CVD-clausules in je leverancierscontract: vijf bepalingen die je voor 15 augustus regelt

Je NIS2-dossier schrijf je in een middag. De zin die je leverancier verplicht om je binnen vier uur te waarschuwen als hij een actief misbruikt lek in zijn software ontdekt, schrijf je ook in een middag. Alleen moet hij die tekenen, en tekenen doet hij op één moment: als er nog iets te ruilen valt.

Dat maakt dit onderdeel van je voorbereiding anders dan de rest. Bewijs dat een toezichthouder later opvraagt, ontstaat vooruit in de tijd en nooit met terugwerkende kracht, en een flink deel van dat bewijs ontstaat niet bij jou, maar bij de partijen die jouw software draaien. Hun gedrag kun je niet monitoren. Je kunt het wel afspreken.

Deze gids gaat over dat ene contractmoment. Vijf bepalingen met kant-en-klare Nederlandse tekst, de termijnen die je erin zet, de valkuilen die ze waardeloos maken en de tegenwerpingen die je gaat horen. De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, dus de contracten die je deze zomer verlengt zijn de eerste die het meteen moeten dragen.

Een CVD-clausule is de contractbepaling waarin je leverancier vastlegt hoe hij met kwetsbaarheden in zijn product omgaat: waar onderzoekers een lek kunnen melden, binnen welke termijn hij jou als klant informeert, dat hij beveiligingsupdates herkenbaar publiceert, en dat hij niemand een permanente zwijgplicht oplegt. CVD staat voor coordinated vulnerability disclosure, gecoördineerde openbaarmaking van kwetsbaarheden.

Wat je nodig hebt voordat je iets opstuurt

Vijf dingen, en het eerste kost de meeste tijd.

Een lijst van leveranciers met toegang. Niet je hele crediteurenbestand. Het gaat om partijen die diensten of producten leveren voor je netwerk- en informatiesystemen, ICT-componenten daarvan, of toegang daartoe hebben, zoals het NCSC de reikwijdte afbakent. Bij de meeste mkb-organisaties zijn dat er tussen de vijf en de vijftien, en meestal ontbreken de koppelpartijen en de beheerder van de firewall op de eerste versie van die lijst.

De verloop- of verlengdatum per contract. Dit is je enige echte hefboom. Een leverancier tekent zelden een addendum midden in een looptijd zonder dat er iets tegenover staat. Bij een verlenging tekent hij bijna alles wat redelijk is.

Je eigen meldtermijn, uit je hoofd. Val je onder de wet, dan geldt een getrapte meldplicht van 24 uur, 72 uur en een maand, en je hoort te weten of je een essentiële of een belangrijke entiteit bent voordat je verder rekent. Zonder dat getal kun je de termijn van je leverancier niet bepalen.

Mandaat om te tekenen en te escaleren. De wet legt de eindverantwoordelijkheid bij het bestuur, dus laat het bestuur ook de minimumlat vaststellen. Anders onderhandelt inkoop jouw bepaling straks weg op prijs.

Ongeveer een uur per leverancier. Vijf minuten voor de publieke check, twintig minuten voor de brief, de rest voor het gesprek. Reserveer daarnaast één juridische leescheck over de hele set: ik ben geen advocaat, en de teksten hieronder zijn een bruikbaar startpunt naar Nederlands recht, geen vervanging van je eigen jurist.

Van leverancierslijst naar getekende bepaling

CVD-clausules krijg je niet getekend met een vragenlijst, maar met zes stappen op het juiste contractmoment. Je rangschikt je leveranciers op blootstelling, controleert wat er al publiek ligt, rekent je eigen meldplicht van 24 uur terug naar een leverancierstermijn van vier uur, legt vijf bepalingen voor en bewaart de uitkomst als bewijs.

In zes stappen ga je van leverancierslijst naar een getekende securitybijlage:

1. Rangschik op blootstelling, niet op factuurbedrag

De grootste factuur is zelden het grootste risico. Zet je leveranciers op volgorde van één vraag: als er morgen een actief misbruikt lek in hún product zit, hoe snel raakt dat mijn dienstverlening of mijn klantdata? Een beheerpartij met domeinbeheerrechten staat dan boven een boekhoudpakket, en een koppelpartij die dagelijks orders doorschrijft boven een kantoorabonnement.

