De Cyberbeveiligingswet herschrijft de spelregels van IT-sourcing
De Cyberbeveiligingswet (Cbw) herschrijft de spelregels van IT-sourcing, en de meeste contracten zijn er nog niet klaar voor. Dit creëert een structurele spanning in de kern van IT-outsourcing, schrijven experts van Metri Consulting.
Rond 1 juli treedt de Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de Europese NIS2-richtlijn, in werking. In onze praktijkervaring zien we dat veel organisaties deze wet benaderen als een IT- of compliancevraagstuk. In de praktijk gaat het om iets fundamentelers: de Cbw breekt het klassieke sourcingmodel open.
Artikel 21 van het wetsvoorstel bepaalt dat Cbw-organisaties ook maatregelen moeten nemen ter beveiliging van de toeleveringsketen, inclusief de relaties met rechtstreekse toeleveranciers en dienstverleners. Met andere woorden: als een leverancier een beveiligingsrisico vormt voor je netwerk- en informatiesystemen, ben jij als opdrachtgever verantwoordelijk voor het beheersen van dat risico.
Dit creëert een structurele spanning in de kern van IT-outsourcing. De traditionele logica van uitbesteden is het overdragen van operationele verantwoordelijkheid aan een gespecialiseerde partij, zodat jouw organisatie zich op de kernactiviteiten kan richten. De Cbw raakt die logica niet, maar verandert fundamenteel wat ‘operationele verantwoordelijkheid overdragen’ betekent in een beveiligingscontext.
Decennialang zijn IT-sourcingstrategieën en contracten ingericht op kosten, flexibiliteit en performance. SLA’s en raamovereenkomsten draaien om uptime, responstijden en de laagste prijs. Maar onder de Cyberbeveiligingswet verschuift dat uitgangspunt abrupt naar risicobeheersing, ketenverantwoordelijkheid en aantoonbare controle.
De praktische consequentie: organisaties hebben contractuele instrumenten nodig waarmee ze de beveiligingshouding van hun leverancier kunnen sturen, niet alleen de dienstverlening. En voor de meeste organisaties die momenteel werken met IT-outsourcingcontracten die vóór NIS2 zijn opgesteld, ontbreken die instrumenten grotendeels.
De sourcingparadox: Meer controle in een complexer ecosysteem
De markt staat daarmee voor een fundamentele paradox. Enerzijds dwingt de Cyberbeveiligingswet tot centralisatie, standaardisatie en strenge controle op de keten. Anderzijds neemt de behoefte aan flexibiliteit, innovatie en multi-sourcing juist toe.
“De Cyberbeveiligingswet legt bloot dat veel contracten zijn ontworpen voor een werkelijkheid die niet meer bestaat.”
Wie vandaag een ecosysteem van tien tot twintig leveranciers beheert (van infrastructuurpartners tot SaaS-aanbieders en offshore ontwikkelteams), stond tot voor kort voor een overzichtelijke taak: afspraken maken over uptime, kosten en responstijden, en bijsturen als de prestaties tegenvallen.
De Cbw gooit dat model omver. Diezelfde twintig leveranciers moeten nu individueel worden beoordeeld op beveiligingsvolwassenheid, contractueel worden gebonden aan artikel 21-normen, en periodiek worden getoetst op naleving. Maatwerk en vertrouwen zijn daarvoor niet langer voldoende. En wie denkt dit contract voor contract op te kunnen lossen, onderschat de schaal van het probleem.
Inzicht met de gap-analyse
De meeste grote IT-outsourcingcontracten van de afgelopen jaren hebben een herkenbaar profiel. Het zijn documenten die governance, SLA’s, prijsafspraken, wijzigingsbeheer, exitbepalingen en aansprakelijkheid netjes regelen. De beveiligingsbepalingen zijn echter doorgaans dun – vaak niet meer dan een verwijzing naar ‘passende beveiligingsmaatregelen’, misschien een referentie aan ISO 27001 en een generieke vertrouwelijkheidsclausule.
De Cbw legt hiermee bloot dat veel contracten zijn ontworpen voor een werkelijkheid die niet meer bestaat. Bestaande IT-contracten zijn echter nog beperkt ingericht op de eisen die de Cbw stelt. De meeste SLA’s en raamovereenkomsten gaan over beschikbaarheid, responstijden en prijsafspraken en cybersecurity is regelmatig onderbelicht.
Dat is onder de Cbw onvoldoende. Opdrachtgevers zullen hun IT-contracten moeten aanvullen met afspraken over minimaal zes onderwerpen.
Van deze zes is het Incident Meldplicht-punt misschien het meest acuut. De Cbw vereist een vroegtijdige waarschuwing aan NCSC-NL binnen 24 uur nadat je op de hoogte bent van een significant incident, een tussentijds rapport binnen 72 uur en een eindrapport binnen één maand.
