In gesprek met Edward Leicester, Specialistisch Inspecteur bij de Rijksinspectie Digitale Infrastructuur
Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden, de Nederlandse implementatie van de Europese NIS2-richtlijn. Een van de zorgplichtmaatregelen uit de wet is de beveiliging van de toeleveranciersketen. Maar wat betekent dat straks in de praktijk? Wat verwacht de toezichthouder van organisaties die onder de wet vallen, en wat betekent dat voor de vele MKB-bedrijven die aan hen leveren? Patrick Jordens, directeur van cybersecurity-adviesbureau The Trusted Third Party (TT3P), sprak erover met Edward Leicester, Specialistisch Inspecteur bij de Rijksinspectie Digitale Infrastructuur (RDI).
Leicester werkt binnen de directie Digitale Weerbaarheid van de RDI, in het cluster Energie. Zijn achtergrond ligt in de IT-audit en security consulting. Een kanttekening vooraf: het toezicht op de Cbw moet formeel nog beginnen. Dat is namelijk op 15 augustus 2026 gestart, zodra de wet van kracht werd. De inzichten in dit interview komen uit het huidige toezicht op basis van de Wbni, de Wet beveiliging netwerk- en informatiesystemen, en uit een recente thema-inspectie naar leveranciersmanagement in de energiesector. Leicester spreekt dan ook nadrukkelijk vanuit die bril, niet namens andere toezichthouders of sectoren.
Wat de inspectie leveranciersmanagement nu al laat zien
De RDI heeft het afgelopen jaar een inspectie uitgevoerd naar leveranciersmanagement bij organisaties in de energiesector, waarbij de laatste inspecties in een afrondende fase verkeren. Wat gaat goed en wat gaat minder goed?
Leicester ziet een duidelijk patroon. Aan de voorkant is het redelijk op orde: de meeste organisaties hanteren een organisatiebrede risicobenadering en kunnen een onderbouwde lijst van kritieke leveranciers opleveren, inclusief de afweging hoe die lijst tot stand is gekomen.
Het schuurt verderop in het proces. De risicoanalyse op het niveau van de individuele leverancier of naar type leverancier, en de vertaling daarvan naar cybersecurity-eisen in het contract, kan bij diverse organisaties verbeterd worden. Wanneer contracteisen zo algemeen geformuleerd zijn bestaat het risico dat een leverancier er een eigen invulling aan gaat geven.
“Soms zie je begrippen als logische toegangsbeveiliging of best practices in een contract staan. Dat kan een leverancier op verschillende manieren invullen. Maak het waar mogelijk zo SMART (Specifiek Meetbaar Acceptabel Realistisch en Tijdgebonden) mogelijk, zodat de invulling voldoet aan wat je als opdrachtgever werkelijk verwacht.”
Het derde en meest structurele knelpunt is de controle op naleving. Afspraken maken is één ding, aantonen dat je hebt getoetst of de leverancier ze naleeft, is iets anders. Die vastlegging, de ‘audit trail’, ontbreekt bij diverse organisaties of is matig op orde.
“Je maakt afspraken en verwacht dat een leverancier daaraan voldoet. Maar als je daar geen zicht (controle) op hebt, weet je niet of de overeengekomen beveiligingsafspraken worden nagekomen en loop je een beveiligingsrisico zonder dat je het ziet.”
Een certificaat toont opzet, de toezichthouder toetst werking
Veel opdrachtgevers vragen hun leveranciers om een ISO 27001-certificering of een vergelijkbaar keurmerk als bewijs van cybersecurity. Hoe kijkt de toezichthouder daarnaar? Leicester is hier positief over, maar met een belangrijke nuance.
“Alle maatregelen die de digitale weerbaarheid van een organisatie verhogen, juichen we toe. Maar een ISO 27001-certificering zegt alleen iets over het Information Security Management System (ISMS) en het behalen van een ISO 27001-certificering betekent niet dat een organisatie aan de zorgplicht voor de Cbw voldoet. Wij willen weten of je nú in control bent. Hierbij kunnen we een certificaat als input gebruiken wanneer de scope van het certificaat onderdeel is van de inspectie, maar toetsen we zelf de digitale weerbaarheid van de organisatie.”
