---
title: "Open source na de EU-opensourcestrategie | Pitch"
description: "Wat de EU-opensourcestrategie van juni 2026 aankondigt, welke bindende regels al gelden voor open source (de verordening cyberweerbaarheid, de verordening…"
url: https://pitch.law/nl/academy/eu-open-source-strategy
---

[pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Intellectuele eigendom](https://pitch.law/nl/academy/topics/intellectual-property)

# Open source na de EU-opensourcestrategie

Wat de EU-opensourcestrategie van juni 2026 aankondigt, welke bindende regels al gelden voor open source (de verordening cyberweerbaarheid, de verordening Interoperabel Europa) of voorgesteld zijn (de Cloud and AI Development Act), en wat bedrijven die op open source bouwen, het publiceren of beheren moeten doen met licenties, beveiliging en overheidsopdrachten.

- - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat
  - 13 november 2026

- Bijgewerkt

  13-11-2026

## Het juridisch kader

### Stand van zaken en de teksten

De EU-opensourcestrategie maakt deel uit van een mededeling van de Commissie van 3 juni 2026: [COM(2026) 503 final](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026DC0503), "over Europese technologische soevereiniteit, vergezeld van een EU-opensourcestrategie". Een mededeling is een beleidsdocument. Ze schept geen rechten of plichten voor bedrijven. Ze kondigt acties aan, waarvan sommige later tot wetgeving of financieringsoproepen kunnen leiden.

De bindende regels over open source staan in andere teksten:

- de verordening cyberweerbaarheid (Cyber Resilience Act), [Verordening (EU) 2024/2847](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32024R2847) van 23 oktober 2024, in werking sinds 10 december 2024 en van toepassing vanaf 11 december 2027, met artikel 14 (meldingen) van toepassing vanaf 11 september 2026 ([artikel 71](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_71));
- de verordening Interoperabel Europa, [Verordening (EU) 2024/903](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32024R0903), van toepassing sinds 12 juli 2024;
- de voorgestelde Cloud and AI Development Act, [COM(2026) 502](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502), procedure [2026/0138(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0138%28COD%29), die nog geen wet is.

### Wat de strategie zegt

De strategie heeft vier doelen: open source inzetten voor technologische soevereiniteit; een levendig opensource-ecosysteem versterken en promoten; open en interoperabele digitale ecosystemen voor overheden bevorderen; en digitale normen en internationale samenwerking versterken (afdeling 4). Ze omschrijft open source aan de hand van de definitie van het Open Source Initiative en van door OSI goedgekeurde licenties, en noemt GPL, Apache-2.0, MIT, MPL-2.0, EPL-2.0 en de eigen EUPL van de EU.

Enkele aangekondigde maatregelen:

- **Aanbodzijde.** De Open Internet Stack uitbouwen tot catalogus en één loket voor opensourcebouwstenen; versnellers voor opensourcebedrijven die onder meer juridisch en licentieadvies bieden; een "stewardship toolkit" om stichtingen in de EU op te richten; een haalbaarheidsstudie naar een EU-kader voor stichtingen; en een "Open Source Maintenance Instrument" om onderhoud en beveiliging van essentiële componenten te steunen (afdelingen 4.1 en 4.2).
- **Beveiliging.** De vrijwillige programma's voor beveiligingsattestatie onder artikel 25 van de verordening cyberweerbaarheid versnellen, een vrijwillig EU-beoordelingskader voor open source, en samen met ENISA een lijst van de meest blootgestelde opensourceafhankelijkheden (afdeling 4.2).
- **Overheid.** Richtsnoeren voor softwareaanbestedingen waarin open source met eigendomsrechtelijke oplossingen kan concurreren, voor de beoordeling van opensource-inschrijvingen en voor innovatiepartnerschappen; een principe van "open source eerst" bij overheidsopdrachten wordt besproken (afdeling 4.3).
- **Normen.** Bij de herziening van de normalisatieverordening maatregelen om opensourcegemeenschappen bij normalisatie te betrekken (afdeling 4.4).
- **Opvolging.** Jaarlijks overleg met de lidstaten in de Digital Decade Board en om de drie jaar een verslag aan het Parlement (afdeling 4.5; kernindicatoren in bijlage I).

