De entiteitscertificering van het cyberpostuur is een nieuw type conformiteitsbewijs, geïntroduceerd via het Cybersecurity Package van januari 2026, waarbij niet een product of dienst maar de volledige cyberbeveiligingspositie van een organisatie wordt beoordeeld en gecertificeerd. Het onderscheidt zich daarmee fundamenteel van alle bestaande Europese en internationale certificeringsschema’s, en is direct relevant voor compliance officers, IT-beslissers en organisaties in gereguleerde sectoren die moeten aantonen te voldoen aan NIS-2, DORA en aanverwante EU-wetgeving.
Productcertificering versus entiteitscertificering: een wezenlijk ander object
Bestaande schema’s richten zich op producten of diensten. Het nieuwe schema beoordeelt de organisatie als geheel, inclusief haar governance, processen en herstelcapaciteit.
Tot het Cybersecurity Package van januari 2026 kende het Europese cybersecurity-certificeringslandschap twee dominante paradigma’s. Het eerste is Common Criteria (ISO/IEC 15408), een internationaal schema dat de technische beveiligingseigenschappen van specifieke ICT-producten beoordeelt, van smartcards tot firewalls. Het tweede is het EU Cybersecurity Certification Scheme for Cloud Services (EUCS), dat clouddiensten van aanbieders certificeert op de niveaus Basic, Substantial en High, met optionele SEAL-niveaus die soevereiniteitsvereisten vastleggen voor overheidsgebruik.
Bij beide schema’s is het object van beoordeling een product of dienst van een aanbieder. De afnemende organisatie, het ziekenhuis, de rechtbank, de bank of de netbeheerder, bleef buiten beeld. De herziene Cybersecurity Act 2026 vult deze lacune met een nieuw schema waarbij de organisatie zelf het object van certificering is. Niet haar producten, niet de clouddiensten die zij afneemt, maar haar algehele cyberpostuur: de manier waarop zij risico’s identificeert, maatregelen implementeert, incidenten detecteert en herstelt.
| Kenmerk | Productcertificering (Common Criteria / EUCS) | Entiteitscertificering cyberpostuur (herziene Cybersecurity Act 2026) |
|---|---|---|
| Object van beoordeling | ICT-product of clouddienst van een aanbieder | De organisatie als geheel |
| Wie vraagt het aan | Leverancier of cloudprovider | De entiteit zelf (essentieel of belangrijk onder NIS-2) |
| Wat wordt beoordeeld | Technische beveiligingsfuncties van het product | Governance, risicoprocessen, detectie, herstelcapaciteit |
| Relatie tot NIS-2 | Indirect via artikel 24 (producten) | Direct: bedoeld als bewijs voor artikel 21 en 24-conformiteit |
| Schemabeheerder | ENISA (EUCS), nationale bodies (CC) | ENISA (nieuw schema) |
ENISA als schemabeheerder: auditvereisten en schemaontwikkeling
ENISA is aangewezen als de beheerder van het nieuwe schema en werkt momenteel aan de technische specificaties, beoordelingscriteria en accreditatie-eisen voor conformiteitsbeoordelingsinstanties.
Op basis van de herziene Cybersecurity Act 2026 krijgt ENISA de opdracht een volledig schemadocument te ontwikkelen, inclusief de methodologie voor beoordeling, de kwalificaties van auditoren en de geldigheidsperiode van certificaten. Het schemaontwerp volgt de structuur die ook voor EUCS wordt gehanteerd: ENISA ontwikkelt het schema, de Europese Commissie stelt het vast via een uitvoeringshandeling, en nationale accreditatie-instanties kennen vervolgens de bevoegdheid toe aan conformiteitsbeoordelingsinstanties die de audits mogen uitvoeren.
Voor het entiteitscertificaat wordt verwacht dat de audit minimaal de volgende gebieden dekt: het risicobeheerkader van de organisatie, de implementatie van technische en organisatorische maatregelen zoals vereist onder NIS-2 artikel 21, de incidentdetectie- en responscapaciteit, de continuïteitsplannen en de beveiligingspraktijken in de toeleveringsketen. De exacte beoordelingsmethodologie wordt in de schemaontwikkelingsfase bepaald, waarbij ENISA samenwerkt met nationale cybersecurity-autoriteiten en sectortoezichthouders.
Juhan Lepassaar, uitvoerend directeur van ENISA, verwoordde de ambitie bij de lancering van het Cybersecurity Package: “Certification of the cybersecurity posture of entities will be a game changer: it shifts the focus from securing individual products to securing the organisation as a whole, which is where real accountability must lie.”
Naar verwachting zullen audits plaatsvinden op basis van een combinatie van documentreview, technische tests en interviews, vergelijkbaar met de methodiek die wordt gehanteerd bij ISO 27001-audits, maar specifiek gekalibreerd op de EU-regelgeving. ENISA streeft naar interoperabiliteit met bestaande nationale en internationale schema’s om dubbele auditopdrachten te beperken.
