Securityvragenlijst van een klant: wat moet u ermee?

## Waarom u deze vragenlijst krijgt Als uw bedrijf iets levert aan een organisatie die onder de NIS2-richtlijn valt — een essentiële of belangrijke entiteit, denk aan energiebedrijven, ziekenhuizen, grote transportbedrijven of digitale infrastructuur — dan hoort die klant zijn eigen leveranciers te beoordelen. De richtlijn verplicht die klant namelijk om risico's in zijn leveringsketen in kaart te brengen, niet alleen zijn eigen systemen. Dat staat beschreven in wat vaak de zorgplicht wordt genoemd, terug te vinden in artikel 21 van de richtlijn. De vragenlijst die bij u binnenkomt, is het praktische gevolg daarvan: uw klant moet kunnen aantonen dat hij weet wie zijn leveranciers zijn en hoe die met beveiliging omgaan. Belangrijk om te beseffen: dat u een vragenlijst krijgt, betekent niet automatisch dat u zelf onder de NIS2-richtlijn valt. De meeste bedrijven die zo'n lijst ontvangen, zijn wat wel keten-geraakt wordt genoemd — zij vallen niet zelf onder de wet, maar worden er via een klant wél mee geconfronteerd. Of dat voor uw organisatie zo is, en wat voor soort geraaktheid dat precies is, kunt u nagaan met [[LINK:/nis2-check|een korte check die uw situatie in kaart brengt]]. ## Wat er meestal in staat De vragenlijsten die momenteel rondgaan, verschillen sterk per opsteller — er is geen verplicht format vanuit de wet. Toch komen bepaalde onderwerpen vrijwel altijd terug. Vragen over wie binnen uw organisatie verantwoordelijk is voor informatiebeveiliging, of u een beleid heeft voor het omgaan met incidenten, hoe u toegang tot systemen regelt, of medewerkers training krijgen, en of u zelf ook eisen stelt aan uw eigen leveranciers. Sommige lijsten vragen daarnaast naar certificeringen, naar eerdere incidenten, of naar hoe u omgaat met updates en herstelplannen. De achterliggende gedachte is steeds dezelfde: de klant probeert een beeld te krijgen van risico's die via uw levering bij hem terecht kunnen komen. Dat is geen wantrouwen richting uw bedrijf specifiek, maar een verplichting die de klant zelf moet nakomen. Wilt u begrijpen welke tien maatregelen daarbij als uitgangspunt gelden, dan vindt u die uitleg terug in [[LINK:/onderwerpen|het overzicht van onderwerpen per situatie]]. ## Wat een bruikbaar antwoord vraagt Een goed antwoord op een securityvragenlijst is niet per se een antwoord waarin u overal 'ja' invult. Toezichthouders en klanten kijken doorgaans naar consistentie: sluiten uw antwoorden aan bij wat u daadwerkelijk doet, en kunt u dat onderbouwen? Een vage of te optimistische invulling levert op termijn meer vragen op dan een eerlijk antwoord dat een verbeterpunt benoemt met een tijdpad eraan vast. Het helpt om per vraag drie dingen scherp te hebben: wat de huidige situatie is, wie binnen uw organisatie dat kan bevestigen, en welk bewijsstuk daarbij hoort — een beleidsdocument, een screenshot van een instelling, een trainingsoverzicht. Bedrijven die deze drie punten niet per vraag opnieuw hoeven uit te zoeken, maar ze al vastgelegd hebben in een lopend overzicht, kunnen een vragenlijst doorgaans binnen een uur invullen in plaats van dagen. Dat is precies waar een dossier met status, bewijsstuk en eigenaar per maatregel voor bedoeld is. ## Wat u niet hoeft te doen Het is goed om te weten dat het invullen en versturen van deze vragenlijst uw eigen verantwoordelijkheid blijft — een dienst kan u helpen bij het voorbereiden en structureren van antwoorden, maar dient nooit namens u in bij een klant of toezichthouder. Ook een audit, een pentest of een certificering is iets anders dan het invullen van een vragenlijst; dat blijft werk voor gespecialiseerde partijen, mocht een klant daar specifiek om vragen. Als u twijfelt of de vragen die u krijgt redelijk zijn in verhouding tot uw omvang en rol, is dat een gesprek dat u het beste rechtstreeks met de klant voert, eventueel met een jurist erbij als de eisen contractueel worden vastgelegd. Secria beschrijft wat de richtlijn en de nationale wetgeving zeggen, maar oordeelt niet over individuele contracten. ## Verder kijken Wilt u eerst weten waar deze informatie vandaan komt en hoe die wordt bijgehouden, dan leest u dat op [[LINK:/hoe-het-werkt|de pagina over de werkwijze van het platform]]. Heeft u nog geen beeld van uw eigen positie in de keten, begin dan met de gratis check — die geeft binnen een paar vragen een indicatie en een logische vervolgstap, zonder dat u daarvoor een account nodig heeft.