De Cybersecurity Act van 2019 regelt het Europese cybersecurityagentschap ENISA en vrijwillige certificering van ICT-producten. De herziening die de Europese Commissie op 20 januari 2026 voorstelde, zou Europa de macht geven hoog-risicoleveranciers aan te wijzen en NIS2-bedrijven te verbieden hun componenten in kritieke ICT te gebruiken.
Op 8 november 2026 is dat nog een voorstel. Voor een kmo in een NIS2-sector verandert er vandaag niets, maar weten welke leveranciers en producten kritiek zijn en waar ze vandaan komen, is nu al nuttig.
In het kort
- De Cybersecurity Act (Verordening (EU) 2019/881) geldt al: ze gaf ENISA een permanent mandaat en schiep een Europees certificeringskader.
- Het voorstel van 20 januari 2026 (COM(2026) 11) voegt een kader toe om derde landen en hoog-risicoleveranciers aan te wijzen.
- Volgens het voorstel kunnen boetes oplopen tot 7 procent van de wereldwijde jaaromzet.
- Op 8 november 2026 zit de Raad nog in technisch onderzoek en heeft het Europees Parlement nog niet gestemd.
- Een kmo hoeft nu niets te vervangen, maar kan wel in kaart brengen welke leveranciers kritiek zijn.
Wat staat vast, wat is voorstel, wat kan nog veranderen?
| Onderwerp | Stand op 8 november 2026 |
|---|---|
| Permanent mandaat van ENISA | Staat vast sinds de Cybersecurity Act van 2019 |
| Europese certificering, met het EUCC-schema voor ICT-producten | Staat vast; EUCC geldt sinds 27 februari 2025 |
| Sterker ENISA en snellere certificering | Voorstel van 20 januari 2026 |
| Aanwijzing van derde landen en hoog-risicoleveranciers | Voorstel; verschillende lidstaten twijfelen of de EU daarvoor bevoegd is |
| Verbod op componenten in kritieke ICT voor NIS2-sectoren | Voorstel; welke sectoren en welke overgangstermijnen, volgt later via uitvoeringshandelingen |
| Boetes tot 7 procent van de wereldwijde omzet | Voorstel |
| Welke landen of leveranciers aangewezen worden | Nog niets beslist; er bestaat geen lijst |
| Datum van inwerkingtreding | Onbekend; onderhandelingen tussen Raad en Parlement worden pas vanaf begin 2027 verwacht |
Wat regelt de Cybersecurity Act vandaag?
De Cybersecurity Act van 2019 deed twee dingen. Ze gaf ENISA, het Europese agentschap voor cybersecurity, een permanent mandaat. En ze schiep een Europees kader om ICT-producten, -diensten en -processen te certificeren, met drie zekerheidsniveaus: basis, substantieel en hoog.
Het eerste schema onder dat kader is EUCC, gebaseerd op de internationale Common Criteria. Het geldt sinds 27 februari 2025, en nationale schema’s moesten binnen twaalf maanden daarna verdwijnen. In België is het Centrum voor Cybersecurity België (CCB) de nationale autoriteit voor cybersecuritycertificering. Voor een kmo brengt de huidige wet geen verplichtingen mee. Een certificaat kan wel helpen bij de keuze van een product.
De Cybersecurity Act is niet hetzelfde als de Cyber Resilience Act. Die tweede legt cybersecurity-eisen op aan fabrikanten van producten met digitale elementen, met een meldplicht sinds september 2026; zie ons artikel wat is de Cyber Resilience Act.
Wat wil het voorstel van januari 2026?
De Commissie publiceerde op 20 januari 2026 het voorstel COM(2026) 11, samen met een aparte wijziging van de NIS2-richtlijn (COM(2026) 13). Volgens de vragen en antwoorden van de Commissie heeft het voorstel vier onderdelen:
- Een sterker ENISA: centrale coördinatie, vroege waarschuwingen, steun bij herstel na ransomware, en een budget dat met meer dan 75 procent stijgt.
- Snellere certificering: ENISA beheert de schema’s, een kandidaat-schema komt er in de regel binnen een jaar, en ook de cyberstatus van een organisatie kan gecertificeerd worden.
- Een kader voor betrouwbare ICT-toeleveringsketens, met de hoog-risicoleveranciers.
