Het cyberbeveiligingspakket van 2026: herziene Cyberbeveiligingsverordening en NIS2-wijzigingen

Het juridisch kader

Op 20 januari 2026 stelde de Commissie twee samenhangende voorstellen voor:

• COM(2026) 11 final van 20 januari 2026, een verordening over Enisa (het EU-agentschap voor cyberbeveiliging), het Europese kader voor cyberbeveiligingscertificering en de veiligheid van de ICT-toeleveringsketen, die Verordening (EU) 2019/881 intrekt, de "Cybersecurity Act 2". Procedure 2026/0011(COD).
• COM(2026) 13 final van 20 januari 2026, een richtlijn tot wijziging van Richtlijn (EU) 2022/2555 met vereenvoudigingsmaatregelen en afstemming op de Cybersecurity Act 2. Procedure 2026/0012(COD).

Op 13 november 2026 toont het Legislative Observatory van het Europees Parlement beide dossiers in de fase "Awaiting committee decision" (wachten op een beslissing van de commissie). Het zijn voorstellen. Niemand is er al door gebonden, en de teksten kunnen in het Parlement en de Raad nog wijzigen. Tot de aanneming blijven de huidige cyberbeveiligingsverordening, Verordening (EU) 2019/881, en de NIS2-richtlijn, Richtlijn (EU) 2022/2555, met de nationale wetten die ze omzetten, van toepassing.

Wat de huidige cyberbeveiligingsverordening doet

Verordening (EU) 2019/881 geeft Enisa haar mandaat en zet het Europese kader voor cyberbeveiligingscertificering van ICT-producten, -diensten en -processen op (artikel 46). Regelingen kunnen drie zekerheidsniveaus gebruiken: "basis", "substantieel" en "hoog" (artikel 52). Zelfbeoordeling kan alleen op niveau "basis" (artikel 53). Certificering is vrijwillig, tenzij het Unierecht of het nationale recht anders bepaalt (artikel 56, lid 2). De verordening cyberweerbaarheid steunt nu al op die regelingen: een belangrijk product van klasse II kan bijvoorbeeld zijn conformiteit aantonen met een certificaat op niveau "substantieel" (zie deel I van onze CRA-reeks).

De Cybersecurity Act 2: drie titels die voor bedrijven tellen

De toelichting noemt vier problemen: een kader dat niet meer past bij het dreigingslandschap, de "stilgevallen" uitvoering van het certificeringskader, de complexiteit van overlappende cyberregels, en groeiende risico's in de ICT-toeleveringsketen. Het voorstel pakt die in drie delen aan.

Enisa (titel II). Enisa krijgt operationele taken. Onder meer: vroegtijdige waarschuwingen over dreigingen (voorgestelde artikelen 11 en 12), het beheer van de EU-cyberbeveiligingsreserve en hulp aan essentiële en belangrijke entiteiten om zich voor te bereiden op ransomware-incidenten, erop te reageren en ervan te herstellen (artikel 13), het centrale meldingsplatform van de verordening cyberweerbaarheid (artikel 15) en een Uniedienst voor het beheer van kwetsbaarheden (artikel 16). Daarnaast krijgt Enisa taken rond attesten van individuele cybervaardigheden (artikelen 19 tot en met 23).

Certificering (titel III). Het kader wordt herbouwd en verbreed. Naast ICT-producten, -diensten en -processen kunnen regelingen ook beheerde beveiligingsdiensten en de cyberweerbaarheid ("cyber posture") van entiteiten dekken (voorgesteld artikel 71). Als een andere Uniehandeling daarin voorziet, toont een certificaat de naleving van die handeling aan en geeft het een vermoeden van conformiteit; de beoordeling daarvoor gebeurt door een derde partij (artikel 78). Zelfbeoordeling blijft beperkt tot gevallen met een laag risico op zekerheidsniveau "basis" (artikel 83). Na een gedetailleerd verzoek van de Commissie moet Enisa binnen 12 maanden een kandidaat-regeling afleveren (toelichting, bij artikel 73).

Veiligheid van de ICT-toeleveringsketen (titel IV). Dit is het verst reikende deel. Het viseert "niet-technische risico's" in de toeleveringsketens van de sectoren die onder NIS2 vallen:

