Het NIS-2 vereenvoudigingspakket, formeel geregistreerd als voorstel 2026/0012(COD) en onderdeel van het bredere Digital Omnibus initiatief van de Europese Commissie, herziet de manier waarop toeleveringsketenverplichtingen worden toebedeeld aan essentiële en belangrijke entiteiten. Voor compliance officers en IT-beslissers in sectoren als overheid, zorg en juridische dienstverlening verandert er concreet iets: de logica achter contractuele beveiligingsdoorschuiving wordt begrensd, de scope van wie direct verplicht is wordt herschikt, en soevereine cloudinkoop krijgt een nieuw certificeringsankerpunt via het Europees Cybersecuritycertificeringsraamwerk (ECCF).
Wat verandert er in de toeleveringsketenverplichtingen
Het vereenvoudigingspakket stelt paal en perk aan een praktijk die na de invoering van NIS-2 breed was gegroeid: grote essentiële entiteiten die hun volledige NIS-2-complianceverplichtingen contractueel doorschoven naar leveranciers die zelf niet in scope van de richtlijn vielen. Dit leidde tot disproportionele lasten, met name bij kleinere ICT-dienstverleners en niche-cloudaanbieders.
Het nieuwe voorstel bepaalt dat essentiële entiteiten weliswaar beveiligingswaarborgen van leveranciers mogen verlangen, maar dat de formulering van die eisen proportioneel moet zijn en gebaseerd op het werkelijke risico dat de leverancier vertegenwoordigt. Een soevereine cloudaanbieder die persoonsgegevens verwerkt voor een zorginstelling kan dus worden gevraagd aantoonbare encryptie- en incidentmeldprocedures te hanteren, maar kan niet worden verplicht het volledige NIS-2-complianceprogramma van zijn opdrachtgever over te nemen.
Welke 28.700 bedrijven worden verlicht
Naar schatting 28.700 bedrijven worden door het pakket verlicht van directe NIS-2-nalevingsverplichtingen, zo blijkt uit de impact assessment van de Europese Commissie bij voorstel 2026/0012(COD). Dit zijn voornamelijk ondernemingen die door de brede sectorale definitie van de oorspronkelijke richtlijn indirect in scope kwamen, ook al vervullen zij geen kritieke functie in de beschermde infrastructuur.
De drempelwaarden van de basisrichtlijn, namelijk meer dan 50 medewerkers of een omzet boven 10 miljoen euro in aangewezen sectoren zoals digitale infrastructuur, energie of gezondheidszorg, blijven ongewijzigd van kracht. De verlichting zit in de verfijning van de sectordefinities en in de expliciete begrenzing van kettingaansprakelijkheid via contracten. Compliance officers moeten voor hun eigen organisatie en voor elke leverancier afzonderlijk doorlopen welke sectorale bijlage van toepassing is en of de drempelwaarden worden overschreden.
| Situatie | Directe NIS-2-plicht | Contractuele beveiligingseisen mogelijk |
|---|---|---|
| Organisatie boven drempel in aangewezen sector | Ja, als essentiële of belangrijke entiteit | Ja, proportioneel |
| Leverancier onder drempel, niet in aangewezen sector | Nee | Ja, maar niet als volledige NIS-2-doorschuiving |
| Soevereine cloudaanbieder buiten EU (bijv. Zwitserland) | Nee, tenzij EU-diensten worden aangeboden aan essentiële entiteiten | Ja, op basis van contractuele risicobeheersing |
Verwerkersovereenkomsten met soevereine cloudaanbieders
De combinatie van NIS-2-vereenvoudiging en GDPR-verwerkersverplichtingen stelt organisaties voor een precisievraagstuk bij het opstellen van verwerkersovereenkomsten. Een soevereine cloudaanbieder, bijvoorbeeld een Europese of Zwitserse partij die data uitsluitend binnen de eigen jurisdictie opslaat en verwerkt, ontleent zijn waarde deels aan het feit dat hij niet onderworpen is aan extraterritoriale wetgeving zoals de Amerikaanse CLOUD Act of de UK Investigatory Powers Act.
Het vereenvoudigingspakket maakt duidelijk dat de NIS-2-risicobeheersingsplicht van de essentiële entiteit niet verdwijnt als een leverancier buiten scope valt. De verwerkersovereenkomst moet dan de beveiligingsmaatregelen beschrijven die de leverancier feitelijk toepast, verwijzen naar relevante certificeringen, en heldere incidentmeldprocedures bevatten. Onder de Implementatieverordening 2024/2690 heeft ENISA technische richtsnoeren gepubliceerd die concreet beschrijven welke technische en methodologische maatregelen worden verwacht, ook voor toeleveringsketenbeheer. Die richtsnoeren zijn bruikbaar als referentiekader bij het opstellen van contractbijlagen, ook als de leverancier zelf niet NIS-2-plichtig is.
