De nieuwe versie van de Cybersecurity Act 2 die deze week als draft werd gepubliceerd kan een belangrijke volgende stap worden in de Europese cybersecuritywetgeving. Waar NIS2 organisaties verplicht om hun cyberrisico’s beter te beheersen, maakt deze ontwerptekst veel concreter hoe de veiligheid van organisaties, ICT-producten en leveranciers aantoonbaar moet worden gemaakt. Europese cybersecuritycertificering krijgt daarbij een veel zwaardere rol en zou in bepaalde situaties verplicht worden voor NIS2-organisaties en kritieke ICT-assets.
Daarnaast introduceert het voorstel strengere regels voor ICT-toeleveringsketens en leveranciers met een verhoogd veiligheidsrisico, een Europees centraal toegangspunt voor incidentmeldingen en een bredere rol voor ENISA. Daarmee verschuift de aandacht verder van alleen interne cybersecuritymaatregelen naar de aantoonbare veiligheid van de volledige digitale keten.
Voor organisaties die onder NIS2 vallen – en voor ICT-leveranciers die aan deze organisaties leveren – is deze ontwikkeling daarom bijzonder relevant. Tegelijkertijd is de tekst nog geen definitieve wet: het gaat om een ontwerpversie van het Europees Parlement die tijdens het verdere wetgevingsproces nog kan wijzigen.
Er is op dit moment nog geen definitieve datum waarop deze tekst in werking treedt. De aangegeven amendementen kunnen nog wijzigen tijdens de verdere behandeling door Parlement en Raad.
1. Wie valt er onder?
De verordening is veel breder dan een klassieke cybersecuritywet die alleen rechtstreeks verplichtingen oplegt aan kritieke ondernemingen. Ze heeft grofweg vier groepen adressaten.
Ten eerste ENISA en overheden. Een groot deel van de verordening regelt ENISA zelf: zijn uitgebreid mandaat, samenwerking met nationale CSIRTs, certificering, incidentmelding, ransomwareondersteuning en supply-chainbeoordelingen. Ook de Commissie, lidstaten, bevoegde autoriteiten en conformiteitsbeoordelingsinstanties krijgen taken.
Ten tweede NIS2-entiteiten. Voor ondernemingen is dit waarschijnlijk het belangrijkste. De tekst verwijst herhaaldelijk naar entiteiten in Annex I en II van NIS2 (Richtlijn 2022/2555). Het gaat dus onder meer om energie, transport, banken en financiële infrastructuur, gezondheidszorg, digitale infrastructuur, ICT-dienstverlening, overheid, ruimtevaart en daarnaast de andere NIS2-sectoren. De rapporteur maakt de link met NIS2 veel sterker dan in het Commissievoorstel.
Voor de meest kritieke categorie, de entiteiten van het type uit Annex I NIS2, wordt voorgesteld dat zij hun “cyber posture” verplicht laten certificeren: niveau substantial binnen 12 maanden nadat het relevante Europese certificeringsschema beschikbaar is, en high indien de Commissie hun sector als kritisch heeft aangemerkt. Cybersecurity_Act_2_1790453668
Daarnaast zouden Annex I én Annex II NIS2-entiteiten, zodra een Europees certificeringsschema minstens 24 maanden bestaat, binnen de betrokken categorie alleen nog gecertificeerde ICT-producten, -diensten en -processen mogen inkopen en inzetten. Voor key ICT assets geldt een voorgestelde termijn van 36 maanden. Cybersecurity_Act_2_1790453668
Ten derde ICT-leveranciers en de volledige ICT-supply chain. De tekst definieert een supplier ruim als een natuurlijke of rechtspersoon die in een commerciële en contractuele relatie ICT-componenten of componenten met ICT levert voor distributie of gebruik op de EU-markt, ook wanneer dit gratis gebeurt. De ICT supply chain wordt daarbij gekoppeld aan contractuele relaties. Cybersecurity_Act_2_1790453668 Cybersecurity_Act_2_1790453668
Dat is belangrijk voor softwareleveranciers, hardwareproducenten, telecomleveranciers, managed security providers en leveranciers van onderdelen voor kritieke infrastructuur. Niet-commerciële open-sourceprojecten worden juist expliciet beschermd: communities/projecten zonder contractuele relatie buiten een standaard open-sourcelicentie zouden niet als supplier worden beschouwd. Cybersecurity_Act_2_1790453668
Ten vierde specifieke kritieke supply chains. De parlementaire versie breidt dit behoorlijk uit. De nieuwe Annex IIa noemt prioritaire ICT-assets in onder andere energie, telecom/connected devices, transport en logistiek, gezondheidszorg en fysieke beveiliging/surveillance. Denk aan omvormers en batterijmanagement, smart meters, routers/modems, IoT-modules, connected-vehicleplatforms, havenkranen, logistieke platforms, medische apparatuur, genomic sequencing en camerasystemen.
