NIS2 Compliance for Suppliers
Artikel 21(2)(d) NIS 2 verplicht gereguleerde bedrijven tot maatregelen voor de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van hun relaties met directe leveranciers en dienstverleners. Deze pagina behandelt de basis: wat de regel zegt, wie hij raakt, wat uw klanten kunnen vragen en hoe leveranciers cyberbeveiliging aantonen zonder zelf een gereguleerde entiteit te worden.
Why small suppliers are affected by NIS2
NIS2 (Art. 21(2)(d) NIS 2, omgezet in § 30 Abs. 2 Nr. 4 BSIG) verplicht elke essentiële en belangrijke entiteit (volgens het BSI circa 29.500 in Duitsland) tot maatregelen voor de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van haar relaties met directe leveranciers en dienstverleners. Bij het kiezen van die maatregelen moet zij rekening houden met de specifieke kwetsbaarheden van elke directe leverancier en met de algemene kwaliteit van de producten en beveiligingspraktijken van haar leveranciers (Art. 21(3)). Contracten zijn de gebruikelijke weg: de Duitse memorie van toelichting noemt contractuele afspraken met leveranciers als voorbeeld.
Als uw bedrijf minder dan 50 medewerkers heeft en de jaaromzet en het balanstotaal niet beide boven EUR 10 miljoen liggen, valt u meestal niet rechtstreeks onder NIS2. Sommige entiteitstypen vallen ongeacht hun omvang eronder, zoals verleners van vertrouwensdiensten, DNS-aanbieders, TLD-registers, kleine aanbieders van openbare telecommunicatie en exploitanten van kritieke installaties (§ 28 BSIG). Als u IT-diensten, software, componenten, logistiek of een andere dienst levert aan een gereguleerd bedrijf, kunnen NIS2-eisen u via uw contracten bereiken.
Section 30(2) No. 4 BSIG: Supply chain security
Gereguleerde entiteiten moeten maatregelen nemen voor "beveiliging van de toeleveringsketen, inclusief beveiligingsaspecten van de relaties met directe leveranciers of dienstverleners" (§ 30 Abs. 2 Nr. 4 BSIG, omzetting van Art. 21(2)(d) NIS 2). De plicht blijft bij de gereguleerde entiteit; een leverancier neemt alleen verplichtingen op zich via wat hij met die klant overeenkomt.
Contractual requirements
Veel NIS2-gereguleerde bedrijven gebruiken leverancierscontracten om aan hun plicht voor de toeleveringsketen te voldoen; de Duitse memorie van toelichting noemt afspraken over risicobeheersmaatregelen, incidentafhandeling en patchmanagement als voorbeelden. Reken op zulke clausules bij het volgende contract of de volgende verlenging.
Supplier audits and questionnaires
Uw klanten kunnen beveiligingsvragenlijsten sturen en audits uitvoeren. Antwoorden die u al hebt vastgelegd, geeft u snel.
Incident notification obligations
Als een beveiligingsincident bij uw bedrijf leidt tot een significant incident bij een NIS2-gereguleerde klant, moet die klant dit melden bij het BSI: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport een maand daarna (§ 32 BSIG). Om die termijnen te halen, moet de klant snel van u horen.
Competitive advantage
When a regulated company chooses between two suppliers and one can demonstrate NIS2-aligned security while the other cannot: the choice is obvious. Compliance becomes a sales differentiator.
Risk assessment
Identify and document risks to systems you use for customer work. Doesn't need to be complex: a structured list with treatment plans is enough.
Access control
Who can access customer data and systems? Role-based access, MFA for remote access, and documented user management.
Incident handling
Een gedocumenteerd proces voor het detecteren van, reageren op en melden van beveiligingsincidenten. Geen enkele wet stelt een termijn voor een leverancier; wat u met uw klant afspreekt wel, en de eigen klok van de klant begint bij 24 uur.
Business continuity
What happens if your systems go down? Backup strategy, recovery procedures, and tested plans to continue delivering to your customers.
Policies and evidence
Written security policies, training records, and an audit trail proving you follow your own rules. This is what auditors actually check.
Check your exposure
Use our free applicability check to confirm your NIS2 status. Even if you're not directly in scope, identify which of your customers are NIS2-regulated: those contracts will come with new requirements.
Run a gap assessment
Compare your current security practices against the 10 measures in Section 30 BSIG. Most small companies already do some of this informally: the gap is usually documentation, not practice.
Implement the basics
Start with the highest-impact items: access control, backup strategy, incident response process. The nisd2.eu platform walks you through each requirement with pre-built templates.
Build your evidence package
When your customer sends a security questionnaire, you need answers ready. Policies, training records, risk assessments, and technical measures: all documented and exportable.
Review annually
NIS2-compliance is geen eenmalig project. Plan een jaarlijkse herziening van uw risico's, werk uw beleid bij en ververs de medewerkerstraining.
Frequently asked questions
Am I legally required to comply with NIS2 as a small supplier?▾
Niet rechtstreeks: NIS2 geldt voor bedrijven boven de EU-drempel voor middelgrote ondernemingen (50+ medewerkers OF (meer dan EUR 10 miljoen omzet EN meer dan EUR 10 miljoen balanstotaal), volgens Aanbeveling 2003/361/EG van de Commissie) in een gereguleerde sector. Sommige entiteitstypen vallen ongeacht hun omvang eronder (§ 28 BSIG). Uw NIS2-gereguleerde klanten zijn echter wettelijk verplicht maatregelen voor de beveiliging van de toeleveringsketen te nemen (§ 30 Abs. 2 Nr. 4 BSIG, omzetting van Art. 21(2)(d) NIS 2). Uw klant kan eisen in het contract aan u doorgeven. U krijgt geen boete van het BSI, maar u kunt contracten verliezen.
What happens if I don't comply?▾
Your NIS2-regulated customers face fines up to EUR 10M or 2% of global turnover for supply chain security failures. They will either require you to comply or replace you with a supplier who can. The practical consequence is lost business, not a BSI fine.
How much does supplier compliance cost?▾
Voor een klein bedrijf is tijd de belangrijkste kostenpost. Hoeveel, hangt af van wat er al is: de wet vraagt om maatregelen die evenredig zijn aan het risico en de omvang van het bedrijf (§ 30 Abs. 1 BSIG), en een leverancier die niet gereguleerd is, is alleen verschuldigd wat hij met zijn klanten overeenkomt.
Can I use NIS2 compliance as a selling point?▾
Ja. Als u NIS2-conforme beveiligingspraktijken kunt aantonen met gedocumenteerd bewijs, maakt u het uw klant makkelijker om aan zijn plicht voor de toeleveringsketen te voldoen.
What if my customer hasn't asked yet?▾
Dat kan. De BSI-registratietermijn verliep op 6 maart 2026 en beveiliging van de toeleveringsketen is een van de 10 maatregelen in § 30 Abs. 2 BSIG (Nr. 4). Wie het verzoek voor is, heeft het antwoord makkelijk paraat wanneer het komt.
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
