Buiten het toezicht, niet buiten het risico

Op enig moment ligt er een verlenging op tafel. Het contract met de partij die uw systemen draait, uw gegevens bewaart of uw bedrijfsvoering ondersteunt. Alles werkt, er zijn geen klachten, er is geen aanleiding. U tekent.

Dat is een besluit. Het voelt alleen niet als een besluit, want er is niets veranderd. En juist daarom is het er een: door te tekenen bevestigt u een afhankelijkheid die niemand opnieuw heeft gewogen sinds hij ontstond.

In juli 2026 verschenen twee adviezen die hierover gaan. De Cyber Security Raad waarschuwde het kabinet over de continuïteit van telecom- en internetnetwerken. Vijf toezichthouders riepen overheid en bedrijfsleven op sneller werk te maken van digitale autonomie.

Beide stukken zijn de moeite waard. Beide gaan over iemand anders.

Ze gaan over nationale infrastructuur, over de rijksoverheid, over vitale sectoren en financiële instellingen. Over inkoopmacht en Europese alternatieven. Het bedrijf met vijftig medewerkers komt er niet in voor terwijl de afhankelijkheid daar niet kleiner is. Vaak is die juist absoluter, omdat er minder is om op terug te vallen.

Het verschil zit niet in de mate van afhankelijkheid. Het verschil is dat er bij u niemand langskomt die ernaar vraagt.

Waarom dit nu speelt

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Ruim achtduizend Nederlandse organisaties krijgen dan nieuwe verplichtingen. Twee daarvan zijn bestuurlijk en niet technisch: het bestuur is eindverantwoordelijk voor de beheersing van cyberrisico, en bestuurders moeten voldoende kennis hebben om risico's en maatregelen zelf te kunnen beoordelen.

Voor een deel van het middenbedrijf geldt dat vanaf die datum. Voor een ander deel geldt het niet. En een aanzienlijke groep heeft nog niet vastgesteld tot welke van die twee zij behoort. De overheid legt die vraag nadrukkelijk bij de organisatie zelf neer: u bent zelf verantwoordelijk om te toetsen of u eronder valt.

Dat toetsen is dus al een bestuurlijke handeling. Wie eronder valt, weet dat er een norm geldt en dat zijn bestuur daarop aanspreekbaar is. Wie erbuiten valt, weet dat hij zijn eigen norm moet stellen. Wie het niet weet, heeft geen van beide.

En daar zit de kern. Buiten de wet vallen verkleint het risico niet. Het betekent alleen dat niemand het voor u agendeert, en dat er geen datum is waarop het moet.

Waarom dit bestuurlijk relevant is

De vraag is niet of u tevreden bent over uw leverancier. De vraag is of u kunt aantonen dat overstappen mogelijk is als dat nodig wordt. En of dat ooit is getest, of alleen op papier staat.

Dat onderscheid is bestuurlijk, niet technisch. Een contract met een leverancier is een operationele beslissing. Het aanvaarden van het risico dat eronder zit, zonder alternatief en zonder geteste uitweg, is een bestuursbeslissing. Ook als niemand hem zo heeft genoemd.

Er is één onderscheid dat de meeste organisaties niet maken: niet elk proces vraagt hetzelfde. Een systeem waar u een week zonder kunt, verdient een andere afweging dan het systeem waar uw facturatie op stilvalt. Wie dat verschil niet expliciet maakt, behandelt alles stilzwijgend als niet-kritiek.

Dat kost geen inkoopafdeling en geen compliancefunctie. Het kost een gesprek waarin de vraag wordt gesteld.

