Operationele weerbaarheid: NIS2 en DORA

Begin met een overzicht van welke persoonsgegevens je verwerkt, waarom, op welke rechtsgrond en wie ze ontvangt. Daaruit volgt je register van verwerkingsactiviteiten, dat de meeste organisaties nodig hebben en waar alle andere stappen op bouwen. Regel daarna de basis: privacyverklaringen, verwerkersovereenkomsten, bewaartermijnen, beveiliging en een procedure voor verzoeken en datalekken. Wij bouwen en onderhouden deze registers samen met jou in het klantenportaal.

• TechnologieVerwerkingsregister en compliance-registers →
• AcademyHet verwerkingsregister (RoPA) →
• OplossingenExterne DPO →

Je moet binnen één maand na ontvangst van het verzoek antwoorden. Bij complexe of talrijke verzoeken kan die termijn met twee maanden worden verlengd, als je de persoon op tijd informeert. Stuur een kopie van de persoonsgegevens, samen met de verwerkingsdoeleinden, ontvangers, bewaartermijn en bron. Controleer de identiteit zonder meer te vragen dan nodig en haal gegevens van anderen en wettelijk beschermde informatie eruit. Wij registreren elk verzoek en de termijn in een workflow.

• TechnologieVerzoeken van betrokkenen →
• AcademyInzageverzoeken van betrokkenen →

Beperk eerst de schade en beoordeel binnen een paar uur of het lek waarschijnlijk een risico voor personen inhoudt. Zo ja, meld het zonder onnodige vertraging aan de bevoegde gegevensbeschermingsautoriteit (meestal in het land van je hoofdvestiging, zoals de GBA in België), waar mogelijk binnen 72 uur nadat je het lek hebt vastgesteld, desnoods in stappen. Bij een hoog risico informeer je ook de betrokkenen. Documenteer elk lek, ook als je het niet meldt. Wij bereiden de melding voor en een advocaat keurt ze goed.

• OplossingenAanpak van datalekken →
• TechnologieDatalekken afhandelen →
• AcademyDatalek: de 72-urenregel →

Alleen in drie gevallen: je bent een overheidsinstantie, je kernactiviteit bestaat uit regelmatige en systematische observatie van personen op grote schaal, of uit grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens. Veel kmo's vallen daarbuiten, maar een vrijwillige DPO kan nuttig zijn. De DPO mag extern zijn en je moet de contactgegevens aan de GBA doorgeven. Wij bieden een externe DPO aan op basis van een dienstverleningsovereenkomst.

• OplossingenExterne DPO →
• TechnologieVerwerkingsregister en compliance-registers →

Alleen strikt noodzakelijke cookies mag je zonder toestemming plaatsen. Analytische en advertentiecookies en de meeste trackers van derden vragen vooraf een geïnformeerde, specifieke toestemming via een actieve keuze, waarbij weigeren even makkelijk is als accepteren. Een klassieke valkuil is een banner die trackers laadt voordat de bezoeker klikt. Check wat je site echt laadt en stem dan banner, cookiebeleid en privacyverklaring op elkaar af. Wij kunnen de technologieën op je site auditen.

• AcademyCookies en toestemming →
• AcademyJe website doorlichten op GDPR →

Ja, telkens als een leverancier in jouw opdracht persoonsgegevens verwerkt, zoals een clouddienst, sociaal secretariaat of marketingplatform. Artikel 28 AVG vraagt een schriftelijke overeenkomst over instructies, vertrouwelijkheid, beveiliging, subverwerkers, hulp bij verzoeken en lekken, en verwijdering of teruggave aan het einde. De standaardvoorwaarden van leveranciers schieten vaak tekort of leggen het risico bij jou. Wij stellen deze overeenkomsten op en lezen ze na.

• OplossingenVerwerkersovereenkomsten →
• TechnologieVerwerkingsregister en compliance-registers →

Ja, maar persoonsgegevens mogen de EER alleen verlaten via een geldig doorgiftemechanisme: een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor gecertificeerde Amerikaanse bedrijven, of modelcontractbepalingen met een gedocumenteerde beoordeling van het doorgifterisico. Ook toegang op afstand vanuit een derde land telt als doorgifte. Breng in kaart waar je leveranciers en hun subverwerkers actief zijn en leg dat vast. Wij beoordelen doorgiften in je contracten en registers.

• AcademyGegevens doorgeven buiten de EU →
• OplossingenVerwerkersovereenkomsten →
• TechnologieVerwerkingsregister en compliance-registers →

De AVG geeft geen vaste termijn: je mag gegevens alleen bewaren zolang dat nodig is voor het doel waarvoor je ze verzamelde. Sectorregels kunnen minimumtermijnen opleggen, bijvoorbeeld voor boekhoudkundige stukken, en verjaringstermijnen kunnen rechtvaardigen dat je sommige dossiers langer bewaart. De valkuil is alles onbeperkt bijhouden. Bepaal per categorie een bewaartermijn, noteer die in je register en wis of anonimiseer volgens planning.

