Veranderingen in normen en wetgeving in 2026 en 2027: wat betekent dit voor jouw organisatie?

1. ISO 9001:2026

Op 16 september 2026 is de vernieuwde ISO 9001 gepubliceerd. Deze internationale norm voor kwaliteitsmanagement bouwt voort op ISO 9001:2015, maar besteedt meer aandacht aan actuele ontwikkelingen en de manier waarop organisaties kwaliteit beheersen en verbeteren. Een belangrijke wijziging is de nadruk op kwaliteitscultuur en ethisch gedrag. Kwaliteit moet niet alleen zijn vastgelegd in processen en procedures, maar ook zichtbaar zijn in de dagelijkse werkzaamheden en besluitvorming. Daarbij speelt het management een belangrijke rol.

Daarnaast wordt het onderscheid tussen risico’s en kansen duidelijker. Organisaties worden gestimuleerd om niet alleen mogelijke problemen te beheersen, maar ook kansen voor verbetering en ontwikkeling te herkennen en benutten.
Ook digitalisering krijgt meer aandacht. Denk aan het gebruik van software, betrouwbare gegevens en geautomatiseerde processen. Verder zijn de eisen rondom het plannen, communiceren en evalueren van veranderingen aangescherpt. Klimaatverandering blijft eveneens een aandachtspunt binnen de contextanalyse.

Wat betekent ISO 9001:2026 voor jouw organisatie?
De overgang naar ISO 9001:2026 betekent niet dat je het bestaande kwaliteitsmanagementsysteem volledig opnieuw moet inrichten. Wel is het belangrijk om te beoordelen waar de huidige werkwijze afwijkt van de nieuwe eisen.
Kijk bijvoorbeeld naar de betrokkenheid van medewerkers, de manier waarop prestaties worden beoordeeld en de beheersing van organisatorische veranderingen. Ook is het verstandig om te controleren of kwaliteitsdoelstellingen voldoende zijn vertaald naar de dagelijkse praktijk. Voor de overgang naar ISO 9001:2026 geldt een transitieperiode van drie jaar. Door tijdig te beginnen, ontstaat voldoende ruimte om benodigde aanpassingen zorgvuldig door te voeren en het managementsysteem waar mogelijk te verbeteren.

2. ISO 14001:2026

Ook ISO 14001, de internationale norm voor milieumanagement, is in 2026 herzien. De nieuwe versie legt meer nadruk op klimaatverandering, biodiversiteit, ketenverantwoordelijkheid en de levenscyclus van producten en diensten.
Dat vraagt van organisaties om verder te kijken dan de directe milieugevolgen van hun eigen activiteiten. Ook de invloed van grondstoffen, leveranciers, transport, gebruik en afvalverwerking moet waar relevant worden meegenomen.
Daarnaast krijgt Management of Change meer aandacht. Organisaties moeten bij veranderingen in bijvoorbeeld productieprocessen, technologie of wetgeving vooraf beoordelen welke milieugevolgen kunnen ontstaan. Op basis daarvan worden passende beheersmaatregelen bepaald en worden de resultaten gevolgd. De betrokkenheid van het management is eveneens een belangrijk onderdeel van de herziene norm. Milieumanagement moet niet uitsluitend bij de KAM-afdeling liggen, maar onderdeel zijn van beleid, besluitvorming en de dagelijkse bedrijfsvoering.

Wat betekent ISO 14001:2026 voor jouw organisatie?
Organisaties die werken volgens ISO 14001 doen er goed aan hun milieumanagementsysteem te toetsen aan de nieuwe eisen. Besteed daarbij aandacht aan de levenscyclusbenadering, risico’s binnen de keten en de manier waarop veranderingen worden beoordeeld en beheerst. Vooral bij organisaties met complexe productieprocessen, veel leveranciers of een aanzienlijke milieu-impact kunnen aanvullende maatregelen nodig zijn. Ook het actueel houden en beoordelen van toepasselijke milieuwetgeving blijft belangrijk. Voor ISO 14001:2026 geldt een transitieperiode van drie jaar. Door de verschillen tijdig inzichtelijk te maken, kun je de overgang combineren met gerichte verbeteringen van het milieumanagementsysteem.

3. Cyberbeveiligingswet (NIS2)

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Hiermee is de Europese NIS2-richtlijn opgenomen in de Nederlandse wetgeving. De wet heeft als doel de digitale weerbaarheid van organisaties in belangrijke sectoren te versterken. Voor organisaties die onder de wet vallen, gelden verschillende verplichtingen. Denk aan de registratieplicht, zorgplicht en meldplicht voor significante cyberincidenten. Ook worden verantwoordelijkheden van bestuurders nadrukkelijk vastgelegd. Informatiebeveiliging is daarmee niet uitsluitend een verantwoordelijkheid van de IT-afdeling. Directie en management moeten inzicht hebben in relevante cyberrisico’s en betrokken zijn bij de maatregelen die worden genomen om deze risico’s te beheersen.

