Het IT-landschap van 2026 hertekent zich onder de gecombineerde invloed van nieuwe Europese regelgeving en een technische versnelling die zowel grote bedrijven als KMO’s raakt. Twee assen structureren de komende keuzes: de naleving van regelgeving, die een operationele voorwaarde is geworden, en de gecontroleerde integratie van kunstmatige intelligentie in de bedrijfsprocessen.
Cyber Resilience Act: wat de CE-cybermarkering verandert voor digitale producten
De verordening (EU) 2024/2847, ook wel de Cyber Resilience Act genoemd, legt een bindende tijdlijn op. Vanaf 11 september 2026 moet elke fabrikant van een product met digitale elementen dat in de EU wordt verkocht, binnen 24 uur elke actief geëxploiteerde kwetsbaarheid of elk ernstig incident melden. De boete kan oplopen tot 15 miljoen euro of 2,5% van de wereldwijde omzet.
De volgende deadline, vastgesteld op 11 december 2027, betreft de marktintroductie: thuisrouters, verbonden camera’s, SaaS-software moeten allemaal voldoen aan cybersecurity-eisen en een CE “cyber” markering dragen. We raden aan om nu al informatie over Digitale Naïve in IT te bekijken om de omvang van de sectorverplichtingen te meten.
Onder de verwachte leveringen is de productie van een SBOM (Software Bill of Materials) die alle software-afhankelijkheden, inclusief open source, in detail beschrijft, een zware klus voor uitgevers die hun componentenketen nooit hebben gedocumenteerd. DevSecOps-teams moeten deze kaart in hun CI/CD-pijplijn integreren, lang voor de deadline.
AI Act en generatieve modellen: verplichtingen al van kracht voor bedrijven
De tijdlijn van de Europese AI Act wordt vaak verkeerd begrepen. De verboden praktijken (cognitieve manipulatie, sociale scoring) zijn sinds 2 februari 2025 van kracht. De verplichtingen voor basis generatieve AI-modellen (GPAI, zoals GPT of Mistral) zijn van toepassing sinds 2 augustus 2025.
De verplichtingen met een hoog risico zijn uitgesteld tot 2 augustus 2028. Deze vertraging creëert een grijze zone: een KMO die een klantenservice-chatbot inzet, gebruikt een al gereguleerd GPAI-model, maar kan mogelijk twee jaar lang niet aan de “hoog risico” vereisten worden onderworpen. We zien dat deze asymmetrie sommige structuren ertoe aanzet om alle naleving uit te stellen, wat neerkomt op gokken op een onzekere politieke tijdlijn.
- Documenteer de herkomst van de trainingsdata die door het geïntegreerde GPAI-model worden gebruikt, zelfs via een derde partij API
- Stel een register op van AI-gebruikscases binnen de organisatie, waarbij de risiconiveaus worden onderscheiden
- Plan een interne nalevingsaudit voor het einde van 2027 voor systemen die mogelijk in de “hoog risico” categorie vallen
De belangrijkste moeilijkheid blijft de identificatie van AI-componenten die zijn ingebed in SaaS-tools die het bedrijf gebruikt zonder de architectuur te beheersen. Een CRM dat is verbeterd met generatieve AI kan, afhankelijk van het gebruik, onder verschillende verplichtingen vallen.
NIS 2 en DORA: cybersecurity wordt een bedrijfsverplichting voor KMO’s
NIS 2 breidt het bereik van de betrokken entiteiten aanzienlijk uit in vergelijking met de vorige richtlijn. Sectoren zoals afvalbeheer, de productie van medische apparaten of postdiensten vallen onder de reikwijdte. Voor een industriële KMO die nooit een CISO heeft gehad, vertegenwoordigt de verplichting tot incidentmelding en risicobeheer van de toeleveringsketen een paradigmaverschuiving.
DORA richt zich op zijn beurt op de financiële sector met een aanpak van digitale operationele veerkracht. IT-leveranciers die diensten aan banken of verzekeraars verlenen, worden zelf onderworpen aan strengere contractuele vereisten.
Het cascade-effect is het punt om in de gaten te houden. Een cloud-gehoste boekhoudsoftwareleverancier die een regionale mutualiteit bedient, moet zijn DORA-naleving aan zijn klant bewijzen. De IT-uitbestedingsketen wordt een vector voor directe juridische verantwoordelijkheid.
Digitale volwassenheid van Franse KMO’s: echte belemmeringen en onderschatte hefboomwerking
De digitalisering van KMO’s blijft zeer ongelijk. De meest gedocumenteerde belemmeringen zijn niet technisch maar organisatorisch: weerstand tegen verandering van de operationele teams, gebrek aan een sponsor in het directiecomité, IT-budget dat wordt gezien als een kostenpost in plaats van een beheersingsmiddel.
Bedrijven die hun transitie succesvol maken, delen een gemeenschappelijk kenmerk: ze beginnen met een specifieke, meetbare use case binnen drie maanden. Het automatiseren van de verwerking van leveranciersfacturen, bijvoorbeeld, levert snel zichtbare resultaten op en creëert een sneeuwbaleffect op de teams.
- Wijs een interne digitale referent aan, zelfs parttime, om de feedback van de operationele teams te centraliseren
- Geef de voorkeur aan SaaS-tools met ondersteuning bij de adoptie in plaats van op maat gemaakte oplossingen die lang duren om uit te rollen
- Integreer voortdurende training in nieuwe digitale praktijken in het competentieontwikkelingsplan
- Meet de effectiviteit van elk geïmplementeerd hulpmiddel op een concreet bedrijfsindicator (doorlooptijd, foutpercentage, klanttevredenheid)
De uitbesteding van IT-beheer wint terrein in organisaties met minder dan 250 werknemers. Het inschakelen van een managed service provider maakt het mogelijk om onderhoud, toezicht en naleving van regelgeving te dekken zonder een volledig IT-team aan te nemen.
Energietransitie en Green IT: een keuzecriterium voor hardware en software
De vermindering van de energievoetafdruk van het IT-park is geen marketingargument meer. Verantwoordelijke inkoopbeleid houdt nu rekening met de levensduur van materialen, de repareerbaarheid en het elektriciteitsverbruik van apparatuur in werking.
Wat software betreft, verlaagt ecologische applicatieontwerp het serverresourceverbruik en verlengt het de levensduur van de klantapparatuur. Een geoptimaliseerde webapplicatie verbruikt minder bandbreedte, belast de processor minder en draait op oudere machines, wat de vernieuwing van het park vertraagt.
De keuze voor een cloudprovider met een gedocumenteerde PUE (Power Usage Effectiveness) en een verifieerbare energie-mix wordt een selectiecriterium, net als latentie of prijs per gigabyte. Publieke aanbestedingen integreren steeds vaker deze vereisten in hun bestekken.
De komende maanden concentreren zich een zeldzame regelgevingsdichtheid in de IT. Cyber Resilience Act, AI Act, NIS 2, DORA: elke tekst legt concrete leveringen, specifieke termijnen en zware financiële sancties op. Voor KMO’s evenals voor grote bedrijven, bepaalt naleving van regelgeving nu de toegang tot de markt, niet alleen het risicobeheer.