Je valt er niet onder. En toch krijg je de vragenlijst

De meeste MKB-bedrijven vallen niet onder de Cyberbeveiligingswet. Toch merk je er straks iets van — niet via de toezichthouder, maar via je grootste klant. Dat komt door één begrip uit de wet: ketenverantwoordelijkheid.

Het idee erachter is simpel. Een organisatie die zelf onder de wet valt, is niet alleen verantwoordelijk voor haar eigen systemen, maar moet ook grip houden op de risico's die via haar leveranciers binnenkomen. Een ziekenhuis, een gemeente of een energiebedrijf kan zijn beveiliging perfect op orde hebben en alsnog plat liggen omdat een toeleverancier gehackt is. De wet vraagt die organisaties daarom om te controleren of hun leveranciers veilig genoeg werken.

Zo rolt de eis naar jou door

Die controle voeren grote organisaties niet uit door bij je op de koffie te komen. Ze doen het op de manier die het beste schaalt: met eisen in contracten, met vragenlijsten en soms met een audit. Lever je aan een partij die onder de wet valt, dan is de kans groot dat je een van die drie de komende tijd op je bord krijgt.

Denk aan een timmerbedrijf dat onderhoud doet voor een ziekenhuis, een softwareleverancier die aan een gemeente levert, of een transporteur die voor een energiebedrijf rijdt. Geen van hen valt zelf onder de wet. Toch heeft hun grote klant er belang bij dat ook zíj veilig werken — want een zwakke schakel in de keten is precies waar een aanvaller binnenkomt. Hoe dichter je bij de systemen of data van die klant zit, hoe eerder de vraag jouw kant op komt.

Belangrijk om te snappen: de wet legt jóu als toeleverancier geen directe verplichtingen op. Er staat geen inspecteur voor je deur. Wat er gebeurt is subtieler — en juist daarom voor ondernemers zo lastig te plaatsen.

Je klant staat zelf onder toezicht. Kun jij niet laten zien dat je digitale veiligheid op orde is, dan word je in zijn dossier een openstaand risico. En een risico dat maar niet dichtgaat, is een reden om bij de volgende offronde eens naar een andere leverancier te kijken. Dáár zit de druk: niet in een sanctie van de overheid, maar in de continuïteit van je omzet.

Waar het bij het MKB meestal misgaat

Hier komt het geruststellende nieuws: het probleem is zelden dat een MKB-bedrijf onveilig werkt. De meeste ondernemers hebben back-ups, virusscanners en collega's die heus wel uitkijken bij een vreemd mailtje. Het probleem is dat het nergens staat opgeschreven.

En dat verklaart waarom een vragenlijst zo vaak paniek veroorzaakt. Niet omdat de maatregelen ontbreken, maar omdat niemand ze ooit op papier heeft gezet. De vraag is dus niet zozeer “zijn we veilig?” maar “kunnen we het aantonen?”.

Waarom nu beginnen loont

Je kunt wachten tot de vragenlijst binnenkomt. Maar dan doe je het werk onder tijdsdruk, met een klant die op antwoord wacht. Begin je nu, dan is het rustig uitzoeken wat je al hebt en wat er nog mist. Bovendien geldt dezelfde redenering voor jóuw leveranciers: je IT-partner, je hostingpartij, je softwareleverancier bepalen mede jouw risico. Dezelfde vragen die jij krijgt, mag je hun stellen.

Hoe dat aantoonbaar-maken er in de praktijk uitziet, en welke stappen je zet als de vragenlijst al op tafel ligt, lees je in het laatste artikel van deze serie.