Daarnaast krijgt de beveiliging van de leveranciersketen meer aandacht. Organisaties moeten niet alleen hun eigen informatiebeveiliging beoordelen, maar ook rekening houden met risico’s bij leveranciers en andere ketenpartners. Daardoor kunnen ook organisaties die niet rechtstreeks onder de wet vallen, te maken krijgen met aanvullende beveiligingseisen vanuit opdrachtgevers.

Wat betekent de Cyberbeveiligingswet voor jouw organisatie?
De eerste stap is vaststellen of en in welke mate de Cyberbeveiligingswet op jouw organisatie van toepassing is. Vervolgens moet je beoordelen welke maatregelen al aanwezig zijn en welke aanvullende acties nodig zijn om aan de verplichtingen te voldoen. Werk je al volgens ISO 27001? Dan biedt dit een bruikbare basis voor het beheersen van informatiebeveiligingsrisico’s. Een ISO 27001-certificaat betekent echter niet automatisch dat je volledig voldoet aan de Cyberbeveiligingswet. Onder andere registratieverplichtingen, incidentmeldingen en bestuurlijke verantwoordelijkheden moeten afzonderlijk worden beoordeeld.

4. VCA 2026/6.1

Op 1 juli 2026 is VCA 2026/6.1 in werking getreden. De vernieuwde versie van het VCA-schema legt meer nadruk op veiligheidscultuur, leiderschap, gedrag en het proactief beheersen van veiligheidsrisico’s.
Een belangrijk uitgangspunt is dat veilig werken niet alleen afhankelijk is van vastgelegde procedures. Ook de manier waarop leidinggevenden en medewerkers in de dagelijkse praktijk met veiligheid omgaan, is bepalend. Van leidinggevenden wordt verwacht dat zij actief bijdragen aan een veilige werkomgeving, medewerkers ondersteunen en verantwoordelijkheid nemen voor veilig gedrag. Leiderschapsvaardigheden moeten daarom terugkomen in functieprofielen en aantoonbaar worden toegepast.

Ook het melden en opvolgen van bijna-ongevallen en gevaarlijke situaties krijgt meer aandacht. Organisaties moeten deze informatie gebruiken om risico’s tijdig te herkennen en passende verbetermaatregelen te nemen. Daarnaast wordt het belangrijker om relevante wet- en regelgeving structureel in kaart te brengen, actueel te houden en de naleving ervan te beoordelen. Een aanvullende ontwikkeling is de erkenning van VCA-MAX als bewijsmiddel voor veiligheidscultuur binnen Veiligheid in Aanbestedingen (ViA). Voor organisaties tot 250 FTE kan dit onder voorwaarden een alternatief zijn voor een afzonderlijk traject volgens de Safety Culture Ladder.

Wat betekent VCA 2026/6.1 voor jouw organisatie?
Organisaties die VCA-gecertificeerd zijn, moeten beoordelen of hun veiligheidsmanagementsysteem aansluit op de nieuwe eisen.
Sinds 1 juli 2026 worden audits uitgevoerd volgens VCA 2026/6.1. Er is dus geen langdurige overgangsperiode beschikbaar.
Besteed bij de beoordeling vooral aandacht aan de rol van leidinggevenden, de betrokkenheid van medewerkers en de wijze waarop veiligheidsrisico’s worden beheerst. Controleer daarnaast of incidenten en gevaarlijke situaties structureel worden opgevolgd en leiden tot aantoonbare verbeteringen.

5. NEN 7510:2024: de transitieperiode loopt af

Voor organisaties in de zorgsector is de overgang naar NEN 7510:2024 een belangrijke ontwikkeling. De herziene norm voor informatiebeveiliging in de zorg vervangt de versie uit 2017 en sluit beter aan op ISO 27001:2022 en actuele risico’s op het gebied van informatiebeveiliging. De nieuwe versie bevat onder andere 14 aangepaste ISO-beheersmaatregelen voor de zorg en acht nieuwe zorgspecifieke maatregelen.

Daarnaast wordt meer aandacht besteed aan relevante wetgeving, waaronder de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de Wet elektronische gegevensuitwisseling in de zorg (Wegiz). Voor zorgorganisaties zijn deze ontwikkelingen belangrijk vanwege de verwerking van gevoelige persoonsgegevens en de toenemende afhankelijkheid van digitale systemen. De herziene norm helpt om informatiebeveiliging beter te laten aansluiten op actuele risico’s en de dagelijkse praktijk.

