NIS2-zorgplicht en meldplicht: wat je klant straks van jou vraagt

De NIS2-zorgplicht bestaat uit tien onderwerpen die artikel 21 van de NIS2-richtlijn opsomt, en de meldplicht uit drie termijnen: 24 uur, 72 uur en een maand. In Nederland staan beide sinds 15 augustus 2026 in de Cyberbeveiligingswet. Voor een IT-leverancier met ISO 27001 is het goede nieuws dat de meeste maatregelen al in het ISMS zitten. Het werk zit in wat de wet toevoegt, en in wat klanten daardoor van hun leveranciers gaan vragen.

Deze pagina is uitleg, geen juridisch advies.

De zorgplicht in tien onderwerpen

De richtlijn vraagt passende en evenredige maatregelen, gebaseerd op een risicoanalyse die alle soorten dreigingen meeneemt, ook fysieke. Hoe zwaar een maatregel moet zijn, hangt af van de risico's, de omvang van de organisatie en de stand van de techniek. Het NCSC benadrukt dat een organisatie zelf bepaalt wat passend is, met risicomanagement als basis.

Voor aanbieders van cloudcomputingdiensten, datacentra, managed service providers en vergelijkbare digitale dienstverleners heeft de Europese Commissie de maatregelen uitgewerkt in Uitvoeringsverordening (EU) 2024/2690. Die is gedetailleerder dan de richtlijn zelf.

Van NIS2-onderwerp naar Annex A

De tabel koppelt elk onderwerp uit artikel 21, lid 2, aan de ISO 27001-maatregelen die er het meest mee overlappen. Het is een eigen indeling, geen officiële mapping. ENISA publiceert een uitgebreidere koppeltabel bij zijn technische implementatierichtlijn.

Wie een Verklaring van Toepasselijkheid heeft waarin deze maatregelen zijn opgenomen en onderbouwd, heeft voor de zorgplicht een stevig vertrekpunt.

Wat ISO 27001 niet vanzelf afdekt

Een ISMS is gebouwd rond de risico's die de organisatie zelf kiest te beheersen. De wet voegt eisen toe die niet uit een risicoafweging voortkomen:

1. Meldtermijnen. ISO 27001 vraagt dat je incidenten afhandelt en communiceert, maar noemt geen termijnen. De wet eist een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport uiterlijk een maand later, bij het CSIRT en de toezichthouder. Je incidentprocedure moet die klok expliciet kennen, inclusief wie beslist of een incident significant is.
2. Afnemers informeren. De richtlijn vraagt dat je, waar dat past, de afnemers van je dienst informeert over een significant incident en over maatregelen die zij zelf kunnen nemen.
3. Registratie. Inschrijving bij het NCSC en het binnen 14 dagen doorgeven van wijzigingen staat los van elk ISMS.
4. Bestuur. ISO 27001 vraagt leiderschap, maar de wet vraagt dat bestuurders de maatregelen formeel goedkeuren, toezicht houden en een training volgen.
5. Scope. Een ISO 27001-scope mag smaller zijn dan de dienst waarvoor de wet geldt. Een certificaat voor alleen het ontwikkelteam dekt de productieomgeving van een SaaS-dienst niet.
6. Verplichte keuzes. Onder ISO 27001 kun je een maatregel met onderbouwing uitsluiten. De tien onderwerpen uit de wet zijn minimumonderwerpen; uitsluiten is daar geen optie, wel een passende invulling.

Wat je klant van jou vraagt

Een organisatie onder de Cyberbeveiligingswet moet de risico's van haar leveranciers beheersen. Het NCSC verwacht dat zij daarom vaker informatie opvraagt en afspraken maakt over beveiligingsmaatregelen, het melden van incidenten, het omgaan met kwetsbaarheden en continuïteit. Voor een hostingpartij, SaaS-leverancier of leverancier van zorgsoftware betekent dat in de praktijk:

• Een vragenlijst over je maatregelen, vaak geordend langs dezelfde tien onderwerpen.
• Een certificaat en de scope ervan. Een klant kijkt steeds vaker of je ISO 27001-scope de dienst omvat die hij afneemt, en vraagt soms om de Verklaring van Toepasselijkheid.
• Een meldtermijn in het contract. Omdat je klant zelf binnen 24 uur moet melden, vraagt hij jou om sneller te melden. Leg vast wat je belooft en of je dat buiten kantooruren waarmaakt.
• Kwetsbaarheden. Hoe je kwetsbaarheden in je eigen software en in gebruikte componenten opspoort, oplost en meldt.
• Continuïteit en exit. Hersteltijden, back-ups en wat er gebeurt als je dienst stopt.
• Je eigen leveranciers. Of je dezelfde eisen doorzet naar je cloudplatform en andere onderaannemers.

Het NCSC is duidelijk dat de wet geen certificaat voorschrijft. Een ISO 27001-certificaat met een passende scope beantwoordt veel van deze vragen wel in één keer.

Een praktische volgorde

Leg de tien onderwerpen naast je Verklaring van Toepasselijkheid en noteer per onderwerp welke maatregelen het afdekken. Werk daarna de gaten uit die het ISMS niet vanzelf dicht: de meldklok in je incidentprocedure, een standaardtekst voor klantcontracten, en een controle of je scope de diensten omvat waar klanten naar vragen. Test de meldklok in een tabletop-oefening: een scenario waarin het incident op vrijdagavond begint, laat snel zien of 24 uur haalbaar is.