Je klant vraagt straks naar jouw cybersecurity — en dat is geen toeval

Krijgt de zaak de laatste tijd een vragenlijst van een grote klant of opdrachtgever over hoe goed de systemen beveiligd zijn? Dat is geen lastige nieuwe gewoonte van een inkoopafdeling. Het is het rechtstreekse gevolg van een Europese regel die sinds dit voorjaar ook in België actief gecontroleerd wordt — en die stilaan doorsijpelt tot bij elke leverancier in de keten, groot of klein.

Wat speelt er

Sinds 18 april 2026 controleert het Centrum voor Cybersecurity België (CCB) actief of grote en kritieke organisaties voldoen aan NIS2 — een EU-regel (kortweg: een wet die bedrijven in belangrijke sectoren zoals energie, zorg, transport en overheid verplicht om hun digitale systemen te beveiligen én dat te kunnen bewijzen). België is daarmee het eerste EU-land waar deze controles echt van start gingen.

Wat veel KMO-zaakvoerders niet beseffen: die verplichting stopt niet bij de poort van het grote bedrijf. Ziekenhuizen, energiebedrijven en overheidsdiensten moeten ook aantonen dat ze weten hoe veilig hun leveranciers zijn. Concreet betekent dit dat steeds meer klanten hun eigen leveranciers — ook kleinere — om bewijs van beveiliging vragen: een vragenlijst, een kort beleidsdocument, soms een testrapport.

Waarom die klanten daar plots zo veel belang aan hechten, werd in april 2026 pijnlijk duidelijk. Een softwareleverancier voor ziekenhuizen, ChipSoft, werd getroffen door een ransomware-aanval (software die bestanden gijzelt tegen betaling). Het gevolg: patiëntendossiers waren tijdelijk niet meer bereikbaar in meerdere ziekenhuizen in Nederland, met uitloop naar Belgische instellingen die van dezelfde software afhankelijk zijn. Eén zwakke schakel in de keten legde meteen meerdere organisaties stil — precies het scenario waar NIS2 komaf mee wil maken.

“Eén zwakke schakel in de keten legde meteen meerdere ziekenhuizen stil — precies het scenario waar NIS2 komaf mee wil maken.”

Dat de druk toeneemt, blijkt ook uit de cijfers. Het CCB registreerde in 2025 635 meldingen van cyberincidenten, 70% meer dan het jaar voordien. Vooral meldingen van gekaapte accounts verdubbelden.

Waarom dit KMO's raakt

Ook een KMO die zelf niet rechtstreeks onder NIS2 valt — bijvoorbeeld omdat het bedrijf minder dan 50 werknemers of minder dan 10 miljoen euro omzet heeft — kan de gevolgen voelen. Levert de zaak diensten of software aan een ziekenhuis, een energiebedrijf, een overheidsdienst, een bank of een grotere logistieke speler? Dan is de kans reëel dat die klant vraagt hoe goed de eigen beveiliging op orde is, of dat nu via een contractclausule, een vragenlijst of een gesprek met de aankoopafdeling gebeurt.

Dat is geen reden tot paniek, wel een reden om er nu al iets mee te doen. Wie kan aantonen dat de basis op orde is, wint vertrouwen bij klanten en vermijdt dat een opdracht op het laatste moment vastloopt op een onbeantwoorde vraag. Snelheid speelt daarbij mee: het CCB stelt vast dat aanvallers gemiddeld maar 5 dagen nodig hebben tussen het bekend worden van een zwakke plek in software en het effectief misbruiken ervan — en dat een deel van de kwetsbaarheden zelfs binnen de 24 uur wordt uitgebuit. Traag reageren op updates is dus geen detail meer, het is precies waar een klant of een aanvaller naar kijkt.

Wat je er concreet aan doet

Ga na welke klanten onder NIS2 vallen. Werkt de zaak voor een ziekenhuis, energiebedrijf, overheidsdienst, bank of digitale-infrastructuurspeler? Vraag gerust proactief wat die klant van leveranciers verwacht — dat voorkomt verrassingen achteraf.

Breng in kaart wat van buitenaf zichtbaar is. Welke website, e-mailadressen, servers en online diensten van de zaak zijn vanaf het internet te vinden en te benaderen? Dat is exact waar een klant-audit of een aanvaller als eerste naar kijkt.

Volg een vast update-ritme. Omdat kwetsbaarheden snel worden uitgebuit, is het verstandig om software-updates zo veel mogelijk automatisch te laten gebeuren en systematisch te controleren of dat ook echt gebeurt.

Leg de afspraken op papier vast. Een kort, begrijpelijk document over wie verantwoordelijk is voor beveiliging, hoe een incident gemeld wordt en wie toegang heeft tot welke systemen, is vaak precies wat een klant in een vragenlijst wil zien.

Laat de maatregelen af en toe onafhankelijk toetsen. Zo kan de zaak met bewijs antwoorden op een vraag van een klant, in plaats van enkel met een belofte.

Hoe NetGuard helpt

Een helder zicht op wat een klant of een aanvaller van buitenaf ziet — via External Attack Surface Management (EASM), het continu in kaart brengen van alles wat vanaf het internet zichtbaar en dus bereikbaar is — geeft snel een concreet antwoord op de vraag “waar staan we vandaag”. CISO-as-a-Service helpt vervolgens om een eenvoudig, op maat gemaakt beveiligingsbeleid uit te werken en actueel te houden, zonder dat daarvoor een voltijdse functie in huis nodig is.

Een vrijblijvende kennismaking om te bekijken waar de zaak vandaag staat, kan via netguard.be.