Ketenverantwoordelijkheid onder de CBW 2026

Waarom dit in de wet zit

Veel incidenten ontstaan niet door je eigen firewall, maar via software, cloud, beheerpartijen, koppelingen en subleveranciers. Daarom benoemt de wet expliciet maatregelen rond supply chain security, inclusief relaties met directe leveranciers en dienstverleners. [oai_citation:1‡Officiële Bekendmakingen](https://www.officielebekendmakingen.nl/stcrt-2025-19086.html)

• Het risico is gedeeldJouw continuiteit hangt af van ketenpartijen.
• De oplossing is bestuurbaarKritikaliteit, eisen, controle, herstel, exit.

Het verschil met ketenbeveiliging

Ketenbeveiliging gaat over de inhoud van maatregelen en controles bij leveranciers. Ketenverantwoordelijkheid gaat over sturing: wie beslist, welk ritme, welke drempels, en welk bewijs. Als je die sturing niet regelt, blijft leveranciersbeheer een losse lijst zonder impact. Gebruik daarom ook de pagina leveranciers en ketenbeveiliging als verdieping op de inhoud.

Vier rollen die altijd moeten bestaan

• Business ownerIs eigenaar van het proces en de impact bij uitval.
• Supplier ownerBeheert de relatie, contracten, afspraken, escalatie.
• Security en riskDefinieert eisen, reviewt bewijs, toetst uitzonderingen.
• BestuurStelt risicobereidheid vast en fiatteert uitzonderingen.

Het ritme dat werkt

Je maakt ketensturing meetbaar. Niet met een jaarlijkse audit, maar met een vast ritme dat risico, wijzigingen en incidenten opvangt.

• MaandelijksStatus kritieke leveranciers, open acties, uitzonderingen.
• Per kwartaalHerclassificatie kritikaliteit en review bewijs per top leveranciers.
• JaarlijksOefening met ketenscenario plus update exit en continuiteit.

Fase 1 inzicht en prioriteit

• 1 Maak een leveranciersregisterWelke leverancier levert wat, welke data, welke koppelingen, welke toegang, welke afhankelijkheid.
• 2 Classificeer kritikaliteitGebruik drie niveaus: kritisch, belangrijk, ondersteunend. Koppel dit aan impact op kernprocessen.
• 3 Koppel aan je risicoanalyseZet leveranciers expliciet in je risicoanalyse en monitoring aanpak. Start eventueel bij risicoanalyse uitvoeren.

Fase 2 eisen en afspraken

• 4 Stel minimale eisen vastIncidentmelding, logging afspraken, toegang en identity, patching, subleveranciers, auditrechten, herstelafspraken.
• 5 Leg het contractueel vastMaak eisen afdwingbaar, inclusief termijn voor oplossen, en escalatie bij non compliance.
• 6 Regel ketenincident samenwerkingWie meldt wat, aan wie, binnen welke tijd. Koppel dit aan je incidentmelding proces. Zie ook cyberincident melden.

Fase 3 controle en bewijs

• 7 Kies een controle methode per niveauKritisch: periodieke review, audit of attest plus technische checks. Belangrijk: review vragenlijst plus bewijs. Ondersteunend: basis check.
• 8 Bewaak toegang en wijzigingenLeg vast wie toegang heeft, wanneer die wordt herzien, en hoe wijzigingen in scope of dienst worden verwerkt.
• 9 Documenteer aantoonbaarZorg dat elke review een datum, conclusie, risico en actie heeft. Dit is direct bruikbaar voor documentatieplicht.

Fase 4 continuiteit en exit

• 10 Maak een exit en herstelplanVoor kritieke leveranciers: alternatieven, data export, overdracht, tijdelijke werkprocessen, en herstel tijdslijnen.
• Oefen een ketenscenarioMinimaal jaarlijks: uitval of incident bij leverancier plus communicatie en besluitvorming.
• Verwerk lessons learnedMaak verbeteracties met eigenaar en deadline, en herhaal het ritme.

Minimaal bewijs per kritieke leverancier

• Contract eisen setIncidentmelding, auditrechten, subleveranciers, logging en toegang afspraken.
• Review bewijsJaarlijkse review met conclusie, risico en acties, plus opvolging.
• Continuiteit en exitHerstelafspraken en route om te wisselen zonder bedrijfsstilstand.
• ToegangsoverzichtWelke accounts, welke rechten, hoe vaak herzien, en hoe je uitzet.

Incident samenwerking bewijs

Voor ketenincidenten wil je aantonen dat de route vooraf is geregeld. Denk aan classificatie, beslisbevoegdheid en communicatie. Voor meldroutes kun je ook de overheidsroute raadplegen via DTC en sectorale meldpunten. [oai_citation:6‡Cbw2026](https://cbw2026.nl/)

• ContactpuntenPrimair en secundair bij jullie en bij leverancier.
• Termijnen en drempelsWanneer moet leverancier melden, en wanneer escaleren jullie.
• OefenlogScenario, deelnemers, beslissingen, verbeteracties.

Template 1 leveranciersclassificatie

Leveranciersclassificatie

Leverancier:
Dienst:
Business owner:
Supplier owner:

Data en toegang
- Data type:
- Toegang type:
- Koppelingen:
- Admin toegang ja nee:

Impact
- Kernproces geraakt:
- Impact per uur:
- RTO doel:
- RPO doel:

Kritikaliteit
- Niveau: kritisch belangrijk ondersteunend
- Motivatie:

Controle aanpak
- Bewijs gevraagd:
- Frequentie:
- Acties en eigenaar:
              

Template 2 contracteisen checklist

Contracteisen keten

Incidentmelding en samenwerking
- Meldtermijn:
- Contactpunten:
- Evidence en logging:
- Ondersteuning onderzoek:

Toegang en identity
- MFA verplicht:
- Least privilege:
- Toegang review frequentie:
- Beheer van admin accounts:

Beveiliging en changes
- Patch en update afspraken:
- Hardening baseline:
- Kwetsbaarheid melding proces:

Audit en assurance
- Auditrecht:
- Rapportages toegestaan:
- Subleveranciers verplichtingen:

Continuiteit en exit
- Hersteltermijnen:
- Data export:
- Overdracht en beëindiging:
- Escalatie en boetes:
              

Wet en verplichtingen

• Supply chain security maatregelenIn de wetgevingsdocumenten wordt expliciet verwezen naar supply chain security en beveiliging in relaties met leveranciers en dienstverleners, inclusief directe leveranciers. [oai_citation:13‡Officiële Bekendmakingen](https://www.officielebekendmakingen.nl/stcrt-2025-19086.html)

Praktische guidance

• NCSC over leveranciersrisicoNCSC beschrijft hoe je third party risk en leveranciersrisico structureel beheerst. [oai_citation:14‡Arba Security](https://arbasecurity.com/blog/supply-chain-security-in-nis-2/)
• NCSC over keten en supply chainNCSC behandelt supply chain als onderdeel van een bredere beveiligingsaanpak. [oai_citation:15‡wetgevingskalender.overheid.nl](https://wetgevingskalender.overheid.nl/Regeling/WGK014627/Download/9248e519-467c-4323-873a-2dcdd47d3948_1.pdf)
• DTC incident informatieVoor meldroutes en voorbereiding kun je de incident informatie en stappen raadplegen. [oai_citation:16‡NCSC](https://www.ncsc.nl/toeleveringsketen/ketenbeveiliging-good-practices)