- 2027 begint met twee deadlines op dezelfde dag: Windows Server 2016 verliest beveiligingsupdates op 12 januari en cloudproviders in de EU kunnen u niet langer kosten in rekening brengen voor het overstappen
- Vanaf 15 maart 2027 zijn openbare TLS-certificaten maximaal 100 dagen geldig, waardoor handmatige verlenging voor de meeste organisaties niet langer werkbaar is
- Nederlandse groepen met een Britse dochteronderneming voor financiële dienstverlening krijgen op 18 maart 2027 een tweede regime voor het melden van incidenten, naast DORA
- De hoog-risicoregels van de EU AI Act zijn vanaf 2 december 2027 van toepassing, en negen dagen later is de Cyber Resilience Act volledig van toepassing
- NIS2 is in Nederland geen toekomstige deadline meer: sinds 15 augustus 2026 geldt de Cyberbeveiligingswet
De data van 2027 in één oogopslag
Elke rij linkt naar het onderstaande detail. Datums zijn de momenten waarop de regel van toepassing wordt, en sommige zijn afhankelijk van hoe een regeling de maanden telt. Controleer dus de officiële bron voordat u uw werk rond een specifieke dag plant.
| Datum | Wat verandert | Voor wie |
|---|---|---|
| 12 januari | Einde uitgebreide ondersteuning voor Windows Server 2016 | Iedereen die het nog steeds op locatie of in de cloud gebruikt |
| 12 januari | Data Act: overstapkosten verboden | Klanten en aanbieders van cloud- en gegevensverwerkingsdiensten in de EU |
| 15 maart | Maximale geldigheid van TLS-certificaten daalt naar 100 dagen | Iedere organisatie met een publieke website of API |
| 18 maart | FCA- en PRA-meldplicht voor operationele incidenten en derde partijen | Britse financiële dienstverleners, inclusief Britse dochterondernemingen van Nederlandse groepen |
| 13 mei | Indiase DPDP Rules, inclusief meldplicht bij datalekken | Bedrijven die persoonsgegevens van mensen in India verwerken |
| 2 augustus | AI Act-plichten voor GPAI-modellen die vóór augustus 2025 op de markt zijn gebracht | Aanbieders van die modellen |
| 12 september | Data Act-regels over oneerlijke bedingen gaan ook gelden voor oudere datacontracten | Bedrijven met langlopende B2B-contracten voor het delen van data |
| 12 oktober | SQL Server 2017, Windows 11 24H2 Enterprise en Windows 10 ESU jaar 2 eindigen | Microsoft-klanten |
| 2 december | AI Act: verplichtingen voor hoog-risicosystemen uit bijlage III | Aanbieders en deployers van hoog-risico AI-systemen |
| 11 december | Cyber Resilience Act volledig van toepassing | Makers, importeurs en distributeurs van producten met digitale elementen die in de EU worden verkocht |
| Eind december | Acceptatie van de EU Digital Identity Wallet | Banken en andere private diensten die gebruik moeten maken van sterke gebruikersauthenticatie |
1. 12 januari 2027: einde ondersteuning Windows Server 2016
Windows Server 2016 ontvangt vanaf 12 januari 2027 geen beveiligingsupdates meer van Microsoft, tenzij u betaalt voor Extended Security Updates (ESU). ESU is maximaal drie jaar beschikbaar en voor servers buiten Azure wordt het vanaf 13 januari 2027 gefactureerd via Azure Arc. Servers die naar Azure verhuizen, krijgen ESU zonder extra kosten. Elke domeincontroller, bestandsserver of server met bedrijfsapplicaties uit 2016 die in januari nog draait, is een ongepatcht systeem op uw netwerk, en cyberverzekeraars en auditors vragen daarnaar. Onze gids over het einde van de ondersteuning voor Windows Server 2016 behandelt de opties: upgraden, migreren of ESU.
