NIS2 Supply Chain certificering
Klanten vragen om het NIS2 Supply Chain certificaat? Wij begeleiden u van quickscan tot audit, op niveau SC10, SC20 of SC30.
NIS2 Supply Chain implementatie
Organisaties die onder de nieuwe Cyberbeveiligingswet (Cbw) vallen, moeten ook de digitale risico’s in hun toeleveringsketen beheersen. Deze verantwoordelijkheid geven zij door aan hun leveranciers, in contracten, aanbestedingen en vragenlijsten. Met NIS2 Supply Chain compliance, voorheen het NIS2 Quality Mark, laat u zien dat uw beveiliging aan de eisen voldoet. Nestor Security begeleidt u van quickscan tot eindaudit.
✓“Onze grootste opdrachtgever vraagt ineens om NIS2-garanties van leveranciers.”
✓“Het bestuur wil weten waar we staan en wat er voor de deadline moet gebeuren.”
✓“We hebben van alles geregeld, maar kunnen weinig tonen aan toezichthouders.”
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Stand van zaken · juli 2026
De vraag komt niet van de toezichthouder, maar van uw klant
De Cyberbeveiligingswet is aangenomen en treedt op 15 augustus 2026 in werking. Organisaties die onder de wet vallen, vertalen hun ketenzorgplicht nu al naar concrete eisen in contracten en aanbestedingen. Als leverancier merkt u dat het eerst.
15 augustus 2026
Cyberbeveiligingswet van kracht
Beide Kamers hebben de wet aangenomen. Ruim 8.000 Nederlandse organisaties moeten vanaf deze datum hun toeleveringsketen aantoonbaar beveiligen.
Artikel 21 lid 2d
Ketenzorgplicht
NIS2-organisaties moeten de digitale risico's van hun directe leveranciers en dienstverleners beoordelen en daar waar nodig eisen aan stellen.
1,8 miljoen
Leveranciers geraakt
Naar schatting krijgen 1,8 miljoen Europese bedrijven als leverancier met NIS2 te maken, zonder zelf onder de wet te vallen.
Nu al zichtbaar
Certificaateisen in contracten
Steeds meer opdrachtgevers nemen het NIS2 Supply Chain certificaat op in hun inkoopvoorwaarden en gunningscriteria.
Wie zijn beveiliging kan aantonen, houdt de deur naar bestaande en nieuwe opdrachtgevers open. Wie dat niet kan, valt af aan de onderhandelingstafel.
Bepaal welk niveau bij uw rol past ↓Het keurmerk
Wat is het NIS2 Supply Chain certificaat?
Het NIS2 Supply Chain certificaat is een keurmerk waarmee leveranciers aantonen dat hun cybersecurity voldoet aan de eisen die uit de NIS2-richtlijn voortvloeien. Het is in oktober 2024 gelanceerd door de Stichting Kwaliteitsinnovatie, ontwikkeld samen met een tiental brancheorganisaties en gesteund door MKB-Nederland en VNO-NCW.
Het keurmerk is er voor bedrijven die zelf niet onder de Cyberbeveiligingswet vallen, maar wel leveren aan organisaties die dat wel doen. Een onafhankelijke auditor toetst uw maatregelen aan een vaste norm. Na een positieve beoordeling ontvangt u een certificaat dat drie jaar geldig is en wordt opgenomen in een centraal register.
Voor veel leveranciers, zeker in het mkb, is dit een haalbaar en betaalbaar alternatief voor een volledig ISO 27001-traject. Het scheelt bovendien uitzoekwerk aan de klantkant: in plaats van elke beveiligingsvragenlijst apart te beantwoorden, geeft u al uw opdrachtgevers hetzelfde onafhankelijke bewijs.
Voorheen NIS2 Quality Mark
Het keurmerk heette tot begin 2026 het NIS2 Quality Mark. Vraagt uw klant daar nog naar, dan gaat het om hetzelfde certificaat.
Onafhankelijk getoetst
De audit wordt uitgevoerd door een erkende certificerende instelling, niet door de partij die u begeleidt. Juist dat maakt het bewijs geloofwaardig voor uw opdrachtgevers.
Al ISO 27001 of NEN 7510?
Dan bent u vrijgesteld van de eisen die deze normen al afdekken. Het traject wordt daardoor een stuk korter, soms volstaat uw bestaande certificaat zelfs al.
Drie niveaus
Welk niveau past bij uw organisatie?
Het keurmerk kent drie niveaus. Uw rol in de keten en het risico dat uw product of dienst vormt voor de klant bepalen welk niveau nodig is. Vaak schrijft de opdrachtgever het niveau voor in het contract of de aanbesteding. Twijfelt u, dan stellen we het samen vast tijdens de quickscan.
Voor wie
Mkb-leveranciers met een beperkt risicoprofiel die producten of diensten leveren aan NIS2-plichtige organisaties, zonder toegang tot kritieke systemen of gevoelige data.
De audit
Een toets op de basismaatregelen: beleid, toegangsbeheer en MFA, updates, back-ups, bewustwording bij medewerkers en het melden van incidenten.
