---
title: "Het cyberbeveiligingspakket van 2026: herziene…"
description: "Wat de Commissie op 20 januari 2026 voorstelde in COM(2026) 11 (de Cybersecurity Act 2, ter vervanging van Verordening (EU) 2019/881) en COM(2026) 13 (gerichte…"
url: https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments
---

[pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology)

# Het cyberbeveiligingspakket van 2026: herziene Cyberbeveiligingsverordening en NIS2-wijzigingen

Wat de Commissie op 20 januari 2026 voorstelde in COM(2026) 11 (de Cybersecurity Act 2, ter vervanging van Verordening (EU) 2019/881) en COM(2026) 13 (gerichte wijzigingen aan de NIS2-richtlijn), hoe ver de procedures staan en wat bedrijven nu al kunnen voorbereiden.

- - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat
  - 13 november 2026

- Bijgewerkt

  13-11-2026

## Het juridisch kader

Op 20 januari 2026 stelde de Commissie twee samenhangende voorstellen voor:

- **[COM(2026) 11 final](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0011)** van 20 januari 2026, een verordening over Enisa (het EU-agentschap voor cyberbeveiliging), het Europese kader voor cyberbeveiligingscertificering en de veiligheid van de ICT-toeleveringsketen, die Verordening (EU) 2019/881 intrekt, de "Cybersecurity Act 2". Procedure [2026/0011(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0011%28COD%29).
- **[COM(2026) 13 final](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0013)** van 20 januari 2026, een richtlijn tot wijziging van Richtlijn (EU) 2022/2555 met vereenvoudigingsmaatregelen en afstemming op de Cybersecurity Act 2. Procedure [2026/0012(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0012%28COD%29).

Op 13 november 2026 toont het Legislative Observatory van het Europees Parlement beide dossiers in de fase "Awaiting committee decision" (wachten op een beslissing van de commissie). Het zijn voorstellen. Niemand is er al door gebonden, en de teksten kunnen in het Parlement en de Raad nog wijzigen. Tot de aanneming blijven de huidige [cyberbeveiligingsverordening, Verordening (EU) 2019/881](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32019R0881), en de [NIS2-richtlijn, Richtlijn (EU) 2022/2555](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32022L2555), met de nationale wetten die ze omzetten, van toepassing.

### Wat de huidige cyberbeveiligingsverordening doet

Verordening (EU) 2019/881 geeft Enisa haar mandaat en zet het Europese kader voor cyberbeveiligingscertificering van ICT-producten, -diensten en -processen op ([artikel 46](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32019R0881#art_46)). Regelingen kunnen drie zekerheidsniveaus gebruiken: "basis", "substantieel" en "hoog" ([artikel 52](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32019R0881#art_52)). Zelfbeoordeling kan alleen op niveau "basis" ([artikel 53](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32019R0881#art_53)). Certificering is vrijwillig, tenzij het Unierecht of het nationale recht anders bepaalt ([artikel 56, lid 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32019R0881#art_56)). De verordening cyberweerbaarheid steunt nu al op die regelingen: een belangrijk product van klasse II kan bijvoorbeeld zijn conformiteit aantonen met een certificaat op niveau "substantieel" (zie [deel I van onze CRA-reeks](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes)).

### De Cybersecurity Act 2: drie titels die voor bedrijven tellen

De toelichting noemt vier problemen: een kader dat niet meer past bij het dreigingslandschap, de "stilgevallen" uitvoering van het certificeringskader, de complexiteit van overlappende cyberregels, en groeiende risico's in de ICT-toeleveringsketen. Het voorstel pakt die in drie delen aan.

**Enisa (titel II).** Enisa krijgt operationele taken. Onder meer: vroegtijdige waarschuwingen over dreigingen (voorgestelde artikelen 11 en 12), het beheer van de EU-cyberbeveiligingsreserve en hulp aan essentiële en belangrijke entiteiten om zich voor te bereiden op ransomware-incidenten, erop te reageren en ervan te herstellen (artikel 13), het centrale meldingsplatform van de verordening cyberweerbaarheid (artikel 15) en een Uniedienst voor het beheer van kwetsbaarheden (artikel 16). Daarnaast krijgt Enisa taken rond attesten van individuele cybervaardigheden (artikelen 19 tot en met 23).