Wat betekent NEN 7510:2024 voor jouw organisatie?
Ben je NEN 7510-gecertificeerd? Dan moet de overgang naar de herziene norm uiterlijk op 20 februari 2027 zijn afgerond. Dat betekent dat de benodigde aanpassingen en de certificeringsaudit tijdig moeten plaatsvinden.
Werk je nog volgens NEN 7510:2017? Dan is het belangrijk om te bepalen welke beheersmaatregelen moeten worden gewijzigd of toegevoegd. Een transitiescan of GAP-analyse geeft inzicht in de verschillen tussen de huidige situatie en de nieuwe eisen. Op basis daarvan kun je prioriteiten stellen en de benodigde verbetermaatregelen gericht implementeren.

6. EmpCo-richtlijn: strengere eisen voor duurzaamheidsclaims

Sinds 27 september 2026 gelden strengere Europese regels voor duurzaamheidsclaims richting consumenten. Deze regels komen voort uit de Empowering Consumers for the Green Transition Directive, ook bekend als de EmpCo-richtlijn. Het doel van de richtlijn is om misleidende duurzaamheidsclaims tegen te gaan en consumenten beter te beschermen. Organisaties die in hun communicatie termen gebruiken als duurzaam, groen, ecologisch of milieuvriendelijk, moeten duidelijk kunnen maken waarop deze uitspraken zijn gebaseerd. Algemene milieuclaims zijn onder de aangescherpte regels niet zonder meer toegestaan. De regels hebben bovendien betrekking op meer dan alleen productverpakkingen. Ook websites, advertenties, keurmerken, logo’s en andere commerciële uitingen kunnen hieronder vallen.

Zelfs de indruk die wordt gewekt door afbeeldingen, kleuren en symbolen kan een rol spelen bij de beoordeling van duurzaamheidsclaims. Een belangrijk aandachtspunt is de relatie met certificering. Een ISO 14001-certificaat toont bijvoorbeeld aan dat een organisatie beschikt over een milieumanagementsysteem, maar bewijst niet automatisch dat alle producten of diensten duurzaam zijn.

Wat betekent de EmpCo-richtlijn voor jouw organisatie?
Bied je producten of diensten aan consumenten aan en communiceer je over duurzaamheid? Dan is het belangrijk om je bestaande duurzaamheidsclaims te beoordelen.
Controleer welke claims worden gebruikt, waarop deze betrekking hebben en of er voldoende onderbouwing beschikbaar is. Zorg daarnaast dat de informatie actueel blijft en dat claims geen misleidend beeld geven.
Door duurzaamheidsclaims zorgvuldig te onderbouwen, verklein je het risico op niet-naleving en zorg je voor duidelijkere communicatie richting klanten.

7. Packaging and Packaging Waste Regulation (PPWR)

Sinds 12 augustus 2026 is de Europese Packaging and Packaging Waste Regulation (PPWR) van toepassing. Deze verordening stelt nieuwe eisen aan verpakkingen en verpakkingsafval, met als doel verpakkingen duurzamer te maken en de recyclebaarheid te verbeteren. De PPWR is relevant voor verschillende partijen binnen de verpakkingsketen. Niet alleen verpakkingsproducenten, maar ook fabrikanten, importeurs, distributeurs en andere organisaties die verpakkingen of verpakte producten op de Europese markt brengen, kunnen met de verplichtingen te maken krijgen. De regelgeving bevat onder andere eisen op het gebied van samenstelling, recyclebaarheid, hergebruik, etikettering en informatievoorziening.

Voor bepaalde marktdeelnemers gelden daarnaast verplichtingen rondom technische documentatie en conformiteitsbeoordeling. Fabrikanten moeten bijvoorbeeld kunnen aantonen dat hun verpakkingen voldoen aan de toepasselijke eisen. Daarvoor kunnen een technisch dossier en een EU-conformiteitsverklaring nodig zijn. Het is belangrijk om onderscheid te maken tussen certificering en wettelijke naleving. De PPWR is Europese wetgeving en geen certificeringsnorm. Er bestaat dus geen PPWR-certificaat waarmee een organisatie kan aantonen volledig aan de verordening te voldoen.