Entiteitscertificering als conformiteitsbewijs voor NIS-2 en aanverwante wetgeving
Het entiteitscertificaat is uitdrukkelijk ontworpen om te fungeren als bewijs van conformiteit met NIS-2 artikel 21 en andere EU-verplichtingen, zodat organisaties niet voor elke wetgeving afzonderlijk hoeven aan te tonen dat hun cybermaatregelen op orde zijn.
NIS-2 artikel 21 verplicht essentiële en belangrijke entiteiten tot een reeks technische en organisatorische maatregelen, waaronder risicoanalyse, incidentbeheer, bedrijfscontinuïteit en beveiliging van de toeleveringsketen. Artikel 24 van diezelfde richtlijn bepaalt dat lidstaten entiteiten kunnen verplichten bepaalde ICT-producten, -diensten of -processen te certificeren op basis van Europese cybersecurity-certificeringsschema’s, of hen kunnen aanmoedigen dit te doen.
De herziene Cybersecurity Act 2026 beoogt het nieuwe entiteitscertificaat expliciet te koppelen aan artikel 24 van NIS-2, zodat een gecertificeerde organisatie bij toezichthouders kan aantonen dat haar cyberpostuur voldoet aan de in artikel 21 gestelde vereisten. Dit mechanisme reduceert de toezichtslast aanzienlijk: in plaats van uitgebreide verantwoording aan meerdere nationale autoriteiten volstaat in beginsel de verwijzing naar een geldig entiteitscertificaat.
Henna Virkkunen, Eurocommissaris voor Technologische Soevereiniteit, Veiligheid en Democratie, formuleerde dit als volgt bij de presentatie van het pakket: “The revised Cybersecurity Act creates a coherent framework where entity-level certification can serve as a trusted signal of compliance across multiple regulatory instruments, including NIS-2 and DORA.”
Circa 160.000 entiteiten vallen naar schatting onder NIS-2 in de EU (ENISA, 2023). Meer dan twee derde van de EU-lidstaten had de richtlijn niet tijdig omgezet per de deadline van oktober 2024 (Europese Commissie, 2024). Minder dan 20% van de als essentieel aangemerkte entiteiten onder NIS-2 beschikt over een formele externe certificering van hun cyberpostuur, zo schat ENISA in het Threat Landscape rapport van 2023. Deze drie cijfers illustreren waarom een gestandaardiseerd, herkenbaar certificeringsinstrument op organisatieniveau noodzakelijk is.
Verhouding tot EUCS en de SEAL-niveaus van het Cloud Sovereignty Framework
Het EUCS-schema en de entiteitscertificering zijn complementair en richten zich op verschillende lagen van het cybersecurity-ecosysteem, waarbij SEAL-niveaus een brugfunctie vervullen voor overheidsafnemers.
Het EUCS-schema certificeert clouddiensten van aanbieders op drie assurance-niveaus: Basic, Substantial en High. Voor overheidsgebruik zijn aanvullende SEAL-niveaus (Sovereignty Entitlement and Assurance Levels) in ontwikkeling binnen het Cloud Sovereignty Framework, die vereisten stellen aan dataresidering, toegangsbeheer door derde landen en operationele soevereiniteit van de aanbieder. Deze niveaus zijn relevant voor organisaties die willen vermijden dat hun data onderhevig is aan de jurisdictie van de Amerikaanse CLOUD Act of de Patriot Act.
Een organisatie die overheidsgevoelige data in een Europese soevereine cloud wil onderbrengen, heeft idealiter twee soorten certificering: een EUCS High-certificaat (met relevant SEAL-niveau) van de cloudaanbieder zelf, en een entiteitscertificaat dat aantoont dat de eigen organisatie de regie en het risicobeheer rondom die cloud-omgeving op orde heeft. De twee certificaten bevestigen samen het volledige plaatje aan toezichthouders.
Prioritaire sectoren en de relatie met DORA voor financiële instellingen
Essentiële sectoren onder NIS-2 en de financiële sector onder DORA worden als eerste aangestuurd richting entiteitscertificering, mede omdat toezichthouders in deze sectoren al gewend zijn aan periodieke externe toetsing van risicobeheer.
De herziene Cybersecurity Act 2026 benoemt geen uitputtende lijst van verplichte sectoren voor het entiteitscertificaat, maar de politieke prioriteit ligt duidelijk bij sectoren die als essentieel worden aangemerkt onder NIS-2: energie, transport, drinkwater en afvalwater, digitale infrastructuur, overheid en gezondheidszorg. Ziekenhuizen en aanbieders van kritieke digitale diensten worden expliciet door ENISA genoemd als vroege doelgroep voor het schemaontwikkelingsproces.
