EU-cyberbeveiligingsverordening

Een nieuw mandaat voor Enisa

Enisa, het EU-agentschap voor cyberbeveiliging, is nu sterker. De EU-cyberbeveiligingsverordening verleent het agentschap een permanent mandaat en geeft het meer middelen en nieuwe taken.

Enisa speelt een sleutelrol bij het opzetten en onderhouden van het Europees kader voor cyberbeveiligingscertificering door de technische basis voor specifieke certificeringsregelingen voor te bereiden. Het is verantwoordelijk voor het informeren van het publiek over de certificeringsregelingen en de afgegeven certificaten via een speciale website. 

Enisa heeft de opdracht de operationele samenwerking op EU-niveau te intensiveren, de EU-lidstaten die daarom willen verzoeken te helpen bij de behandeling van hun cyberbeveiligingsincidenten, en de coördinatie van de EU te ondersteunen in geval van grootschalige grensoverschrijdende cyberaanvallen en -crises.

Deze taak bouwt voort op de rol van Enisa als secretariaat van het netwerk van nationale computerbeveiligingsincidentenresponsteams (CSIRT’s), dat is opgericht bij de richtlijn inzake de beveiliging van netwerk- en informatiesystemen (NIS-richtlijn).

In januari 2026 heeft de Commissie een nieuwe cyberbeveiligingsverordening voorgesteld om de veerkracht en capaciteiten van de EU op het gebied van cyberbeveiliging verder te versterken. In het kader van het voorstel zal Enisa bedrijven en belanghebbenden die in de EU actief zijn, verder ondersteunen door vroegtijdige waarschuwingen te geven over cyberdreigingen en -incidenten. 

In samenwerking met Europol en Computer Security Incident Response Teams (CSIRT's) zal het bedrijven ondersteunen bij het reageren op en herstellen van ransomware-aanvallen.

Enisa zal ook een gemeenschappelijke capaciteit voor kwetsbaarheidsbeheersdiensten van de Unie ontwikkelen en kwetsbaarheidsbeheersdiensten aan belanghebbenden verlenen. Zij zal het in de digitale omnibus voorgestelde centrale toegangspunt voor de melding van incidenten exploiteren.

De herziene cyberbeveiligingsverordening heeft ook tot doel de risico’s van leveranciers uit derde landen met bezorgdheid over cyberbeveiliging in de ICT-toeleveringsketen van de EU te verminderen. Het stelt een betrouwbaar kader voor de beveiliging van de ICT-toeleveringsketen vast met behulp van een geharmoniseerde, evenredige en risicogebaseerde aanpak. Recente cyberbeveiligingsincidenten hebben de grote risico’s van kwetsbaarheden in de ICT-toeleveringsketens aan het licht gebracht, die essentieel zijn voor kritieke diensten en infrastructuur.

Een Europees kader voor cyberbeveiligingscertificering

De EU-cyberbeveiligingsverordening introduceert een EU-breed kader voor cyberbeveiligingscertificering voor ICT-producten, -diensten en -processen. Bedrijven die zaken doen in de EU zullen er baat bij hebben dat zij hun ICT-producten, -processen en -diensten slechts één keer hoeven te certificeren en dat hun certificaten in de hele Europese Unie worden erkend.

Met het voorstel voor de herziene cyberbeveiligingsverordening zal het vernieuwde Europese kader voor cyberbeveiligingscertificering standaard binnen twaalf maanden meer duidelijkheid en eenvoudigere procedures bieden voor de ontwikkeling van regelingen. 

Gerichte wijzigingen

Op 18 april 2023 heeft de Commissie een gerichte wijziging van de EU-cyberbeveiligingsverordening voorgesteld. Deze gerichte wijziging is op 15 januari 2025 aangenomen en heeft tot doel de toekomstige vaststelling mogelijk te maken van Europese certificeringsregelingen voor “beheerde beveiligingsdiensten” op gebieden als incidentrespons, penetratietests, beveiligingsaudits en consultancy. Certificering is van cruciaal belang om een hoog niveau van kwaliteit en betrouwbaarheid te waarborgen van deze zeer kritieke en gevoelige cyberbeveiligingsdiensten die bedrijven en organisaties helpen incidenten te voorkomen, op te sporen, erop te reageren of ervan te herstellen.

Op 20 januari 2026 heeft de Commissie ook gerichte wijzigingen van de NIS2-richtlijn voorgesteld om de juridische duidelijkheid te vergroten. De wijzigingen zullen de naleving van de EU-regels inzake cyberbeveiliging en de vereisten inzake risicobeheer voor bedrijven die in de EU actief zijn, vereenvoudigen. Ze zullen de naleving voor 28.700 bedrijven vergemakkelijken, waaronder 6.200 micro- en kleine ondernemingen.