Verordening (EU) 2025/37 van het Europees Parlement en de Raad van 19 december 2024 tot wijziging van Verordening (EU) 2019/881 wat betreft beheerde beveiligingsdiensten (Voor de EER relevante tekst)

Impact bij niet-naleven

Deze EU-verordening 2025/37 wijzigt de bestaande Cybersecurity Act (Verordening 2019/881) door nieuwe regels toe te voegen voor 'beheerde beveiligingsdiensten'. Dit is een significante uitbreiding van de Europese cybersecurityregelgeving die direct impact kan hebben op Nederlandse MKB-bedrijven die actief zijn in IT-security, cloudservices, of andere digitale dienstverlening. De wijziging komt voort uit de groeiende behoefte aan betere cybersecuritystandaarden in een digitaliserende economie. Voor MKB-ondernemers betekent dit dat er nieuwe certificeringseisen kunnen komen als je diensten levert die als 'beheerde beveiligingsdiensten' worden gekwalificeerd. Dit kunnen bijvoorbeeld cloudservices zijn, managed IT-services, cybersecurityconsultancy, of andere diensten waarbij je de digitale veiligheid van klanten beheert. Ook als je zelf gebruikmaakt van dergelijke diensten, kan deze regelgeving gevolgen hebben voor de keuze van je leveranciers. Het risico van non-compliance is aanzienlijk. Bedrijven die niet voldoen aan de nieuwe eisen kunnen te maken krijgen met boetes, het niet mogen aanbieden van bepaalde diensten, of het verliezen van bestaande klanten die compliance eisen. Daarnaast kan het ontbreken van de juiste certificeringen je uitsluiten van overheidsopdrachten of samenwerking met grote bedrijven die strenge cybersecurityeisen hanteren. Omdat de exacte uitwerking en ingangsdatum nog niet bekend zijn, is het cruciaal om deze ontwikkeling nauwlettend te volgen. De implementatie van dergelijke EU-regelgeving duurt meestal 12-24 maanden, wat je de tijd geeft om je voor te bereiden. Proactief handelen nu kan je een concurrentievoordeel opleveren en voorkomen dat je later onder tijdruk moet schakelen om compliant te worden.