Als jouw leverancier een incident ontdekt en je contract hen de ruimte geeft om op hun eigen tempo te melden, haal jij mogelijkerwijs de wettelijke deadline niet – terwijl jouw eigen responsecapaciteit daar niets aan kon doen. De oplossing is eenvoudig: een contractueel vastgelegde meldingstermijn van acht tot twaalf uur van leverancier naar klant, maar dat vereist een expliciete clausule. Vage formuleringen bieden geen bescherming.
Transparantie over onderaannemers is een issue dat de meeste organisaties als laatste ontdekken én vaak het lastigst is om op te lossen. IT-outsourcingdienstverleners maken vaak gebruik van onderaannemers voor gespecialiseerde diensten: een cloud-hyperscaler voor infrastructuur, een externe partner voor SOC/SIEM-diensten, offshore teams voor applicatiebeheer.
Als jouw directe leverancier compliant is maar hun onderaannemers niet, breekt de keten en het risico komt bij jou terecht. Je contract moet vereisen dat jouw leverancier deze keten beheert, niet alleen zijn eigen perimeter.
Governance: Contractuele papieren tijgers bieden geen bescherming
De kern van de Cbw is de zorgplicht: organisaties die onder de wet vallen, zijn verplicht passende maatregelen te nemen om de continuïteit van hun diensten te waarborgen. Wat veel organisaties zich onvoldoende realiseren, is dat die zorgplicht zich uitstrekt over de hele keten.
De Cbw legt de verantwoordelijkheid voor naleving expliciet bij het bestuur van de organisatie en dus niet bij de IT-afdeling of de CISO. Het bestuur moet de genomen maatregelen goedkeuren en toezicht houden op de uitvoering. Bovendien zijn bestuurders verplicht een training te volgen om voldoende kennis op te bouwen voor weloverwogen beslissingen over cybersecurity.
“De Cyberbeveiligingswet vraagt niet om betere contracten, maar om een ander sourcingmodel.”
Dit beïnvloedt hoe organisaties hun leveranciersrelaties beheren. Als het bestuur verantwoordelijk is, moet intern ook helder eigenaarschap zijn over de bewaking van leveranciersafspraken. Wie bewaakt of contractuele beveiligingseisen worden nageleefd? Wie signaleert wanneer een leverancier een beveiligingsincident heeft? Wie beslist of een leverancier voldoende maatregelen heeft getroffen?
Zonder antwoorden op deze vragen en een duidelijk intern eigenaarschap blijven contractuele afspraken papieren tijgers.
Van contractmanagement naar ketenregie
Om te voorkomen dat contracten onvoldoende Cbw-ondersteuning bieden, is een meer volwassen vorm van ketenregie noodzakelijk. Dit vraagt om een gestructureerde aanpak:
Stap 1: Scope en classificeer
Classificeer leveranciers op bedrijfskritisch belang, toegang, data en de mate van vervangbaarheid. In de markt zien we dit al steeds vaker toegepast worden op het gebied van private vs public hosting, maar dit is niet het enige domein waar dit van toepassing is. Dit heeft impact op de sourcingkeuzes.
Stap 2: Contract stress tests
Toets de belangrijkste contracten op de zes risicopunten (zie tabel).
Stap 3: Governance uitbreiden
Om de impact van de Cbw structureel te verankeren in IT- governance, moet je de rapportages uitbreiden en nieuwe agendapunten toevoegen, zoals: security, keteninzicht, Cbw-compliance en aantoonbare risicobeheersing.
Stap 4: Keten oefenen/incidentgereedheid
Simuleer incidenten met de kritieke leveranciers met een focus op de meldketen en herstel. Een tabletop-oefening die de meldingsketen doorloopt, van detectie door de leverancier via melding aan de klant naar rapportage aan de toezichthouder, onthult gaten in je procedure op een veel betrouwbaarder manier dan een documentreview.
Stap 5: Vervangscenarios
Ontwerp alternatieven voor de leveranciers die de kern van de dienstverlening leveren. En voorkom hiermee een single point of failure.
Conclusie
De meeste organisaties die onder de Cbw vallen, hebben de afgelopen jaren geïnvesteerd in betere contracten, meer leveranciers en flexibelere sourcingmodellen. Dat was rationeel. Maar de Cbw maakt zichtbaar dat al die investeringen zijn gebouwd op een aanname die niet langer houdbaar is: dat beveiliging iets is wat je samen met je leverancier regelt op basis van vertrouwen, certificeringen en een SLA-paragraaf.
Die aanname klopt niet meer. De wet legt de verantwoordelijkheid voor de beveiliging van de hele keten expliciet bij de organisatie zelf neer en als er iets misgaat, zal de toezichthouder niet vragen wat er in het contract stond. Die zal vragen wat jij hebt gedaan om te weten of het werd nageleefd.
Dat is een fundamenteel andere vraag. En de meeste organisaties moeten zich hier nog op voorbereiden. Organisaties die deze beweging maken, bouwen niet alleen compliance op. Ze bouwen een leveranciersketen die bestand is tegen de realiteit van vandaag en die van morgen. De Cyberbeveiligingswet vraagt niet om betere contracten, maar om een ander sourcingmodel.
