organisaties die onder NIS2 vallen, maar de invulling verschilt per sector op basis van het risicoprofiel en aanvullende sectorspecifieke regelgeving.

In de defensiesector gelden naast NIS2 ook het ABDO-kader en de nieuwe ABRO-eisen die per 1 januari 2026 van kracht zijn. Deze stellen aanvullende beveiligingseisen aan leveranciers die betrokken zijn bij opdrachten voor Defensie of de bredere rijksoverheid, met name op het gebied van informatiebeveiliging, operationele beveiliging en het omgaan met gerubriceerde informatie. Een defensieleverancier moet dus aan een stapeling van eisen voldoen, waarbij NIS2 de ondergrens vormt.

In de maakindustrie en logistiek ligt de nadruk sterk op de beveiliging van operationele technologie en industriële systemen, waarbij standaarden zoals IEC 62443 een rol spelen naast NIS2. In de zorgsector gelden aanvullende eisen vanuit NEN 7510. De gemeenschappelijke noemer is dat NIS2 leveranciersbeheer als een structureel risicobeheerproces positioneert, waarbij de sectorspecifieke context bepaalt hoe streng en hoe diep je dat proces inricht.

Wanneer moet je een buitenlandse leverancier uitsluiten of vervangen?

Een buitenlandse leverancier uitsluiten of vervangen is aan de orde wanneer de risico’s die die leverancier met zich meebrengt niet afdoende beheersbaar zijn, of wanneer de leverancier weigert te voldoen aan de beveiligingseisen die jouw organisatie contractueel stelt.

Concrete situaties waarin uitsluiting of vervanging de juiste stap is, zijn onder andere: de leverancier weigert inzage te geven in beveiligingsmaatregelen of auditresultaten, er is sprake van een ernstig beveiligingsincident bij de leverancier zonder afdoende herstelmaatregelen, of de leverancier is gevestigd in een land met een zodanig hoog geopolitiek risico dat de continuïteit of vertrouwelijkheid van je dienstverlening structureel in gevaar komt. In de defensiesector kan ook een aanwijzing van de overheid of een wijziging in het dreigingslandschap aanleiding zijn om een leverancier te heroverwegen. Uitsluiting is een zwaar middel, maar soms de enige manier om aantoonbaar in control te blijven.

Hoe Hofsecure helpt bij NIS2 en buitenlandse leveranciers

Bij Hofsecure helpen we organisaties in sectoren zoals defensie, maakbedrijven en logistiek om hun leveranciersrisico’s structureel te beheersen in lijn met NIS2. Met meer dan 20 jaar ervaring bij defensiebedrijven en de meest beveiligde organisaties ter wereld weten we precies wat er nodig is om jouw toeleveringsketen op het juiste beveiligingsniveau te brengen, zonder wollige rapporten of theoretische adviezen.

Onze aanpak voor NIS2-leveranciersbeheer omvat:

• Een GAP-analyse die inzicht geeft in de huidige staat van je leveranciersbeveiliging
• Concrete contractsjablonen en beveiligingseisen voor buitenlandse leveranciers
• Begeleiding bij de beoordeling en toetsing van derde partijen
• CISO as a service voor doorlopend toezicht en periodieke controles

Zo is NIS2-compliance geen eenmalige exercitie, maar een continu proces dat je concurrentiepositie versterkt. Wil je weten hoe jouw organisatie er nu voor staat? Neem vrijblijvend contact op en we kijken samen naar de mogelijkheden.