Drie categorieën zijn genoeg: leveranciers met beheer- of systeemtoegang, leveranciers die klantdata verwerken, en de rest. Alleen de eerste twee krijgen de volledige set bepalingen. De derde categorie krijgt één zin over de meldroute, en dat is voldoende.

2. Doe de publieke check van vijf minuten

Voordat je iets vraagt, kijk je wat er al ligt. Vraag /.well-known/security.txt op bij het domein van je leverancier. Dat bestand is de standaardplek waar een softwarebedrijf vertelt waar je een lek meldt; de vijf overheidscyberdiensten achter de CVD-richtlijn van juli 2026 raden het aan omdat het meldinstructies vindbaar maakt in een standaard, machineleesbare vorm. Ontbreekt het, zoek dan op de site naar "responsible disclosure" of "CVD".

Ik heb die check voor deze gids op 25 juli 2026 gedaan bij een handvol veelgebruikte Nederlandse leveranciers, en het beeld is leerzaam. Mollie en AFAS publiceren een met PGP ondertekend bestand met een einddatum die op dat moment nog loopt, respectievelijk tot 1 september 2026 en 1 januari 2027, plus een link naar hun beleid. Exact publiceert het ook, maar zonder ondertekening en zonder einddatum, en zet als contactadres een programma op het platform Intigriti, zodat je de spelregels op dat platform leest en niet op de site van je leverancier. Moneybird heeft op 25 juli 2026 geen bestand op de standaardplek, die opvraag geeft een 404, terwijl er wel gewoon beleid staat op de beveiligingspagina. Bij een vijfde leverancier trof ik een security.txt aan waarvan het Expires-veld al sinds december 2025 verlopen was; die noem ik hier niet, omdat het inmiddels hersteld kan zijn. Dat zegt niets over de beveiliging en alles over het onderhoud.

Wat je in die vijf minuten vooral leert, is wat er níet staat. AFAS belooft binnen 72 uur op werkdagen een eerste reactie en geen juridische stappen zolang de melder zich aan de spelregels houdt. Moneybird belooft een reactie binnen drie werkdagen en evenmin juridische stappen bij een melding volgens de instructies. Allebei netjes. Allebei gericht op de onderzoeker, niet op de klant. Exact schrijft die scheiding zelfs met zoveel woorden op: de pagina is bedoeld voor onderzoekers, en klanten met een beveiligingsvraag horen bij de gewone supportkanalen. In geen van deze beleidsstukken staat binnen hoeveel uur de leverancier zíjn klanten waarschuwt. Dat gat vul je met een contract, niet met een vragenlijst.

3. Reken je eigen meldtermijn terug naar de zijne

Hier gaat het in de praktijk mis. Jouw klok van 24 uur begint op het moment dat jij kennis krijgt van een significant incident. Hoor je het bij uur 20 van je leverancier, dan houd je vier uur over om te bepalen of het significant is, je bestuur te informeren en te melden. Een leverancierstermijn van 24 uur is in die rekensom geen termijn, maar een garantie dat je te laat bent.

Twee termijnen volstaan. Vier uur bij een kwetsbaarheid waarvan misbruik bekend of vermoed is, 24 uur bij een kritieke kwetsbaarheid zonder bekend misbruik. Een Nederlands advocatenkantoor dat NIS2-contracten opstelt komt op dezelfde orde uit en geeft voor kritieke incidenten de voorkeur aan vier uur of minder, juist omdat binnen 24 uur een eerste melding bij de bevoegde toezichthouder moet worden gedaan.

