De herziene Cybersecurity Act (COM-voorstel 20 januari 2026) is het eerste juridisch bindende EU-instrument dat een horizontaal kader schept voor de beoordeling van ICT-leveranciers op zowel technische als niet-technische risico’s, inclusief staatsgebonden inmenging vanuit derde landen. Voor compliance officers en IT-besluitvormers in gereguleerde sectoren betekent dit een fundamentele uitbreiding van hun leveranciersbeheerverplichting, bovenop wat NIS-2 en DORA al vereisen.
Van sectorspecifiek naar horizontaal: het nieuwe kader in perspectief
Waar NIS-2 artikel 22 gecoördineerde risicobeoordelingen van kritieke toeleveringsketens voorschrijft per sector, introduceert de herziene Cybersecurity Act een sectoroverstijgend beoordelingssysteem dat geldt voor alle aanbieders van ICT-producten en -diensten die worden ingezet in kritieke en essentiële entiteiten binnen de EU.
Het verschil is wezenlijk. NIS-2 artikel 22 belast lidstaten en ENISA met het uitvoeren van gecoördineerde risicobeoordelingen en het opstellen van aanbevelingen, maar legt geen bindende uitsluitingsgronden vast. De herziene Cybersecurity Act gaat een stap verder: op basis van de beoordelingsuitkomst kunnen leveranciers worden aangemerkt als “hoog risico” en kan hun gebruik in kritieke infrastructuur worden beperkt of verboden, zelfs als zij technisch voldoen aan alle gangbare beveiligingsnormen.
De EU ICT Supply Chain Security Toolbox, die ENISA en de samenwerkingsgroep onder NIS-2 eerder ontwikkelden voor de telecomsector (met name rond 5G), vormt de methodologische basis voor het bredere beoordelingskader in de herziene wet. De toolbox onderscheidt technische risicocriteria (zoals software-architectuur en encryptiestandaarden) van niet-technische criteria (zoals eigendomsstructuur, jurisdictie en wettelijke verplichtingen in het land van herkomst).
Niet-technische risico’s en de beoordeling van staatsgebonden invloed
De herziene Cybersecurity Act maakt voor het eerst in een horizontaal EU-instrument expliciet dat de juridische omgeving van een leverancier een zelfstandige risicocategorie vormt.
Concreet gaat het om drie typen niet-technische risico’s die de beoordelingsautoriteiten moeten meewegen:
- Eigendom en zeggenschap: Is de leverancier in handen van een staat of staatsbedrijf uit een derde land, of bestaat er indirecte zeggenschap via aandeelhouders of bestuursstructuren?
- Wettelijke verplichtingen in het land van herkomst: Kan de leverancier op grond van nationale wetgeving worden gedwongen gegevens te verstrekken aan overheidsdiensten zonder dat de EU-klant daarvan op de hoogte wordt gesteld? Dit raakt rechtstreeks aan extraterritoriale wetten zoals de Amerikaanse CLOUD Act en de Chinese Nationale Inlichtingenwet.
- Financiële of politieke afhankelijkheid: Is de leverancier afhankelijk van overheidssubsidies of -opdrachten uit een derde land op een manier die zijn onafhankelijkheid ondermijnt?
ENISA stelt hierover in de toelichting bij de EU ICT Supply Chain Security Toolbox: “Organisaties moeten begrijpen dat staatsgebonden invloed op een leverancier een zelfstandige uitsluitingsgrond kan zijn, los van de technische beveiligingsmaatregelen die die leverancier treft.”
De beoordeling volgt een gestructureerde methodologie waarbij lidstaten verplicht zijn informatie te delen via het mechanisme van de NIS-samenwerkingsgroep. ENISA coördineert de aggregatie van nationale beoordelingen tot een Europees beeld.
Reikwijdte: welke sectoren en leveranciers vallen eronder?
De herziene Cybersecurity Act richt zich op leveranciers van ICT-producten en -diensten die worden gebruikt door entiteiten in de sectoren die NIS-2 als kritiek of essentieel aanmerkt. Dat omvat energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, digitale infrastructuur en overheid.