Goed om te weten
Voor de meeste toeleveranciers in het mkb is SC10 voldoende om aan de eisen van hun klanten te voldoen.
Niveau NIS2-SC10
SC10, het basisniveau
Typische organisaties
Bouw en installatieGroothandelTransport en logistiekFacilitaire dienstenMarketing en communicatieAdministratie en advies
De norm concreet
Waar de auditor straks naar kijkt
De norm is opgebouwd rond herkenbare thema's. De diepgang verschilt per niveau, maar op deze onderdelen laat u tijdens de audit zien hoe uw organisatie werkt en welk bewijs daarbij hoort.
01
Beleid en verantwoordelijkheden
Een beknopt beveiligingsbeleid met duidelijke rollen, zodat helder is wie waarvoor verantwoordelijk is.
02
Risicoanalyse
Inzicht in uw belangrijkste systemen en gegevens, en de risico's die daarbij horen.
03
Toegang en accounts
Toegangsrechten op maat, meerfactorauthenticatie en een vast proces bij in- en uitdiensttreding.
04
Updates en kwetsbaarheden
Systemen en software die tijdig worden bijgewerkt, met aandacht voor bekende kwetsbaarheden.
05
Back-ups en herstel
Regelmatige back-ups die u ook echt kunt terugzetten wanneer dat nodig is.
06
Bewustwording
Medewerkers die phishing herkennen, veilig werken en weten waar ze een incident melden.
07
Incidenten en meldingen
Een werkbare procedure om incidenten af te handelen en tijdig te melden bij klanten en instanties.
08
Uw eigen leveranciers
Zicht op de partijen waarvan u zelf afhankelijk bent, met passende afspraken over beveiliging.
09
Fysieke en technische beveiliging
Van serverruimte tot laptops: locaties en apparatuur passend beschermd. Bij SC20 en SC30 horen hier ook logging, monitoring en OT bij.
10
Documentatie en bewijs
Vastlegging waarmee u tijdens de audit en richting klanten kunt aantonen wat u doet.
Klinkt dit als veel? Een deel hiervan heeft u waarschijnlijk al geregeld. De quickscan maakt zichtbaar wat er nog ontbreekt voor het niveau dat uw klant vraagt.
Bekijk hoe wij dit samen aanpakken ↓De aanpak
Hoe Nestor Security u naar het certificaat brengt
De norm beschrijft waaraan u moet voldoen, niet hoe u dat organiseert naast het gewone werk. Precies daar zit het verschil.
Zelf uitzoeken
Veel uitzoekwerk, onzeker resultaat
✕De norm zelf vertalen naar beleid, maatregelen en bewijsstukken
✕Kans op een verkeerd gekozen niveau of een gezakte audit
✕Elke beveiligingsvragenlijst van elke klant apart blijven beantwoorden
Met Nestor Security
Begeleid, praktisch en in één keer goed
✓Een quickscan die niveau, gaps en planning in één keer scherp zet
✓Wij schrijven mee aan beleid en richten de maatregelen met u in
✓U gaat voorbereid de audit in, met een bewijsdossier dat klopt
Het traject
In zes stappen naar het NIS2 Supply Chain certificaat
Afhankelijk van het niveau en uw uitgangssituatie duurt een traject doorgaans twee tot zes maanden. Wij begeleiden elke stap, van de eerste scan tot en met de auditdag.
Typische blokkade
Onduidelijk welk niveau uw klant verwacht en waar uw organisatie nu staat.
Hoe wij helpen
Wij toetsen uw rol in de keten en uw huidige maatregelen aan de norm.
Resultaat
Een gekozen niveau, een gap-overzicht en een realistische planning.
Stap 1
Quickscan en niveaukeuze
Wat er gebeurt:
Intake over uw diensten, klanten en contractuele eisen
Toets van bestaande maatregelen aan SC10, SC20 of SC30
Concreet overzicht van wat er ligt en wat nog ontbreekt
Advies over niveau, doorlooptijd en kosten
Waarom Nestor Security
Een partner die verder kijkt dan de auditdag
Het certificaat is drie jaar geldig, uw klantrelaties duren hopelijk langer. Daarom kiezen leveranciers voor een partner die er ook na de uitreiking nog is.
01
Thuis in de norm én de wet
Wij werken dagelijks met het keurmerkschema en volgen de Cyberbeveiligingswet op de voet. Zo mist u geen eisen en doet u niets dubbel.
02
Maatregelen op mkb-maat
Geen beleid van veertig pagina's, maar afspraken en techniek die passen bij de omvang van uw bedrijf en die de audit doorstaan.
03
Certificering en security onder één dak
Van dit keurmerk tot ISO 27001, securityscans en detachering van specialisten: u hoeft niet voor elke stap een nieuwe partij te zoeken.
04
Bewezen bij 500+ organisaties
Korte lijnen, een vast aanspreekpunt en trajecten die op tijd de audit halen, van klein mkb tot grote organisaties.
Herkent u dit?
✓Een klant stelt het certificaat als voorwaarde in een contract of aanbesteding.
✓De beveiligingsvragenlijsten van opdrachtgevers stapelen zich op.
