MiCA, DORA, de AI Act en NIS2: hoe het EU-regelboek start-ups en kleine bedrijven uit Europa prijst

Ik verdien mijn brood met EU-regelgeving. Klanten komen bij ons omdat MiCA, de regels tegen witwassen en de rest van het Europese regelboek te veel zijn om alleen te verwerken, en wij dit voor hen regelen. Dit is dus geen klacht van iemand die verliest wanneer Brussel een nieuwe wet schrijft. Integendeel, ik win erbij.

Toch denk ik, gezien wat de afgelopen jaren op kleine en middelgrote ondernemingen (SME’s) is afgekomen, dat Europa een fout maakt. Het gaat niet om één slecht geschreven wet. Het is de optelsom ervan, de snelheid waarmee de EU zichzelf corrigeert en het feit dat de rekening terechtkomt bij de bedrijven die haar het minst kunnen betalen. Ons standpunt over AI-regelgeving staat specifiek in een apart artikel; dit gaat over het patroon in het hele regelboek.

Laag op laag

Dit is wat de EU-regelgeving tegenwoordig van een Europees bedrijf verlangt, afhankelijk van zijn activiteiten.

• GDPR voor iedereen die persoonsgegevens bewaart.
• De Digital Services Act en de Digital Markets Act voor onlineplatforms en marktplaatsen.
• De Data Act voor verbonden apparaten en cloudcontracten.
• NIS2 en de Cyber Resilience Act voor cyberbeveiliging en producten met ingebouwde software.
• MiCA voor cryptoactivadiensten.
• DORA voor banken, betaal- en cryptobedrijven en de IT-leveranciers die hen bedienen.
• De AI Act voor iedereen die AI-systemen bouwt of ze in zijn bedrijf gebruikt.
• De nieuwe AML-verordening met toezichthouder AMLA op EU-niveau.
• eIDAS 2,0 met digitale-identiteitsportefeuilles.
• Rapportageplichten voor crypto-overdrachten (de travel rule), fiscale cryptogegevens (DAC8), duurzaamheid (CSRD) en toeleveringsketens (CSDDD).

Geen hiervan is gering. Elk heeft eigen definities, formulieren, toezichthouders en boetes. Een fintech met twaalf werknemers kan tegelijk onder vijf of zes ervan vallen.

Elke wet is verdedigbaar. De stapel niet

Afzonderlijk beantwoordt elk van deze wetten een reële vraag. Geld van klanten mag niet verdwijnen wanneer een cryptobeurs instort, een bank mag niet uitvallen omdat zijn cloudprovider een slechte nacht had, en niemand wil software die beslist wie een lening krijgt zonder dat iemand het resultaat kan controleren. Wie afzonderlijk tegen een van deze wetten argumenteert, verliest terecht.

Het probleem is de som, en het probleem is de klok. De Commissie stelde de AI Act voor in april 2021 en de EU nam deze in 2024 aan. De belangrijkste regels voor hoogrisico-AI, zoals systemen voor werving, kredietscores of onderwijs, zouden vanaf 2 augustus 2026 gelden. In juli 2026, enkele weken voor die datum, nam de EU een correctie aan: de Digital Omnibus on AI. Die verschoof de regels naar december 2027 en, voor AI in gereguleerde producten, naar augustus 2028. De officiële reden was dat technische normen en nationale toezichthouders niet klaar waren. Vijf jaar na het voorstel bestond het mechanisme om de wet te handhaven niet. Bedrijven die twee jaar voor augustus hadden voorbereid, bereidden zich voor op een verschoven datum.

Zo ziet traagheid er in de praktijk uit. De wetten komen. De correcties komen twee of drie jaar nadat iedereen het probleem ziet, in de vorm van nóg een verordening.

Waarom dezelfde regels een klein bedrijf meer kosten

Dit is het deel dat mij het meest stoort. De nalevingskosten hangen nauwelijks af van de omvang van het bedrijf. Een handboek met beleid, een register van IT-leveranciers, een procedure voor incidentmeldingen, een externe audit, een vergunningaanvraag: deze kosten ongeveer evenveel, of u nu 50 klanten of 5 miljoen bedient.

DORA is het duidelijkste voorbeeld. In Deloitte’s onderzoek onder financiële instellingen in 28 Europese landen, gepubliceerd in maart 2025, verwachtte ongeveer twee derde van de respondenten €2 miljoen tot €5 miljoen aan naleving te besteden, en slechts één op de tien verwachtte onder €2 miljoen te blijven. Een grote bank vangt dat op. Een betaalinstelling met twintig werknemers kan dat niet, en voor de kleinste ondernemingen kan de nalevingsrekening hoger zijn dan wat de EU-markt hun waard is.