Wat ik typisch zie

• de keuze voor deze leverancier is jaren geleden gemaakt, door iemand die er niet meer werkt, en sindsdien nooit heroverwogen
• het plan om over te stappen is ooit opgesteld omdat een klant erom vroeg, en sindsdien nooit getest
• in de directie weet niemand precies wat er in het contract staat over beëindiging en teruggave van gegevens
• de vraag "wat als zij omvallen" is nooit gesteld, juist omdát de leverancier al jaren goed levert
• er is een verzekering, en niemand heeft uitgezocht wat die dekt als de uitval bij de leverancier ligt en niet bij u
• één partij draagt meerdere onmisbare functies tegelijk, zonder dat iemand dat ooit als concentratie heeft benoemd
• bij de vorige bestuurswissel is deze afhankelijkheid niet overgedragen, want zij stond nergens
• niemand kan zeggen of de organisatie onder de nieuwe wetgeving valt
• er wordt aangenomen dat dit soort vragen alleen bij grotere organisaties speelt
• de vraag komt pas op tafel wanneer een klant, een verzekeraar of een overnamekandidaat ernaar vraagt, en dan onder tijdsdruk.

Het patroon is niet dat organisaties voor afhankelijkheid kiezen. Het is dat de vraag nooit is gesteld. En wie hem niet stelt, heeft hem al beantwoord.

Welke vragen dit oproept

• Welke processen mogen niet stilvallen, en hoe lang is niet stilvallen precies?
• Van welke leveranciers zijn die processen afhankelijk?
• Draagt één partij meerdere van die onmisbare functies tegelijk?
• Bestaat er per kritieke leverancier een plan om over te stappen?
• Is dat plan ooit getest, en waaruit blijkt dat concreet?
• Wat staat er in het contract over beëindiging, en wie heeft dat gelezen?
• Wie is binnen uw organisatie aanspreekbaar op deze afhankelijkheid?
• Valt de organisatie onder de nieuwe wetgeving, en wie heeft dat vastgesteld?
• Welke afhankelijkheden zijn aanvaard door simpelweg niets te veranderen?

Deze vragen brengen digitale afhankelijkheid terug naar waar zij hoort. Niet bij een technische discussie, maar bij een bestuurlijk gesprek over wat u bereid bent te riskeren.

U staat er niet alleen voor

Eén punt uit het toezichthoudersadvies verdient aandacht, juist voor kleinere organisaties. Dit is geen probleem dat u in uw eentje oplost. Tegenover een grote leverancier heeft u geen onderhandelingspositie. Samen met andere afnemers in uw sector heeft u die wel, en volgens de toezichthouders is daar meer ruimte voor dan bedrijven denken.

Datzelfde geldt voor uw contract. U heeft meer recht op uw eigen gegevens, en op het meenemen daarvan, dan de meeste organisaties benutten. Alleen: van een recht dat u niet kent en niet inroept, merkt u niets.

Wat een Reality Check hier oplevert

Een Reality Check onderzoekt niet uw hele leveranciersbestand. Hij begint bij een concrete bestuurlijke vraag en maakt zichtbaar wat aantoonbaar is en wat een aanname.

Bij dit onderwerp levert dat bijvoorbeeld op:

• scherp beeld van het proces of de leverancier waar de vraag over gaat
• overzicht van hoeveel onmisbare functies feitelijk bij dezelfde partij liggen
• onderscheid tussen een plan op papier en een plan met geteste uitkomst
• zicht op wat het contract werkelijk regelt bij beëindiging
• vastgesteld antwoord op de vraag of de nieuwe wetgeving van toepassing is
• onderscheid tussen wat aanvullende waarborgen rechtvaardigt en wat niet
• besluitpunten voor directie of bestuur, scherp genoeg om de afweging zelf te kunnen maken
• helder eigenaarschap: wie bewaakt dit, en wanneer kijken we er opnieuw naar.

Wat een Reality Check niet levert, is een kosteninschatting of een verbeterprogramma. Wat iets kost, hangt af van keuzes die daarna nog gemaakt moeten worden. Dat is uw afweging, en die blijft van u.

De waarde zit niet in een oordeel over uw leverancier. De waarde zit in het zichtbaar maken van een keuze die nooit expliciet is gemaakt.

Kern

Het debat over digitale autonomie gaat over vitale infrastructuur en systeemrisico. Dat is terecht. Het is alleen niet het hele verhaal.

Bij het bedrijf dat buiten al die kaders valt, komt niemand vragen of het plan werkt. Dat maakt de vraag niet minder urgent. Het betekent alleen dat u hem zelf moet stellen.

Een plan om over te stappen dat nooit is getest, is geen plan. Het is een aanname met een leverancier erin.