Wettenkalender

De AVG is het basiskader voor alles wat een organisatie met gegevens over mensen doet: klanten, personeel, sollicitanten, bezoekers, leveranciers. Elke verwerking heeft een van de zes grondslagen nodig, moet uitlegbaar zijn aan de betrokkene en moet passend beveiligd zijn. De verordening kent geen ondergrens naar bedrijfsomvang: een bedrijf met vijf medewerkers valt er even goed onder als een beursfonds, al zijn sommige verplichtingen — het verwerkingsregister, de functionaris voor gegevensbescherming — wel aan omvang of risico gekoppeld.

Waarvoor is dit bedoeld

Eén set regels voor de hele Unie, zodat persoonsgegevens vrij kunnen stromen en tegelijk beschermd zijn. De kern is verantwoording: de organisatie die het doel en de middelen van een verwerking bepaalt, moet kunnen aantonen dat zij zich aan de regels houdt.

Voor wie

Iedere verwerkingsverantwoordelijke en verwerker met een vestiging in de Unie, ongeacht waar de verwerking plaatsvindt (art. 3, lid 1). Daarnaast geldt de verordening voor organisaties buiten de Unie die goederen of diensten aanbieden aan mensen in de Unie of hun gedrag volgen (art. 3, lid 2). Verwerkingsverantwoordelijke is wie het doel en de middelen bepaalt; verwerker is wie dat namens een ander doet, zoals een hostingpartij of een salarisadministratiekantoor (art. 4).

Wat er niet onder valt

Verwerking door een natuurlijke persoon bij een zuiver persoonlijke of huishoudelijke activiteit, en verwerking door bevoegde autoriteiten met het oog op opsporing, vervolging en strafexecutie (art. 2, lid 2). Die laatste categorie valt onder een eigen richtlijn, in Nederland uitgewerkt in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Gegevens die niet tot een geïdentificeerde of identificeerbare natuurlijke persoon herleidbaar zijn, zijn geen persoonsgegevens (art. 4, lid 1). Het plaatsen en uitlezen van cookies heeft een eigen grondslag in artikel 11.7a van de Telecommunicatiewet.

Wat je moet doen

Voor elke verwerking een grondslag hebben uit artikel 6, lid 1: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, publieke taak of gerechtvaardigd belang. Mensen vooraf informeren (art. 12 tot en met 14), niet meer gegevens verwerken dan nodig, de beveiliging op het risico afstemmen (art. 32) en met elke verwerker een verwerkersovereenkomst sluiten (art. 28).

Verwerkersovereenkomst

De verwerker mag alleen op schriftelijke instructie verwerken, moet geheimhouding regelen, de beveiligingsmaatregelen van artikel 32 treffen, dezelfde eisen doorleggen aan subverwerkers, helpen bij verzoeken van betrokkenen, na afloop de gegevens wissen of teruggeven en audits mogelijk maken (art. 28, lid 3). Een subverwerker inschakelen mag alleen met voorafgaande schriftelijke toestemming, specifiek of algemeen; bij algemene toestemming moeten wijzigingen worden gemeld.

Verwerkingsregister

Organisaties met minder dan tweehonderdvijftig medewerkers hoeven geen register bij te houden, tenzij de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, niet incidenteel is, of bijzondere categorieën gegevens dan wel strafrechtelijke gegevens betreft (art. 30, lid 5). Personeelsadministratie en klantenbestanden zijn structureel en niet incidenteel, waardoor de uitzondering in de praktijk zelden volledig opgaat.

Functionaris voor gegevensbescherming

Verplicht bij verwerking door een overheidsinstantie, bij organisaties die hoofdzakelijk betrokkenen op grote schaal regelmatig en stelselmatig observeren, en bij organisaties die hoofdzakelijk op grote schaal bijzondere categorieën gegevens of strafrechtelijke gegevens verwerken (art. 37, lid 1). Buiten die drie gevallen mag het vrijwillig.

Effectbeoordeling

Een gegevensbeschermingseffectbeoordeling is verplicht bij verwerkingen die waarschijnlijk een hoog risico opleveren, in het bijzonder bij nieuwe technologie (art. 35, lid 1). Genoemd worden onder meer stelselmatige geautomatiseerde beoordeling met rechtsgevolgen, grootschalige verwerking van bijzondere of strafrechtelijke gegevens en grootschalige stelselmatige observatie van openbaar toegankelijke ruimten (art. 35, lid 3). De toezichthouder publiceert een lijst van verwerkingen waarvoor de beoordeling verplicht is (art. 35, lid 4).

Datalekken

Een inbreuk melden bij de toezichthouder zonder onredelijke vertraging en zo mogelijk binnen tweeënzeventig uur na kennisname, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen (art. 33). Latere meldingen moeten worden toegelicht, informatie mag in stappen komen, en alle inbreuken moeten intern worden gedocumenteerd. Bij een waarschijnlijk hoog risico worden ook de betrokkenen zelf geïnformeerd (art. 34).

Rechten van betrokkenen

Inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar, plus regels over geautomatiseerde besluitvorming (art. 15 tot en met 22). De reactietermijn is onverwijld en in ieder geval binnen een maand na ontvangst, met een verlenging van twee maanden als dat nodig is, mits de betrokkene binnen de eerste maand over die verlenging wordt geïnformeerd (art. 12). Antwoorden is kosteloos; alleen bij kennelijk ongegronde of buitensporige verzoeken mag een redelijke vergoeding worden gevraagd of het verzoek worden geweigerd, en de bewijslast daarvoor ligt bij de organisatie.

Doorgifte buiten de EU

Doorgifte aan een derde land of internationale organisatie mag alleen als aan de voorwaarden van hoofdstuk V is voldaan en het beschermingsniveau in stand blijft (art. 44). De instrumenten zijn onder meer een adequaatheidsbesluit van de Commissie (art. 45) en passende waarborgen zoals modelcontractbepalingen (art. 46).

Schadevergoeding

Wie materiële of immateriële schade lijdt door een inbreuk op de verordening, kan schadevergoeding vorderen van de verwerkingsverantwoordelijke of de verwerker (art. 82). De verwerker is alleen aansprakelijk als hij zijn eigen verplichtingen niet is nagekomen of buiten dan wel tegen de rechtmatige instructies van de verantwoordelijke heeft gehandeld.

Verhouding tot andere regels

De Uitvoeringswet AVG vult de nationale keuzeruimte in. De Dataverordening laat het gegevensbeschermingsrecht voorgaan als beide van toepassing zijn. Voor cookies en vergelijkbare technieken geldt eerst de toestemmingsregel uit de Telecommunicatiewet, en pas daarna de AVG voor de verwerking die erop volgt.

Toezicht NL

De Autoriteit Persoonsgegevens. Betrokkenen kunnen bij haar een klacht indienen; de AP kan onderzoeken instellen, maatregelen opleggen en boetes uitdelen.

Boete

Twee niveaus. Tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, als dat hoger is, voor verplichtingen uit onder meer de artikelen 8, 11, 25 tot en met 39 en 42 en 43 — daaronder vallen beveiliging, verwerkersovereenkomsten, register, datalekmelding en effectbeoordeling (art. 83, lid 4). Tot twintig miljoen euro of vier procent voor de basisbeginselen en de voorwaarden voor toestemming (art. 5, 6, 7 en 9), de rechten van betrokkenen (art. 12 tot en met 22) en doorgifte naar derde landen (art. 44 tot en met 49), en voor het niet opvolgen van een bevel van de toezichthouder (art. 83, lid 5 en lid 6).

Hele dossier →

De AVG laat lidstaten op tientallen punten ruimte; de Uitvoeringswet AVG vult die ruimte voor Nederland in. De wet stelt de Autoriteit Persoonsgegevens in en regelt haar bevoegdheden, bepaalt wanneer bijzondere en strafrechtelijke gegevens toch verwerkt mogen worden, en legt de leeftijdsgrens voor toestemming van kinderen vast. Voor een gemiddeld bedrijf staan de dagelijkse verplichtingen in de AVG zelf; de Uitvoeringswet bepaalt vooral de uitzonderingen en de spelregels van het toezicht. Sinds 1 september 2026 geldt een gewijzigde versie.

Waarvoor is dit bedoeld

De AVG werkt rechtstreeks, maar draagt op onderdelen aan de lidstaten op om zelf te kiezen: welke toezichthouder, welke uitzonderingen op het verbod op bijzondere gegevens, welke leeftijdsgrens voor kinderen, hoe journalistiek en onderzoek worden ontzien. De Uitvoeringswet AVG maakt die keuzes en is dus geen tweede privacywet, maar de Nederlandse laag onder de verordening.

Voor wie

Iedereen die in Nederland persoonsgegevens verwerkt en onder de AVG valt. Er zijn geen omvangdrempels. In de praktijk raakt de wet vooral organisaties die met bijzondere of strafrechtelijke gegevens werken, die het burgerservicenummer gebruiken, of die met de Autoriteit Persoonsgegevens te maken krijgen.

Wat er niet onder valt

Verwerkingen door politie en justitie voor opsporing, vervolging en strafexecutie vallen onder de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, en verwerkingen door de inlichtingen- en veiligheidsdiensten onder de Wet op de inlichtingen- en veiligheidsdiensten. De toestemmingsregel voor cookies staat in artikel 11.7a van de Telecommunicatiewet, niet in deze wet. En alles wat de AVG zelf al regelt — grondslagen, rechten van betrokkenen, beveiliging, datalekmelding — staat niet nog eens in de Uitvoeringswet.

Wat je moet doen

Op één na zijn de verplichtingen die de wet oplegt beperkingen: bijzondere categorieën gegevens alleen verwerken als een van de uitzonderingen van hoofdstuk 3 van toepassing is, strafrechtelijke gegevens alleen binnen de daarvoor gestelde grenzen, het burgerservicenummer alleen gebruiken waar een wettelijke grondslag dat toestaat, en bij kinderen onder de zestien jaar toestemming van de wettelijk vertegenwoordiger vragen.

Toestemming van kinderen

Artikel 5 regelt de gevallen waarin artikel 8 van de verordening niet van toepassing is en er toch toestemming nodig is: voor kinderen onder de zestien jaar is toestemming van de wettelijk vertegenwoordiger vereist, met bepalingen over het intrekken van die toestemming.

Bijzondere categorieën gegevens

Hoofdstuk 3 werkt de uitzonderingen uit op het verbod van artikel 9 AVG op het verwerken van onder meer gezondheidsgegevens, biometrische gegevens en gegevens over godsdienst, ras of vakbondslidmaatschap. Artikel 22 is het scharnierartikel dat naar artikel 9, eerste lid, van de verordening verwijst.

De Autoriteit Persoonsgegevens

Artikel 6 stelt de Autoriteit Persoonsgegevens in. Artikel 14 geeft haar de taken en bevoegdheden die de verordening aan de toezichthoudende autoriteit toekent. Artikel 15 wijst de leden en buitengewone leden aan als toezichthouders op de naleving. Artikel 19 laat haar afspraken maken met andere toezichthouders, wat relevant is nu de ACM en de AP elkaar tegenkomen bij de Data- en de Datagovernanceverordening.

Handhavingsinstrumenten

Artikel 16 geeft de Autoriteit Persoonsgegevens de last onder bestuursdwang ter handhaving van de verordening en van deze wet. Artikel 17 regelt de bestuurlijke boete bij overtreding van artikel 10 van de verordening — strafrechtelijke gegevens — of van artikel 31 van deze wet. Artikel 18 maakt het mogelijk ook overheidsinstanties en overheidsorganen te beboeten voor overtredingen die onder artikel 83, vierde, vijfde of zesde lid, van de verordening vallen.

Openbaarmaking van sancties

Artikel 21b bepaalt dat de Autoriteit Persoonsgegevens een door haar genomen beschikking tot het opleggen van een sanctie openbaar maakt. Daarmee is publicatie geen beleidskeuze meer, maar een wettelijke opdracht.

Wat de Verzamelwet veranderde

Per 1 september 2026 zijn onder meer verwerkingsgrondslagen toegevoegd voor curatoren, bewindvoerders, accountants en de Raad voor Rechtsbijstand, is transactiemonitoring door financiële instellingen geregeld, is de overdracht van medische dossiers tussen zorgaanbieders en niet-zorgaanbieders mogelijk gemaakt, en zijn transparantieverplichtingen voor de Autoriteit Persoonsgegevens ingevoerd: openbaarmaking van bestuurlijke sancties, publicatie van handhavingsbeleid en consultatie over normuitleg.

Wetgevingstraject

Tweede Kamer 20 mei 2025, Eerste Kamer 9 juni 2026, bekendmaking in Stb. 2026, 154, inwerkingtreding bij koninklijk besluit Stb. 2026, 196. De geldende versie op wetten.overheid.nl loopt vanaf 1 september 2026.

Toezicht NL

De Autoriteit Persoonsgegevens, ingesteld bij artikel 6 van deze wet.

Boete

De bedragen komen uit de AVG zelf: tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, dan wel tot twintig miljoen euro of vier procent, afhankelijk van welke bepaling is overtreden (art. 83, vierde en vijfde lid, AVG). De Uitvoeringswet voegt daar de nationale grondslagen aan toe voor beboeting bij strafrechtelijke gegevens (art. 17) en voor beboeting van overheden (art. 18), naast de last onder bestuursdwang (art. 16).

Hele dossier →

Op 19 november 2025 presenteerde de Europese Commissie een vereenvoudigingspakket dat vrijwel het hele digitale acquis raakt. Het bestaat uit twee wetgevingsvoorstellen: één over de AI-verordening en één over de rest — AVG, ePrivacy, Dataverordening, Datagovernanceverordening, Open Data, P2B, NIS2 en CER. Het AI-deel is inmiddels aangenomen en geldt als Verordening (EU) 2026/1744; het andere deel is nog steeds voorstel. Dat onderscheid is het belangrijkste aan dit dossier: alles wat over de AVG en over cookies wordt gezegd, is voorgesteld en niet geldend recht.

Waarvoor is dit bedoeld

De Commissie wil de administratieve last van het digitale regelgevingspakket terugbrengen door overlappende verplichtingen samen te voegen, meldingen via één loket te laten lopen en instrumenten in te trekken die zij door nieuwere regelgeving achterhaald acht. Het is geen inhoudelijke herziening van de AVG maar een bundeling van gerichte wijzigingen, verspreid over een groot aantal verordeningen tegelijk.

Voor wie

Iedereen die onder een van de geraakte instrumenten valt, wat in de praktijk neerkomt op vrijwel elke onderneming die persoonsgegevens verwerkt, een website exploiteert, data uit apparaten verzamelt of een clouddienst afneemt. Er zijn geen algemene omvangsdrempels. Wel richt een aantal voorgestelde verlichtingen zich uitdrukkelijk op kleine ondernemingen en op midcaps — bedrijven die net boven het mkb uitkomen — onder meer bij het overstappen tussen dataverwerkingsdiensten en bij de kwaliteitsbeheersystemen onder de AI-verordening.

Wat er niet onder valt

De Digitaledienstenverordening en de Digitalemarktenverordening worden niet gewijzigd. Adequaatheidsbesluiten en de regels over internationale doorgifte blijven buiten het pakket. En vooral: van het voorstel COM(2025) 837 is per 11 september 2026 nog geen letter van kracht. Verplichtingen die vandaag gelden — de meldtermijn van 72 uur uit artikel 33 AVG, de toestemming voor cookies uit artikel 11.7a Telecommunicatiewet, de registratieplicht voor databemiddelaars — gelden onverkort.

Wat je moet doen

Voor het aangenomen AI-deel gelden de nieuwe, verschoven data rechtstreeks. Voor de rest is er juridisch niets te doen; de betekenis van het dossier zit in de planning, omdat investeringen in toestemmingsbeheer, meldprocedures of registratie onder de Datagovernanceverordening kunnen achterhalen door wetgeving die er nog niet is.

Wat er al is aangenomen

Verordening (EU) 2026/1744 van het Europees Parlement en de Raad van 8 juli 2026 tot wijziging van de Verordeningen (EU) 2024/1689, (EU) 2018/1139 en (EU) 2023/1230 wat betreft vereenvoudiging van de uitvoering van geharmoniseerde regels betreffende artificiële intelligentie. Zij is bekendgemaakt in het Publicatieblad van 24 juli 2026 en treedt in werking op de derde dag na die bekendmaking.

Wat het AI-deel verandert

De verordening wijzigt artikel 113 van de AI-verordening en verschuift de toepassing van de hoofdstuk III-verplichtingen voor hoogrisicosystemen: voor systemen uit bijlage III van 2 augustus 2026 naar 2 december 2027, en voor AI in producten die onder bijlage I, afdeling A, vallen naar 2 augustus 2028. Daarnaast wordt de lijst van verboden praktijken uitgebreid, worden de registratieverplichtingen in de EU-databank verlicht, komen vereenvoudigde kwaliteitsbeheersystemen ook beschikbaar voor middelgrote ondernemingen, en krijgt het AI-bureau ruimere toezichtsbevoegdheden.

Wat het voorstel met de AVG wil

COM(2025) 837 wijzigt volgens zijn titel de Verordeningen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725 en (EU) 2023/2854 en de Richtlijnen 2002/58/EG, (EU) 2022/2555 en (EU) 2022/2557. In de AVG gaat het onder meer om een relatieve uitleg van het begrip persoonsgegeven — informatie is geen persoonsgegeven voor wie redelijkerwijs niet over de middelen beschikt om de persoon te identificeren — om nieuwe uitzonderingen bij de bijzondere categorieën van artikel 9, waaronder verwerking voor de ontwikkeling en exploitatie van AI-systemen, om het mogen weigeren of beprijzen van buitensporige inzageverzoeken, en om een versoepeling van de informatieplicht wanneer de betrokkene de informatie redelijkerwijs al heeft.

Wat het voorstel met de meldplicht wil

De melding van een datalek aan de toezichthouder zou alleen nog verplicht zijn bij een waarschijnlijk hoog risico voor de betrokkene, en de termijn zou van 72 naar 96 uur gaan. De melding loopt dan via één centraal toegangspunt bij ENISA, dat ook meldingen onder NIS2, eIDAS, DORA en de CER-richtlijn opvangt, volgens het beginsel eenmaal melden en meervoudig delen.

Wat het voorstel met cookies wil

Artikel 5, lid 3, van de ePrivacyrichtlijn verhuist naar de AVG als nieuw artikel 88 bis. Een nieuw artikel 88 ter introduceert geautomatiseerde, machineleesbare weergaven van de keuze van de gebruiker — privacysignalen uit de browser — die websites en apps zouden moeten respecteren zodra daarvoor normen bestaan. De meldverplichtingen uit de ePrivacyrichtlijn vervallen ten gunste van het centrale meldpunt.

Wat het voorstel met de Dataverordening wil

De Dataverordening wordt de verzamelbak: naast aanpassingen aan de eigen bepalingen — een ruimere weigeringsgrond voor bedrijfsgeheimen bij landen met een zwakker rechtskader, één vereenvoudigde regeling voor overheidsverzoeken in noodsituaties in plaats van de huidige artikelen 14 en 15, lichtere overstapverplichtingen voor op maat gemaakte dataverwerkingsdiensten en voor kleine en midcap-aanbieders, en het schrappen van de essentiële eisen voor slimme contracten — krijgt zij nieuwe hoofdstukken die de databemiddeling en het data-altruïsme uit de Datagovernanceverordening, het verbod op datalokalisatie en het hergebruik van overheidsgegevens overnemen. De registratieplicht voor databemiddelaars zou daarbij vrijwillig worden.

Wat wordt ingetrokken

Vier instrumenten: Verordening (EU) 2018/1807 over het vrije verkeer van niet-persoonsgebonden gegevens, Verordening (EU) 2019/1150 over platform-tot-ondernemingrelaties (P2B), Verordening (EU) 2022/868 (Datagovernanceverordening) en Richtlijn (EU) 2019/1024 (Open Data). Voor P2B blijven kruisverwijzingen in andere regelgeving volgens het voorstel nog tot en met 31 december 2032 werken.

Waar het in het Parlement ligt

Het voorstel is op 19 januari 2026 naar de commissies verwezen en wordt gezamenlijk behandeld door ITRE en LIBE. Rapporteurs zijn Aura Salla (EPP) voor ITRE en Marina Kaljurand (S&D) voor LIBE, beiden benoemd op 25 februari 2026; IMCO en JURI brengen advies uit, met Alex Agius Saliba en Brando Benifei als rapporteurs. De status in het register van het Parlement is per 11 september 2026 nog altijd ‘awaiting committee decision’: er is geen commissiestemming en dus geen standpunt in eerste lezing.

Gevolg voor Nederlandse uitvoeringswetten

Nederland heeft de Datagovernanceverordening en de Dataverordening net van uitvoeringswetgeving voorzien en de Wet hergebruik van overheidsinformatie daarbij aangepast. Worden de Datagovernanceverordening en de Open Data-richtlijn daadwerkelijk ingetrokken, dan verliezen die uitvoeringsregels grotendeels hun grondslag en zal Nederland opnieuw moeten wetgeven.

Toezicht NL

Het pakket wijst geen nieuwe toezichthouders aan. Het toezicht blijft liggen bij de autoriteiten van de gewijzigde instrumenten: de Autoriteit Persoonsgegevens voor de AVG en de cookieregel, de Autoriteit Consument en Markt voor de Dataverordening, en voor de AI-verordening bij de autoriteiten die Nederland daarvoor aanwijst.

Boete

Het pakket introduceert geen eigen boetestelsel. De sancties blijven die van de gewijzigde verordeningen, waaronder artikel 83, lid 5, AVG met een maximum van twintig miljoen euro of vier procent van de wereldwijde jaaromzet, en de boetebepalingen van de AI-verordening.

Eerstvolgende datum: 2 dec 2027 · nog 1 jaar — Uitgestelde toepassing van de hoogrisicoverplichtingen voor AI-systemen uit bijlage III

Hele dossier →

Dit is het dossier achter de cookiebanner. Artikel 5, lid 3, van de ePrivacyrichtlijn bepaalt dat informatie opslaan op of uitlezen van de apparatuur van een bezoeker alleen mag na informatie vooraf en toestemming; Nederland heeft dat omgezet in artikel 11.7a van de Telecommunicatiewet. De regel is techniekneutraal en gaat verder dan cookies: hij raakt ook pixels, scripts, lokale opslag, SDK’s in apps en software op verbonden apparaten. Het verschil met de AVG is dat het hier niet uitmaakt of de opgeslagen of uitgelezen informatie een persoonsgegeven is — de handeling zelf is gereguleerd, en pas wat daarna met persoonsgegevens gebeurt valt onder de AVG.

Waarvoor is dit bedoeld

De randapparatuur van een gebruiker — telefoon, laptop, televisie, auto — wordt gezien als onderdeel van zijn persoonlijke levenssfeer. De richtlijn wil dat niemand daar ongevraagd informatie neerzet of uitleest. Artikel 5, lid 3, luidt dat opslag van of toegang tot informatie in de eindapparatuur alleen is toegestaan ‘op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie (…) onder meer over de doeleinden van de verwerking’.

Voor wie

Iedereen die via een website, webshop, app, nieuwsbrief of verbonden apparaat informatie plaatst op of uitleest uit het apparaat van een gebruiker. Er is geen omzetdrempel, geen personeelsdrempel en geen uitzondering voor kleine bedrijven: een webshop met acht medewerkers valt onder dezelfde regel als een beursgenoteerde uitgever. Artikel 11.7a, lid 2, trekt de eisen door naar situaties waarin niet jijzelf maar een ander namens jou bewerkstelligt dat die opslag of uitlezing plaatsvindt — de partij achter een ingesloten videospeler, chatwidget of advertentietag dus.

Wat er niet onder valt

Artikel 11.7a, lid 3, kent twee uitzonderingen. De eerste geldt voor opslag of toegang met als uitsluitend doel de communicatie over een elektronisch communicatienetwerk uit te voeren. De tweede geldt voor wat strikt noodzakelijk is om de door de gebruiker gevraagde dienst te leveren — de functionele cookie, zoals een winkelwagen of een ingelogde sessie — en, mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer, voor het verkrijgen van informatie over de kwaliteit of effectiviteit van een geleverde dienst. Die laatste zinsnede is de Nederlandse analytische uitzondering. Buiten de richtlijn valt verder alles wat niet op de apparatuur van de gebruiker gebeurt: serverlogs die de aanbieder zelf bijhoudt vallen onder de AVG, niet onder artikel 11.7a.

Wat je moet doen

Voor alles wat niet onder een uitzondering valt, gelden twee cumulatieve eisen: duidelijke en volledige informatie vooraf, en toestemming. De toestemming is de toestemming zoals de AVG die omschrijft — vrij, specifiek, geïnformeerd en ondubbelzinnig, en dus door een actieve handeling. Voor de vrijgestelde functionele en lichte analytische cookies vervalt de toestemming, maar niet de informatieplicht: de ACM schrijft dat u ze ‘ongevraagd mag plaatsen, zolang u dit vertelt’.

Meer dan cookies alleen

De tekst spreekt van ‘informatie’ en niet van cookies. Onder het bereik vallen daarom ook trackingpixels in e-mail, local storage en session storage in de browser, identifiers die apps uit het besturingssysteem opvragen, browserfingerprinting en meetsoftware in apparaten die met internet verbonden zijn. Of de betrokken informatie tot een persoon herleidbaar is, doet voor de vraag of toestemming nodig is niet ter zake.

Wat het Hof over toestemming besliste

In het arrest Planet49 van 1 oktober 2019 (C-673/17) oordeelde het Hof van Justitie dat een vooraf aangevinkt vakje dat de gebruiker moet uitvinken geen geldige toestemming oplevert: nodig is een actieve handeling die een vrije, specifieke en geïnformeerde wilsuiting is. In hetzelfde arrest bepaalde het Hof dat de ‘duidelijke en volledige informatie’ in elk geval de werkingsduur van de cookies omvat en de vraag of derden er toegang toe krijgen.

Wat de toezichthouders van een banner verlangen

De gezamenlijke cookiebanner-taskforce van de Europese privacytoezichthouders legde op 17 januari 2023 een aantal gedeelde standpunten vast. Een banner zonder weiger- of afwijsmogelijkheid levert volgens de meerderheid van de autoriteiten geen geldige toestemming op. Vooraf aangevinkte vakjes evenmin. Een weigerlink die verstopt zit in een lopende alinea of buiten de banner staat, telt niet. Kleur- en contrastkeuzes worden per geval beoordeeld, maar tekst die door minimaal contrast vrijwel onleesbaar wordt, is problematisch. Een beroep op gerechtvaardigd belang als grondslag in een banner wijst de taskforce af. Toestemming intrekken moet even eenvoudig zijn als toestemming geven, bijvoorbeeld via een blijvend pictogram of een blijvende link.

Verhouding tot de AVG

Artikel 11.7a regelt het plaatsen en uitlezen; de AVG regelt wat er daarna met de persoonsgegevens gebeurt. Voor die vervolgverwerking is een eigen grondslag nodig, moet de informatieplicht worden nagekomen, gelden bewaartermijnen en gelden de regels voor doorgifte buiten de EU. Ontbreekt de toestemming voor het plaatsen, dan is ook de daaropvolgende verwerking in de regel onrechtmatig. Artikel 11.7a, lid 4, voegt daar een vermoeden aan toe: wie gebruiksgegevens over verschillende diensten verzamelt, combineert of analyseert zodat de gebruiker anders behandeld kan worden, wordt vermoed persoonsgegevens te verwerken.

Cookiemuren bij de overheid

Artikel 11.7a, lid 5, verbiedt dat de toegang van een gebruiker tot een dienst die wordt geleverd door of namens een publiekrechtelijke rechtspersoon afhankelijk wordt gemaakt van het verlenen van toestemming. Voor commerciële websites staat een vergelijkbaar verbod niet met zoveel woorden in de wet.

De advertentieketen

In het arrest IAB Europe van 7 maart 2024 (C-604/22) oordeelde het Hof dat de TC String uit het Transparency and Consent Framework — de gecodeerde weergave van de keuzes die een bezoeker in een banner maakt — een persoonsgegeven is, omdat die in combinatie met bijvoorbeeld een IP-adres tot een persoon herleidbaar is. IAB Europe is voor het vastleggen en verspreiden daarvan gezamenlijk verwerkingsverantwoordelijke, ook zonder zelf toegang tot de gegevens te hebben. Voor uitgevers en adverteerders die op dit standaardraamwerk leunen, betekent dat dat de banner zelf een verwerking is die onder de AVG valt.