• AcademyHoe lang mag je persoonsgegevens bewaren? →
• TechnologieVerwerkingsregister en compliance-registers →

Als een verwerking waarschijnlijk een hoog risico voor personen inhoudt, bijvoorbeeld grootschalige profilering, systematische observatie, grootschalig gebruik van gevoelige gegevens of nieuwe technologie zoals scoring met AI. Elke nationale gegevensbeschermingsautoriteit publiceert een lijst van verwerkingen waarvoor een DPIA verplicht is. Doe hem vóór de start, beschrijf risico's en maatregelen en raadpleeg de toezichthouder als er een hoog restrisico overblijft. Wij werken DPIA's samen met jou uit als werkdocumenten.

• TechnologieDPIA →
• OplossingenExterne DPO →
• AcademyAI Act en GDPR: waar de twee kaders elkaar raken →

Ja, als je AI-systemen ontwikkelt, onder jouw naam op de EU-markt brengt of professioneel in de EU gebruikt. Een aanbieder ontwikkelt of brandt een systeem, een gebruiksverantwoordelijke gebruikt het onder eigen gezag. Veel bedrijven zijn allebei, bijvoorbeeld als je een AI-functie in je eigen product bouwt. Je rol bepaalt wat je moet doen, dus leg die per systeem vast. Wij zetten je systemen en rollen voor je op een rij.

• AcademyAanbieder of gebruiksverantwoordelijke? →
• OplossingenAI Act-compliance →
• TechnologieAI Act-register en beoordelingen →

Een systeem is hoog risico als het een veiligheidscomponent is van een product onder bepaalde Europese productwetgeving, of als het doel onder een gebied van bijlage III valt, zoals werving, onderwijs, kredietscoring, essentiële diensten, rechtshandhaving of migratie. Wat telt is waarvoor je het systeem bedoelt, niet de technologie. Er zijn beperkte uitzonderingen voor systemen die beslissingen niet echt beïnvloeden. Schrijf per systeem op hoe je tot je oordeel komt. Wij classificeren je systemen en leggen de artikelen en bewijsstukken erbij.

• AcademyRisicoclassificatie onder de AI-verordening →
• TechnologieAI Act-register en beoordelingen →

Dit geldt al: het verbod op verboden praktijken en de AI-geletterdheid sinds 2 februari 2025, en de transparantieplichten van artikel 50 sinds 2 augustus 2026. De regels voor hoog risico zijn uitgesteld tot 2 december 2027 (systemen uit bijlage III) en 2 augustus 2028 (AI in producten), maar het conformiteitswerk kost maanden. De data zijn eerder verschoven, dus check ze op EUR-Lex. Begin met een lijst van je systemen en hun risicoklasse.

• AcademyAI Act-tijdlijn: wat geldt wanneer →
• OplossingenAI Act-compliance →
• TechnologieAI Act-register en beoordelingen →

Artikel 4 geldt voor aanbieders en gebruiksverantwoordelijken van elk AI-systeem, niet alleen voor hoog risico, en is van toepassing sinds 2 februari 2025. Je moet ervoor zorgen dat je mensen, en anderen die namens jou met AI werken, genoeg van AI snappen voor hun rol. Er is geen voorgeschreven opleiding. Een programma dat past bij je bedrijf, met een paper trail, is de praktische oplossing.

• AcademyDe verplichting inzake AI-geletterdheid →
• AcademyEen AI-governancekader opbouwen →

In principe wel. Sinds 2 augustus 2026 vraagt artikel 50 dat mensen weten dat ze met een AI-systeem praten, tenzij dat duidelijk is. Aanbieders van generatieve systemen moeten synthetische output machineleesbaar markeren, met een overgangsperiode voor systemen die al op de markt waren. Gebruikers moeten deepfakes en bepaalde AI-teksten over zaken van algemeen belang bekendmaken. Check dus je chatbot en je marketing.

• AcademyAI Act-tijdlijn: wat geldt wanneer →
• AcademyDe Europese AI-verordening: een praktisch overzicht →

Ja, als gebruiksverantwoordelijke. Je zorgt voor AI-geletterdheid en volgt de transparantieplichten. Bij hoog risico volg je ook de instructies van de aanbieder, regel je menselijk toezicht en bewaar je logs. Je team gebruikt vast ook tools waar jij niets van weet, dus een inventaris en een gebruiksbeleid helpen. Check ook het leverancierscontract: wie is aansprakelijk, waar gaat je data naartoe en wordt je input gebruikt om het model te trainen?

