Mijn klant valt onder NIS2 en vraagt mij om maatregelen — moet dat?

Kort antwoord: Uw klant die onder NIS2 valt, is wettelijk verplicht om de beveiliging van zijn toeleveringsketen te beheersen, en mag daarvoor eisen aan u stellen. Als gewone leverancier valt u doorgaans niet zelf rechtstreeks onder NIS2, maar de eisen bereiken u via het contract. Voldoen is dus geen wettelijke plicht voor u, maar wel vaak een voorwaarde om de klant te behouden.

Wat NIS2 van uw klant vraagt

NIS2 — Richtlijn (EU) 2022/2555 — verplicht essentiële en belangrijke entiteiten passende en evenredige maatregelen te nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen. Artikel 21 noemt daarbij uitdrukkelijk de beveiliging van de toeleveringsketen, inclusief beveiligingsaspecten van de relaties tussen de entiteit en haar directe leveranciers of dienstverleners. De richtlijn vraagt de onder NIS2 vallende organisatie dus om naar haar eigen ketenrisico's te kijken en daar rekening mee te houden — ook in haar inkoop- en contractkeuzes.

Dat is de juridische basis onder de vraag die u krijgt: uw klant zet zijn eigen verplichting door in de keten. De richtlijn legt die plicht bij de entiteit zelf, niet rechtstreeks bij iedere leverancier.

Valt u zelf onder NIS2?

NIS2 geldt voor organisaties in de sectoren genoemd in de bijlagen bij de richtlijn (zoals energie, transport, digitale infrastructuur, levensmiddelen en bepaalde productie), die boven de drempel voor middelgrote ondernemingen vallen. Valt u als leverancier zelf binnen die sectoren en boven die omvang, dan kunt u rechtstreeks onder de wet vallen — met eigen verplichtingen. De richtlijn wordt per lidstaat in nationaal recht omgezet; de precieze reikwijdte en uitzonderingen volgen uit die nationale implementatie en het toezicht daarop.

Valt u er niet onder, dan ontstaat uw verplichting niet uit de wet maar uit het contract. De eis van uw klant is dan een commerciële, contractuele eis — geen rechtstreekse wettelijke plicht voor u.

Wat betekent dit praktisch?

Drie nuchtere conclusies. Ten eerste: de vraag is legitiem en zal vaker terugkomen, omdat uw klant er zelf op wordt aangesproken. Ten tweede: beoordeel of u zelf onder NIS2 valt — dat verandert of "moeten" wettelijk of contractueel is. Ten derde: zelfs zonder eigen wettelijke plicht is meewerken vaak verstandig, want weigeren kan betekenen dat de klant een leverancier kiest die de gevraagde maatregelen wél kan aantonen. Welke maatregelen redelijk en evenredig zijn, hangt af van uw rol in de keten en de aard van de dienst; de richtlijn vraagt om proportionaliteit, niet om identieke eisen voor iedereen.

Lees ook: Transport & Logistiek. Doe de scan.