Het helpt om te weten dat je niets exotisch vraagt. De Europese Cyber Resilience Act legt fabrikanten van producten met digitale elementen dezelfde klok op: vanaf 11 september 2026 melden zij een actief misbruikte kwetsbaarheid binnen 24 uur, volgt binnen 72 uur de volledige melding en binnen 14 dagen na een oplossing het eindverslag, bij hun CSIRT en bij ENISA. Artikel 14 van diezelfde verordening verplicht de fabrikant ook de getroffen gebruikers te informeren over de kwetsbaarheid en over de maatregelen die zij zelf kunnen nemen. Jouw bepaling loopt daar hooguit een jaar op vooruit.

4. Zet de vijf bepalingen op papier

Vage taal is het probleem, niet onwil. Formuleringen als "passende beveiliging" of "state of the art" zijn juridisch nauwelijks iets waard zolang er geen meetbare invulling naast staat, dus elke bepaling hieronder noemt een handeling, een termijn of een document. Vervang wat tussen blokhaken staat.

Bepaling 1. Meldtermijn en meldkanaal.

Leverancier informeert Opdrachtgever onverwijld en in elk geval binnen vier (4) uur na kennisname van een kwetsbaarheid in de Diensten waarvan Leverancier weet of redelijkerwijs vermoedt dat deze actief wordt misbruikt, en binnen vierentwintig (24) uur na kennisname van een kwetsbaarheid met een CVSS-basisscore van 9,0 of hoger. De melding gaat naar [security@opdrachtgever.nl] en bevat ten minste: de aard van de kwetsbaarheid, de getroffen versies of omgevingen, de bekende of vermoede misbruikstatus, de beschikbare mitigatie en het verwachte tijdstip van herstel. De termijn vangt aan bij kennisname door Leverancier, niet bij interne bevestiging of classificatie.

Die laatste zin is de belangrijkste van de hele set. Laat je hem weg, dan start de klok pas wanneer de leverancier zelf vindt dat hij zeker genoeg is.

Bepaling 2. Geen stille patches.

Leverancier brengt beveiligingsupdates als zodanig herkenbaar uit. Bij iedere update die een kwetsbaarheid verhelpt publiceert Leverancier uiterlijk vijf (5) werkdagen na beschikbaarstelling een advisory met een omschrijving van de kwetsbaarheid, de getroffen versies, de ernst en de handeling die Opdrachtgever moet verrichten. Leverancier kent aan iedere bevestigde kwetsbaarheid in de Diensten een CVE-nummer toe of laat dit toekennen. Het verhelpen van een kwetsbaarheid zonder vermelding in release notes of advisory geldt als een tekortkoming in de nakoming van deze overeenkomst.

Een stille fix is een lek dat wel wordt gedicht maar nergens wordt genoemd, met als effect dat klanten de update veel minder vaak installeren. Vijf overheidsdiensten, waaronder het NCSC, zetten daar op 15 juli 2026 een streep door. Wat je hier eist wordt bovendien Europees recht: de Cyber Resilience Act verplicht fabrikanten om zodra een beveiligingsupdate beschikbaar is, informatie over de verholpen kwetsbaarheid te delen en openbaar te maken, inclusief ernst en herstelinstructie, met uitstel alleen in gemotiveerde gevallen. Die verplichting geldt vanaf 11 december 2027, dus je contract loopt er ruim een jaar op vooruit.

Bepaling 3. Geen zwijgbeding.

Leverancier legt aan een melder van een kwetsbaarheid geen algemene of onbeperkte geheimhoudingsverplichting op. Leverancier mag openbaarmaking uitstellen totdat een herstelmaatregel beschikbaar is en tot ten hoogste zestig (60) dagen na de melding. De geheimhoudingsbepalingen van deze overeenkomst beperken Opdrachtgever niet in het melden van een kwetsbaarheid aan Leverancier, aan het NCSC of aan de eigen toezichthouder, noch in het informeren van eigen klanten over risico en mitigatie.

Die zestig dagen zijn geen willekeurig getal: het NCSC noemt in zijn leidraad voor CVD-beleid een vaak gebruikte richttermijn van zestig dagen voor software, en langer voor hardware. De tweede helft van deze bepaling beschermt jou, niet de onderzoeker. Standaard geheimhoudingsartikelen zijn ruim geformuleerd, en een leverancier die je na een incident op "vertrouwelijke informatie" wijst, gebruikt precies die tekst.