Leicester licht toe dat de RDI drie inspectievormen kent. De reguliere inspectie vergelijkt hij met een APK-keuring: een algemene controle van de digitale weerbaarheid bij een organisatie die aan de Wbni dan wel Cbw moet voldoen. Daarnaast zijn er thema-inspecties, waarin de toezichthouder onder de motorkap kijkt van één specifiek onderwerp, zoals nu bij leveranciersmanagement. Verder heb je nog de inspectie die achteraf wordt uitgevoerd naar aanleiding van een significant cyberincident. Voor opdrachtgevers is de les helder: het opvragen van een cybersecurity-certificaat bij een leverancier is een goed begin, maar is niet genoeg.
Leveranciersmanagement is een continu proces
Wat moet een opdrachtgever dan feitelijk doen om zijn leveranciers serieus te beoordelen? Leicester hanteert de Plan-Do-Check-Act-cyclus als kapstok. In de planfase bepaal je via een risicoanalyse welke afspraken per leverancier nodig zijn. In de do-fase leg je die afspraken SMART en toetsbaar vast in het contract. De checkfase draait om monitoring op naleving van de securityafspraken en leg je de significante afwijkingen en mitigerende beheersmaatregelen vast, en in de act-fase voer je verbeterpunten uit en controleer je of de onderkende cyberbeveiligingsrisico’s zijn gemitigeerd tot een acceptabel niveau zoals bepaald door het management.
Binnen die PDCA-cyclus hebben organisaties allerlei beheersinstrumenten tot hun beschikking. Bijvoorbeeld een ‘right to audit’ in het contract. Duidelijke afspraken maken over hoe medewerkers van de leverancier toegang krijgen tot de kritieke netwerkinfrastructuur, met welke apparatuur ze mogen inloggen en tot welke systemen ze toegang krijgen. Eisen aan het opleidingsniveau van personeel. En vooral: contact houden.
“Blijf in gesprek met je leverancier en zorg dat significante veranderingen bij die leverancier, tijdig worden gemeld, want dan moet de risicoanalyse opnieuw tegen het licht worden gehouden. Het blijft een continu proces.”
Op de vraag hoe realistisch het is om tientallen leveranciers actief en doorlopend te beoordelen, wijst Leicester op de risicogebaseerde aanpak. Focus op de kritieke leveranciers. Gebruik waar mogelijk periodieke verklaringen, zoals een assurancerapportage die een leverancier jaarlijks afgeeft. En weeg signalen mee: een leverancier waar veel incidenten spelen, verdient eerder en grondiger aandacht dan een leverancier met een stabiel trackrecord. De toezichthouder werkt zelf overigens niet anders: ook de RDI prioriteert op basis van risico’s.
Bij een incident telt de aantoonbare inspanning
Supply chain-incidenten zijn aan de orde van de dag. Wat gebeurt er als een organisatie wordt getroffen door een incident waarbij een leverancier betrokken is? Na een hack of ander cyberincident ligt de eerste verantwoordelijkheid voor het reageren en oplossen van het incident bij de organisatie zelf: denk aan schade beperken, systemen herstellen, gegevens beoordelen op compromittering en maatregelen nemen om herhaling te voorkomen. Het NCSC kan daarbij ondersteunen met advies, analyse en praktische hulp.
Daarna kan toezicht volgen op significante incidenten: de toezichthouder onderzoekt wat er is gebeurd, of de organisatie de regels heeft nageleefd om het incident te voorkomen, welke maatregelen zijn getroffen na het incident en of extra maatregelen nodig zijn, zodat herhaling wordt voorkomen. Belangrijk voor de praktijk: de toezichthouder verwacht geen perfectie.
“Je kunt een incident met significante impact op een kritieke infrastructuur niet altijd voorkomen. Ga er maar van uit dat het een keer gebeurt. Wat wij willen zien, is de inspanning (preventieve, detectieve en correctieve beheersmaatregelen) van een organisatie om het (potentiële) risico te minimaliseren tot een (maatschappelijk) acceptabel niveau.”
Die inspanning moet wel aantoonbaar zijn. Verslaglegging van leveranciersgesprekken, registratie van beoordelingen, opvolging van afspraken: wie dat niet op orde heeft, kan achteraf niet laten zien dat hij zijn verantwoordelijkheid heeft genomen. De rode draad uit de inspectie keert hier terug. Alleen aantonen van de overeengekomen cybersecurity-eisen in het contract is daarbij onvoldoende bewijs, maar de controle op naleving van hetgeen in de contracten is overeengekomen dient ook aangetoond te worden.
