Stap 1 — Organisatiecontext & opdrachtkader
Valt uw organisatie als entiteit onder de Cbw? Essentiële entiteiten staan in Bijlage I, Belangrijke entiteiten in Bijlage II van de aanwijzingsregeling.
Worden via dit contract persoonsgegevens verwerkt door de leverancier namens uw organisatie? Bij ‘ja’ worden AVG art. 28/32 privacy-eisen en een VWO bijlage 2-checklist toegevoegd als extra tab.
Bijzondere persoonsgegevens (AVG art. 9 lid 1): gezondheid · biometrische gegevens (unieke identificatie) · genetische gegevens · ras of etnische afkomst · religieuze of levensbeschouwelijke overtuigingen · politieke opvattingen · vakbondslidmaatschap · seksueel gedrag of seksuele gerichtheid.
Vergelijkbaar streng regime (niet art. 9): BSN (UAVG art. 46 — gebruik uitsluitend ter uitvoering van de desbetreffende wet) · strafrechtelijke gegevens (AVG art. 10 / UAVG art. 33).
Bijzondere persoonsgegevens (AVG art. 9 lid 1): gezondheid · biometrische gegevens (unieke identificatie) · genetische gegevens · ras of etnische afkomst · religieuze of levensbeschouwelijke overtuigingen · politieke opvattingen · vakbondslidmaatschap · seksueel gedrag of seksuele gerichtheid.
Vergelijkbaar streng regime (niet art. 9): BSN (UAVG art. 46 — gebruik uitsluitend ter uitvoering van de desbetreffende wet) · strafrechtelijke gegevens (AVG art. 10 / UAVG art. 33).
Verwerkt uw organisatie ook patiënt- of zorggegevens (Wkkgz / Begz)? Activeert NEN 7510 als additioneel kader naast BIO2.
Betreft dit een opdracht van of voor de Rijksoverheid? Activeert de ABRO 2026 voor alle opdrachten met een aangewezen Te Beschermen Belang.
Bepaalt welke D3-eisen van toepassing zijn (PRODUCTEN vs DIENSTEN) en het risicoprofielgewicht in D2.
ⓘ COTS-product en maatwerkproduct zijn on-premise / client-hosted oplossingen (geen cloud). SaaS, IaaS/PaaS en Managed dienst activeren cloud-specifieke eisen.
Het risicoprofiel bepaalt welke D2-leverancierseisen van toepassing zijn en het detailniveau van de D3-eisen.
Het hoogste risico is altijd maatgevend — gebruik nooit een gemiddelde.
G0 · Heeft u al een BIA of risicoanalyse uitgevoerd voor deze leverancier of dienst?
ⓘ Legenda & Afkortingen — wet- en regelgeving, normen, technische begrippen
UV (EU) 2024/2690 — Uitvoeringsverordening technische vereisten NIS2
Voluit: Uitvoeringsverordening (EU) 2024/2690 van de Europese Commissie houdende nadere regels betreffende technische en methodologische vereisten inzake cyberbeveiligingsmaatregelen op grond van art. 21 NIS2-richtlijn. In werking getreden 17 oktober 2024.
| Bijlage / artikel | Inhoud |
|---|---|
| Bijlage 5.1.4 | Supply chain security — eisen inzake beveiliging van de toeleveringsketen |
| — sub a | Beveiligingsbeleid voor leveranciers en dienstverleners vaststellen |
| — sub b | Risicoanalyse van de toeleveringsketen uitvoeren |
| — sub c | Screening van personeel van leveranciers met toegang tot systemen of data |
| — sub d | Meldplicht incidenten en kwetsbaarheden bij leverancier richting de organisatie |
| — sub f | Kwetsbaarheidsbeheer bij de leverancier (ontdekking, registratie, beoordeling, herstel — met aantoonbare termijnen) |
| — sub g | Ketenbeveiliging: beveiligingseisen doorwerken naar sub-leveranciers (aantoonbaar, niet alleen contractclausule) |
| — sub h | Exit en datavernietiging: bewijs van veilige overgang of verwijdering van data bij contracteinde |
Wet- en regelgeving
| Afkorting | Volledige naam en toelichting |
|---|---|
| BIO2 | Baseline Informatiebeveiliging Overheid 2 (v1.3, definitief 5 maart 2026) — verplicht voor alle overheidsorganisaties in NL; 169 maatregelen gebaseerd op ISO 27002:2022 |
| Cbw | Cyberbeveiligingswet — Nederlandse implementatie van de NIS2-richtlijn (EU) 2022/2555; treedt formeel in werking op 15 augustus 2026. Art. 21 = zorgplicht; Art. 23 = ontheffing zorgplicht; Art. 25 = meldplicht significante incidenten |
| Cbb | Cyberbeveiligingsbesluit — AMvB bij de Cbw; art. 10 = leverancierseisen; art. 11 = product- en diensteisen |
| CRA | Cyber Resilience Act — Verordening (EU) 2024/2847 inzake horizontale cyberbeveiligingseisen voor producten met digitale elementen. Art. 13 = fabrikantverplichtingen; art. 14 = meldplicht kwetsbaarheden; Bijlage I = essentiële eisen. Meldplicht actief misbruikte kwetsbaarheden per 11-09-2026; CE-markering per 11-12-2027 |