Omdat het om aankondigingen gaat, behandelen we ze niet als verplichtingen. Volg de oproepen en voorstellen die erop volgen.

### Wie de bindende regels aanbelangen

- **Fabrikanten** die opensourcecomponenten verwerken in producten met digitale elementen die in de EU verkocht worden (verordening cyberweerbaarheid).
- **Opensourcesoftwarestewards**: rechtspersonen, geen fabrikanten, die systematisch en duurzaam de ontwikkeling ondersteunen van vrije en opensourceproducten die voor commerciële activiteiten bestemd zijn, en die de levensvatbaarheid ervan verzekeren ([artikel 3, punt 14](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_3)). Overweging 19 noemt bepaalde stichtingen en entiteiten die in een zakelijke context open source ontwikkelen en publiceren, ook zonder winstoogmerk.
- **Leveranciers van overheden**, via de verordening Interoperabel Europa en, als ze aangenomen wordt, de Cloud and AI Development Act.
- **Ontwikkelaars die code publiceren zonder er geld mee te verdienen**, die in principe buiten de verordening cyberweerbaarheid vallen (overweging 18).

Voorbeeld: een Gents softwarebedrijf bouwt een industriële gateway op een opensourcebesturingssysteem en drie opensourcebibliotheken. Het is fabrikant onder de verordening cyberweerbaarheid en moet voor die componenten de nodige zorgvuldigheid aan de dag leggen. De stichting die een van de bibliotheken onderhoudt, met betaald personeel en regelmatige releases die bedrijven gebruiken, kan een opensourcesoftwaresteward zijn.

### De verplichtingen, artikel per artikel

**Vrije en opensourcesoftware ([artikel 3, punt 48](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_3)).** Software waarvan de broncode openlijk gedeeld wordt en die beschikbaar is onder een vrije en opensourcelicentie die alle rechten geeft om ze vrij toegankelijk te maken, te gebruiken, te wijzigen en te herverdelen.

**Zorgvuldigheid van de fabrikant ([artikel 13, lid 5](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_13)).** Fabrikanten moeten zorgvuldig zijn wanneer ze componenten van derden verwerken, zodat die de cyberbeveiliging niet in gevaar brengen. Dat geldt uitdrukkelijk ook voor vrije en opensourcecomponenten die niet in het kader van een handelsactiviteit op de markt zijn aangeboden.

**Melden aan de bron ([artikel 13, lid 6](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_13)).** Een fabrikant die een kwetsbaarheid vindt in een verwerkte component, ook een opensourcecomponent, meldt die aan wie de component onderhoudt en verhelpt ze. Ontwikkelt hij een oplossing, dan deelt hij de relevante code of documentatie met de beheerder, waar passend.

**Stewards ([artikel 24](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_24)).** Voor stewards geldt een licht regime (meer in [Verordening cyberweerbaarheid III](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source)). Ze moeten:

1. een cyberbeveiligingsbeleid invoeren en controleerbaar documenteren dat veilige ontwikkeling, doeltreffende behandeling van kwetsbaarheden en vrijwillige melding ervan bevordert, en het delen van informatie over kwetsbaarheden binnen de gemeenschap stimuleert (artikel 24, lid 1);
2. op verzoek met de markttoezichtautoriteiten samenwerken en op een gemotiveerd verzoek de documentatie van dat beleid bezorgen (artikel 24, lid 2);
3. de meldplicht van artikel 14, lid 1, naleven voor zover ze bij de ontwikkeling betrokken zijn, en artikel 14, leden 3 en 8, bij ernstige incidenten op de systemen die ze voor de ontwikkeling ter beschikking stellen (artikel 24, lid 3).

Administratieve geldboetes onder artikel 64 gelden niet voor stewards ([artikel 64, lid 10, b](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_64)).