• AcademyAI-clausules in leverancierscontracten →
• AcademyEen AI-governancekader opbouwen →
• OplossingenAI Act-compliance →

Ja, maar AI voor werving, selectie, evaluatie, promotie of monitoring van werknemers is hoog risico onder bijlage III, en emotieherkenning op de werkvloer is verboden. Je gebruikt het systeem volgens de instructies, zorgt voor opgeleid menselijk toezicht, informeert de werknemers die het raakt en bewaart logs. Daarnaast geldt de AVG, ook de beperkingen op volledig geautomatiseerde besluiten, en vaak heb je een DPIA (een risicoanalyse voor gegevensbescherming) nodig. Betrek de ondernemingsraad of personeelsvertegenwoordiging waar dat moet.

• AcademyAI in HR en recrutering →
• TechnologieDPIA →

Ze gelden allebei. De AI-verordening gaat over het systeem en zijn risicoklasse, de AVG over de persoonsgegevens die erin gaan. Eén AI-project kan dus zowel een conformiteitsdossier als een DPIA vragen. Rechtsgrond, minimale gegevensverwerking, transparantie en rechten rond geautomatiseerde besluiten blijven onder de AVG vallen. Stem registers, beoordelingen en documentatie op elkaar af, dan werk je niet dubbel. Wij koppelen beide in één set registers.

• AcademyAI Act en GDPR: waar de twee kaders elkaar raken →
• TechnologieVerwerkingsregister en compliance-registers →
• TechnologieDPIA →

De boetes lopen op met de ernst van de inbreuk: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, met lagere schijven voor andere verplichtingen en lagere plafonds voor kmo's. Vooral nationale markttoezichtautoriteiten handhaven, dus zoek uit wie bevoegd is voor jouw sector in elk land waar je actief bent. Los van boetes vragen klanten en investeerders steeds vaker om bewijs dat je klaar bent.

• OplossingenAI Act-compliance →
• AcademyDe Europese AI-verordening: een praktisch overzicht →

Ja, als je de datahouder bent van een verbonden product of gerelateerde dienst die op de EU-markt komt. Sinds 12 september 2025 moeten gebruikers vóór aankoop weten welke data het product genereert. Ze kunnen direct beschikbare data opvragen en laten delen met een derde. Je handelsgeheimen kun je beschermen met afgesproken vertrouwelijkheidsmaatregelen. De ontwerpplicht geldt voor producten die na 12 september 2026 op de markt komen.

• AcademyDe Europese Data Act →
• OplossingenDatalicenties en datadeling →

Bepaal welke data, waarvoor, hoe lang en wie eigenaar is van wat eruit voortkomt. Moet je data delen volgens de Dataverordening, dan moeten de voorwaarden billijk, redelijk en niet-discriminerend zijn en de vergoeding redelijk. Voeg waarborgen voor persoonsgegevens toe, vertrouwelijkheid, audit, beperkte garanties en teruggave of verwijdering aan het einde. Een standaard leveringsovereenkomst waar je het woord data aan toevoegt, is zelden genoeg. Wij stellen datalicenties en deelovereenkomsten op.

• OplossingenDatalicenties en datadeling →
• TechnologieDocument Studio →
• AcademyDe Europese Data Act →

Vaak wel, door rechten te combineren: het sui generis databankenrecht bij een substantiële investering in een databank, auteursrecht voor een oorspronkelijke selectie of ordening, en handelsgeheimen voor data die je met redelijke maatregelen geheim houdt. Contracten regelen een groot deel van de rest. Het databankenrecht geldt niet voor databanken met data uit verbonden producten. Wij brengen in kaart wat je bezit en toetsen de dataclausules die je tekent.

• OplossingenBescherming van data en databanken →
• AcademyDatabankenrecht en bedrijfsgeheimen →

Mogelijk wel. De regels over oneerlijke bedingen gelden voor elk bedrijf dat dataclausules aan een ander bedrijf oplegt, de overstapregels gelden voor aanbieders van gegevensverwerkingsdiensten, en gebruikers van verbonden producten hebben rechten als klant. Check dus je standaardcontracten en cloudovereenkomsten, ook als je geen hardware maakt. Wij toetsen die voorwaarden aan de verordening.

• AcademyDe Europese Data Act →
• TechnologieContractreview →

Ja, dat is de bedoeling. Aanbieders van cloud- en andere gegevensverwerkingsdiensten moeten klanten laten overstappen of data laten overdragen, met een maximale opzegtermijn en een overgangsperiode. Overstapkosten worden afgebouwd en verdwijnen volledig vanaf 12 januari 2027. Ben je aanbieder, bekijk dan je contractbepalingen over beëindiging, exportformaten en kosten opnieuw. Ben je klant, ga dan na waar je recht op hebt.