Wat betekent de PPWR voor jouw organisatie?
Begin met het vaststellen van de rol van jouw organisatie binnen de verpakkingsketen. Breng vervolgens in kaart welke verpakkingen je gebruikt, produceert, importeert of op de markt brengt.
Op basis daarvan kun je beoordelen welke verplichtingen van toepassing zijn en welke informatie van leveranciers of andere ketenpartners nodig is. Hoewel de PPWR sinds augustus 2026 van toepassing is, treden verschillende verplichtingen op een later moment in werking. Het is daarom belangrijk om zowel de huidige eisen als toekomstige ingangsdata in beeld te hebben. Door de gevolgen tijdig te beoordelen, kun je benodigde aanpassingen aan verpakkingen, documentatie en interne processen zorgvuldig voorbereiden.

8. Europese Machineverordening: nieuwe eisen vanaf 2027

Op 20 januari 2027 vervangt de Europese Machineverordening (EU) 2023/1230 de huidige Machinerichtlijn. De nieuwe regelgeving sluit beter aan op technologische ontwikkelingen, waaronder digitalisering, automatisering en het toenemende gebruik van software in machines. Een belangrijke wijziging is de nadrukkelijkere aandacht voor cybersecurity en veiligheidsgerelateerde software. Moderne machines zijn steeds vaker verbonden met digitale netwerken en kunnen op afstand worden onderhouden of aangepast.

Daardoor kunnen digitale kwetsbaarheden ook gevolgen hebben voor de fysieke veiligheid. Fabrikanten moeten rekening houden met risico’s die bijvoorbeeld ontstaan door ongeautoriseerde toegang tot besturingssystemen of wijzigingen in veiligheidssoftware. Daarnaast worden de verantwoordelijkheden van fabrikanten, importeurs en distributeurs duidelijker vastgelegd. Ook de regels rondom wezenlijke wijzigingen aan bestaande machines zijn verder uitgewerkt. Dit is vooral relevant voor organisaties die machines moderniseren, aanpassen of samenvoegen tot een productielijn. Bij een ingrijpende wijziging kan de organisatie die de aanpassing uitvoert namelijk zelf als fabrikant worden beschouwd. Hierdoor kunnen opnieuw verplichtingen ontstaan rondom risicoanalyses, technische documentatie, conformiteitsbeoordeling en CE-markering.

Wat betekent de Machineverordening voor jouw organisatie?
Produceer, importeer of wijzig je machines? Dan is het belangrijk om te beoordelen welke gevolgen de nieuwe Machineverordening heeft voor jouw activiteiten. Kijk daarbij naar de technische veiligheid, maar ook naar softwareupdates, toegangsrechten en mogelijke cybersecurityrisico’s. Besteed daarnaast aandacht aan de verantwoordelijkheden binnen de organisatie en de benodigde technische documentatie. Bestaande machines hoeven niet automatisch opnieuw te worden beoordeeld. Bij ingrijpende aanpassingen kunnen echter wel nieuwe verplichtingen ontstaan. Een tijdige beoordeling helpt om vast te stellen welke maatregelen nodig zijn voordat de nieuwe regelgeving van toepassing wordt.

9. Wet toelating terbeschikkingstelling van arbeidskrachten (WTTA)

Ook voor organisaties die arbeidskrachten uitlenen of inhuren verandert de wetgeving. Met de Wet toelating terbeschikkingstelling van arbeidskrachten (WTTA) wil de overheid misstanden op de arbeidsmarkt tegengaan en eerlijke concurrentie bevorderen. De wet introduceert een toelatingsstelsel voor organisaties die personeel ter beschikking stellen aan andere organisaties. Dit geldt onder andere voor uitzendbureaus, detacheringsorganisaties en andere partijen die arbeidskrachten bij opdrachtgevers laten werken. Het uitgangspunt is dat uitleners moeten aantonen dat zij voldoen aan de toepasselijke wettelijke eisen voordat zij arbeidskrachten mogen uitlenen. Daarbij gaat het onder andere om correcte loonbetalingen, naleving van arbeidswetgeving, fiscale verplichtingen en een betrouwbare administratie.

Ook organisaties die arbeidskrachten inhuren krijgen verantwoordelijkheden. Zij moeten straks controleren of de uitlenende organisatie over de vereiste toelating beschikt. Voor uitzend- en detacheringsorganisaties kan NEN 4400 een belangrijke basis vormen. Deze norm richt zich onder andere op de beheersing van loonadministratie, identiteitscontroles en fiscale verplichtingen. Een NEN 4400-certificering betekent echter niet automatisch dat een organisatie aan alle verplichtingen uit de WTTA voldoet. Daarnaast blijft VCU relevant voor uitzendorganisaties die personeel leveren aan sectoren waar veilig en gezond werken een belangrijke rol speelt.

