Cyberpostuurcertificering van een entiteit is een formele beoordeling van het operationele beveiligingsniveau van een organisatie als geheel, in tegenstelling tot de beoordeling van een enkel ICT-product of dienst. De herziene Cybersecurity Act 2026 (COM(2026) 11) introduceert dit concept als nieuw Europees instrument, waarmee compliance officers en IT-beslissers in gereguleerde sectoren hun cyberbeveiliging objectief aantoonbaar kunnen maken tegenover toezichthouders, klanten en bestuursleden.
Van productcertificering naar entiteitscertificering: een fundamentele verschuiving
De originele Cybersecurity Act uit 2019 richtte zich uitsluitend op ICT-producten, diensten en processen. Een firewall of clouddienst kon worden gecertificeerd; de organisatie die er gebruik van maakte, niet. COM(2026) 11 sluit die lacune.
Het nieuwe entiteitschema beoordeelt of een organisatie als geheel veilig opereert. Dat omvat: de risicobeheermethodologie, het incidentresponsproces, de beveiliging van de supply chain, het bewustzijnsniveau van medewerkers, de technische architectuur inclusief cloudkeuzes, en de continuïteitsplanning. Het EUMSS-schema (European Managed Security Services), dat ENISA eerder ontwikkelde voor aanbieders van beheerde beveiligingsdiensten, diende als vroeg model voor deze entiteitsaanpak. Het nieuwe schema heeft echter een bredere reikwijdte en is niet beperkt tot dienstverleners.
Het schema werkt met assurance-klassen, vergelijkbaar met de structuur in de EUCC (Common Criteria-gebaseerd schema voor ICT-producten): basis, substantieel en hoog. De klasse bepaalt de diepgang van de audit en de eisen aan de conformiteitsbeoordelende instantie (CAB).
Welke organisaties vallen als eerste onder het schema?
Het schema is bij invoering vrijwillig, maar de praktische druk om deel te nemen verschilt sterk per sector.
Organisaties die als “essentiële entiteit” of “belangrijke entiteit” zijn aangemerkt onder NIS-2, hebben de sterkste prikkel. Voor deze groepen, die overheidsorganen, ziekenhuizen, financiële marktinfrastructuren en juridische dienstverleners omvatten die als kritieke infrastructuur worden beschouwd, geldt dat lidstaten of sectorale toezichthouders certificering als bewijs van zorgvuldigheid kunnen aanwijzen. Duitsland en Nederland hebben reeds signalen afgegeven dat het BSI respectievelijk het NCSC certificering wil meewegen in toezichtsprioriteiten.
Financiële instellingen die onder DORA vallen (Digital Operational Resilience Act, van toepassing per januari 2025) kennen al een gedetailleerd ICT-risicobeheerkader. Voor hen is entiteitscertificering een logische aanvulling die bestaande rapportageverplichtingen kan onderbouwen.
| Sector | Toepasselijk kader | Verwachte druk voor certificering |
|---|---|---|
| Rijksoverheid en gemeenten | NIS-2, BIO (Baseline Informatiebeveiliging Overheid) | Hoog: lidstaten kunnen verplichte deelname opleggen |
| Zorg (ziekenhuizen, GGZ) | NIS-2, AVG/GDPR | Hoog: patiëntdata en continuïteitseisen |
| Financiën (banken, verzekeraars) | DORA, NIS-2 | Middel tot hoog: DORA-auditsporen sluiten aan |
| Juridische dienstverlening (advocatuur, notariaat) | NIS-2 (afhankelijk van lidstaatimplementatie), GDPR | Middel: groeiende druk vanuit cliëntcontracten |
Cyberpostuurcertificering en NIS-2: weerlegbaar vermoeden versus volledige compliance
Een cyberpostuurcertificaat schept een weerlegbaar vermoeden van conformiteit met de technische en organisatorische eisen van NIS-2 artikel 21, dat organisaties verplicht passende risicobeheersmaatregelen te treffen op gebieden als toegangsbeveiliging, encryptie, incidentdetectie en continuïteit.
Dat vermoeden is juridisch relevant maar niet absoluut. Een toezichthouder kan een onderzoek nog steeds openen. Het certificaat verlicht echter de bewijslast aanzienlijk: in plaats van ad hoc te moeten aantonen dat maatregelen zijn genomen, kan een organisatie verwijzen naar een onafhankelijk oordeel. Dit is relevant voor bestuurdersaansprakelijkheid, die NIS-2 expliciet introduceert: bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor onvoldoende cyberbeveiliging.