Voor financiële instellingen is de relatie met DORA bijzonder relevant. DORA artikel 19 verplicht financiële entiteiten tot geavanceerd ICT-risicobeheer en stelt eisen aan de testprogramma’s voor digitale operationele weerbaarheid, inclusief periodieke dreigingsgestuurde penetratietests. Een entiteitscertificaat dat het brede cyberpostuur dekt, kan bij toezichthouders als de ECB, de Europese Bankautoriteit (EBA) of de Nederlandsche Bank dienen als aanvullend bewijs dat de organisatie haar ICT-risicobeheer aantoonbaar op orde heeft. Het vervangt de DORA-specifieke verplichtingen niet, maar versterkt de bewijspositie van de instelling bij toezichthoudende inspecties.
Voor juridische dienstverleners, rechtbanken en advocatenkantoren die omgaan met bijzonder vertrouwelijke informatie is de entiteitscertificering eveneens relevant. Zij vallen weliswaar niet altijd rechtstreeks onder NIS-2 als essentiële entiteit, maar kunnen het certificaat inzetten als marktdifferentiator en als bewijs van zorgvuldigheid richting cliënten, aanbesteders en toezichthouders die GDPR-conformiteit verwachten.
Praktische voorbereiding voor organisaties die richting certificering bewegen
Organisaties die anticiperen op entiteitscertificering doen er verstandig aan de NIS-2 artikel 21-vereisten als basisraamwerk te gebruiken en hun huidige cyberpostuur daar nu al aan te toetsen.
Concrete stappen zijn: het opstellen of actualiseren van een formeel risicobeheerkader dat aansluit op de terminologie van NIS-2, het documenteren van incidentdetectie- en responsprocedures inclusief meldtijdlijnen, het uitvoeren van een gap-analyse op de beveiligingsvereisten van artikel 21, en het in kaart brengen van de toeleveringsketen op cyberbeveiligingsrisico’s. Organisaties die al werken met ISO 27001 hebben een voorsprong, maar zullen hun documentatie moeten aanvullen met de EU-specifieke vereisten uit NIS-2 en de verwachte schemavereisten van ENISA.
Voor organisaties die data soeverein willen beheren, bijvoorbeeld via een on-premise of Zwitserse hostingoplossing die buiten de jurisdictie van de CLOUD Act valt, biedt het entiteitscertificaat ook een kans om de keuze voor een soevereine architectuur formeel te verankeren in het bewijsdossier richting toezichthouders. Quantumveilige encryptie en het gebruik van lokaal gehoste AI die geen klantdata voor training gebruikt, zijn elementen die in een toekomstige schemabeoordeling meegewogen kunnen worden als de technische maatregelen onder artikel 21 concreter worden ingevuld door ENISA.
Veelgestelde vragen
Wat is entiteitscertificering van het cyberpostuur en waarom is het nieuw?
Entiteitscertificering van het cyberpostuur is een nieuw type certificaat dat de algehele cyberbeveiligingspositie van een organisatie beoordeelt, in plaats van een afzonderlijk product of dienst. Dit is nieuw omdat bestaande schema’s zoals EUCS en Common Criteria zich richten op specifieke producten of clouddiensten, terwijl het nieuwe schema de organisatie zelf als object van beoordeling neemt.
Kan een entiteitscertificaat worden ingezet als bewijs van NIS-2-conformiteit?
Ja. Artikel 24 van NIS-2 biedt de mogelijkheid dat certificaten op basis van Europese cybersecurity-certificeringsschema’s worden erkend als bewijs dat aan bepaalde beveiligingsvereisten uit artikel 21 is voldaan. De herziene Cybersecurity Act 2026 beoogt het entiteitscertificaat expliciet in deze rol te positioneren.
Wat is de relatie tussen entiteitscertificering en DORA voor financiële instellingen?
DORA artikel 19 vereist dat financiële entiteiten ICT-risicobeheer aantoonbaar op orde hebben. Een entiteitscertificaat dat het brede cyberpostuur dekt, kan dienen als onafhankelijk bewijs richting de ECB, DNB of nationale toezichthouders, al vervangt het geen DORA-specifieke toetsen en dreigingsgestuurde penetratietests.
Hoe verschilt het entiteitscertificaat van een EUCS-certificaat voor cloudproviders?
EUCS certificeert een specifieke clouddienst van een aanbieder op beveiligingsniveaus Basic, Substantial of High, met optionele SEAL-niveaus voor soevereiniteitsvereisten. Het entiteitscertificaat beoordeelt de cyberbeveiligingspositie van de afnemende organisatie zelf: haar governance, processen, detectiemogelijkheden en herstelcapaciteit als geheel. De twee zijn complementair.
Welke sectoren worden als eerste geacht richting entiteitscertificering te bewegen?
Sectoren die als essentieel zijn aangemerkt onder NIS-2, zoals energie, transport, drinkwater, financiële infrastructuur, overheid en gezondheidszorg, worden als eerste aangestuurd. ENISA noemt ziekenhuizen en aanbieders van kritieke digitale diensten expliciet als vroege doelgroepen in het schemaontwikkelingsproces.