De nieuwe ENISA-rol bij multinationale cloudarchitecturen
ENISA krijgt onder de herziene kaders een sterkere coördinerende rol bij het toezicht op organisaties die in meerdere lidstaten actief zijn. Dit is relevant voor elke organisatie die een grensoverschrijdende soevereine cloudarchitectuur beheert, bijvoorbeeld met knooppunten in Nederland, Duitsland en een derde land als Zwitserland.
Het centrale principe is dat de lidstaat waar een organisatie haar hoofdvestiging heeft, fungeert als primaire toezichthouder. De NIS-samenwerkingsgroep, het interinstitutionele overlegorgaan dat de coördinatie tussen nationale autoriteiten verzorgt, werkt via afgestemde werkdocumenten om te voorkomen dat multinationale entiteiten tegenstrijdige eisen van verschillende nationale autoriteiten ontvangen. Voor Nederlandse organisaties geldt dat de bevoegde autoriteit wordt aangewezen via de Cyberbeveiligingswet (Cbw), de nationale omzetting van NIS-2.
Organisaties die data in meerdere locaties opslaan moeten voorafgaand aan de architectuurkeuze vastleggen in welk land de effectieve leiding en hoofdvestiging gesitueerd is. Dit bepaalt niet alleen welk toezichtregime van toepassing is, maar ook via welk kanaal incidenten moeten worden gemeld.
Het Digital Omnibus enkelvoudig meldpunt
Een van de praktisch meest relevante wijzigingen in het pakket is de introductie van het enkelvoudig meldpunt, in EU-terminologie aangeduid als het Single Entry Point (SEP). Organisaties met activiteiten in meerdere lidstaten kunnen een significant incident voortaan eenmalig melden bij de bevoegde autoriteit in het land van hoofdvestiging. Die autoriteit is vervolgens verantwoordelijk voor distributie naar de betrokken autoriteiten in andere lidstaten.
Dit vereenvoudigt de operationele last bij grensoverschrijdende incidenten aanzienlijk, maar ontslaat organisaties niet van de verplichting hun datalocaties en verwerkingsstromen nauwkeurig in kaart te hebben. Voor een juiste werking van het SEP moet een organisatie kunnen aantonen waar welke data wordt verwerkt en welke systemen bij een incident betrokken waren, inclusief bij soevereine cloudoplossingen waarbij data bewust buiten bepaalde jurisdicties wordt gehouden.
ECCF-certificering en de relatie met EUCS en SEAL
Het Europees Cybersecuritycertificeringsraamwerk (ECCF) biedt de overkoepelende structuur waaronder sectorale certificeringsschema’s worden ontwikkeld en beheerd. Het meest directe schema voor cloudinkoop is de EU Cloud Security (EUCS), die drie assurance-niveaus kent: Basic, Substantial en High. Voor overheidsorganisaties en entiteiten die geclassificeerde of bijzonder gevoelige data verwerken, geldt het High-niveau als de feitelijke minimumdrempel.
Het vereenvoudigingspakket introduceert de mogelijkheid van organisatorische cybersecuritycertificering onder ECCF. Dit is een aanvulling op de bestaande productgerichte certificering: waar EUCS de technische beveiliging van een cloudplatform valideert, valideert organisatorische certificering de beheerpraktijken, governance en risicobeheerprocessen van een leverancier als geheel. Het SEAL-keurmerk, dat in sommige lidstaten wordt toegepast voor veiligheidsbeoordelingen van leveranciers, kan hierbij als bouwsteen dienen maar is niet direct gelijkgesteld aan ECCF-organisatorische certificering.
Voor inkopers in de overheid en gereguleerde sectoren betekent dit concreet dat bij aanbestedingen voortaan twee dimensies relevant zijn: de technische certificering van het cloudproduct zelf (EUCS-niveau) en de organisatorische certificering van de leverancier (ECCF). Soevereine cloudaanbieders die beide dimensies kunnen aantonen, bieden een sterker complianceprofiel dan aanbieders die uitsluitend op technische certificering leunen.
Praktische beoordeling voor compliance officers
Wie als compliance officer of IT-beslisser moet bepalen of de eigen organisatie of een cloudleverancier onder de verlichte categorie valt, doorloopt het beste de volgende redenering. Stel eerst vast of de organisatie actief is in een van de sectoren die zijn opgenomen in de bijlagen bij Richtlijn 2022/2555. Stel vervolgens vast of de drempelwaarden worden overschreden. Pas daarna wordt relevant of de verfijningen in 2026/0012(COD) van toepassing zijn op de specifieke positie in de keten.
Voor leveranciers die buiten de directe NIS-2-scope vallen maar wel kritieke diensten leveren aan essentiële entiteiten, is het advies te investeren in aantoonbare beveiligingspraktijken die aansluiten op de ENISA-technische richtsnoeren bij Implementatieverordening 2024/2690. Dit vergemakkelijkt de contractonderhandelingen en versterkt de positie bij aanbestedingen in de publieke sector, waar soevereiniteit en certificeerbaar risicobeheer steeds zwaarder wegen in gunningscriteria.