De ePrivacyverordening is van tafel

Het voorstel voor een ePrivacyverordening van 10 januari 2017 (COM(2017) 10, procedure 2017/0003(COD)) is na ruim acht jaar onderhandelen op 6 oktober 2025 door de Europese Commissie ingetrokken. De procedure staat in het register van het Europees Parlement als vervallen. De richtlijn uit 2002 en artikel 11.7a blijven dus het geldende recht.

Wat de Digital Omnibus ermee wil

Het voorstel van 19 november 2025 (COM(2025) 837) haalt de regel uit de ePrivacyrichtlijn en zet hem in de AVG als nieuw artikel 88 bis, met een nieuw artikel 88 ter over geautomatiseerde, machineleesbaar uitgedrukte keuzes van de gebruiker die websites en apps zouden moeten respecteren. Dit is een voorstel: het is niet aangenomen en verandert vooralsnog niets aan de bestaande verplichtingen.

Toezicht NL

Het toezicht is verdeeld. De Autoriteit Persoonsgegevens treedt op waar het plaatsen of uitlezen samenhangt met de verwerking van persoonsgegevens, wat bij tracking- en advertentiecookies vrijwel altijd het geval is. De Autoriteit Consument en Markt houdt toezicht vanuit de Telecommunicatiewet en publiceert eigen uitleg over functionele, analytische en privacygevoelige cookies; daarnaast kan zij misleidende of agressieve bannerontwerpen langs het consumentenrecht leggen.

Boete

Waar de AP optreedt, gelden de boetemaxima van artikel 83 AVG: voor een schending van de beginselen en van de voorwaarden voor toestemming tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. De ACM beschikt daarnaast over de handhavingsinstrumenten van de Telecommunicatiewet, waaronder een last onder dwangsom en een bestuurlijke boete.

Hele dossier →

De Dataverordening gaat over data die niet per se persoonsgegevens zijn: de meetwaarden, logbestanden en gebruiksgegevens die een machine, voertuig, sensor of ander verbonden product voortbrengt. Wie zo’n product koopt of least, krijgt recht op die data en mag ze laten doorsturen naar een reparateur, softwareleverancier of concurrent van de fabrikant. Een tweede, los deel van dezelfde verordening dwingt aanbieders van cloud- en andere dataverwerkingsdiensten om klanten te laten overstappen. Anders dan de AVG, die gaat over de bescherming van gegevens van personen, verdeelt de Dataverordening de zeggenschap over industriële en gebruiksdata tussen fabrikant en klant.

Waarvoor is dit bedoeld

De data uit apparaten lag tot nu toe feitelijk bij de fabrikant, die als enige bij de meetwaarden kon. Daardoor kon alleen de fabrikant onderhoud, analyse en vervolgdiensten aanbieden. De verordening geeft de gebruiker van het product toegang tot die data en het recht ze te laten delen met een partij naar keuze, en haalt tegelijk de drempels weg die klanten aan één cloudaanbieder binden.

Voor wie

Fabrikanten van verbonden producten die in de Unie op de markt komen en aanbieders van gerelateerde diensten; datahouders die data beschikbaar stellen aan ontvangers in de Unie; gebruikers in de Unie; en aanbieders van dataverwerkingsdiensten die klanten in de Unie bedienen, ongeacht waar zij gevestigd zijn (art. 1, lid 3). Er is geen omzet- of personeelsdrempel voor de cloudbepalingen. Voor het deel over data uit verbonden producten geldt wel een uitzondering voor kleine bedrijven, zie hieronder. Aan de andere kant van de tafel is elke onderneming die een verbonden product koopt of least gebruiker, en dus rechthebbende.

Wat er niet onder valt

Het hoofdstuk over data uit verbonden producten (hoofdstuk II) geldt niet voor data uit producten die zijn gemaakt of diensten die worden geleverd door een micro- of kleine onderneming, tenzij die een partner- of verbonden onderneming heeft die zelf niet klein is, of als onderaannemer werkt (art. 7, lid 1). Een onderneming die pas korter dan een jaar middelgroot is, en een product dat korter dan een jaar geleden door een middelgroot bedrijf op de markt is gebracht, vallen er ook nog buiten. Klein en micro zijn gedefinieerd in Aanbeveling 2003/361/EG: minder dan vijftig werkzame personen en ten hoogste tien miljoen euro omzet of balanstotaal, respectievelijk minder dan tien personen en twee miljoen euro. Verder blijft het gegevensbeschermingsrecht voorgaan waar het botst (art. 1, lid 5), en gelden de regels niet voor strafrechtelijk onderzoek, douane, belastingheffing en nationale veiligheid.

Wat je moet doen

Als fabrikant of dienstverlener: het product zo ontwerpen dat de gebruiker standaard, eenvoudig, veilig, kosteloos en in een gangbaar machineleesbaar formaat bij zijn data kan, waar technisch haalbaar rechtstreeks (art. 3, lid 1). Als datahouder: beschikbare data op verzoek aan de gebruiker leveren zonder onnodige vertraging, in dezelfde kwaliteit als je zelf hebt en gratis (art. 4, lid 1), en die data op aanwijzing van de gebruiker doorzetten naar een derde (art. 5). Als aanbieder van een cloud- of andere dataverwerkingsdienst: de belemmeringen wegnemen die overstappen in de weg staan (art. 23).

Wat is een verbonden product

Een voorwerp dat data over het eigen gebruik of de omgeving verkrijgt, genereert of verzamelt en die data kan doorgeven via een elektronische communicatiedienst, een fysieke verbinding of toegang op het apparaat zelf — en waarvan het opslaan of doorgeven van data voor anderen niet de hoofdfunctie is (art. 2). Een gerelateerde dienst is de digitale dienst, inclusief software, zonder welke het product niet naar behoren zou werken, of die er later bij komt om functies te wijzigen. Denk aan landbouwmachines, liften, koelinstallaties, medische apparatuur, auto’s en de bijbehorende portalen.

Informatie vóór het contract

Wie een verbonden product verkoopt, verhuurt of least, moet vooraf vertellen welke soort data het product genereert, in welk volume, of dat continu en in real time gebeurt, hoe de data worden opgeslagen en hoe lang, en hoe de gebruiker erbij kan of ze kan wissen (art. 3, lid 2). Voor gerelateerde diensten geldt een langere lijst, waaronder de identiteit van de datahouder, hoe je om delen met derden vraagt, en hoe je een klacht indient (art. 3, lid 3).

Data laten delen met een derde

De gebruiker kan de datahouder opdragen beschikbare data door te geven aan een derde, kosteloos voor de gebruiker (art. 5). Die derde mag de data alleen gebruiken voor wat met de gebruiker is afgesproken. Ondernemingen die onder de Digitalemarktenverordening als poortwachter zijn aangewezen, mogen op deze route geen data ontvangen en mogen gebruikers er ook niet toe aanzetten (art. 5, lid 3).

Vergoeding tussen bedrijven

Voor de gebruiker zelf is toegang gratis. Tussen een datahouder en een zakelijke data-ontvanger mag een vergoeding worden afgesproken die niet-discriminerend en redelijk is en een marge mag bevatten (art. 9). Is de ontvanger een mkb-onderneming of een onderzoeksorganisatie zonder winstoogmerk, dan mag de vergoeding niet hoger zijn dan de kosten van het beschikbaar stellen: opmaken, verzenden en opslaan. De datahouder moet de berekening zo onderbouwen dat de ontvanger die kan controleren.

Bedrijfsgeheimen

Bedrijfsgeheimen moeten worden beschermd en mogen alleen worden gedeeld als vooraf maatregelen zijn getroffen om ze vertrouwelijk te houden (art. 4, lid 6). Een datahouder die houder van een bedrijfsgeheim is, kan een verzoek per geval weigeren als hij kan onderbouwen dat het tot ernstige economische schade leidt (art. 4, lid 8). Omgekeerd mag de datahouder niet-persoonsgebonden data uit het product alleen gebruiken op basis van een contract met de gebruiker, en niet om diens marktpositie te ondergraven (art. 4, lid 13).

Oneerlijke contractbedingen

Een beding over toegang tot of gebruik van data dat eenzijdig aan een andere onderneming is opgelegd, bindt niet als het oneerlijk is (art. 13). Altijd oneerlijk zijn onder meer: aansprakelijkheid uitsluiten voor opzet of grove schuld, de wederpartij haar rechtsmiddelen bij wanprestatie ontnemen, en jezelf het exclusieve recht geven te bepalen of geleverde data aan het contract beantwoorden. Vermoed oneerlijk zijn onder meer bedingen die toegang tot data of overdraagbaarheid blokkeren, die onredelijk korte opzegtermijnen opleggen of die eenzijdige prijswijzigingen toestaan.

Verzoeken van overheden

Overheidsinstanties, de Commissie, de ECB en EU-organen kunnen bij uitzonderlijke noodzaak data opvragen bij bedrijven die geen overheid zijn, met een met redenen omkleed verzoek (art. 14 en 15). Volgens de toelichting van de Europese Commissie hoeven micro- en kleine ondernemingen buiten noodsituaties geen data te leveren en krijgen zij in noodsituaties een vergoeding die de technische en organisatorische kosten niet overstijgt.

Overstappen tussen clouddiensten

De aanbieder moet commerciële, technische, contractuele en organisatorische belemmeringen wegnemen (art. 23). De opzegtermijn om het overstapproces te starten is maximaal twee maanden; de overgangsperiode is maximaal dertig kalenderdagen, door de klant eenmaal te verlengen, en als dertig dagen technisch niet haalbaar is maximaal zeven maanden; na afloop heeft de klant nog minstens dertig dagen om data op te halen (art. 25).

Overstapkosten

Tussen 11 januari 2024 en 12 januari 2027 mag een aanbieder verlaagde overstapkosten rekenen die niet hoger zijn dan de kosten die rechtstreeks met de overstap samenhangen. Vanaf 12 januari 2027 mag hij helemaal geen overstapkosten meer rekenen (art. 29). Vooraf moet hij duidelijk maken welke standaardtarieven, opzegboetes en overstapkosten gelden, en welke diensten bijzonder complex of kostbaar zijn om te verlaten.

Toegang door overheden buiten de EU

Aanbieders van dataverwerkingsdiensten moeten technische, organisatorische en juridische maatregelen nemen tegen doorgifte van of toegang tot niet-persoonsgebonden data in de EU die in strijd zou zijn met het Unierecht (art. 32). Een uitspraak van een rechter in een derde land is alleen afdwingbaar via een internationaal verdrag, zoals een rechtshulpverdrag; ontbreekt dat, dan gelden strikte voorwaarden en moet de aanbieder de klant vooraf informeren.

Toezicht NL

Lidstaten wijzen een of meer bevoegde autoriteiten aan en, bij meerdere, een datacoördinator als centraal aanspreekpunt (art. 37). In Nederland ligt het toezicht bij de ACM, met de Autoriteit Persoonsgegevens voor de aspecten die persoonsgegevens raken; de ACM beschrijft op haar eigen site de regels voor data uit slimme apparaten en voor overstappen tussen clouddiensten en neemt meldingen aan. De Nederlandse Uitvoeringswet dataverordening is op 21 november 2025 in werking getreden (Stb. 2025, 372).

Boete

De verordening laat de hoogte van de sancties aan de lidstaten en eist dat ze doeltreffend, evenredig en afschrikkend zijn (art. 40). Voor inbreuken op de hoofdstukken II, III en V die persoonsgegevens raken, kunnen de gegevensbeschermingsautoriteiten een boete opleggen volgens artikel 83 AVG, tot het maximum van artikel 83, lid 5: twintig miljoen euro of vier procent van de wereldwijde jaaromzet.

Eerstvolgende datum: 12 sep 2026 · morgen — Art. 3 lid 1 geldt voor nieuw in de handel gebrachte verbonden producten

Hele dossier →

De Datagovernanceverordening regelt niet wie recht op welke data heeft, maar wie er tussen mag zitten. Wie een dienst aanbiedt die data van de ene partij naar de andere brengt zonder die data zelf te willen bezitten — een datamarktplaats, datapool, datacoöperatie of persoonlijk datakluisje — moet zich melden bij de toezichthouder en zich aan neutraliteitsregels houden. Daarnaast opent de verordening beschermde data van overheden voor hergebruik en geeft zij een kader aan organisaties die data zonder winstoogmerk voor het algemeen belang inzamelen. Waar de Dataverordening rechten op data toekent, stelt de Datagovernanceverordening eisen aan de tussenpersoon en aan de overheid als databron.

Waarvoor is dit bedoeld

Datadelen komt niet op gang als partijen de tussenpersoon niet vertrouwen. De verordening probeert dat vertrouwen te organiseren: een bemiddelaar die zich aanmeldt en zich aan de voorwaarden houdt, mag zich erkend aanbieder van databemiddelingsdiensten in de Unie noemen. Daarnaast maakt zij data die overheden houden maar wegens vertrouwelijkheid, intellectuele eigendom van derden of privacy niet zomaar konden vrijgeven, onder voorwaarden herbruikbaar.

Voor wie

Aanbieders van databemiddelingsdiensten met hun hoofdvestiging of wettelijke vertegenwoordiger in Nederland; organisaties die zich als data-altruïstische organisatie willen laten erkennen; en overheidsinstanties die beschermde data houden. Er is geen omzet- of personeelsdrempel: de aanmeldplicht hangt aan de aard van de dienst, niet aan de omvang van het bedrijf. Voor gewone bedrijven die alleen data kopen, verkopen of gebruiken, verandert de verordening niets.

Wat er niet onder valt

Volgens de ACM hoeven zich niet te registreren: diensten waarbij op de gedeelde gegevens auteursrecht rust, diensten die samengevoegde bankrekeninginformatie verstrekken en diensten die geconsolideerde informatie over financiële instrumenten leveren. Een aanbieder die data voor zichzelf verzamelt en doorverkoopt is geen bemiddelaar in de zin van de verordening, want die verwerft juist wel rechten op de data. Registratie als data-altruïstische organisatie is vrijwillig: je mag ook zonder erkenning data voor het algemeen belang inzamelen, maar dan zonder het EU-logo. De verordening verplicht overheden niet om hun data vrij te geven; zij regelt onder welke voorwaarden dat gebeurt als zij het doen.

Wat je moet doen

Als databemiddelingsdienst: je voornemen melden bij de bevoegde autoriteit voordat je begint, en de dienst juridisch gescheiden houden van je andere diensten. Als data-altruïstische organisatie die erkenning wil: registreren en jaarlijks verantwoording afleggen. Als overheidsinstantie: verzoeken om hergebruik binnen de gestelde termijn afhandelen tegen niet-discriminerende, transparante, evenredige en objectief gerechtvaardigde voorwaarden.

Hoe de aanmelding in Nederland werkt

De registratie loopt via de ACM en is kosteloos. Aan te leveren zijn onder meer de bedrijfsnaam, rechtsvorm, eventuele dochterondernemingen, het handelsregisternummer, vestigingsadressen, website, contactgegevens, een beschrijving van de dienst en de startdatum. De ACM beslist binnen acht weken.

Het EU-label

Een geregistreerde aanbieder kan kosteloos het Europese label aanvragen en zich dan erkend aanbieder van databemiddelingsdiensten noemen; de ACM beslist daarover binnen twaalf weken.

Neutraliteitseisen

De bemiddelaar treedt uitsluitend op als tussenpersoon en mag de data niet voor eigen doeleinden gebruiken, anders dan om de bemiddelingsdienst te verbeteren. De commerciële voorwaarden mogen niet afhangen van de vraag of een partij ook andere diensten van dezelfde aanbieder afneemt. De bemiddelingsdienst moet juridisch gescheiden zijn van die andere diensten.

Data-altruïstische organisaties

Voorwaarden voor registratie bij de ACM zijn onder meer: geen commercieel oogmerk, geen commerciële relaties tot stand brengen tussen aanbieders en afnemers van data, en onafhankelijk opereren van partijen met winstoogmerk. Gaat het om persoonsgegevens, dan wint de ACM advies in bij de Autoriteit Persoonsgegevens. Erkende organisaties tonen het Europese logo bij elke uiting, online en offline, en dienen jaarlijks vóór 1 mei een activiteitenverslag over het voorgaande jaar in.

Hergebruik van beschermde overheidsdata

Het gaat om data van overheidsinstanties die commercieel of statistisch vertrouwelijk zijn, onder intellectuele-eigendomsrechten van derden vallen of persoonsgegevens bevatten. De voorwaarden voor hergebruik moeten niet-discriminerend, transparant, evenredig en objectief gerechtvaardigd zijn; vergoedingen mogen, verlaagd tarief of kosteloos hergebruik ook. Volgens de Europese Commissie heeft een overheidsinstantie maximaal twee maanden om op een verzoek te beslissen.

Verhouding tot de AVG

De verordening vervangt de AVG niet en verruimt de grondslagen voor het verwerken van persoonsgegevens niet. Bij data-altruïsme blijft toestemming van de betrokkene de basis, en bij hergebruik van overheidsdata met persoonsgegevens blijven de gewone regels gelden. De ACM werkt daarom samen met de Autoriteit Persoonsgegevens.

Doorgifte buiten de EU

De verordening stelt aanvullende waarborgen aan het doorgeven van niet-persoonsgebonden data uit de EU naar derde landen en aan toegangsverzoeken van buitenlandse overheden.

Nederlandse uitvoering

De Uitvoeringswet datagovernanceverordening is op 19 november 2024 in werking getreden (Stb. 2024, 347). Sindsdien registreert de ACM databemiddelingsdiensten en data-altruïstische organisaties en kent zij de EU-labels toe.

Toezicht NL

De ACM, met de Autoriteit Persoonsgegevens voor de aspecten die persoonsgegevens raken.

Boete

De verordening stelt zelf geen bedragen vast, maar draagt de lidstaten op sancties te bepalen die doeltreffend, evenredig en afschrikkend zijn. Voor Nederland staan die in de Uitvoeringswet datagovernanceverordening.

Hele dossier →

De EHDS regelt twee dingen tegelijk. Voor primair gebruik krijgt iedere burger recht op elektronische toegang tot zijn eigen gezondheidsgegevens en moeten die gegevens in een Europees formaat tussen zorgverleners uitwisselbaar zijn, ook over de grens. Voor secundair gebruik komt er een vergunningstelsel waarmee onderzoekers, beleidsmakers en bedrijven onder voorwaarden toegang kunnen krijgen tot gezondheidsgegevens via nationale toegangsinstanties. Voor leveranciers is het bovendien productwetgeving: een EPD-systeem mag straks alleen op de markt als het aan de eisen van de verordening voldoet.

Waarvoor is dit bedoeld

Gezondheidsgegevens zitten nu vast in losse systemen en landen. De verordening dwingt af dat prioritaire gegevens in een gemeenschappelijk formaat beschikbaar zijn voor de patiënt en voor de behandelaar, en schept daarnaast een geregeld kanaal voor hergebruik van die gegevens voor onderzoek, innovatie en beleid, in plaats van de losse regelingen per land.

Voor wie

Zorgaanbieders van elke omvang — van ziekenhuis tot huisartsenpraktijk, apotheek of fysiotherapeut — als verstrekker en ontvanger van elektronische gezondheidsgegevens. Fabrikanten, importeurs en distributeurs van EPD-systemen. Aanbieders van welzijnsapplicaties die gegevens naar een EPD-systeem willen laten doorstromen. En, voor secundair gebruik, gegevenshouders: partijen die gezondheidsgerelateerde gegevens onder zich hebben, publiek en privaat. De verordening kent geen omzet- of personeelsdrempel.

Wat er niet onder valt

Software die geen van de prioritaire categorieën elektronische gezondheidsgegevens verwerkt, is geen EPD-systeem. Welzijnsapplicaties krijgen geen verplicht conformiteitsregime maar een vrijwillig label; pas als zij met een EPD-systeem koppelen gelden er eisen. Medische hulpmiddelen en AI-systemen houden hun eigen regime en worden niet als EPD-systeem behandeld. Voor secundair gebruik sluit de verordening een aantal toepassingen uit, waaronder beslissingen over verzekeringspremies en arbeidsvoorwaarden en het richten van reclame.

Wat je moet doen

Zorgaanbieders moeten prioritaire gegevens in het Europese uitwisselingsformaat aanleveren en beschikbaar stellen aan de patiënt en aan andere behandelaars, en zich aansluiten op de nationale toegangspunten. Leveranciers van EPD-systemen moeten hun systeem aan de essentiële eisen laten voldoen, een technisch dossier en een EU-conformiteitsverklaring opstellen en een CE-markering aanbrengen. Gegevenshouders moeten gegevens op verzoek van de toegangsinstantie beschikbaar stellen voor secundair gebruik.

Prioritaire gegevenscategorieën

Vijf categorieën vormen de kern: de patiëntsamenvatting met essentiële patiëntgegevens, elektronische recepten en verstrekkingen, medische beelden en de bijbehorende verslagen, uitslagen van medische tests waaronder laboratoriumuitslagen, en ontslagbrieven.

Wat er van een EPD-systeem wordt geëist

Een EPD-systeem moet twee verplichte geharmoniseerde softwarecomponenten bevatten: een Europese interoperabiliteitscomponent, die gegevens in het Europese uitwisselingsformaat kan uitwisselen, en een Europese logcomponent, die vastlegt wie wanneer welke gegevens heeft ingezien of gewijzigd. Daarnaast gelden eisen aan beveiliging en documentatie, met een beoordeling vooraf en verplichtingen na het op de markt brengen.

Rechten van de patiënt

Onmiddellijke en kosteloze elektronische toegang tot de eigen prioritaire gegevens, de mogelijkheid om online rectificatie te vragen, een afschrift in het Europese formaat, en inzicht in wie de gegevens heeft geraadpleegd. Lidstaten kunnen daarnaast voorzien in een opt-out waarmee een burger de toegang van andere zorgverleners dan de behandelaar kan blokkeren.

Secundair gebruik

Toegang loopt niet via onderlinge afspraken maar via een nationale toegangsinstantie voor gezondheidsgegevens, die per aanvraag een vergunning verleent en de gegevens in een beveiligde verwerkingsomgeving beschikbaar stelt. De aanvrager krijgt in beginsel geen ruwe gegevens mee naar buiten, maar resultaten.

Fase 1 — 26 maart 2027

Volgens de Europese Commissie gaat de verordening twee jaar na inwerkingtreding gelden, met uitzonderingen. In deze fase moet de Commissie de uitvoeringshandelingen met de technische en operationele regels hebben vastgesteld; die bepalen wat de interoperabiliteitseisen concreet inhouden.

Fase 2 — 26 maart 2029

Primair gebruik begint met de patiëntsamenvatting en de elektronische recepten en verstrekkingen. Voor secundair gebruik gaan de regels voor het merendeel van de gegevenscategorieën gelden.

Fase 3 — 26 maart 2031

Primair gebruik wordt uitgebreid naar medische beelden, laboratoriumuitslagen en ontslagbrieven. Voor secundair gebruik komen de resterende categorieën erbij, waaronder genomische gegevens. Vanaf 2035 kunnen derde landen en internationale organisaties zich bij de infrastructuur voor secundair gebruik aansluiten.

Wat dit in Nederland blokkeert

De EHDS zit de Nederlandse Wegiz-agenda in de weg. Volgens de Kamerbrief van 20 januari 2026 is er een juridische belemmering om nieuwe algemene maatregelen van bestuur onder de Wet elektronische gegevensuitwisseling in de zorg te starten, vanwege significante verschillen tussen het Wegiz-kader en het EHDS-kader. Er lopen fit-gap-analyses; die zijn afgerond voor de Basisgegevensset Zorg en voor medicatieoverdracht.

Toezicht NL

Nog niet geregeld. Er is per 10 september 2026 geen uitvoeringswetsvoorstel ingediend. In de Kamerbrief van 18 mei 2026 is het voornemen aangekondigd voor een nieuw zelfstandig bestuursorgaan dat de taken van de Autoriteit Digitale Gezondheid combineert met die van de toegangsinstantie voor gezondheidsgegevens. Voor persoonsgegevens blijft de Autoriteit Persoonsgegevens bevoegd.

Boete

De verordening laat de hoogte van sancties aan de lidstaten en verplicht hen tot doeltreffende, evenredige en afschrikkende sancties; de toezichthouder voor primair gebruik moet bestuurlijke boetes kunnen opleggen. Omdat er in Nederland nog geen uitvoeringswet is, ligt het Nederlandse sanctieregime nog niet vast.

Eerstvolgende datum: 26 mrt 2027 · nog 7 maanden — Eerste toepassingsfase EHDS

Hele dossier →

De AVG geldt niet voor gegevensverwerking door politie, justitie en andere opsporingsdiensten met het oog op strafbare feiten. Voor dat domein geldt een eigen richtlijn uit 2016, in Nederland omgezet in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Voor een gewoon bedrijf is dit geen dossier — tot het moment dat het zelf met openbaar gezag is bekleed, bijvoorbeeld doordat medewerkers buitengewoon opsporingsambtenaar zijn, of dat het als leverancier politiegegevens verwerkt voor een korps of het Openbaar Ministerie. Het onderscheid met de AVG zit niet in het soort gegevens maar in de taak: dezelfde camerabeelden vallen onder de AVG bij een beveiligingsbedrijf en onder de Wpg bij de politie.

Waarvoor is dit bedoeld

Verdachten, veroordeelden, slachtoffers en getuigen moeten ook in de strafrechtketen beschermd zijn, maar met regels die rekening houden met lopend onderzoek. De richtlijn geeft die keten daarom een eigen regime, met dezelfde beginselen als de AVG — doelbinding, juistheid, beveiliging, aanwijzing van een functionaris voor gegevensbescherming, melding van datalekken zonder onnodige vertraging en waar mogelijk binnen 72 uur — maar met ruimere mogelijkheden om rechten van betrokkenen te beperken zolang dat het onderzoek zou schaden.

Voor wie

Voor bevoegde autoriteiten. Artikel 1, onderdeel l, van de Wet politiegegevens omschrijft dat als ‘iedere overheidsinstantie die bevoegd is voor de taken, bedoeld in onderdeel a, of ieder ander orgaan dat of iedere andere entiteit die is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de taken, bedoeld in onderdeel a’. Er is geen omvangsdrempel: het gaat om de taak, niet om de grootte van de organisatie. In Nederland vallen daaronder de politie, de Koninklijke Marechaussee, de rijksrecherche, het Openbaar Ministerie, de bijzondere opsporingsdiensten en, via de definitie van ambtenaar van politie in artikel 1, onderdeel k, ook buitengewoon opsporingsambtenaren voor zover zij politietaken uitvoeren.

Wat er niet onder valt

Alles wat buiten het Unierecht valt, activiteiten op het terrein van de nationale veiligheid en het gemeenschappelijk buitenlands en veiligheidsbeleid zijn uitgezonderd; de inlichtingen- en veiligheidsdiensten vallen in Nederland onder een eigen wet. Ook valt buiten dit regime wat een gewone onderneming zelf doet aan beveiliging, fraudeonderzoek, incidentenregisters of camerabewaking: die verwerkingen blijven onder de AVG, hoe strafrechtelijk het onderwerp ook is. Een bedrijf wordt niet vanzelf bevoegde autoriteit doordat het aangifte doet of met de politie samenwerkt.

Wat je moet doen

Wie wél onder de Wpg valt, mag politiegegevens alleen verwerken voor een van de doelen die de wet noemt, moet de verwerkingen vastleggen en loggen, passende beveiliging treffen, een functionaris voor gegevensbescherming aanwijzen en datalekken melden. Verstrekking aan anderen mag alleen waar de wet dat toestaat. De rechten van betrokkenen bestaan wel, maar kunnen worden beperkt en lopen via de verwerkingsverantwoordelijke, met de Autoriteit Persoonsgegevens als route om die beperking te laten toetsen.

