IT due diligence MKB: wat controleert u en waar begint u?

IT due diligence beoordeelt of uw systemen, leveranciers en gegevensverwerking het risico van een overname, fusie of nieuw contract veilig kunnen dragen. Start direct met drie zaken: uw AVG-datalekprocedure en verwerkersafspraken, een keteninventarisatie van kritieke leveranciers, en de status van uw back-ups inclusief herstel­tijden. De Autoriteit Persoonsgegevens en het NCSC geven hiervoor concrete kaders, en in de praktijk zien wij bij NLXS dat bedrijven die deze drie punten op orde hebben, sneller en goedkoper door een overnametraject komen.

Kort samengevat:

• Bedrijven moeten de volledige asset- en software-inventarisatie, inclusief een softwarelijst en toegangscontrole, op orde hebben voordat ze verder upgraden of investeren.
• Het ontbreken van concrete meldprocedures, verouderd toegangsbeheer en shadow IT vormen grote risico’s die snel getest en verbeterd moeten worden.
• Ketenrisico’s worden bepaald door afhankelijkheden, contractafspraken en alternatieven, met een focus op kritieke leveranciers volgens de BIV-score.
• Een effectieve due diligence vraagt om het regelmatig testen van meldprocedures, back-upherstel en het eisen van duidelijke afspraken in contracten, in plaats van alleen papierwerk.
• NLXS ondersteunt bij de ICT-scan, het beheer van systemen en het monitoren van risico’s, om issues proactief aan te pakken en integratie bij overname te versnellen.

Inhoudsopgave

• Wat hoort in een IT due diligence: scope en kernonderdelen
• Juridische en compliance-punten die u moet controleren
• Ketenrisico’s en leveranciers: de keteninventarisatie en de 3 A’s
• Praktische due-diligence checklist voor MKB in vijf stappen
• Praktijkinzichten van NLXS: wat wij vaak tegenkomen
• Wat de gangbare aanpak van due diligence over het hoofd ziet
• Hoe NLXS u concreet kan ondersteunen bij IT due diligence
• Bronnen
• Veelgestelde vragen

Wat hoort in een IT due diligence: scope en kernonderdelen

Een goede IT due diligence begint met een helder beeld van wat er ís, voordat u kijkt naar wat er mís kan gaan. U inventariseert alle apparatuur, software en applicaties, inclusief een softwarelijst per systeem (een SBOM, of software bill of materials) zodat duidelijk is welke componenten en versies er draaien. Daarna kijkt u naar wie waar toegang tot heeft.

Toegangsbeheer is vaak de zwakke schakel: verlopen accounts, gedeelde wachtwoorden en het ontbreken van meervoudige authenticatie (MFA) zijn veelvoorkomende bevindingen. Ook shadow IT, software die medewerkers zelf hebben geïnstalleerd zonder medeweten van de IT-afdeling, verdient een plek op de lijst.

De volgende onderdelen horen standaard in de scope:

• Actuele asset- en applicatie-inventaris, inclusief een softwarelijst per kritiek systeem.
• Toegangs- en identiteitsbeheer: wie heeft beheerdersrechten en is MFA verplicht?
• Back-upbeleid met vastgelegde hersteltijden (RTO) en maximaal toegestane dataverlies (RPO).
• Logging en monitoring: worden afwijkingen tijdig gesignaleerd?
• Een check op shadow IT en niet-geregistreerde clouddiensten.

Zonder deze basis is elke volgende stap in het traject giswerk.

Juridische en compliance-punten die u moet controleren

Naast de techniek draait IT due diligence om de vraag of een organisatie aan haar wettelijke verplichtingen voldoet. Dat begint met een heldere rolverdeling: wie is verwerkingsverantwoordelijke en wie treedt op als verwerker? Deze rollen bepalen wie welke meldingen moet doen en welke machtigingen nodig zijn.

Bij een datalek geldt een strikte termijn: de verwerkingsverantwoordelijke moet dit melden bij de Autoriteit Persoonsgegevens wanneer er risico is voor betrokkenen. Een verwerker mag dit alleen namens de verantwoordelijke doen als dit schriftelijk is vastgelegd.

Sinds 15 augustus 2026 zijn er twee wetten bijgekomen die voor veel MKB-bedrijven relevant zijn: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten gelden voor organisaties in achttien sectoren, die zich moeten registreren via mijn.ncsc.nl.

