Van NIS2 Quality Mark naar NIS2 Supply Chain
Het keurmerk heette eerder NIS2 Quality Mark. Stichting Kwaliteitsinnovatie heeft de naam veranderd naar NIS2 Supply Chain. De niveaus QM10, QM20 en QM30 zijn daarbij hernoemd naar SC10, SC20 en SC30. Volgens de stichting veranderden inhoud, werkwijze en certificering niet door deze naamswijziging.
U kunt in een ouder contract dus nog een eerdere naam tegenkomen. Controleer met uw opdrachtgever welk niveau, welke scope en welke versie van het schema hij bedoelt. Dat gesprek helpt voorkomen dat verschillende partijen langs elkaar heen werken terwijl zij hetzelfde bewijs proberen af te spreken.
Een leverancierskeurmerk is iets anders dan de wet
De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. Organisaties binnen de reikwijdte hebben eigen verplichtingen. Zij moeten ook aandacht besteden aan risico's in hun leveranciersketen. Daardoor kunnen hun leveranciers vragen krijgen over beveiliging en bewijs.
Het NIS2 Supply Chain-keurmerk is een private certificeringsroute voor die leveranciersvraag. Het is geen algemene wettelijke certificaatplicht voor ieder bedrijf. Het bezit ervan bepaalt ook niet of uw eigen organisatie onder de Cyberbeveiligingswet valt of al haar wettelijke verplichtingen heeft vervuld.
Bepaal eerst wat uw opdrachtgever van u verwacht
Het niveau moet passen bij de gevraagde zekerheid en uw rol in de keten. Heeft u toegang tot systemen van klanten? Verwerkt u belangrijke of vertrouwelijke informatie? Kan uitval van uw dienstverlening een proces bij de klant stilleggen? Deze vragen zijn relevanter dan uitsluitend het aantal medewerkers.
We helpen u de contractuele vraag te verduidelijken voordat u een implementatietraject vastlegt. Staat SC20 expliciet in de aanvraag, vraag dan ook naar de diensten die onder het bewijs moeten vallen en of ander aantoonbaar bewijs wordt geaccepteerd. De definitieve beoordeling volgt de actuele regels van het schema.
Sluit aan op de maatregelen die er al zijn
Veel organisaties hebben al afspraken over toegang, updates, back-ups en incidenten. De eerste stap is zichtbaar maken hoe dat is geregeld en wat daarvan aantoonbaar is. Een bestaand beleid kan bruikbaar zijn, maar moet aansluiten op de feitelijke werkwijze en verantwoordelijkheden.
Een illustratief voorbeeld: uw IT-leverancier verzorgt back-ups, maar niemand heeft vastgesteld wie herstel mag starten of wanneer dat is getest. Dan zit het knelpunt niet alleen in techniek. U heeft ook duidelijke afspraken, een verantwoordelijke en begrijpelijk bewijs nodig. De nulmeting maakt zulke open punten concreet.
Maak afspraken die de keten echt ondersteunen
We helpen de verbeteringen vertalen naar handelingen: toegang beheren, medewerkers informeren, incidenten escaleren en belangrijke eigen leveranciers beoordelen. Per onderwerp maken we zichtbaar wie uitvoert, wie beslissingen neemt en waar bewijs beschikbaar is. Uw organisatie en IT-partijen blijven betrokken bij hun eigen verantwoordelijkheden.
De afspraken met uw opdrachtgever verdienen daarbij aandacht. Wie meldt een incident aan wie? Welke contactgegevens zijn actueel? Wat wordt verwacht bij een storing of wijziging in de dienstverlening? Leg toezeggingen zo vast dat uw team ze ook kan waarmaken.
Bereid de audit voor zonder de uitkomst te beloven
Een goede voorbereiding betekent dat medewerkers hun eigen werkwijze kunnen toelichten en relevante bewijsstukken terugvinden. We controleren met u of verbeteracties zijn afgerond, of de scope nog klopt en welke onderwerpen extra aandacht vragen. Vragen of onduidelijkheden stemmen we tijdig af.
Datajuristen ondersteunt de implementatie en voorbereiding. Wij presenteren ons niet als erkend auditpartner of certificaatuitgever voor dit schema. Voor formele toetsing worden de actuele bevoegdheden en voorwaarden van de betreffende audit- of certificatiepartij gecontroleerd. Een zelfcheck op onze website is geen officiële schema-audit.
Kies een route die ook na de klantvraag bruikbaar blijft
Soms past een leverancierskeurmerk bij de actuele vraag; soms vragen meerdere klanten om ISO 27001 of andere vormen van zekerheid. We helpen de overlap in maatregelen en bewijs te benutten. Het doel is dat u niet voor iedere nieuwe aanvraag dezelfde organisatie opnieuw hoeft te beschrijven.
Na het traject blijven wijzigingen, incidenten en leveranciers aandacht vragen. Leg vast wie de afspraken onderhoudt, wanneer ze worden geëvalueerd en hoe nieuwe klantvereisten worden beoordeeld. Bespreek eventuele vervolgtoetsen en geldigheidsvoorwaarden met de formele certificatiepartij.
Zo pakken we het aan
Een duidelijke stap, op het juiste moment.
- 1
Vraag verduidelijken
Welk niveau, welke dienst en welk bewijs verwacht de opdrachtgever?
- 2
Startpunt onderzoeken
We bekijken aanwezige afspraken, maatregelen en uitvoeringsbewijs.
- 3
Gaten oplossen
Eigenaren werken gericht aan de benodigde verbeteringen.
- 4
Formele toets voorbereiden
Uw dossier en team worden voorbereid op de bevoegde auditpartij.
Nog een vraag?
Veelgestelde vragen
Is SC10 of SC20 wettelijk verplicht voor alle leveranciers?
Nee. Het keurmerk is een private certificeringsroute. Een opdrachtgever kan dit bewijs contractueel vragen. De eigen wettelijke toepasselijkheid van de Cyberbeveiligingswet wordt afzonderlijk beoordeeld.
Bedoelt u met SC10 en SC20 hetzelfde als SOC 2?
Nee. SC10 en SC20 zijn niveaus van NIS2 Supply Chain. SOC 2 is een afzonderlijke assurancevorm voor beheersing bij serviceorganisaties. De namen lijken op elkaar, maar de doelen en onderzoeken verschillen.
Bepaalt de online check welk niveau wij moeten halen?
Nee. De check geeft een eerste beeld van uw voorbereiding. De klantvraag, uw dienstverlening en de actuele schema-eisen bepalen de vervolgstappen. Een check vervangt geen scopebespreking of formele audit.
Kunnen wij maatregelen uit ISO 27001 hergebruiken?
Bestaande afspraken en bewijs kunnen bruikbaar zijn. Eerst moet worden beoordeeld of scope en inhoud aansluiten op het gevraagde niveau. Een automatische gelijkstelling tussen certificaten of schema's beloven we niet.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.