Wanneer raakt dit een private partij

Er zijn drie praktische routes. De eerste is een medewerker die buitengewoon opsporingsambtenaar is: in het openbaar vervoer, bij parkeerbeheer, in natuurbeheer en bij sommige toezichthoudende diensten werken boa’s in dienst van een private werkgever, en wat zij in die hoedanigheid aan gegevens verwerken is politiegegeven. De tweede is de rol van verwerker voor een korps, het Openbaar Ministerie of een opsporingsdienst. De derde is een leverancier van ICT- of opslagdiensten waarin politiegegevens terechtkomen, ook zonder dat die leverancier de gegevens inhoudelijk gebruikt.

Wat de verwerkersrol inhoudt

Artikel 6c van de Wet politiegegevens regelt dat de verwerkingsverantwoordelijke uitsluitend verwerkers mag inschakelen die voldoende garanties bieden, dat de verwerking wordt vastgelegd in een schriftelijke overeenkomst waarin de verplichtingen staan, dat de verwerker alleen op instructie van de verantwoordelijke handelt tenzij de wet anders voorschrijft, dat het inschakelen van een subverwerker voorafgaande schriftelijke toestemming vergt, en dat de verwerker inbreuken op de beveiliging onverwijld meldt bij de verantwoordelijke. Voor een leverancier vertaalt dit zich in een ander contract dan de verwerkersovereenkomst die hij onder de AVG gewend is.

Twee wetten, twee gegevensstromen

De Wet politiegegevens gaat over het politiegegeven: ‘elk persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak’ (artikel 1). De Wet justitiële en strafvorderlijke gegevens gaat over justitiële gegevens — gegevens over de toepassing van het strafrecht of de strafvordering — en over strafvorderlijke gegevens, verkregen in het kader van een strafvorderlijk onderzoek, plus de persoonsdossiers met rapportages aan rechterlijke autoriteiten.

Verwerkingsverantwoordelijke

Bij de politie is dat de korpschef, bij de rijksrecherche het College van procureurs-generaal en bij de Koninklijke Marechaussee de Minister van Defensie. Voor justitiële gegevens is het de Minister van Justitie en Veiligheid, voor strafvorderlijke gegevens het College van procureurs-generaal. Een private partij die als verwerker optreedt, is dus zelf geen verantwoordelijke en bepaalt niets over doel en middelen.

De VOG loopt via de Wjsg

De verklaring omtrent het gedrag is geregeld in de Wet justitiële en strafvorderlijke gegevens, in de artikelen 28 en volgende. Dat is voor werkgevers het meest voorkomende raakvlak met dit dossier. De werkgever die een VOG verlangt, krijgt uitsluitend de verklaring zelf te zien, niet de justitiële gegevens waarop de beoordeling berust; de afweging vindt plaats bij de screeningsautoriteit van het ministerie.

Doorgifte buiten de EU

Artikel 17a van de Wet politiegegevens regelt doorgifte aan derde landen: die is mogelijk op grond van een adequaatheidsbesluit van de Europese Commissie, op grond van bindende waarborgen of een eigen beoordeling van het beschermingsniveau, of in specifieke uitzonderingsgevallen zoals een dringend gevaar voor de veiligheid. Doorgaans is vooraf toestemming nodig van de autoriteit waar de gegevens vandaan komen.

Een organisatie kan onder beide regimes vallen

De personeelsadministratie, de inkoop en de eigen bedrijfsvoering van een politiedienst vallen onder de AVG; de opsporingsgegevens onder de Wpg. Omgekeerd valt een vervoerbedrijf met boa’s voor het overgrote deel van zijn verwerkingen onder de AVG en alleen voor de opsporingstaak onder de Wpg. Wie beide regimes in huis heeft, moet de gegevensstromen gescheiden houden, omdat de grondslagen, bewaartermijnen en verstrekkingsregels niet uitwisselbaar zijn.

Nederlandse omzetting

De richtlijn is vastgesteld op 27 april 2016, gepubliceerd op 4 mei 2016 en in werking getreden op 5 mei 2016; de lidstaten kregen twee jaar om haar om te zetten. Nederland deed dat met een wijziging van de Wpg en de Wjsg van 17 oktober 2018, gepubliceerd in Staatsblad 2018, 401, in werking getreden op 1 januari 2019. Beide wetten zijn sindsdien vaak gewijzigd; de geldende versies dateren van 1 september 2026, toen de Verzamelwet gegevensbescherming doorwerkte.

Modernisering blijft uit

Een integrale herziening van de Wpg en de Wjsg wordt sinds 2022 aangekondigd — de wetten worden als versnipperd en moeilijk uitvoerbaar beschouwd — maar is per 11 september 2026 niet in een aanhangig wetsvoorstel terug te vinden. Wat er wel gebeurt, zijn wijzigingen via andere wetten, zoals de Wet gegevensverwerking door samenwerkingsverbanden en de Verzamelwet gegevensbescherming.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op zowel de Wpg als de Wjsg. Zij doet dat naast haar AVG-taak en met eigen bevoegdheden uit die wetten; daarnaast kent de Wpg een stelsel van periodieke controle op de naleving door de verwerkingsverantwoordelijke zelf.

Boete

Anders dan de AVG kent de richtlijn geen Europees boetemaximum. Zij laat de sancties aan de lidstaten, met als eis dat die doeltreffend, evenredig en afschrikkend zijn. In de praktijk bestaat het optreden van de Autoriteit Persoonsgegevens in dit domein vooral uit onderzoek, corrigerende maatregelen en openbare rapportage; welke boetebevoegdheid zij precies onder de Wpg en de Wjsg heeft, is hieronder als onzeker gemarkeerd.

Hele dossier →

De WGS is een kaderwet die specifiek aangewezen samenwerkingsverbanden van overheids- en soms private partijen een wettelijke grondslag geeft om persoonsgegevens gezamenlijk te verwerken en te delen, voor doelen als de bestrijding van fraude, witwassen en ondermijnende criminaliteit. Voor een gewone onderneming is dit doorgaans geen dossier, tenzij zij zelf deelneemt aan zo’n samenwerkingsverband — het duidelijkste voorbeeld is een bank die via het Financieel Expertise Centrum gegevens deelt met toezichthouders en opsporingsdiensten. Het wetsvoorstel lag vanaf 2020 jarenlang onder vuur van zowel de Raad van State als de Autoriteit Persoonsgegevens, die vonden dat de waarborgen tegen te grootschalige of onvoldoende gerichte gegevensverwerking tekortschoten; de wet is niettemin aangenomen, met een deel van die kritiek verwerkt in de uitvoeringsregelgeving.

Waarvoor is dit bedoeld

Overheidsdiensten en soms private partijen konden niet altijd gegevens met elkaar delen om fraude, witwassen en georganiseerde criminaliteit te bestrijden, omdat elke partij een eigen wettelijke grondslag en doelbinding heeft. De WGS geeft specifiek aangewezen samenwerkingsverbanden een gezamenlijke grondslag om gegevens te combineren en te analyseren, met eigen waarborgen voor governance en gegevensbescherming.

Voor wie

De wet werkt niet vanzelf voor elk samenwerkingsverband: alleen de verbanden die bij algemene maatregel van bestuur zijn aangewezen, mogen op basis van de WGS gezamenlijk verwerken. Aangewezen zijn onder meer het Financieel Expertise Centrum (FEC), de Infobox Crimineel en Onverklaarbaar Vermogen (iCOV), de Regionale Informatie- en Expertisecentra (RIEC’s) en de Zorg- en Veiligheidshuizen. Deelnemers zijn overwegend overheidsorganisaties — toezichthouders, opsporingsdiensten, gemeenten — maar sommige verbanden kennen ook private deelnemers.

Wat er niet onder valt

Gegevensverwerking buiten een aangewezen samenwerkingsverband valt niet onder de WGS en blijft onder de gewone regels: de AVG voor gewone verwerkingsverantwoordelijken, de Wet politiegegevens voor de opsporing zelf. Een bedrijf dat incidenteel informatie deelt met een van de deelnemende overheidsinstanties, zonder zelf deelnemer van het samenwerkingsverband te zijn, valt niet onder dit regime.

Wat je moet doen

Voor de meeste ondernemingen niets: de wet legt geen verplichtingen op aan wie geen deelnemer is. Voor een partij die wél deelneemt aan een aangewezen samenwerkingsverband gelden de governance-eisen van de wet en de bijbehorende uitvoeringsregelgeving, waaronder afspraken met de andere deelnemers en beperkingen aan wie welke gegevens mag inzien.

Banken en witwasbestrijding

Praktisch raakt dit dossier private partijen vooral via het FEC, waarin toezichthouders zoals DNB en de AFM, opsporingsdiensten en het Openbaar Ministerie samenwerken tegen financieel-economische criminaliteit. De precieze formele status van individuele banken als deelnemer binnen die structuur, tegenover losse samenwerking daarbuiten zoals gezamenlijke transactiemonitoring tussen banken, is bij de geraadpleegde bronnen niet in detail bevestigd.

Kritiek van de Raad van State

De Raad van State adviseerde kritisch over het wetsvoorstel. Zorgen betroffen onder meer de ruimte die de kaderwet aan verdere uitwerking bij algemene maatregel van bestuur overliet in plaats van in de wet zelf te regelen, en de vraag of doelbinding en evenredigheid bij grootschalige gegevenskoppeling voldoende waren gewaarborgd.

Kritiek van de Autoriteit Persoonsgegevens

De AP uitte herhaaldelijk zorgen over de privacyrisico’s van het wetsvoorstel, onder meer over de mogelijkheid van geautomatiseerde risicoprofilering binnen de samenwerkingsverbanden en over onvoldoende inzicht voor betrokkenen in wat er met hun gegevens gebeurt.

Wat er met die kritiek is gebeurd

Het wetsvoorstel is, ondanks die kritiek, na een langjarige behandeling toch door beide Kamers aangenomen; de Eerste Kamer stemde in op 18 juni 2024 en de wet is gepubliceerd als Stb. 2024, 198. Een deel van de zorgen is verwerkt in de uitvoeringsregelgeving, waaronder het besluit dat de concrete samenwerkingsverbanden aanwijst.

Uitvoeringsregelgeving

Bij algemene maatregel van bestuur zijn de concrete samenwerkingsverbanden aangewezen en is per verband vastgelegd welke gegevens mogen worden gedeeld en met welk doel. Onderdelen van die regelgeving zijn via een nahangprocedure aan de Tweede Kamer voorgelegd voordat zij in werking traden.

Wetgevingstraject

Ingediend bij de Tweede Kamer op 24 april 2020, na een langdurig debat aangenomen door de Tweede Kamer, en op 18 juni 2024 aangenomen door de Eerste Kamer; publicatie als Stb. 2024, 198.

Inwerkingtreding

1 maart 2025 — een datum die is afgeleid uit de doorwerking van de WGS in de Wet politiegegevens en niet uit een eigen, apart gevonden inwerkingtredingsbesluit van de WGS zelf.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op de gegevensverwerking binnen de aangewezen samenwerkingsverbanden, net als op elke andere verwerking van persoonsgegevens.

Boete

Voor zover bij de geraadpleegde bronnen kon worden vastgesteld, bevat de WGS zelf geen eigen boetebepaling die specifiek op deelnemende private partijen is gericht. Overtreding van de AVG-beginselen binnen een samenwerkingsverband kan wel via de gewone boetebevoegdheid van de Autoriteit Persoonsgegevens worden gesanctioneerd, tot het maximum van artikel 83, lid 5, AVG.

Hele dossier →

Deze richtlijn legt geen verplichting op aan bedrijven maar aan overheden: bestuursorganen, overheidsbedrijven en publiek gefinancierde onderzoeksinstellingen moeten documenten die zij al onder zich hebben, openstellen voor hergebruik door iedereen, in de regel kosteloos en in een machineleesbaar formaat. Voor een ondernemer is dit dus een kansdossier en geen verplichtingendossier: de vraag is niet wat je moet afstaan, maar welke overheidsdata je vrij mag gebruiken voor een eigen dienst of product. Nederland heeft de richtlijn omgezet in de Wet hergebruik van overheidsinformatie (Who), die iets anders regelt dan de Wet open overheid (Woo): de Woo bepaalt óf een document openbaar wordt, de Who bepaalt onder welke voorwaarden een al openbaar document mag worden hergebruikt. Op EU-niveau ligt er sinds de Digital Omnibus van 19 november 2025 een voorstel om de richtlijn in te trekken, maar dat voorstel is per 11 september 2026 nog niet aangenomen.

Waarvoor is dit bedoeld

Overheden en overheidsbedrijven genereren enorme hoeveelheden data — geodata, weerdata, statistieken, bedrijfsregisters, mobiliteitsdata — die commercieel bruikbaar zijn. De richtlijn wil die data openstellen voor hergebruik om innovatie en nieuwe producten en diensten te stimuleren, en bouwt voort op de eerdere PSI-richtlijn (2003/98/EG), waarvan zij volgens de considerans een herziening (‘recast’) is.

Voor wie

De verplichtingen liggen bij bestuursorganen, bij overheidsbedrijven die actief zijn in de sectoren van de nutsvoorzieningenrichtlijn (Richtlijn 2014/25/EU) — energie, water, vervoer, havens — en bij organisaties die publiek gefinancierd onderzoek verrichten, voor de onderzoeksdata die daaruit voortkomt (art. 1, art. 10). Voor het bedrijf dat wíl hergebruiken geldt geen enkele drempel: een startup van twee man mag net zo goed een verzoek doen als een beursgenoteerde onderneming.

Wat er niet onder valt

Uitgezonderd zijn onder meer documenten met een aan derden toebehorend intellectuele-eigendomsrecht, persoonsgegevens waarvan hergebruik onverenigbaar is met het doel van de oorspronkelijke verzameling, materiaal van publieke omroepen, en informatie van onderwijsinstellingen en van media-instellingen. Documenten die niet openbaar zijn of onder een uitzonderingsgrond van de Woo vallen, komen sowieso niet voor hergebruik in aanmerking: zonder openbaarheid geen hergebruik.

Wat je moet doen

Als bedrijf dat wil hergebruiken: een verzoek indienen bij het bestuursorgaan dat de data houdt. Dat orgaan beslist volgens de Who in beginsel binnen vier weken, met een eenmalige verdaging van twee weken bij een omvangrijk of ingewikkeld verzoek, en moet een afwijzing schriftelijk motiveren. Voor de aangewezen hoogwaardige datasets is zelfs geen verzoek nodig: die staan al open via API of bulkdownload.

Hoogwaardige datasets

Uitvoeringsverordening (EU) 2023/138 wijst zes categorieën aan: geografische data (bestuurlijke eenheden, adressen, kadastrale percelen), aardobservatie en milieu, meteorologische data, statistieken (onder meer productie, handel, bevolking, werkgelegenheid), bedrijven en bedrijfseigendom, en mobiliteit. Deze datasets moeten kosteloos beschikbaar zijn via API en bulkdownload, in machineleesbaar formaat en onder een licentie die niet restrictiever is dan Creative Commons BY 4.0, met online documentatie over structuur en betekenis van de data. De verordening is van toepassing sinds 9 juni 2024.

Kosten en vergoedingen

Uitgangspunt is kosteloze beschikbaarstelling; waar toch een vergoeding wordt gevraagd, is die in beginsel beperkt tot de marginale kosten van vermenigvuldiging en verstrekking (art. 6). Een overheidsorganisatie die substantiële eigen inkomsten uit haar documenten moet genereren om haar publieke taak te kunnen uitvoeren, mag een hogere vergoeding rekenen, met een redelijk rendement van ten hoogste vijf procentpunten boven de basisrente van de ECB. Voor de hoogwaardige datasets is elke vergoeding uitgesloten.

Geen exclusieve regelingen

Een overheidsorganisatie mag in beginsel geen exclusiviteit afspreken met één hergebruiker (art. 12): elke onderneming moet onder gelijke voorwaarden bij dezelfde data kunnen. Uitzonderingen bestaan voor digitaliseringsprojecten van cultureel erfgoed, met een looptijd van in beginsel ten hoogste tien jaar, en voor diensten van algemeen belang die zonder exclusiviteit niet te leveren zouden zijn; zulke regelingen moeten vooraf openbaar worden gemaakt.

Formaat en API

Documenten moeten, voor zover mogelijk, in een open en machineleesbaar formaat beschikbaar zijn, samen met de bijbehorende metadata (art. 5). Voor dynamische data — data die voortdurend of in real time wordt bijgewerkt — moet dat direct na verzameling via een API, tenzij dat een onevenredige inspanning zou vergen.

Verhouding tot de Woo

De Woo bepaalt of een document openbaar wordt; de Who bepaalt wat een aanvrager er daarna mee mag doen. Een document dat via de Woo openbaar is gemaakt, mag niet zonder meer commercieel worden hergebruikt als de Who daar aparte voorwaarden aan verbindt, en omgekeerd kan de Who een verplichting tot actieve, gestructureerde beschikbaarstelling opleggen die verder gaat dan de openbaarmaking uit eigen beweging die de Woo vraagt.

Nederlandse Who

De Wet hergebruik van overheidsinformatie is de Nederlandse omzetting en is voor het laatst gewijzigd per 21 november 2025, toen de Uitvoeringswet dataverordening haar aanpaste. De wet regelt de aanvraagprocedure, de uitzonderingsgronden en het kostenregime; data.overheid.nl is de nationale opendatacatalogus waarin overheden hun datasets registreren.

Rechtsbescherming

Tegen een afwijzing, een te lage datakwaliteit of een te hoge vergoeding bestaat geen aparte klachtprocedure bij een boetebevoegd orgaan; de route loopt via het gewone bestuursrecht, met bezwaar bij het bestuursorgaan en beroep bij de bestuursrechter. Een dwangsomregeling bij een te laat besluit is op de Who niet zonder meer van toepassing.

Digital Omnibus

De Europese Commissie heeft in het pakket van 19 november 2025 (COM(2025) 837) voorgesteld de richtlijn in te trekken en de functie ervan onder te brengen in een nieuw hoofdstuk van de Dataverordening. Het voorstel ligt bij de commissies ITRE en LIBE van het Europees Parlement en stond per 11 september 2026 nog op ‘awaiting committee decision’: geen commissiestemming, dus geen standpunt in eerste lezing.

Toezicht NL

Er is geen zelfstandige toezichthouder met sanctiebevoegdheid voor de Who. Geschillen over een individueel verzoek lopen via bezwaar en beroep bij de bestuursrechter; voor de algemene uitvoering en de aansluiting op data.overheid.nl ligt de coördinerende rol bij het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Boete

De richtlijn en de Who kennen geen boetestelsel — de verplichtingen liggen immers bij overheidsorganisaties, niet bij bedrijven. Naleving wordt afgedwongen langs bestuursrechtelijke weg: een bedrijf dat vindt dat een overheidsorgaan ten onrechte weigert, te lang wacht of te veel rekent, moet dat aanvechten met bezwaar en beroep. Een boete of dwangsom tegen het bestuursorgaan zelf bestaat in dit kader niet.

Hele dossier →

Dit is het adequaatheidsbesluit waarmee persoonsgegevens naar de Verenigde Staten mogen zonder aanvullende waarborgen. Het geldt niet voor de Verenigde Staten als land, maar uitsluitend voor Amerikaanse organisaties die zich zelf hebben gecertificeerd en op de lijst van het Data Privacy Framework staan. Wie met een leverancier werkt die daar niet op staat, valt terug op modelcontractbepalingen en een eigen beoordeling van het rechtsstelsel in het ontvangende land. Het verschil met die contractroute is precies dat een adequaatheidsbesluit die beoordeling overneemt: bij een gecertificeerde ontvanger hoeft een bedrijf zelf geen afweging meer te maken.

Waarvoor is dit bedoeld

Na het arrest Schrems II van 16 juli 2020 (C-311/18), waarin het Hof van Justitie het Privacy Shield ongeldig verklaarde, ontbrak een eenvoudige route naar de Verenigde Staten. De Amerikaanse regering nam daarop Executive Order 14086 van 7 oktober 2022 aan, die de signals intelligence aan noodzakelijkheids- en evenredigheidsgrenzen bindt en een Data Protection Review Court instelt waar Europeanen verhaal kunnen halen. Op die basis oordeelde de Commissie dat het beschermingsniveau bij deelnemende organisaties in grote lijnen gelijkwaardig is.

Voor wie

Iedere verwerkingsverantwoordelijke en verwerker in de EU die persoonsgegevens naar de Verenigde Staten stuurt of daar toegankelijk maakt. Er is geen drempel naar omvang of omzet: een mkb-bedrijf met dertig medewerkers dat een Amerikaanse clouddienst, e-maildienst, CRM-pakket, salarissysteem, helpdesk of analysedienst gebruikt, doet een doorgifte en heeft daarvoor een grondslag nodig. Ook het enkel toegang geven vanuit de Verenigde Staten tot gegevens die in Europa staan, telt als doorgifte.

Wat er niet onder valt

Het besluit dekt alleen Amerikaanse organisaties die actief gecertificeerd zijn, en alleen de gegevenscategorieën die zij in hun certificering hebben opgegeven — personeelsgegevens moeten daar afzonderlijk in staan. Certificeren kan bovendien alleen wie onder de jurisdictie van de Federal Trade Commission of het ministerie van Vervoer valt; dat sluit onder meer banken, verzekeraars, telecomaanbieders en veel organisaties zonder winstoogmerk uit. Het besluit zegt niets over doorgifte naar andere derde landen en verandert niets aan de overige verplichtingen uit de AVG.

Wat je moet doen

De doorgifte rust op artikel 45 AVG. Dat vergt vaststellen dat de ontvangende organisatie op de lijst van het Data Privacy Framework staat met de status actief, dat haar certificering de betrokken gegevenssoort dekt, en dat de doorgiftegrondslag in het verwerkingsregister en in de privacyverklaring is vastgelegd. Verdwijnt een leverancier van de lijst, dan vervalt de grondslag en is een andere nodig. Voor wat de Amerikaanse partij op haar beurt doorgeeft aan haar eigen onderaannemers gelden aparte voorwaarden uit het kader.

Hoe de certificering werkt

Het Amerikaanse ministerie van Handel beheert het kader en de lijst. Een organisatie geeft bij aanmelding onder meer op welke doeleinden zij nastreeft, welke persoonsgegevens het betreft, welke verificatiemethode zij hanteert, welk geschillenmechanisme geldt en welke Amerikaanse toezichthouder bevoegd is. Zij moet jaarlijks hercertificeren en bevestigen dat zij de beginselen onderschrijft. Het ministerie houdt ook een bestand bij van organisaties die van de lijst zijn gehaald, met de reden daarvan.

De lijst is het controlepunt

Omdat het besluit aan de individuele certificering hangt en niet aan het land, is de publieke lijst het enige betrouwbare controlemiddel. Een leverancier die in zijn voorwaarden naar het Data Privacy Framework verwijst maar niet op de lijst staat met de status actief, biedt geen geldige grondslag. De Commissie beval in haar evaluatie juist op dit punt strenger toezicht aan, omdat organisaties ten onrechte deelname claimen.

Als een leverancier zich terugtrekt

Bij vrijwillige terugtrekking of bij het niet halen van de jaarlijkse hercertificering moet de Amerikaanse organisatie de persoonsgegevens wissen of teruggeven. Zij mag ze alleen houden als zij jaarlijks aan het ministerie bevestigt dat zij de beginselen blijft naleven, of als zij op een andere goedgekeurde manier bescherming biedt, zoals modelcontractbepalingen.

Als de leverancier niet gecertificeerd is

Dan is er geen adequaatheidsbesluit en loopt de doorgifte via artikel 46 AVG. In de praktijk zijn dat de modelcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914 van 4 juni 2021, vastgesteld op grond van artikel 46, lid 2, onder c, AVG. Die contractbepalingen zijn op zichzelf niet genoeg: uit Schrems II volgt dat de exporteur moet beoordelen of het recht en de praktijk in het ontvangende land de contractuele bescherming ondergraven, en zo nodig aanvullende technische of organisatorische maatregelen moet treffen. Die beoordeling is wat in de praktijk een transfer impact assessment heet.

Personeelsgegevens en doorgifte aan derden

Voor personeelsgegevens gelden binnen het kader eigen regels, en een organisatie moet die categorie uitdrukkelijk in haar certificering hebben opgenomen. De Commissie beval in haar eerste evaluatie aan dat de Europese en Amerikaanse autoriteiten juist over personeelsgegevens en over verdere doorgifte aan derden gezamenlijke uitleg zouden opstellen, omdat daarover in de praktijk onduidelijkheid bestaat.

De rechtszaak tegen het besluit

Het Gerecht van de Europese Unie deed op 3 september 2025 uitspraak in zaak T-553/23, Latombe tegen Commissie, in uitgebreide samenstelling van de Tiende kamer. Het beroep is in zijn geheel verworpen. Het Gerecht oordeelde dat het Data Protection Review Court voldoet aan artikel 47 van het Handvest: de rechters kunnen niet dan om gegronde reden worden ontslagen, het hof toetst zelfstandig en is niet gebonden aan het oordeel van de Civil Liberties Protection Officer. Dat het bij besluit van de Attorney General is ingesteld en niet bij wet van het Congres, achtte het Gerecht niet doorslaggevend. Over bulkverzameling oordeelde het dat Executive Order 14086 voldoende waarborgen bevat en dat voorafgaande rechterlijke toestemming niet is vereist — rechterlijke toetsing wel.

Wat de evaluatie opleverde

De Commissie publiceerde op 9 oktober 2024 haar verslag over de eerste periodieke evaluatie van het adequaatheidsbesluit. Conclusie was dat de Amerikaanse autoriteiten de vereiste structuren en procedures hebben opgezet. De aanbevelingen: het ministerie van Handel moet zijn controlemiddelen intensiever gebruiken om overtredingen en valse deelnameclaims op te sporen, de Federal Trade Commission moet actiever uit eigen beweging handhaven, en beide zijden moeten gezamenlijke richtsnoeren opstellen. De volgende evaluatie voorziet de Commissie na drie jaar, mede in afwachting van rapporten over de uitvoering van Executive Order 14086 en van mogelijke wijzigingen van sectie 702 van de Foreign Intelligence Surveillance Act.

Wat het Europees Parlement vond

Het Parlement nam op 11 mei 2023 een resolutie aan over de vraag of het toen voorliggende kader een passend beschermingsniveau bood (T9-0204/2023, rapporteur López Aguilar namens de commissie LIBE). Het Parlement drong er bij de Commissie op aan het adequaatheidsbesluit niet vast te stellen zolang de Amerikaanse waarborgen niet daadwerkelijk op orde waren. De Commissie stelde het besluit twee maanden later toch vast.

Hoe stevig het besluit staat

Het besluit is in werking en door de rechter in eerste aanleg overeind gelaten. Tegelijk is het naar zijn aard herroepbaar: de Commissie houdt de ontwikkelingen in de Verenigde Staten voortdurend in de gaten en kan het besluit opschorten, wijzigen of intrekken wanneer het beschermingsniveau niet langer toereikend is, en het Hof van Justitie kan het alsnog ongeldig verklaren. Die combinatie is de reden dat veel organisaties naast de certificering van hun leverancier ook modelcontractbepalingen in het contract laten opnemen.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op de doorgifte door Nederlandse organisaties en kan een doorgifte opschorten of verbieden. Aan Amerikaanse zijde handhaven de Federal Trade Commission en het ministerie van Vervoer de beginselen; het ministerie van Handel beheert de certificering. Een betrokkene in Nederland kan zich met een klacht over Amerikaanse overheidstoegang tot de AP wenden, die de klacht doorgeleidt naar het Amerikaanse verhaalsmechanisme.

Boete

Doorgifte zonder geldige grondslag valt onder artikel 83, lid 5, AVG: tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt.

Hele dossier →

FIDA is het voorstel om de klant-gestuurde datadeling die de betaaldiensten al kennen onder de tweede betaaldienstenrichtlijn (PSD2, open banking) uit te breiden naar de rest van de financiële sector: spaargeld, beleggingen, verzekeringen, hypotheken en pensioenen. Klanten zouden hun financiële dienstverleners kunnen toestaan gegevens te delen met andere, vergunninghoudende partijen, die daarop nieuwe producten kunnen bouwen. Voor gegevenshouders zoals banken en verzekeraars betekent dit een nieuwe ontsluitingsplicht; voor fintechs een gereguleerde toegangsroute in plaats van de huidige praktijk van losse contracten of schermscraping. Het voorstel bevindt zich sinds eind 2024 in de triloogfase tussen Raad, Parlement en Commissie en is per 11 september 2026 niet afgerond.