2. 12 januari 2027: Data Act maakt einde aan overstapkosten voor cloud
Vanaf 12 januari 2027 mogen aanbieders van cloud- en gegevensverwerkingsdiensten in de EU hun klanten geen kosten in rekening brengen voor het overstappen naar een andere aanbieder of terug naar eigen servers, inclusief egress-kosten voor de verhuizing. Dit is artikel 29 van de EU Data Act. Sinds 12 september 2025 gelden de ruimere overstapregels uit hoofdstuk VI (opzegtermijnen, gegevensexport, hulp bij de verhuizing) en mogen aanbieders tot januari alleen hun directe overstapkosten in rekening brengen. Standaard servicekosten en proportionele boetes voor vroegtijdige beëindiging van een contract voor bepaalde tijd zijn geen overstapkosten. Lees daarom uw contractvoorwaarden voordat u een exit plant. Als uw bedrijf afhankelijk is van één cloudprovider, maakt het einde van de overstapkosten een exitplan goedkoper om te testen. In ons artikel over Microsoft-afhankelijkheid leest u waarom zo'n plan de moeite waard is.
3. 15 maart 2027: TLS-certificaten zijn beperkt tot 100 dagen
Vanaf 15 maart 2027 zijn publiek vertrouwde TLS-certificaten maximaal 100 dagen geldig, tegen 200 dagen sinds maart 2026. Het schema is afkomstig van CA/Browser Forum Ballot SC-081v3, dat de certificeringsautoriteiten en browsermakers in april 2025 hebben aangenomen. De limiet daalt opnieuw naar 47 dagen in maart 2029, en de periode waarin u een domeinvalidatie mag hergebruiken, krimpt volgens hetzelfde schema, tot 10 dagen in 2029. Een certificaat dat één keer per jaar handmatig wordt vernieuwd, wordt een certificaat dat minstens vier keer per jaar wordt vernieuwd. Dit is een goed moment om al uw publieke certificaten op een rij te zetten, uit te zoeken wie elk certificaat vernieuwt en deze over te zetten naar automatische verlenging via ACME of de tooling van uw certificaataanbieder. Een verlopen certificaat haalt een website, API of VPN-portal offline zonder dat er een aanvaller bij betrokken is.
4. 18 maart 2027: FCA en PRA starten met melding van incidenten en derde partijen
Deze datum is Brits, maar raakt ook Nederlandse groepen. Vanaf 18 maart 2027 moeten financiële dienstverleners in het Verenigd Koninkrijk, inclusief Britse dochterondernemingen van Nederlandse banken, verzekeraars en beleggingsondernemingen, operationele incidenten melden die aan vastgestelde drempels voldoen, en de toezichthouder op de hoogte stellen van materiële afspraken met derde partijen, onder FCA PS26/2. De PRA en de Bank of England hebben gelijkluidende regels gepubliceerd, zodat dubbel gereguleerde bedrijven en financiële marktinfrastructuren één regime volgen. Incidenten worden gefaseerd gemeld, te beginnen met een eerste melding, en de meldingen over derde partijen gelden voor afspraken die belangrijke bedrijfsdiensten ondersteunen. In Nederland geldt sinds 17 januari 2025 de incidentmelding van DORA, waarbij meldingen naar DNB of de AFM gaan. Een groep met een Britse dochteronderneming hanteert nu twee regimes waarvan de templates en drempels verschillen. Ons artikel over DORA voor financiële diensten behandelt de Nederlandse kant, en onze pagina over meldtermijnen voor datalekken per land zet beide in één tabel.