• AcademyDe Europese Data Act →
• TechnologieContractreview →

Een bepaling over toegang tot en gebruik van data, of over aansprakelijkheid en rechtsmiddelen daarvoor, is niet bindend als een bedrijf ze eenzijdig aan een ander bedrijf oplegt en ze oneerlijk is. Sommige bedingen zijn altijd oneerlijk, zoals aansprakelijkheid voor opzet uitsluiten. Typische risicoclausules zijn eenzijdige wijzigingen van dataregels, algemene rechten op afgeleide data en geen aansprakelijkheid voor datafouten. De regel geldt voor contracten na 12 september 2025 en vanaf 12 september 2027 ook voor bepaalde oudere langlopende contracten.

• AcademyDe Europese Data Act →
• TechnologieContractreview →
• OplossingenBescherming van data en databanken →

De AVG gaat voor. De Dataverordening geeft geen rechtsgrond om persoonsgegevens te verwerken. Deel je als datahouder data met een gebruiker of een derde, dan heb je dus nog steeds een rechtsgrond nodig en respecteer je de rechten van de betrokkenen. Data van meerdere personen op één toestel, zoals een gezinswagen, vraagt extra zorg. Stem je voorwaarden voor dataverstrekking af op je register van verwerkingsactiviteiten en betrek je DPO op tijd.

• AcademyDe Europese Data Act →
• TechnologieVerwerkingsregister en compliance-registers →
• OplossingenDatalicenties en datadeling →

NIS2 geldt voor middelgrote en grote entiteiten in de sectoren van de twee bijlagen, zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, ICT-diensten, maakindustrie en online marktplaatsen. NIS2 is een Europese richtlijn die elke lidstaat in nationaal recht omzet, dus de details en de toezichthouders verschillen per land (in België bijvoorbeeld de wet van 26 april 2024, onder toezicht van het CCB). DORA geldt voor financiële entiteiten en, via contracten, voor hun ICT-dienstverleners. Kleinere leveranciers krijgen de regels vaak via de eisen van hun klanten. Wij helpen je bepalen of je eronder valt en hoe groot je contractuele blootstelling is.

• AcademyDe NIS2-richtlijn →
• OplossingenCommerciële contracten en transacties →

DORA (Verordening (EU) 2022/2554, van toepassing sinds 17 januari 2025) gaat over operationeel blijven, niet alleen over beveiliging. Je bestuur keurt een kader voor ICT-risicobeheer goed en volgt het op, met plannen voor bedrijfscontinuïteit en herstel. Je classificeert ICT-incidenten en meldt de ernstige aan je toezichthouder, je test je digitale operationele weerbaarheid regelmatig (de grootste entiteiten met dreigingsgestuurde penetratietests), en je beheert het risico van je ICT-dienstverleners, met een informatieregister van al je ICT-contracten. Wij helpen je met de governancedocumenten, het register en de contracten.

• OplossingenCommerciële contracten en transacties →
• TechnologieContractbeheer: rechten en verplichtingen →

Onder NIS2 meld je een significant incident in stappen aan het CCB: een vroege waarschuwing binnen 24 uur nadat je ervan weet, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Zijn er persoonsgegevens getroffen, dan moet je daarnaast binnen 72 uur een aparte AVG-melding doen bij de GBA. De ontvangers en de inhoud verschillen, dus bereid beide voor op basis van dezelfde feiten. Financiële entiteiten onder DORA melden ernstige ICT-incidenten aan hun financiële toezichthouder.

• AcademyDe NIS2-richtlijn →
• AcademyDatalek: de 72-urenregel →
• OplossingenAanpak van datalekken →

Onder beide regelgevingen ben je zelf verantwoordelijk voor je toeleveringsketen. Reken op beveiligingseisen, meldingsplichten bij incidenten met korte termijnen, audit- en informatierechten, controle op onderaannemers, bedrijfscontinuïteit en afspraken over exit en teruggave van gegevens. DORA somt verplichte contractinhoud op voor ICT-diensten aan financiële entiteiten. Standaardvoorwaarden van leveranciers dekken dit zelden, dus bekijk ze opnieuw en onderhandel ze bij. Wij stellen deze clausules op en beoordelen ze.

• OplossingenCommerciële contracten en transacties →
• TechnologieContractreview →
• AcademyAI-clausules in leverancierscontracten →

Vaak wel, als je onder NIS2 valt: lidstaten eisen dat entiteiten in scope zich registreren of melden bij de nationale autoriteit, maar procedures, platformen en termijnen verschillen per land. In België moesten entiteiten zich bijvoorbeeld registreren via het platform Safeonweb@Work van het CCB, met een oorspronkelijke deadline van 18 maart 2025. Daarvoor moet je ook bepalen of je essentieel of belangrijk bent, want dat beïnvloedt het toezicht. Twijfel je, doe dan eerst een scopeanalyse. Essentiële entiteiten moeten bovendien hun conformiteit laten beoordelen, volgens een nationaal bepaalde methode (in België bijvoorbeeld via CyberFundamentals of ISO/IEC 27001).

