Productaansprakelijkheid (nieuw) — software wordt een product waarvoor je aansprakelijk bent

De nieuwe productaansprakelijkheidsrichtlijn vervangt de regeling uit 1985 en merkt software, digitale fabricagebestanden en verbonden digitale diensten uitdrukkelijk aan als product. Wie zo’n product in de handel brengt is aansprakelijk voor schade door een gebrek, zonder dat de benadeelde schuld hoeft aan te tonen. De richtlijn geldt voor producten die na 9 december 2026 in de handel worden gebracht of in gebruik worden gesteld; voor oudere producten blijft de richtlijn uit 1985 gelden. Waar de Cyber Resilience Act publiekrechtelijke eisen vooraf stelt en met CE-markering wordt gehandhaafd, bepaalt deze richtlijn wat er privaatrechtelijk gebeurt als het misgaat.

Waarvoor is dit bedoeld

De richtlijn uit 1985 ging uit van tastbare, afgeronde producten die na verkoop niet meer veranderen. Software, updates, clouddiensten en zelflerende systemen pasten daar niet in, en het was voor een benadeelde vaak onmogelijk om in een complex digitaal product een gebrek aan te wijzen. De nieuwe richtlijn trekt het productbegrip open en verlicht de bewijspositie van de benadeelde.

Voor wie

De fabrikant van een gebrekkig product en de fabrikant van een gebrekkige component. Bij een fabrikant buiten de EU: de importeur, de gemachtigde en — als die er niet zijn — de fulfilmentdienstverlener. Distributeurs zijn subsidiair aansprakelijk als zij de verantwoordelijke partij niet kunnen aanwijzen, en aanbieders van onlineplatforms kunnen onder voorwaarden in die kring vallen. Er geldt geen omzet- of personeelsdrempel: een eenmanszaak die software verkoopt valt er net zo goed onder als een concern.

Wat er niet onder valt

Gratis en opensourcesoftware die buiten het kader van een handelsactiviteit wordt ontwikkeld of geleverd (art. 2, lid 2). Producten die vóór 9 december 2026 in de handel zijn gebracht of in gebruik zijn gesteld (art. 2, lid 1). Schade door nucleaire ongevallen voor zover gedekt door verdragen (art. 2, lid 3). En, bij de schadeposten: het gebrekkige product zelf, een product dat is beschadigd door een gebrekkige component, en zaken die uitsluitend voor beroepsdoeleinden worden gebruikt. Zuivere bedrijfsschade tussen ondernemingen blijft dus buiten deze richtlijn.

Wat je moet doen

De richtlijn legt geen vergunning, keuring of markering op — er valt niets aan te vragen. Aansprakelijkheid ontstaat achteraf, wanneer een gebrek schade veroorzaakt. Wat er wél verandert aan het werk vooraf komt uit de bewijsregels: de rechter kan de gedaagde bevelen relevant bewijsmateriaal te openbaren, en wie dat niet doet, ziet het gebrek vermoed worden. Wat een leverancier over ontwerp, testen, releases en updates heeft vastgelegd, bepaalt daarmee de eigen procespositie.

Wat telt als product

Elke roerende zaak, ook nadat zij is geïntegreerd in of verbonden met een andere zaak, met inbegrip van elektriciteit, digitale fabricagebestanden, grondstoffen en software (art. 4). Software valt er dus zelfstandig onder — als losse applicatie, als ingebouwde besturingssoftware en als dienst. Ook digitale diensten die met een product zijn verbonden tellen mee bij de beoordeling.

Wanneer is een product gebrekkig

Wanneer het niet de veiligheid biedt die een persoon mag verwachten of die het Unierecht of het nationale recht voorschrijft (art. 7, lid 1). Bij die beoordeling wegen onder meer mee: de presentatie en kenmerken van het product inclusief etikettering en ontwerp; het redelijkerwijs te verwachten gebruik; het effect van het vermogen om te blijven leren of na het in de handel brengen nieuwe functies te verwerven; het redelijkerwijs te verwachten effect van andere producten waarmee het wordt gebruikt; het tijdstip van in de handel brengen; relevante productveiligheidsvoorschriften, waaronder veiligheidsgerelateerde cyberbeveiligingsvoorschriften; terugroepingen en andere interventies; en de specifieke behoeften van de doelgroep (art. 7, lid 2). Dat een beter product inmiddels op de markt is, maakt een product op zichzelf niet gebrekkig (art. 7, lid 3).