De leveranciersparadox: veel vragen, weinig uniformiteit
Waar opdrachtgevers worstelen met de beoordeling van hun leveranciers, worstelen leveranciers met het omgekeerde. Een gemiddeld IT-bedrijf met honderden klanten kan tientallen vragenlijsten per jaar op zich af krijgen, allemaal met een net andere vorm en inhoud, vaak zonder dat duidelijk is wie bij de leverancier over beveiliging gaat. Jordens noemt het de leveranciersparadox: de partijen die de keten veiliger moeten maken, worden bedolven onder versnipperd bewijswerk. Leicester herkent het beeld en ziet een praktische uitweg.
“Het is heel lastig om aan al die specifieke opdrachtgevers afzonderlijk te voldoen. Met een gedegen, periodieke verklaring over je beheersmaatregelen dek je op securitygebied al gauw zo’n tachtig procent af. De overige twintig procent verschilt per opdrachtgever; daar kun je dan gericht op ingaan.”
Daarmee is de paradox niet opgelost, maar wel hanteerbaar. Het onderliggende vraagstuk blijft staan: opdrachtgevers hebben actuele, vergelijkbare informatie over hun leveranciers nodig, terwijl leveranciers bezwijken onder versnipperde uitvragen.
Incidenten in de keten: openheid boven afrekenen
De Cbw kent een meldplicht voor significante incidenten, met korte wettelijke termijnen. Die plicht rust op de organisatie die onder de Cbw valt. Maar een incident ontstaat regelmatig bij een leverancier die geen Cbw-entiteit is en dus niet aan de verplichte meldplicht(termijn) van de Cbw hoeft te voldoen. De opdrachtgever moet er daarom contractueel voor zorgen dat leveranciers incidenten met (potentiële) significante impact tijdig melden bij de opdrachtgever. Volgens Leicester geldt dat niet alleen voor de directe leverancier: ook van incidenten bij subleveranciers die het primaire productieproces (lees: kritieke infrastructuur) van de opdrachtgever kunnen ontwrichten, mag je verwachten dat ze de ketenpartners informeren.
Tegelijk ziet hij de spanning. Voor een leverancier is een incident melden bij een klant commercieel het laatste wat hij wil. Zijn antwoord daarop is opvallend relationeel.
“Investeer in de relatie met je leverancier. Je kunt zeggen: je moet dit en je moet dat. Maar je kunt het ook brengen als: we zijn samen verantwoordelijk voor een veilige keten en we worden er allemaal beter van als we ervan leren. Die openheid en dat vertrouwen moeten er zijn. Reken elkaar niet af.”
Hoe diep moet je de keten in?
Een veelgestelde vraag in de markt: reikt de verantwoordelijkheid tot de eerstelijns leveranciers, of verder? Leicester wijst op een tweedeling in de regelgeving in de Cbw. Bij incidentmeldingen ligt de nadruk in de praktijk op de directe leveranciers. Maar de zorgplicht spreekt over de beveiliging in de hele leveranciersketen. Dat betekent dat een opdrachtgever moet nagaan of de eisen die hij aan zijn leverancier stelt, door die leverancier ook weer worden doorgezet naar zijn subleveranciers.
Hoe ver dat gaat, is situationeel. Leicester noemt een voorbeeld uit de inspectiepraktijk: een organisatie nam een assetregistratiesysteem af van een softwareleverancier. Die softwareleverancier had op zijn beurt een hardwareleverancier gecontracteerd, die de hardware, software en data uiteindelijk had ondergebracht in een extern datacenter. Pas toen dat datacenter door brand werd getroffen, ontdekte de organisatie dat haar data daar stond en dat zij al die tijd een risico had gelopen dat ze niet kende.
“Ik kan niet zeggen of de ketenverantwoordelijkheid van de opdrachtgever tot de tweedelijns, derdelijns of vierdelijns toeleveranciers in de productieketen reikt. Het hangt af van je risico en van hoeveel ketenpartners er tussen zitten. Maar je moet minimaal weten waar in de keten je kritieke data wordt verwerkt.”
Kader: wat is eigenlijk een kritieke leverancier?