Wat betekent de WTTA voor jouw organisatie?
Leen je arbeidskrachten uit of huur je regelmatig personeel in? Dan is het verstandig om tijdig in kaart te brengen welke verplichtingen voor jouw organisatie gaan gelden. Beoordeel of de administratie op orde is, controleer relevante samenwerkingspartners en onderzoek welke aanvullende maatregelen nodig zijn.

Voor organisaties die werken volgens NEN 4400 kan het bestaande systeem als uitgangspunt dienen. Wel moet afzonderlijk worden beoordeeld welke eisen uit de WTTA hiermee al worden afgedekt en waar aanvullende maatregelen nodig zijn. De invoering en verdere uitwerking van het toelatingsstelsel verlopen in verschillende stappen. Houd daarom de actuele planning en uitvoeringsregels goed in de gaten.

Wat hebben deze veranderingen in normen en wetgeving met elkaar gemeen?

Hoewel de negen ontwikkelingen betrekking hebben op verschillende sectoren en onderwerpen, is er een duidelijke overeenkomst. Organisaties moeten steeds beter kunnen aantonen dat zij voldoen aan toepasselijke eisen en dat risico’s, processen en verantwoordelijkheden daadwerkelijk worden beheerst.

Dat betekent dat het vastleggen van procedures alleen niet voldoende is. Het gaat ook om de uitvoering en de resultaten in de praktijk. Een risicoanalyse heeft bijvoorbeeld pas waarde wanneer de geïdentificeerde risico’s worden beoordeeld en passende maatregelen worden genomen. Ook moeten organisaties kunnen aantonen dat deze maatregelen worden opgevolgd en waar nodig worden verbeterd.

Daarnaast wordt de verantwoordelijkheid van directie en management bij veel normen en wettelijke verplichtingen nadrukkelijker. Leiderschap, betrokkenheid en het nemen van onderbouwde beslissingen spelen een steeds grotere rol. Ook de invloed van leveranciers en ketenpartners krijgt meer aandacht. Organisaties moeten daardoor vaker verder kijken dan hun eigen processen en activiteiten.

Dat betekent overigens niet dat voor iedere nieuwe verplichting een afzonderlijk managementsysteem nodig is. Bestaande systemen en werkwijzen kunnen vaak als basis dienen. Door nieuwe eisen waar mogelijk te integreren in bestaande processen, blijft de aanpak overzichtelijk en voorkom je onnodige dubbelingen.

Hoe bereid je jouw organisatie voor op de veranderingen?

Nieuwe normen en wetgeving kunnen verschillende gevolgen hebben voor de bedrijfsvoering. Een gestructureerde aanpak helpt om inzicht te krijgen in de benodigde maatregelen en deze tijdig uit te voeren.

1. Bepaal welke ontwikkelingen relevant zijn
   Niet iedere normwijziging of wettelijke verplichting is van toepassing op jouw organisatie. Breng daarom eerst in kaart welke ontwikkelingen relevant zijn op basis van je sector, activiteiten, bestaande certificeringen en positie binnen de keten.
2. Beoordeel de huidige situatie
   Wanneer duidelijk is welke eisen van toepassing zijn, kun je beoordelen in hoeverre de organisatie hier al aan voldoet. Een GAP-analyse of transitiescan helpt om verschillen tussen de huidige werkwijze en de nieuwe eisen inzichtelijk te maken. Zo ontstaat een concreet overzicht van de benodigde aanpassingen.
3. Stel prioriteiten en maak een planning
   Niet alle wijzigingen hebben dezelfde ingangsdatum. Sommige verplichtingen zijn al van kracht, terwijl voor andere een overgangsperiode geldt. Bepaal welke maatregelen als eerste moeten worden uitgevoerd en houd rekening met de tijd die nodig is voor implementatie, interne controles en eventuele certificeringsaudits.
4. Betrek de juiste medewerkers en verantwoordelijken
   Nieuwe eisen hebben vaak gevolgen voor meerdere afdelingen. Betrek daarom tijdig het management, verantwoordelijke medewerkers en relevante specialisten. Zo zorg je ervoor dat nieuwe afspraken niet alleen worden vastgelegd, maar ook worden begrepen en toegepast in de dagelijkse werkzaamheden.
5. Controleer of de maatregelen werken
   Na implementatie is het belangrijk om te beoordelen of de getroffen maatregelen het gewenste resultaat hebben. Dat kan bijvoorbeeld door interne audits, evaluaties en het monitoren van relevante prestaties. Op basis van de uitkomsten kunnen waar nodig aanvullende verbeteringen worden doorgevoerd.