**Beveiligingsattestatie ([artikel 25](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_25)).** De Commissie kan vrijwillige programma's voor beveiligingsattestatie van vrije en opensourceproducten opzetten, om fabrikanten te helpen hun zorgvuldigheidsplicht na te komen. De strategie zegt dat ze die zal versnellen.

**Overheden en open licenties ([artikel 4, lid 6, van Verordening 2024/903](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R0903#art_4)).** Bij de keuze van interoperabiliteitsoplossingen geven overheden voorrang aan oplossingen zonder beperkende licentievoorwaarden, zoals open source, als die op objectieve criteria gelijkwaardig zijn. We leggen dit uit in [Interoperabel Europa](https://pitch.law/nl/academy/interoperable-europe-act).

**Voorgesteld: het opensourcehoofdstuk van de Cloud and AI Development Act (artikelen 41 tot 44 van COM(2026) 502).** Zoals voorgesteld zouden de Unie en de lidstaten overheden aanmoedigen om open standaarden en opensourcecomponenten te gebruiken. Software die ze onder een opensourcelicentie vrijgeven, zou verschijnen via een catalogus die verbonden is met de EU-catalogus van opensourceoplossingen op het Interoperabel Europa-portaal, en er zou een netwerk van Open Source Programme Offices komen. Zie [de Cloud and AI Development Act](https://pitch.law/nl/academy/cloud-and-ai-development-act).

## In de praktijk

**Ken je componenten.** Hou een softwarestuklijst bij en ken de licentie van elke component. De zorgvuldigheidsplicht van de verordening cyberweerbaarheid en de soevereiniteitscriteria in het voorstel voor de Cloud and AI Development Act gaan er allebei van uit dat je kan aantonen waar je code vandaan komt.

**Controleer of licenties samengaan.** Copyleftlicenties zoals de GPL kunnen je verplichten de broncode van afgeleide werken vrij te geven bij verspreiding. Permissieve licenties zoals MIT of Apache-2.0 doen dat niet, maar bevatten vermeldingsplichten en, bij Apache-2.0, octrooibepalingen. De EUPL heeft een eigen compatibiliteitsclausule. Breng de verplichtingen in kaart voor je levert.

**Leg je bijdragebeleid vast.** Volgens artikel 13, lid 6, moet je een oplossing voor een kwetsbaarheid in een component waar passend met de beheerder delen. Stem dat af op je IE-beleid: wie mag bijdragen, onder welke bijdragersovereenkomst, en hoe bescherm je wat eigendomsrechtelijk is. Ons artikel over [softwarebescherming](https://pitch.law/nl/academy/protecting-software-intellectual-property) legt uit wat auteursrecht en octrooien bij software dekken.

**Als je een project beheert.** Een stichting of bedrijf dat een opensourceproject voor commercieel gebruik ondersteunt, gaat best na of het onder de definitie van steward valt. Is dat zo, schrijf en documenteer dan nu het cyberbeveiligingsbeleid, vóór 11 december 2027, en zet het meldkanaal op dat artikel 14 vraagt.

**Als je aan de overheid verkoopt.** Reken erop dat aanbestedingsstukken vragen naar licenties, hergebruik en open standaarden. Overweeg een dubbele licentie of een publieke licentie voor de interoperabiliteitslaag. Zie [licentieovereenkomsten](https://pitch.law/nl/academy/licensing-agreements) voor mogelijke structuren.

Een uitgewerkt voorbeeld: een Belgische SaaS-aanbieder wil inschrijven op een gewestelijk e-governmentplatform. Hij biedt zijn kern aan onder een commerciële licentie en publiceert zijn connectoren onder de EUPL. In zijn inschrijving documenteert hij zijn componenten, hun licenties en zijn behandeling van kwetsbaarheden. Zo staat hij sterk onder artikel 4, lid 6, van de verordening Interoperabel Europa en voldoet hij aan de verwachtingen van de verordening cyberweerbaarheid zodra die gelden.