- Vereenvoudiging van NIS2 in de aparte wijziging: duidelijkere definities, een nieuwe categorie “small mid-cap” met lagere nalevingskosten, en één meldpunt voor incidenten.
Wat zijn hoog-risicoleveranciers?
In het voorstel is een hoog-risicoleverancier een bedrijf dat gevestigd is in, eigendom is van of gecontroleerd wordt door een derde land dat de Commissie aanwijst omdat het “ernstige en structurele niet-technische risico’s” vormt voor de Europese ICT-toeleveringsketen. Niet-technisch betekent: het gaat niet over een lek in de software, maar over de invloed die een buitenlandse overheid op de leverancier kan uitoefenen. Volgens het advocatenkantoor ACQUIS kijkt de Commissie onder meer naar wetgeving die bedrijven verplicht kwetsbaarheden aan de eigen overheid te melden, en naar onderbouwde incidenten met dreigingsactoren uit dat land.
Het voorstel werkt in vijf stappen, zoals advocatenkantoor Freshfields het in september 2026 samenvatte:
- Een gecoördineerde risicobeoordeling door de Commissie of minstens drie lidstaten.
- De aanwijzing van derde landen die ernstige en structurele niet-technische risico’s vormen.
- De aanduiding van kritieke ICT-onderdelen, de zogenaamde “key ICT assets”, via een uitvoeringshandeling.
- Een lijst van hoog-risicoleveranciers, op basis van vestiging, eigendom en zeggenschap.
- Een verbod of mitigerende maatregelen voor bepaalde soorten NIS2-entiteiten, met een overgangsperiode.
Mitigerende maatregelen zijn bijvoorbeeld meer transparantie, audits, een verbod op gegevensoverdracht naar het derde land of diversificatie van leveranciers. Wie het verbod schendt, riskeert volgens het voorstel een boete tot 7 procent van de wereldwijde jaaromzet. Een aanwijzing kan ook leiden tot uitsluiting van overheidsopdrachten en EU-financiering; de bronnen verschillen erover of dat automatisch gebeurt.
De enige concrete termijn in het voorstel geldt voor mobiele netwerken: die moeten componenten van hoog-risicoleveranciers binnen 36 maanden na publicatie van de lijst uitfaseren. Voor andere sectoren volgen de termijnen later.
Waar staat het dossier op 8 november 2026?
Het voorstel is nog geen wet. In de Raad liep in 2026 het technisch onderzoek. In een voortgangsrapport van 22 mei 2026 vroegen lidstaten meer duidelijkheid over hoe hoog-risicoleveranciers aangewezen worden, en verschillende lidstaten vroegen de Juridische Dienst van de Raad of de EU daar wel bevoegd voor is. Nationale veiligheid is in principe een bevoegdheid van de lidstaten.
In het Europees Parlement is de commissie Industrie, Onderzoek en Energie (ITRE) bevoegd. Rapporteur Markéta Gregorová legde op 8 oktober 2026 haar ontwerprapporten voor. Zij wil individuele leveranciers beoordelen in plaats van landen, en het kader uitbreiden naar slimme meters, routers, omvormers en medische beeldvorming. Een datum voor de stemming in de commissie was er begin november nog niet. De onderhandelingen tussen Raad en Parlement worden volgens Freshfields pas vanaf begin 2027 verwacht. Het CCB verwachtte al in januari 2026 een lang proces “gezien de gevoelige aard” van de voorstellen.
Cybersecurity Act, NIS2 en CRA: wie regelt wat?
| Regel | Gaat over | Voor wie |
|---|---|---|
| Cybersecurity Act | ENISA, Europese certificering en, als het voorstel aanvaard wordt, hoog-risicoleveranciers | Iedereen die certificeert; na de herziening ook NIS2-entiteiten |
| NIS2 | Cybersecuritymaatregelen en meldplicht voor organisaties in kritieke sectoren | Essentiële en belangrijke entiteiten |
| Cyber Resilience Act | Cybersecurity-eisen voor producten met digitale elementen | Fabrikanten, importeurs en verdelers |
Wat NIS2 voor uw bedrijf betekent, leest u in onze gids over NIS2 in België en in het artikel over de goedkeuring van de Belgische NIS2-wet.
Drie dingen die een kmo in een NIS2-sector nu al kan doen
Wat nu nog een voorstel is, vraagt van een NIS2-bedrijf vandaag al één ding: weten welke leveranciers en producten kritiek zijn en waar ze vandaan komen. Dat loont los van deze wet.
