--- title: "Dataverordening en data delen | Pitch" description: "Data delen, in licentie geven en beschermen, en de toegangs- en overstapregels van de Dataverordening naleven." url: https://www.pitch.law/nl/goals/data-act --- [Jouw digitale compliance](https://www.pitch.law/nl/goals) # Dataverordening en data delen Data delen, in licentie geven en beschermen, en de toegangs- en overstapregels van de Dataverordening naleven. • Jouw digitale compliance ## Ontdek de acht thema’s van jouw digitale compliance. Scrol verder of draai zelf aan de naald, en zie wat klanten ons onderweg vragen. Iets dat je aanspreekt? Klik op dat deel van de cirkel en duik erin. 1. [AVG en privacy Rechtmatig omgaan met persoonsgegevens, van je register en cookies tot verzoeken van betrokkenen en datalekken.](https://www.pitch.law/nl/goals/gdpr-and-privacy) 2. [AI-verordening Uitzoeken welke verplichtingen uit de AI-verordening voor jou gelden als aanbieder of gebruiker van AI, en wanneer.](https://www.pitch.law/nl/goals/ai-act) 3. [Dataverordening en data delen Hier ben je Data delen, in licentie geven en beschermen, en de toegangs- en overstapregels van de Dataverordening naleven.](https://www.pitch.law/nl/goals/data-act) 4. [Operationele weerbaarheid: NIS2 en DORA Je diensten draaiende houden: risicobeheer, incidentmelding en leveranciersregels onder NIS2 en, in de financiële sector, DORA.](https://www.pitch.law/nl/goals/operational-resilience) 5. [Veilige producten: Cyberbeveiligingsverordening en Cyberweerbaarheidsverordening Hardware en software op de Europese markt brengen die aan de Cyberweerbaarheidsverordening voldoen, en Europese cyberbeveiligingscertificering inzetten waar het telt.](https://www.pitch.law/nl/goals/secure-products) 6. [Online platformen: digitaledienstenverordening Host je inhoud van gebruikers of run je een marktplaats? Regel melding en actie, transparante voorwaarden en controles op handelaars onder de DSA en de P2B-verordening.](https://www.pitch.law/nl/goals/online-platforms) 7. [Consumentenrecht en e-commerce Online verkopen aan consumenten met de juiste informatie, herroepings- en garantievoorwaarden, eerlijke prijzen en reviews, correcte groene claims en een toegankelijke webshop.](https://www.pitch.law/nl/goals/consumer-and-e-commerce) 8. [Sancties en antiwitwas Klanten en partners screenen, en weten wat de sanctie- en antiwitwasregels van je verwachten.](https://www.pitch.law/nl/goals/sanctions-and-aml) AVG en privacy AI-verordening Dataverordening en data delen Operationele weerbaarheid: NIS2 en DORA Veilige producten: Cyberbeveiligingsverordening en Cyberweerbaarheidsverordening Online platformen: digitaledienstenverordening Consumentenrecht en e-commerce Sancties en antiwitwas ## Wat klanten ons vaak vragen Wat hebben we nodig om AVG-conform te zijn, en waar beginnen we? Begin met een overzicht van welke persoonsgegevens je verwerkt, waarom, op welke rechtsgrond en wie ze ontvangt. Daaruit volgt je register van verwerkingsactiviteiten, dat de meeste organisaties nodig hebben en waar alle andere stappen op bouwen. Regel daarna de basis: privacyverklaringen, verwerkersovereenkomsten, bewaartermijnen, beveiliging en een procedure voor verzoeken en datalekken. Wij bouwen en onderhouden deze registers samen met jou in het klantenportaal. - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) - Academy[Het verwerkingsregister (RoPA) →](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) - Oplossingen[Externe DPO →](https://www.pitch.law/nl/solutions/dpo-as-a-service) Iemand vraagt zijn gegevens op. Wat moeten we sturen, en wanneer? Je moet binnen één maand na ontvangst van het verzoek antwoorden. Bij complexe of talrijke verzoeken kan die termijn met twee maanden worden verlengd, als je de persoon op tijd informeert. Stuur een kopie van de persoonsgegevens, samen met de verwerkingsdoeleinden, ontvangers, bewaartermijn en bron. Controleer de identiteit zonder meer te vragen dan nodig en haal gegevens van anderen en wettelijk beschermde informatie eruit. Wij registreren elk verzoek en de termijn in een workflow. - Technologie[Verzoeken van betrokkenen →](https://www.pitch.law/nl/technologies/dsar-handling) - Academy[Inzageverzoeken van betrokkenen →](https://www.pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) We hebben een datalek. Wat nu? Beperk eerst de schade en beoordeel binnen een paar uur of het lek waarschijnlijk een risico voor personen inhoudt. Zo ja, meld het zonder onnodige vertraging aan de bevoegde gegevensbeschermingsautoriteit (meestal in het land van je hoofdvestiging, zoals de GBA in België), waar mogelijk binnen 72 uur nadat je het lek hebt vastgesteld, desnoods in stappen. Bij een hoog risico informeer je ook de betrokkenen. Documenteer elk lek, ook als je het niet meldt. Wij bereiden de melding voor en een advocaat keurt ze goed. - Oplossingen[Aanpak van datalekken →](https://www.pitch.law/nl/solutions/data-breach-response-enforcement) - Technologie[Datalekken afhandelen →](https://www.pitch.law/nl/technologies/breach-response-workflow) - Academy[Datalek: de 72-urenregel →](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) Hebben we een functionaris voor gegevensbescherming (DPO) nodig? Alleen in drie gevallen: je bent een overheidsinstantie, je kernactiviteit bestaat uit regelmatige en systematische observatie van personen op grote schaal, of uit grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens. Veel kmo's vallen daarbuiten, maar een vrijwillige DPO kan nuttig zijn. De DPO mag extern zijn en je moet de contactgegevens aan de GBA doorgeven. Wij bieden een externe DPO aan op basis van een dienstverleningsovereenkomst. - Oplossingen[Externe DPO →](https://www.pitch.law/nl/solutions/dpo-as-a-service) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) Is onze website in orde met de cookieregels? Alleen strikt noodzakelijke cookies mag je zonder toestemming plaatsen. Analytische en advertentiecookies en de meeste trackers van derden vragen vooraf een geïnformeerde, specifieke toestemming via een actieve keuze, waarbij weigeren