Waarvoor is dit bedoeld

Open banking onder PSD2 liet zien dat gereguleerde toegang tot klantgegevens, met diens toestemming, nieuwe dienstverlening mogelijk maakt. FIDA wil hetzelfde principe toepassen op andere financiële producten dan betaalrekeningen, via gestandaardiseerde technische interfaces in plaats van de ongereguleerde datadeling die daarbuiten vaak nog gangbaar is.

Voor wie

Gegevenshouders — banken, verzekeraars, beleggingsondernemingen, pensioenuitvoerders en andere financiële instellingen die klantgegevens onder zich hebben — en gegevensgebruikers die met toestemming van de klant toegang willen tot die gegevens om nieuwe diensten aan te bieden. Het voorstel kent geen algemene omzet- of personeelsdrempel per bedrijfsgrootte.

Wat er niet onder valt

Betaalrekeninggegevens die al onder PSD2 en zijn opvolgers vallen, blijven hun eigen regime houden en worden door dit voorstel niet dubbel gereguleerd. Gezondheidsgegevens en andere niet-financiële gegevens vallen buiten het voorstel.

Wat je moet doen

Voor Nederlandse financiële instellingen en fintechs is er nog niets verplicht: het is een voorstel, geen geldend recht. Wat wel te overwegen valt, is de eigen data-architectuur en API-strategie tijdig voor te bereiden op een verplichting tot gestandaardiseerde toegang, gezien de richting van de onderhandelingen.

Financial data sharing schemes

Het voorstel verplicht gegevenshouders en -gebruikers zich te organiseren in gezamenlijke schema’s die technische standaarden, aansprakelijkheid en de vergoeding voor datatoegang regelen — een vorm van zelfregulering onder toezicht, bedoeld om een probleem te voorkomen dat bij de invoering van PSD2 wél speelde: het ontbreken van zulke gezamenlijke afspraken vooraf.

Vergoeding voor datahouders

Anders dan bij PSD2, waar toegang tot betaalrekeninggegevens in beginsel kosteloos is, voorziet het FIDA-voorstel in een vergoeding die gegevenshouders aan gegevensgebruikers mogen vragen voor het beschikbaar stellen van data — een van de politiek gevoeligste punten in de onderhandelingen tussen de sector en consumentenorganisaties.

Stand bij het Europees Parlement

De commissie Economische en Monetaire Zaken (ECON) nam op 30 april 2024 haar verslag aan (A9-0183/2024), met Johan Van Overtveldt als rapporteur. Op 18 december 2024 bevestigde de voltallige vergadering het besluit om op basis van dat verslag interinstitutionele onderhandelingen te beginnen, zonder dat daarmee al een formeel standpunt in eerste lezing is vastgesteld.

Trilogen

Sinds december 2024 onderhandelen Raad, Parlement en Commissie over een compromistekst. Een afgerond triloogakkoord was per 11 september 2026 niet met een gecontroleerde bron vast te stellen; van uitstel of formele intrekking van het voorstel is evenmin een bevestiging gevonden.

Wat het voor de sector zou betekenen

Voor gevestigde partijen zoals grootbanken en verzekeraars een verplichting om te investeren in nieuwe toegangsinterfaces en governance; voor fintechs en data-gedreven dienstverleners een voorspelbare, gereguleerde toegangsroute tot gegevens waarvoor zij nu vaak zijn aangewezen op de klant zelf of op technisch kwetsbaardere methoden.

Toezicht NL

Bij eventuele aanname zou het toezicht naar verwachting bij de bestaande financiële toezichthouders komen te liggen — de AFM voor gedragstoezicht, DNB voor prudentieel toezicht — maar een Nederlandse uitvoeringswet bestaat nog niet, omdat het voorstel zelf nog niet is aangenomen.

Boete

Er is nog geen boeteregime: dat volgt pas uit de uiteindelijke verordening. Welk deel van de sanctionering op EU-niveau wordt vastgelegd en welk deel aan de lidstaten wordt overgelaten — zoals bij vergelijkbare verordeningen gebruikelijk is — is nog onderwerp van de triloogonderhandelingen.

Hele dossier →

Deze verordening is het equivalent van de AVG voor de EU-instellingen, -organen, -bureaus en -agentschappen zelf: de Europese Commissie, het Europees Parlement, Europol en tientallen andere EU-lichamen verwerken hun eigen persoonsgegevens onder dit regime, met de Europese Toezichthouder voor gegevensbescherming (EDPS) als toezichthouder in plaats van de Autoriteit Persoonsgegevens. Voor een Nederlandse onderneming is dit vrijwel nooit een eigen verplichtingendossier: het wordt pas relevant zodra zij zelf gegevens verwerkt namens of voor een EU-instelling, bijvoorbeeld als ICT-leverancier, onderzoekspartner of subsidieontvanger, en dan werkt het door via het contract met die instelling. Anders dan de AVG kent deze verordening geen geldboete: de EDPS kan een EU-instelling corrigerende maatregelen opleggen, maar geen boete zoals de Autoriteit Persoonsgegevens dat bij een bedrijf kan.

Waarvoor is dit bedoeld

EU-instellingen verwerken zelf grote hoeveelheden persoonsgegevens — van eigen personeel, subsidieontvangers, deelnemers aan onderzoeksprogramma’s en correspondenten met burgers. Deze verordening zorgt ervoor dat zij daarbij aan normen worden gehouden die gelijkwaardig zijn aan de AVG, en moet volgens de considerans homogeen met de AVG worden uitgelegd.

Voor wie

Alle instellingen, organen, bureaus en agentschappen van de Unie, met uitzondering van het Hof van Justitie voor zover het als rechtsprekende instantie optreedt. Voor bedrijven geldt geen drempel, omdat de verplichtingen niet bij bedrijven liggen: relevant wordt de verordening pas via een contractuele relatie met zo’n instelling.

Wat er niet onder valt

Gegevensverwerking door de lidstaten zelf blijft onder de AVG vallen, ook als die verwerking samenhangt met EU-beleid. Wat een Nederlands bedrijf voor eigen doeleinden of voor een Nederlandse overheidsinstantie aan persoonsgegevens verwerkt, valt dus nooit onder deze verordening, hoe Europees het onderwerp ook is.

Wat je moet doen als leverancier

Schakelt een EU-instelling je in als verwerker, dan verlangt artikel 28 een overeenkomst of andere rechtshandeling naar Unierecht die onderwerp, duur, aard en doel van de verwerking en het soort gegevens en categorieën betrokkenen vastlegt — vergelijkbaar met, maar juridisch niet identiek aan, de verwerkersovereenkomst onder de AVG. Een leverancier met zowel private als EU-institutionele klanten moet dus twee regimes naast elkaar kunnen bedienen.

Doorgifte buiten de instellingen

Geeft een EU-instelling gegevens door aan een ontvanger buiten de instellingen — een lidstaat, een derde land, een internationale organisatie — dan moet dat volgens de artikelen 40 tot en met 43 op een adequaatheidsbesluit of op passende waarborgen berusten, in lijn met hoe de AVG doorgifte naar derde landen regelt.

Functionaris voor gegevensbescherming

Elke EU-instelling moet een functionaris voor gegevensbescherming aanwijzen die onafhankelijk toeziet op de naleving binnen die instelling (art. 37) — het institutionele equivalent van de functionaris gegevensbescherming onder de AVG.

Melding van datalekken

Een inbreuk in verband met persoonsgegevens moet zonder onnodige vertraging en waar mogelijk niet later dan 72 uur nadat de instelling er kennis van heeft gekregen, worden gemeld bij de EDPS (art. 33) — dezelfde termijn als onder de AVG.

Rol van de EDPS

De Europese Toezichthouder voor gegevensbescherming behandelt klachten, doet onderzoek, adviseert over voorgenomen EU-wetgeving die persoonsgegevens raakt, en kan corrigerende maatregelen opleggen: een waarschuwing, een berisping, een bevel tot naleving, en een tijdelijke of definitieve beperking van de verwerking inclusief een verwerkingsverbod.

Praktische betekenis voor bedrijven

Wie als ICT-leverancier, als partner in een Horizon Europe-onderzoeksconsortium, of als subsidieontvanger persoonsgegevens verwerkt namens een EU-instelling, moet in het contract met die instelling de eisen van deze verordening naleven; de instelling zelf blijft verwerkingsverantwoordelijke en draagt de uiteindelijke verantwoordelijkheid tegenover de EDPS.

Toezicht NL

Geen. De Autoriteit Persoonsgegevens heeft over verwerking door de EU-instellingen zelf geen bevoegdheid; die ligt exclusief bij de EDPS.

Boete

Deze verordening bevat geen bevoegdheid voor de EDPS om een geldboete op te leggen aan een EU-instelling — anders dan de Autoriteit Persoonsgegevens onder de AVG bij een bedrijf. Naleving wordt afgedwongen met bindende corrigerende maatregelen en, in het uiterste geval, met een procedure bij het Hof van Justitie; een EU-instelling zichzelf een boete uit eigen begroting laten betalen, heeft de wetgever niet als zinvol instrument gekozen.

Hele dossier →

Deze verordening verbiedt lidstaten om bedrijven te dwingen hun niet-persoonsgebonden data binnen de eigen landsgrenzen op te slaan of te verwerken, behalve wanneer dat om redenen van openbare veiligheid gerechtvaardigd en evenredig is. Voor een onderneming die cloudopslag buiten Nederland gebruikt — een datacenter in Ierland of Frankfurt bijvoorbeeld — betekent dit dat de overheid dat in beginsel niet mag verbieden of ontmoedigen. Het is het spiegelbeeld van het vrije verkeer van persoonsgegevens onder de AVG en dus uitdrukkelijk beperkt tot data die geen persoonsgegevens zijn. Sinds de Dataverordening op 12 september 2025 van toepassing werd, is het overstappen tussen clouddiensten — waarover deze verordening alleen vrijblijvende gedragscodes gaf — wettelijk en verplicht geregeld, wat de Europese Commissie ertoe heeft gebracht in de Digital Omnibus voor te stellen deze verordening in te trekken.

Waarvoor is dit bedoeld

Lidstaten hanteerden regelmatig wettelijke of bestuurlijke eisen dat bepaalde bedrijfsdata alleen binnen het eigen land opgeslagen of verwerkt mocht worden, wat de interne markt voor cloud- en dataverwerkingsdiensten fragmenteerde. De verordening verbiedt zulke gegevenslokalisatievereisten, tenzij zij evenredig zijn en gerechtvaardigd door redenen van openbare veiligheid (art. 4).

Voor wie

Natuurlijke en rechtspersonen die niet-persoonsgebonden data verwerken of laten verwerken binnen de Unie, en aanbieders van dataverwerkingsdiensten zoals cloud en hosting. Er is geen omzet- of personeelsdrempel: het verbod werkt richting de lidstaten en beschermt daarmee elk bedrijf, van eenmanszaak tot multinational, dat met zo’n eis te maken zou krijgen.

Wat er niet onder valt

Persoonsgegevens vallen buiten deze verordening; daarvoor geldt het vrije verkeer onder de AVG. Bij een dataset die deels persoonsgegevens en deels niet-persoonsgebonden gegevens bevat, geldt voor het persoonsgegevensdeel de AVG en voor de rest deze verordening. Ook lokalisatie-eisen die wél aantoonbaar evenredig en gerechtvaardigd zijn door openbare veiligheid, vallen buiten het verbod.

Wat je moet doen

Als bedrijf hoef je zelf niets te doen: het is een verbodsbepaling gericht tot lidstaten, niet een verplichting voor ondernemingen. Stelt een overheid, aanbesteding of sectorale regel toch een datalokalisatie-eis, dan kan een bedrijf zich op de verordening beroepen en terecht bij het centrale contactpunt dat elke lidstaat moet aanwijzen (art. 7).

Toegang voor toezichthouders blijft gewaarborgd

Artikel 5 bepaalt dat bevoegde autoriteiten toegang tot data mogen blijven vragen en krijgen voor de uitvoering van hun taken, ongeacht in welke lidstaat de data wordt verwerkt; toegang mag niet worden geweigerd enkel omdat de gegevens in een andere lidstaat staan.

Gedragscodes voor overstappen

Artikel 6 verplichtte de Commissie zelfregulerende gedragscodes voor het overstappen tussen cloud- en dataverwerkingsdiensten te stimuleren, met beste praktijken, minimale informatie-eisen voor aanbieders en certificeringsregelingen. De ontwikkeling moest uiterlijk op 29 november 2019 klaar zijn, de doeltreffende invoering uiterlijk op 29 mei 2020 — de basis van wat in de praktijk de SWIPO-gedragscodes werd genoemd.

Wat de Dataverordening eraan verandert

Sinds 12 september 2025 regelt hoofdstuk VI van de Dataverordening het overstappen tussen dataverwerkingsdiensten wettelijk bindend: een maximale overstaptermijn, en vanaf 12 januari 2027 een volledig verbod op overstapkosten. Daarmee is de vrijblijvende gedragscode van deze verordening in de praktijk grotendeels ingehaald door dwingend recht.

Nationaal contactpunt

Elke lidstaat wijst volgens artikel 7 een centraal contactpunt aan dat communiceert met de contactpunten van andere lidstaten en met de Commissie over de toepassing van de verordening en over gemelde gegevenslokalisatievereisten.

Digital Omnibus

De Digital Omnibus van 19 november 2025 (COM(2025) 837) zet deze verordening op de lijst van vier in te trekken instrumenten, met als reden dat haar functie grotendeels is overgenomen door de Dataverordening. Het voorstel ligt bij de commissies ITRE en LIBE van het Europees Parlement en stond per 11 september 2026 nog op ‘awaiting committee decision’.

Toezicht NL

Er is in Nederland geen aparte toezichthouder voor deze verordening aangewezen. Een geschil over een datalokalisatie-eis loopt via het nationale contactpunt en, in laatste instantie, via de gewone rechter of via een inbreukprocedure van de Commissie tegen de lidstaat die de eis stelt.

Boete

De verordening bevat geen boetebepaling gericht tot ondernemingen: zij verbiedt iets aan lidstaten, niet aan bedrijven. Handhaving tegen een lidstaat die toch een ongerechtvaardigde lokalisatie-eis handhaaft, loopt via het gewone Unierechtelijke instrumentarium — in het uiterste geval een inbreukprocedure van de Commissie bij het Hof van Justitie — en niet via een boete aan een onderneming.

Hele dossier →

De Cyberbeveiligingswet is sinds 15 augustus 2026 de Nederlandse uitvoering van de Europese NIS2-richtlijn en verving op die datum de Wet beveiliging netwerk- en informatiesystemen. Zij verplicht organisaties in de sectoren die in bijlage 1 en bijlage 2 van de wet staan om zich te registreren, hun digitale risico’s aantoonbaar te beheersen en ernstige incidenten binnen 24 uur te melden, met het bestuur als eindverantwoordelijke. Of een organisatie eronder valt hangt af van twee vragen tegelijk: staat de sector op de lijst, en is het bedrijf groot genoeg. Anders dan de Cyber Resilience Act, die eisen stelt aan de producten die je verkoopt, stelt de Cyberbeveiligingswet eisen aan de manier waarop je eigen organisatie is beveiligd.

Waarvoor is dit bedoeld

Onder de vorige richtlijn verschilde het per lidstaat wie er onder de cyberregels viel en wat die regels inhielden. NIS2 legt voor een vaste lijst sectoren één basisniveau vast: risicobeheersing, incidentmelding en verantwoordelijkheid bij de leiding van de organisatie. De Cyberbeveiligingswet zet die richtlijn om in Nederlands recht. Het NCSC schat dat ruim achtduizend Nederlandse organisaties eronder vallen.

Voor wie

Sector en omvang moeten allebei kloppen. De sector moet in bijlage 1 of bijlage 2 van de wet staan; de doorverwijsboom van de NCTV noemt onder meer digitale infrastructuur, energie, vervoer (lucht, spoor, water en weg), drinkwater, afvalwater, bankwezen en financiële markten, beheer van ICT-diensten, gezondheidszorg, ruimtevaart, chemie, levensmiddelen, afvalstoffenbeheer, post- en koeriersdiensten, digitale aanbieders, onderzoek, vervaardiging, overheid, hoger onderwijs, meteorologie en nucleair. De omvangdrempel komt uit Aanbeveling 2003/361/EG van de Europese Commissie over de definitie van kleine, middelgrote en micro-ondernemingen. Volgens het NCSC valt een organisatie eronder bij vijftig of meer medewerkers in fte, of bij minder dan vijftig medewerkers als zowel de jaaromzet als het balanstotaal boven tien miljoen euro liggen. Verbonden ondernemingen en partnerondernemingen tellen mee bij die berekening; hoofdstuk 3 van de wet bepaalt dat artikel 3, vierde lid, van de Aanbeveling niet van toepassing is.

Wat er niet onder valt

Een bedrijf dat kleiner is dan de drempel valt er in beginsel buiten, ook als de sector wel op de lijst staat — behalve in de categorieën die ongeacht omvang meetellen. Verder blijven Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie en de politie buiten de wet, behalve waar zij vertrouwensdiensten verlenen, en zijn rootnaamservers uitgezonderd. Financiële entiteiten die onder Verordening (EU) 2022/2554 (DORA) vallen, volgen DORA in plaats van de Cyberbeveiligingswet. Leveranciers vallen niet automatisch onder de wet doordat zij leveren aan een organisatie die er wel onder valt.

Wat je moet doen

Zelf vaststellen of je eronder valt: er komt geen brief van de overheid. Daarna registreren in het Nationaal Entiteitenregister via MijnNCSC, een risicoanalyse maken en op basis daarvan passende en evenredige maatregelen nemen, significante incidenten melden bij het CSIRT en de toezichthouder, en het bestuur de maatregelen laten goedkeuren en op de uitvoering laten toezien. Voor de eerste stap verwijzen de RDI en het NCSC naar de NIS2-zelfevaluatie en de NIS2-quickscan op regelhulpenvoorbedrijven.nl.

Ongeacht de omvang

Een aantal categorieën valt er altijd onder, hoe klein ook: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, aanbieders van domeinnaamregistratiediensten en overheidsorganisaties.

Essentieel of belangrijk

Artikel 8 wijst een groep entiteiten van rechtswege aan als essentiële entiteit: gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten vanaf de omvang van een middelgrote onderneming, de ministeries, provincies, gemeenten en waterschappen, kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten, en de overige entiteiten uit bijlage 1 die de drempel voor middelgrote ondernemingen overschrijden. Artikel 12 maakt belangrijke entiteit van wat overblijft: middelgrote entiteiten uit bijlage 1 die niet essentieel zijn, entiteiten uit bijlage 2 vanaf middelgroot, en kleine of micro-ondernemingen die elektronische communicatie- of vertrouwensdiensten leveren. Op grond van artikel 9 kan een minister een entiteit alsnog als essentieel aanwijzen, bijvoorbeeld omdat zij de enige aanbieder van een dienst in Nederland is of omdat uitval de openbare veiligheid raakt. Artikel 13 maakt het mogelijk instellingen voor hoger onderwijs als belangrijke entiteit aan te wijzen. Het onderscheid raakt niet de verplichtingen — registratie, zorgplicht en meldplicht zijn voor beide groepen gelijk — maar het toezicht: essentiële entiteiten staan onder proactief toezicht, waarbij de naleving actief wordt gecontroleerd, ook zonder incident of signaal, terwijl de toezichthouder bij belangrijke entiteiten reactief optreedt, na een incident of bij aanwijzingen van niet-naleving.

Registratieplicht

Hoofdstuk 10 van de wet, de artikelen 43 tot en met 46, regelt het nationale register van essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Registreren gaat via MijnNCSC met eHerkenning op betrouwbaarheidsniveau EH2+ of met SSOnRijk, gekoppeld aan het KvK-nummer. Gevraagd worden organisatie- en contactgegevens plus netwerkgegevens: publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers. Wijzigingen moeten binnen veertien dagen worden doorgegeven. De RDI schrijft dat organisaties zich zo snel mogelijk moeten inschrijven; een wettelijke registratietermijn is niet gepubliceerd.

Zorgplicht: tien categorieën

De wet schrijft geen concrete techniek voor, maar tien categorieën maatregelen die je op basis van je eigen risicoanalyse invult: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, beveiliging bij aanschaf en onderhoud van systemen inclusief kwetsbaarheden- en patchbeheer, beleid om de doeltreffendheid van maatregelen te beoordelen, basale cyberhygiëne en opleiding, cryptografie en versleuteling, personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen, en multifactorauthenticatie en beveiligde communicatie. Het Cyberbeveiligingsbesluit (BWBR0052875) werkt deze categorieën uit in de artikelen 5 tot en met 18; artikel 6 eist vastgesteld en aantoonbaar toegepast beveiligingsbeleid.

Als je klant er wél onder valt

Dit is de route waarlangs de wet ook bedrijven bereikt die er zelf buiten vallen. Artikel 10 van het Cyberbeveiligingsbesluit verplicht entiteiten tot vastgesteld beleid over hun omgang met afhankelijkheden van producten en diensten van leveranciers, en tot periodieke controle of directe leveranciers voldoen aan de beveiligingseisen die de entiteit stelt. Het is de Nederlandse uitwerking van de maatregelen van artikel 21, lid 2, van de NIS2-richtlijn. Volgens de NCTV vallen leveranciers daardoor niet zelf onder de wet, maar krijgen zij wel vaker informatieverzoeken en risicobeoordelingen over zich heen en nieuwe contractuele eisen over beveiligingsmaatregelen, incidentmelding, omgang met kwetsbaarheden en continuïteit.

Meldplicht en termijnen

Significante incidenten — incidenten die de dienstverlening ernstig verstoren, financiële schade veroorzaken of andere organisaties raken — gaan in drie stappen via het meldportaal op MijnNCSC, waar zowel het CSIRT als de toezichthouder ze ontvangt. Binnen 24 uur een vroegtijdige waarschuwing met de vraag of het incident kwaadaardig lijkt en grensoverschrijdende gevolgen heeft. Binnen 72 uur de melding zelf, met een eerste ernstbeoordeling en, als die er zijn, indicatoren van compromittering. Binnen een maand het eindrapport. Duurt het incident langer dan een maand, dan volgt op dat moment een voortgangsrapport en het eindrapport binnen een maand na afronding. Verleners van vertrouwensdiensten hebben voor de tweede stap 24 uur in plaats van 72. Het CSIRT reageert binnen 24 uur met advies of technische ondersteuning. Wat per sector als significant geldt, wordt bij ministeriële regeling ingevuld.

Bestuur: goedkeuren, toezien, scholen

Cyberbeveiliging is nadrukkelijk belegd bij het bestuur: dat moet de maatregelen goedkeuren, op de uitvoering toezien en voldoende kennis hebben om de risico’s te beoordelen. De scholingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten; toezichthoudende en niet-uitvoerende bestuurders, zoals commissarissen, vallen er volgens de NCTV buiten. Uitvoerende bestuurders moeten uiterlijk twee jaar na inwerkingtreding van de wet over de vereiste kennis en vaardigheden beschikken — dus uiterlijk 15 augustus 2028 — en die aantoonbaar actueel houden. De handhaving van de bestuursverplichtingen van artikel 24, tweede tot en met zesde lid, is apart geregeld in paragraaf 15.5 van de wet, de artikelen 92 en 93.

Verhouding tot andere regels

Voor digitale aanbieders is de zorgplicht niet door Nederland maar door Brussel ingevuld: artikel 4 van het Cyberbeveiligingsbesluit stelt DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputing-, datacentrum- en CDN-diensten, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, onlinezoekmachines, socialenetwerkplatforms en verleners van vertrouwensdiensten vrij van de artikelen 6 tot en met 18 van dat besluit, omdat voor hen Uitvoeringsverordening (EU) 2024/2690 rechtstreeks geldt. Financiële entiteiten volgen DORA. Kritieke entiteiten die onder de Wet weerbaarheid kritieke entiteiten worden aangewezen, zijn van rechtswege essentiële entiteit onder deze wet. Voor de sector overheid vult BIO2 de zorgplicht in.

Hoe het er in de praktijk voor staat

De NIS2-zelfevaluatie op regelhulpenvoorbedrijven.nl werd volgens de RDI 22.800 keer geraadpleegd; van de organisaties die hem invulden viel 58 procent onder de NIS2-regels. De aanvullende NIS2-quickscan werd tussen februari 2024 en september 2025 3.389 keer anoniem ingevuld, het vaakst door organisaties in beheer van ICT-diensten (1.480), overheid (1.025), digitale infrastructuur (829), energie (459), digitale aanbieders (402), vervaardiging (356), onderzoek (210) en post- en koeriersdiensten (102).

Toezicht NL

Er is geen centrale toezichthouder; elke sector heeft een eigen vakdepartement, een CSIRT en een toezichthouder, samengevat in de doorverwijsboom van de NCTV. De Rijksinspectie Digitale Infrastructuur houdt toezicht op onder meer digitale infrastructuur, beheer van ICT-diensten, digitale aanbieders, energie, ruimtevaart, post- en koeriersdiensten, vervaardiging, onderzoek en de overheid; de Inspectie Leefomgeving en Transport op vervoer, drinkwater, afvalwater en meteorologie; De Nederlandsche Bank en de AFM op het bankwezen en de financiële marktinfrastructuur; de NVWA op levensmiddelen; de ANVS op nucleair; en de IGJ op de gezondheidszorg. Het NCSC is voor de meeste sectoren het CSIRT en het meldpunt, en is uitdrukkelijk géén toezichthouder; voor de zorg vervult Z-CERT die rol.

Boete

Hoofdstuk 15 van de wet, Handhaving, loopt van artikel 68 tot en met artikel 93 en is per doelgroep opgesplitst: paragraaf 15.2 (artikelen 70 tot en met 80) voor essentiële entiteiten, paragraaf 15.3 (81 tot en met 87) voor belangrijke entiteiten, paragraaf 15.4 (88 tot en met 91) voor entiteiten die domeinnaamregistratiediensten verlenen en paragraaf 15.5 (92 en 93) voor de bestuursverplichtingen van artikel 24. De RDI noemt als instrumenten voorlichting en waarschuwing, een aanwijzing of opdracht om maatregelen te treffen, audits, een last onder dwangsom of bestuursdwang en een bestuurlijke boete. De exacte maximumbedragen staan in dat hoofdstuk; zie de onzekerheden.

Eerstvolgende datum: 15 aug 2028 · nog 2 jaar — Uiterste datum waarop uitvoerende bestuurders over de vereiste kennis beschikken

Hele dossier →

De Wwke is de tweelingwet van de Cyberbeveiligingswet en voert de Europese CER-richtlijn uit. Waar de Cbw gaat over digitale dreigingen, gaat de Wwke over al het andere dat een essentiële dienst kan platleggen: brand, overstroming, stroomuitval, sabotage, terrorisme, criminaliteit en uitval van personeel. Het verschil in werking is groot: onder de Cbw stel je zelf vast of je eronder valt, onder de Wwke geldt er niets totdat een vakminister je formeel als kritieke entiteit aanwijst. Wie wordt aangewezen, is daarmee meteen essentiële entiteit onder de Cyberbeveiligingswet.

Waarvoor is dit bedoeld

Europa constateerde dat de bescherming van vitale dienstverlening te veel op digitale dreigingen was gericht en te weinig op fysieke. De CER-richtlijn verplicht lidstaten daarom om per sector te bepalen welke organisaties een essentiële dienst leveren, die organisaties aan te wijzen en hun een weerbaarheidsplicht op te leggen die dreigingen van natuurlijke en menselijke oorsprong allebei omvat. De Wwke doet dat voor Nederland en valt onder het ministerie van Justitie en Veiligheid.

Voor wie

Alleen voor organisaties die formeel zijn aangewezen. Artikel 6 laat de vakminister een entiteit als kritieke entiteit aanwijzen als zij een of meer essentiële diensten verleent, actief is in Nederland, hier kritieke infrastructuur heeft en een incident bij haar aanzienlijke verstorende gevolgen zou hebben voor die dienst of voor daarvan afhankelijke diensten. De bijlage bij de wet noemt de sectoren waarbinnen dat kan: overheid, digitale infrastructuur, bankwezen en financiële markten, vervoer (lucht, spoor, water, weg en openbaar vervoer), drinkwater, afvalwater, energie (elektriciteit, stadsverwarming, aardolie, aardgas en waterstof), levensmiddelen en gezondheidszorg. Er is geen omzet- of personeelsdrempel: de aanwijzing hangt aan het belang van de dienst, niet aan de omvang van het bedrijf.

