Eind december vorig jaar werd ik gebeld door een cliënt die alles op orde leek te hebben. MFA uitgerold, medewerkers getraind, incident response plan getest. En toch lag de productie drie dagen stil. Niet door een aanval op de eigen systemen, maar doordat een toeleverancier – een partij waar niemand in de directie ooit een seconde aan had gedacht – was gecompromitteerd. De eigen weerbaarheid was op orde, maar hoe weerbaar de keten was waarbinnen de onderneming opereert was nooit onderwerp van gesprek geweest. Daar was nooit onderzoek naar gedaan, laat staan dat daarmee in contracten rekening was gehouden.
Uw continuïteit hangt af van partijen die u niet kent
In mijn vorige blog kondigde ik aan nader in te gaan op ketenverantwoordelijkheid. Deze casus laat zien waarom dat nodig is. Ondernemingen zijn de afgelopen jaren verweven geraakt met tientallen, soms honderden leveranciers en dienstverleners: cloudplatforms, softwareleveranciers, logistieke partners, betaaldienstverleners. Hoeveel bestuurders kunnen die keten benoemen? En hoeveel van hen weten welke schakels kritiek zijn voor de continuïteit van hun onderneming? In mijn praktijk is het antwoord op beide vragen zelden geruststellend. De reflex is begrijpelijk: met de leverancier is immers een contract gesloten, met SLA’s en boetebedingen. Maar een boetebeding houdt de productie niet draaiende. En een schadevergoeding – als die al te verhalen valt – compenseert zelden de werkelijke schade, laat staan de reputatieschade.
NIS2 maakt de keten onderdeel van de zorgplicht
De wetgever heeft dit onderkend. De NIS2-richtlijn en de Cyberbeveiligingswet (Cbw) verplichten ondernemingen niet alleen de eigen digitale weerbaarheid op orde te brengen, maar maken hen ook verantwoordelijk voor de beveiliging van de toeleveringsketen. Wie zijn ketenrisico’s niet in kaart brengt en beheerst, voldoet dus niet. Wie geen afspraken heeft gemaakt met ketenpartners over hun risicomanagement en de daarop afgestemde zorgplichtmaatregelen, kan niet aan NIS2 en de Cbw voldoen. En zoals ik eerder schreef: bestuurders kunnen daarvoor persoonlijk aansprakelijk worden gesteld, aldus de NIS2-richtlijn. De keten is daarmee niet langer een inkoopvraagstuk, maar een bestuurlijk vraagstuk.
Toezichthouders en beroepsorganisaties zeggen het ook
De publieke management letter van februari 2026 van de NBA, de NOREA en het IIA laat aan duidelijkheid weinig te wensen over. Zij adviseren om realistische ketenoefeningen uit te voeren met bestuur, toezicht, leveranciers en partners, gericht op uitval van technologie, data, logistiek of kritieke functies. Ook bevelen zij aan om de continuïteit en weerbaarheid van cruciale ketenpartners te beoordelen. Niet eenmalig bij het aangaan van het contract, maar doorlopend. Wie dat advies naast de gemiddelde bestuursagenda legt, ziet een kloof. Nu de Cbw is aangenomen door de Eerste Kamer en per 15 augustus a.s. in werking treedt, ontkomen directies en bestuurders er niet meer aan om ook dit onderwerp regelmatig terug te laten keren aan de directietafel.
Vertrouwen is goed, oefenen is beter
Wat betekent dit concreet? Drie dingen. Breng ten eerste de keten in kaart en bepaal welke schakels kritiek zijn voor de continuïteit. Beoordeel ten tweede de weerbaarheid van die kritieke partners – vraag door, vraag om aantoonbare maatregelen, en neem geen genoegen met een keurmerk op de website. Beoordeel ook of de contracten die zijn gesloten met ketenpartners nog steeds voldoen. Zijn er afspraken gemaakt over risicomanagement, passende zorgplichtmaatregelen en het regelmatig overleggen van bewijs dat de maatregelen ook hebben gewerkt? Dekken de aansprakelijkheidsbepalingen nog steeds voldoende de risico’s? Oefen ten derde het scenario waarin een kritieke schakel uitvalt, samen met die schakel. Papier is geduldig; een oefening maakt duidelijk of de gemaakte afspraken voldoende zijn en of partijen voldoende op elkaar zijn ingespeeld om een eventuele crisis het hoofd te bieden.
De keten begint aan de bestuurstafel
Mijn cliënt heeft de les inmiddels getrokken. De kritieke leveranciers zijn in kaart gebracht, de eerste ketenoefening staat gepland en het onderwerp staat voortaan op de agenda van elke directievergadering. Dat had ook eerder gekund. Uiteraard. Maar belangrijker is dat het nu gebeurt. Als advocaat zal ik ondernemingen blijven bijstaan wanneer een ketenpartner hen in de problemen brengt. Als trusted advisor zie ik het als mijn verantwoordelijkheid om bestuurders erop te wijzen dat zij daar niet op hoeven te wachten: de zwakste schakel bevindt zich zelden in je eigen bedrijf. Met de komst van NIS2 en de Cbw hebben bestuurders daarvoor wel een veel grotere verantwoordelijkheid gekregen.