Cybersecurity Act — ENISA en het Europese keurmerk voor ICT

De Cybersecurity Act doet twee dingen: hij geeft het Europese cyberagentschap ENISA een permanent mandaat, en hij bouwt één Europees kader waarbinnen ICT-producten, -diensten en -processen gecertificeerd kunnen worden met een certificaat dat in alle lidstaten geldt. Voor ondernemers is vooral dat tweede deel relevant, en dan met één belangrijke nuance: certificering onder dit kader is vrijwillig, tenzij andere EU- of nationale wetgeving haar voorschrijft. Anders dan de Cyber Resilience Act, die beveiligingseisen verplicht stelt aan digitale producten, dwingt de Cybersecurity Act niemand tot iets — hij levert het keurmerk waarmee je kunt aantonen dat je aan zulke eisen voldoet.

Waarvoor is dit bedoeld

Vóór 2019 kende Europa een lappendeken van nationale beveiligingskeurmerken; een fabrikant die in meerdere landen wilde verkopen, moest meerdere trajecten doorlopen. De verordening maakt daar één kader van: onder een vastgesteld Europees schema afgegeven certificaten worden in elke lidstaat erkend. Daarnaast krijgt ENISA een permanente rol: advies over cyberbeveiligingsbeleid, ondersteuning van operationele samenwerking tussen lidstaten, het secretariaat van het CSIRT-netwerk, het opstellen van kandidaat-certificeringsschema’s, dreigingsanalyse en bewustwording.

Voor wie

Aanbieders en fabrikanten van ICT-producten, -diensten en -processen die zich willen laten certificeren, en de instanties die certificeren. Er zijn geen drempels naar omvang of omzet, om de eenvoudige reden dat er geen verplichting is: je komt met de verordening in aanraking op het moment dat je zelf een certificaat wilt, of dat een afnemer of een aanbesteding erom vraagt. De RDI merkt op dat certificering momenteel nog vrijwillig is, maar dat dit op termijn waarschijnlijk verandert.

Wat er niet onder valt

De verordening stelt zelf geen beveiligingseisen aan producten en verplicht niemand tot certificering; de EU-conformiteitsverklaring en het Europese certificaat blijven vrijwillig tenzij het Unierecht of nationaal recht anders bepaalt. Wie moet voldoen aan de Cyber Resilience Act, doet dat via de CE-markering en niet via dit kader, al kan een EUCC-certificaat daarbij als bewijsmiddel dienen. Het kader gaat ook niet over de organisatiebeveiliging van bedrijven: dat is het terrein van NIS2 en de Cyberbeveiligingswet.

Wat je moet doen

Uit de verordening zelf volgt voor een gewone onderneming geen verplichting. Wat er praktisch te doen valt, begint bij de vraag of een schema bestaat dat op jouw product of dienst past, en of afnemers erom vragen. Vervolgens: welk zekerheidsniveau nodig is, en of dat niveau een conformiteitszelfbeoordeling toelaat of een onafhankelijke conformiteitsbeoordelingsinstantie vereist.

De drie zekerheidsniveaus

Een Europees certificeringsschema kent de niveaus basis, substantieel en hoog. Het niveau bepaalt hoe grondig wordt gekeken: van beoordeling van de technische documentatie, via verificatie van de beveiligingsfuncties, tot het testen van de weerstand tegen aanvallers met aanzienlijke middelen. Voor het niveau hoog is in Nederland de minister degene die het certificaat afgeeft.

EUCC, het enige operationele schema

Uitvoeringsverordening (EU) 2024/482 stelt het Europese schema voor cyberbeveiligingscertificering op basis van Common Criteria vast, kortweg EUCC. Het geldt voor ICT-producten inclusief de bijbehorende documentatie en voor beveiligingsprofielen, en kent de niveaus substantieel (kwetsbaarheidsanalyse AVA_VAN 1 en 2) en hoog (AVA_VAN 3 tot en met 5). Typische kandidaten zijn smartcards, hardwarebeveiligingsmodules en betaalterminals. Het schema werd twaalf maanden na inwerkingtreding van toepassing en is sinds 27 februari 2025 beschikbaar voor leveranciers.

Schema’s in ontwikkeling

Voor clouddiensten wordt al jaren aan een schema gewerkt (EUCS); dat is nog niet vastgesteld. Voor beheerde beveiligingsdiensten loopt een schema in publieke consultatie: ENISA opende op 24 juli 2026 een oproep tot commentaar. Voor de Europese portemonnee voor digitale identiteit is de certificering geregeld in Uitvoeringsverordening (EU) 2024/2981.

De wijziging van januari 2025

Op 15 januari 2025 is een gerichte wijziging van de verordening aangenomen die het mogelijk maakt certificeringsschema’s op te stellen voor beheerde beveiligingsdiensten — diensten als incidentrespons, penetratietesten en beveiligingsaudits. Daarmee kan voor het eerst de dienstverlener zelf worden gecertificeerd in plaats van alleen het product.

Het herzieningsvoorstel van januari 2026

In januari 2026 stelde de Europese Commissie een herziening van de verordening voor. Daarin: vroegtijdige dreigingswaarschuwingen en ondersteuning bij herstel na ransomware, samen met Europol en de CSIRT’s; capaciteit voor een gemeenschappelijke dienst voor kwetsbaarhedenbeheer; één centraal meldpunt voor incidentmeldingen; een kader voor vertrouwde ICT-toeleveringsketens dat het risico van leveranciers uit derde landen adresseert; en eenvoudiger certificeringsprocedures met een standaardtermijn van twaalf maanden voor de ontwikkeling van een schema. Het voorstel is nog niet aangenomen.

Toezicht NL

De Uitvoeringswet cyberbeveiligingsverordening (BWBR0046349), de wet van 9 februari 2022, wijst in artikel 2, eerste lid, Onze Minister — Economische Zaken — aan als de nationale cyberbeveiligingscertificeringsautoriteit, bedoeld in artikel 58, eerste lid, van de verordening. De Rijksinspectie Digitale Infrastructuur voert die taak uit en presenteert zich als NCCA. De RDI keurt onder meer evaluatieplannen goed, beoordeelt beveiligingsrapporten en geeft Europese certificaten af voor het niveau hoog.

Boete

De Nederlandse uitvoeringswet kent in artikel 13 een bestuurlijke boete van ten hoogste 900.000 euro per overtreding, op te leggen bij overtreding van het bepaalde bij of krachtens die wet en van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht (de plicht om medewerking te verlenen aan een toezichthouder). Daarnaast kan de minister bindende aanwijzingen geven en bestuursdwang toepassen, en kan hij de kosten van certificeringswerkzaamheden doorberekenen.