Wat er niet onder valt

Zolang er geen aanwijzing is, gelden de verplichtingen niet — ook niet voor organisaties die onmiskenbaar in een van de genoemde sectoren werken. Hoofdstuk 13 van de wet kent bovendien een regeling voor het toepassingsbereik en voor ontheffing van verplichtingen. Zo zijn volgens de RDI aangewezen entiteiten in de sector digitale infrastructuur vrijgesteld van de risicobeoordeling, de zorgplicht en de meldplicht van de Wwke: voor hen doet de Cyberbeveiligingswet dat werk al. Leveranciers van een kritieke entiteit worden er niet zelf door aangewezen.

Wat je moet doen

Na de aanwijzing: een eigen risicobeoordeling maken, passende weerbaarheidsmaatregelen nemen, incidenten melden, en een aantal bijkomende verplichtingen uit hoofdstuk 11 nakomen. Vóór de aanwijzing is er formeel niets te doen; de wet verwacht geen zelftoets zoals de Cyberbeveiligingswet dat wel doet.

De termijnen na aanwijzing

De kritieke entiteit voert binnen negen maanden na aanwijzing haar eigen risicobeoordeling uit (hoofdstuk 8, artikel 14) en herhaalt die daarna ten minste elke vier jaar. De zorgplicht en de meldplicht gaan volgens de RDI tien maanden na de aanwijzing gelden. Los daarvan maken de bevoegde autoriteiten zelf ten minste elke vier jaar een risicobeoordeling per sector (artikel 9) en delen zij de relevante informatie daaruit met de aangewezen entiteiten.

Zorgplicht

Artikel 15 verplicht tot passende en evenredige technische, beveiligings- en organisatorische maatregelen. Daaronder vallen het voorkomen van incidenten, de fysieke bescherming van gebouwen en infrastructuur, procedures om op incidenten te reageren, plannen voor bedrijfscontinuïteit en herstel, beheersing van personeelsrisico’s inclusief antecedentenonderzoek voor medewerkers in kritieke functies, en bewustwording en training van personeel.

Meldplicht

Artikel 17 verplicht tot melding bij de bevoegde autoriteit binnen 24 uur, of zodra dat operationeel mogelijk is, van incidenten die de verlening van de essentiële dienst aanzienlijk verstoren of dreigen te verstoren, met de op dat moment beschikbare gegevens over aard, oorzaak en gevolgen. Daarna volgt een uitgebreider verslag binnen een maand. De termijn van 24 uur is dus dezelfde als die van de eerste stap onder de Cyberbeveiligingswet, maar het gaat om andere incidenten en een andere ontvanger.

Achtergrondonderzoek van personeel

De zorgplicht van artikel 15 omvat uitdrukkelijk personeelsbeveiliging, met antecedentenonderzoek voor medewerkers in kritieke functies. Dat is een verplichting die de Cyberbeveiligingswet in deze vorm niet kent en die raakt aan arbeidsrecht en privacy.

Entiteiten van bijzonder Europees belang

Hoofdstuk 12 van de wet, de artikelen 21 en 22, regelt kritieke entiteiten van bijzonder Europees belang: organisaties die dezelfde of soortgelijke essentiële diensten in meerdere lidstaten leveren. Voor die groep kan de Europese Commissie een adviesmissie organiseren.

Overlap met de Cyberbeveiligingswet

De belangrijkste praktische consequentie: <b>een aanwijzing onder de Wwke maakt je van rechtswege essentiële entiteit onder de Cyberbeveiligingswet</b> (artikel 8 Cbw). Daarmee komt het zwaarste cyberregime mee, inclusief proactief toezicht, zonder dat aan de omvangdrempel van die wet hoeft te worden getoetst. De twee wetten overlappen inhoudelijk nauwelijks — de Wwke gaat over fysieke en organisatorische weerbaarheid, de Cbw over netwerk- en informatiesystemen — maar de administratieve last stapelt wel: twee risicobeoordelingen, twee meldroutes en twee toezichthouderrelaties.

Toezicht NL

Het beleid ligt bij Justitie en Veiligheid; de toezichthouders worden per sector door de verantwoordelijke ministeries aangewezen. De Rijksinspectie Digitale Infrastructuur houdt toezicht op de sectoren energie, ruimtevaart en digitale infrastructuur. Hoofdstuk 16 van de wet, Handhaving, omvat de artikelen 36 tot en met 40. De NCTV noemt als instrumenten voorlichting of een waarschuwing, gesprekken en bedrijfsbezoeken, een aanwijzing of opdracht om maatregelen te treffen, audits, een last onder bestuursdwang of dwangsom, en een bestuurlijke boete.

Boete

De wet voorziet in een bestuurlijke boete, maar de maximumbedragen zijn niet te achterhalen — zie de onzekerheden. Het Besluit weerbaarheid kritieke entiteiten werkt de wet nader uit.

Hele dossier →

De Wbni was tot 15 augustus 2026 de Nederlandse uitvoering van de eerste Europese cyberbeveiligingsrichtlijn (NIS1, Richtlijn 2016/1148) en legde vitale aanbieders en digitaledienstverleners een zorg- en meldplicht op. Zij is op die datum in haar geheel ingetrokken en vervangen door de Cyberbeveiligingswet, de uitvoering van de opvolger NIS2. Wie nu nog naar de Wbni verwijst — in een contract, beleidsdocument of leveranciersvoorwaarde — verwijst naar een regeling die niet meer bestaat.

Waarvoor was dit bedoeld

Implementatie van NIS1, de eerste Europese richtlijn die lidstaten verplichtte tot een zorg- en meldplicht voor organisaties waarvan uitval de samenleving raakt.

Voor wie gold dit

Aanbieders van essentiële diensten — per sector aangewezen vitale aanbieders — en digitaledienstverleners zoals online marktplaatsen, onlinezoekmachines en clouddiensten in de zin van de richtlijn.

Wat het regelde

Een meldplicht voor ernstige incidenten met aanzienlijke gevolgen, bij de Minister van Justitie en Veiligheid voor vitale aanbieders en bij het CSIRT en de bevoegde autoriteit voor digitaledienstverleners, plus toezicht met bevoegdheid tot beveiligingsaudits, bindende aanwijzingen, bestuursdwang en boetes tot 5 miljoen euro.

Vervallen

De wet is per 15 augustus 2026 ingetrokken. Wetten.overheid.nl toont haar met de status ‘Deze regeling is ingetrokken. Dit is geen geldige regeling meer’, geldend van 1 oktober 2024 tot en met 14 augustus 2026.

Opvolger

De Cyberbeveiligingswet, die op dezelfde datum in werking trad als de Nederlandse uitvoering van NIS2 (Richtlijn (EU) 2022/2555) — zie dossier cbw voor de nieuwe verplichtingen, die qua sectoren en drempels breder zijn dan onder de Wbni.

Wat er materieel is veranderd

De Cyberbeveiligingswet vervangt de sectorale aanwijzing per individuele vitale aanbieder door een drempel op basis van sector plus omvang, en voegt onder meer een registratieplicht en een expliciete bestuurdersverantwoordelijkheid toe die de Wbni niet kende.

Let op

Eerder was gesignaleerd dat meerdere overheidspagina’s (onder meer rdi.nl en digitaleoverheid.nl/dossiers) de Wbni nog ten onrechte als geldend beschreven. Deze onderzoeksronde kon dat voor september 2026 niet opnieuw op dezelfde pagina’s bevestigen — zie de onzekerheden.

Hele dossier →

De CRA is productwetgeving: wie een product met digitale elementen op de Europese markt brengt, moet het veilig ontwerpen, kwetsbaarheden gedurende een toegezegde ondersteuningsperiode blijven verhelpen en dat met een CE-markering aantonen. Het gaat om hardware én losse software — van routers, camera’s en speelgoed tot besturingssystemen, wachtwoordmanagers en apps. Anders dan de Cyberbeveiligingswet, die eisen stelt aan hoe een organisatie zichzelf beveiligt, stelt de CRA eisen aan wat je verkoopt.

Waarvoor is dit bedoeld

Eén set beveiligingseisen voor alle digitale producten in de EU, zodat een koper erop kan vertrouwen dat een product veilig is ingericht en updates krijgt. De CE-markering is het bewijs; zonder markering mag het product niet op de markt.

Voor wie

Fabrikanten (ook wie een product onder eigen naam of merk laat maken), importeurs en distributeurs. Wie een product zó wijzigt dat de oorspronkelijke fabrikant dat niet had voorzien, wordt voor dat gewijzigde product zelf fabrikant — een enkele beveiligingsupdate telt niet als zo’n wijziging.

Wat is een product met digitale elementen

Een software- of hardwareproduct plus de bijbehorende oplossingen voor gegevensverwerking op afstand, inclusief onderdelen die los op de markt worden gebracht (art. 3, lid 1). Losse software valt er dus ook onder.

Wat er niet onder valt

Producten die al onder sectorale EU-regels vallen: medische hulpmiddelen (Verordening (EU) 2017/745 en 2017/746), motorvoertuigen (Verordening (EU) 2019/2144) en gecertificeerde civiele luchtvaart (Verordening (EU) 2018/1139). Ook producten die uitsluitend voor nationale veiligheid of defensie zijn gemaakt, en reserveonderdelen voor reparatie van bestaande producten. Losse cloud- en SaaS-diensten vallen onder NIS2, niet onder de CRA — alleen verwerking op afstand die door of namens de fabrikant bij het product hoort telt mee.

Open source

Niet-gemonetiseerde vrije en opensourcesoftware valt buiten het toepassingsgebied; wie los broncode bijdraagt is geen fabrikant. Voor ‘open-source software stewards’ — organisaties die structureel de ontwikkeling van zulke software dragen — geldt een lichter regime (art. 24): wel een beveiligingsbeleid en meldplicht, geen CE-markering en geen boetes (art. 64, lid 10).

Drie risicoklassen

Standaardproducten mogen zelf beoordelen. Voor ‘belangrijke’ producten (bijlage III, klasse I en II) is een aangemelde instantie in bepaalde gevallen nodig, vooral als geen geharmoniseerde norm is gevolgd. Voor ‘kritieke’ producten (bijlage IV) is een aangemelde instantie altijd verplicht.

Klasse I en II, wat zit erin

Klasse I onder meer: browsers, wachtwoordmanagers, antivirus, VPN’s, netwerkbeheer en SIEM, besturingssystemen, routers, modems en switches, slimme deursloten, camera’s en alarmen, met internet verbonden speelgoed en wearables. Klasse II: hypervisors en container-runtimes, firewalls en inbraakdetectie, en manipulatiebestendige microprocessors en -controllers. De technische omschrijving staat in Uitvoeringsverordening (EU) 2025/2392.

Kritieke producten

Hardwarebeveiligingsmodules, slimme-metergateways en smartcards of secure elements (bijlage IV).

Wat je moet doen

Voldoen aan de essentiële beveiligingseisen (bijlage I, deel I: onder meer veilig standaard ingericht, toegangsbeheer, versleuteling, updates) en aan de eisen voor kwetsbaarhedenbeheer (bijlage I, deel II). Daarbij horen technische documentatie, een softwarestuklijst (SBOM) die je op verzoek aan de toezichthouder kunt overleggen, en gratis beveiligingsupdates.

Ondersteuningsperiode

De fabrikant bepaalt zelf hoe lang hij kwetsbaarheden blijft verhelpen (art. 13, lid 8) en moet die einddatum bij aankoop duidelijk vermelden. Uitgangspunt is ten minste vijf jaar, tenzij het product korter meegaat; de Commissie kan per productcategorie een minimum vaststellen.

Meldplicht

Vanaf 11 september 2026. Actief misbruikte kwetsbaarheden en ernstige incidenten: 24 uur vroegtijdige waarschuwing → 72 uur melding → eindrapport binnen 14 dagen (kwetsbaarheid) of 1 maand (incident). Melden bij het CSIRT van het land van hoofdvestiging en ENISA, via één Single Reporting Platform (art. 14). Micro- en kleine ondernemingen kunnen geen boete krijgen voor het missen van de termijn van 24 uur.

Volledige toepassing

11 december 2027 — vanaf dan gelden de beveiligingseisen en de CE-markering voor producten die op de markt worden gebracht.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) wordt aangewezen als toezichthouder in de Uitvoeringswet verordening cyberweerbaarheid (Kamerstuk 36875).

Boete

Maximaal 2,5 procent van de wereldwijde jaaromzet van de fabrikant voor niet-naleving van de essentiële eisen (art. 64).

Eerstvolgende datum: 11 sep 2026 · vandaag — Meldplicht actief misbruikte kwetsbaarheden en ernstige incidenten

Hele dossier →

DORA legt de Europese financiële sector één regime op voor het beheersen van ICT-risico: risicobeheer, melding van incidenten, weerbaarheidstests en het beheersen van de risico’s die bij ICT-leveranciers ontstaan. Voor bedrijven buiten die sector zit de kern in dat laatste onderdeel: wie ICT-diensten levert aan een bank, verzekeraar of betaalinstelling krijgt via het contract een vaste set verplichtingen opgelegd, en de grootste aanbieders komen onder rechtstreeks Europees toezicht. Anders dan de Cyberbeveiligingswet, die per organisatie eisen stelt aan de eigen beveiliging, regelt DORA nadrukkelijk ook de keten: de financiële entiteit blijft verantwoordelijk voor wat haar leveranciers doen. Voor de financiële sector gaat DORA als bijzondere regeling vóór op NIS2.

Waarvoor is dit bedoeld

Eén set eisen voor de hele Europese financiële sector, zodat een storing of aanval bij een instelling of bij haar ICT-leverancier niet doorslaat naar het financiële stelsel. DORA komt in de plaats van uiteenlopende nationale eisen en toezichtpraktijken en is rechtstreeks van toepassing sinds 17 januari 2025 (art. 64).

Voor wie

Twintig categorieën financiële entiteiten (art. 2, lid 1), onder meer: banken, betaalinstellingen, elektronischgeldinstellingen, aanbieders van rekeninginformatiediensten, beleggingsondernemingen, aanbieders van cryptoactivadiensten, handelsplatformen, centrale tegenpartijen, centrale effectenbewaarinstellingen, transactieregisters, beheerders van alternatieve beleggingsinstellingen, beheermaatschappijen, aanbieders van datarapporteringsdiensten, verzekeraars en herverzekeraars, verzekeringstussenpersonen, pensioeninstellingen, ratingbureaus, beheerders van kritieke benchmarks en crowdfundingdienstverleners. Een omzet- of personeelsdrempel kent DORA niet: ook een betaalinstelling of vermogensbeheerder met tien medewerkers valt eronder. In dezelfde opsomming staan ICT-derde aanbieders genoemd, maar voor hen werkt de verordening anders.

Wat er niet onder valt

Artikel 2, lid 3 zondert uit: beheerders van alternatieve beleggingsinstellingen die onder de lichte regeling van artikel 3, lid 2 van Richtlijn 2011/61/EU vallen; verzekeraars en herverzekeraars die onder artikel 4 van Richtlijn 2009/138/EG vallen; pensioeninstellingen met in totaal niet meer dan vijftien deelnemers; verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen die micro-onderneming of mkb zijn; en girodiensten van postkantoren. Een gewoon softwarebedrijf, hostingpartij of adviesbureau is geen financiële entiteit en heeft dus geen eigen nalevingsplicht onder DORA.

Wat je moet doen

Vijf onderdelen. Een ICT-risicobeheerkader waarvoor het bestuur eindverantwoordelijk is (hoofdstuk II). Classificatie en melding van ernstige ICT-gerelateerde incidenten (hoofdstuk III). Periodiek testen van de digitale weerbaarheid (hoofdstuk IV). Beheersing van het risico van ICT-derde aanbieders, met een informatieregister en verplichte contractbepalingen (hoofdstuk V). Vrijwillige uitwisseling van dreigingsinformatie (hoofdstuk VI).

Geldt dit ook voor ICT-leveranciers

Niet rechtstreeks. Een ICT-derde aanbieder is volgens artikel 3 elke onderneming die ICT-diensten levert — digitale en datadiensten die doorlopend worden geleverd, inclusief hardware as a service en technische ondersteuning via software- of firmware-updates, met uitzondering van traditionele analoge telefonie. Zo’n aanbieder heeft geen zelfstandige verplichtingen onder DORA. De financiële entiteit blijft volledig verantwoordelijk voor naleving (art. 28, lid 1) en moet die verantwoordelijkheid via het contract doorgeven. Alleen aanbieders die als kritiek worden aangewezen, krijgen zelf met een Europese toezichthouder te maken.

Hoe DORA in je contract terechtkomt

Artikel 30, lid 2 schrijft voor wat in elk contract over ICT-diensten moet staan: een volledige beschrijving van de functies en diensten en van de toegestane onderaanneming, de regio’s of landen waar de dienst wordt geleverd, bepalingen over beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, toegang tot en teruggave van data in een toegankelijk formaat bij beëindiging of faillissement, serviceniveaus en de actualisering daarvan, kosteloze bijstand bij een ICT-incident, volledige medewerking aan de toezichthouders van de klant, opzegtermijnen, en deelname aan bewustwordings- en weerbaarheidstrainingen. Ondersteunt de dienst een kritieke of belangrijke functie, dan komt daar volgens lid 3 bij: meetbare kwantitatieve en kwalitatieve prestatiedoelen, meld- en informatieplichten bij verslechtering van de dienstverlening, eisen aan continuïteitsplannen en beveiligingsmaatregelen, verplichte deelname aan dreigingsgestuurde penetratietests van de klant, een doorlopend recht op monitoring, en een exitregeling met een verplichte overgangsperiode.

Onderaanneming

Gedelegeerde Verordening (EU) 2025/532 van 24 maart 2025, bekendgemaakt op 2 juli 2025, bepaalt wat een financiële entiteit moet vaststellen en beoordelen wanneer ICT-diensten die kritieke of belangrijke functies ondersteunen worden uitbesteed en verder uitbesteed. Daarmee loopt de doorwerking verder de keten in: een leverancier die zelf onderaannemers inschakelt, moet die in beeld brengen en contractueel binden.

Kritieke ICT-derde aanbieders

De drie Europese toezichthouders EBA, EIOPA en ESMA wijzen via hun gezamenlijk comité aanbieders aan als kritiek (art. 31). De criteria: de systeemrelevante impact op de stabiliteit, continuïteit of kwaliteit van de financiële dienstverlening bij uitval; het systeembelang van de instellingen die van de aanbieder afhankelijk zijn; de mate waarin instellingen zijn diensten voor kritieke of belangrijke functies gebruiken; en de vervangbaarheid, gelet op het aantal alternatieven en de moeite van een migratie. Per aangewezen aanbieder komt er één hoofdtoezichthouder. Een aanbieder uit een derde land die als kritiek is aangewezen, moet binnen twaalf maanden na de aanwijzing een dochteronderneming in de Unie hebben; anders mogen financiële entiteiten zijn diensten niet meer afnemen.

Wat de hoofdtoezichthouder kan

Alle relevante informatie en documentatie opvragen, algemene onderzoeken en inspecties uitvoeren, na afloop rapportages over getroffen herstelmaatregelen eisen en aanbevelingen doen over onder meer ICT-beveiliging, contractvoorwaarden en het gebruik van onderaannemers (art. 35, lid 1). Wie niet meewerkt, kan een dwangsom krijgen van maximaal 1 procent van de gemiddelde dagelijkse wereldwijde omzet in het voorgaande boekjaar, voor ten hoogste zes maanden na de kennisgeving van het besluit (art. 35).

Informatieregister

Elke financiële entiteit houdt een register bij van alle contractuele afspraken over ICT-diensten, op entiteits-, gesubconsolideerd en geconsolideerd niveau, en rapporteert ten minste jaarlijks aan de toezichthouder over het aantal nieuwe afspraken, de categorieën aanbieders, het type contract en de geleverde diensten en functies (art. 28, lid 3).

Incidentmelding

Ernstige ICT-gerelateerde incidenten worden gemeld bij de bevoegde autoriteit (art. 19). Gedelegeerde Verordening (EU) 2025/301 geeft de termijnen: een eerste kennisgeving zo snel mogelijk, maar in elk geval binnen vier uur na de classificatie van het incident als ernstig en uiterlijk 24 uur nadat de entiteit kennis van het incident kreeg; een tussentijds verslag uiterlijk 72 uur na die eerste kennisgeving, ook als er niets is veranderd; en een eindverslag uiterlijk een maand na het laatste tussentijdse verslag. Ernstige cyberdreigingen mogen vrijwillig worden gemeld.

Weerbaarheidstests

Naast een jaarlijks testprogramma gelden dreigingsgestuurde penetratietests (TLPT) ten minste eens per drie jaar voor de entiteiten die de toezichthouder daarvoor aanwijst, op basis van onder meer hun impact op de sector en hun ICT-risicoprofiel (art. 26). Micro-ondernemingen en de entiteiten die onder het vereenvoudigde kader vallen, zijn van de TLPT-plicht uitgezonderd. Waar een ICT-leverancier bij zo’n test betrokken is, moet die daaraan meewerken — dat is een van de contractbepalingen uit artikel 30, lid 3.

Vereenvoudigd kader

Artikel 16 kent een lichter ICT-risicobeheerkader voor onder meer kleine en niet-verweven beleggingsondernemingen, vrijgestelde betaalinstellingen, vrijgestelde elektronischgeldinstellingen en kleine pensioeninstellingen. Een micro-onderneming is in DORA een entiteit — anders dan een handelsplatform, centrale tegenpartij, transactieregister of centrale effectenbewaarinstelling — met minder dan tien werknemers en een jaaromzet of balanstotaal van ten hoogste 2 miljoen euro (art. 3).

Toezicht NL

DNB en de AFM, ieder voor de instellingen die zij al onder toezicht hebben. De Nederlandse aanpassingswetgeving bestaat uit de Implementatiewet digitale operationele weerbaarheid (BWBR0049942), die Richtlijn (EU) 2022/2556 omzet en onder meer de Wet op het financieel toezicht wijzigt, en het bijbehorende Uitvoeringsbesluit (BWBR0050670).

Boete

De verordening noemt zelf geen maximumbedragen. Artikel 50 verplicht de lidstaten tot doeltreffende, evenredige en afschrikkende sancties en geeft toezichthouders in elk geval de bevoegdheid om herstelmaatregelen op te leggen. In Nederland loopt dat via het gebruikelijke handhavingsinstrumentarium van de Wft: aanwijzing, last onder dwangsom en bestuurlijke boete. Het percentage van 1 procent uit artikel 35 is een dwangsom en geldt alleen voor aangewezen kritieke ICT-derde aanbieders.

Hele dossier →

De Cybersecurity Act doet twee dingen: hij geeft het Europese cyberagentschap ENISA een permanent mandaat, en hij bouwt één Europees kader waarbinnen ICT-producten, -diensten en -processen gecertificeerd kunnen worden met een certificaat dat in alle lidstaten geldt. Voor ondernemers is vooral dat tweede deel relevant, en dan met één belangrijke nuance: certificering onder dit kader is vrijwillig, tenzij andere EU- of nationale wetgeving haar voorschrijft. Anders dan de Cyber Resilience Act, die beveiligingseisen verplicht stelt aan digitale producten, dwingt de Cybersecurity Act niemand tot iets — hij levert het keurmerk waarmee je kunt aantonen dat je aan zulke eisen voldoet.

Waarvoor is dit bedoeld

Vóór 2019 kende Europa een lappendeken van nationale beveiligingskeurmerken; een fabrikant die in meerdere landen wilde verkopen, moest meerdere trajecten doorlopen. De verordening maakt daar één kader van: onder een vastgesteld Europees schema afgegeven certificaten worden in elke lidstaat erkend. Daarnaast krijgt ENISA een permanente rol: advies over cyberbeveiligingsbeleid, ondersteuning van operationele samenwerking tussen lidstaten, het secretariaat van het CSIRT-netwerk, het opstellen van kandidaat-certificeringsschema’s, dreigingsanalyse en bewustwording.

Voor wie

Aanbieders en fabrikanten van ICT-producten, -diensten en -processen die zich willen laten certificeren, en de instanties die certificeren. Er zijn geen drempels naar omvang of omzet, om de eenvoudige reden dat er geen verplichting is: je komt met de verordening in aanraking op het moment dat je zelf een certificaat wilt, of dat een afnemer of een aanbesteding erom vraagt. De RDI merkt op dat certificering momenteel nog vrijwillig is, maar dat dit op termijn waarschijnlijk verandert.

Wat er niet onder valt

De verordening stelt zelf geen beveiligingseisen aan producten en verplicht niemand tot certificering; de EU-conformiteitsverklaring en het Europese certificaat blijven vrijwillig tenzij het Unierecht of nationaal recht anders bepaalt. Wie moet voldoen aan de Cyber Resilience Act, doet dat via de CE-markering en niet via dit kader, al kan een EUCC-certificaat daarbij als bewijsmiddel dienen. Het kader gaat ook niet over de organisatiebeveiliging van bedrijven: dat is het terrein van NIS2 en de Cyberbeveiligingswet.

Wat je moet doen

Uit de verordening zelf volgt voor een gewone onderneming geen verplichting. Wat er praktisch te doen valt, begint bij de vraag of een schema bestaat dat op jouw product of dienst past, en of afnemers erom vragen. Vervolgens: welk zekerheidsniveau nodig is, en of dat niveau een conformiteitszelfbeoordeling toelaat of een onafhankelijke conformiteitsbeoordelingsinstantie vereist.

De drie zekerheidsniveaus

Een Europees certificeringsschema kent de niveaus basis, substantieel en hoog. Het niveau bepaalt hoe grondig wordt gekeken: van beoordeling van de technische documentatie, via verificatie van de beveiligingsfuncties, tot het testen van de weerstand tegen aanvallers met aanzienlijke middelen. Voor het niveau hoog is in Nederland de minister degene die het certificaat afgeeft.

EUCC, het enige operationele schema

Uitvoeringsverordening (EU) 2024/482 stelt het Europese schema voor cyberbeveiligingscertificering op basis van Common Criteria vast, kortweg EUCC. Het geldt voor ICT-producten inclusief de bijbehorende documentatie en voor beveiligingsprofielen, en kent de niveaus substantieel (kwetsbaarheidsanalyse AVA_VAN 1 en 2) en hoog (AVA_VAN 3 tot en met 5). Typische kandidaten zijn smartcards, hardwarebeveiligingsmodules en betaalterminals. Het schema werd twaalf maanden na inwerkingtreding van toepassing en is sinds 27 februari 2025 beschikbaar voor leveranciers.

Schema’s in ontwikkeling

Voor clouddiensten wordt al jaren aan een schema gewerkt (EUCS); dat is nog niet vastgesteld. Voor beheerde beveiligingsdiensten loopt een schema in publieke consultatie: ENISA opende op 24 juli 2026 een oproep tot commentaar. Voor de Europese portemonnee voor digitale identiteit is de certificering geregeld in Uitvoeringsverordening (EU) 2024/2981.

De wijziging van januari 2025

Op 15 januari 2025 is een gerichte wijziging van de verordening aangenomen die het mogelijk maakt certificeringsschema’s op te stellen voor beheerde beveiligingsdiensten — diensten als incidentrespons, penetratietesten en beveiligingsaudits. Daarmee kan voor het eerst de dienstverlener zelf worden gecertificeerd in plaats van alleen het product.

Het herzieningsvoorstel van januari 2026

In januari 2026 stelde de Europese Commissie een herziening van de verordening voor. Daarin: vroegtijdige dreigingswaarschuwingen en ondersteuning bij herstel na ransomware, samen met Europol en de CSIRT’s; capaciteit voor een gemeenschappelijke dienst voor kwetsbaarhedenbeheer; één centraal meldpunt voor incidentmeldingen; een kader voor vertrouwde ICT-toeleveringsketens dat het risico van leveranciers uit derde landen adresseert; en eenvoudiger certificeringsprocedures met een standaardtermijn van twaalf maanden voor de ontwikkeling van een schema. Het voorstel is nog niet aangenomen.