2. Wanneer treedt dit in werking?
Hier is voorzichtigheid nodig. Uit deze versie kan nog geen kalenderdatum voor inwerkingtreding worden afgeleid. De tekst is immers nog een ontwerpstandpunt van het Parlement en geen aangenomen verordening. Ook verschillende data staan nog als placeholders in de tekst.
Bovendien moet je onderscheid maken tussen inwerkingtreding van de verordening en het moment waarop specifieke verplichtingen praktisch beginnen te gelden. Voor een groot aantal onderdelen voorziet deze versie juist in gefaseerde termijnen.
Zo moet ENISA bijvoorbeeld binnen zes maanden procedures voor early alerts vastleggen; het centrale incidentmeldpunt moet binnen 12 maanden worden getest en rond 18 maanden operationeel kunnen worden verklaard; de Commissie moet binnen 12 maanden beginnen met beoordelingen van de nieuwe prioritaire ICT-assetcategorieën. Voor certificering zijn de termijnen gekoppeld aan het moment waarop het betreffende certificeringsschema beschikbaar is.
Voor bedrijven is vooral deze waarborg belangrijk: de nieuwe verplichte certificeringsregels zouden pas beginnen nadat de Commissie in het Publicatieblad heeft bevestigd dat voldoende conformity-assessmentcapaciteit beschikbaar is. Bovendien krijgen kmo’s vervolgens 12 maanden extra en voorziet de tekst in lagere tarieven. Cybersecurity_Act_2_1790453668
Met andere woorden: zelfs na aanneming ontstaat er waarschijnlijk geen “big bang” waarbij alle verplichtingen onmiddellijk op één dag ingaan.
3. Wat is nieuw ten opzichte van de eerste versie?
Omdat dit document zelf links het Commissievoorstel en rechts de amendementen van de rapporteur toont, is de vergelijking vrij duidelijk. De grootste wijziging is naar mijn oordeel dat de tekst verschuift van vooral een Europees kader voor ENISA, certificering en supply-chaininterventies naar een kader met veel directere verplichtingen voor ondernemingen.
| Onderwerp | Commissievoorstel / eerste versie | Deze EP-versie |
|---|---|---|
| Certificering | In beginsel vrijwillig, tenzij wetgeving anders bepaalt | Omgekeerd uitgangspunt: verplicht, tenzij EU-recht anders bepaalt |
| NIS2 Annex I | Geen algemene verplichte entity-certificering zoals voorgesteld door rapporteur | Cyber posture verplicht substantial/high |
| ICT-inkoop NIS2 | Minder algemene verplichting | Na 24 maanden alleen gecertificeerde ICT binnen betrokken categorie |
| Key ICT assets | Certificeringskader | Certificaat binnen 36 maanden |
| Compliance-effect certificaat | Alleen vermoeden van conformiteit wanneer specifieke EU-wet dat bepaalt | Substantial/high geeft in beginsel vermoeden van conformiteit met relevante NIS2/CRA/DORA-eisen |
| Incidentmeldingen | Versnipperde verplichtingen + voorziene simplificatie | Eén concreet EU single entry point |
| Ransomware | ENISA-ondersteuning/helpdesk | Volwaardige gratis EU-helpdesk, alle officiële talen |
| High-risk suppliers | Sterke focus op risicovolle derde landen | Meer supplier-specifieke, evidence-based beoordeling |
| Supply chains | Vooral bestaande kritieke ICT-assets | Nieuwe brede Annex IIa met energie, IoT, transport, health, surveillance enz. |
| Open source | Minder expliciete positie | Expliciete bescherming/uitsluiting van bepaalde FOSS-projecten |
| Sancties | Maximumboetes | Ook minimumboetes en periodieke dwangsommen |
| Nationale certificering | Europese schema’s verdringen overlappende nationale schema’s | Nog sterkere harmonisatie; lidstaten mogen geen extra overlappende certificering eisen |