Controleer bij elke due diligence deze punten in volgorde:

1. Wie is verwerkingsverantwoordelijke en wie is verwerker, en is dit contractueel vastgelegd?
2. Is er een werkende meldprocedure voor datalekken binnen de 72-uurstermijn?
3. Valt de organisatie onder de Cbw of Wwke, en is registratie bij het NCSC gebeurd?
4. Bevat elke verwerkersovereenkomst een concrete notificatietermijn, een contactpunt en afspraken over subverwerkers en exit?

Statistiek: de Autoriteit Persoonsgegevens constateert dat verwerkersovereenkomsten in de praktijk vaak onvoldoende functioneren omdat concrete notificatie- en contactafspraken ontbreken. Dat betekent dat een overeenkomst pas waarde heeft als u hem periodiek toetst, niet alleen ondertekent.

Ketenrisico’s en leveranciers: de keteninventarisatie en de 3 A’s

Een overname of nieuw contract stopt niet bij uw eigen systemen. Uw risico is net zo groot als dat van uw meest kritieke leverancier. Het NCSC beschrijft hiervoor een aanpak met drie A’s: Afhankelijkheden, Afspraken en Alternatieven.

U brengt eerst in kaart van welke leveranciers u afhankelijk bent en wat er gebeurt als die uitvallen. Vervolgens toetst u welke afspraken er contractueel liggen, en als laatste stap onderzoekt u of er alternatieven beschikbaar zijn wanneer een leverancier wegvalt of niet voldoet. De handreiking ketensamenwerking van het NCSC werkt dit uit in fases: risicoanalyse, een gezamenlijke roadmap en doorlopende monitoring, inclusief ketenoefeningen en penetratietesten.

Om te bepalen welke leveranciers echt kritisch zijn, gebruikt u een BIV-classificatie: hoe belangrijk is Beschikbaarheid, Integriteit en Vertrouwelijkheid van de dienst die deze leverancier levert? Een leverancier die uw klantgegevens verwerkt scoort anders dan een leverancier die alleen kantoorbenodigdheden levert.

Een SLA of verwerkersclausule met een kritieke leverancier bevat op zijn minst:

• Een concrete termijn voor incidentmelding, niet “zo snel mogelijk”.
• Afspraken over periodieke audits of penetratietesten.
• Een exitregeling met dataoverdracht en verwijdertermijnen.

Pro-tip: Begin met een eenvoudig spreadsheet met kolommen voor leverancier, dienst, BIV-score, contactpersoon, afgesproken responstijd en alternatieve leverancier. Het template voor keteninventarisatie van het NCSC is hiervoor een goed startpunt.

Praktische due-diligence checklist voor MKB in vijf stappen

Een due-diligence traject wordt overzichtelijk als u het in vaste stappen doorloopt. Deze volgorde werkt in de praktijk goed, of het nu om een overname, fusie of een nieuw contract met een grote klant gaat.

1. Overzicht en prioritering: stel een assetlijst op en bepaal welke systemen uw “kroonjuwelen” zijn, de systemen waarvan de continuïteit afhangt.
2. Technische verificatie: controleer patchniveau, MFA, back-ups, de softwarelijst per systeem en of logging daadwerkelijk wordt bekeken.
3. Contractuele verificatie: leg verwerkersovereenkomsten, SLA’s en aansprakelijkheidsclausules naast elkaar en let op notificatietermijnen.
4. Test incident response: voer een penetratietest of IR-oefening uit om te zien of de meldprocedure ook in de praktijk werkt.
5. Mitigatie en governance: leg vervolgacties vast als SMART-doelen, met een eigenaar en een deadline per punt.

De SER benadrukt dat due diligence effectiever wordt wanneer doelen SMART zijn geformuleerd: specifiek, meetbaar, acceptabel, realistisch en tijdgebonden.

Praktijkinzichten van NLXS: wat wij vaak tegenkomen

In ICT-scans bij MKB-bedrijven zien wij een paar patronen steeds terugkomen. Verwerkersafspraken zijn vaak wel getekend, maar niemand kan bij een incident snel het bijbehorende contactpunt of de notificatietermijn terugvinden. Shadow IT duikt geregeld op: clouddiensten die een team ooit zelf heeft aangeschaft en die buiten het zicht van de IT-verantwoordelijke zijn gebleven. En bij overnames vinden we regelmatig oude data in systemen die formeel al zijn uitgefaseerd, maar technisch nog gewoon draaien.

Een grondige ICT-scan voorafgaand aan een overname voorkomt vertraging in het integratietraject en beperkt onvoorziene kosten achteraf.

Due diligence is geen momentopname maar een doorlopend proces: de organisaties die er het meest aan hebben, herhalen de check jaarlijks, niet alleen bij een overname.

