NIS2-vragen van je klant⁠

Je klant valt onder de Cyberbeveiligingswet en wil van jou als leverancier weten hoe je website, je klantportaal of je applicatie beveiligd is. Wij leveren de technische antwoorden aan. Wat niet op orde is, zetten we recht voordat je de lijst terugstuurt.

Plan een kennismaking Bel direct

Waarom je klant dit nu vraagt⁠

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties die eronder vallen, moeten hun risico’s in kaart brengen en maatregelen nemen. Daar horen de risico’s van hun leveranciers bij.

Die leverancier ben jij. Ook als je bedrijf zelf niet onder de wet valt, komen de vragen: in een vragenlijst, in een nieuwe clausule in het contract of aan tafel bij de inkoper. Gaat het om een website, een portaal waar de klant inlogt of een applicatie die aan zijn systemen hangt, dan zijn de vragen technisch. Welke PHP-versie draait er, waar staan de back-ups, wie kan bij de server.

Wat de wet vraagt, staat bij het NCSC en in de wettekst. Wat je in een contract toezegt, laat je beoordelen door een jurist. Wij zorgen dat de technische antwoorden kloppen.

Voor wie⁠
En voor wie niet⁠

Wel.

Een klant die onder de Cyberbeveiligingswet valt, heeft je een vragenlijst gestuurd.
Je klanten loggen in op een portaal of applicatie van jou.
Je systeem wisselt gegevens uit met dat van je klant.

Liever niet.

Je zoekt een ISO 27001-certificaat of een pentest-rapport.
De vragenlijst gaat alleen over je laptops, je mail en je kantoornetwerk.
Je wilt dat iemand de lijst namens jou ondertekent.

Wat we aanleveren⁠

Versies: Welke versies van PHP, het framework en de pakketten er draaien, of die nog beveiligingsupdates krijgen en wanneer ze voor het laatst zijn bijgewerkt.
Waar het draait: Bij welke provider en in welk land je site, je database en je bestanden staan. En welke andere diensten gegevens te zien krijgen, zoals een maildienst.
Back-ups: Hoe vaak er een back-up wordt gemaakt, waar die staat, hoe lang hij bewaard wordt en wanneer er voor het laatst een is teruggezet om te zien of het werkt.
Updatebeleid: Hoe snel een beveiligingsupdate erop staat en wie dat doet. Een goede toets: hoe lang het na de PHP2Shell-reparatie duurde voordat jouw server bijgewerkt was.
Toegang: Wie kan inloggen op de server, de database en de beheeromgeving. Of iedereen een eigen account heeft, of tweestapsverificatie aanstaat en wat er gebeurt als iemand vertrekt.
Logging: Wat er wordt vastgelegd, zoals inlogpogingen, fouten en wijzigingen, waar die logs staan en hoe lang ze bewaard blijven.
Incidentmelding: Hoe en hoe snel wij jou waarschuwen als er iets mis is, zodat jij je klant op tijd kunt informeren. Een organisatie onder de wet moet een ernstig incident binnen 24 uur melden.

Wat we rechtzetten⁠

Een vragenlijst laat zien wat er ontbreekt. Een ja die niet klopt, is erger dan een eerlijke nee. Daarom zetten we eerst recht wat we tegenkomen en vullen we daarna in.

Eén gedeeld beheeraccount wordt een account per persoon, met tweestapsverificatie.
Een back-up die nooit is teruggezet, zetten we een keer terug op een testomgeving. Dan weet je dat hij werkt.
Een PHP- of frameworkversie zonder updates gaat naar een versie die ze wel krijgt. Bij een WordPress- of PHP-site is dat een PHP-upgrade, bij een Laravel-applicatie een overname en upgrade.
Oud-medewerkers en vroegere bouwers die nog toegang hebben, halen we eraf.
Staan je database of bestanden buiten de EU terwijl je klant dat niet wil, dan verhuizen we ze. Zie je app naar Europese hosting.

Wat kost het⁠

Het invullen en het rechtzetten krijgen een vast bedrag, dat je hoort zodra we de vragenlijst en je techniek gezien hebben. Beheren wij je site of applicatie al, dan kennen we de antwoorden: het draait bij ons.

Van vragenlijst naar antwoord⁠

Je stuurt de vragenlijst
Met de deadline van je klant en het adres van je site, portaal of applicatie.
We kijken wat er staat
We lopen de techniek na en markeren welke vragen over ons deel gaan en welke over je kantoor.
Rechtzetten
Wat niet klopt, lossen we op. Wat dat kost, hoor je vooraf.
Antwoorden op papier
Per vraag een antwoord dat je kunt overnemen. Vraagt je klant volgend jaar opnieuw, dan werken we het bij.

Wanneer je ons hiervoor niet nodig hebt⁠

Is je website een folder op internet, zonder inlog, zonder formulieren met klantgegevens en zonder koppeling met je klant, dan zijn de antwoorden kort. Vraag je hostingpartij waar hij staat en hoe de back-ups geregeld zijn, en vul het zelf in.

Vraagt je klant om een certificaat zoals ISO 27001, dan heb je een certificerende instelling nodig. Wij leveren de feiten over je techniek, geen keurmerk.

Vragen⁠

Staat je vraag er niet bij? Bel, dan hoor je het meteen.

Bel direct

Val ik zelf onder de Cyberbeveiligingswet?

Dat hangt af van je sector en de omvang van je bedrijf. Het NCSC legt uit hoe je dat nagaat: valt mijn organisatie onder de Cyberbeveiligingswet. Deze pagina gaat over de vragen van je klant, en die krijg je ook als je er zelf niet onder valt.

Voldoe ik na jullie hulp aan NIS2?

Dat kan niemand je beloven, en wij beoordelen het niet. Wel kloppen je antwoorden, en staan de technische gaten die we vonden dicht.

Moet ik zelf incidenten melden?

De meldplicht geldt voor organisaties die onder de wet vallen. Je klant wil wel dat jij hem snel waarschuwt, zodat hij zijn eigen termijn haalt. Hoe snel, staat in je contract. Laat die afspraak door een jurist nakijken.

Wat als het antwoord nee is?

Schrijf dat op, met wat je eraan doet en wanneer. Een inkoper kan met een plan werken. Met een ja die niet klopt, kan hij niets.

Stuur ons de vragenlijst van je klant⁠

De kennismaking is gratis. We reageren binnen één werkdag.