even makkelijk is als accepteren. Een klassieke valkuil is een banner die trackers laadt voordat de bezoeker klikt. Check wat je site echt laadt en stem dan banner, cookiebeleid en privacyverklaring op elkaar af. Wij kunnen de technologieën op je site auditen. - Academy[Cookies en toestemming →](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) - Academy[Je website doorlichten op GDPR →](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) Hebben we een verwerkersovereenkomst nodig met onze leveranciers? Ja, telkens als een leverancier in jouw opdracht persoonsgegevens verwerkt, zoals een clouddienst, sociaal secretariaat of marketingplatform. Artikel 28 AVG vraagt een schriftelijke overeenkomst over instructies, vertrouwelijkheid, beveiliging, subverwerkers, hulp bij verzoeken en lekken, en verwijdering of teruggave aan het einde. De standaardvoorwaarden van leveranciers schieten vaak tekort of leggen het risico bij jou. Wij stellen deze overeenkomsten op en lezen ze na. - Oplossingen[Verwerkersovereenkomsten →](https://www.pitch.law/nl/solutions/data-processing-agreements) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) Mogen we clouddiensten of leveranciers buiten de EU gebruiken? Ja, maar persoonsgegevens mogen de EER alleen verlaten via een geldig doorgiftemechanisme: een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor gecertificeerde Amerikaanse bedrijven, of modelcontractbepalingen met een gedocumenteerde beoordeling van het doorgifterisico. Ook toegang op afstand vanuit een derde land telt als doorgifte. Breng in kaart waar je leveranciers en hun subverwerkers actief zijn en leg dat vast. Wij beoordelen doorgiften in je contracten en registers. - Academy[Gegevens doorgeven buiten de EU →](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii) - Oplossingen[Verwerkersovereenkomsten →](https://www.pitch.law/nl/solutions/data-processing-agreements) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) Hoe lang mogen we persoonsgegevens bewaren? De AVG geeft geen vaste termijn: je mag gegevens alleen bewaren zolang dat nodig is voor het doel waarvoor je ze verzamelde. Sectorregels kunnen minimumtermijnen opleggen, bijvoorbeeld voor boekhoudkundige stukken, en verjaringstermijnen kunnen rechtvaardigen dat je sommige dossiers langer bewaart. De valkuil is alles onbeperkt bijhouden. Bepaal per categorie een bewaartermijn, noteer die in je register en wis of anonimiseer volgens planning. - Academy[Hoe lang mag je persoonsgegevens bewaren? →](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) Wanneer moeten we een gegevensbeschermingseffectbeoordeling (DPIA) doen? Als een verwerking waarschijnlijk een hoog risico voor personen inhoudt, bijvoorbeeld grootschalige profilering, systematische observatie, grootschalig gebruik van gevoelige gegevens of nieuwe technologie zoals scoring met AI. Elke nationale gegevensbeschermingsautoriteit publiceert een lijst van verwerkingen waarvoor een DPIA verplicht is. Doe hem vóór de start, beschrijf risico's en maatregelen en raadpleeg de toezichthouder als er een hoog restrisico overblijft. Wij werken DPIA's samen met jou uit als werkdocumenten. - Technologie[DPIA →](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) - Oplossingen[Externe DPO →](https://www.pitch.law/nl/solutions/dpo-as-a-service) - Academy[AI Act en GDPR: waar de twee kaders elkaar raken →](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) [Naar AVG en privacy →](https://www.pitch.law/nl/goals/gdpr-and-privacy) Geldt de AI-verordening voor ons, en zijn we aanbieder of gebruiker? Ja, als je AI-systemen ontwikkelt, onder jouw naam op de EU-markt brengt of professioneel in de EU gebruikt. Een aanbieder ontwikkelt of brandt een systeem, een gebruiksverantwoordelijke gebruikt het onder eigen gezag. Veel bedrijven zijn allebei, bijvoorbeeld als je een AI-functie in je eigen product bouwt. Je rol bepaalt wat je moet doen, dus leg die per systeem vast. Wij zetten je systemen en rollen voor je op een rij. - Academy[Aanbieder of gebruiksverantwoordelijke? →](https://www.pitch.law/nl/academy/provider-vs-deployer-ai-act) - Oplossingen[AI Act-compliance →](https://www.pitch.law/nl/solutions/ai-act-compliance) - Technologie[AI Act-register en beoordelingen →](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) Is ons AI-systeem hoog risico? Een systeem is hoog risico als het een veiligheidscomponent is van een product onder bepaalde Europese productwetgeving, of als het doel onder een gebied van bijlage III valt, zoals werving, onderwijs, kredietscoring, essentiële diensten, rechtshandhaving of migratie. Wat telt is waarvoor je het systeem bedoelt, niet de technologie. Er zijn beperkte uitzonderingen voor systemen die beslissingen niet echt beïnvloeden. Schrijf per systeem op hoe je tot je oordeel komt. Wij classificeren je systemen en leggen de artikelen en bewijsstukken erbij. - Academy[Risicoclassificatie onder de AI-verordening →](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) - Technologie[AI Act-register en beoordelingen →](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) Wat moeten we nu doen, en wat kan wachten? Dit geldt al: het verbod op verboden praktijken en de AI-geletterdheid sinds 2 februari 2025, en de transparantieplichten van artikel 50 sinds 2 augustus 2026. De regels voor hoog risico zijn uitgesteld tot 2 december 2027 (systemen uit bijlage III) en 2 augustus 2028 (AI in producten), maar het conformiteitswerk kost maanden. De data zijn eerder verschoven, dus check ze op EUR-Lex. Begin met een lijst van je systemen en hun risicoklasse. - Academy[AI Act-tijdlijn: wat geldt wanneer →](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) - Oplossingen[AI Act-compliance →](https://www.pitch.law/nl/solutions/ai-act-compliance) - Technologie[AI Act-register en beoordelingen →](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) Wat is de AI-geletterdheidsplicht, en moeten we ons team opleiden? Artikel 4 geldt voor aanbieders en gebruiksverantwoordelijken van elk AI-systeem, niet alleen voor hoog risico, en is van