"Wij zijn NIS2-compliant" is zonder toelichting geen bruikbaar antwoord. Vraag uw leverancier welke entiteit, dienst en wettelijke verplichtingen zijn beoordeeld. In Nederland geldt de Cyberbeveiligingswet sinds 15 augustus 2026. De wet gaat voor organisaties die eronder vallen ook over registratie, incidentmeldingen en bestuurlijke verantwoordelijkheid, niet alleen over beveiligingssoftware.
Vraag om bewijs bij "NIS2-compliant" en controleer welke cyberverplichtingen werkelijk gelden.
Vraag bewijs dat bij uw dienst past
Begin met het onderdeel waarop u vertrouwt: bijvoorbeeld uw boekingsomgeving. Vraag wie toegang kan geven, hoe een hersteltest wordt uitgevoerd en wie een incident meldt. Een certificaat voor een andere vestiging of een beperkt deel van de organisatie beantwoordt die vragen niet. Kijk naar scope en datum van het bewijs.
Spreek een contactroute af die ook buiten kantooruren werkt als uw dienst dan beschikbaar moet zijn. Vraag om feitelijke testresultaten en open verbeterpunten, niet om klantgegevens uit een incident. Stel vooraf vast welke informatie u nodig hebt om uw eigen gevolgen en meldplichten te beoordelen.
Voorbeeld: een back-up die niet is teruggezet
Fictief: een leverancier zegt dagelijks back-ups te maken. Bij navraag blijkt de laatste hersteltest achttien maanden geleden. Uw bedrijf heeft sinds die tijd een nieuwe database. Laat een test met die actuele omgeving plannen en bepaal samen hoeveel gegevensverlies en uitval uw bedrijfsproces kan dragen.
U hebt nu een concrete verbeterafspraak, geen bewijs van volledige naleving. Controleer afzonderlijk of uw eigen organisatie onder de wet valt en welke sectorale toezichthouder past. Gebruik de actuele NCTV-uitleg; neem de wettelijke status van uw leverancier niet over als beoordeling van uw eigen bedrijf.