Bepaling 4. Ketenmelding.

Leverancier meldt aan Opdrachtgever kwetsbaarheden en incidenten bij zijn eigen toeleveranciers, onderaannemers en subverwerkers, voor zover deze de Diensten raken, binnen dezelfde termijnen als in bepaling 1. Leverancier legt de verplichtingen uit dit artikel op aan iedere onderaannemer die toegang heeft tot de Diensten of tot gegevens van Opdrachtgever, en verstrekt op verzoek een actueel overzicht van deze partijen. Het inschakelen van een nieuwe onderaannemer met toegang wordt voorafgaand aan Opdrachtgever gemeld.

Zonder deze bepaling stopt je zicht bij de eerste schakel, terwijl het lek meestal een schakel verderop zit. De Europese uitvoeringsverordening bij NIS2 zegt hetzelfde in de taal van inkoop: contracten met leveranciers moeten een verplichting bevatten om kwetsbaarheden te behandelen die een risico vormen voor de netwerk- en informatiesystemen van de organisatie, naast een meldplicht bij incidenten, een auditrecht en eisen aan onderaanneming. Die verordening bindt rechtstreeks alleen digitale dienstverleners zoals clouddiensten, datacenters en beheerde dienstverleners. Als kant-en-klare checklist voor de rest van de markt is er niets beters.

Bepaling 5. Safe harbor en een vindbaar meldpunt.

Leverancier voert een openbaar meldbeleid voor kwetsbaarheden en houdt dit vindbaar via een security.txt-bestand op zijn primaire domein. Onderzoek te goeder trouw dat in overeenstemming met dat beleid wordt uitgevoerd geldt als geautoriseerd; Leverancier onderneemt daartegen geen civiel- of strafrechtelijke stappen. Dit geldt eveneens voor beveiligingsonderzoek dat Opdrachtgever of een door hem ingeschakelde partij na voorafgaande melding uitvoert op de eigen omgeving binnen de Diensten.

Die laatste zin is de reden dat safe harbor in jouw contract hoort en niet alleen in zijn beleid. Zonder die toezegging kan je eigen pentester bij een bevinding formeel in overtreding zijn van de gebruiksvoorwaarden.

Sluit de set af met een gevolg. Een herstelplicht met een termijn, een opschortingsrecht bij structureel verzuim en ontbinding in ernstige gevallen werken beter dan een boete. Een boetebeding op melden is zelfs contraproductief: je beloont er stilte mee.

5. Onderhandel de weerstand weg

Je krijgt drie tegenwerpingen, en twee ervan zijn terecht.

"Vier uur is buiten kantooruren niet haalbaar." Vaak waar bij een kleine partij. Ruil het: de termijn blijft vier uur, maar de eerste melding mag een kort bericht zijn met alleen de kern, en de volledige beschrijving volgt binnen 24 uur. Je hebt de klok nodig, niet het rapport.

"Er worden hier geen CVE-nummers toegekend." Ook waar, want daarvoor moet een bedrijf CVE Numbering Authority zijn. Accepteer dan dat een tussenpartij het doet: NCSC-NL is sinds juli 2022 CNA, het Dutch Institute for Vulnerability Disclosure sinds februari 2022. Zet in de bepaling "toekennen of laten toekennen" en het probleem is weg.

"Dit staat niet in de standaardvoorwaarden." Dat is geen argument maar een positie, en die verandert bij een verlenging. Zet de vijf bepalingen in een aparte securitybijlage bij de overeenkomst in plaats van in de hoofdtekst. Dan hoeft de leverancier zijn algemene voorwaarden niet open te breken, wat de weerstand meestal halveert.

6. Leg de uitkomst vast als bewijs

Wat je vraagt telt pas als je kunt laten zien dat je het vroeg. Leg per leverancier vast: de datum waarop je de bepalingen stuurde, de reactie, de versie die is getekend, en bij een weigering de compenserende maatregel die je in plaats daarvan nam. De RDI verwacht bij leveranciers met veel impact schriftelijke afspraken over de beveiligingsmaatregelen die bij het risicoprofiel passen, de rolverdeling bij grote incidenten en wat er bij beëindiging met apparatuur en data gebeurt, en verwacht dat je die afspraken actueel houdt met assessments of audits.