• gecoördineerde risicobeoordelingen op Unieniveau, op verzoek van de Commissie of van minstens drie lidstaten (artikelen 98 en 99);
• de mogelijkheid om bij uitvoeringshandeling een derde land aan te wijzen dat "cyberbeveiligingsproblemen voor ICT-toeleveringsketens" veroorzaakt, op basis van criteria zoals wetten die verplichten om kwetsbaarheden aan die staat te melden voordat bekend is dat ze worden uitgebuit (artikel 100, leden 1 en 2);
• risicoleveranciers ("high-risk suppliers") mogen geen Europese cyberbeveiligingscertificaten houden, geen geaccrediteerde conformiteitsbeoordelingsinstantie worden, niet deelnemen aan overheidsopdrachten voor ICT-componenten in kritieke ICT-middelen en geen Uniefinanciering krijgen voor zulke componenten; bestaande certificaten worden ingetrokken (artikel 100, leden 4 en 5);
• uitvoeringshandelingen die bepaalde soorten NIS2-entiteiten kunnen verbieden ICT-componenten van risicoleveranciers in kritieke ICT-middelen te gebruiken, met overgangs- en uitfaseringstermijnen (artikel 103, lid 1), of andere maatregelen kunnen opleggen, zoals transparantie over leveranciers, beperkingen op datadoorgifte en verwerking op afstand vanuit derde landen, en door een derde geauditeerde technische maatregelen (artikel 103, lid 2);
• voor mobiele netwerken geldt voor componenten van risicoleveranciers in kritieke ICT-middelen een uitfaseringstermijn van hoogstens 36 maanden na de bekendmaking van de lijst van risicoleveranciers voor die netwerken (artikel 110, lid 3).

De lidstaten bepalen de sancties, met maxima van 1%, 2% of 7% van de wereldwijde jaaromzet naargelang de geschonden bepaling; 7% geldt voor inbreuken op een verbod onder artikel 103, lid 1, en op artikel 111 (voorgesteld artikel 115). Het voorstel trekt Verordening (EU) 2019/881 in; de datum staat nog open in de tekst (artikel 121).

De NIS2-wijzigingen (COM(2026) 13)

Het richtlijnvoorstel brengt gerichte wijzigingen aan in NIS2:

• Kleine midcaps. Entiteiten uit bijlage I zouden pas essentieel zijn als ze de drempels voor kleine midcaps uit Aanbeveling (EU) 2025/1099 van de Commissie overschrijden. Wie in die categorie valt, wordt dus een belangrijke entiteit (gewijzigd artikel 3, lid 1, a); overweging 2).
• Aanbieders van DNS-diensten zouden niet langer ongeacht hun omvang onder de richtlijn vallen; voor hen geldt dan de algemene omvangregel (gewijzigd artikel 2, lid 2, a), iii); overweging 2).
• Nieuwe entiteiten ongeacht hun omvang: aanbieders van Europese digitale-identiteitsportemonnees en van Europese bedrijfsportemonnees, als essentiële entiteiten (gewijzigde artikelen 2, lid 2, en 3, lid 1, b)). Exploitanten van onderzeese datatransmissie-infrastructuur worden toegevoegd aan digitale infrastructuur in bijlage I (nieuwe definitie in artikel 6, punt 43; bijlage bij het voorstel).
• Verduidelijkingen van het toepassingsgebied in de bijlagen: elektriciteitsproducenten alleen boven 1 MW totale productiecapaciteit, een engere omschrijving van zorgaanbieders, waterstofondernemingen en de chemische sector (bijlage bij het voorstel; overwegingen 3 en 4).
• Certificering van de cyberweerbaarheid. Lidstaten mogen entiteiten verplichten een certificaat over hun cyberweerbaarheid te behalen onder een regeling van de Cybersecurity Act 2 om de naleving van artikel 21 aan te tonen. Dekt zo'n certificaat de vereisten, dan mogen de autoriteiten voor die vereisten geen bijkomende regelmatige en gerichte beveiligingsaudits opleggen onder artikel 32, lid 2, b), of artikel 33, lid 2, b). De entiteit blijft zelf verantwoordelijk voor de naleving (nieuw artikel 24, leden 4 tot en met 6).
• Maximale harmonisatie als de Commissie uitvoeringshandelingen over risicobeheer vaststelt: lidstaten mogen dan geen bijkomende technische, methodologische of sectorale eisen opleggen (gewijzigde artikelen 5 en 21, lid 5).
• Ransomware. Incidentmeldingen zouden vermelden of een ransomware-aanval werd vastgesteld, de aanvalsvector en of er maatregelen zijn genomen. Op verzoek zouden entiteiten het CSIRT laten weten of losgeld werd gevraagd en door wie, en of het werd betaald, hoeveel, hoe en aan wie (nieuw artikel 23, leden 12 en 13).
• Registratie en het Enisa-register. De registratiegegevens van artikel 3, lid 4, worden op elkaar afgestemd, en Enisa zou een register van alle essentiële en belangrijke entiteiten bijhouden (gewijzigde artikelen 3, lid 4, en 27).
• Grensoverschrijdend toezicht. Enisa zou wederzijdse bijstand en gezamenlijke toezichtsacties ondersteunen voor entiteiten die in meerdere lidstaten actief zijn (nieuw artikel 37 bis).
• Post-kwantumcryptografie wordt deel van de nationale cyberbeveiligingsstrategieën (gewijzigd artikel 7, lid 2).

De lidstaten zouden 12 maanden na de inwerkingtreding hebben om om te zetten (voorgesteld artikel 2).