Toezicht NL

De Uitvoeringswet cyberbeveiligingsverordening (BWBR0046349), de wet van 9 februari 2022, wijst in artikel 2, eerste lid, Onze Minister — Economische Zaken — aan als de nationale cyberbeveiligingscertificeringsautoriteit, bedoeld in artikel 58, eerste lid, van de verordening. De Rijksinspectie Digitale Infrastructuur voert die taak uit en presenteert zich als NCCA. De RDI keurt onder meer evaluatieplannen goed, beoordeelt beveiligingsrapporten en geeft Europese certificaten af voor het niveau hoog.

Boete

De Nederlandse uitvoeringswet kent in artikel 13 een bestuurlijke boete van ten hoogste 900.000 euro per overtreding, op te leggen bij overtreding van het bepaalde bij of krachtens die wet en van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht (de plicht om medewerking te verlenen aan een toezichthouder). Daarnaast kan de minister bindende aanwijzingen geven en bestuursdwang toepassen, en kan hij de kosten van certificeringswerkzaamheden doorberekenen.

Hele dossier →

eIDAS 2 verplicht elke lidstaat om burgers en bedrijven een Europese portemonnee voor digitale identiteit aan te bieden: een app waarin identiteitsgegevens en officiële attesten worden bewaard en selectief kunnen worden gedeeld. Waar de oorspronkelijke eIDAS-verordening uit 2014 vooral de wederzijdse erkenning van nationale inlogmiddelen regelde, schrijft eIDAS 2 een concreet product voor en verplicht zij bepaalde partijen om dat te accepteren. Voor ondernemers heeft dat twee kanten: de wallet gebruiken om in te loggen, te ondertekenen en bedrijfsgegevens aan te tonen, en — voor sommige bedrijven — hem verplicht accepteren van klanten.

Waarvoor is dit bedoeld

Eén Europees identiteitsmiddel dat in elke lidstaat werkt, zodat inloggen, ondertekenen en het aantonen van gegevens als leeftijd, diploma of bevoegdheid niet langer per land en per dienst verschillend geregeld is. De wallet moet ook zorgen dat een dienstverlener niet meer gegevens te zien krijgt dan voor de transactie nodig is.

Voor wie

Drie groepen. Lidstaten, die ten minste één wallet moeten verstrekken. Publieke instanties, die de wallet moeten accepteren wanneer zij elektronische identificatie eisen voor een onlinedienst (art. 5 septies, lid 1). En bepaalde private vertrouwende partijen, die hem eveneens moeten accepteren. Daarnaast raakt de verordening iedereen die identiteitsgegevens uit de wallet wil uitvragen: die moet zich als vertrouwende partij registreren.

Wat er niet onder valt

Micro-ondernemingen en kleine ondernemingen in de zin van Aanbeveling 2003/361/EG zijn uitdrukkelijk uitgezonderd van de acceptatieplicht voor private partijen. Voor burgers is het gebruik van de wallet vrijwillig: zij kunnen er niet toe worden verplicht, en de acceptatieplicht geldt alleen wanneer de gebruiker er zelf om vraagt.

Wat je moet doen

Voor het overgrote deel van het Nederlandse mkb: niets verplicht. Wie wél onder de acceptatieplicht valt, moet zijn inlog- en authenticatieproces zo inrichten dat een wallet als identificatiemiddel wordt aanvaard, en moet zich als vertrouwende partij laten registreren in de lidstaat van vestiging, met opgave van vestiging, contactgegevens, het beoogde gebruik en de gegevens die worden opgevraagd.

Wie moet de wallet accepteren

Private vertrouwende partijen — micro- en kleine ondernemingen uitgezonderd — die op grond van Unierecht of nationaal recht sterke gebruikersauthenticatie moeten toepassen voor online identificatie, of daartoe contractueel verplicht zijn, onder meer in de sectoren vervoer, energie, bankwezen, financiële dienstverlening, sociale zekerheid, gezondheidszorg, drinkwatervoorziening, postdiensten, digitale infrastructuur, onderwijs en telecommunicatie (art. 5 septies, lid 2). De plicht geldt alleen op vrijwillig verzoek van de gebruiker.

Zeer grote onlineplatforms

Aanbieders van zeer grote onlineplatforms in de zin van de digitaledienstenverordening (EU) 2022/2065 moeten het gebruik van de wallet voor gebruikersauthenticatie faciliteren wanneer de gebruiker daarom vraagt, beperkt tot de gegevens die daarvoor strikt nodig zijn (art. 5 septies, lid 3).

Termijn voor de lidstaten

Elke lidstaat verstrekt ten minste één Europese portemonnee voor digitale identiteit binnen 24 maanden na de inwerkingtreding van de uitvoeringshandelingen die in artikel 5 bis, lid 23 en artikel 5 quater, lid 6 worden genoemd (art. 5 bis, lid 1). Die uitvoeringshandelingen — Uitvoeringsverordeningen (EU) 2024/2977 tot en met 2024/2982 van 28 november 2024 — zijn op 4 december 2024 bekendgemaakt en traden in werking op de twintigste dag daarna. Dat brengt de deadline op eind december 2026.

Termijn voor de acceptatieplicht

Voor de private vertrouwende partijen geldt een termijn van 36 maanden na de inwerkingtreding van diezelfde uitvoeringshandelingen, dus eind december 2027.

Wat de wallet kan

Identiteitsgegevens tonen, elektronische attestaties van attributen bewaren en delen — denk aan een diploma, een rijbewijs, een vergunning of een inschrijving in een handelsregister — en gekwalificeerde elektronische handtekeningen en zegels zetten. De wallet moet gegevens selectief kunnen delen: alleen het gevraagde kenmerk in plaats van het hele document.

Grenzen aan wat een dienstverlener mag vragen

Een vertrouwende partij mag niet meer gegevens opvragen dan voor het opgegeven doel nodig is, moet wijzigingen in haar registratie doorgeven, moet zich aan de gebruiker kenbaar maken, en mag het gebruik van een pseudoniem niet weigeren waar identificatie niet wettelijk is voorgeschreven (art. 5 ter).

Certificering

Wallets moeten worden gecertificeerd. Uitvoeringsverordening (EU) 2024/2981 stelt de certificeringsregels vast; die sluiten aan op het kader van de Cybersecurity Act en het EUCC-schema.

Wat er verder verandert

Naast de wallet breidt eIDAS 2 het bestaande stelsel van gekwalificeerde vertrouwensdiensten uit, onder meer met elektronische attestaties van attributen en elektronische archivering, en scherpt zij de eisen aan bestaande diensten als handtekeningen, zegels en tijdstempels aan.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op vertrouwensdiensten onder eIDAS en ligt daarmee voor de hand als toezichthouder onder eIDAS 2. De Nederlandse uitvoeringswetgeving en de aanwijzing van de walletverstrekker zijn nog niet vastgesteld.

Boete

De verordening laat de sancties aan de lidstaten. Zolang er geen Nederlandse uitvoeringswet is, ligt het sanctieregime voor walletverstrekkers en vertrouwende partijen hier niet vast.

Eerstvolgende datum: 24 dec 2026 · nog 3 maanden — Deadline: lidstaten moeten een wallet aanbieden

Hele dossier →

Deze wet geeft de minister van Economische Zaken en Klimaat voor het eerst een expliciete wettelijke grondslag om het niet-vitale bedrijfsleven — het overgrote deel van het Nederlandse mkb, buiten de sectoren die onder de Cyberbeveiligingswet vallen — te informeren, te adviseren en tot onderlinge samenwerking te brengen op het gebied van digitale weerbaarheid. De wet legt zelf geen enkele verplichting op aan bedrijven: er is geen meldplicht, geen registratie en geen zorgplicht. Waar de Cyberbeveiligingswet aangewezen essentiële en belangrijke entiteiten dwingt tot risicobeheer en incidentmelding, regelt deze wet uitsluitend de bevoegdheid van de overheid om dat andere, veel grotere deel van het bedrijfsleven vrijwillig te ondersteunen — uitgevoerd door het Digital Trust Center, dat inmiddels is opgegaan in het NCSC.

Waarvoor is dit bedoeld

Het Digital Trust Center (DTC) informeerde en adviseerde niet-vitale bedrijven al sinds de oprichting in 2017, maar deed dat zonder een echte wettelijke basis. Deze wet regelt die grondslag alsnog: zij formuleert de taken van de minister van EZK om informatie en advies te verstrekken en samenwerking tussen bedrijven te bevorderen, zodat ook dit deel van het bedrijfsleven structureel met dreigingsinformatie en praktische hulp wordt bereikt.

Voor wie

Het niet-vitale bedrijfsleven: elk Nederlands bedrijf dat niet als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet is aangewezen. Er gelden geen omvang- of omzetdrempels, en dat is ook niet nodig — de wet verplicht namelrijk niemand tot iets, zij regelt alleen dat de minister deze groep mag en moet bedienen.

Wat er niet onder valt

Bedrijven die al onder de Cyberbeveiligingswet vallen, hebben met het NCSC te maken in zijn wettelijke rol als CSIRT — met eigen meld- en zorgplichten. Deze wet regelt dat andere spoor niet; zij gaat over de dienstverlening aan de rest van het bedrijfsleven, waarvoor geen wettelijke verplichtingen gelden.

Wat je moet doen

Niets is verplicht. Een ondernemer die van de dienstverlening gebruik wil maken, meldt zich vrijwillig aan bij het NCSC (voorheen het DTC) voor nieuwsbrieven, dreigingsinformatie, basisscans en deelname aan samenwerkingsverbanden met andere bedrijven in dezelfde sector of regio.

Wat een ondernemer ervoor terugkrijgt

Praktische informatie en advies over digitale weerbaarheid, toegespitst op het mkb: waarschuwingen bij actuele dreigingen, handelingsperspectief bij kwetsbaarheden, en toegang tot een netwerk van sectorale en regionale samenwerkingsverbanden waarin bedrijven onderling ervaring en dreigingsinformatie delen.

Hoe je aan die informatie komt

Via ncsc.nl, waar digitaltrustcenter.nl automatisch naartoe doorverwijst sinds de fusie. Voor bedrijven die geen wettelijke meldplicht hebben, is dit het aanspreekpunt in plaats van het formele CSIRT-meldkanaal dat voor Cyberbeveiligingswet-plichtige entiteiten geldt.

Verplichting of vrijwilligheid

Nadrukkelijk vrijwillig. Er is geen sanctie op het niet gebruikmaken van de dienstverlening, en de wet regelt ook geen verplichting voor bedrijven om zelf informatie met de overheid te delen.

Wetgevingstraject

Ingediend bij de Tweede Kamer op 9 december 2022, aangenomen door de Tweede Kamer op 19 maart 2024 en door de Eerste Kamer op 9 juli 2024 (bij zitten en opstaan), gepubliceerd in het Staatsblad op 13 augustus 2024; het inwerkingtredingsbesluit is gepubliceerd op 12 september 2024.

Uitvoering door het DTC/NCSC

Het Digital Trust Center werd in 2017 opgericht als los overheidsloket voor het niet-vitale bedrijfsleven en is sindsdien opgegaan in het NCSC: digitaltrustcenter.nl leidt door naar ncsc.nl. Voor het mkb betekent dit één loket in plaats van twee gescheiden overheidsorganisaties.

Verhouding tot de Cyberbeveiligingswet

De Cyberbeveiligingswet, sinds 15 augustus 2026 in werking, regelt de verplichte kant: zorgplicht en meldplicht voor aangewezen essentiële en belangrijke entiteiten, met het NCSC als CSIRT. Deze wet regelt de vrijwillige kant voor de rest van het bedrijfsleven. Beide sporen lopen sindsdien via dezelfde organisatie, maar met een fundamenteel ander karakter: het ene verplicht, het andere biedt aan.

Toezicht NL

Niet van toepassing in de gebruikelijke zin: omdat de wet geen verplichtingen aan bedrijven oplegt, is er ook geen toezichthouder die op naleving door bedrijven controleert. De minister van EZK is politiek verantwoordelijk voor de uitvoering door het NCSC.

Boete

Geen. De wet kent geen sanctiebepalingen, omdat zij geen enkele verplichting aan bedrijven oplegt om na te leven. Naleving is dus geen thema — het gaat om een dienstverlenende taak van de overheid, niet om een gedragsnorm voor bedrijven.

Hele dossier →

De Cyber Solidarity Act bouwt drie EU-mechanismen om de Unie robuuster te maken tegen grootschalige en grensoverschrijdende cyberincidenten: een vroegtijdig waarschuwingssysteem van nationale en grensoverschrijdende cyberhubs, een noodmechanisme met een EU Cybersecurity Reserve van vertrouwde private dienstverleners, en een systeem om grote incidenten achteraf te evalueren. Voor de gemiddelde onderneming is de directe relevantie klein: de verordening legt geen enkele verplichting op aan bedrijven in het algemeen, en wijzigt niets aan de zorg- of meldplichten van de Cyberbeveiligingswet, DORA of de Cyber Resilience Act. Relevant wordt zij vooral voor gespecialiseerde aanbieders van incident response- en beveiligingsdiensten, die zich als ‘trusted provider’ kunnen aanmelden voor de EU Cybersecurity Reserve en zo tegen vergoeding worden ingezet bij Europese cybercrises.

Waarvoor is dit bedoeld

Na een reeks grootschalige cyberincidenten bleek dat lidstaten onderling weinig gestructureerde mogelijkheden hadden om elkaar bij te staan of dreigingsinformatie snel te bundelen. De verordening bouwt daarvoor EU-brede structuren, aanvullend op de nationale taken die CSIRT's — in Nederland het NCSC — al hebben.

Voor wie

In de eerste plaats lidstaten, hun CSIRT's en de aan te wijzen nationale en grensoverschrijdende cyberhubs. Voor een gewone onderneming is er geen rechtstreekse rol, behalve voor gespecialiseerde dienstverleners die zich willen aanmelden als ‘trusted provider’ voor de EU Cybersecurity Reserve, en voor organisaties in kritieke sectoren die via de paraatheidstests van het noodmechanisme worden getoetst.

Wat er niet onder valt

De verordening stelt geen zorgplicht, meldplicht of beveiligingseisen aan individuele bedrijven — dat blijft het terrein van de Cyberbeveiligingswet (NIS2), DORA en de Cyber Resilience Act. Zij regelt uitsluitend de EU- en lidstaatstructuren voor crisisrespons en -voorbereiding.

Wat je moet doen

Voor het overgrote deel van het Nederlandse bedrijfsleven: niets. Alleen een onderneming die zich wil aanmelden als leverancier van incident response-diensten voor de EU Cybersecurity Reserve moet aan de selectiecriteria voor ‘trusted providers’ voldoen; de precieze aanmeldingsprocedure is in dit onderzoek niet bij de brontekst geverifieerd.

European Cybersecurity Alert System

Een netwerk van nationale en grensoverschrijdende cyberhubs die met onder meer AI en data-analyse dreigingen vroegtijdig opsporen en waarschuwingen over de grenzen tussen lidstaten heen delen.

Cybersecurity Emergency Mechanism

Drie onderdelen: paraatheidstests bij organisaties in kritieke sectoren zoals financiën, energie en gezondheidszorg; de EU Cybersecurity Reserve; en ondersteuning van wederzijdse bijstand tussen lidstaten bij een grensoverschrijdend incident.

De EU Cybersecurity Reserve

Bestaat uit incident response-diensten van vooraf geselecteerde private ‘trusted providers’, die worden ingezet wanneer een lidstaat of EU-instelling om bijstand vraagt bij een significant cyberincident. De reserve is bedoeld als aanvulling op wat lidstaten zelf al aan capaciteit hebben, niet als vervanging daarvan.

Wat het oplevert voor een ‘trusted provider’

Concrete, betaalde opdrachten op het moment dat de reserve wordt geactiveerd. Toetreding vereist een aanmeldings- en selectieprocedure waarvan de precieze criteria in dit onderzoek niet zijn geverifieerd.

Incident Review Mechanism

Een systeem om grote cyberincidenten achteraf te evalueren, met als doel lessen te trekken en aanbevelingen te doen voor toekomstige preventie en respons.

Financiering

De maatregelen lopen via het Digital Europe Programme (Verordening (EU) 2021/694, die deze verordening wijzigt). Voor cybersecurity is binnen dat programma in totaal circa € 842,8 miljoen beschikbaar; dat bedrag is niet exclusief voor de Cyber Solidarity Act bestemd.

Verhouding tot andere cyberwetgeving

Deze verordening regelt crisisrespons en -voorbereiding op EU-niveau. De beveiligingsplichten van individuele organisaties lopen via andere regelingen: de Cyberbeveiligingswet voor de brede doelgroep, DORA voor de financiële sector, en de Cyber Resilience Act voor fabrikanten van digitale producten.

Toezicht NL

Niet van toepassing in de klassieke zin van bedrijfstoezicht: het NCSC is als nationaal CSIRT de Nederlandse schakel naar het Europese systeem van cyberhubs en het noodmechanisme.

Boete

De verordening legt geen boetes op aan bedrijven: zij richt zich op EU- en lidstaatstructuren, niet op de sanctionering van ondernemingen. Er is dus geen boetebepaling om na te leven.

Hele dossier →

De Radio-equipmentrichtlijn stelt al sinds 2014 een basisniveau van veiligheid verplicht voor alle radioapparatuur; deze gedelegeerde verordening activeert daarbovenop drie extra cybersecurity-eisen uit artikel 3, lid 3, onder d, e en f van die richtlijn: netwerkbescherming, bescherming van persoonsgegevens en privacy, en bescherming tegen fraude. Ze gelden niet voor alle radioapparatuur, maar alleen voor drie afgebakende groepen apparaten die zelfstandig met internet kunnen verbinden — van wifi-camera's tot slimme speelgoed. Anders dan de Cyber Resilience Act, die per 11 december 2027 een vergelijkbaar maar veel breder eisenpakket aan bijna alle digitale producten en software gaat stellen, gaat het hier uitsluitend om apparatuur met een radiofunctie, en gelden de eisen al sinds 1 augustus 2025.

Waarvoor is dit bedoeld

Draadloze consumentenapparatuur — babyfoons, wifi-camera's, slimme speelgoed, wearables — communiceert steeds vaker rechtstreeks met internet en verwerkt daarbij gegevens of geld. De gedelegeerde verordening dwingt fabrikanten om voor die apparaten drie van de essentiële eisen uit de RED, die tot 2022 op de plank lagen, daadwerkelijk aan te tonen: het apparaat mag het netwerk niet schaden, moet persoonsgegevens en privacy beschermen, en moet fraude met geld of virtuele valuta voorkomen.

Voor wie

Fabrikanten en importeurs van radioapparatuur die onder een van de drie categorieën valt. Er geldt geen omzet- of personeelsdrempel: een eenmanszaak die een enkel wifi-apparaat op de markt brengt, valt er net zo goed onder als een grote fabrikant. Het aanknopingspunt is het product, niet het bedrijf.

Wat er niet onder valt

Medische hulpmiddelen onder Verordening (EU) 2017/745 of 2017/746 zijn uitgezonderd van alle drie de eisen. Apparatuur onder de typegoedkeuring van motorvoertuigen (Verordening (EU) 2019/2144), gecertificeerde civiele luchtvaart (Verordening (EU) 2018/1139) of de tolheffingsrichtlijn (Richtlijn (EU) 2019/520) is uitgezonderd van de eisen e en f. Radioapparatuur zonder enige vorm van internetverbinding — een gewone afstandsbediening, een walkietalkie zonder internetfunctie — valt in de regel buiten alle drie de categorieën.

Wat je moet doen

Aantonen dat het product aan de drie eisen voldoet, als onderdeel van de bredere CE-conformiteitsbeoordeling onder de RED. Dat kan door de geharmoniseerde normen te volgen die de Commissie voor dit doel heeft aangewezen, of door een andere weg te kiezen waarmee hetzelfde beschermingsniveau wordt aangetoond. De technische documentatie moet dit onderbouwen en beschikbaar zijn voor de toezichthouder.

De drie categorieën apparatuur

Artikel 3, lid 3, onder d (netwerkbescherming) geldt voor alle radioapparatuur die zelfstandig via internet kan communiceren, rechtstreeks of via andere apparatuur. Onder e (persoonsgegevens en privacy) valt diezelfde internetverbonden apparatuur, plus apparatuur die specifiek voor kinderopvang is bedoeld, speelgoed onder de Speelgoedrichtlijn (2009/48/EG), en draagbare apparatuur die op het lichaam wordt gedragen — steeds mits zij persoonsgegevens kan verwerken. Onder f (fraudebescherming) valt internetverbonden apparatuur waarmee de gebruiker geld, monetaire waarde of virtuele valuta kan overmaken.

De EN 18031-normen

Voor de drie eisen zijn drie geharmoniseerde normen ontwikkeld: EN 18031-1 voor netwerkbescherming, EN 18031-2 voor persoonsgegevens en privacy, en EN 18031-3 voor fraudebescherming. Het volgen van een geharmoniseerde norm geeft een fabrikant een vermoeden van conformiteit met de bijbehorende essentiële eis.

Beperkingen op de normen

Bij de publicatie van de referentie van de EN 18031-normen in het Publicatieblad zijn beperkingen (‘restrictions’) aangetekend: de normen dekken niet op ieder punt volledig de essentiële eis waarop ze zien, zodat het vermoeden van conformiteit niet zonder meer voor de volle breedte van de eis geldt. Voor fabrikanten betekent dit dat het volgen van EN 18031 alleen niet altijd voldoende is; op de punten die de beperking betreft, moet aanvullend worden aangetoond dat aan de eis is voldaan. De precieze inhoud van deze beperkingen — welke onderdelen van de norm wel en niet zijn gedekt — is in dit onderzoek niet bij de brontekst in het Publicatieblad geverifieerd.

Zelfcertificering of aangemelde instantie

Bij volledige en juiste toepassing van een geharmoniseerde norm zonder beperkingen kan een fabrikant in beginsel zelf certificeren (interne productiecontrole). Waar geen geharmoniseerde norm is gevolgd, of waar een norm — zoals bij EN 18031 het geval is — een beperking kent, is voor de niet-gedekte onderdelen een aangemelde instantie nodig om de conformiteit te beoordelen.

Uitstel van de invoering

De verordening zelf schreef aanvankelijk 1 augustus 2024 als toepassingsdatum voor. Gedelegeerde Verordening (EU) 2023/2444 heeft die datum met een jaar uitgesteld naar 1 augustus 2025, omdat de Europese normalisatieorganisaties CEN en Cenelec meer tijd nodig hadden om de EN 18031-normen af te ronden.

Verhouding tot de Cyber Resilience Act

De CRA stelt vanaf 11 december 2027 een breder eisenpakket voor kwetsbaarhedenbeheer en productbeveiliging verplicht voor vrijwel alle producten met digitale elementen, dus ook voor radioapparatuur. Deze drie RED-cybereisen zijn dan bedoeld te worden geabsorbeerd door dat bredere kader, zodat fabrikanten niet met twee overlappende regimes te maken krijgen. Tot die datum blijft deze gedelegeerde verordening het geldende recht voor radioapparatuur.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) is de nationale markttoezichthouder voor radioapparatuur onder de Telecommunicatiewet.

Boete

De verordening zelf bevat geen sanctiebepaling. Handhaving verloopt via de Nederlandse implementatie van de RED in de Telecommunicatiewet en het bijbehorende marktoezicht van de RDI, die onder meer een product uit de handel kan laten nemen; de bestuurlijke boetebedragen die daarbij horen zijn in dit onderzoek niet geverifieerd.

Eerstvolgende datum: 11 dec 2027 · nog 1 jaar — Cyber Resilience Act neemt dit regime grotendeels over

Hele dossier →

Voor elf categorieën digitale dienstverleners heeft Brussel de open zorgplicht van NIS2 zelf ingevuld, met een bijlage vol concrete technische en methodologische eisen en met getalsmatige drempels voor de vraag wanneer een incident significant is en dus gemeld moet worden. De verordening werkt rechtstreeks: zij hoeft niet in Nederlands recht te worden omgezet en gaat vóór op de Nederlandse invulling. Voor Nederlandse cloud-, datacenter-, MSP- en MSSP-partijen is dit daarmee de meest concrete tekst die er over cyberbeveiliging bestaat — concreter dan de Cyberbeveiligingswet, die voor andere sectoren met open normen werkt.

Waarvoor is dit bedoeld

De zorgplicht van NIS2 is opzettelijk open geformuleerd, zodat elke sector haar op eigen wijze kan invullen. Voor digitale dienstverleners werkt dat niet: zij leveren grensoverschrijdend, en een eis die per lidstaat anders wordt uitgelegd levert elf verschillende nalevingsregimes op. Daarom stelt deze uitvoeringsverordening de technische en methodologische vereisten van de maatregelen van artikel 21, lid 2, van de NIS2-richtlijn voor deze groep zelf vast, samen met de criteria van artikel 23, lid 3, voor de vraag wanneer een incident significant is.

Voor wie

Artikel 1 noemt de relevante entiteiten: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud (CDN’s), aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, aanbieders van onlinezoekmachines, aanbieders van platforms voor socialenetwerkdiensten en verleners van vertrouwensdiensten. De verordening kent zelf geen omvangdrempel: zij geldt voor deze entiteiten voor zover zij op grond van de NIS2-richtlijn en de nationale omzetting essentiële of belangrijke entiteit zijn. Voor een Nederlands IT-bedrijf betekent dat in de praktijk: eerst de drempeltoets van de Cyberbeveiligingswet, en als die wordt gehaald geldt deze verordening in plaats van de Nederlandse uitwerking.

Wat er niet onder valt

Andere sectoren die onder NIS2 vallen — energie, vervoer, zorg, vervaardiging, overheid en de rest — vallen buiten deze verordening en volgen de nationale invulling. IT-bedrijven die de omvangdrempel van de Cyberbeveiligingswet niet halen, vallen er evenmin onder, al kunnen zij de eisen via contracten van hun afnemers alsnog tegenkomen. De verordening vervangt Uitvoeringsverordening (EU) 2018/151, die onder de oude NIS-richtlijn gold.

Wat je moet doen

De vereisten uit de bijlage aantoonbaar toepassen, en de significantiedrempels kennen, zodat duidelijk is wanneer de meldklok van 24 uur gaat lopen. Artikel 2 voegt daar een proportionaliteitsregel aan toe: entiteiten zorgen voor een beveiligingsniveau dat past bij hun blootstelling aan risico, hun omvang en de waarschijnlijkheid en ernst van incidenten. Waar de bijlage formuleringen gebruikt als ‘waar passend’, ‘indien van toepassing’ of ‘voor zover haalbaar’, en een entiteit besluit een eis niet toe te passen, moet zij haar motivering vastleggen.

Hoe de bijlage is opgebouwd

De bijlage loopt langs de onderwerpen beveiligingsbeleid, risicobeheer, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij verwerving, ontwikkeling en onderhoud, patchbeheer, beoordeling van de doeltreffendheid van de maatregelen, netwerkbeveiliging, bescherming tegen kwaadaardige software, cyberhygiëne en opleiding, cryptografie, personeelsbeveiliging, toegangsbeheer, beheer van bedrijfsmiddelen en fysieke beveiliging.

Wat er concreet wordt geëist

Enkele voorbeelden uit de bijlage. Het beveiligingsbeleid wordt ten minste jaarlijks geëvalueerd en door de bestuursorganen goedgekeurd, en ten minste één persoon rapporteert rechtstreeks aan het bestuur. Het risicobeheerkader bevat risicocriteria en tolerantieniveaus en wordt jaarlijks geactualiseerd. Bij incidentafhandeling horen logging en monitoring van netwerkverkeer, gebruikersacties en authenticatie, gesynchroniseerde tijdsbronnen om logs te kunnen correleren, en een vooraf bepaalde bewaartermijn. De bedrijfscontinuïteitsanalyse legt maximaal toelaatbare uitvalduur en herstelpunten vast; back-ups worden getest. Er wordt regelmatig getest met penetratietests en kwetsbaarheidsscans, ook bij wijzigingen en upgrades. Multifactorauthenticatie wordt toegepast bij toegang op afstand, bij gevoelige informatie en bij accounts met verhoogde rechten. Er is een inventaris van bedrijfsmiddelen met ten minste identificatiecode, eigenaar, beschrijving, locatie en type. En de fysieke beveiliging omvat brandmelding en -bestrijding, brandoefeningen en -inspecties, overspanningsbeveiliging en noodstroom.