toepassing sinds 2 februari 2025. Je moet ervoor zorgen dat je mensen, en anderen die namens jou met AI werken, genoeg van AI snappen voor hun rol. Er is geen voorgeschreven opleiding. Een programma dat past bij je bedrijf, met een paper trail, is de praktische oplossing. - Academy[De verplichting inzake AI-geletterdheid →](https://www.pitch.law/nl/academy/ai-literacy-obligation-businesses-overlooking) - Academy[Een AI-governancekader opbouwen →](https://www.pitch.law/nl/academy/building-an-ai-governance-framework) Moeten we mensen zeggen dat ze met een AI-chatbot praten of AI-inhoud zien? In principe wel. Sinds 2 augustus 2026 vraagt artikel 50 dat mensen weten dat ze met een AI-systeem praten, tenzij dat duidelijk is. Aanbieders van generatieve systemen moeten synthetische output machineleesbaar markeren, met een overgangsperiode voor systemen die al op de markt waren. Gebruikers moeten deepfakes en bepaalde AI-teksten over zaken van algemeen belang bekendmaken. Check dus je chatbot en je marketing. - Academy[AI Act-tijdlijn: wat geldt wanneer →](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) - Academy[De Europese AI-verordening: een praktisch overzicht →](https://www.pitch.law/nl/academy/eu-ai-act-practical-overview-for-businesses) We gebruiken alleen tools van anderen, zoals ChatGPT of Copilot. Gaat de verordening ons dan nog aan? Ja, als gebruiksverantwoordelijke. Je zorgt voor AI-geletterdheid en volgt de transparantieplichten. Bij hoog risico volg je ook de instructies van de aanbieder, regel je menselijk toezicht en bewaar je logs. Je team gebruikt vast ook tools waar jij niets van weet, dus een inventaris en een gebruiksbeleid helpen. Check ook het leverancierscontract: wie is aansprakelijk, waar gaat je data naartoe en wordt je input gebruikt om het model te trainen? - Academy[AI-clausules in leverancierscontracten →](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) - Academy[Een AI-governancekader opbouwen →](https://www.pitch.law/nl/academy/building-an-ai-governance-framework) - Oplossingen[AI Act-compliance →](https://www.pitch.law/nl/solutions/ai-act-compliance) Mogen we AI gebruiken bij werving en HR? Ja, maar AI voor werving, selectie, evaluatie, promotie of monitoring van werknemers is hoog risico onder bijlage III, en emotieherkenning op de werkvloer is verboden. Je gebruikt het systeem volgens de instructies, zorgt voor opgeleid menselijk toezicht, informeert de werknemers die het raakt en bewaart logs. Daarnaast geldt de AVG, ook de beperkingen op volledig geautomatiseerde besluiten, en vaak heb je een DPIA (een risicoanalyse voor gegevensbescherming) nodig. Betrek de ondernemingsraad of personeelsvertegenwoordiging waar dat moet. - Academy[AI in HR en recrutering →](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) - Technologie[DPIA →](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) Hoe passen de AI-verordening en de AVG bij elkaar? Ze gelden allebei. De AI-verordening gaat over het systeem en zijn risicoklasse, de AVG over de persoonsgegevens die erin gaan. Eén AI-project kan dus zowel een conformiteitsdossier als een DPIA vragen. Rechtsgrond, minimale gegevensverwerking, transparantie en rechten rond geautomatiseerde besluiten blijven onder de AVG vallen. Stem registers, beoordelingen en documentatie op elkaar af, dan werk je niet dubbel. Wij koppelen beide in één set registers. - Academy[AI Act en GDPR: waar de twee kaders elkaar raken →](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) - Technologie[DPIA →](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) Welke boetes riskeren we als het misgaat? De boetes lopen op met de ernst van de inbreuk: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, met lagere schijven voor andere verplichtingen en lagere plafonds voor kmo's. Vooral nationale markttoezichtautoriteiten handhaven, dus zoek uit wie bevoegd is voor jouw sector in elk land waar je actief bent. Los van boetes vragen klanten en investeerders steeds vaker om bewijs dat je klaar bent. - Oplossingen[AI Act-compliance →](https://www.pitch.law/nl/solutions/ai-act-compliance) - Academy[De Europese AI-verordening: een praktisch overzicht →](https://www.pitch.law/nl/academy/eu-ai-act-practical-overview-for-businesses) [Naar AI-verordening →](https://www.pitch.law/nl/goals/ai-act) Moeten we gebruikers toegang geven tot de data die onze verbonden producten genereren? Ja, als je de datahouder bent van een verbonden product of gerelateerde dienst die op de EU-markt komt. Sinds 12 september 2025 moeten gebruikers vóór aankoop weten welke data het product genereert. Ze kunnen direct beschikbare data opvragen en laten delen met een derde. Je handelsgeheimen kun je beschermen met afgesproken vertrouwelijkheidsmaatregelen. De ontwerpplicht geldt voor producten die na 12 september 2026 op de markt komen. - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) - Oplossingen[Datalicenties en datadeling →](https://www.pitch.law/nl/solutions/data-licensing-sharing) Hoe geven we data in licentie of delen we data onder eerlijke voorwaarden? Bepaal welke data, waarvoor, hoe lang en wie eigenaar is van wat eruit voortkomt. Moet je data delen volgens de Dataverordening, dan moeten de voorwaarden billijk, redelijk en niet-discriminerend zijn en de vergoeding redelijk. Voeg waarborgen voor persoonsgegevens toe, vertrouwelijkheid, audit, beperkte garanties en teruggave of verwijdering aan het einde. Een standaard leveringsovereenkomst waar je het woord data aan toevoegt, is zelden genoeg. Wij stellen datalicenties en deelovereenkomsten op. - Oplossingen[Datalicenties en datadeling →](https://www.pitch.law/nl/solutions/data-licensing-sharing) - Technologie[Document Studio →](https://www.pitch.law/nl/technologies/contract-studio) - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) Kunnen we onze databanken en datasets beschermen? Vaak wel, door rechten te combineren: het sui generis databankenrecht bij een substantiële investering in een databank, auteursrecht voor een oorspronkelijke selectie of ordening, en handelsgeheimen voor