Bijzondere aandacht gaat uit naar drie categorieën leveranciers:
| Leverancierscategorie | Reden voor verhoogde aandacht | Beoordelingsintensiteit |
|---|---|---|
| Aanbieders van openbare cloud en SaaS-platforms | Datalocatie buiten EU, extraterritoriale jurisdictie | Volledig (technisch + niet-technisch) |
| Leveranciers van netwerkapparatuur en -software | Toegang tot kritieke communicatie-infrastructuur | Volledig, inclusief hardwareaudit |
| Beheerde beveiligingsdiensten (MSSP) | Geprivilegeerde toegang tot systemen van essentiële entiteiten | Uitgebreid, periodiek herbeoordeeld |
In Nederland is het Nationaal Cyber Security Centrum (NCSC), opererende onder het ministerie van Justitie en Veiligheid, aangewezen als centrale autoriteit voor de implementatie van NIS-2 via de Cyberbeveiligingswet (Cbw). Voor de herziene Cybersecurity Act zal de handhavingsbevoegdheid naar verwachting bij diezelfde autoriteit komen te liggen, al moet de formele aanwijzing nog plaatsvinden in de nationale omzettingswetgeving.
Uitfasering van hoog-risicoleveranciers in communicatienetwerken en cloud
De meest ingrijpende bepalingen betreffen de verplichte uitfasering van leveranciers die na beoordeling als hoog-risico worden aangemerkt. Het COM-voorstel van 20 januari 2026 volgt hiervoor het model dat eerder werd toegepast op 5G-netwerken, maar breidt dit uit naar cloudinfrastructuur en beheerde diensten in gereguleerde sectoren.
De uitfaseringsregeling werkt in drie stappen. Eerste stap: de bevoegde autoriteit publiceert een gemotiveerd besluit dat een leverancier als hoog-risico wordt aangemerkt. Tweede stap: essentiële entiteiten krijgen een overgangstermijn, afhankelijk van de contractuele en technische complexiteit, om te migreren naar een alternatieve leverancier. Derde stap: na het verstrijken van de overgangstermijn is nieuw gebruik of contractverlenging met de betreffende leverancier verboden voor de betrokken toepassingen.
Voor gereguleerde sectoren zoals de financiële sector en de gezondheidszorg betekent dit dat de leveranciersdiversificatie die DORA al voorschrijft, nu aanvullend wordt getoetst op geopolitiek risico. Een financiële instelling die haar kernbankingapplicatie host bij een leverancier die later als hoog-risico wordt aangemerkt, kan zich niet langer beroepen op DORA-naleving als rechtvaardiging voor continuïteit van die relatie.
Statistisch onderstreept de urgentie: de Europese Bankautoriteit (EBA) stelde in haar 2023-rapportage vast dat meer dan 60 procent van de financiële instellingen in de EU kritieke ICT-diensten uitbesteedt aan drie of minder externe leveranciers. Concentratie bij een beperkt aantal leveranciers vergroot zowel het operationele als het geopolitieke risico.
Samenloop met DORA en NIS-2: meerdere regimes tegelijk naleven
Voor organisaties in de financiële sector geldt een drielaagse verplichtingenstructuur: NIS-2 (via de Cbw), DORA (Verordening (EU) 2022/2554) en de herziene Cybersecurity Act. Deze drie instrumenten zijn complementair, maar overlappen ook, wat de nalevingslast vergroot.
De voornaamste onderlinge verhouding:
- NIS-2 versus herziene Cybersecurity Act: NIS-2 artikel 22 verplicht tot gecoördineerde risicobeoordelingen en legt het resultaat neer in aanbevelingen. De herziene Cybersecurity Act maakt die aanbevelingen juridisch bindend en voegt uitsluitingsgronden toe.
- DORA versus herziene Cybersecurity Act: DORA regelt contractuele minimumeisen, exitstrategieën en ICT-risicobeheerprocedures voor financiële entiteiten. De herziene Cybersecurity Act kan de inzetbaarheid van leveranciers die DORA-conform zijn contractueel gebonden, alsnog beperken op geopolitieke gronden.
- Certificering: EU cybersecuritycertificaten afgegeven onder de bestaande Cybersecurity Act (EUCS) blijven geldig, maar zijn niet afdoende als de leverancier tegelijkertijd als hoog-risico is aangemerkt op niet-technische gronden.
De Europese Commissie stelt in de toelichting bij het COM-voorstel: “De herziening introduceert voor het eerst een juridisch bindend mechanisme om leveranciers met een hoog risico op staatsgebonden inmenging uit te sluiten, ook als zij technisch voldoen aan alle beveiligingsnormen.”
ENISA rapporteerde eerder dat aanvallen op toeleveringsketens in 2021 verviervoudigden ten opzichte van 2020 en een kwart van alle significante incidenten uitmaakten, wat de politieke urgentie achter de herziening mede verklaart.