Een weigering is ook bewijs. Een gedateerd verzoek met een gemotiveerde afwijzing en een compenserende maatregel is een verdedigbaar dossier. Een leeg dossier is dat niet.

De valkuilen die een goede bepaling waardeloos maken

• De termijn hangt aan "bevestigd" in plaats van aan "kennisname". Dan bepaalt je leverancier zelf wanneer de klok start. Fix: de aanvangszin uit bepaling 1 letterlijk overnemen.
• De melding gaat naar een accountmanager. Op zaterdagnacht leest niemand die mailbox. Fix: één securityadres plus een telefoonnummer, en test het jaarlijks met een oefenmelding.
• Je eigen geheimhoudingsartikel haalt het zwijgbeding weer binnen. Dit is de meest gemaakte fout, want de securitybijlage en het geheimhoudingsartikel worden door verschillende mensen geschreven. Fix: de uitzondering uit bepaling 3 expliciet laten doorwerken in het geheimhoudingsartikel.
• Alleen de hoofdleverancier tekent. De hosting, de koppelpartij en de beheerder blijven buiten beeld. Fix: bepaling 4, plus jaarlijks het overzicht van onderaannemers opvragen.
• Een certificaat als vervanging. Een ISO 27001-certificaat of een pentestrapport laat zien hoe het eruitzag toen de auditor langskwam. Hoe een leverancier reageert op een gemeld lek is de eerlijkere voorspeller van zijn gedrag op de dag dat het misgaat. Fix: vraag om beide, maar laat het certificaat de bepalingen niet vervangen.
• De bijlage geldt pas bij verlenging, en dat is over twee jaar. Fix: koppel bij een lange looptijd een addendum aan de eerstvolgende wijziging, uitbreiding of prijsindexatie. Er is altijd een moment.
• Een boete op melden. Perverse prikkel. Fix: sanctioneer het uitblijven van een melding, niet de melding zelf.

Welke lat leg je bij welke leverancier

Niet elke leverancier krijgt de volledige set, en doen alsof dat wel zo is kost je de eerste onderhandeling. Drie assen bepalen de lat: hoe diep zijn toegang reikt, hoe snel je hem zou kunnen vervangen, en of jij zelf onder de wet valt.

Val je onder de Cyberbeveiligingswet, dan is de lat bij leveranciers met systeemtoegang niet onderhandelbaar, want je bent zelf aanspreekbaar op hun risico's. Val je er niet onder, dan is de trigger commercieel in plaats van juridisch: bij niet-kritieke bedrijven komt de eis binnen als een securityvragenlijst van een grote klant, met de eerstvolgende contractverlenging als echte deadline. Wie de bepalingen nu bij zijn eigen leveranciers regelt, kan die vragenlijst straks met bewijs beantwoorden in plaats van met een belofte.

Bij een leverancier die je niet kunt vervangen, en dat is bij hyperscalers en grote pakketleveranciers gewoon de werkelijkheid, krijg je geen maatwerktekst. Daar verschuift het werk naar compenseren: abonneer je op zijn advisory- of RSS-feed, richt de intake van die berichten in als proces, en accepteer dat jouw detectietijd gelijk is aan zijn publicatietijd. Dat is eerlijker dan een bepaling die je toch niet kunt afdwingen.

Vier routes om het contract open te krijgen

De eerste route is de enige die niets kost. Dat is meteen het argument om deze zomer te beginnen bij de contracten die aflopen, in plaats van bij de leverancier die je de meeste zorgen baart.

Uitgewerkt voorbeeld: een afvalverwerker met drie leveranciers

Dit is een doorgerekend scenario en geen klantdossier: de bedragen, termijnen en uitkomsten hieronder zijn de orde van grootte die je bij deze omvang mag verwachten, niet de administratie van een bestaande opdracht.