| AVG | Algemene Verordening Gegevensbescherming (GDPR) — Verordening (EU) 2016/679; toezicht door Autoriteit Persoonsgegevens (AP) |
| ABRO | Algemene Beveiligingseisen Rijksopdrachten 2026 — van toepassing op alle Rijksoverheidsopdrachten met een aangewezen Te Beschermen Belang (TBB); geen sectorale keuze maar altijd meenemen bij Rijksoverheid |
| Wkkgz | Wet kwaliteit, klachten en geschillen zorg — stelt kwaliteits- en veiligheidseisen aan zorgaanbieders; art. 4 = kwaliteitsnorm; art. 24 = toezicht IGJ |
| Begz | Besluit elektronische gegevensverwerking door zorgaanbieders — stelt technische eisen aan systemen die medische gegevens verwerken |
| MDR | Medical Device Regulation — Verordening (EU) 2017/745 inzake medische hulpmiddelen; vereist CE-markering voor producten met medische functie |
| NEN 7510 | NEN 7510-1/2:2024+A1:2026 — Nederlandse norm voor informatiebeveiliging in de gezondheidszorg; spiegelt ISO 27002 met additionele zorgspecifieke controls (HLT §5.38–5.43, §6.9, §8.35); certificering via NCS 7510 (RvA-geaccrediteerd, getoetst door IGJ) |
Technische begrippen
| Begrip | Betekenis |
|---|---|
| SBOM | Software Bill of Materials — machineleesbare inventaris van alle softwarecomponenten, afhankelijkheden en versies in een product; vereist door CRA Bijlage I |
| MFA | Multi-Factor Authenticatie — aanmelding met minimaal twee onafhankelijke factoren (weten + hebben of zijn) |
| SIEM | Security Information and Event Management — platform voor centrale verzameling, correlatie en analyse van beveiligingslogbestanden |
| SDLC | Software Development Life Cycle — gestructureerd ontwikkelproces inclusief beveiligingsfasen (requirements, design, code review, testen, release) |
| RBAC | Role-Based Access Control — toegangsbeheer waarbij rechten worden toegekend op basis van rol, niet op individueel niveau; ondersteunt least-privilege principe |
| DPIA | Data Protection Impact Assessment (gegevensbeschermingseffectbeoordeling) — verplicht ex AVG art. 35 bij hoog-risicoverwerkingen van persoonsgegevens |
| RTO | Recovery Time Objective — maximaal acceptabele hersteltijd na een incident of uitval |
| RPO | Recovery Point Objective — maximaal acceptabel dataverlies uitgedrukt in tijd (tot welk tijdstip moet data herstelbaar zijn) |
| ISAE 3402 | International Standard on Assurance Engagements 3402 — assurance-rapport over interne beheersing bij IT-dienstverleners; Type I = opzet en bestaan, Type II = ook werking getest |
| SOC 2 | Service Organization Control 2 — Amerikaans audit-raamwerk voor cloud-dienstverleners; Type II omvat getoetste werking over een periode; relevant naast ISO 27001 voor cloud |
| NCS 7510 | Nederlands Certificatieschema voor NEN 7510 — RvA-geaccrediteerd certificatieschema voor informatiebeveiliging in de zorg; IGJ hanteert dit schema bij toezicht op zorgaanbieders en hun IT-leveranciers |
⚠ Disclaimer — geen juridisch advies
Dit hulpmiddel is uitsluitend bedoeld als praktische ondersteuning bij bewustwording en voorbereiding rondom leverancierseisen bij overheidsinkoop. Het vormt geen juridisch advies en vervangt dat niet.
PDCS en de auteur aanvaarden geen aansprakelijkheid voor beslissingen, handelingen of nalatigheden die geheel of gedeeltelijk zijn gebaseerd op de inhoud van dit hulpmiddel, ongeacht volledigheid, juistheid of actualiteit.
De toepasselijke wet- en regelgeving is op onderdelen nog in ontwikkeling of nog niet in werking getreden; de inhoud is gebaseerd op de stand van zaken per publicatiedatum en kan verouderd zijn.
De risicoanalyse ex Cbb art. 7 is altijd organisatie- en opdracht-specifiek — dit hulpmiddel ondersteunt de voorbereiding maar vervangt die analyse niet.
Voor juridische vragen: raadpleeg een juridisch adviseur.
Transparantie over AI-gebruik: Deze tool is ontwikkeld met ondersteuning van Claude (Anthropic) via Claude Cowork.
De structuur, grondslagen en maatregelenlijst zijn door Kees Hintzbergen (PDCS) inhoudelijk getoetst aan de toepasselijke wet- en regelgeving
(Cbw, Cbb, BZK-regeling, BIO2 v1.3, ISO 27001/27002, NEN 7510-2:2024+A1:2026, UV 2024/2690). AI ondersteunde het bouwen, niet het juridisch redeneren. v5 voegt BIA-integratie en sturende risicovragen toe.