5. 13 mei 2027: Indiase DPDP Rules volledig van kracht
De Indiase Digital Personal Data Protection Rules, bekendgemaakt op 13 november 2025, laten de meeste verplichtingen 18 maanden later ingaan, rond 13 mei 2027. Daaronder valt de meldplicht bij datalekken: informeer de Data Protection Board en elke betrokkene zonder vertraging, en stuur de Board vervolgens binnen 72 uur een gedetailleerd rapport. Het omvat ook kennisgevingen bij toestemming, veiligheidswaarborgen en de rechten van de mensen van wie u de gegevens bewaart. Als u klanten, personeel of een ontwikkelingscentrum in India heeft, voeg dan nu de DPDP-regels toe aan uw meldmatrix. Ze gelden naast de zesuursmeldplicht van CERT-In, die sinds 2022 van toepassing is en niet is veranderd. Onze pagina met meldtermijnen per land zet beide op een rij.
6. 2 augustus 2027: Oudere GPAI-modellen moeten voldoen aan de AI Act
AI-modellen voor algemene doeleinden (GPAI) die vóór 2 augustus 2025 op de EU-markt zijn gebracht, moeten uiterlijk op 2 augustus 2027 voldoen aan de AI Act, op grond van artikel 111, lid 3. Modellen die na die datum op de markt zijn gebracht, moesten er vanaf het begin aan voldoen, en de bevoegdheden van de Commissie om deze verplichtingen af te dwingen, inclusief boetes, gelden sinds 2 augustus 2026. Deze deadline ligt bij de modelaanbieders, niet bij de bedrijven die hun producten gebruiken. Als klant merkt u er wel iets van: vraag uw AI-leveranciers naar hun technische documentatie en hun samenvatting van de trainingsdata, want u heeft beide nodig voor uw eigen AI Act-beoordeling. Onze gids over de EU AI Act legt de rollen uit.
7. 12 september 2027: Data Act-regels over oneerlijke bedingen gaan ook gelden voor oudere contracten
Vanaf 12 september 2027 zijn de Data Act-regels over oneerlijke contractbedingen ook van toepassing op B2B-contracten voor het delen van data die op of vóór 12 september 2025 zijn ondertekend. Sinds die datum gelden de regels alleen voor nieuwe contracten. Op grond van artikel 50 geldt de uitbreiding alleen voor oudere contracten die een onbepaalde looptijd hebben of die op of na 11 januari 2034 aflopen. Een beding dat het ene bedrijf aan het andere oplegt en dat in grove mate afwijkt van de goede handelspraktijk, is niet bindend. Als u gegevens koopt of verstrekt op grond van langlopende overeenkomsten, controleer deze dan vóór september 2027, te beginnen met clausules over aansprakelijkheid, toegang tot gegevens en beëindiging.
8. 12 oktober 2027: SQL Server 2017, Windows 11 24H2 en Windows 10 ESU jaar 2 eindigen
Microsoft beëindigt de uitgebreide ondersteuning voor SQL Server 2017 op 12 oktober 2027. Op dezelfde dag ontvangen de Windows 11 versie 24H2 Enterprise- en Education-edities geen updates meer (Home en Pro 24H2 zijn al gestopt op 13 oktober 2026) en eindigt jaar 2 van commerciële Extended Security Updates voor Windows 10. Jaar 3 van Windows 10 ESU kost het dubbele van jaar 2, circa €261 per apparaat, en het is het laatste jaar dat Microsoft aanbiedt. Controleer de Microsoft-levenscycluspagina's voor elk product dat u gebruikt, en neem de upgrades op in uw begroting voor 2027. Onze gidsen over Windows 10 end-of-life en IT-budgettering gaan in op de kosten.