• AcademyDe NIS2-richtlijn →

NIS2 legt de verantwoordelijkheid bij het bestuur: bestuursorganen moeten de maatregelen voor cyberbeveiligingsrisico's goedkeuren, de uitvoering opvolgen en opleidingen volgen, en kunnen aansprakelijk worden gesteld voor inbreuken. De boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten en 7 miljoen euro of 1,4% voor belangrijke entiteiten. Notulen die laten zien dat het bestuur de maatregelen heeft besproken en goedgekeurd, zijn je beste bewijs.

• AcademyDe NIS2-richtlijn →

Artikel 21 vraagt passende en evenredige technische, operationele en organisatorische maatregelen, vanuit een aanpak die alle gevaren dekt. Denk aan risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer, cryptografie, toegangscontrole en meerfactorauthenticatie. Er is geen vaste checklist, dus doe een gap-analyse, laat het bestuur een plan goedkeuren en bewaar het bewijs. Wij adviseren over de juridische en contractuele kant, niet over technische beveiligingstests.

• AcademyDe NIS2-richtlijn →
• OplossingenCommerciële contracten en transacties →

DORA, van toepassing sinds 17 januari 2025, bindt financiële entiteiten en jou niet rechtstreeks, tenzij je wordt aangewezen als kritieke ICT-derdendienstverlener. Maar je bankklanten moeten specifieke bepalingen in hun contracten met jou opnemen: dienstbeschrijving, locatie van gegevens, beveiliging en hulp bij incidenten, auditrechten, voorwaarden voor onderaanneming en hulp bij de exit. Reken op die vragen en maak een standaardaddendum klaar, zodat je niet elk contract van nul hoeft te onderhandelen.

• OplossingenCommerciële contracten en transacties →
• TechnologieContractreview →

De Cyberweerbaarheidsverordening (Verordening (EU) 2024/2847, de Cyber Resilience Act of CRA) geldt voor producten met digitale elementen op de Europese markt: hardware en software die rechtstreeks of onrechtstreeks verbinding maken met een toestel of een netwerk. Denk aan apps, firmware en apart verkochte software, en aan de gegevensverwerking op afstand die een product nodig heeft om te werken. Pure SaaS valt erbuiten, net als producten met een eigen regeling, zoals medische hulpmiddelen en voertuigen. De regels gelden voor fabrikanten, importeurs en distributeurs, ook van buiten de EU.

• AcademyKan ik mijn software beschermen? →
• OplossingenCommerciële contracten en transacties →

De verordening is op 10 december 2024 in werking getreden en geldt in stappen. Vanaf 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden, ook voor producten die al op de markt zijn. De meeste andere verplichtingen, zoals de essentiële eisen en de CE-markering, gelden vanaf 11 december 2027. Producten die je daarvoor op de markt brengt, vallen er in de regel pas onder na een substantiële wijziging. Gebruik de tijd om je proces voor kwetsbaarhedenbeheer op te zetten, want dat vraagt het meeste werk.

Je ontwerpt en levert het product zonder gekende uitbuitbare kwetsbaarheden, veilig in de standaardinstellingen, en je houdt het veilig met updates gedurende een ondersteuningsperiode die past bij het verwachte gebruik, als regel minstens vijf jaar. Je beheert kwetsbaarheden met een software bill of materials (SBOM) en een beleid voor gecoördineerde bekendmaking. Voor je verkoopt, doe je de conformiteitsbeoordeling, stel je de technische documentatie en de EU-conformiteitsverklaring op en breng je de CE-markering aan. Meldingen gaan via het centrale meldplatform van ENISA: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en daarna een eindverslag.

• OplossingenCommerciële contracten en transacties →

Voor de meeste producten volstaat een zelfbeoordeling. Belangrijke producten uit bijlage III vragen meer: voor klasse I, zoals wachtwoordbeheerders, vpn's en routers, mag je alleen zelf beoordelen als je geharmoniseerde normen of een certificeringsregeling toepast; voor klasse II, zoals firewalls en hypervisors, moet een aangemelde instantie meekijken. Voor kritieke producten, zoals smartcards en hardwarebeveiligingsmodules, kan de Commissie een Europees cyberbeveiligingscertificaat verplichten. Classificeer je product vroeg, want dat bepaalt je planning en je budget.