✓U weet niet of SC10, SC20 of SC30 voor u geldt.
✓Er is van alles geregeld, maar er ligt weinig op papier.
✓Niemand heeft tijd om dit er structureel bij te doen.
Plan de gratis quickscanGratis en vrijblijvend. U weet binnen enkele dagen waar u staat.
De andere kant van de keten
Zelf NIS2-plichtig en grip nodig op uw leveranciers?
Dan werkt dit keurmerk twee kanten op. Door het certificaat op te nemen in uw inkoopvoorwaarden geeft u invulling aan de zorgplicht voor uw keten, zonder elke leverancier afzonderlijk te hoeven doorlichten. Wij helpen u die kant praktisch in te richten.
Stap A
Leveranciers in beeld
Wij inventariseren en classificeren uw leveranciers op risico, zodat duidelijk is wie welk niveau nodig heeft.
Stap B
Eisen in contracten
Wij helpen certificaateisen en beveiligingsafspraken op te nemen in inkoopvoorwaarden, contracten en SLA's.
Stap C
Toetsing en opvolging
Wij richten een werkwijze in om certificaten en afspraken periodiek te controleren en vast te leggen.
Zo voldoet u aan artikel 21 lid 2d zonder uw keten onnodig zwaar te belasten, en houden uw leveranciers een haalbaar perspectief.
Bespreek uw ketenaanpak met een specialist ↓Meer dan een certificaat
Uw keurmerk is het fundament voor de volgende stap
De maatregelen voor het keurmerk overlappen sterk met bredere normen. Wat u nu opbouwt, gebruikt u opnieuw zodra klanten of wetgeving meer vragen.
Uw fundament
NIS2 Supply Chain certificaat
Een onafhankelijk getoetst pakket maatregelen, met beleid, bewijsvoering en een meldproces. De kern waarop elke volgende norm voortbouwt.
Logische vervolgstap
+ ISO 27001
Vragen grotere klanten om de internationale norm voor informatiebeveiliging? Uw keurmerkmaatregelen dekken daarvan al een flink deel af.
Levert u aan de zorg?
+ NEN 7510
Voor leveranciers in de zorgketen combineren wij het keurmerk met de zorgspecifieke norm tot één traject.
Valt u zelf onder de wet?
+ Cyberbeveiligingswet
Groeit uw organisatie de wet in, of blijkt u toch NIS2-plichtig? Dan bouwen we uw fundament uit naar volledige naleving, inclusief meldplicht en registratie.
Succesverhalen
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
Meer weten over NIS2 Supply Chain?
Maak kennis met Nestor Security
Uw vragen beantwoord
FAQs
Wat is het NIS2 Supply Chain certificaat?
Het NIS2 Supply Chain certificaat is een keurmerk waarmee leveranciers aantonen dat hun cybersecurity voldoet aan de eisen die voortvloeien uit de NIS2-richtlijn. Het is ontwikkeld door de Stichting Kwaliteitsinnovatie samen met een tiental brancheorganisaties en wordt getoetst door een onafhankelijke certificerende instelling. Tot begin 2026 heette het keurmerk NIS2 Quality Mark; het gaat om hetzelfde certificaat.
Wat is het verschil tussen SC10, SC20 en SC30?
SC10 is het basisniveau, bedoeld voor leveranciers met een beperkt risicoprofiel. SC20 geldt voor bedrijven met een verhoogd risico door hun rol of toegang, zoals ICT-dienstverleners en partijen met toegang tot gevoelige data of OT-omgevingen. SC30 is het hoogste niveau, voor kritieke schakels in de keten. Hoe groter de impact van uw dienst op de klant, hoe hoger het niveau. Tijdens de quickscan stellen we samen vast welk niveau bij uw situatie en klanteisen past.
We hebben al ISO 27001 of NEN 7510. Wat betekent dat?
Dan bent u vrijgesteld van de keurmerkeisen die uw bestaande norm al afdekt en wordt het traject aanzienlijk korter. In sommige gevallen accepteert uw klant uw huidige certificaat al als voldoende bewijs. Dat toetsen we eerst, zodat u geen dubbel werk doet.
Een klant vraagt om ISO 27001. Is NIS2 Supply Chain compliance ook een optie?
Vaak wel. ISO 27001 is voor veel leveranciers zwaarder en duurder dan hun rol in de keten rechtvaardigt. Het NIS2 Supply Chain certificaat is juist ontwikkeld als haalbaar alternatief voor toeleveranciers en wordt door steeds meer opdrachtgevers geaccepteerd. Ga daarover wel het gesprek aan met uw klant. Wij leveren de onderbouwing en denken mee over wat in uw situatie verstandig is.
Onze organisatie valt onder de Cyberbeveiligingswet. Is NIS2 Supply Chain voldoende?
Nee. Valt uw organisatie zelf onder de wet, dan gelden de zorgplicht, meldplicht en registratieplicht rechtstreeks en is er meer nodig dan het keurmerk alleen. SC30 is in dat geval het minimale certificeringsniveau in de keten. Wij begeleiden ook volledige NIS2-trajecten, van quickscan tot aantoonbare naleving.