Wanneer is een incident significant

Artikel 3 geeft de algemene criteria. Een incident is in elk geval significant als het directe financiële verliezen veroorzaakt van meer dan 500.000 euro of vijf procent van de jaaromzet — het laagste van de twee bedragen geldt — of als het heeft geleid tot het uitlekken van bedrijfsgeheimen, tot overlijden of tot ernstige gezondheidsschade, of als het gaat om een geslaagde, kwaadwillige en ongeoorloofde toegang die de dienstverlening heeft verstoord. Daarnaast gelden de drempels per categorie uit de artikelen 5 tot en met 14.

Terugkerende incidenten tellen op

Artikel 4 bepaalt dat incidenten die op zichzelf niet significant zijn, samen als één significant incident gelden wanneer zij binnen zes maanden ten minste twee keer voorkomen, dezelfde kennelijke oorzaak hebben en gezamenlijk de drempel voor directe financiële verliezen halen. Een reeks kleine storingen met dezelfde grondoorzaak kan dus alsnog meldplichtig worden.

De drempels per categorie

Voor cloudcomputingdiensten (artikel 7), CDN’s (artikel 9) en beheerde diensten en beheerde beveiligingsdiensten (artikel 10) geldt hetzelfde stramien: volledige onbeschikbaarheid van meer dan dertig minuten, of beperkte beschikbaarheid van meer dan een uur die meer dan vijf procent van de gebruikers of meer dan een miljoen gebruikers raakt, of kwaadwillige aantasting van opgeslagen gegevens, of aantasting van de integriteit bij dezelfde gebruikersaantallen. Voor DNS-dienstverleners (artikel 5) ligt de grens op onbeschikbaarheid van meer dan dertig minuten, een responstijd van meer dan tien seconden gedurende meer dan een uur, of aantasting van de gegevensintegriteit bij meer dan één procent van de beheerde domeinnamen. Voor registers voor topleveldomeinnamen (artikel 6) telt elke volledige onbeschikbaarheid mee. Voor datacentrumdiensten (artikel 8) gaat het om volledige onbeschikbaarheid, beperkte beschikbaarheid van meer dan een uur, en gecompromitteerde fysieke toegang.

Marktplaatsen, zoekmachines en sociale netwerken

Voor onlinemarktplaatsen (artikel 11), onlinezoekmachines (artikel 12) en socialenetwerkplatforms (artikel 13) is de maatstaf niet de duur maar het bereik: volledige of beperkte onbeschikbaarheid die meer dan vijf procent van de gebruikers in de Unie of meer dan een miljoen gebruikers raakt, kwaadwillige aantasting van opgeslagen gegevens, of aantasting van de integriteit bij dezelfde aantallen.

Vertrouwensdiensten apart

Voor verleners van vertrouwensdiensten gelden in artikel 14 strengere drempels: onbeschikbaarheid van meer dan twintig minuten, of cumulatief meer dan een uur per week; beperkte beschikbaarheid die meer dan één procent van de gebruikers of vertrouwende partijen raakt of meer dan tweehonderdduizend van hen; gecompromitteerde fysieke toegang tot ruimten met beperkte toegang; en aantasting van de gegevensintegriteit bij meer dan 0,1 procent van de gebruikers of vertrouwende partijen, of bij meer dan honderd van hen. Volgens de overwegingen is die aparte behandeling ingegeven door het grensoverschrijdende karakter van deze diensten.

Verhouding tot de Cyberbeveiligingswet

Artikel 4 van het Cyberbeveiligingsbesluit stelt precies deze categorieën vrij van de artikelen 6 tot en met 18 van dat besluit — de Nederlandse uitwerking van de zorgplicht — omdat de uitvoeringsverordening voor hen rechtstreeks geldt. Registratieplicht, meldroute, bestuursverplichtingen en handhaving lopen wél gewoon via de Cyberbeveiligingswet. Nederlandse cloud-, datacenter-, MSP- en MSSP-partijen hebben dus twee teksten nodig: deze verordening voor de inhoud van de maatregelen, en de Cbw voor de procedure eromheen.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur is voor digitale infrastructuur, beheer van ICT-diensten en digitale aanbieders de toezichthouder; het NCSC is het CSIRT en het meldpunt. De verordening zelf wijst geen toezichthouder aan: dat doet de nationale wet.

Boete

De verordening bevat geen eigen sanctiebepalingen. Handhaving verloopt via de nationale omzetting van NIS2, in Nederland hoofdstuk 15 van de Cyberbeveiligingswet, waarvan de maximumbedragen niet te achterhalen waren.

Hele dossier →

BIO2 is het rijksbrede normenkader voor informatiebeveiliging bij de Nederlandse overheid, gebaseerd op de internationale normen NEN-EN-ISO/IEC 27001 en 27002. Het geldt voor het Rijk, gemeenten, provincies en de meeste overige overheidslagen; waterschappen volgen een eigen normenkader. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is BIO2 niet langer alleen een interbestuurlijke afspraak maar de concrete invulling van een wettelijke zorgplicht, met de RDI als toezichthouder die daadwerkelijk kan handhaven. Voor een ondernemer die aan de overheid levert, is BIO2 vooral zichtbaar via de aanbesteding: overheidsopdrachtgevers vertalen het normenkader naar concrete inkoopeisen waaraan leveranciers moeten voldoen.

Waarvoor is dit bedoeld

Eén gemeenschappelijke basis voor informatiebeveiliging bij de hele Nederlandse overheid, zodat niet elke gemeente, provincie of uitvoeringsorganisatie zelf het wiel opnieuw hoeft uit te vinden en zodat overheden onderling en met leveranciers dezelfde taal spreken over beveiligingsniveaus.

Voor wie

Het Rijk, gemeenten, provincies en de overige overheidslagen die het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) vertegenwoordigt. Waterschappen vallen hier niet onder: zij volgen een eigen normenkader voor informatiebeveiliging.

Wat er niet onder valt

Private bedrijven hebben geen eigen, rechtstreekse BIO2-plicht: de norm richt zich op overheidsorganisaties. Een leverancier krijgt ermee te maken zodra een overheidsopdrachtgever BIO2 vertaalt naar contractuele of aanbestedingseisen — niet omdat de wet dat rechtstreeks aan het bedrijf oplegt.

Wat je moet doen (als overheidsleverancier)

Voldoen aan de informatiebeveiligingseisen die de opdrachtgever uit BIO2 afleidt, doorgaans via het inkoopinstrument ICO (Inkoopeisen Cybersecurity Overheid). Waar de opdrachtgever een ISO 27001-certificaat als bewijs vraagt, moet de leverancier dat kunnen overleggen; zonder zo'n eis is aantonen op andere wijze mogelijk.

Basis in ISO 27001/27002

BIO2 vertaalt en concretiseert deze twee internationale normen naar de Nederlandse overheidscontext: NEN-EN-ISO/IEC 27001 voor het managementsysteem voor informatiebeveiliging, en NEN-EN-ISO/IEC 27002 voor de concrete beheersmaatregelen.

Van BIO naar BIO2

BIO2 is de doorontwikkelde opvolger van de eerdere Baseline Informatiebeveiliging Overheid, die al langer als interbestuurlijk normenkader gold maar minder direct aansloot bij de actuele ISO-normen en bij de eisen van de Cyberbeveiligingswet.

Vaststelling en versies

Het OBDO stelde BIO2 vast op 23 september 2025. Versie 1.3 is gepubliceerd in de Staatscourant op 5 maart 2026; eerdere versienummers wijzen op tussentijdse actualisaties van het normenkader.

Wettelijke verankering

Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking is getreden, wordt BIO2 gebruikt als nadere invulling van de zorgplicht van die wet voor de sector overheid. Daarmee is BIO2 niet langer vrijblijvend beleid, maar de maatstaf waaraan de RDI overheidsorganisaties kan houden.

Hoe dit bij leveranciers terechtkomt

Via het inkoopinstrument ICO en de bijbehorende ICO-Wizard: overheidsinkopers stellen daarmee een set informatiebeveiligingseisen samen voor een specifieke aanbesteding of contract, afgeleid van BIO2. Wie als bedrijf een overheidsopdracht wil binnenhalen of behouden, krijgt die eisen in de aanbestedingsstukken of het contract voorgelegd.

Rol van ISO-certificering

Een ISO 27001-certificaat is niet als zodanig wettelijk verplicht, maar wordt in aanbestedingen regelmatig gevraagd als het meest directe bewijs dat een leverancier aan een vergelijkbaar beveiligingsniveau voldoet als BIO2 vereist.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op de sector overheid, met uitzondering van de waterschappen.

Boete

Voor overheidsorganisaties zelf is een boetestelsel niet vastgesteld in het onderzoek dat aan deze tekst ten grondslag ligt; handhaving door de RDI onder de Cyberbeveiligingswet loopt eerder via aanwijzingen en herstelmaatregelen dan via bestuurlijke boetes aan overheidsorganisaties. Voor leveranciers is er sowieso geen publiekrechtelijke boete: hun prikkel om te voldoen ligt in het contract met de overheidsopdrachtgever, niet in overheidstoezicht op henzelf.

Hele dossier →

De Vifo-wet verplicht wie zeggenschap krijgt over een ‘vitale aanbieder’ of een onderneming met ‘sensitieve technologie’ — of wie daarin een aanmerkelijke minderheidspositie neemt — dit vooraf te melden bij het Bureau Toetsing Investeringen (BTI), dat toetst op risico's voor de nationale veiligheid. Anders dan de sectorale toetsen die al langer bestaan voor telecom en energie, is dit de algemene vangnetregeling die geldt ongeacht sector, zodra een vitale aanbieder of sensitieve technologie is betrokken. Voor een ondernemer die zijn bedrijf verkoopt of een investeerder toelaat, betekent dit dat de transactie pas mag worden voltrokken nadat de toets is doorlopen: melden is niet vrijblijvend, en wie het nalaat riskeert dat de transactie zelf geen effect heeft.

Waarvoor is dit bedoeld

Een generieke, sectoroverstijgende screening op risico's voor de nationale veiligheid bij wijzigingen van zeggenschap in bedrijven die vitale processen uitvoeren of over sensitieve technologie beschikken. De wet vult de bestaande sectorale investeringstoetsen voor telecom en energie aan met een vangnet voor de rest van de vitale infrastructuur en voor technologiebedrijven, en sluit aan bij het Europese screeningskader van Verordening (EU) 2019/452.

Voor wie

Twee groepen doelvennootschappen. Vitale aanbieders: bedrijven die een vitaal proces uitvoeren, zoals aangewezen door de NCTV — denk aan onderdelen van de energie- en gassector, telecommunicatie inclusief internettoegang, en overige vitale infrastructuur en vitale processen. Ondernemingen met sensitieve technologie: bedrijven met kennis van of informatie over technologie die bij misbruik gevolgen kan hebben voor de nationale veiligheid, nader afgebakend bij algemene maatregel van bestuur. De meldplicht rust op zowel de verkrijgende partij als de doelvennootschap.

Wat er niet onder valt

Bedrijven in sectoren die al een eigen, specifiek op die sector toegesneden investeringstoets kennen — zoals bepaalde bank- en havenfaciliteiten — vallen buiten deze algemene regeling en blijven onder hun eigen sectorale toets. Transacties zonder wijziging van zeggenschap of significante invloed, zoals een zuiver interne herstructurering zonder verandering van uiteindelijke controle, vallen in beginsel buiten de meldplicht.

Wat je moet doen

Vóór het voltrekken van de transactie melden bij het BTI, en de uitkomst van de beoordeling afwachten voordat zeggenschap daadwerkelijk overgaat. Zowel de partij die zeggenschap verkrijgt als de doelvennootschap kan de melding doen; in de praktijk ligt het initiatief vaak bij de verkrijgende partij, omdat die belang heeft bij een tijdige en volledige melding.

Drempels: zeggenschap en significante invloed

De wet werkt met een getrapt stelsel: voor vitale aanbieders geldt een zeggenschapsdrempel, voor sensitieve technologie een lager gelegen drempel van ‘significante invloed’ die eerder wordt bereikt dan volledige zeggenschap. De precieze percentages waarop deze drempels in de wet zijn vastgesteld, konden in dit onderzoek niet bij de brontekst worden bevestigd — zie onzeker.

Terugwerkende kracht

De meldplicht kan terugwerken tot 8 september 2020, de datum waarop het kabinet het toekomstige wetsvoorstel aankondigde. Transacties die vanaf die datum hebben plaatsgevonden en die pas nu, met terugwerkende kracht, als meldingsplichtig worden aangemerkt, kunnen alsnog door het BTI worden getoetst. Dit voorkomt dat partijen tussen aankondiging en inwerkingtreding een overname naar voren zouden halen om de toets te ontlopen.

Standstill-verplichting

Zolang de beoordeling loopt, mag de transactie niet worden voltrokken: zeggenschap mag pas daadwerkelijk overgaan nadat het BTI heeft laten weten dat er geen bezwaar is, eventueel onder voorwaarden, of nadat de beoordelingstermijn zonder ingrijpen is verstreken.

Doorlooptijd

De toets kent een eerste beoordelingsfase; blijkt daarbij aanleiding voor nader onderzoek, dan volgt een verdiepingsfase die langer duurt. De exacte wettelijke termijnen van beide fasen zijn in dit onderzoek niet bij de brontekst geverifieerd.

Gevolgen van niet melden

Een transactie die had moeten worden gemeld maar dat niet is, of die is voltrokken terwijl de standstill-verplichting nog liep, kan nietig zijn: zij heeft dan rechtens geen effect, ook al is zij feitelijk uitgevoerd. Het BTI kan bovendien alsnog ingrijpen zodra de niet-gemelde transactie aan het licht komt.

Sectorale toetsen ernaast

Telecom en energie kenden al vóór de Vifo-wet een eigen investeringstoets; het BTI voert die sectorale toetsen inmiddels naast de algemene Vifo-toets uit, zodat een transactie in die sectoren aan het specifieke sectorale kader wordt getoetst en niet aan het algemene vitale-aanbiederskader.

Wat het BTI verder doet

Het BTI houdt sinds april 2022 ook toezicht op de sanctiemaatregelen tegen Rusland en Belarus voor niet-beursgenoteerde vennootschappen — een aanpalende taak die losstaat van de Vifo-toets zelf, maar bij dezelfde organisatie is belegd.

Toezicht NL

Het Bureau Toetsing Investeringen (BTI), onderdeel van het ministerie van Economische Zaken, voert de melding, de beoordeling en de handhaving uit.

Boete

De wet voorziet in handhavingsmogelijkheden voor het BTI, waaronder het ongedaan maken van een niet-gemelde transactie. De precieze bestuurlijke boetebedragen die de wet daarnaast kent, zijn in dit onderzoek niet bij de brontekst geverifieerd.

Hele dossier →

De AI-verordening deelt AI-systemen in naar risico en verbindt daar verplichtingen aan: een handvol praktijken is verboden, een afgebakende groep toepassingen geldt als hoog risico en krijgt zware productachtige eisen, en voor de rest blijft het bij transparantie. Ze richt zich niet op één sector maar op iedereen die AI in de EU in de handel brengt of beroepsmatig gebruikt, ook op aanbieders buiten de EU van wie de uitvoer in de EU wordt gebruikt. Anders dan de AVG, die over het verwerken van persoonsgegevens gaat, is dit productwetgeving: het draait om wat een systeem is en doet, niet om wiens gegevens erin zitten. De invoering loopt in stappen door tot 2030; sinds 2 augustus 2026 geldt het grootste deel, maar juist de hoog-risico-eisen zijn uitgesteld.

Waarvoor is dit bedoeld

Eén Europees regime voor AI, zodat een systeem dat in de ene lidstaat is toegelaten overal mag worden gebruikt en tegelijk gezondheid, veiligheid en grondrechten beschermd blijven. De verordening werkt rechtstreeks: er is geen omzettingswet nodig om de verplichtingen te laten gelden, alleen nationale wetgeving om toezicht en sancties te beleggen.

Voor wie

Er is geen omzet- of personeelsdrempel; ook een bedrijf van tien of dertig man valt eronder zodra het AI ontwikkelt of beroepsmatig gebruikt. Wat je moet doen hangt af van je rol. Aanbieder is wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk in de handel brengt of in gebruik stelt (art. 3, punt 3). Gebruiksverantwoordelijke — in het Engels deployer — is wie een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve in een puur persoonlijke, niet-beroepsmatige activiteit (art. 3, punt 4). Een bedrijf dat een ingekochte AI-tool inzet is vrijwel altijd gebruiksverantwoordelijke en heeft aanmerkelijk lichtere plichten dan de leverancier. Het schuift op naar aanbieder als het zijn naam of merk op een hoog-risicosysteem zet, het systeem substantieel wijzigt, of het beoogde doel zo verandert dat een systeem daardoor hoog risico wordt (art. 25).

Wat er niet onder valt

AI die uitsluitend voor militaire, defensie- of nationale-veiligheidsdoeleinden wordt gebruikt. AI die uitsluitend voor wetenschappelijk onderzoek en ontwikkeling is gemaakt, en onderzoeks-, test- en ontwikkelactiviteiten vóór het in de handel brengen — testen onder reële omstandigheden telt wél mee. Gebruik door een natuurlijke persoon in een puur persoonlijke, niet-beroepsmatige activiteit. Gratis en opensource-AI, tenzij het om een verboden praktijk, een hoog-risicosysteem of een systeem onder artikel 50 gaat. Verder valt software die geen AI-systeem is erbuiten: klassieke, volledig door mensen vastgelegde beslisregels halen de definitie niet; de Commissie publiceerde daarover op 6 februari 2025 richtsnoeren. Machines onder de Machineverordening zijn sinds de Digital Omnibus verplaatst naar bijlage I, deel B: daarvoor gelden alleen artikel 6, lid 1, artikel 60 bis en de artikelen 102 tot en met 112 (art. 2, lid 2).

Wat je moet doen

Voor het overgrote deel van de bedrijven komt het er nu op neer: geen verboden praktijk toepassen, maatregelen nemen die de AI-geletterdheid van het personeel ondersteunen, en sinds 2 augustus 2026 de transparantieplichten van artikel 50 naleven. Wie hoog-risico-AI aanbiedt of gebruikt heeft langer de tijd — 2 december 2027 of 2 augustus 2028 — maar het werk daarvoor (risicobeheersysteem, datakwaliteit, technische documentatie, logging, menselijk toezicht, conformiteitsbeoordeling en CE-markering) loopt over jaren en hangt af van geharmoniseerde normen die nog niet klaar zijn.

Wat sinds 2 augustus 2026 geldt

Dat is de algemene toepassingsdatum uit artikel 113. Sindsdien gelden onder meer de transparantieplichten van artikel 50, het hoofdstuk over markttoezicht en klachten, de bepalingen over testomgevingen en steun aan mkb, en artikel 101, dat de Europese Commissie de bevoegdheid geeft aanbieders van AI-modellen voor algemene doeleinden te beboeten. Wat op deze datum níét is ingegaan zijn de eisen aan hoog-risico-AI; die zijn door de Digital Omnibus doorgeschoven.

Vier risiconiveaus

Onaanvaardbaar risico: verboden. Hoog risico: toegestaan onder zware voorwaarden. Transparantierisico: toegestaan mits duidelijk is dat er AI in het spel is. Alle overige AI: geen specifieke verplichtingen uit deze verordening, op AI-geletterdheid na. Het regime voor AI-modellen voor algemene doeleinden staat los van deze indeling.

Verboden praktijken

Artikel 5 verbiedt sinds 2 februari 2025 acht praktijken: manipulatie via subliminale of misleidende technieken; uitbuiting van kwetsbaarheden door leeftijd, handicap of sociale of economische situatie; sociale scoring; het voorspellen van strafbaar gedrag uitsluitend op basis van profilering of persoonlijkheidskenmerken; ongerichte scraping van gezichtsbeelden voor gezichtsherkenningsdatabanken; emotieherkenning op de werkplek en in het onderwijs, behalve om medische of veiligheidsredenen; biometrische categorisering om gevoelige kenmerken af te leiden; en realtime biometrische identificatie op afstand in openbare ruimten door rechtshandhaving. Vooral het verbod op emotieherkenning raakt gewone werkgevers: software die uit stem, gezicht of toetsaanslagen de emoties van medewerkers afleidt, mag niet. Per 2 december 2026 komen er twee verboden bij: AI voor non-consensuele intieme beelden en voor materiaal van seksueel kindermisbruik (art. 5, lid 1, punten b bis en b ter).

Hoog risico, twee routes

Route één (art. 6, lid 1): het AI-systeem is een veiligheidscomponent van — of zelf — een product dat onder de EU-productwetgeving van bijlage I valt en waarvoor een keuring door een derde partij nodig is. Route twee (art. 6, lid 2 en bijlage III): het systeem wordt gebruikt in een van acht gebieden — biometrie, kritieke infrastructuur, onderwijs, werk en personeelsbeheer, toegang tot essentiële particuliere en publieke diensten (waaronder kredietwaardigheidsbeoordeling en het tariferen van levens- en ziektekostenverzekeringen), rechtshandhaving, migratie en asiel, en rechtsbedeling en democratische processen. Voor het mkb is het vierde gebied het meest waarschijnlijke aanknopingspunt: AI die sollicitanten selecteert, vacatures gericht uitzet, prestaties beoordeelt of meebeslist over promotie, taaktoewijzing of ontslag. Een systeem uit bijlage III is tóch niet hoog risico als het geen significant risico oplevert én alleen een enge procedurele taak verricht, een eerder afgerond menselijk handelen verbetert, afwijkingen van eerdere beslispatronen signaleert zonder het menselijk oordeel te vervangen, of louter voorbereidend werk doet (art. 6, lid 3) — profilering van personen blijft altijd hoog risico. Die beoordeling moet vóór het in de handel brengen zijn vastgelegd, en registratie in de EU-databank blijft dan toch verplicht (art. 6, lid 4 en art. 49, lid 2).

Wat een gebruiksverantwoordelijke bij hoog risico moet doen

Vanaf 2 december 2027: het systeem gebruiken volgens de gebruiksaanwijzing, het menselijk toezicht beleggen bij mensen met de nodige bekwaamheid, opleiding en bevoegdheid, zorgen dat de inputdata die je zelf aanlevert relevant en voldoende representatief is, de automatisch gegenereerde logs ten minste zes maanden bewaren, en de aanbieder en de toezichthouder waarschuwen bij een risico of een ernstig incident (art. 26). Een werkgever moet daarnaast de personeelsvertegenwoordiging en de betrokken werknemers informeren vóórdat hij een hoog-risicosysteem op de werkvloer in gebruik neemt (art. 26, lid 7). Artikel 27 verplicht sommige gebruiksverantwoordelijken bovendien tot een beoordeling van de gevolgen voor de grondrechten: publiekrechtelijke instanties, private partijen die openbare diensten verlenen, en — ook zuiver commerciële — gebruikers van AI voor kredietwaardigheidsbeoordeling en voor risicobeoordeling en tarifering bij levens- en ziektekostenverzekeringen; de uitkomst moet naar de markttoezichtautoriteit.

Transparantieplichten

Sinds 2 augustus 2026. De aanbieder moet een systeem dat rechtstreeks met mensen communiceert zo inrichten dat duidelijk is dat het om AI gaat, tenzij dat voor een redelijk oplettende gebruiker evident is, en moet synthetische audio, beeld, video en tekst machineleesbaar markeren als kunstmatig gegenereerd of gemanipuleerd. De gebruiksverantwoordelijke moet deepfakes als zodanig bekendmaken, moet bij emotieherkenning of biometrische categorisering de betrokkenen informeren, en moet AI-gegenereerde tekst die wordt gepubliceerd om het publiek over zaken van algemeen belang te informeren als zodanig aanmerken, tenzij een mens de redactionele verantwoordelijkheid draagt. De informatie moet uiterlijk bij het eerste contact worden gegeven, duidelijk en toegankelijk (art. 50). Systemen die al vóór 2 augustus 2026 op de markt waren, moeten uiterlijk 2 december 2026 aan de markeringsplicht van artikel 50, lid 2 voldoen (art. 111, lid 4).

AI-geletterdheid

Artikel 4 geldt sinds 2 februari 2025 voor aanbieders én gebruiksverantwoordelijken, ongeacht omvang: maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij eigen personeel en bij anderen die namens hen met AI werken, rekening houdend met hun kennis en ervaring en met de context waarin het systeem wordt gebruikt. De Digital Omnibus herformuleerde de bepaling in die richting en legde Commissie en lidstaten een ondersteuningstaak op, met praktijkvoorbeelden op één informatieplatform, in het bijzonder voor mkb. Artikel 4 komt niet voor in de opsomming van bepalingen waaraan artikel 99, lid 4 een boete verbindt.

AI-modellen voor algemene doeleinden

Sinds 2 augustus 2025 gelden aparte verplichtingen voor wie een GPAI-model in de handel brengt: technische documentatie, informatie aan afnemers die het model inbouwen, een auteursrechtenbeleid en een voldoende gedetailleerde samenvatting van de trainingsdata. Boven een drempel van 10^25 floating point operations aan trainingsrekenkracht wordt systeemrisico vermoed (art. 51), en komen modelevaluatie, risicobeperking, incidentmelding en cyberbeveiliging erbij. Modellen die vóór 2 augustus 2025 in de handel waren, moeten uiterlijk 2 augustus 2027 voldoen. Een bedrijf dat zo’n model alleen afneemt en in een eigen toepassing verwerkt, is daarmee geen aanbieder van het model.

Verlichting voor mkb en small mid-caps

De Digital Omnibus voegde twee definities toe (art. 3, punten 14 bis en 14 ter). Mkb volgt Aanbeveling 2003/361/EG: minder dan 250 werkzame personen en ten hoogste 50 miljoen euro omzet of 43 miljoen euro balanstotaal. Small mid-cap volgt Aanbeveling (EU) 2025/1099: geen mkb, minder dan 750 werkzame personen en ten hoogste 150 miljoen euro omzet of 129 miljoen euro balanstotaal. De verlichting is procedureel, geen vrijstelling: vereenvoudigde technische documentatie, kwaliteitsbeheer en AI-geletterdheid naar rato van de omvang van de organisatie, voorrang bij nationale testomgevingen, lagere keuringstarieven (art. 62) en een boeteplafond op het laagste van bedrag of percentage (art. 99, lid 6).

Toezicht NL

Nog niet wettelijk belegd. De beoogde opzet: de Rijksinspectie Digitale Infrastructuur en de Autoriteit Persoonsgegevens samen coördinerend, met een gezamenlijk AI-coördinatiecentrum en de RDI als centraal contactpunt richting Brussel, naast sectorale toezichthouders — ILT, IGJ, NVWA, de Nederlandse Arbeidsinspectie, AFM en DNB — op hun eigen domein. De aanwijzing gebeurt in de Uitvoeringswet AI-verordening, die per 11 september 2026 nog niet bij de Tweede Kamer is ingediend, terwijl de Europese termijn om markttoezichtautoriteiten aan te wijzen en bekend te maken op 2 augustus 2025 verstreek. Het toezicht op AI-modellen voor algemene doeleinden ligt exclusief bij de Europese Commissie en haar AI-bureau.

Boete

Artikel 99: voor verboden praktijken tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, het hoogste van beide. Voor de meeste andere verplichtingen van aanbieders en gebruiksverantwoordelijken, waaronder artikel 50, tot 15 miljoen euro of 3 procent. Voor onjuiste of misleidende informatie aan toezichthouders tot 7,5 miljoen euro of 1 procent. Voor mkb en start-ups geldt telkens het laagste van bedrag en percentage (art. 99, lid 6). Aanbieders van AI-modellen voor algemene doeleinden krijgen hun boete rechtstreeks van de Commissie: tot 15 miljoen euro of 3 procent (art. 101). In Nederland kan op dit moment geen bestuurlijke boete worden opgelegd, omdat de nationale grondslag daarvoor ontbreekt.