Neem een afvalverwerkingsbedrijf met 120 medewerkers en 24 miljoen euro omzet. Afvalbeheer staat in de tweede bijlage van de wet, en met deze omvang is dit een belangrijke entiteit: dezelfde zorg- en meldplicht als een essentiële entiteit, lichter toezicht. Registreren bij het NCSC is per 15 augustus verplicht.

Drie leveranciers hebben toegang. Een ERP-pakket in de cloud waarin de weegbrug en de facturatie draaien. Een beheerpartij die de firewall, de VPN en het domeinbeheer doet. En een koppelpartij die ritgegevens naar het planningssysteem van de grootste opdrachtgever schrijft.

De check van vijf minuten. De ERP-leverancier heeft een security.txt en een meldbeleid met een reactietermijn richting onderzoekers, maar geen enkele toezegging richting klanten. De beheerpartij heeft geen meldbeleid en geen security.txt. De koppelpartij verwijst naar het bugbountyprogramma van zijn eigen hostingprovider. Score na vijf minuten: nul van de drie zegt iets over hoe snel de afvalverwerker zelf iets hoort.

De rekensom. Een significant incident bij de koppelpartij raakt de dienstverlening aan de grootste opdrachtgever direct, en de meldplicht van 24 uur ligt bij de afvalverwerker, niet bij de koppelpartij. Dus: vier uur bij actief misbruik, 24 uur bij kritiek zonder misbruik, met de kennisname-zin erin.

Wat je verstuurt. Het ERP-contract loopt af op 1 oktober, dus daar gaan de vijf bepalingen mee als securitybijlage bij de verlengingsofferte. De beheerpartij zit in jaar twee van een driejarig contract, maar er staat een uitbreiding met twee firewalls op de rol, en dat is het haakje voor een addendum. De koppelpartij, een team van zes, is de kleinste en de meest kritieke.

Wat je er realistisch uit haalt. De ERP-leverancier tekent alles behalve de CVE-bepaling, en die wordt "toekennen of laten toekennen via het NCSC". De beheerpartij tekent vier uur en 24 uur, maar wil geen advisory-plicht binnen vijf werkdagen omdat hij zelf geen software maakt; daar komt het doorgeven van advisories van zíjn leveranciers binnen twee werkdagen voor in de plaats, wat voor een beheerpartij het juiste equivalent is. De koppelpartij vraagt drie weken bedenktijd, tekent dan de meldtermijn en de ketenbepaling, en weigert de safe harbor omdat de jurist er niet uitkomt. Dat leg je vast, met als compenserende maatregel dat de afvalverwerker zijn eigen pentest op die koppeling voortaan vooraf schriftelijk aankondigt.

Twee van de drie contracten dus grotendeels binnen, één deels, alle drie gedateerd vastgelegd. Op een doorlooptijd van ongeveer zeven weken zou je uitkomen, waarvan vijf wachten. Dat is de realistische planning, en precies de reden dat 15 augustus voor deze stap geen startdatum is maar een einddatum.

Wat je eigenlijk koopt

Een leverancier die zijn kwetsbaarheden stil houdt, doet dat zelden uit kwade wil. Hij doet het omdat niemand hem ooit heeft gevraagd het anders te doen, en omdat zwijgen op de korte termijn goedkoper lijkt. De vijf bepalingen hierboven veranderen dat rekensommetje op het enige moment dat jij aan de knoppen zit.

Ze veranderen ook iets aan jou. Wie een meldtermijn van vier uur afspreekt, moet zelf een adres hebben dat om vier uur 's nachts wordt gelezen. Wie ketenmelding eist, moet zelf weten wie zijn onderaannemers zijn. Dat is geen bijwerking, dat is de opbrengst. In een wereld waarin een lek binnen uren een wapen wordt en de meeste incidenten bij een ander beginnen, is de snelheid waarmee slecht nieuws bij jou aankomt de maatregel met het hoogste rendement. Het contract is alleen het instrument waarmee je die snelheid afdwingt bij mensen die niet voor jou werken.