De Cyberbeveiligingsverordening (Verordening (EU) 2019/881, de Cybersecurity Act) gaf ENISA een permanent mandaat en zette een Europees kader op voor cyberbeveiligingscertificering van ICT-producten, -diensten en -processen. De eerste regeling, EUCC, gebaseerd op de Common Criteria, geldt sinds 27 februari 2025, en een wijziging van 2025 breidt het kader uit naar beheerde beveiligingsdiensten. Certificering is vrijwillig, tenzij Europees of nationaal recht ze oplegt. Klanten en overheidsopdrachten vragen er wel steeds vaker naar, en onder de Cyberweerbaarheidsverordening kan ze de manier zijn om conformiteit aan te tonen.

Als fabrikant ben je verantwoordelijk voor het hele product, ook voor de opensourcecomponenten die je inbouwt. Controleer ze dus zorgvuldig en hou ze bij in je SBOM. Gratis opensourcesoftware die buiten een commerciële activiteit wordt ontwikkeld of geleverd, valt buiten de Cyberweerbaarheidsverordening. Organisaties die open source voor commercieel gebruik ondersteunen als 'opensourcesoftwarebeheerder' hebben lichtere plichten, zoals een cyberbeveiligingsbeleid en medewerking met de autoriteiten. Zorg dat je licentiekeuze en je contracten bij je rol passen.

• AcademyKan ik mijn software beschermen? →
• OplossingenOctrooi- en technologielicenties →

Wie de essentiële eisen niet naleeft, riskeert boetes tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet, en markttoezichthouders kunnen een product uit de handel laten nemen of terugroepen. Veel van het werk ligt bij je leveranciers van chips, modules en software. Spreek beveiligingseisen af, meldingen van kwetsbaarheden binnen je eigen meldtermijnen, updates voor de hele ondersteuningsperiode, documentatie en medewerking aan conformiteitsbeoordelingen. Wij stellen deze clausules op en beoordelen ze.

• OplossingenCommerciële contracten en transacties →
• TechnologieContractreview →
• TechnologieDocument Studio →

De digitaledienstenverordening (Verordening (EU) 2022/2065, de Digital Services Act of DSA), volledig van toepassing sinds 17 februari 2024, geldt voor tussenhandelsdiensten aan gebruikers in de EU: mere conduit, caching en hosting. Wie inhoud voor gebruikers opslaat, is een hostingdienst, dus ook een SaaS-tool met uploads of een site met reacties kan eronder vallen. Online platformen, die die inhoud ook openbaar verspreiden, en marktplaatsen hebben meer plichten, en de allergrootste de meeste. Een aanbieder buiten de EU moet een wettelijke vertegenwoordiger in de EU aanstellen.

• OplossingenNaleving van je merkbeleid →

Niet zolang je niet weet van illegale inhoud en snel handelt zodra je het wel weet. Dat is de vrijstelling voor hosting, en de DSA behoudt die. Er is geen algemene plicht om alles te controleren, en je eigen vrijwillige controles kosten je de vrijstelling niet. Marktplaatsen zijn een uitzondering: als een gemiddelde consument denkt dat het product of de dienst van jou komt, kan het consumentenrecht je aansprakelijk stellen alsof je de verkoper bent. Duidelijke vermeldingen van wie de handelaar is en een werkend systeem van melding en actie zijn je beste bescherming.

• TechnologieTakedowns en handhavingsmeldingen →
• OplossingenBrand monitoring en online handhaving →

Elke tussenhandelsdienst heeft contactpunten nodig voor autoriteiten en gebruikers, en voorwaarden die uitleggen hoe je inhoud modereert. Hostingdiensten voegen daar een systeem van melding en actie aan toe, en een motivering bij elke beperking die ze opleggen. Online platformen hebben daarnaast een intern klachtensysteem nodig, toegang tot buitengerechtelijke geschillenbeslechting, voorrang voor betrouwbare flaggers, maatregelen tegen misbruik, transparantie over advertenties en aanbevelingssystemen, bescherming van minderjarigen en een verbod op dark patterns. Micro- en kleine ondernemingen zijn vrijgesteld van de meeste platformplichten.

• OplossingenCommerciële contracten en transacties →
• TechnologieDocument Studio →

Je moet je handelaars kennen voor ze mogen verkopen: verzamel naam, adres, contactgegevens, identificatie, betaalrekening en registratienummer, en doe redelijke inspanningen om die te controleren. Ontwerp je interface zo dat handelaars de precontractuele informatie, productveiligheidsinformatie en etikettering kunnen geven die consumenten nodig hebben. Hoor je dat er een illegaal product is verkocht, breng dan de kopers op de hoogte die je kunt bereiken. In je voorwaarden voor handelaars en je onboarding komt dit samen.