9. 2 december 2027: AI Act-verplichtingen voor hoog-risico AI gaan gelden
Vanaf 2 december 2027 moeten aanbieders en deployers van hoog-risico AI-systemen uit bijlage III van de AI Act, zoals AI die wordt gebruikt bij werving, kredietbeoordeling of toegang tot onderwijs, voldoen aan de hoog-risicovereisten van de AI Act. De oorspronkelijke datum was 2 augustus 2026. De Digital Omnibus on AI (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026) heeft deze verplaatst, omdat de geharmoniseerde normen nog niet gereed waren, en heeft de datum voor hoog-risico AI in producten onder bijlage I verplaatst naar 2 augustus 2028. Deployers hebben eigen plichten: menselijk toezicht, logboeken bijhouden, de betrokken personen informeren en, bij sommige publieke en financiële toepassingen, een grondrechteneffectbeoordeling. Als u AI gebruikt om sollicitanten te screenen of klanten te beoordelen, start dan nu de inventarisatie. Onze handhavingstijdlijn van de AI Act zet alle data op een rij.
10. 11 december 2027: De Cyber Resilience Act is volledig van toepassing
Vanaf 11 december 2027 moeten producten met digitale elementen die in de EU worden verkocht, voldoen aan de essentiële cyberbeveiligingseisen van de Cyber Resilience Act en een CE-markering dragen om dit aan te tonen. Dat omvat de meeste hardware en software die verbinding maakt met een apparaat of netwerk, van slimme camera's tot desktopapplicaties. Twee delen zijn al van toepassing: de regels voor aangemelde instanties sinds 11 juni 2026, en de plicht om actief uitgebuite kwetsbaarheden en ernstige incidenten te melden sinds 11 september 2026. Fabrikanten hebben vóór december een software bill of materials (SBOM), een aangegeven ondersteuningsperiode en een proces voor de afhandeling van kwetsbaarheden nodig. Importeurs en distributeurs moeten controleren of de producten die zij verkopen hieraan voldoen. Onze Cyber Resilience Act-gids behandelt de productklassen en conformiteitsroutes.
11. December 2027: Gereguleerde bedrijven moeten de EU Digital Identity Wallet accepteren
Eind december 2027 moeten banken en andere private diensten die wettelijk of contractueel verplicht zijn om sterke gebruikersauthenticatie te gebruiken, de EU Digital Identity Wallet accepteren wanneer een gebruiker ervoor kiest om ermee in te loggen. De plicht komt voort uit artikel 5f van de herziene eIDAS-verordening, die de termijn vaststelt op 36 maanden nadat de belangrijkste uitvoeringshandelingen in werking zijn getreden, in december 2024. Zeer grote onlineplatforms hebben dezelfde plicht. Micro- en kleine ondernemingen zijn vrijgesteld. De lidstaten moeten burgers uiterlijk eind 2026 een wallet aanbieden, dus klanten zullen erom gaan vragen. Beheert u een gereguleerde klantlogin in de EU, bespreek dan in 2027 met uw identiteitsprovider hoe u de wallet gaat ondersteunen.
Een aantal regels die organisaties nog als toekomstige deadline plannen, geldt al. In Nederland geldt NIS2 sinds 15 augustus 2026 via de Cyberbeveiligingswet (Cbw), zonder algemene overgangstermijn. DORA is sinds 17 januari 2025 van toepassing op financiële entiteiten in de EU. De overstapregels van de Data Act zijn van toepassing sinds 12 september 2025. De transparantieverplichtingen van de AI Act op grond van artikel 50 en de meldplicht voor kwetsbaarheden onder de CRA zijn beide in 2026 van start gegaan. Als een van deze op u van toepassing is, is het werk al achterstallig.
Zo gebruikt u deze lijst
Kopieer de data die voor u van toepassing zijn in uw risicoregister of compliancekalender, met een eigenaar en een startdatum voor de werkzaamheden, niet alleen de deadline zelf. De meeste daarvan hebben maanden aanlooptijd nodig: een servermigratie, een certificaatautomatiseringsproject of een AI-systeeminventarisatie kan niet in de laatste week worden gedaan. Bekijk de lijst elk kwartaal, omdat datums verschuiven. De hoog-risicodatum van de AI Act is al één keer verschoven. Onze gids voor een cybersecurity roadmap laat zien hoe u dit soort deadlines kunt omzetten in een plan met een budget.