Juhan Lepassaar, uitvoerend directeur van ENISA, stelde hierover: “Entity-level cybersecurity certification fills a critical gap: it shifts the focus from whether a product is secure to whether the organisation using it operates securely.”
De EDPB-EDPS Joint Opinion 4/2026 benadrukt aanvullend: “NIS-2 legt de eindverantwoordelijkheid bij het bestuur. Certificering biedt bestuurders een objectief ijkpunt om te bewijzen dat zij de zorgplicht serieus nemen.” Dit advies is relevant omdat het de verbinding legt tussen gegevensbeschermingsrecht en cyberbeveiligingseisen, twee domeinen die in de praktijk sterk overlappen maar organisatorisch vaak gescheiden worden behandeld.
Technische en organisatorische eisen voor soevereine en on-premise infrastructuur
Een veelgestelde vraag onder IT-beslissers is of een on-premise of soevereine cloudopstelling een nadeel vormt bij certificering. Het antwoord is nee: COM(2026) 11 schrijft geen hostingvorm voor. De eisen zijn geformuleerd in termen van beveiligingsuitkomsten, niet van specifieke technologieën.
Voor de assurance-klasse “hoog” gelden de strengste eisen. Organisaties moeten kunnen aantonen dat:
- Cryptografische sleutels uitsluitend onder hun eigen beheer staan (geen shared key management bij derde partijen in risicovolle jurisdicties).
- Toegang tot systemen en data niet mogelijk is zonder expliciete toestemming van de entiteit zelf, ook niet voor leveranciers of hostingpartijen.
- Incidentdetectie en -respons intern geborgd zijn, met aantoonbare oefeningen.
- Supply chain-risico’s systematisch worden beoordeeld, inclusief de juridische jurisdictie van toeleveranciers.
Dit laatste punt raakt rechtstreeks aan de problematiek van de US CLOUD Act en de Patriot Act: cloudinfrastructuur die juridisch onder Amerikaans recht valt, kan worden onderworpen aan data-uitvorderingen die buiten de GDPR om gaan. Organisaties die certificering op hoog niveau nastreven, zullen moeten aantonen dat hun architecturale keuzes dit risico beperken. Soevereine hosting, bijvoorbeeld in Zwitserland of onder een Europese juridische structuur zonder Amerikaanse moedermaatschappij, of een volledig on-premise opstelling, vereenvoudigt deze aantoning aanzienlijk.
Statistisch gezien is de urgentie reëel: volgens het ENISA Threat Landscape 2024 speelden cloudconfiguraties een rol bij 39 procent van de cyberincidenten bij Europese overheidsinstanties in de meetperiode. Bovendien had in 2024 nog 46 procent van de NIS-2-plichtige organisaties geen formele risicobeheerprocedure geïmplementeerd, aldus het ENISA NIS Investment Report 2024. De gemiddelde kostprijs van een datalek in de Europese financiële sector bedroeg 5,9 miljoen dollar in 2024 (IBM Cost of a Data Breach Report 2024).
Integratie met NIS-2 en DORA: dubbele auditlasten voorkomen
Compliance officers vrezen terecht dat een nieuw certificeringschema een nieuwe auditcyclus betekent bovenop bestaande verplichtingen. Die vrees is begrijpelijk, maar niet onvermijdelijk. De sleutel ligt in het ontwerp van het bewijsdossier.
ENISA heeft in de ontwikkeling van eerdere schema’s (waaronder EUMSS) steeds het principe van “mutual recognition of evidence” gehanteerd: bewijs dat al is geproduceerd voor het ene kader kan worden hergebruikt voor het andere, mits het aan de betreffende eisen voldoet. Voor de combinatie NIS-2 en entiteitscertificering betekent dit in de praktijk:
- De risicoanalyse die NIS-2 artikel 21 vereist, is grotendeels identiek aan de risicoanalyse die voor het certificeringsdossier nodig is.
- Incidentresponsplannen en oefenverslagen die voor DORA worden bijgehouden, zijn bruikbaar als technisch bewijs in het certificeringsdossier.