• OplossingenNaleving van je merkbeleid →
• OplossingenCommerciële contracten en transacties →

Bereiken bedrijven hun klanten via jouw platform, appstore of zoekmachine, dan geldt de Platform-to-Business-verordening (Verordening (EU) 2019/1150). Je voorwaarden moeten duidelijk en beschikbaar zijn, wijzigingen kondig je minstens 15 dagen vooraf aan, en je motiveert het als je een zakelijke gebruiker beperkt of schorst, met 30 dagen opzeg voor je de relatie beëindigt. Leg uit welke parameters de rangschikking het meest bepalen, voorzie een intern klachtensysteem (kleine ondernemingen zijn vrijgesteld) en wijs bemiddelaars aan.

• OplossingenCommerciële contracten en transacties →

Elke lidstaat heeft een coördinator voor digitale diensten, en die van het land waar je gevestigd bent, houdt toezicht op jou. De Europese Commissie houdt toezicht op zeer grote online platformen en zoekmachines, met minstens 45 miljoen maandelijkse actieve gebruikers in de EU. Boetes kunnen oplopen tot 6% van de wereldwijde jaaromzet, en 1% voor onjuiste of onvolledige informatie. Gebruikers en hun organisaties kunnen ook klacht indienen en schadevergoeding vragen.

Onder de richtlijn consumentenrechten (2011/83/EU), voor de bestelling: wie je bent en hoe ze je bereiken, de belangrijkste kenmerken, de totale prijs met belastingen en levering, de betaal- en leveringsvoorwaarden, het herroepingsrecht, de wettelijke garantie en, voor digitale inhoud, de werking en compatibiliteit. De bestelknop moet duidelijk maken dat bestellen betalen betekent, zoals 'bestelling met betalingsverplichting'. Bevestig het contract achteraf op een duurzame drager, zoals een e-mail.

• OplossingenCommerciële contracten en transacties →
• TechnologieDocument Studio →

Consumenten kunnen binnen 14 dagen zonder opgave van reden herroepen, te rekenen vanaf de levering voor goederen en vanaf het contract voor diensten en digitale inhoud. Er zijn uitzonderingen, bijvoorbeeld voor goederen op maat, bederfelijke waren en digitale inhoud die de consument meteen wou ontvangen terwijl hij erkende dat hij zijn recht daardoor verliest. Heb je de consument niet goed geïnformeerd, dan loopt de termijn tot 12 maanden langer. Vanaf 19 juni 2026 moeten online handelaars ook een makkelijk vindbare herroepingsfunctie op hun website of app aanbieden.

Voor goederen legt de richtlijn verkoop van goederen (Richtlijn (EU) 2019/771) een wettelijke garantie op van minstens twee jaar voor gebreken die er bij de levering al waren, met de bewijslast bij de verkoper gedurende minstens het eerste jaar. Voor digitale inhoud en diensten voegt de richtlijn digitale inhoud (Richtlijn (EU) 2019/770) conformiteitsregels toe, ook voor updates, en ook als de consument 'betaalt' met persoonsgegevens. Een commerciële garantie komt daar bovenop en mag ze nooit beperken.

Een prijsvermindering moet verwijzen naar de laagste prijs die je in de 30 dagen ervoor vroeg. Toon je reviews, zeg dan of en hoe je controleert dat ze van echte kopers komen; nepreviews of gekochte reviews zijn verboden. Laat consumenten weten wanneer een prijs gepersonaliseerd is op basis van geautomatiseerde beslissingen. Misleidende of agressieve praktijken, zoals valse schaarste of afteltimers die druk zetten, zijn oneerlijke handelspraktijken. Bij gecoördineerde grensoverschrijdende acties kunnen de boetes oplopen tot minstens 4% van de jaaromzet.

• OplossingenNaleving van je merkbeleid →

Alleen voorzichtig. Vanaf 27 september 2026 verbiedt Richtlijn (EU) 2024/825 algemene milieuclaims zoals 'milieuvriendelijk' of 'groen', tenzij je erkende uitmuntende milieuprestaties kunt aantonen, claims dat een product klimaatneutraal of -positief is door compensatie, en duurzaamheidslabels die niet op een certificeringsregeling steunen of niet door een overheid zijn vastgesteld. Specifieke, controleerbare claims blijven mogelijk. Bekijk je verpakking, website en reclame nu al, want verpakkingen worden maanden vooraf gedrukt.

• OplossingenNaleving van je merkbeleid →

Waarschijnlijk wel. Sinds 28 juni 2025 moeten e-commercediensten, en andere diensten zoals bankdiensten, e-books en ticketing, toegankelijk zijn voor mensen met een beperking, op grond van de Europese toegankelijkheidsrichtlijn (Richtlijn (EU) 2019/882). Dienstverleners met minder dan 10 werknemers en hoogstens 2 miljoen euro omzet of balanstotaal zijn vrijgesteld. In de praktijk ontwerp je volgens de geharmoniseerde norm EN 301 549, die WCAG volgt, en leg je in je voorwaarden uit hoe de dienst aan de eisen voldoet.