**Certificering (titel III).** Het kader wordt herbouwd en verbreed. Naast ICT-producten, -diensten en -processen kunnen regelingen ook beheerde beveiligingsdiensten en de **cyberweerbaarheid ("cyber posture") van entiteiten** dekken (voorgesteld artikel 71). Als een andere Uniehandeling daarin voorziet, toont een certificaat de naleving van die handeling aan en geeft het een vermoeden van conformiteit; de beoordeling daarvoor gebeurt door een derde partij (artikel 78). Zelfbeoordeling blijft beperkt tot gevallen met een laag risico op zekerheidsniveau "basis" (artikel 83). Na een gedetailleerd verzoek van de Commissie moet Enisa binnen 12 maanden een kandidaat-regeling afleveren (toelichting, bij artikel 73).

**Veiligheid van de ICT-toeleveringsketen (titel IV).** Dit is het verst reikende deel. Het viseert "niet-technische risico's" in de toeleveringsketens van de sectoren die onder NIS2 vallen:

- gecoördineerde risicobeoordelingen op Unieniveau, op verzoek van de Commissie of van minstens drie lidstaten (artikelen 98 en 99);
- de mogelijkheid om bij uitvoeringshandeling een derde land aan te wijzen dat "cyberbeveiligingsproblemen voor ICT-toeleveringsketens" veroorzaakt, op basis van criteria zoals wetten die verplichten om kwetsbaarheden aan die staat te melden voordat bekend is dat ze worden uitgebuit (artikel 100, leden 1 en 2);
- **risicoleveranciers** ("high-risk suppliers") mogen geen Europese cyberbeveiligingscertificaten houden, geen geaccrediteerde conformiteitsbeoordelingsinstantie worden, niet deelnemen aan overheidsopdrachten voor ICT-componenten in kritieke ICT-middelen en geen Uniefinanciering krijgen voor zulke componenten; bestaande certificaten worden ingetrokken (artikel 100, leden 4 en 5);
- uitvoeringshandelingen die bepaalde soorten NIS2-entiteiten kunnen verbieden ICT-componenten van risicoleveranciers in kritieke ICT-middelen te gebruiken, met overgangs- en uitfaseringstermijnen (artikel 103, lid 1), of andere maatregelen kunnen opleggen, zoals transparantie over leveranciers, beperkingen op datadoorgifte en verwerking op afstand vanuit derde landen, en door een derde geauditeerde technische maatregelen (artikel 103, lid 2);
- voor mobiele netwerken geldt voor componenten van risicoleveranciers in kritieke ICT-middelen een uitfaseringstermijn van hoogstens 36 maanden na de bekendmaking van de lijst van risicoleveranciers voor die netwerken (artikel 110, lid 3).

De lidstaten bepalen de sancties, met maxima van 1%, 2% of 7% van de wereldwijde jaaromzet naargelang de geschonden bepaling; 7% geldt voor inbreuken op een verbod onder artikel 103, lid 1, en op artikel 111 ([voorgesteld artikel 115](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0011)). Het voorstel trekt Verordening (EU) 2019/881 in; de datum staat nog open in de tekst (artikel 121).

### De NIS2-wijzigingen (COM(2026) 13)

Het richtlijnvoorstel brengt gerichte wijzigingen aan in [NIS2](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework):