De rapporteur vat de drie hoofddoelen zelf samen als: een breder ENISA-mandaat, hervorming van het Europese cybersecurity-certificeringskader en een Europees kader voor ICT-supply-chainsecurity. Cybersecurity_Act_2_1790453668
4. Verplichte certificering is waarschijnlijk de grootste praktische verandering
Dit springt eruit. Het Commissievoorstel bepaalde nog:
“European cybersecurity certification shall be voluntary, unless otherwise specified…”
Het amendement maakt daarvan in essentie mandatory unless Union law expressly provides otherwise. Cybersecurity_Act_2_1790453668
Daarbovenop komen de concrete verplichtingen voor NIS2 Annex I-entiteiten en voor key ICT assets. Dat maakt certificering potentieel een regulier onderdeel van NIS2-compliance in plaats van voornamelijk een vrijwillig instrument.
Daar staat wel iets tegenover. De rapporteur wil dat certificering op substantial of high niveau daadwerkelijk compliancewaarde krijgt. Zo’n certificaat zou een presumption of conformity moeten geven voor overeenkomstige cybersecurityeisen onder onder andere NIS2 artikel 21, de Cyber Resilience Act en DORA. Cybersecurity_Act_2_1790453668
Toezichthouders zouden de onderdelen die door een geldig Europees certificaat worden gedekt vervolgens niet opnieuw mogen auditen, tenzij er concrete aanwijzingen voor non-conformiteit zijn. Cybersecurity_Act_2_1790453668
Dat is voor bedrijven potentieel zeer relevant: meer verplichte certificering, maar minder dubbele audits en bewijsvoering.
5. Eén Europees incidentmeldpunt
Een andere grote toevoeging is Article 15a. ENISA moet één entry point bouwen waarmee een onderneming één melding kan doen die tegelijk haar toepasselijke meldverplichtingen kan vervullen onder onder meer NIS2, GDPR, DORA, eIDAS, CER en de Cyber Resilience Act. Cybersecurity_Act_2_1790453668
De bevoegde nationale autoriteiten blijven juridisch de ontvangers; ENISA fungeert dus niet als centrale toezichthouder. Het systeem moet bovendien end-to-end versleuteld zijn en ENISA krijgt in beginsel geen toegang tot de inhoud van meldingen. Cybersecurity_Act_2_1790453668
Dat is een vrij fundamentele praktische vereenvoudiging voor organisaties die nu bij één cyberincident verschillende meldplichten en toezichthouders moeten beoordelen.
6. High-risk suppliers: belangrijke koerswijziging
Het oorspronkelijke voorstel keek sterk naar het land van herkomst: een derde land kon worden aangemerkt als land dat cybersecurityrisico’s voor ICT supply chains oplevert.
De rapporteur wil dit veel meer naar het niveau van de individuele leverancier brengen. De Commissie moet via een evaluation matrix bepalen of er voldoende specifieke en onderbouwde aanwijzingen zijn om een leverancier als high-risk te kwalificeren. Cybersecurity_Act_2_1790453668
Dat wordt gecombineerd met eigendom/control, toegang tot software-updates en cryptografische sleutels, juridische blootstelling aan derde landen, incidenthistoriek, marktconcentratie en mitigerende factoren. De bedoeling is dus minder “bedrijf komt uit land X, dus high risk” en meer een gedocumenteerde supplier-by-supplieranalyse.
Tegelijk worden de gevolgen potentieel stevig. Voor key ICT assets kunnen high-riskcomponenten worden verboden, remote access kan worden beperkt en anti-omzeilingsregels moeten voorkomen dat dezelfde technologie via white-labeling, lokale assemblage of tussenpersonen alsnog wordt ingezet.