Ontbrekende beveiligingsupdates

Dit is de scherpste wijziging voor softwareleveranciers. Normaal kan een marktdeelnemer zich vrijpleiten door aan te tonen dat het gebrek er nog niet was toen het product in de handel werd gebracht. Die ontsnapping vervalt wanneer de gebrekkigheid te wijten is aan een verbonden dienst, aan software inclusief updates of upgrades, aan het ontbreken van software-updates of upgrades die nodig zijn om de veiligheid te handhaven, of aan een ingrijpende wijziging — telkens voor zover die onder de zeggenschap van de fabrikant vallen. Wie een beveiligingslek niet patcht, kan daarvoor dus aansprakelijk zijn.

Ingrijpende wijziging

Wie een product ingrijpend wijzigt zonder dat de fabrikant daarover zeggenschap heeft, wordt voor dat gewijzigde product zelf als fabrikant beschouwd (art. 8, lid 2). Voor een ingrijpend gewijzigd product begint bovendien een nieuwe termijn te lopen.

Bewijslast en vermoedens

Uitgangspunt blijft dat de benadeelde het gebrek, de schade en het oorzakelijk verband bewijst (art. 10, lid 1). Daarop komen vermoedens: onder meer wanneer de gedaagde weigert relevant bewijsmateriaal te openbaren waartoe de rechter hem heeft verplicht (art. 9). Verder gelden vermoedens bij een kennelijke disfunctie van het product onder normaal gebruik, en wanneer het voor de benadeelde door technische of wetenschappelijke complexiteit buitensporig moeilijk is het gebrek of het verband te bewijzen.

Welke schade wordt vergoed

Overlijden of lichamelijk letsel, uitdrukkelijk met inbegrip van medisch erkende schade aan de geestelijke gezondheid; beschadiging of vernietiging van zaken, met de genoemde uitzonderingen; en vernietiging of corruptie van niet voor beroepsdoeleinden gebruikte gegevens (art. 6, lid 1). Vergoed worden alle materiële verliezen die daaruit voortvloeien, en immateriële verliezen voor zover het nationale recht daarin voorziet (art. 6, lid 2). Anders dan onder de richtlijn uit 1985 kent de nieuwe richtlijn geen drempelbedrag van 500 euro voor zaakschade.

Termijnen

De aansprakelijkheid vervalt in beginsel tien jaar na het in de handel brengen of in gebruik stellen van het product. Voor letsel waarvan uit medische bewijsstukken blijkt dat de symptomen langzaam opkomen, loopt die termijn door tot 25 jaar.

Verhouding tot andere regels

De richtlijn staat naast, niet in plaats van, de publiekrechtelijke productregels. De Cyber Resilience Act bepaalt welke beveiligingseisen een digitaal product moet halen en hoe lang er updates moeten komen; de algemene productveiligheidsverordening regelt veilige producten en terugroepacties; de AI-verordening stelt eisen aan AI-systemen. De veiligheidsvoorschriften uit die regels wegen mee bij de vraag of een product gebrekkig is.

Nederlandse implementatie

De omzetting loopt via wetsvoorstel 36906, dat Boek 6 en Boek 7 van het Burgerlijk Wetboek wijzigt. De huidige afdeling over productaansprakelijkheid in Boek 6 BW, die de richtlijn uit 1985 omzet, wordt daarmee vervangen. Het wetsvoorstel is aanhangig bij de Tweede Kamer; het verslag dateert van 15 april 2026.

Toezicht NL

Geen. Er is geen toezichthouder en geen meldplicht: productaansprakelijkheid is civiel recht en wordt door de benadeelde bij de civiele rechter ingeroepen. Het markttoezicht op dezelfde producten ligt elders — bij de NVWA, de RDI of de ACM, afhankelijk van het product.

Boete

Geen bestuurlijke boete. De sanctie is schadevergoeding aan de benadeelde, zonder maximumbedrag en zonder plafond per schadegeval. Aansprakelijkheid kan bovendien niet contractueel worden beperkt of uitgesloten tegenover de benadeelde.