- Leveranciersbeoordelingen die voor DORA-artikel 28 (ICT-derdenbeheer) zijn uitgevoerd, dienen tevens als supply chain-analyse voor certificeringsdoeleinden.
De praktische aanbeveling voor compliance officers is: stel een geïntegreerde controlemap op met eenmalige bewijsverzameling per maatregel, getagd naar het toepasselijke kader (NIS-2 art. 21, DORA, Cybersecurity Act). Zorg dat de interne audit- en monitoringcyclus aansluit op de herbeoordelingstermijnen van het certificeringschema. Zo wordt de jaarlijkse compliancecyclus niet verdrievoudigd, maar gestroomlijnd.
De rol van ENISA en de tijdlijn voor het entiteitschema
ENISA is aangewezen als de centrale ontwikkelaar van Europese cyberbeveiligingscertificeringschema’s. Voor het entiteitschema heeft ENISA de taak om, in samenwerking met lidstaten en sectorale toezichthouders, de specifieke technische en methodologische vereisten uit te werken in een zogeheten “candidate scheme”. Dit traject verloopt via publieke consultaties en ad-hocwerkgroepen.
Op basis van het wetgevingsvoorstel COM(2026) 11 en de gebruikelijke procedurele doorlooptijd bij eerdere schema’s geldt de volgende verwachte tijdlijn: de Europese Commissie heeft het voorstel begin 2026 gepubliceerd. Na aanname door het Europees Parlement en de Raad, waarschijnlijk in de loop van 2027, krijgt ENISA een opdracht tot ontwikkeling van het candidate scheme. De eerste volwaardige versie van het schema is realistisch gezien niet eerder dan 2028 beschikbaar voor gebruik door conformiteitsbeoordelende instanties.
Organisaties hoeven echter niet te wachten. De inhoudelijke eisen die COM(2026) 11 beschrijft, sluiten nauw aan bij reeds bestaande normen zoals ISO/IEC 27001 en het NIST Cybersecurity Framework. Wie nu begint met het opbouwen van een gedocumenteerd beveiligingsmanagementprogramma op basis van die normen, legt de fundatie voor een latere succesvolle certificeringsaudit.
FAQ: Cyberpostuurcertificering onder de herziene Cybersecurity Act 2026
Is cyberpostuurcertificering onder de herziene Cybersecurity Act 2026 verplicht of vrijwillig?
Het schema start als vrijwillig, maar lidstaten en sectorale regelgevers kunnen verplichte deelname opleggen voor aanbieders van essentiële diensten. Voor sectoren die al onder NIS-2 of DORA vallen, is de verwachting dat toezichthouders certificering op termijn als bewijsmiddel zullen aanwijzen.
Wat is het verschil tussen productcertificering en entiteitscertificering?
Productcertificering, zoals het EUCC-schema, beoordeelt of een ICT-product veilig is ontworpen. Entiteitscertificering beoordeelt of een organisatie als geheel veilig opereert: haar beleid, processen, personeel, supply chain en technische infrastructuur inclusief cloudkeuzes.
Hoe verhoudt het EUMSS-schema zich tot het nieuwe entiteitschema?
EUMSS is een bestaand ENISA-certificeringschema specifiek voor aanbieders van beheerde beveiligingsdiensten. Het entiteitschema uit COM(2026) 11 heeft een bredere reikwijdte en is bedoeld voor alle typen organisaties, niet alleen gespecialiseerde dienstverleners.
Telt een cyberpostuurcertificaat als bewijs van NIS-2-naleving bij een toezichthouder?
Een certificaat schept een weerlegbaar vermoeden van conformiteit met de technische eisen van NIS-2 artikel 21. Het vervangt geen toezichtscontrole, maar verlicht de bewijslast en kan een boete of herstelperiode beperken. Bestuurdersaansprakelijkheid blijft bestaan ongeacht certificering.
Kunnen organisaties met soevereine on-premise infrastructuur het certificaat behalen?
Ja. De herziene Cybersecurity Act stelt eisen aan risicobeheerpraktijken en technische beveiligingsmaatregelen, niet aan een specifieke hostingvorm. On-premise en soevereine cloudopstellingen kunnen voldoen mits zij aantoonbaar voldoen aan de vastgestelde beveiligingsniveaus voor de betreffende assurance-klasse.