Je mag het recht kiezen dat je voorwaarden beheerst, maar richt je je activiteiten op het land van een consument, dan behoudt die consument de bescherming van de dwingende regels van zijn eigen land. De geoblockingverordening (Verordening (EU) 2018/302) verbiedt je bovendien klanten zonder gegronde reden anders te behandelen op basis van nationaliteit of woonplaats. Eén set voorwaarden werkt meestal in de hele EU, als ze voldoet aan de strengste dwingende regels in je markten. Wij stellen voorwaarden op die standhouden in elke markt waar je verkoopt.

• OplossingenCommerciële contracten en transacties →
• TechnologieDocument Studio →

EU-sancties binden elk Europees bedrijf, niet alleen banken, en verbieden om rechtstreeks of onrechtstreeks tegoeden of economische middelen ter beschikking te stellen van vermelde personen. Voor niet-gereguleerde bedrijven schrijft geen wet één screeningmethode voor, maar je hebt wel een gedocumenteerd proces nodig bij de start van elke relatie: check namen en uiteindelijke begunstigden aan de hand van de Europese geconsolideerde lijst en relevante VN-, Britse of Amerikaanse lijsten, en herhaal dat als de lijsten wijzigen. Inbreuken worden volgens nationaal recht bestraft, vaak als strafbare feiten (bijvoorbeeld in België), en de EU stemt deze sancties af tussen de lidstaten.

• AcademySanctiescreening en antiwitwas →
• OplossingenM&A en due diligence →

Stop en schaal meteen op. Ga niet verder met de transactie, betaling of levering zolang niet duidelijk is of de match echt is of vals positief. Vergelijk daarvoor identificatiegegevens zoals geboortedatum, nationaliteit en ondernemingsnummer. Documenteer het onderzoek in beide gevallen. Een bevestigde match betekent meestal dat tegoeden worden bevroren en dat de bevoegde nationale autoriteit wordt ingelicht (in België de FOD Financiën, Thesaurie). Vraag juridisch advies voordat je handelt of contracten beëindigt.

• AcademySanctiescreening en antiwitwas →
• TechnologieData room en due diligence →

Alleen onderworpen entiteiten vallen onder de antiwitwasregels. Die zetten de Europese antiwitwasrichtlijnen om en lijken dus in grote lijnen op elkaar tussen de lidstaten (in België de wet van 18 september 2017). Het gaat om financiële instellingen, notarissen, boekhouders, belastingadviseurs, vastgoedmakelaars, dienstverleners aan vennootschappen, bepaalde handelaars in waardevolle goederen en advocaten voor bepaalde activiteiten. Zij moeten klanten en uiteindelijke begunstigden identificeren, risico's inschatten, de relatie opvolgen en vermoedens melden aan de nationale financiële inlichtingeneenheid (in België de CTIF-CFI). Andere bedrijven moeten wel hun eigen UBO-registratie juist houden.

• AcademySanctiescreening en antiwitwas →

Vennootschappen moeten de natuurlijke personen registreren die hen uiteindelijk bezitten of controleren, momenteel boven 25% van de aandelen of stemrechten of via andere controle, en de leidinggevenden als niemand aan die toets voldoet. Die gegevens moeten actueel blijven. Voor een tegenpartij vraag je een gecertificeerd eigendomsschema met onderliggende documenten en screen je elke natuurlijke persoon en entiteit daarin. Gelaagde structuren via trusts of derde landen vragen extra zorg.

• AcademySanctiescreening en antiwitwas →
• OplossingenM&A en due diligence →
• TechnologieData room en due diligence →

Neem sanctie- en compliancebepalingen op: garanties dat geen van beide partijen of hun eigenaars op een lijst staat, een meldingsplicht bij wijzigingen, een recht om op te schorten of te beëindigen zonder aansprakelijkheid als uitvoering sancties zou schenden, en audit- of informatierechten. Screen bij overnames de verkoper, het doelwit en hun eigenaars vóór de ondertekening en leg de checks vast. Wij nemen dit mee in de due diligence en het contractnazicht.

• OplossingenM&A en due diligence →
• TechnologieContractreview →
• TechnologieData room en due diligence →

Het Europese antiwitwaspakket van 2024 bevat Verordening (EU) 2024/1624, die vanaf juli 2027 rechtstreeks van toepassing wordt en geharmoniseerde regels voor klantenonderzoek bevat, en richt de Europese antiwitwasautoriteit (AMLA) op. Ook de drempel voor uiteindelijke begunstigden ligt vast op 25% of meer. De nationale wetgeving wordt aangepast. Ben je een onderworpen entiteit, plan je procedures dan nu en check de actuele tekst voordat je op een detail leunt.

• AcademySanctiescreening en antiwitwas →