data die je met redelijke maatregelen geheim houdt. Contracten regelen een groot deel van de rest. Het databankenrecht geldt niet voor databanken met data uit verbonden producten. Wij brengen in kaart wat je bezit en toetsen de dataclausules die je tekent. - Oplossingen[Bescherming van data en databanken →](https://www.pitch.law/nl/solutions/data-and-database-rights-protection) - Academy[Databankenrecht en bedrijfsgeheimen →](https://www.pitch.law/nl/academy/database-rights-and-trade-secrets) Geldt de Dataverordening ook voor ons als we geen verbonden producten maken? Mogelijk wel. De regels over oneerlijke bedingen gelden voor elk bedrijf dat dataclausules aan een ander bedrijf oplegt, de overstapregels gelden voor aanbieders van gegevensverwerkingsdiensten, en gebruikers van verbonden producten hebben rechten als klant. Check dus je standaardcontracten en cloudovereenkomsten, ook als je geen hardware maakt. Wij toetsen die voorwaarden aan de verordening. - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) Kunnen onze klanten onder de Dataverordening vrij van cloudaanbieder wisselen? Ja, dat is de bedoeling. Aanbieders van cloud- en andere gegevensverwerkingsdiensten moeten klanten laten overstappen of data laten overdragen, met een maximale opzegtermijn en een overgangsperiode. Overstapkosten worden afgebouwd en verdwijnen volledig vanaf 12 januari 2027. Ben je aanbieder, bekijk dan je contractbepalingen over beëindiging, exportformaten en kosten opnieuw. Ben je klant, ga dan na waar je recht op hebt. - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) Welke dataclausules in contracten kan de Dataverordening onafdwingbaar maken? Een bepaling over toegang tot en gebruik van data, of over aansprakelijkheid en rechtsmiddelen daarvoor, is niet bindend als een bedrijf ze eenzijdig aan een ander bedrijf oplegt en ze oneerlijk is. Sommige bedingen zijn altijd oneerlijk, zoals aansprakelijkheid voor opzet uitsluiten. Typische risicoclausules zijn eenzijdige wijzigingen van dataregels, algemene rechten op afgeleide data en geen aansprakelijkheid voor datafouten. De regel geldt voor contracten na 12 september 2025 en vanaf 12 september 2027 ook voor bepaalde oudere langlopende contracten. - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) - Oplossingen[Bescherming van data en databanken →](https://www.pitch.law/nl/solutions/data-and-database-rights-protection) Hoe verhoudt de Dataverordening zich tot de AVG als de data persoonsgegevens zijn? De AVG gaat voor. De Dataverordening geeft geen rechtsgrond om persoonsgegevens te verwerken. Deel je als datahouder data met een gebruiker of een derde, dan heb je dus nog steeds een rechtsgrond nodig en respecteer je de rechten van de betrokkenen. Data van meerdere personen op één toestel, zoals een gezinswagen, vraagt extra zorg. Stem je voorwaarden voor dataverstrekking af op je register van verwerkingsactiviteiten en betrek je DPO op tijd. - Academy[De Europese Data Act →](https://www.pitch.law/nl/academy/eu-data-act) - Technologie[Verwerkingsregister en compliance-registers →](https://www.pitch.law/nl/technologies/privacy-register) - Oplossingen[Datalicenties en datadeling →](https://www.pitch.law/nl/solutions/data-licensing-sharing) Vallen we onder NIS2 of DORA, rechtstreeks of als leverancier? NIS2 geldt voor middelgrote en grote entiteiten in de sectoren van de twee bijlagen, zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, ICT-diensten, maakindustrie en online marktplaatsen. NIS2 is een Europese richtlijn die elke lidstaat in nationaal recht omzet, dus de details en de toezichthouders verschillen per land (in België bijvoorbeeld de wet van 26 april 2024, onder toezicht van het CCB). DORA geldt voor financiële entiteiten en, via contracten, voor hun ICT-dienstverleners. Kleinere leveranciers krijgen de regels vaak via de eisen van hun klanten. Wij helpen je bepalen of je eronder valt en hoe groot je contractuele blootstelling is. - Academy[De NIS2-richtlijn →](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) We zijn een financiële entiteit. Wat vraagt DORA van ons? DORA (Verordening (EU) 2022/2554, van toepassing sinds 17 januari 2025) gaat over operationeel blijven, niet alleen over beveiliging. Je bestuur keurt een kader voor ICT-risicobeheer goed en volgt het op, met plannen voor bedrijfscontinuïteit en herstel. Je classificeert ICT-incidenten en meldt de ernstige aan je toezichthouder, je test je digitale operationele weerbaarheid regelmatig (de grootste entiteiten met dreigingsgestuurde penetratietests), en je beheert het risico van je ICT-dienstverleners, met een informatieregister van al je ICT-contracten. Wij helpen je met de governancedocumenten, het register en de contracten. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Contractbeheer: rechten en verplichtingen →](https://www.pitch.law/nl/technologies/contract-obligations) Wat moeten we melden na een beveiligingsincident, en aan wie? Onder NIS2 meld je een significant incident in stappen aan het CCB: een vroege waarschuwing binnen 24 uur nadat je ervan weet, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Zijn er persoonsgegevens getroffen, dan moet je daarnaast binnen 72 uur een aparte AVG-melding doen bij de GBA. De ontvangers en de inhoud verschillen, dus bereid beide voor op basis van dezelfde feiten. Financiële entiteiten onder DORA melden ernstige ICT-incidenten aan hun financiële toezichthouder. - Academy[De NIS2-richtlijn →](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) - Academy[Datalek: de 72-urenregel →](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - Oplossingen[Aanpak van datalekken →](https://www.pitch.law/nl/solutions/data-breach-response-enforcement) Wat moeten we afspreken met onze ICT-leveranciers? Onder beide regelgevingen ben je zelf verantwoordelijk voor je toeleveringsketen. Reken op beveiligingseisen, meldingsplichten bij incidenten met korte termijnen, audit- en informatierechten, controle op onderaannemers, bedrijfscontinuïteit en afspraken over exit en teruggave van gegevens. DORA somt verplichte contractinhoud op voor ICT-diensten aan financiële entiteiten. Standaardvoorwaarden van leveranciers dekken dit zelden, dus bekijk ze opnieuw en onderhandel ze bij. Wij stellen deze clausules op en beoordelen ze. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) - Academy[AI-clausules in leverancierscontracten →](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) Moeten we ons registreren als NIS2-entiteit? Vaak wel, als je onder NIS2 valt: lidstaten eisen dat entiteiten in scope zich registreren of melden bij de nationale autoriteit, maar procedures, platformen en termijnen verschillen per land. In België moesten entiteiten zich bijvoorbeeld registreren via het platform Safeonweb\@Work van het CCB, met een oorspronkelijke deadline van 18 maart 2025. Daarvoor moet je ook bepalen of je essentieel of belangrijk bent, want dat beïnvloedt het toezicht. Twijfel je, doe dan eerst een scopeanalyse. Essentiële entiteiten moeten bovendien hun conformiteit laten beoordelen, volgens een nationaal bepaalde methode (in België bijvoorbeeld via CyberFundamentals of ISO/IEC 27001). - Academy[De NIS2-richtlijn →](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) Kan het bestuur persoonlijk aansprakelijk zijn onder NIS2? NIS2 legt de verantwoordelijkheid bij het bestuur: bestuursorganen moeten de maatregelen voor cyberbeveiligingsrisico's goedkeuren, de uitvoering opvolgen en opleidingen volgen, en kunnen aansprakelijk worden gesteld voor inbreuken. De boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten en 7 miljoen euro of 1,4% voor belangrijke entiteiten. Notulen die laten zien dat het bestuur de maatregelen heeft besproken en goedgekeurd, zijn je beste bewijs. - Academy[De NIS2-richtlijn →](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) Welke beveiligingsmaatregelen eist NIS2 precies? Artikel 21 vraagt passende en evenredige technische, operationele en organisatorische maatregelen, vanuit een aanpak die alle gevaren dekt. Denk aan risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer, cryptografie, toegangscontrole en meerfactorauthenticatie. Er is geen vaste checklist, dus doe een gap-analyse, laat het bestuur een plan goedkeuren en bewaar het bewijs. Wij adviseren over de juridische en contractuele kant, niet over technische beveiligingstests. - Academy[De NIS2-richtlijn →](https://www.pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) We zijn een klein softwarebedrijf dat banken bedient. Wat betekent DORA voor ons? DORA, van toepassing sinds 17 januari 2025, bindt financiële entiteiten en jou niet rechtstreeks, tenzij je wordt aangewezen als kritieke ICT-derdendienstverlener. Maar je bankklanten moeten specifieke bepalingen in hun contracten met jou opnemen: dienstbeschrijving, locatie van gegevens, beveiliging en hulp bij incidenten, auditrechten, voorwaarden voor onderaanneming en hulp bij de exit. Reken op die vragen en maak een standaardaddendum klaar, zodat je niet elk contract van nul hoeft te onderhandelen. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) [Naar Operationele weerbaarheid: NIS2 en DORA →](https://www.pitch.law/nl/goals/operational-resilience) Valt ons product onder de Cyberweerbaarheidsverordening? De Cyberweerbaarheidsverordening (Verordening (EU) 2024/2847, de Cyber Resilience Act of CRA) geldt voor producten met digitale elementen op de Europese markt: hardware en software die rechtstreeks of onrechtstreeks verbinding maken met een toestel of een netwerk. Denk aan apps, firmware en apart verkochte software, en aan de gegevensverwerking op afstand die een product nodig heeft om te werken. Pure SaaS valt erbuiten, net als producten met een eigen regeling, zoals medische hulpmiddelen en voertuigen. De regels gelden voor fabrikanten, importeurs en distributeurs, ook van buiten de EU. - Academy[Kan ik mijn software beschermen? →](https://www.pitch.law/nl/academy/protecting-software-intellectual-property) - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) Vanaf wanneer gelden de verplichtingen uit de Cyberweerbaarheidsverordening? De verordening is op 10 december 2024 in werking getreden en geldt in stappen. Vanaf 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden, ook voor producten die al op de markt zijn. De meeste andere verplichtingen, zoals de essentiële eisen en de CE-markering, gelden vanaf 11 december 2027. Producten die je daarvoor op de markt brengt, vallen er in de regel pas onder na een substantiële wijziging. Gebruik de tijd om je proces voor kwetsbaarhedenbeheer op te zetten, want dat vraagt het meeste werk. Wat moeten we doen als fabrikant? Je ontwerpt en levert het product zonder gekende uitbuitbare kwetsbaarheden, veilig in de standaardinstellingen, en je houdt het veilig met updates gedurende een ondersteuningsperiode die past bij het verwachte gebruik, als regel minstens vijf jaar. Je beheert kwetsbaarheden met een software bill of materials (SBOM) en een beleid voor gecoördineerde bekendmaking. Voor je verkoopt, doe je de conformiteitsbeoordeling, stel je de technische documentatie en de EU-conformiteitsverklaring op en breng je de CE-markering aan. Meldingen gaan via het centrale meldplatform van ENISA: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en daarna een eindverslag. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) Mogen we ons product zelf beoordelen, of hebben we een aangemelde instantie nodig? Voor de meeste producten volstaat een zelfbeoordeling. Belangrijke producten uit bijlage III vragen meer: voor klasse I, zoals wachtwoordbeheerders, vpn's en routers, mag je alleen zelf beoordelen als je geharmoniseerde normen of een certificeringsregeling toepast; voor klasse II, zoals firewalls en hypervisors, moet een aangemelde instantie meekijken. Voor kritieke producten, zoals smartcards en hardwarebeveiligingsmodules, kan de Commissie een Europees cyberbeveiligingscertificaat verplichten. Classificeer je product vroeg, want dat bepaalt je planning en je budget. Wat is de Cyberbeveiligingsverordening, en hebben we een certificaat nodig? De Cyberbeveiligingsverordening (Verordening (EU) 2019/881, de Cybersecurity Act) gaf ENISA een permanent mandaat en zette een Europees kader op voor cyberbeveiligingscertificering van ICT-producten, -diensten en -processen. De eerste regeling, EUCC, gebaseerd op de Common Criteria, geldt sinds 27 februari 2025, en een wijziging van 2025 breidt het kader uit naar beheerde beveiligingsdiensten. Certificering is vrijwillig, tenzij Europees of nationaal recht ze oplegt. Klanten en overheidsopdrachten vragen er wel steeds vaker naar, en onder de Cyberweerbaarheidsverordening kan ze de manier zijn om conformiteit aan te tonen. We gebruiken en publiceren opensourcesoftware. Hoe zit dat? Als fabrikant ben je verantwoordelijk voor het hele product, ook voor de opensourcecomponenten die je inbouwt. Controleer ze dus zorgvuldig en hou ze bij in je SBOM. Gratis opensourcesoftware die buiten een commerciële activiteit wordt ontwikkeld of geleverd, valt buiten de Cyberweerbaarheidsverordening. Organisaties die open source voor commercieel gebruik ondersteunen als 'opensourcesoftwarebeheerder' hebben lichtere plichten, zoals een cyberbeveiligingsbeleid en medewerking met de autoriteiten. Zorg dat je licentiekeuze en je contracten bij je rol passen. - Academy[Kan ik mijn software beschermen? →](https://www.pitch.law/nl/academy/protecting-software-intellectual-property) - Oplossingen[Octrooi- en technologielicenties →](https://www.pitch.law/nl/solutions/patent-technology-licensing) Wat riskeren we, en hoe verdelen we de last met onze leveranciers? Wie de essentiële eisen niet naleeft, riskeert boetes tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet, en markttoezichthouders kunnen een product uit de handel laten nemen of terugroepen. Veel van het werk ligt bij je leveranciers van chips, modules en software. Spreek beveiligingseisen af, meldingen van kwetsbaarheden binnen je eigen meldtermijnen, updates voor de hele ondersteuningsperiode, documentatie en medewerking aan conformiteitsbeoordelingen. Wij stellen deze clausules op en beoordelen ze. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) - Technologie[Document Studio →](https://www.pitch.law/nl/technologies/contract-studio) [Naar Veilige producten: Cyberbeveiligingsverordening en Cyberweerbaarheidsverordening →](https://www.pitch.law/nl/goals/secure-products) Valt ons bedrijf onder de digitaledienstenverordening? De digitaledienstenverordening (Verordening (EU) 2022/2065, de Digital Services Act of DSA), volledig van toepassing sinds 17 februari 2024, geldt voor tussenhandelsdiensten aan gebruikers in de EU: mere conduit, caching en hosting. Wie inhoud voor gebruikers opslaat, is een hostingdienst, dus ook een SaaS-tool met uploads of een site met reacties kan eronder vallen. Online platformen, die die inhoud ook openbaar verspreiden, en marktplaatsen hebben meer plichten, en de allergrootste de meeste. Een aanbieder buiten de EU moet een wettelijke vertegenwoordiger in de EU aanstellen. - Oplossingen[Naleving van je merkbeleid →](https://www.pitch.law/nl/solutions/online-brand-compliance) Zijn we aansprakelijk voor wat onze gebruikers posten of verkopen? Niet zolang je niet weet van illegale inhoud en snel handelt zodra je het wel weet. Dat is de vrijstelling voor hosting, en de DSA behoudt die. Er is geen algemene plicht om alles te controleren, en je eigen vrijwillige controles kosten je de vrijstelling niet. Marktplaatsen zijn een uitzondering: als een gemiddelde consument denkt dat het product of de dienst van jou komt, kan het consumentenrecht je aansprakelijk stellen alsof je de verkoper bent. Duidelijke vermeldingen van wie de handelaar is en een werkend systeem van melding en actie zijn je beste bescherming. - Technologie[Takedowns en handhavingsmeldingen →](https://www.pitch.law/nl/technologies/online-takedowns) - Oplossingen[Brand monitoring en online handhaving →](https://www.pitch.law/nl/solutions/effective-online-brand-protection) Wat moeten we op poten zetten? Elke tussenhandelsdienst heeft contactpunten nodig voor autoriteiten en gebruikers, en voorwaarden die uitleggen hoe je inhoud modereert. Hostingdiensten voegen daar een systeem van melding en actie aan toe, en een motivering bij elke beperking die ze opleggen. Online platformen hebben daarnaast een intern klachtensysteem nodig, toegang tot buitengerechtelijke geschillenbeslechting, voorrang voor betrouwbare flaggers, maatregelen tegen misbruik, transparantie over advertenties en aanbevelingssystemen, bescherming van minderjarigen en een verbod op dark patterns. Micro- en kleine ondernemingen zijn vrijgesteld van de meeste platformplichten. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Document Studio →](https://www.pitch.law/nl/technologies/contract-studio) We runnen een marktplaats. Wat komt er nog bij? Je moet je handelaars kennen voor ze mogen verkopen: verzamel naam, adres, contactgegevens, identificatie, betaalrekening en registratienummer, en doe redelijke inspanningen om die te controleren. Ontwerp je interface zo dat handelaars de precontractuele informatie, productveiligheidsinformatie en etikettering kunnen geven die consumenten nodig hebben. Hoor je dat er een illegaal product is verkocht, breng dan de kopers op de hoogte die je kunt bereiken. In je voorwaarden voor handelaars en je onboarding komt dit samen. - Oplossingen[Naleving van je merkbeleid →](https://www.pitch.law/nl/solutions/online-brand-compliance) - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) Wat vraagt de P2B-verordening tegenover onze zakelijke gebruikers? Bereiken bedrijven hun klanten via jouw platform, appstore of zoekmachine, dan geldt de Platform-to-Business-verordening (Verordening (EU) 2019/1150). Je voorwaarden moeten duidelijk en beschikbaar zijn, wijzigingen kondig je minstens 15 dagen vooraf aan, en je motiveert het als je een zakelijke gebruiker beperkt of schorst, met 30 dagen opzeg voor je de relatie beëindigt. Leg uit welke parameters de rangschikking het meest bepalen, voorzie een intern klachtensysteem (kleine ondernemingen zijn vrijgesteld) en wijs bemiddelaars aan. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) Wie houdt toezicht op de DSA, en hoe hoog zijn de boetes? Elke lidstaat heeft een coördinator voor digitale diensten, en die van het land waar je gevestigd bent, houdt toezicht op jou. De Europese Commissie houdt toezicht op zeer grote online platformen en zoekmachines, met minstens 45 miljoen maandelijkse actieve gebruikers in de EU. Boetes kunnen oplopen tot 6% van de wereldwijde jaaromzet, en 1% voor onjuiste of onvolledige informatie. Gebruikers en hun organisaties kunnen ook klacht indienen en schadevergoeding vragen. [Naar Online platformen: digitaledienstenverordening →](https://www.pitch.law/nl/goals/online-platforms) Wat moeten we consumenten vertellen voor ze online kopen? Onder de richtlijn consumentenrechten (2011/83/EU), voor de bestelling: wie je bent en hoe ze je bereiken, de belangrijkste kenmerken, de totale prijs met belastingen en levering, de betaal- en leveringsvoorwaarden, het herroepingsrecht, de wettelijke garantie en, voor digitale inhoud, de werking en compatibiliteit. De bestelknop moet duidelijk maken dat bestellen betalen betekent, zoals 'bestelling met betalingsverplichting'. Bevestig het contract achteraf op een duurzame drager, zoals een e-mail. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Document Studio →](https://www.pitch.law/nl/technologies/contract-studio) Hoe werkt het herroepingsrecht? Consumenten kunnen binnen 14 dagen zonder opgave van reden herroepen, te rekenen vanaf de levering voor goederen en vanaf het contract voor diensten en digitale inhoud. Er zijn uitzonderingen, bijvoorbeeld voor goederen op maat, bederfelijke waren en digitale inhoud die de consument meteen wou ontvangen terwijl hij erkende dat hij zijn recht daardoor verliest. Heb je de consument niet goed geïnformeerd, dan loopt de termijn tot 12 maanden langer. Vanaf 19 juni 2026 moeten online handelaars ook een makkelijk vindbare herroepingsfunctie op hun website of app aanbieden. Welke garantie zijn we verschuldigd op goederen en digitale inhoud? Voor goederen legt de richtlijn verkoop van goederen (Richtlijn (EU) 2019/771) een wettelijke garantie op van minstens twee jaar voor gebreken die er bij de levering al waren, met de bewijslast bij de verkoper gedurende minstens het eerste jaar. Voor digitale inhoud en diensten voegt de richtlijn digitale inhoud (Richtlijn (EU) 2019/770) conformiteitsregels toe, ook voor updates, en ook als de consument 'betaalt' met persoonsgegevens. Een commerciële garantie komt daar bovenop en mag ze nooit beperken. Wat zijn de regels voor kortingen, reviews en dark patterns? Een prijsvermindering moet verwijzen naar de laagste prijs die je in de 30 dagen ervoor vroeg. Toon je reviews, zeg dan of en hoe je controleert dat ze van echte kopers komen; nepreviews of gekochte reviews zijn verboden. Laat consumenten weten wanneer een prijs gepersonaliseerd is op basis van geautomatiseerde beslissingen. Misleidende of agressieve praktijken, zoals valse schaarste of afteltimers die druk zetten, zijn oneerlijke handelspraktijken. Bij gecoördineerde grensoverschrijdende acties kunnen de boetes oplopen tot minstens 4% van de jaaromzet. - Oplossingen[Naleving van je merkbeleid →](https://www.pitch.law/nl/solutions/online-brand-compliance) Mogen we nog zeggen dat ons product groen of klimaatneutraal is? Alleen voorzichtig. Vanaf 27 september 2026 verbiedt Richtlijn (EU) 2024/825 algemene milieuclaims zoals 'milieuvriendelijk' of 'groen', tenzij je erkende uitmuntende milieuprestaties kunt aantonen, claims dat een product klimaatneutraal of -positief is door compensatie, en duurzaamheidslabels die niet op een certificeringsregeling steunen of niet door een overheid zijn vastgesteld. Specifieke, controleerbare claims blijven mogelijk. Bekijk je verpakking, website en reclame nu al, want verpakkingen worden maanden vooraf gedrukt. - Oplossingen[Naleving van je merkbeleid →](https://www.pitch.law/nl/solutions/online-brand-compliance) Geldt de Europese toegankelijkheidsrichtlijn voor onze webshop? Waarschijnlijk wel. Sinds 28 juni 2025 moeten e-commercediensten, en andere diensten zoals bankdiensten, e-books en ticketing, toegankelijk zijn voor mensen met een beperking, op grond van de Europese toegankelijkheidsrichtlijn (Richtlijn (EU) 2019/882). Dienstverleners met minder dan 10 werknemers en hoogstens 2 miljoen euro omzet of balanstotaal zijn vrijgesteld. In de praktijk ontwerp je volgens de geharmoniseerde norm EN 301 549, die WCAG volgt, en leg je in je voorwaarden uit hoe de dienst aan de eisen voldoet. We verkopen aan consumenten in andere EU-landen. Welk recht geldt er? Je mag het recht kiezen dat je voorwaarden beheerst, maar richt je je activiteiten op het land van een consument, dan behoudt die consument de bescherming van de dwingende regels van zijn eigen land. De geoblockingverordening (Verordening (EU) 2018/302) verbiedt je bovendien klanten zonder gegronde reden anders te behandelen op basis van nationaliteit of woonplaats. Eén set voorwaarden werkt meestal in de hele EU, als ze voldoet aan de strengste dwingende regels in je markten. Wij stellen voorwaarden op die standhouden in elke markt waar je verkoopt. - Oplossingen[Commerciële contracten en transacties →](https://www.pitch.law/nl/solutions/commercial-contracts-transactions) - Technologie[Document Studio →](https://www.pitch.law/nl/technologies/contract-studio) [Naar Consumentenrecht en e-commerce →](https://www.pitch.law/nl/goals/consumer-and-e-commerce) Moeten we onze klanten en leveranciers screenen? EU-sancties binden elk Europees bedrijf, niet alleen banken, en verbieden om rechtstreeks of onrechtstreeks tegoeden of economische middelen ter beschikking te stellen van vermelde personen. Voor niet-gereguleerde bedrijven schrijft geen wet één screeningmethode voor, maar je hebt wel een gedocumenteerd proces nodig bij de start van elke relatie: check namen en uiteindelijke begunstigden aan de hand van de Europese geconsolideerde lijst en relevante VN-, Britse of Amerikaanse lijsten, en herhaal dat als de lijsten wijzigen. Inbreuken