Wanneer intern personeel de tijd of specialistische kennis mist om dit grondig te doen, is uitbesteden aan een partij met ervaring in MKB-trajecten vaak de snellere en goedkopere route.

Wat de gangbare aanpak van due diligence over het hoofd ziet

De meeste adviezen over IT due diligence richten zich op de checklist: wat te controleren, welke vragen te stellen, welke documenten op te vragen. Dat is nuttig, maar het mist een belangrijker punt: due diligence wordt vaak behandeld als een eenmalige exercitie vlak voor een deal, terwijl de waarde vooral zit in wat een organisatie structureel doet.

Een verwerkersovereenkomst die alleen bij het opstellen is gelezen en daarna in een map verdwijnt, biedt schijnzekerheid. Hetzelfde geldt voor een back-upbeleid dat op papier klopt maar nooit is getest met een echte herstelpoging.

Wat ik lezers zou aanraden: besteed minder tijd aan het perfectioneren van de checklist en meer tijd aan het daadwerkelijk testen van twee dingen, de meldprocedure bij een datalek en het herstel van een back-up. Dat zijn de twee momenten waarop een bedrijf in de praktijk faalt, niet omdat het beleid ontbrak, maar omdat niemand het ooit had geoefend.

— Ken

Hoe NLXS u concreet kan ondersteunen bij IT due diligence

Een IT due diligence levert vaak een lijst met verbeterpunten op, en dan begint het echte werk. NLXS helpt MKB-bedrijven in dat vervolgtraject: van een grondige ICT-scan die precies laat zien waar de risico’s zitten, tot het overnemen van serverbeheer en support zodat die risico’s niet blijven liggen.

Onze aanpak is gericht op ontzorgen met heldere afspraken over kosten en bereikbaarheid bij problemen. Concreet kunt u bij ons terecht voor:

• Een ICT-scan die de belangrijkste kwetsbaarheden en verbeterpunten in kaart brengt.
• Overname van hosted serverbeheer, werkplekbeheer en back-up zodat technische mitigaties structureel worden opgevolgd.
• Begeleiding bij migratie van systemen wanneer een overname of fusie dat vereist.

Bekijk ook een externe checklist voor bedrijfsdiagnose als aanvullend referentiekader naast onze aanpak. Wilt u weten waar uw ICT-omgeving vandaag staat? Neem contact met ons op via Nlxs en vraag een ICT-scan aan.

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Bronnen

• Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
• Melden van een datalek (NCSC)
• Aanbevelingen verwerkersovereenkomst (Autoriteit Persoonsgegevens)

Veelgestelde vragen

Wat is het verschil tussen een verwerkingsverantwoordelijke en een verwerker?

De verwerkingsverantwoordelijke bepaalt doel en middelen van een gegevensverwerking en is eindverantwoordelijk voor meldingen aan de Autoriteit Persoonsgegevens. Een verwerker voert de verwerking uit in opdracht en mag alleen namens de verantwoordelijke melden als dit schriftelijk is vastgelegd.

Hoe snel moet een datalek gemeld worden?

Een datalek moet binnen 72 uur na kennisname worden gemeld bij de Autoriteit Persoonsgegevens, wanneer er risico is voor de betrokkenen. Deze termijn geldt voor de verwerkingsverantwoordelijke, ook als een verwerker het incident als eerste ontdekt.

Welke bedrijven moeten zich registreren onder de Cyberbeveiligingswet?

Organisaties in achttien sectoren die onder de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten vallen, moeten zich registreren via mijn.ncsc.nl. Niet elk MKB-bedrijf valt hieronder, dus controleer of uw sector op de lijst staat voordat u actie ondernemt.

Wat zijn de 3 A’s bij een keteninventarisatie?

De 3 A’s staan voor Afhankelijkheden, Afspraken en Alternatieven, een aanpak die het NCSC adviseert om ketenrisico’s te beoordelen. U brengt eerst in kaart van wie u afhankelijk bent, toetst welke afspraken er liggen en onderzoekt daarna welke alternatieven beschikbaar zijn.

Wat kost een ICT-scan bij NLXS?

De prijs van een ICT-scan is niet openbaar gepubliceerd en wordt op aanvraag bepaald op basis van de omvang van uw ICT-omgeving. Neem contact op via Nlxs voor een offerte op maat.

Aanbevelingen

• ICT scan voor MKB: snel inzicht in kosten en risico’s
• Wanneer heeft uw bedrijf een ICT-audit nodig?
• Data back-up voor MKB: praktische gids voor 2026
• Firewall regels MKB: praktische regels en kieshulp