MiCA vertelt hetzelfde verhaal in cijfers. Vóór MiCA hadden volgens tellingen in de sector meer dan duizend bedrijven nationale cryptoregistraties in de EU. De overgangsperiode eindigde op 1 juli 2026 en in oktober 2026 vermeldde het register van ESMA ongeveer 370 erkende aanbieders. Sommige ontbrekende bedrijven hadden moeten verdwijnen. Vele andere waren klein, lokaal en legaal, en verdwenen omdat een MiCA-vergunning (CASP-autorisatie) zescijferige bedragen kost aan adviseurs, kapitaal en managementtijd die een beurs met twee oprichters niet heeft. Ik heb afzonderlijk gekeken naar wat MiCA met Europese crypto-start-ups deed; hier is het één voorbeeld van een breder patroon.

De grote spelers klagen zelden. Voor een goed gefinancierde gevestigde onderneming is elke nieuwe wet een gracht: het compliance-team bestaat al, de advocaten staan onder contract en elke nieuwe regel verhoogt de toegangsdrempel voor wie wil concurreren. Regelgeving die consumenten moet beschermen, beschermt uiteindelijk marktaandeel.

Waar de oprichters heen gaan

Start-ups zijn mobiel op een manier waarop banken dat niet zijn. Een oprichter met een idee en een laptop vergelijkt landen zoals de rest van ons vluchten vergelijkt. Toen Apple en Meta in 2024 besloten nieuwe AI-functies niet aan EU-gebruikers aan te bieden, onder verwijzing naar de Digital Markets Act en een “onvoorspelbare” regelgevingsomgeving, gingen de krantenkoppen over twee giganten. Het stillere effect trof elke Europese ontwikkelaar die op die modellen wilde bouwen en nu moest wachten of verhuizen.

In mijn eigen werk is het patroon minder dramatisch maar even constant. De vraag van oprichters is verschoven van “kunnen we een vergunning in Estland krijgen” naar “is een Europese vergunning überhaupt de moeite waard vergeleken met Dubai, Singapore of een Amerikaanse staat”. Enkele jaren geleden was die tweede vraag zeldzaam. Vandaag is ze standaard, en ik kan hen er niet altijd van afbrengen.

De cijfers zeggen hetzelfde. Uit een in januari 2026 gepubliceerde studie van de Europese Investeringsbank bleek dat tussen 2008 en 2021 bijna 30% van de Europese unicorns, start-ups met een waardering van meer dan $1 miljard, hun hoofdkantoor buiten de EU verplaatste. De meeste gingen naar de Verenigde Staten, met digitale technologie, AI en biotech voorop. Mario Draghi zei de rest in zijn rapport van september 2024 over het Europese concurrentievermogen: de regeldruk legt te veel beperkingen op aan innovatie en maakt het voor start-ups moeilijk om te groeien. Twee jaar later was volgens de Draghi Observatory van de European Policy Innovation Council slechts 16% van de maatregelen die deze volgt volledig uitgevoerd. De diagnose wordt aanvaard. De behandeling verloopt traag.

Waarom Tallinn niet kan herstellen wat Brussel schreef

Estland is een goede plaats om dit te bekijken. Het is klein, digitaal en doorgaans verstandig over ondernemerschap. In deze kwestie is het ook vrijwel machteloos.

MiCA, DORA en de AI Act zijn verordeningen, geen richtlijnen. Een richtlijn bepaalt een doel en laat elk land zijn eigen wet schrijven; een verordening geldt woord voor woord in elke lidstaat en geen parlement in Tallinn, Vilnius of Lissabon kan één artikel versoepelen. De nationale speelruimte werkt slechts in één richting: een land kan altijd strenger zijn dan Brussel, maar niet lichter.

Wanneer een oprichter mij dus zegt dat Estland dit “gewoon moet oplossen”, moet ik uitleggen dat de oplossing bij 27 regeringen, een Commissie, een Parlement en een wetgevingscyclus van jaren ligt. Sinds begin 2025 heeft de Commissie twaalf “omnibus”-pakketten ingediend, die elk meerdere wetten tegelijk wijzigen, en beloofd de administratieve last vóór het einde van haar mandaat met ten minste 25% en voor SME’s met 35% te verlagen. Bedrijfsverenigingen zeggen dat het resultaat tot dusver niet in de buurt komt van die cijfers. Ik geloof hen, want ik lees de teksten.