In de markt wordt een kritieke leverancier vaak gezien als een partij met digitale koppelingen aan de organisatie, of een leverancier van systemen in kritieke processen. Leicester hanteert een breder criterium: een leverancier is kritiek als uitval of verstoring bij die leverancier het primaire productieproces (lees: kritieke infrastructuur) van de opdrachtgever kan ontwrichten. Dat kan een softwareleverancier zijn, maar net zo goed een leverancier van hardware of een planningstool voor een productieproces. Een digitale koppeling is hier geen vereiste. Bepalend is de impact op de continuïteit van de kritieke infrastructuur.
Vooruitblik: structuur wordt de norm
Hoe ontwikkelt supply chain security zich de komende twee tot drie jaar onder het toezicht? Leicester verwacht dat vooral het inzicht in de volledige keten, inclusief subleveranciers, nog tijd gaat kosten. Tegelijk verandert het toezicht zelf. Het aantal organisaties onder toezicht groeit hard, de capaciteit van de toezichthouder groeit niet evenredig mee. De RDI kijkt daarom naar andere manieren van werken, waaronder het gebruik van (onafhankelijke) self-assessments.
“Je zou als organisatie de cyberweerbaarheid kunnen laten toetsen door een online methode zoals CYRA (Cyber Rating) en deze kan je door een onafhankelijke auditpartner laten certificeren. Het voorwerk, zeg maar. Uiteindelijk toetst de inspecteur of het certificaat qua scope en diepgang daadwerkelijk gebruikt kan worden als bewijsvoering voor de inspectie.”
De implicatie voor organisaties is duidelijk: documentatie die gestructureerd, actueel en herleidbaar is, wordt waardevoller. Niet alleen richting de toezichthouder, maar ook in de keten zelf. Daar komt bij dat de Europese Cyber Resilience Act, waarvan de verplichtingen de komende jaren gefaseerd van kracht worden, een meldregime introduceert voor kwetsbaarheden in producten met digitale elementen. Inzicht in de leveranciersketen wordt daarmee vanuit twee wettelijke kaders tegelijk belangrijker.
Het advies van de inspecteur
Gevraagd naar zijn boodschap aan opdrachtgevers en MKB-leveranciers, komt Leicester terug op de basis. Hanteer de PDCA-cyclus als kapstok voor je leveranciersmanagement en maak per fase concreet wat je doet. Blijf in gesprek met je leveranciers, vanuit gezamenlijke verantwoordelijkheid voor een veilige keten. En bereid je voor op het scenario dat het misgaat.
“Stel dat een kritieke leverancier niet meer kan leveren. Heb je dan een plan B? Misschien een handmatige procedure die in werking treedt. En test dat ook. Op papier kun je van alles afspreken, maar ga eens na wat er werkelijk gebeurt als er niet geleverd wordt. Overstappen naar een andere leverancier gaat meestal niet zo makkelijk.”
De rode draad van het gesprek laat zich in één woord samenvatten: aantoonbaarheid. Een contract alleen volstaat niet, maar het bewijs dat de afspraken uit dat contract worden nageleefd is tevens relevant. Voor opdrachtgevers betekent dat gestructureerd leveranciersmanagement, van risicoanalyse tot periodieke toetsing. Voor leveranciers betekent het dat hun beveiligingsinformatie op orde en actueel moet zijn, zodat zij het gesprek met hun opdrachtgevers kunnen voeren. Wie dat serieus neemt, is voorbereid op de vragen die de toezichthouder gaat stellen.
Meer informatie
Op www.rdi.nl/cbw vindt u meer informatie over de verplichtingen van de Cyberbeveiligingswet en handige hulpmiddelen over de cyberbeveiliging van de toeleveringsketen.
Over dit interview
Edward Leicester is Specialistisch Inspecteur bij de Rijksinspectie Digitale Infrastructuur (RDI), directie Digitale Weerbaarheid, cluster Energie. Hij sprak in dit interview op persoonlijke titel vanuit zijn toezichtpraktijk in de energiesector; de tekst is voor publicatie door hem geaccordeerd.
Patrick Jordens is directeur van The Trusted Third Party (TT3P) www.tt3p.nl , een onafhankelijk cybersecurity-adviesbureau dat organisaties begeleidt bij governance, risicomanagement en aantoonbare beheersing onder meer in het kader van de Cyberbeveiligingswet en de Cyber Resilience Act. Daarnaast is hij actief in de Commissie Public Affairs van Cyberveilig Nederland en de stuurgoep van PVO Den Haag.