- **Kleine midcaps.** Entiteiten uit bijlage I zouden pas essentieel zijn als ze de drempels voor kleine midcaps uit [Aanbeveling (EU) 2025/1099](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32025H1099) van de Commissie overschrijden. Wie in die categorie valt, wordt dus een belangrijke entiteit (gewijzigd artikel 3, lid 1, a); overweging 2).
- **Aanbieders van DNS-diensten** zouden niet langer ongeacht hun omvang onder de richtlijn vallen; voor hen geldt dan de algemene omvangregel (gewijzigd artikel 2, lid 2, a), iii); overweging 2).
- **Nieuwe entiteiten ongeacht hun omvang:** aanbieders van Europese digitale-identiteitsportemonnees en van Europese bedrijfsportemonnees, als essentiële entiteiten (gewijzigde artikelen 2, lid 2, en 3, lid 1, b)). Exploitanten van onderzeese datatransmissie-infrastructuur worden toegevoegd aan digitale infrastructuur in bijlage I (nieuwe definitie in artikel 6, punt 43; bijlage bij het voorstel).
- **Verduidelijkingen van het toepassingsgebied** in de bijlagen: elektriciteitsproducenten alleen boven 1 MW totale productiecapaciteit, een engere omschrijving van zorgaanbieders, waterstofondernemingen en de chemische sector (bijlage bij het voorstel; overwegingen 3 en 4).
- **Certificering van de cyberweerbaarheid.** Lidstaten mogen entiteiten verplichten een certificaat over hun cyberweerbaarheid te behalen onder een regeling van de Cybersecurity Act 2 om de naleving van artikel 21 aan te tonen. Dekt zo'n certificaat de vereisten, dan mogen de autoriteiten voor die vereisten geen bijkomende regelmatige en gerichte beveiligingsaudits opleggen onder artikel 32, lid 2, b), of artikel 33, lid 2, b). De entiteit blijft zelf verantwoordelijk voor de naleving (nieuw artikel 24, leden 4 tot en met 6).
- **Maximale harmonisatie** als de Commissie uitvoeringshandelingen over risicobeheer vaststelt: lidstaten mogen dan geen bijkomende technische, methodologische of sectorale eisen opleggen (gewijzigde artikelen 5 en 21, lid 5).
- **Ransomware.** Incidentmeldingen zouden vermelden of een ransomware-aanval werd vastgesteld, de aanvalsvector en of er maatregelen zijn genomen. Op verzoek zouden entiteiten het CSIRT laten weten of losgeld werd gevraagd en door wie, en of het werd betaald, hoeveel, hoe en aan wie (nieuw artikel 23, leden 12 en 13).
- **Registratie en het Enisa-register.** De registratiegegevens van artikel 3, lid 4, worden op elkaar afgestemd, en Enisa zou een register van alle essentiële en belangrijke entiteiten bijhouden (gewijzigde artikelen 3, lid 4, en 27).
- **Grensoverschrijdend toezicht.** Enisa zou wederzijdse bijstand en gezamenlijke toezichtsacties ondersteunen voor entiteiten die in meerdere lidstaten actief zijn (nieuw artikel 37 bis).
- **Post-kwantumcryptografie** wordt deel van de nationale cyberbeveiligingsstrategieën (gewijzigd artikel 7, lid 2).

De lidstaten zouden 12 maanden na de inwerkingtreding hebben om om te zetten (voorgesteld artikel 2).

## In de praktijk

Een Belgische elektriciteitsproducent met 600 werknemers is vandaag een essentiële NIS2-entiteit, als entiteit uit bijlage I boven de drempels voor middelgrote ondernemingen. Wordt de regel over kleine midcaps aangenomen zoals voorgesteld en valt het bedrijf binnen de drempels voor kleine midcaps, dan wordt het een belangrijke entiteit, met vooral toezicht achteraf. Zijn huidige plichten blijven gelden tot de Belgische NIS2-wet wordt gewijzigd.

Een aanbieder van beheerde diensten, actief in België, Nederland en Frankrijk, staat vandaag in elk land onder toezicht. Het voorstel zou hem toelaten met een certificaat over zijn cyberweerbaarheid de naleving van artikel 21 aan te tonen, als de lidstaten voor die weg kiezen, en zou Enisa een rol geven in gezamenlijk toezicht.

Een telecomoperator koopt radioapparatuur van een leverancier uit een derde land. Wordt dat land aangewezen onder artikel 100 en staat de leverancier op de lijst van risicoleveranciers, dan kan de operator verplicht worden diens componenten uit kritieke ICT-middelen te verwijderen. Aankoopteams noteren best welke leveranciers geraakt kunnen worden en hoe hun contracten een uitweg bieden.

### Wat je nu doet

1. Blijf de huidige NIS2-wet naleven in elk land waar je actief bent. De voorstellen veranderen nog niets.
2. Volg beide procedures op de pagina's van het Legislative Observatory hierboven.
3. Ga na of je groep een kleine midcap kan zijn onder Aanbeveling (EU) 2025/1099.
4. Breng je ICT-leveranciers voor kritieke systemen in kaart, met land van vestiging en zeggenschap.
5. Neem uitstap- en vervangingsbedingen op in ICT-leveringscontracten, met een duidelijke kostenverdeling als een leverancier bij wet een verboden bron wordt.
6. Documenteer hoe je ransomware aanpakt: detectie, aanvalsvector, maatregelen en eventuele losgeldeisen.

### Contracten

Leveringscontracten voor ICT-componenten en beheerde diensten anticiperen best op een wetswijziging: een recht om een leverancier op te zeggen of te vervangen als die onder een wettelijk verbod valt, medewerking bij uitfasering, en transparantie over eigendom en zeggenschap van de leverancier. Dienstencontracten met klanten die onder NIS2 vallen, regelen ook de medewerking aan incidentmeldingen, met de nieuwe gegevens over ransomware als die worden aangenomen.

## Veelgestelde vragen

### Moeten we vandaag al iets doen door deze voorstellen?

Uit een voorstel volgt geen wettelijke plicht. Praktische voorbereiding is wel zinvol, vooral voor het in kaart brengen van leveranciers en voor contractvoorwaarden, omdat ICT-contracten vaak jaren lopen.