worden volgens nationaal recht bestraft, vaak als strafbare feiten (bijvoorbeeld in België), en de EU stemt deze sancties af tussen de lidstaten. - Academy[Sanctiescreening en antiwitwas →](https://www.pitch.law/nl/academy/sanctions-screening-and-anti-money-laundering-what-every-business-needs-to-know) - Oplossingen[M\&A en due diligence →](https://www.pitch.law/nl/solutions/m-a-due-diligence) Wat doen we als een tegenpartij op een sanctielijst staat? Stop en schaal meteen op. Ga niet verder met de transactie, betaling of levering zolang niet duidelijk is of de match echt is of vals positief. Vergelijk daarvoor identificatiegegevens zoals geboortedatum, nationaliteit en ondernemingsnummer. Documenteer het onderzoek in beide gevallen. Een bevestigde match betekent meestal dat tegoeden worden bevroren en dat de bevoegde nationale autoriteit wordt ingelicht (in België de FOD Financiën, Thesaurie). Vraag juridisch advies voordat je handelt of contracten beëindigt. - Academy[Sanctiescreening en antiwitwas →](https://www.pitch.law/nl/academy/sanctions-screening-and-anti-money-laundering-what-every-business-needs-to-know) - Technologie[Data room en due diligence →](https://www.pitch.law/nl/technologies/data-room) Welke antiwitwasverplichtingen gelden voor ons bedrijf? Alleen onderworpen entiteiten vallen onder de antiwitwasregels. Die zetten de Europese antiwitwasrichtlijnen om en lijken dus in grote lijnen op elkaar tussen de lidstaten (in België de wet van 18 september 2017). Het gaat om financiële instellingen, notarissen, boekhouders, belastingadviseurs, vastgoedmakelaars, dienstverleners aan vennootschappen, bepaalde handelaars in waardevolle goederen en advocaten voor bepaalde activiteiten. Zij moeten klanten en uiteindelijke begunstigden identificeren, risico's inschatten, de relatie opvolgen en vermoedens melden aan de nationale financiële inlichtingeneenheid (in België de CTIF-CFI). Andere bedrijven moeten wel hun eigen UBO-registratie juist houden. - Academy[Sanctiescreening en antiwitwas →](https://www.pitch.law/nl/academy/sanctions-screening-and-anti-money-laundering-what-every-business-needs-to-know) Wie moet er in het UBO-register staan, en hoe achterhalen we wie een tegenpartij bezit? Vennootschappen moeten de natuurlijke personen registreren die hen uiteindelijk bezitten of controleren, momenteel boven 25% van de aandelen of stemrechten of via andere controle, en de leidinggevenden als niemand aan die toets voldoet. Die gegevens moeten actueel blijven. Voor een tegenpartij vraag je een gecertificeerd eigendomsschema met onderliggende documenten en screen je elke natuurlijke persoon en entiteit daarin. Gelaagde structuren via trusts of derde landen vragen extra zorg. - Academy[Sanctiescreening en antiwitwas →](https://www.pitch.law/nl/academy/sanctions-screening-and-anti-money-laundering-what-every-business-needs-to-know) - Oplossingen[M\&A en due diligence →](https://www.pitch.law/nl/solutions/m-a-due-diligence) - Technologie[Data room en due diligence →](https://www.pitch.law/nl/technologies/data-room) Hoe regelen we sancties en compliance in contracten en transacties? Neem sanctie- en compliancebepalingen op: garanties dat geen van beide partijen of hun eigenaars op een lijst staat, een meldingsplicht bij wijzigingen, een recht om op te schorten of te beëindigen zonder aansprakelijkheid als uitvoering sancties zou schenden, en audit- of informatierechten. Screen bij overnames de verkoper, het doelwit en hun eigenaars vóór de ondertekening en leg de checks vast. Wij nemen dit mee in de due diligence en het contractnazicht. - Oplossingen[M\&A en due diligence →](https://www.pitch.law/nl/solutions/m-a-due-diligence) - Technologie[Contractreview →](https://www.pitch.law/nl/technologies/clause-library-risk-review) - Technologie[Data room en due diligence →](https://www.pitch.law/nl/technologies/data-room) Wat verandert er in de antiwitwasregels? Het Europese antiwitwaspakket van 2024 bevat Verordening (EU) 2024/1624, die vanaf juli 2027 rechtstreeks van toepassing wordt en geharmoniseerde regels voor klantenonderzoek bevat, en richt de Europese antiwitwasautoriteit (AMLA) op. Ook de drempel voor uiteindelijke begunstigden ligt vast op 25% of meer. De nationale wetgeving wordt aangepast. Ben je een onderworpen entiteit, plan je procedures dan nu en check de actuele tekst voordat je op een detail leunt. - Academy[Sanctiescreening en antiwitwas →](https://www.pitch.law/nl/academy/sanctions-screening-and-anti-money-laundering-what-every-business-needs-to-know) [Naar Sancties en antiwitwas →](https://www.pitch.law/nl/goals/sanctions-and-aml) [Plan een gesprek](https://www.pitch.law/nl/schedule) ## Zo helpen we je - ### [Datalicenties en datadeling](https://www.pitch.law/nl/solutions/data-licensing-sharing) [Data in licentie geven of delen met een heldere reikwijdte, vastgelegd eigendom van afgeleide data, privacywaarborgen en voorwaarden die de waarde beschermen.](https://www.pitch.law/nl/solutions/data-licensing-sharing) - ### [Bescherming van data en databanken](https://www.pitch.law/nl/solutions/data-and-database-rights-protection) [Zo bescherm je de data en databanken die je opbouwt, met databankenrecht, bedrijfsgeheimen, auteursrecht en de contracten die dat samenhouden.](https://www.pitch.law/nl/solutions/data-and-database-rights-protection) ## Lees verder - ### [De Europese Data Act](https://www.pitch.law/nl/academy/eu-data-act) [Wat Verordening (EU) 2023/2854 vraagt van makers en gebruikers van verbonden producten, datahouders, cloudaanbieders en iedereen die over data contracteert, en wanneer elk onderdeel van toepassing is.](https://www.pitch.law/nl/academy/eu-data-act) - ### [Databankenrecht en bedrijfsgeheimen](https://www.pitch.law/nl/academy/database-rights-and-trade-secrets) [Hoe het Europese databankenrecht, het auteursrecht en het bedrijfsgeheim data en databanken beschermen, wat elk vraagt en waar contracten de gaten moeten dichten.](https://www.pitch.law/nl/academy/database-rights-and-trade-secrets) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)