7. Veel strengere sancties
Ook dit verdient aandacht voor ondernemingen. Voor de zwaarste inbreuken op de supply-chainregels blijft het maximum 7% van de wereldwijde jaaromzet, maar het amendement voegt een minimum van 2% van de wereldwijde omzet of €10 miljoen, afhankelijk van welk bedrag hoger is, toe. Alleen bij disproportionaliteit kan daarvan gemotiveerd worden afgeweken.
Bij voortdurende niet-naleving kan daar bovendien een periodieke betaling tot 5% van de gemiddelde dagelijkse wereldwijde omzet per dag bovenop komen.
Wat betekent dit praktisch?
Voor een Europese onderneming zou ik de impact daarom niet beoordelen met alleen de vraag “vallen wij onder de Cybersecurity Act?”. De betere beslisboom wordt:
NIS2 Annex I of II? → welke Europese certificeringsschema’s zijn op onze organisatie en ICT-stack van toepassing? → gebruiken we key ICT assets? → welke leveranciers/components zitten daarin? → kunnen leveranciers als high-risk worden aangemerkt? → welke bestaande NIS2/CRA/DORA-controls kunnen via certificering worden afgedekt?
Voor NIS2 Annex I-organisaties is deze parlementaire versie potentieel het meest ingrijpend: verplichte certificering van de eigen cyber posture, certificering van key ICT assets, uiteindelijk gecertificeerde ICT-inkoop binnen toepasselijke schema’s en strengere supply-chainrestricties. Voor ICT-leveranciers ontstaat tegelijkertijd een commercieel effect: Europese certificering kan steeds meer een feitelijke voorwaarde worden om aan NIS2-klanten te kunnen leveren.
Tot slot: de explanatory statement bevestigt expliciet dat de rapporteur het Commissievoorstel op deze drie punten wil aanscherpen: verplichte certificering met concrete termijnen en rechtsgevolgen, één incidentmeldpunt en een evidence-based maar uitgebreidere regeling voor high-risk suppliers en kritieke ICT-assets. Dat is de kern van het verschil tussen de oorspronkelijke Commissieversie en deze tweede/parlementaire versie.
Bron:
BRONNEN CYBERSECURITY ACT 2
- Europese Commissie – voorstel Cybersecurity Act 2 (COM(2026) 11)
Voorstel voor de nieuwe Cybersecurity Act, inclusief bijhorende documenten en impact assessment.
https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-eu-cybersecurity-act
- EUR-Lex – Cybersecurity Act 2, COM(2026) 11 / 2026/0011(COD)
Officiële EUR-Lex-pagina voor het wetgevingsvoorstel en de procedure.
https://eur-lex.europa.eu/legal-content/EN/HIS/?uri=celex:52026PC0011
- Europees Parlement – Legislative Observatory (OEIL)
Actuele status van de parlementaire behandeling van Cybersecurity Act 2, procedure 2026/0011(COD).
https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2026%2F0011%28COD%29
- Huidige Cybersecurity Act – Regulation (EU) 2019/881
De bestaande Cybersecurity Act die door het nieuwe voorstel moet worden vervangen.
https://eur-lex.europa.eu/eli/reg/2019/881/oj/eng
- NIS2 Directive – Directive (EU) 2022/2555
Relevant voor de verwijzingen naar NIS2-entiteiten en de sectoren uit Annex I en Annex II.
https://eur-lex.europa.eu/eli/dir/2022/2555
- Nieuwe ontwerpversie Europees Parlement – 18 september 2026
Draft Report on the proposal for a regulation on ENISA and on European cybersecurity certification for information and communication technology and amending Regulation (EU) 2024/2847 (Cybersecurity Act 2)
Document: PE792.222v01-00
Procedure: 2026/0011(COD)
Rapporteur: Bart Groothuis
Datum: 18 september 2026
Dit is de ontwerptekst waarop de analyse in dit artikel is gebaseerd. Deze versie bevat de voorgestelde parlementaire wijzigingen, waaronder de wijzigingen rond certificering, NIS2-entiteiten, kritieke ICT-assets, supply-chain security en high-risk suppliers.
De actuele officiële documenten kunnen via de procedurepagina van het Europees Parlement worden gevolgd:
https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2026%2F0011%28COD%29
