Wat verandert er in het contract met uw opdrachtgever
Een opdrachtgever die zelf onder de NIS2-zorgplicht valt — een ziekenhuis, een energiebedrijf, een grote logistieke hub — moet aantoonbaar maken dat risico's in de eigen keten in beeld zijn. Installatiebedrijven zitten vaak midden in die keten, niet omdat zij zelf plichtig zijn, maar omdat zij fysiek en digitaal toegang hebben tot het gebouw en de systemen van die opdrachtgever. Dat is precies waarom de contracteisen die u de komende tijd tegenkomt, zich concentreren op toegang: wie mag naar binnen, met welke middelen, en wat kan diegene vanaf daar bereiken.
De kern is simpel te begrijpen zonder de wettekst zelf te lezen: een opdrachtgever mag van u vragen hoe u voorkomt dat een sleutel, een badge of een onderhoudsverbinding een ingang wordt voor iemand anders. De precieze verwoording verschilt per opdrachtgever, maar de onderliggende vraag is bij vrijwel iedereen dezelfde.
Wat een plichtige opdrachtgever precies vraagt
De NIS2-richtlijn verplicht essentiële en belangrijke entiteiten om risico's bij leveranciers te beoordelen — dat is de kern van de zorgplicht uit artikel 21. Die verplichting wordt in de praktijk vertaald naar drie soorten eisen die bij installatiebedrijven terugkomen: eisen aan personen (wie mag namens u op locatie komen), eisen aan middelen (hoe worden sleutels, badges en werkbonnen beheerd) en eisen aan verbindingen (hoe wordt op afstand ingelogd op gebouwsystemen). Geen van deze eisen staat letterlijk zo in de richtlijn; het zijn praktische invullingen die opdrachtgevers zelf kiezen om aan hun eigen zorgplicht te voldoen.
Herkent u niet zeker of uw opdrachtgever hier zelf toe verplicht is, dan is dat te controleren via een korte check die laat zien wie in de keten geraakt wordt. Dat helpt om het gesprek met de opdrachtgever beter te plaatsen: is dit een verplichting die bij hen vandaan komt, of een eigen keuze van hun inkoopafdeling.
Toegang tot gebouwen: sleutels, badges en gebouwbeheersystemen
Bij fysieke toegang gaat het vaak om drie vragen die terugkomen in contracten: wordt er een sleutel- of badgeregistratie bijgehouden per medewerker, wordt die toegang ingetrokken zodra iemand het project verlaat of het bedrijf, en is er een vaste procedure voor het aanmelden van onderaannemers die namens u op locatie komen. Voor installatiebedrijven die met wisselende monteurs en onderaannemers werken, is dit vaak het onderdeel waar de meeste aanpassing nodig is — niet omdat het technisch ingewikkeld is, maar omdat het simpelweg nog niet was vastgelegd.
Gebouwbeheersystemen — de systemen die verwarming, verlichting, liften of toegangscontrole aansturen — vormen een aparte categorie. Een opdrachtgever wil vaak weten of het wachtwoord van zo'n systeem na oplevering is gewijzigd, wie de inloggegevens beheert, en of een oud wachtwoord van een vorig project is hergebruikt. Dat is geen overdreven achterdocht: gebouwbeheersystemen zijn precies het type systeem waar een storing niet in een IT-afdeling blijft, maar in het gebouw zelf zichtbaar wordt.
Toegang tot systemen: afstandsbeheer en onderhoudsverbindingen
Waar installatiebedrijven op afstand meekijken of onderhoud uitvoeren — via een VPN-verbinding, een teamviewer-achtige tool of een vast IP-adres dat toegang krijgt — wil de opdrachtgever doorgaans weten hoe die verbinding is beveiligd, of ze na gebruik wordt afgesloten, en wie er intern bij uw bedrijf toegang heeft tot die verbinding. Dit raakt rechtstreeks aan toegangsbeheer binnen uw eigen organisatie: een verbinding die door iedereen in het team kan worden gebruikt zonder log of tijdslimiet, is precies het soort antwoord waar een securityvragenlijst op vastloopt.
De onderwerpen die hierbij horen — van wachtwoordbeleid tot het intrekken van toegang bij uitstroom van personeel — staan overzichtelijk beschreven in het overzicht van onderwerpen per situatie, zodat u niet in de volledige richtlijn hoeft te zoeken naar het stuk dat op u van toepassing is.
Wat u nu al kunt voorbereiden
Ook zonder dat er al een concreet contract ligt, is het zinvol om te weten welke sleutels, badges en verbindingen er op dit moment actief zijn bij lopende projecten, en of die registratie up-to-date is. Dat is geen juridisch werk maar administratief werk, en het is precies het soort bewijsstuk dat een opdrachtgever later kan vragen. Twijfelt u of een specifieke eis in een conceptcontract redelijk is of verder gaat dan de zorgplicht rechtvaardigt, dan is dat een vraag voor een jurist of, bij twijfel over de verplichting van de opdrachtgever zelf, voor de toezichthouder — secria.eu bereidt de onderliggende documentatie voor, maar beoordeelt geen individuele contracten.
Wilt u eerst zien hoe secria.eu dit soort vragen ondersteunt, van de eerste check tot de sjablonen voor een vragenlijst? Op de pagina die uitlegt waar de informatie vandaan komt staat de opbouw van het platform stap voor stap, en de meest gestelde vragen over rol en verplichting geeft antwoord op vergelijkbare twijfels van andere installatiebedrijven.
Bent u benieuwd of uw eigen situatie in de keten valt en wat dat concreet betekent voor de contracten die u tekent, dan is de gratis NIS2-check een logisch eerste station, net als de kennisbank die zonder account toegankelijk is.