Concrete stappen voor compliance officers
De herziene Cybersecurity Act vereist aanpassingen op drie niveaus: beleid, contracten en interne governance.
Stap 1: Leveranciersregistratie en risicoklassificatie
Begin met een volledige inventarisatie van alle ICT-leveranciers die toegang hebben tot of diensten verlenen aan kritieke systemen. Classificeer elke leverancier op jurisdictie van vestiging, eigendomsstructuur en de toepasselijkheid van extraterritoriale wetten. Dit register vormt de basis voor de niet-technische risicobeoordeling die de wet vereist.
Stap 2: Contractuele aanpassingen
Bestaande leverancierscontracten missen doorgaans clausules over datalocatie, verbod op doorgifte aan overheidsinstanties van derde landen zonder kennisgeving, auditrechten voor beveiligingsbeoordelingen en exitprocedures met een concrete overdrachtsverplichting. Voeg deze clausules toe bij contractverlenging of heronderhandeling. Maak gebruik van de modelclausules die de Europese Data Protection Board (EDPB) heeft gepubliceerd voor internationale doorgiften als referentiepunt voor de formulering.
Stap 3: Inkoopbeleid aanpassen
Integreer de beoordelingscriteria uit de EU ICT Supply Chain Security Toolbox in het standaard inkoopproces voor ICT. Elk nieuw inkooptraject voor kritieke systemen dient een aantoonbare niet-technische risicobeoordeling te omvatten die gedocumenteerd wordt in het dossier. Dit geldt ook voor verlengingen van bestaande raamovereenkomsten.
Stap 4: Governance en escalatie
Wijs een eigenaar aan voor leveranciersrisicobeleid op directieniveau, zoals vereist door zowel NIS-2 als DORA. Zorg dat het bestuur minimaal jaarlijks een geaggregeerd overzicht ontvangt van leveranciers met een verhoogd niet-technisch risicoprofiel, inclusief de mitigatiemaatregelen en de voortgang van eventuele uitfaseringsplannen.
Volgens de Europese Commissie zijn meer dan 80 procent van de kritieke digitale infrastructuren in de EU afhankelijk van een handvol niet-Europese leveranciers voor kerncomponenten, wat de urgentie van een structureel diversificatiebeleid onderstreept.
FAQ
Geldt de herziene Cybersecurity Act 2026 direct voor mijn organisatie of alleen voor leveranciers?
Het nieuwe kader richt zich primair op leveranciers van ICT-producten en -diensten in kritieke sectoren, maar verplicht tegelijk de afnemers in die sectoren om leveranciersbeoordeling aantoonbaar te integreren in hun inkoopproces. Zowel leverancier als afnemer draagt dus verantwoordelijkheid.
Wat verstaat de herziene Cybersecurity Act onder “staatsgebonden inmenging” bij een leverancier?
Het gaat om juridische, financiële of feitelijke invloed van een derde land op een leverancier, bijvoorbeeld via eigendomsstructuren, wettelijke verplichtingen om data te verstrekken aan overheidsinstanties (zoals de Amerikaanse CLOUD Act), of subsidierelaties die aansturing door een buitenlandse staat mogelijk maken.
Hoe verhoudt dit kader zich tot NIS-2 artikel 22?
NIS-2 artikel 22 biedt een basis voor gecoördineerde risicobeoordelingen van kritieke toeleveringsketens, maar beperkt zich tot sectorspecifieke risicoanalyses. De herziene Cybersecurity Act introduceert een horizontaal, sectoroverstijgend beoordelingskader met bindende uitsluitingsgronden. Het is een aanvulling op NIS-2, geen vervanging.
Moeten bestaande leverancierscontracten direct worden aangepast na inwerkingtreding?
De wet kent overgangsperiodes, maar compliance officers doen er verstandig aan nu al contracten te screenen op ontbrekende clausules rondom datalocatie, auditrechten, subverwerkers en exitprocedures. Wachten tot de formele deadline vergroot het risico op niet-naleving bij complexe contractportfolio’s.
Is DORA al voldoende of moet ik ook voldoen aan de herziene Cybersecurity Act?
DORA en de herziene Cybersecurity Act zijn complementair. DORA regelt operationele weerbaarheid en ICT-risicobeheer specifiek voor financiële entiteiten, terwijl de herziene Cybersecurity Act een breder, sectoroverstijgend kader biedt inclusief uitsluitingsgronden op basis van geopolitiek risico. Financiële organisaties moeten aan beide voldoen.
