Wanneer een IT-team op maandagochtend ontdekt dat zijn cloudleverancier zijn gegevensverwerkingsvoorwaarden heeft gewijzigd om te voldoen aan een nieuwe Europese regelgeving, stopt technologische monitoring met een luxe te zijn. Het IT-nieuws van dit jaar wordt gekenmerkt door een versnelde regelgeving die rechtstreeks van invloed is op architectuurkeuzes, leverancierscontracten en de veiligheid van digitale producten.
Cyber Resilience Act en productveiligheidseisen in 2026
Concurrenten praten veel over cybersecurity in het algemeen. We gaan het hebben over een specifieke tekst die de spelregels verandert voor software-uitgevers en fabrikanten van verbonden apparaten: de Cyber Resilience Act (CRA).
Sinds 11 september 2026 zijn de meldingsverplichtingen van incidenten van de CRA van kracht. Concreet moet elke uitgever of fabrikant die een digitaal product in de Europese Unie op de markt brengt, kwetsbaarheden die actief worden uitgebuit binnen strikte termijnen melden.
De CRA stopt daar niet. Het legt een traject vast naar “standaard” beveiligingseisen, met een verplichte CE-markering en volledige verplichtingen vanaf december 2027. Om de IT-nieuwtjes op Bargento te volgen helpt om een oogje te houden op deze regelgevingstermijnen die de ontwikkelingscycli beïnvloeden.
Voor een productteam betekent dit dat ze beveiliging vanaf het ontwerp moeten integreren, softwarecomponenten (SBOM) moeten documenteren en een meldproces moeten voorzien. De meningen verschillen over de werkelijke belasting die dit met zich meebrengt, afhankelijk van de grootte van het bedrijf, maar de tijdlijn blijft onveranderd.
Cloudsoevereiniteit: van strategische discours naar regelgeving
We hoorden al jaren over “digitale soevereiniteit” zonder directe operationele gevolgen. Dat is niet langer het geval.
De Europese Commissie heeft op 3 juni 2026 een voorstel voor de Cloud and AI Development Act gepubliceerd. Deze tekst introduceert een uniforme kader voor het evalueren van de “soevereiniteit” van clouddiensten, met directe impact op overheidsopdrachten en de hostingkeuzes van bedrijven die met de publieke sector werken.
In de praktijk, als je reageert op een openbare aanbesteding of als je gevoelige gegevens verwerkt voor een Europese instantie, moet de keuze van de cloudleverancier voldoen aan formele soevereiniteitscriteria. Het is geen voorkeur meer, het is een beoordelingskader voor regelgeving.
Wat dit verandert voor SI-architecten
Teams die hun infrastructuur op een Amerikaanse hyperscaler hebben gebouwd, zijn niet verloren, maar ze moeten hun gegevensstromen in kaart brengen en de betrokken workloads identificeren. Multicloud wordt een regelgevingseis, geen technische keuze.
Verschillende Europese leveranciers positioneren “geopatriotische” aanbiedingen, een term die verwijst naar het terughalen van gegevens en verwerking naar juridisch Europese infrastructuren. De beweging is in gang gezet, de migratietermijnen blijven het kritieke punt.
DORA en ICT-derde risico: leverancierscontracten onder controle
De DORA-verordening (Digital Operational Resilience Act), van toepassing sinds 17 januari 2025, begint zijn eerste concrete effecten in 2026 te vertonen. De toezichthoudende autoriteiten intensiveren hun controles op het ICT-derde risico en de bijbehorende contractuele clausules.
Voor bedrijven in de financiële sector (en hun technologische leveranciers) resulteert dit in specifieke eisen:
- Contracten met kritische ICT-leveranciers moeten clausules voor operationele veerkracht, auditrechten en gedocumenteerde exitstrategieën bevatten
- Veerkrachttests (inclusief geavanceerde penetratietests) moeten de derde afhankelijkheden dekken, niet alleen de interne systemen
- Een gecentraliseerd register van derde ICT-leveranciers moet worden onderhouden en op verzoek aan de toezichthouders worden overhandigd
Buiten de financiële sector creëert DORA een precedent. De goede praktijken die het oplegt voor het beheer van IT-leveranciers verspreiden zich als marktstandaard. Een cloudcontract zonder gedocumenteerde exitclausule wordt een waarschuwingssignaal.
Europese AI Act: de werkelijke tijdlijn na de Digital Omnibus
De AI Act heeft veel stof doen opwaaien, maar de tijdlijn is geëvolueerd. De inwerkingtreding van de Digital Omnibus on AI op 27 juli 2026 heeft bepaalde verplichtingen met betrekking tot risicovolle AI-systemen uitgesteld.
Verschillende belangrijke eisen zijn echter van toepassing sinds 2 augustus 2026. Voor teams die kunstmatige intelligentie in productie implementeren, ligt de operationele prioriteit op drie punten:
- De classificatie van het risiconiveau van elk geïmplementeerd AI-systeem, volgens de door de Digital Omnibus bijgewerkte matrix
- De technische documentatie en de traceerbaarheid van algoritmische beslissingen voor systemen die als hoog risico zijn geclassificeerd
- De implementatie van effectieve menselijke supervisie, niet symbolisch, over de geautomatiseerde besluitvormingsprocessen
Deze gedeeltelijke uitstel mag geen vals gevoel van comfort creëren. Bedrijven die wachten op de einddata om zich aan te passen, accumuleren een nalevingsschuld die kostbaar zal zijn om in te lossen.
Verband met de gegevens- en cloudstrategie
De AI Act, de Cloud and AI Development Act en DORA zijn geen geïsoleerde teksten. Ze vormen een regulerend ecosysteem waarin de keuzes voor hosting, outsourcing en gegevensbeheer met elkaar verweven zijn. Een cloudarchitectuurkeuze die zonder overweging van de drie teksten wordt gemaakt, brengt het risico van cascade-herkwalificaties met zich mee.
Voor CIO’s en compliance-verantwoordelijken is het volgen van IT-nieuws geen oefening in technologische nieuwsgierigheid meer. Het is een risicobeheerinstrument. De Europese teksten die dit jaar zijn gepubliceerd, hertekenen de operationele beperkingen op cloud, productveiligheid, leverancierscontracten en de implementatie van AI. Elk kwartaal brengt zijn eigen concrete deadlines, en de teams die deze anticiperen, hebben een voorsprong op degenen die ze ondergaan.