## Veelgestelde vragen

### Is de EU-opensourcestrategie bindend?

Nee. Ze maakt deel uit van een mededeling van de Commissie. Ze kondigt maatregelen en financieringsprioriteiten aan. Bindende regels over open source staan in de verordening cyberweerbaarheid en de verordening Interoperabel Europa, en worden voorgesteld in de Cloud and AI Development Act.

### Geldt de verordening cyberweerbaarheid voor ontwikkelaars die gratis code publiceren?

In principe niet, als de software niet in het kader van een handelsactiviteit op de markt wordt aangeboden (overweging 18). Fabrikanten die die code in hun eigen producten verwerken, blijven verantwoordelijk voor de zorgvuldigheid (artikel 13, lid 5).

### Wat is een opensourcesoftwaresteward, en kan die beboet worden?

Een rechtspersoon, geen fabrikant, die systematisch de ontwikkeling ondersteunt van opensourceproducten die voor commerciële activiteiten bestemd zijn, en hun levensvatbaarheid verzekert (artikel 3, punt 14). Hij heeft lichte verplichtingen onder artikel 24, en artikel 64, lid 10, b, sluit administratieve geldboetes voor zijn inbreuken uit.

### Moeten overheden open source kopen?

Niet als regel. De verordening Interoperabel Europa vraagt hen voorrang te geven aan oplossingen zonder beperkende licentievoorwaarden als oplossingen gelijkwaardig zijn. De voorgestelde Cloud and AI Development Act zou het gebruik van open source aanmoedigen. De strategie bespreekt een principe van "open source eerst", maar legt het niet op.

## Hoe dit samenhangt

We toetsen verplichtingen uit opensourcelicenties en stellen bijdragers-, licentie- en leveringsvoorwaarden op via onze diensten [octrooi- en technologielicenties](https://pitch.law/nl/solutions/patent-technology-licensing) en [commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions), met [Document Studio](https://pitch.law/nl/technologies/contract-studio), ons eigen systeem voor documentanalyse en -opmaak, en de [clausulebibliotheek en risicoanalyse](https://pitch.law/nl/technologies/clause-library-risk-review) voor voorwaarden die we ontvangen.

**Geciteerde bepalingen:** mededeling COM(2026) 503, afdeling 4 en bijlage I; Verordening (EU) 2024/2847, artikelen 3 (punten 14 en 48), 13, leden 5 en 6, 14, 24, 25, 64, lid 10, en 71 en overwegingen 18 en 19; Verordening (EU) 2024/903, artikel 4, lid 6; voorstel COM(2026) 502, artikelen 41 tot 44.

**Belangrijke data:**

- 12 juli 2024: verordening Interoperabel Europa van toepassing
- 10 december 2024: verordening cyberweerbaarheid in werking
- 3 juni 2026: EU-opensourcestrategie en voorstel voor de Cloud and AI Development Act gepubliceerd
- 11 september 2026: meldplichten van de verordening cyberweerbaarheid (artikel 14) van toepassing
- 11 december 2027: verordening cyberweerbaarheid volledig van toepassing, ook artikel 24

**Verder lezen:** [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source), [Interoperabel Europa](https://pitch.law/nl/academy/interoperable-europe-act), [de Cloud and AI Development Act](https://pitch.law/nl/academy/cloud-and-ai-development-act), [softwarebescherming](https://pitch.law/nl/academy/protecting-software-intellectual-property) en [licentieovereenkomsten](https://pitch.law/nl/academy/licensing-agreements).