In de praktijk

Een Belgische elektriciteitsproducent met 600 werknemers is vandaag een essentiële NIS2-entiteit, als entiteit uit bijlage I boven de drempels voor middelgrote ondernemingen. Wordt de regel over kleine midcaps aangenomen zoals voorgesteld en valt het bedrijf binnen de drempels voor kleine midcaps, dan wordt het een belangrijke entiteit, met vooral toezicht achteraf. Zijn huidige plichten blijven gelden tot de Belgische NIS2-wet wordt gewijzigd.

Een aanbieder van beheerde diensten, actief in België, Nederland en Frankrijk, staat vandaag in elk land onder toezicht. Het voorstel zou hem toelaten met een certificaat over zijn cyberweerbaarheid de naleving van artikel 21 aan te tonen, als de lidstaten voor die weg kiezen, en zou Enisa een rol geven in gezamenlijk toezicht.

Een telecomoperator koopt radioapparatuur van een leverancier uit een derde land. Wordt dat land aangewezen onder artikel 100 en staat de leverancier op de lijst van risicoleveranciers, dan kan de operator verplicht worden diens componenten uit kritieke ICT-middelen te verwijderen. Aankoopteams noteren best welke leveranciers geraakt kunnen worden en hoe hun contracten een uitweg bieden.

Wat je nu doet

1. Blijf de huidige NIS2-wet naleven in elk land waar je actief bent. De voorstellen veranderen nog niets.
2. Volg beide procedures op de pagina's van het Legislative Observatory hierboven.
3. Ga na of je groep een kleine midcap kan zijn onder Aanbeveling (EU) 2025/1099.
4. Breng je ICT-leveranciers voor kritieke systemen in kaart, met land van vestiging en zeggenschap.
5. Neem uitstap- en vervangingsbedingen op in ICT-leveringscontracten, met een duidelijke kostenverdeling als een leverancier bij wet een verboden bron wordt.
6. Documenteer hoe je ransomware aanpakt: detectie, aanvalsvector, maatregelen en eventuele losgeldeisen.

Contracten

Leveringscontracten voor ICT-componenten en beheerde diensten anticiperen best op een wetswijziging: een recht om een leverancier op te zeggen of te vervangen als die onder een wettelijk verbod valt, medewerking bij uitfasering, en transparantie over eigendom en zeggenschap van de leverancier. Dienstencontracten met klanten die onder NIS2 vallen, regelen ook de medewerking aan incidentmeldingen, met de nieuwe gegevens over ransomware als die worden aangenomen.

Veelgestelde vragen

Moeten we vandaag al iets doen door deze voorstellen?

Uit een voorstel volgt geen wettelijke plicht. Praktische voorbereiding is wel zinvol, vooral voor het in kaart brengen van leveranciers en voor contractvoorwaarden, omdat ICT-contracten vaak jaren lopen.

Wordt NIS2-certificering verplicht?

Volgens het voorstel "mogen" lidstaten een certificaat over de cyberweerbaarheid eisen om de naleving van artikel 21 aan te tonen (nieuw artikel 24, lid 4). Het voorstel maakt het niet in de hele Unie verplicht.

Geldt het regime voor risicoleveranciers voor alle bedrijven?

De verboden en maatregelen zouden gelden voor soorten entiteiten uit de bijlagen I en II van NIS2, via uitvoeringshandelingen die de Commissie na een risicobeoordeling vaststelt (artikel 103). De beperkingen voor overheidsopdrachten en financiering van artikel 100, lid 4, gaan over ICT-componenten in kritieke ICT-middelen.

Hoe verhoudt dit zich tot de verordening cyberweerbaarheid?

De verordening cyberweerbaarheid regelt producten. De Cybersecurity Act 2 zou de certificeringsregelingen waarnaar de CRA verwijst behouden en herbouwen, en geeft Enisa het centrale meldingsplatform van de CRA als taak (voorgesteld artikel 15).

Hoe dit samenhangt

Meldingen onder NIS2, de CRA en de AVG behandelt ons team datalekken vanuit één tijdlijn, vastgelegd in de workflow voor datalekken. Uitstap- en wetswijzigingsbedingen voor leveranciers schrijft ons team handelscontracten, en het register van rechten en verplichtingen volgt verlengings- en opzegtermijnen op, zodat je kunt handelen als de regels veranderen.

In één oogopslag

Teksten: voorstel COM(2026) 11 final, 2026/0011(COD), artikelen 11 tot en met 16, 71, 73, 78, 83, 98 tot en met 103, 110, 111, 115 en 121; voorstel COM(2026) 13 final, 2026/0012(COD), tot wijziging van de artikelen 2, 3, 5, 6, 7, 21, 23, 24 en 27 en tot invoeging van artikel 37 bis in Richtlijn (EU) 2022/2555; Verordening (EU) 2019/881, artikelen 46, 52, 53 en 56.

Belangrijke data: beide voorstellen van 20 januari 2026; stand op 13 november 2026: wachten op een beslissing van de commissie; NIS2-wijzigingen om te zetten binnen 12 maanden na de inwerkingtreding.

Verwant: de NIS2-richtlijn, Verordening cyberweerbaarheid I, Verordening cyberweerbaarheid II en de verordening cybersolidariteit.