--- title: "Cyberincidenten over de grenzen heen: de verordening…" description: "Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de…" url: https://pitch.law/nl/academy/cyber-solidarity-act --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology) # Cyberincidenten over de grenzen heen: de verordening cybersolidariteit Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 13 november 2026 - Bijgewerkt 13-11-2026 ## Het juridisch kader De verordening cybersolidariteit (Cyber Solidarity Act) is [Verordening (EU) 2025/38](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32025R0038) van 19 december 2024 "tot vaststelling van maatregelen ter versterking van de solidariteit en de capaciteit in de Unie om cyberdreigingen en -incidenten op te sporen, zich erop voor te bereiden en erop te reageren". Ze verscheen op 15 januari 2025 in het Publicatieblad en trad in werking op 4 februari 2025 ([artikel 26](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_26)). Ze wordt gefinancierd via het programma Digitaal Europa, [Verordening (EU) 2021/694](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32021R0694), die ze wijzigt ([artikel 22](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_22)). Anders dan NIS2 of de verordening cyberweerbaarheid legt deze verordening bedrijven bijna geen plichten op. Ze bouwt publieke capaciteit uit: tools, een reserve van incidentresponders en een evaluatieproces. Voor bedrijven telt ze op twee manieren. Entiteiten onder [NIS2](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) kunnen hulp krijgen bij een zwaar incident, en aanbieders van beheerde beveiligingsdiensten kunnen voor de reserve worden ingeschakeld. De verordening bouwt voort op de NIS2-structuren: ze gebruikt de NIS2-definities van incident, significant en grootschalig cyberbeveiligingsincident, en haar instrumenten voeden het CSIRT-netwerk en EU-CyCLONe, het netwerk van nationale autoriteiten voor cybercrisisbeheer ([artikel 1, lid 4](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_1), en [artikel 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_2)). ### Drie bouwstenen Artikel 1, lid 1, zet drie mechanismen op. **1. Het Europees waarschuwingssysteem voor cyberbeveiliging (artikelen 3 tot en met 9).** Een pan-Europees netwerk van nationale cyberhubs en grensoverschrijdende cyberhubs waaraan lidstaten vrijwillig deelnemen ([artikel 3](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_3)). Een nationale cyberhub is één entiteit onder het gezag van een lidstaat, bijvoorbeeld een CSIRT. Ze verzamelt en analyseert informatie over dreigingen en incidenten en kan samenwerken met private entiteiten, ook met sectorale gemeenschappen van essentiële en belangrijke entiteiten. Waar passend en wettig kan ze telemetrie-, sensor- en loggegevens vragen of ontvangen ([artikel 4, lid 3](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_4)). Een grensoverschrijdende cyberhub brengt de hubs van minstens drie lidstaten samen op basis van een schriftelijke consortiumovereenkomst ([artikel 5](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_5)). Hubs delen informatie zoals indicatoren van compromittering, kwetsbaarheden en waarschuwingen, waar passend geanonimiseerd ([artikel 6, lid 1](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_6)). Krijgen ze weet van een mogelijk of lopend grootschalig incident, dan waarschuwen ze de lidstaten en de Commissie zonder onnodige vertraging via EU-CyCLONe en het CSIRT-netwerk ([artikel 7, lid 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_7)). Enisa moest tegen 5 februari 2026 richtsnoeren voor interoperabiliteit uitvaardigen (artikel 6, lid 4). **2. Het noodmechanisme voor cyberbeveiliging (artikelen 10 tot en met 20).