Europa beperkt zijn eigen risico

Iedereen die de afgelopen jaren met een bank te maken had, kent het woord de-risking. Een klant lijkt enigszins ongebruikelijk, de kosten om hem te monitoren zijn hoger dan de vergoedingen die hij betaalt, en de rekening wordt gesloten. Geen fraude, geen overtreding, enkel een goedkopere beslissing voor de bank. De klant zoekt een andere bank, vaak in een ander land, en het risicorapport van de bank ziet er beter uit dan voorheen.

Ik denk steeds vaker dat de Europese Unie hetzelfde doet met hele sectoren. Crypto leek riskant, dus Europa bouwde MiCA en zag de meeste nationaal geregistreerde ondernemingen verdwijnen. AI lijkt riskant, dus Europa schreef ’s werelds eerste alomvattende AI-wet voordat het een AI-sector had die groot genoeg was om terug te praten. Elke keer daalt het risico, en elke keer daalt de activiteit die het risico droeg mee. Op een balans die alleen vermeden risico’s telt, is dit succes. Op een balans die opgerichte bedrijven en gecreëerde banen telt, niet.

Daaronder werkt een stiller mechanisme. Een instelling waarvan de output in regelgeving wordt gemeten, produceert regelgeving. Elke wet heeft richtsnoeren, technische normen en Q&A’s nodig, vervolgens een toezichthouder om ze toe te passen, daarna een omnibus om te herstellen wat de richtsnoeren braken. Elke stap voegt personeel toe dat voor de volgende wet nodig zal zijn. Niemand in deze keten handelt te kwader trouw. Het proces heeft eenvoudigweg geen ingebouwde reden om te stoppen, en niemand erin betaalt voor de start-up die nooit werd opgericht.

Drie scenario’s voor Europese start-ups

Om dit concreet te maken: zo denk ik dat de start-upkant van de Europese economie zich ontwikkelt. De basis komt van Dealroom: jaarlijks worden in de EU ongeveer 14.800 start-ups opgericht, circa 4.400 daarvan halen externe financiering op en de EU telt ongeveer 450 unicorns. Europa als geheel, inclusief het VK, ontving in 2023 een recordaandeel van 19% van het mondiale durfkapitaal en in 2024 16%, terwijl de Verenigde Staten 57% ontvingen.

Waarom een daling en geen instorting in het eerste scenario? Omdat het regelboek oprichters raakt op het beslismoment, niet bestaande bedrijven. Een bank in Frankfurt vertrekt niet wegens DORA. Een AI-start-up met drie mensen in Tartu registreert zich gewoon in Delaware en houdt de ontwikkelaars thuis. De EU verliest het hoofdkantoor, de belastinggrondslag en de exit, en behoudt tijdelijk de loonadministratie.

En waarom is het derde scenario geen fantasie? Omdat de cijfers ervan dicht liggen bij waar Europa op zijn best al stond: een aandeel van 19–20% in wereldwijd durfkapitaal werd enkele jaren geleden bereikt, voordat de huidige laag regels begon te gelden. EU-regelgeving schrijven met kleine bedrijven voor ogen zou Europa zijn consumentenbescherming niet hebben gekost. Het zou enkele alinea’s redactie hebben gekost.

De zaak voor de andere kant

Ik zou niet serieus genomen verdienen te worden als ik deed alsof het regelboek geen voordelen had, dus hier zijn ze. Eén MiCA-vergunning laat een bedrijf klanten bedienen in alle 30 EU- en EER-landen; voordien had een cryptobedrijf 27 afzonderlijke gesprekken met 27 toezichthouders nodig. GDPR werd het wereldwijde model voor privacywetgeving. Eén AML-verordening zou in theorie de situatie moeten beëindigen waarin een klant die in één lidstaat wordt aanvaard, in de volgende wordt geweigerd. Harmonisatie is een reëel goed, en ik profiteer er elke dag van.

Dit is de eerlijke afweging. Harmonisatie op Europese schaal wordt gekocht met snelheid en met een kostenstructuur die de kleinsten het zwaarst treft. Europa heeft, grotendeels bij verstek, beslist dat het een veilige markt verkiest boven een snelle. Dat is een legitieme keuze. Ik denk alleen dat zij openlijk moet worden gemaakt, met de prijs erbij, in plaats van telkens één omnibus tegelijk te worden ontdekt.

Wat Europa in plaats daarvan moet doen

Mijn standpunt is niet dat Europa moet ophouden met reguleren. Europa moet ophouden een start-up met drie mensen te reguleren alsof het een bank is. Een klein team kan geen complianceafdeling runnen, en een wet die er stilzwijgend één veronderstelt, is geen veiligheidsregel maar een toetredingsbarrière. Zes wijzigingen zouden het meeste van de schade wegnemen en geen ervan is radicaal: elk heeft al ergens in het EU-recht een precedent.

