Wie stelt uw eerste Cbw-vraag? Waarschijnlijk uw grootste klant

De wet geldt sinds zaterdag. Drie dagen.

In die drie dagen is er nog niemand iets gevraagd. Geen toezichthouder heeft een dossier geopend, er is geen handhavingspraktijk, geen jurisprudentie, geen eerste boete waaraan u uw voorbereiding kunt ijken. Wie u vandaag vertelt wat een toezichthouder als eerste zal vragen, gokt. Ik ook, als ik het zou doen.

Dus laat ik die vraag liggen en een andere stellen. Wie belt er als eerste?

Toezicht komt langzaam op gang. Inkoop niet

Een toezichthouder moet mensen aannemen, entiteiten indelen, een werkwijze inrichten en prioriteren. Dat kost maanden. Zo werkt het bij elke nieuwe wet, en er is geen reden om aan te nemen dat het hier anders gaat.

De inkoopafdeling van uw grootste klant heeft geen van die dingen nodig. Die heeft dezelfde nieuwsberichten gelezen als u, en die kan volgende week een vragenlijst sturen.

Dat volgt rechtstreeks uit de vijfde verplichting van de Cbw: ketenrisicobeheer. Entiteiten die onder de wet vallen moeten de risico’s van hun leveranciers beoordelen en beheersen. Als u levert aan een essentiële of belangrijke entiteit, bent u vanaf zaterdag onderdeel van iemand anders zijn huiswerk. Hun deadline is uw deadline geworden, en niemand heeft u daarover gebeld.

Voor Microsoft-partners, MSP’s en iedereen die beheertoegang heeft tot een omgeving van een klant is dat de hele kern. U valt misschien zelf niet onder de wet. Uw klant wel, en die moet u kunnen beoordelen.

‘Wij vallen er niet onder’

Dat hoor ik veel. Soms klopt het ook.

‘Wij zijn geen essentiële entiteit, wij hebben hier niks mee te maken.’ Prima. Maar de vraag die binnenkomt gaat niet over uw indeling, die gaat over die van uw klant. En ‘wij vallen er zelf niet onder’ is geen antwoord op ‘kunt u aantonen hoe u onze omgeving beveiligt’. Het is een antwoord op een andere vraag.

Twijfelen of u in scope zit is trouwens een goed teken. Dan heeft u er over nagedacht. De leveranciers die er zeker van zijn dat ze buiten schot blijven, staan er het slechtst voor.

Waar zo’n vragenlijst op stukloopt

Een leveranciersvragenlijst is meestal te doen. Beleid, certificeringen, een verwerkersovereenkomst, een contactpersoon voor incidenten. Papierwerk, en papierwerk kunt u leveren.

De vragen die pijn doen gaan over de werkelijke inrichting. Hoe is de omgeving van deze klant gescheiden van die van anderen. Wie kan er vandaag bij, en met welke rechten. Wat wordt er gelogd, hoe lang, en kan iemand daar iets aan veranderen. Welke hersteltijd haalt u werkelijk, in plaats van de hersteltijd die in de offerte staat.

Het antwoord daarop staat in de tenant. En het verandert zonder dat iemand het opschrijft.

‘Dat klopt niet, dat hebben wij wel’

Ik heb een keer een omgeving beoordeeld waarbij de klant tijdens de terugkoppeling volhield dat ik het mis had. Niet boos, gewoon volstrekt zeker van zijn zaak. En vanuit zijn stoel klopte het ook, want alles wat hij noemde bestond echt.

Ze hadden VNets. Hun services waren er alleen niet aan gekoppeld.

Ze hadden netwerkbeveiliging, zeiden ze. Er stond geen enkele network security group.

Ze deden aan Zero Trust. Nergens werd een managed identity gebruikt.

Ze hadden logging. Geen van de applicaties schreef er iets naartoe, dus viel er ook niets in te zien.

En ze hadden DDoS Network Protection aanstaan. Op VNets waar niets in stond.

Die laatste vat de andere vier samen. Ze betaalden echt geld om leegte te beschermen.

Vijf keer dezelfde fout, en het is niet de fout die u zou verwachten. Er werd niet gelogen en er was niet geslapen. Elk onderdeel was aangeschaft, aangezet en afgevinkt. Het was alleen nergens op aangesloten. Het verschil tussen ‘wij hebben het’ en ‘het staat in het pad’ is het verschil tussen hun antwoord en hun omgeving, en op een vragenlijst zien die twee er identiek uit.