** Het ondersteunt drie soorten acties ([artikel 11](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_11)): - **paraatheid:** vrijwillige gecoördineerde paraatheidstests van entiteiten in de zeer kritieke sectoren van bijlage I bij NIS2, zoals penetratietests en dreigingsbeoordelingen ([artikel 12](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_12)), en andere paraatheidsacties zoals het monitoren van kwetsbaarheden, oefeningen en opleiding, ook voor sectoren uit bijlage II ([artikel 13](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_13)); - **respons:** de **EU-cyberbeveiligingsreserve** van betrouwbare aanbieders van beheerde beveiligingsdiensten ([artikel 14](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_14)); - **wederzijdse bijstand:** subsidies voor technische hulp van de ene lidstaat aan een andere die door een significant of grootschalig incident is getroffen ([artikel 18](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_18)). **3. Het Europees evaluatiemechanisme voor cyberbeveiligingsincidenten (artikel 21).** Op verzoek van de Commissie of EU-CyCLONe, en met de instemming van de betrokken lidstaten, evalueert Enisa een significant of grootschalig incident en rapporteert ze over oorzaken, bekende uitbuitbare kwetsbaarheden en geleerde lessen ([artikel 21](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_21)). Ze kan getroffen entiteiten raadplegen. Het verslag mag geen details bevatten over actief uitgebuite kwetsbaarheden die nog niet zijn gepatcht, gegevens kunnen op verzoek worden geanonimiseerd, en een openbare versie bevat alleen betrouwbare openbare informatie of informatie die met toestemming wordt vrijgegeven. ### De EU-cyberbeveiligingsreserve in detail **Wie kan vragen.** Niet de bedrijven zelf. De gebruikers zijn de autoriteiten voor cybercrisisbeheer en de CSIRT's van de lidstaten, CERT-EU voor de EU-instellingen, en autoriteiten van derde landen die met het programma Digitaal Europa geassocieerd zijn, als hun overeenkomst dat toelaat (artikel 14, lid 3). Gebruikers uit de lidstaten sturen hun verzoek via het centrale contactpunt van NIS2 ([artikel 15, lid 3](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_15)). **Waarvoor.** Respons op en eerste herstel na significante cyberbeveiligingsincidenten, grootschalige cyberbeveiligingsincidenten en, voor EU-instellingen en geassocieerde derde landen, daarmee gelijkwaardige incidenten (artikel 15, lid 1). Een grootschalig incident is een incident dat de reactiecapaciteit van een lidstaat overschrijdt of aanzienlijke gevolgen heeft voor minstens twee lidstaten ([NIS2, artikel 6, punt 7](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022L2555#art_6)). Voor gebruikers uit de lidstaten mogen de diensten alleen worden ingezet voor entiteiten in de NIS2-sectoren van de bijlagen I en II ([artikel 16, lid 8](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_16)). **Voorwaarden.** De gebruiker neemt zelf alle passende maatregelen om de gevolgen van het incident te beperken (artikel 15, lid 2). Het verzoek beschrijft de getroffen entiteit, de mogelijke gevolgen, ook het risico op overslag naar andere lidstaten, de gevraagde dienst en de al genomen maatregelen (artikel 15, lid 5). **Snelheid en voorrang.** De aanbestedende dienst (de Commissie, of Enisa als de uitvoering aan haar is toevertrouwd) antwoordt op verzoeken van gebruikers uit de lidstaten en de EU-instellingen zonder vertraging en in elk geval binnen **48 uur** (artikel 16, lid 1). Ze weegt de omvang en ernst van het incident af, het soort entiteit, met voorrang voor essentiële entiteiten onder NIS2, de gevolgen, het grensoverschrijdende karakter en het risico op overslag, en de maatregelen die de gebruiker al nam (artikel 16, lid 3). **Overeenkomsten en aansprakelijkheid.** De diensten worden verleend op basis van specifieke overeenkomsten tussen de aanbieder en de gebruiker, eventueel ook met de getroffen entiteit. Die overeenkomsten bevatten aansprakelijkheidsvoorwaarden en zijn gebaseerd op modellen van Enisa (artikel 16, leden 5 en 6). De Commissie, Enisa en de gebruikers dragen geen contractuele aansprakelijkheid voor schade die de diensten aan derden toebrengen (artikel 16, lid 7). Binnen twee maanden na het einde van de steun rapporteert de gebruiker over de dienst, de resultaten en de geleerde lessen (artikel 16, lid 9). ### Toetreden tot de reserve als aanbieder Aanbieders van beheerde beveiligingsdiensten worden via een overheidsopdracht geselecteerd. De aanbestedingsstukken moeten onder meer eisen ([artikel 17, lid 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32025R0038#art_17)): - personeel