## In het kort

- Wat de strategie is, en wat ze niet bindt
- Open source onder de verordening cyberweerbaarheid, ook voor stewards
- Voorkeur voor open source bij overheidsopdrachten
- Licentie-, bijdrage- en onderhoudsvoorwaarden om na te kijken
- Een praktische checklist voor bedrijven die open source gebruiken

## Hier helpen we mee

- [Oplossingen](https://pitch.law/nl/solutions/patent-technology-licensing)
  ### [Octrooi- en technologielicenties](https://pitch.law/nl/solutions/patent-technology-licensing)
  [Geef octrooien, know-how en software in licentie of verwerf ze, op voorwaarden die je voorsprong, je inkomsten en je positie onder het mededingingsrecht beschermen.](https://pitch.law/nl/solutions/patent-technology-licensing)
- [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions)

## Onze eigen Legal Tech

- [Technologie](https://pitch.law/nl/technologies/contract-studio)
  ### [Document Studio](https://pitch.law/nl/technologies/contract-studio)
  [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://pitch.law/nl/technologies/contract-studio)
- [Technologie](https://pitch.law/nl/technologies/clause-library-risk-review)
  ### [Contractreview](https://pitch.law/nl/technologies/clause-library-risk-review)
  [Stuur ons het contract van de wederpartij en we toetsen het clausule per clausule aan ons playbook, met een risicorangschikking die een advocaat heeft nagekeken.](https://pitch.law/nl/technologies/clause-library-risk-review)

## Meer over Intellectuele eigendom

- ### [Brand-TLD's in de ronde van 2026: de Applicant Guidebook](https://pitch.law/nl/academy/brand-tlds-in-the-2026-round-of-new-gtlds-key-takeaways-from-the-draft-applicant-guidebook)
  [Wat een brand-TLD is, wat de Applicant Guidebook erover zegt en welke contractuele verplichtingen je op je neemt als je er een beheert.](https://pitch.law/nl/academy/brand-tlds-in-the-2026-round-of-new-gtlds-key-takeaways-from-the-draft-applicant-guidebook)
- ### [Chips Act 2.0 en de Quantum Act: IE, consortia en financiering](https://pitch.law/nl/academy/chips-act-2-and-quantum-act)
  [Wat de chipsverordening van 2023 vandaag al regelt voor halfgeleider- en kwantumchipprojecten, wat het voorstel voor een chipsverordening 2.0 zou veranderen, waar kwantumfinanciering nu zit in afwachting van de Quantum Act, en welke IE- en consortiumafspraken je moet maken voor je instapt.](https://pitch.law/nl/academy/chips-act-2-and-quantum-act)
- ### [Brand-TLD's in financiële diensten](https://pitch.law/nl/academy/dotbrand-domains-in-financial-services-what-a-decade-of-data-reveals-about-trust-security-and-the-road-to-2026)
  [Waarom banken en verzekeraars naar brand-TLD's kijken, wat een brand-TLD wel en niet tegen phishing kan doen en welke EU-regels meespelen bij de beslissing.](https://pitch.law/nl/academy/dotbrand-domains-in-financial-services-what-a-decade-of-data-reveals-about-trust-security-and-the-road-to-2026)
- ### [De DSA als instrument voor merkbescherming: melden, betrouwbare flaggers en controle van handelaren](https://pitch.law/nl/academy/dsa-brand-protection-notice-and-action-trusted-flaggers)
  [Hoe je als merkhouder de meldings-, klachten- en handelaarsregels van de digitaledienstenverordening gebruikt om namaak en inbreukmakende advertenties offline te krijgen, en waar die regels ophouden.](https://pitch.law/nl/academy/dsa-brand-protection-notice-and-action-trusted-flaggers)
- ### [EUIPO Fast Track](https://pitch.law/nl/academy/euipo-fast-track-filing)
  [Fast Track versnelt het onderzoek van Uniemerkaanvragen met vooraf goedgekeurde formulering. Wat het is, wat het niet verandert en wanneer het handig is.](https://pitch.law/nl/academy/euipo-fast-track-filing)
- ### [Freedom-to-operate-analyse](https://pitch.law/nl/academy/freedom-to-operate-analysis)
  [Wat een freedom-to-operate-analyse is, hoe je conclusies tegen een product leest, wat ze wel en niet kan zeggen en wat je doet als ze een probleem vindt.](https://pitch.law/nl/academy/freedom-to-operate-analysis)

## Even sparren?

Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis.

[Plan een gesprek](https://pitch.law/nl/schedule)