### Wordt NIS2-certificering verplicht?

Volgens het voorstel "mogen" lidstaten een certificaat over de cyberweerbaarheid eisen om de naleving van artikel 21 aan te tonen (nieuw artikel 24, lid 4). Het voorstel maakt het niet in de hele Unie verplicht.

### Geldt het regime voor risicoleveranciers voor alle bedrijven?

De verboden en maatregelen zouden gelden voor soorten entiteiten uit de bijlagen I en II van NIS2, via uitvoeringshandelingen die de Commissie na een risicobeoordeling vaststelt (artikel 103). De beperkingen voor overheidsopdrachten en financiering van artikel 100, lid 4, gaan over ICT-componenten in kritieke ICT-middelen.

### Hoe verhoudt dit zich tot de verordening cyberweerbaarheid?

De verordening cyberweerbaarheid regelt producten. De Cybersecurity Act 2 zou de certificeringsregelingen waarnaar de CRA verwijst behouden en herbouwen, en geeft Enisa het centrale meldingsplatform van de CRA als taak (voorgesteld artikel 15).

## Hoe dit samenhangt

Meldingen onder NIS2, de CRA en de AVG behandelt ons team [datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement) vanuit één tijdlijn, vastgelegd in de [workflow voor datalekken](https://pitch.law/nl/technologies/breach-response-workflow). Uitstap- en wetswijzigingsbedingen voor leveranciers schrijft ons team [handelscontracten](https://pitch.law/nl/solutions/commercial-contracts-transactions), en het [register van rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) volgt verlengings- en opzegtermijnen op, zodat je kunt handelen als de regels veranderen.

### In één oogopslag

**Teksten:** voorstel COM(2026) 11 final, 2026/0011(COD), artikelen 11 tot en met 16, 71, 73, 78, 83, 98 tot en met 103, 110, 111, 115 en 121; voorstel COM(2026) 13 final, 2026/0012(COD), tot wijziging van de artikelen 2, 3, 5, 6, 7, 21, 23, 24 en 27 en tot invoeging van artikel 37 bis in Richtlijn (EU) 2022/2555; Verordening (EU) 2019/881, artikelen 46, 52, 53 en 56.

**Belangrijke data:** beide voorstellen van 20 januari 2026; stand op 13 november 2026: wachten op een beslissing van de commissie; NIS2-wijzigingen om te zetten binnen 12 maanden na de inwerkingtreding.

**Verwant:** [de NIS2-richtlijn](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework), [Verordening cyberweerbaarheid I](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes), [Verordening cyberweerbaarheid II](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting) en [de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act).

## In het kort

- De twee voorstellen, hun procedures en hun stand
- Certificering van de cyberweerbaarheid van een organisatie
- Veiligheid van de ICT-toeleveringsketen en risicoleveranciers
- Kleine midcaps, ransomwaremeldingen en andere NIS2-wijzigingen
- Wat tot de aanneming hetzelfde blijft

## Hier helpen we mee

- [Oplossingen](https://pitch.law/nl/solutions/data-breach-response-enforcement)
  ### [Aanpak van datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement)
  [Hulp vanaf de eerste uren van een datalek: inschatten wat er speelt, melden aan de toezichthouder en aan betrokkenen, alles vastleggen en optreden tegen de bron.](https://pitch.law/nl/solutions/data-breach-response-enforcement)
- [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions)

## Onze eigen Legal Tech

- [Technologie](https://pitch.law/nl/technologies/breach-response-workflow)
  ### [Datalekken afhandelen](https://pitch.law/nl/technologies/breach-response-workflow)
  [Een workflow voor artikelen 33 en 34 AVG met een afteller van 72 uur, een referentie per inbreuk en een gestructureerde melding aan de toezichthouder, goedgekeurd door een jurist.](https://pitch.law/nl/technologies/breach-response-workflow)
- [Technologie](https://pitch.law/nl/technologies/contract-obligations)
  ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations)
  [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations)

## Meer over Data

- ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification)
  [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification)
- ### [De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI](https://pitch.law/nl/academy/cloud-and-ai-development-act)
  [Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn.](https://pitch.law/nl/academy/cloud-and-ai-development-act)
- ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source)
  [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source)
- ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes)
  [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes)
- ### [Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting)
  [Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting)
- ### [Cyberincidenten over de grenzen heen: de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act)
  [Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten.](https://pitch.law/nl/academy/cyber-solidarity-act)

## Even sparren?

Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis.

[Plan een gesprek](https://pitch.law/nl/schedule)