met de hoogste beroepsintegriteit, onafhankelijkheid en technische deskundigheid; - bescherming van vertrouwelijke en gerubriceerde informatie, ook bij dochterondernemingen en onderaannemers; - een transparante bestuursstructuur zonder belangenconflicten; - een veiligheidsmachtiging als een lidstaat die eist, en een passend beveiligingsniveau van de eigen IT-systemen; - hardware en software zonder bekende uitbuitbare kwetsbaarheden, met de laatste beveiligingsupdates en in lijn met de verordening cyberweerbaarheid; - ervaring met nationale autoriteiten of entiteiten in kritieke sectoren, en het vermogen om snel en in de gevraagde talen in te zetten; - certificering onder een Europese regeling voor beheerde beveiligingsdiensten binnen twee jaar nadat die regeling van toepassing wordt, zodra zo'n regeling bestaat; - voorwaarden om ongebruikte responsdiensten om te zetten in paraatheidsdiensten, zoals oefeningen of opleiding. ## In de praktijk Een Belgische ziekenhuisgroep wordt getroffen door ransomware die de patiëntensystemen in België en in een kliniek in Luxemburg platlegt. Ze meldt het incident binnen 24 uur aan haar CSIRT onder NIS2. De nationale autoriteiten beschouwen het incident als grootschalig, omdat het twee lidstaten raakt, en vragen via het centrale contactpunt steun aan de EU-cyberbeveiligingsreserve, met een beschrijving van wat het ziekenhuis zelf al deed. Binnen 48 uur horen ze of het verzoek wordt toegekend. Een betrouwbare aanbieder wordt ingezet op basis van een overeenkomst met het CSIRT en het ziekenhuis. Het ziekenhuis blijft zelf verantwoordelijk voor zijn meldingen onder de AVG en NIS2. Een middelgrote aanbieder van beheerde beveiligingsdiensten in Gent wil tot de reserve toetreden. Hij bereidt de aanbesteding voor door de ervaring van zijn incidentteam met klanten in kritieke sectoren te documenteren, net als zijn vertrouwelijkheidsafspraken met onderaannemers, zijn eigen beveiligingsniveau en zijn patchbeleid. Hij houdt rekening met de certificeringseis zodra een Europese regeling voor beheerde beveiligingsdiensten van toepassing is. Een energiedistributeur wordt uitgenodigd voor een gecoördineerde paraatheidstest in zijn sector. Deelname is vrijwillig. Leidt de test tot aanbevelingen, dan kan de nationale autoriteit nagaan hoe het bedrijf die opvolgt (artikel 12, lid 7). ### Praktische stappen 1. Houd je NIS2-meldingen scherp: steun uit de reserve begint bij een incident dat de autoriteiten kennen. 2. Ken je nationale centrale contactpunt en je CSIRT, en weet hoe je escaleert. 3. Bereid je voor om met een extern responsteam te werken: toegangsrechten, omgang met bewijs, vertrouwelijkheid en een vaste interne trekker. 4. Bekijk hoe je cyberverzekering en je contracten met incidentresponders omgaan met hulp van buitenaf. 5. Ben je een beveiligingsaanbieder, leg je aanbod dan naast artikel 17, lid 2, voordat er oproepen tot inschrijving verschijnen. ### Contracten Werken responders uit de reserve op jouw systemen, dan kan de overeenkomst driepartijdig zijn, met het CSIRT en de aanbieder. Lees de aansprakelijkheidsvoorwaarden in het Enisa-model goed, want de Commissie, Enisa en de gebruikers dragen geen contractuele aansprakelijkheid tegenover derden. Stem je eigen dienstencontracten erop af: je vaste incidentresponder en je outsourcingpartners aanvaarden best samenwerking met externe responders en toegang tot logbestanden. ## Veelgestelde vragen ### Kan mijn bedrijf de EU-cyberbeveiligingsreserve om hulp vragen? Niet rechtstreeks. Het verzoek komt van de autoriteit voor cybercrisisbeheer of het CSIRT van je lidstaat, via het centrale contactpunt van NIS2 (artikel 14, lid 3, en artikel 15, lid 3). ### Voegt de verordening cybersolidariteit meldplichten toe voor bedrijven? Nee. Meldplichten komen uit NIS2, de verordening cyberweerbaarheid en de AVG. De verordening cybersolidariteit gebruikt de informatie die via de NIS2-instanties loopt. ### Moeten we gegevens delen met een nationale cyberhub? De verordening voorziet in samenwerking en informatie-uitwisseling met private entiteiten, en hubs kunnen waar passend en wettig telemetrie-, sensor- en loggegevens vragen of ontvangen (artikel 4, lid 3). Ze legt bedrijven zelf geen algemene deelplicht op. ### Is een paraatheidstest verplicht? Nee. Gecoördineerde paraatheidstests zijn vrijwillig voor de lidstaten en worden met subsidies ondersteund (artikel 12, leden 3 en 4). ## Hoe dit samenhangt Gaat een incident over de grenzen heen, dan tellen timing en samenhang. Ons team [datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement) coördineert de meldingen onder NIS2, de CRA en de AVG, en de [workflow voor datalekken](https://pitch.law/nl/technologies/breach-response-workflow) bewaart het incidentdossier waarop autoriteiten en externe responders steunen. Ons team [handelscontracten](https://pitch.law/nl/solutions/commercial-contracts-transactions) toetst responsovereenkomsten en outsourcingvoorwaarden, en het [register van rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) volgt samenwerkings- en vertrouwelijkheidsplichten op. ### In één oogopslag **Aangehaalde bepalingen:** Verordening (EU) 2025/38, artikelen 1 tot en met 7, 11 tot en met 18, 21, 22 en 26; Richtlijn (EU) 2022/2555, artikel 6, punt 7. **Belangrijke data:** vastgesteld op 19 december 2024; bekendgemaakt op 15 januari 2025; in werking sinds 4 februari 2025; richtsnoeren van Enisa over interoperabiliteit tegen 5 februari 2026; eerste evaluatie door de Commissie tegen 5 februari 2027 (artikel 25). **Verwant:** [de NIS2-richtlijn](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework), [het cyberbeveiligingspakket van 2026](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments), [Verordening cyberweerbaarheid II, kwetsbaarheden en meldingen](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) en [de 72-urenregel bij datalekken](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown). ## In het kort - De drie bouwstenen van Verordening (EU) 2025/38 - Wie hulp kan vragen aan de EU-cyberbeveiligingsreserve, en hoe - Het antwoord binnen 48 uur en de criteria voor voorrang - Wat aanbieders van beheerde beveiligingsdiensten moeten bieden om tot de reserve toe te treden - De link met de NIS2-meldingen ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/data-breach-response-enforcement) ### [Aanpak van datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement) [Hulp vanaf de eerste uren van een datalek: inschatten wat er speelt, melden aan de toezichthouder en aan betrokkenen, alles vastleggen en optreden tegen de bron.](https://pitch.law/nl/solutions/data-breach-response-enforcement) - [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions) ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions) ## Onze eigen Legal Tech - [Technologie](https://pitch.law/nl/technologies/breach-response-workflow) ### [Datalekken afhandelen](https://pitch.law/nl/technologies/breach-response-workflow) [Een workflow voor artikelen 33 en 34 AVG met een afteller van 72 uur, een referentie per inbreuk en een gestructureerde melding aan de toezichthouder, goedgekeurd door een jurist.](https://pitch.law/nl/technologies/breach-response-workflow) - [Technologie](https://pitch.law/nl/technologies/contract-obligations) ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations) ## Meer over Data - ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) - ### [De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI](https://pitch.law/nl/academy/cloud-and-ai-development-act) [Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn.](https://pitch.law/nl/academy/cloud-and-ai-development-act) - ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) - ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) - ### [Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) [Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) - ### [Het cyberbeveiligingspakket van 2026: herziene Cyberbeveiligingsverordening en NIS2-wijzigingen](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) [Wat de Commissie op 20 januari 2026 voorstelde in COM(2026) 11 (de Cybersecurity Act 2, ter vervanging van Verordening (EU) 2019/881) en COM(2026) 13 (gerichte wijzigingen aan de NIS2-richtlijn), hoe ver de procedures staan en wat bedrijven nu al kunnen voorbereiden.](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)