Daar zit het echte ketenrisico. Leveranciers antwoorden te goeder trouw, vanuit een beeld van hun eigen omgeving dat niet klopt. Uw klant gaat u binnenkort om zo’n verklaring vragen. U geeft hem eerlijk. De vraag is of iemand het heeft nagekeken voordat u tekende.

Wat u deze week kunt doen

De verleiding is om te wachten tot er duidelijkheid komt over toezicht. Dat is ook niet onredelijk, want die duidelijkheid komt er. Alleen komt de vragenlijst eerder.

U hoeft daar uw hele zorgplichtdossier niet voor af te hebben. U moet vier dingen kunnen beantwoorden zonder eerst een week te gaan uitzoeken: hoe de omgeving is gescheiden, wie er beheerrechten heeft, wat er gelogd wordt en hoe lang, en wat er gebeurt als het misgaat. Meet die vier tegen wat er nu draait, niet tegen wat er ontworpen is. Waar het verschilt, leg het vast met een datum erbij.

Dat vastgelegde verschil is meer waard dan een beleidsstuk zonder gaten. Een klant die vraagt of u in control bent, gelooft een eerlijk gat met een datum eerder dan een document dat nergens over twijfelt.

Ik ben Platform Architecture Authority gaan bouwen omdat ik dit verschil te vaak met de hand zat uit te zoeken: het ontwerp op papier naast de configuratie die er werkelijk draait, en dan zelf de gaten opschrijven. Dat is leeswerk dat een machine beter volhoudt dan ik.

Kort samengevat

• De Cbw geldt sinds 15 augustus 2026. Er is nog geen toezichtpraktijk, en iedereen die zegt te weten wat een toezichthouder als eerste vraagt, gokt.
• Ketenrisicobeheer is de verplichting die het snelst bij u terechtkomt. Levert u aan een essentiële of belangrijke entiteit, dan wordt u beoordeeld, ook als u zelf niet in scope bent.
• De eerste echte vraag komt daarom waarschijnlijk uit een inkoopafdeling, niet uit een toezichtbrief.
• Vragenlijsten stranden op de vier vragen waar alleen de configuratie antwoord op geeft: scheiding, beheerrechten, logging, herstel.
• De meeste foute antwoorden zijn eerlijk. Een control is aangeschaft en aangezet, maar staat nergens in het pad: VNets zonder gekoppelde services, DDoS-bescherming op lege VNets. Op een vragenlijst is dat niet te zien.
• Meet die vier tegen de draaiende omgeving en leg de gaten vast met een datum. Een eerlijk gat overtuigt beter dan een sluitend document.

Veelgestelde vragen

Sinds wanneer geldt de Cyberbeveiligingswet?

Sinds 15 augustus 2026, samen met de Wet weerbaarheid kritieke entiteiten. De Cbw is de Nederlandse omzetting van NIS2 en vervangt de Wet beveiliging netwerk- en informatiesystemen. Zie Cyberbeveiligingswet treedt op 15 augustus 2026 in werking voor de vijf verplichtingen die vanaf die datum gelden.

Wij zijn geen essentiële of belangrijke entiteit. Raakt de Cbw ons dan?

Indirect wel, via het ketenrisicobeheer van uw klanten. Entiteiten die onder de wet vallen moeten de risico’s van hun leveranciers beoordelen en beheersen. Levert u diensten of beheer aan zo’n entiteit, dan wordt u onderdeel van hun beoordeling, ongeacht uw eigen indeling. Zie ook NIS2 en supply chain-beveiliging op Azure.

Wat vraagt een toezichthouder als eerste?

Dat is op dit moment niet bekend. De wet is net in werking getreden en er is nog geen toezicht- of handhavingspraktijk. Voorbereiding die alleen op een verwachte toezichtvraag is gericht, richt zich op een onbekende op een onbekende termijn.

Welke vragen uit een leveranciersvragenlijst kunt u niet met beleid beantwoorden?

Vragen over de werkelijke configuratie: hoe omgevingen van elkaar gescheiden zijn, welke beheeraccounts toegang hebben en met welke rechten, wat er gelogd wordt en hoe lang dat bewaard blijft, en welke hersteltijd aantoonbaar haalbaar is. Het antwoord daarop staat in de tenant en verandert zonder dat iemand het opschrijft.

Moet het zorgplichtdossier af zijn voordat u een vragenlijst kunt beantwoorden?

Nee. Bruikbaarder is om de vier bovenstaande punten te meten tegen de omgeving die nu draait en de afwijkingen vast te leggen met een datum. Een gedocumenteerd gat is een beter antwoord dan een document dat de omgeving niet beschrijft.