- Breng kritieke leveranciers en producten in kaart. Welke systemen zijn onmisbaar voor uw dienstverlening, en van wie komen ze? Voeg voor kritieke onderdelen een kolom “fabrikant en land van herkomst” toe aan uw IT-inventaris; hoe u die opbouwt, leest u in ons artikel over IT-asset management voor kmo’s.
- Kijk de contracten na. Waar staan uw gegevens, wie heeft toegang op afstand, wat doet de leverancier bij een incident, en wat gebeurt er als een product niet meer gebruikt mag worden? Dat sluit aan bij de ketenverantwoordelijkheid onder NIS2, en bij de les uit de hack bij eSignFlow: ook bij een probleem bij de leverancier blijft de klant aan zet.
- Zoek waar u van één leverancier afhangt. Diversificatie staat ook bij de mogelijke maatregelen in het voorstel.
Wat u beter niet doet: nu al leveranciers vervangen op basis van speculatie over welk land aangewezen wordt. Er bestaat nog geen lijst.
Raakt dit enkel telecom en grote spelers?
Voorlopig wel het meest. De enige concrete uitfaseringstermijn geldt voor mobiele netwerken, en een kmo die geen telecomoperator is, krijgt geen directe verplichting zolang er voor haar sector geen uitvoeringshandeling bestaat.
Toch is het niet alleen iets voor grote spelers. Het kader geldt voor de sectoren uit de bijlagen van NIS2, waar ook middelgrote bedrijven onder vallen. Wie levert aan een NIS2-entiteit, voelt het via contracten en aankoopbeleid. De rapporteur wil het kader uitbreiden naar omvormers, routers en slimme meters, toestellen die ook in een kmo-gebouw staan. En als een product later teruggetrokken moet worden, draagt de gebruiker de kosten. Wie vandaag zijn keten kent, kan dan sneller beslissen.
Is uw organisatie klaar voor NIS2?
Cyberplan begeleidt organisaties bij NIS2 en CyberFundamentals, ook bij het in kaart brengen van leveranciers en contracten. Wie een certificering overweegt, vindt de niveaus en het traject in ons artikel over CyFun-certificering. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Plan een kennismakingsgesprek.
Veelgestelde vragen
Wat is de Cybersecurity Act?
De Cybersecurity Act (Verordening (EU) 2019/881) gaf het Europese cybersecurityagentschap ENISA een permanent mandaat en richtte een Europees kader op voor de certificering van ICT-producten, -diensten en -processen. Het eerste schema, EUCC voor ICT-producten, geldt sinds 27 februari 2025. In België is het CCB de nationale certificeringsautoriteit.
Wat is het verschil met de Cyber Resilience Act?
De Cyber Resilience Act legt cybersecurity-eisen op aan producten met digitale elementen, voor fabrikanten, met een meldplicht sinds september 2026. De Cybersecurity Act regelt ENISA en vrijwillige certificering, en zou na de herziening ook bepalen van welke leveranciers kritieke sectoren geen componenten meer mogen gebruiken.
Wat zijn hoog-risicoleveranciers?
In het voorstel van januari 2026 zijn hoog-risicoleveranciers bedrijven die gevestigd zijn in, eigendom zijn van of gecontroleerd worden door een derde land dat de Europese Commissie aanwijst omdat het ernstige en structurele niet-technische risico’s vormt. Het gaat om de invloed van een buitenlandse overheid, niet om een technisch lek.
Wanneer gaat de herziene Cybersecurity Act in?
Dat staat nog niet vast. Op 8 november 2026 zat de Raad nog in technisch onderzoek en had het Europees Parlement nog niet gestemd. De onderhandelingen tussen Raad en Parlement worden pas vanaf begin 2027 verwacht. Daarna volgen nog uitvoeringshandelingen die bepalen welke sectoren, onderdelen en termijnen gelden.
Moet ik nu leveranciers vervangen?
Nee. Het voorstel is nog niet goedgekeurd, er is nog geen enkel land aangewezen en er bestaat geen lijst van hoog-risicoleveranciers. Verboden zouden enkel gelden voor NIS2-entiteiten en voor aangewezen kritieke ICT-onderdelen, met overgangsperiodes. Wel verstandig: weten welke kritieke componenten u gebruikt en waar ze vandaan komen.