1. Echte omvangsdrempels, in de wet opgenomen. Onder de eigen EU-definitie van een kleine onderneming (minder dan 50 werknemers en minder dan €10 miljoen omzet) mogen zware verplichtingen helemaal niet gelden, of alleen in een korte, vaste vorm. GDPR doet dit al voor administratie onder artikel 30(5), dat de meeste organisaties met minder dan 250 werknemers vrijstelt, en in 2025 stelde de Commissie voor die vrijstelling uit te breiden. Dezelfde logica hoort in DORA, NIS2 en de AI Act.
2. Normen voordat de wet geldt. Geen verplichting mag ingaan voordat technische normen bestaan en ten minste één toezichthouder in elke lidstaat klaar is om ze toe te passen. De vertraging van de AI Act bewees dit op harde wijze. De regel moet worden vastgelegd, zodat de volgende wet geen omnibus nodig heeft om haar te redden.
3. Eerst testomgevingen, daarna handhaving. Een nieuwe sector moet een begeleide testperiode krijgen waarin een bedrijf onder toezicht kan opereren voordat volledige vergunningverlening vereist is. De AI Act belooft zulke testomgevingen, maar deze zijn uitgesteld tot augustus 2027, na enkele verplichtingen. De volgorde moet andersom zijn.
4. Eén toezichthouder per bedrijf. Een fintech met twaalf mensen kan vandaag afzonderlijk verantwoording afleggen aan de financiële toezichthouder, de FIU, de gegevensbeschermingsautoriteit en binnenkort een AI-autoriteit. Het one-stop-shopmodel van GDPR, waarin één leidende autoriteit een bedrijf behandelt, toont het model. Dit moet over het hele regelboek worden uitgebreid.
5. Een vervaldatum in elke wet. Als een verordening vervalt tenzij zij na een echte beoordeling van haar kosten opnieuw wordt bevestigd, wordt correctie verplicht in plaats van een politieke gunst. De omnibus wordt de regel, niet de redding.
6. Tel het bedrijf dat nooit werd opgericht. Elke EU-effectbeoordeling meet de kosten voor bestaande bedrijven. Geen enkele meet de start-ups die in plaats daarvan voor Delaware, Dubai of Singapore kozen. Zolang dat cijfer niet op tafel ligt, zullen de opstellers van de volgende wet de kosten blijven onderschatten.

Dit betekent niet dat de Verenigde Staten moeten worden gekopieerd, die nog steeds geen alomvattende federale AI-wet hebben maar slechts een lappendeken van staatsregels, of het VK, dat tot dusver geen enkele AI-wet heeft aangenomen en zijn bestaande toezichthouders vraagt een reeks beginselen toe te passen. Het betekent erkennen dat dit de plaatsen zijn waarmee een Europese oprichter Europa nu vergelijkt. Voeg EU Inc. toe, de in maart 2026 voorgestelde ene Europese vennootschapsvorm, met registratie in minder dan 48 uur voor minder dan €100 en zonder minimumkapitaal, zoals de Commissie belooft, en Europa zou een aanbod hebben dat een klein team werkelijk kan benutten.

Wat ik oprichters vertel

Mijn advies aan oprichters is saai praktisch geworden. Behandel nalevingskosten als een post in de kostprijs, niet als een eenmalige juridische vergoeding. Kies uw EU-land op basis van de kwaliteit van de toezichthouder en de snelheid van zijn register, want de regels zelf zijn overal gelijk. Gebruik overgangsperioden en omnibusvertragingen als tijd om te bouwen, niet als toestemming om de wet te negeren; de hoogrisicoregels van de AI Act zijn uitgesteld, niet geschrapt. En als uw bedrijfsmodel alleen buiten het EU-regelboek werkt, erken dat dan vroeg, vóór de vergunningaanvraag en niet erna.

Een bedrijf in Europa bouwen ondanks het regelboek

Europa is nog steeds een goede plaats om een bedrijf te runnen, en dat vertel ik klanten elke week. Dit artikel is niet bedoeld om iemand van Estland of de EU af te praten. Het zegt dat EU-regelgeving een reële kost is die vanaf de eerste dag moet worden meegerekend. De juiste structuur, de juiste vergunningroute en het juiste land binnen de EU maken nu meer verschil dan vijf jaar geleden. Als u die keuzes voor een nieuw of bestaand bedrijf afweegt, kan ons team bij Eesti Firma u uitleggen wat de regels werkelijk voor uw situatie betekenen, van oprichting van een vennootschap tot vergunningverlening.

Verstuur een aanvraag