Eerstvolgende datum: 2 dec 2026 · nog 3 maanden — Verbod op non-consensuele intieme beelden en op materiaal van seksueel kindermisbruik; bestaande generatieve systemen moeten voldoen aan art. 50, lid 2

Hele dossier →

De AI-verordening werkt rechtstreeks, maar laat aan de lidstaten over wie erop toeziet, welke bevoegdheden die toezichthouders krijgen en hoe de boetes worden opgelegd. Dat moet de Uitvoeringswet AI-verordening regelen. Het concept ging op 20 april 2026 in internetconsultatie; per 11 september 2026 ligt er geen wetsvoorstel bij de Tweede Kamer. Zolang de wet er niet is gelden de Europese verplichtingen onverkort, maar ontbreekt in Nederland de grondslag om ze bestuursrechtelijk te handhaven.

Waarvoor is dit bedoeld

De verordening schrijft voor dat elke lidstaat ten minste één aanmeldende autoriteit en ten minste één markttoezichtautoriteit aanwijst, één daarvan als centraal contactpunt, en dat er een nationale sanctieregeling komt binnen de Europese maxima. De uitvoeringswet legt die keuzes vast: welke toezichthouder waarover gaat, welke bevoegdheden zij krijgt en hoe de samenwerking tussen toezichthouders verloopt.

Voor wie

Direct: de toezichthouders zelf. Indirect: elk bedrijf dat AI ontwikkelt of beroepsmatig gebruikt, ongeacht omvang. De wet bepaalt bij welk loket een klacht binnenkomt, wie een bedrijf mag controleren en wie uiteindelijk een boete oplegt. Voor een bedrijf van tien tot vijftig man verandert de wet niets aan wát moet — dat staat in de verordening — maar wel aan wie erop let.

Wat er niet onder valt

De uitvoeringswet herhaalt de verordening niet en schept geen nieuwe materiële verplichtingen. Het toezicht op AI-modellen voor algemene doeleinden blijft exclusief bij de Europese Commissie en haar AI-bureau; daar gaat de Nederlandse wet niet over. En de verboden praktijken, de AI-geletterdheid en de transparantieplichten van artikel 50 gelden ook zonder uitvoeringswet: het ontbreken ervan is geen uitstel van de normen zelf.

Wat je moet doen

Op dit moment niets dat uit deze wet volgt. Wie nu al wil weten bij welke toezichthouder hij thuishoort, kan afgaan op de beoogde verdeling hieronder; die is in de consultatieversie en in de toets van de RDI beschreven, maar nog niet wettelijk vastgelegd en kan in de parlementaire behandeling nog verschuiven.

Stand van zaken

Het conceptwetsvoorstel ging op 20 april 2026 in internetconsultatie. De Rijksinspectie Digitale Infrastructuur bracht op 23 juni 2026 haar uitvoerbaarheids- en handhaafbaarheidstoets uit aan het ministerie van Economische Zaken; die brief is op 3 september 2026 openbaar gemaakt. Per 11 september 2026 is er geen wetsvoorstel aanhangig bij de Tweede Kamer.

Beoogde rolverdeling

De RDI en de Autoriteit Persoonsgegevens worden samen coördinerend toezichthouder en richten een gezamenlijk AI-coördinatiecentrum in; de RDI wordt het centrale contactpunt richting de Europese Commissie en de AI Board. De RDI krijgt daarnaast het markttoezicht op AI in radioapparatuur, samen met de ILT het toezicht op AI in kritieke infrastructuur (bijlage III, punt 2), de rol van aanmeldende autoriteit voor biometrische toepassingen, en het beheer van de nationale testomgeving en een AI Safety and Security Lab. Het NCSC beheert het registratiesysteem voor kritieke infrastructuur. IGJ, NVWA, AFM, DNB en de Nederlandse Arbeidsinspectie zijn betrokken bij de testomgeving; grondrechtentoezichthouders worden geconsulteerd bij systemen met grondrechtenrisico’s.

Wat de RDI signaleert

De RDI acht het voorstel uitvoerbaar, handhaafbaar en fraudebestendig, mits een aantal aandachtspunten wordt meegenomen. Het belangrijkste knelpunt is definitorisch: het begrip veiligheidscomponent kan zeer breed of juist beperkt worden uitgelegd, wat de omvang van de toezichtstaak drastisch verandert, en het is onduidelijk wanneer een AI-systeem bij radioapparatuur zélf als product moet worden gezien. Verder wijst de RDI op capaciteit en kennisopbouw, op onduidelijkheid over wie het registratiesysteem voor kritieke infrastructuur uitvoert — dat moet vóór 2 december 2027 werken — en op de behoefte aan specialistische faciliteiten voor het veilig verwerken van toezichtmateriaal.

Achterstand op de Europese termijn

De verordening verplichtte lidstaten hun markttoezichtautoriteiten en centrale contactpunt uiterlijk 2 augustus 2025 aan te wijzen en publiek te maken. Nederland heeft die termijn ruim overschreden. Dat de Digital Omnibus de hoog-risico-eisen naar 2 december 2027 en 2 augustus 2028 heeft verschoven, verlicht de druk op de inhoudelijke voorbereiding, maar niet op de aanwijzing zelf.

Gevolg zolang de wet er niet is

De verboden praktijken, de AI-geletterdheid en sinds 2 augustus 2026 de transparantieplichten gelden, maar er is geen Nederlandse autoriteit die daarvoor formeel is aangewezen en geen nationale bepaling die de Europese boetemaxima toepasselijk maakt. Bestuursrechtelijke handhaving van de AI-verordening is in Nederland daarmee feitelijk nog niet operationeel. Wat wel doorloopt: toezicht op grond van andere wetten waar AI-gebruik dat raakt, zoals de AVG.

Toezicht NL

Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur als coördinerend duo, met sectorale toezichthouders op hun eigen domein. De AP vervult sinds enkele jaren al de rol van coördinerend algoritmetoezichthouder vanuit haar Directie Coördinatie Algoritmes; die rol berust tot nu toe op kabinetsbeleid, niet op deze wet.

Boete

De boetemaxima staan in de verordening zelf — 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, 15 miljoen euro of 3 procent voor de meeste andere verplichtingen, 7,5 miljoen euro of 1 procent voor onjuiste informatie aan toezichthouders, met voor mkb en start-ups telkens het laagste van bedrag en percentage. Wat de uitvoeringswet daarover regelt en bij welke toezichthouder de boetebevoegdheid komt te liggen, is uit openbare bronnen niet te verifiëren.

Eerstvolgende datum: 2 dec 2027 · nog 1 jaar — Registratiesysteem voor AI in kritieke infrastructuur moet operationeel zijn

Hele dossier →

Drie instrumenten van de rijksoverheid die samen moeten borgen dat de overheid verantwoord met algoritmes en AI omgaat: een online kader dat bestaande wetgeving vertaalt naar concrete vereisten, een publiek register van de algoritmes die de overheid inzet, en een gespreksinstrument om de gevolgen voor grondrechten door te nemen. Geen van drieën is een wet: ze bundelen verplichtingen die elders staan, in de AVG, de Algemene wet bestuursrecht, de Grondwet en de AI-verordening. Voor bedrijven zijn ze alleen indirect van belang, via bestekken en contracten met overheden. Wie ze verwart met de AI-verordening vergist zich in de aard: het kader is beleid, de verordening is recht.

Waarvoor is dit bedoeld

Eén vindplaats waar overheidsorganisaties kunnen zien welke regels gelden bij het ontwikkelen en gebruiken van algoritmes en AI, plus een publiek overzicht van welke algoritmes de overheid daadwerkelijk inzet. Het Algoritmekader vertaalt wetgeving naar vereisten en maatregelen, het Algoritmeregister maakt het gebruik zichtbaar, en het IAMA dwingt een gestructureerd gesprek af over de gevolgen voor mensenrechten.

Voor wie

Bestuursorganen en hun leveranciers. Er is geen omvangsdrempel en geen directe werking richting private partijen: een bedrijf krijgt hiermee te maken zodra het software of AI aan een overheid levert, en dan via het bestek en het contract. Voor de overheid zelf geldt het als vastgesteld beleid, niet als wet.

Wat er niet onder valt

Geen van de drie instrumenten is een wettelijke verplichting. Er is geen zelfstandige sanctie, geen toezichthouder die op het Algoritmekader handhaaft, en geen norm die niet al ergens anders in wet- of regelgeving staat. Private partijen hoeven hun eigen algoritmes niet in het Algoritmeregister te zetten, ook niet als ze voor een overheid werken; registreren doet het bestuursorgaan.

Wat je moet doen

Als leverancier: rekening houden met de vereisten uit het kader als contractuele eis, en met de kans dat de afnemer een IAMA uitvoert waaraan medewerking wordt gevraagd. Als bestuursorgaan: impactvolle algoritmes en hoog-risico-AI-systemen in het Algoritmeregister publiceren en de vereisten per levenscyclusfase afwerken.

Wat het Algoritmekader bevat

62 vereisten, elk herleid tot bestaande regelgeving: 31 uit de AI-verordening, 13 uit de AVG, 2 uit de Algemene wet bestuursrecht, 2 uit de Grondwet, en verder telkens één uit de Archiefwet, het auteursrecht, de Baseline Informatiebeveiliging Overheid, de Databankenwet, de Wet open overheid en het Algoritmeregister zelf. Bij elke vereiste staan maatregelen, geordend naar levenscyclusfase en naar rol — beleid en advies, jurist, ontwikkelaar, projectleider.

Versie

Versie 2.5, gelanceerd op 24 maart 2026. Dat was vooral een vormgevingsupdate; het kader meldt zelf dat de inhoud niet is gewijzigd.

Algoritmeregister

Op 11 september 2026 stonden er 1.553 registraties in. Het register richt zich op impactvolle algoritmes, waaronder hoog-risico-AI-systemen, en wordt gevuld door gemeenten, waterschappen, uitvoeringsorganisaties en andere bestuursorganen. De grondslag is vastgesteld kabinetsbeleid — onder meer de geactualiseerde Werkagenda Waardengedreven Digitaliseren — en niet een wettelijke bepaling.

IAMA

Het Impact Assessment Mensenrechten en Algoritmes is in 2021 door de Utrecht Data School ontwikkeld in opdracht van het ministerie van Binnenlandse Zaken. Het is een gespreksinstrument, geen afvinklijst, en niet wettelijk verplicht; het kader beveelt het aan bij hoog-risico-AI en impactvolle algoritmes. In februari 2026 is het geactualiseerd, dichter bij de praktijk en bij de AI-verordening gebracht, met een aparte toelichting erbij.

Verhouding tot de AI-verordening

Het Nederlandse register en de Europese registratieplicht zijn twee verschillende dingen. De AI-verordening laat aanbieders van hoog-risico-AI, en overheidsinstanties die zulke systemen gebruiken, registreren in een EU-databank (art. 49 en 71); die plicht gaat pas in op 2 december 2027, nadat de Digital Omnibus de hoog-risico-eisen had doorgeschoven. Ook de grondrechtentoets van artikel 27 van de verordening lijkt op het IAMA maar valt er niet mee samen: artikel 27 schrijft een eigen inhoud voor en verplicht tot melding van de uitkomst aan de markttoezichtautoriteit.

Toezicht NL

Niemand houdt toezicht op het Algoritmekader als zodanig. De Autoriteit Persoonsgegevens vervult de rol van coördinerend algoritmetoezichthouder en bereidt vanuit haar Directie Coördinatie Algoritmes het AI-toezicht voor; handhaving loopt langs de onderliggende wetten, in de praktijk vooral de AVG. Daarnaast onderzoeken de Algemene Rekenkamer en lokale rekenkamers het algoritmegebruik van overheden.

Boete

Geen. Op het niet naleven van het Algoritmekader, het niet registreren in het Algoritmeregister of het overslaan van een IAMA staat geen sanctie. Boetes kunnen alleen volgen uit de onderliggende wetgeving, en voor de AI-verordening pas zodra de Nederlandse uitvoeringswet er is.

Eerstvolgende datum: 2 dec 2027 · nog 1 jaar — Europese registratieplicht voor hoog-risico-AI in de EU-databank gaat in

Hele dossier →

De Machineverordening vervangt per 20 januari 2027 de Machinerichtlijn uit 2006. Het uitgangspunt blijft hetzelfde: wie een machine in de EU in de handel brengt, moet aantonen dat die aan de essentiële gezondheids- en veiligheidseisen voldoet en er een CE-markering op aanbrengen. Nieuw is dat software die een veiligheidsfunctie vervult zelf als veiligheidscomponent telt, dat de risicobeoordeling rekening moet houden met toekomstige software-updates en met bedoeld zelflerend gedrag, en dat er eisen komen aan cyberbeveiliging voor zover die de veiligheid van het product raakt. Anders dan de AI-verordening, die AI als zodanig reguleert, reguleert deze verordening het product waarin de AI zit — en sinds juli 2026 is dat voor machines de hoofdroute.

Waarvoor is dit bedoeld

Eén set veiligheidseisen voor machines in de hele EU, zodat een machine die in één lidstaat rechtmatig op de markt is overal mag worden verhandeld. De overstap van richtlijn naar verordening betekent dat de tekst rechtstreeks geldt en niet langer per lidstaat wordt omgezet — wat de verschillen tussen nationale uitvoeringen wegneemt.

Voor wie

Fabrikanten, gemachtigden, importeurs en distributeurs van machines, verwisselbare uitrusting, veiligheidscomponenten, hijs- en hefgereedschappen, kettingen, kabels en banden, verwijderbare mechanische overbrengingsinrichtingen en niet-voltooide machines. Er is geen omvangsdrempel: de eisen gelden voor een fabrikant van drie man net zo goed als voor een concern. De verordening erkent wel dat de sector overwegend uit mkb bestaat — overweging 27 spreekt van ongeveer 98 procent — en vraagt aangemelde instanties hun tarieven daarop aan te passen.

Wat er niet onder valt

Onder meer wapens, vervoermiddelen door de lucht, over het spoor en over water behalve daarop gemonteerde machines, kerninstallaties, huishoudelijke apparaten voor privégebruik, audio- en videoapparatuur, kantoormachines en hoogspanningsschakelaars (art. 2). Wat wél meetelt en vaak wordt onderschat: een samenstel waaraan alleen de toepassingsspecifieke software nog moet worden geladen geldt al als machine, en losse software met een veiligheidsfunctie geldt als veiligheidscomponent.

Wat je moet doen

Een risicobeoordeling uitvoeren die ook de wisselwerking tussen componenten en de bedoelde verdere ontwikkeling van de software meeneemt, voldoen aan de essentiële gezondheids- en veiligheidseisen, technische documentatie opstellen vóór de conformiteitsverklaring, de juiste conformiteitsbeoordelingsprocedure doorlopen, een EU-conformiteitsverklaring opstellen, de CE-markering aanbrengen en een gebruiksaanwijzing meeleveren in een taal die de gebruiker begrijpt. Importeurs en distributeurs moeten controleren dat dit alles is gebeurd, hun eigen gegevens op of bij het product vermelden en de traceerbaarheid in de keten bijhouden.

Wat er verandert ten opzichte van de Machinerichtlijn

Vier dingen springen eruit. Software die een veiligheidsfunctie vervult, en digitale inrichtingen daarvoor, tellen mee als veiligheidscomponent. De risicobeoordeling moet toekomstige updates en bedoelde gedragsevolutie bij wisselende mate van autonomie meewegen (overweging 32). Er komen evenredige eisen tegen kwaadwillige beïnvloeding door derden, beperkt tot wat de veiligheid van het product raakt (overweging 25); een certificaat onder een Europees cyberbeveiligingscertificeringsschema kan daarbij een vermoeden van overeenstemming opleveren (overweging 51). En de gebruiksaanwijzing en de conformiteitsverklaring mogen onder voorwaarden digitaal worden geleverd, met papier gratis op verzoek.

Machines met zelflerend gedrag

Veiligheidscomponenten met volledig of gedeeltelijk zelfevoluerend gedrag op basis van machinaal leren zijn opgenomen in bijlage I, juist vanwege hun afhankelijkheid van data, hun ondoorzichtigheid, hun autonomie en hun connectiviteit (overweging 54). De verplichte betrokkenheid van een aangemelde instantie geldt daarbij nadrukkelijk alleen voor die zelfevoluerende veiligheidsfuncties, niet voor gewone geautomatiseerde besturingssoftware (overweging 55).

Keuring door een derde partij

Bijlage I onderscheidt een deel A en een deel B. Voor de categorieën in deel A is de zwaardere route met een aangemelde instantie voorgeschreven; voor deel B is een lichtere procedure mogelijk (art. 6). Voor machines die in geen van beide lijsten staan, blijft interne productiecontrole door de fabrikant zelf de norm.

Verhouding tot de AI-verordening

Tot juli 2026 stond de Machineverordening in bijlage I, deel A van de AI-verordening, waardoor AI-veiligheidscomponenten in machines rechtstreeks als hoog-risico-AI golden. De Digital Omnibus on AI — Verordening (EU) 2026/1744 — verplaatste haar naar deel B, punt 21. Daardoor gelden voor AI in machines alleen artikel 6, lid 1, artikel 60 bis en de artikelen 102 tot en met 112 van de AI-verordening (art. 2, lid 2). De Commissie kiest voor een sectorale aanpak (overweging 42 van de omnibus): zij moet uiterlijk 2 augustus 2028 gedelegeerde handelingen vaststellen die de relevante AI-eisen opnemen in bijlage III van de Machineverordening zelf.

Overgang

Machines die vóór 20 januari 2027 in de EU in de handel zijn gebracht, blijven onder de Machinerichtlijn 2006/42/EG vallen. In de aanloop mag een fabrikant in de EU-conformiteitsverklaring al vermelden dat de machine ook aan Verordening (EU) 2023/1230 voldoet.

Toezicht NL

Markttoezicht op machines ligt in Nederland bij de Nederlandse Arbeidsinspectie voor arbeidsmiddelen en bij de NVWA voor consumentenproducten. De formele aanwijzing onder de nieuwe verordening moet nog in Nederlandse uitvoeringsregelgeving worden vastgelegd.

Boete

De verordening noemt zelf geen boetebedragen: lidstaten stellen doeltreffende, evenredige en afschrikkende sancties vast. Voor Nederland is dat op dit moment niet uit een gepubliceerde uitvoeringsregeling onder deze verordening te herleiden.

Eerstvolgende datum: 20 jan 2027 · nog 4 maanden — Machineverordening verplicht van toepassing; einde van het regime van de Machinerichtlijn 2006/42/EG

Hele dossier →

Dit was een voorgesteld geharmoniseerd regime om schade door AI eenvoudiger te kunnen verhalen, met een vermoeden van causaal verband en een recht op openbaarmaking van bewijsmateriaal. Het voorstel is nooit wet geworden: de Europese Commissie heeft het op 6 oktober 2025 formeel ingetrokken. In de plaats daarvan gelden het gewone nationale aansprakelijkheidsrecht en, voor zover een AI-systeem als product kwalificeert, de nieuwe productaansprakelijkheidsrichtlijn — zie het dossier ‘pld’.

Waarvoor was dit bedoeld

Bij schade door een AI-systeem is voor een benadeelde vaak moeilijk te bewijzen wat er precies fout ging binnen een ondoorzichtig systeem, en wie daarvoor verantwoordelijk is. Het voorstel wilde dat verlichten met een weerlegbaar vermoeden van causaal verband tussen een fout van een aanbieder of gebruiker van een AI-systeem en de ontstane schade, en met een recht voor de benadeelde om bewijsmateriaal over hoogrisico-AI-systemen op te vragen.

Voor wie was het bedoeld

Aanbieders en gebruikers van AI-systemen die als gedaagde in een civiele aansprakelijkheidsprocedure zouden kunnen belanden.

Wat er niet onder valt

Niets: het voorstel is nooit wet geworden en heeft daarom nooit een verplichting opgelegd.

Wat je moet doen

Niets ten aanzien van dit voorstel zelf. Wie met schade door een AI-systeem te maken heeft, valt terug op het bestaande nationale aansprakelijkheidsrecht — in Nederland onder meer de onrechtmatige daad (art. 6:162 BW) — en op de nieuwe productaansprakelijkheidsrichtlijn voor zover het AI-systeem als product kwalificeert.

Intrekking

De Europese Commissie heeft het voorstel op 6 oktober 2025 formeel ingetrokken, bekendgemaakt in het Publicatieblad in een verzamelbekendmaking getiteld ‘Withdrawal of Commission proposals’ (PB C/2025/5423).

Waarom ingetrokken

De intrekking maakte deel uit van een bredere opschoning van onderhandelde maar niet-afgeronde Commissievoorstellen. De precieze, dossierspecifieke motivering voor juist dit voorstel is in dit onderzoek niet uit de brontekst van de intrekkingsbekendmaking zelf gehaald; zie onzeker.

Wat er in de plaats komt

De nieuwe productaansprakelijkheidsrichtlijn (Richtlijn (EU) 2024/2853) merkt software uitdrukkelijk aan als product en kent eigen bewijsvermoedens, onder meer wanneer een gedaagde weigert bewijsmateriaal te openbaren en bij het ontbreken van noodzakelijke beveiligingsupdates. Zij geldt voor producten die na 9 december 2026 in de handel worden gebracht of in gebruik worden gesteld — zie het dossier ‘pld’ voor de volledige regeling.

Wat de productaansprakelijkheidsrichtlijn niet dekt

Puur civielrechtelijke fout-aansprakelijkheid buiten productaansprakelijkheid — bijvoorbeeld een AI-systeem dat als dienst wordt afgenomen zonder dat sprake is van een gebrekkig product — blijft een zaak van het gewone nationale aansprakelijkheidsrecht, zonder het specifieke bewijsvermoeden van causaal verband dat het ingetrokken voorstel had willen invoeren.

Toezicht NL

Geen. Aansprakelijkheid voor schade is civiel recht; een claim loopt via de civiele rechter, niet via een toezichthouder.

Boete

Geen. Het voorstel is nooit wet geworden en kent dus geen sanctiestelsel. Het regime dat ervoor in de plaats komt — de productaansprakelijkheidsrichtlijn — kent evenmin een bestuurlijke boete, maar schadevergoeding aan de benadeelde zonder maximumbedrag.

Eerstvolgende datum: 9 dec 2026 · nog 3 maanden — Nieuwe productaansprakelijkheidsrichtlijn gaat gelden voor producten die na deze datum in de handel komen — zie dossier ‘pld’

Hele dossier →

De DSA legt verplichtingen op aan iedereen die informatie van anderen doorgeeft, opslaat of openbaar maakt — van een internetprovider en een hostingpartij tot een webshop met een recensiesectie en een marktplaats. De verplichtingen lopen op in vier treden: hoe meer je met andermans content doet, hoe meer er van je wordt verwacht, met een aparte zwaarste categorie voor diensten met meer dan 45 miljoen gebruikers in de EU. Kleine en micro-ondernemingen zijn vrijgesteld van het grootste deel van de platformverplichtingen, maar niet van de basisregels. Anders dan de DMA, die alleen zeven aangewezen poortwachters bindt, raakt de DSA de hele keten.

Waarvoor is dit bedoeld

Eén Europees regime voor de omgang met illegale content en voor de manier waarop online diensten beslissen wat er blijft staan en wat weg moet. De verordening bepaalt niet wát illegaal is — dat blijft nationaal of ander EU-recht — maar regelt de procedure: hoe een melding binnenkomt, hoe erop wordt beslist, en hoe iemand die beslissing kan aanvechten. De aansprakelijkheidsvrijstellingen uit de e-commercerichtlijn zijn overgenomen in de artikelen 4 tot en met 6, en artikel 8 bevestigt dat er geen algemene verplichting bestaat om toe te zien op wat gebruikers plaatsen.

Voor wie

Vier oplopende categorieën. (1) Tussenhandeldienst: je geeft informatie van anderen door of slaat die op — de drie vormen zijn doorgifte (‘mere conduit’), tijdelijke opslag (‘caching’) en hosting. (2) Hostingdienst: gebruikers slaan informatie bij je op. (3) Onlineplatform: die opgeslagen informatie wordt ook onder het publiek verspreid — een forum, een recensiesectie, een marktplaats. (4) Zeer groot onlineplatform of zeer grote onlinezoekmachine: meer dan 45 miljoen maandelijkse gebruikers in de EU, afzonderlijk aangewezen door de Europese Commissie. De drempel die voor het mkb telt: een onderneming met minder dan 50 werknemers én een jaaromzet of balanstotaal van ten hoogste € 10 miljoen geldt als kleine onderneming in de zin van Aanbeveling 2003/361/EG; onder de 10 werknemers en € 2 miljoen is het een micro-onderneming. Beide zijn vrijgesteld van de zware platformverplichtingen.

Wat er niet onder valt

Een webshop die uitsluitend eigen producten verkoopt en geen informatie van gebruikers opslaat, is geen tussenhandeldienst; de DSA geldt dan niet. Zodra klanten zelf recensies, foto’s of vragen achterlaten die voor anderen zichtbaar zijn, schuift de dienst op richting hosting en onlineplatform. Buiten de DSA vallen verder de vraag of content zelf strafbaar of onrechtmatig is, en de gedragsregels voor poortwachters — die staan in de DMA.

Wat je moet doen — basis

Geldt voor élke tussenhandeldienst, ongeacht omvang. Eén elektronisch contactpunt voor toezichthouders, met opgave van de talen waarin je bereikbaar bent (art. 11). Eén contactpunt voor gebruikers zelf, waarbij de communicatie niet uitsluitend op geautomatiseerde middelen mag berusten (art. 12). Een wettelijke vertegenwoordiger in een lidstaat als je buiten de EU gevestigd bent (art. 13). Algemene voorwaarden in duidelijke taal over de beperkingen die je stelt aan wat gebruikers plaatsen, je moderatiebeleid en je klachtenafhandeling, toe te passen op zorgvuldige, objectieve en evenredige wijze (art. 14). Een jaarlijks transparantieverslag over contentmoderatie (art. 15), waarvan micro- en kleine ondernemingen zijn vrijgesteld zolang zij geen zeer groot platform zijn.

Extra als gebruikers content bij je opslaan

Een laagdrempelig, uitsluitend elektronisch meldmechanisme voor illegale content, waarbij een melding een voldoende onderbouwde uitleg, de precieze URL en naam en e-mailadres van de melder bevat, met bevestiging van ontvangst en bericht over de beslissing (art. 16). Bij elke beperking — verwijderen, afschermen, minder zichtbaar maken, of een dienst opschorten of beëindigen — een motivering aan de betrokkene met de feiten, de wettelijke of contractuele grondslag, of er geautomatiseerd is beslist, en de beroepsmogelijkheden (art. 17). En een melding aan politie of justitie bij een vermoeden van een strafbaar feit dat het leven of de veiligheid van personen bedreigt (art. 18).

Extra als die content openbaar is

Voor onlineplatforms: een gratis intern klachtensysteem (art. 20), toegang tot een gecertificeerde buitengerechtelijke geschillenbeslechter (art. 21), voorrang voor meldingen van betrouwbare flaggers (art. 22), maatregelen tegen misbruik en tegen notoir ongegronde meldingen (art. 23), publicatie van de gemiddelde maandelijkse gebruikersaantallen en aanlevering van moderatiebesluiten aan de databank van de Commissie (art. 24), een verbod op misleidend interfaceontwerp (art. 25), herkenbare advertenties met vermelding van de betaler (art. 26), uitleg over de belangrijkste parameters van aanbevelingssystemen (art. 27) en bescherming van minderjarigen, waaronder een verbod op profileringsreclame (art. 28).

Vrijstelling voor kleine en micro-ondernemingen

Artikel 19 stelt kleine en micro-ondernemingen vrij van de hele reeks platformverplichtingen van de artikelen 20 tot en met 28, met één uitzondering: op verzoek van de digitaledienstencoördinator of de Commissie moeten ook zij hun gebruikersaantallen opgeven (art. 24, lid 3). De basisverplichtingen van de artikelen 11 tot en met 14 en de hostingverplichtingen van de artikelen 16 tot en met 18 blijven onverkort gelden. De vrijstelling vervalt bij aanwijzing als zeer groot onlineplatform.

Verkopen er ook anderen via jouw dienst

Een onlineplatform waarop consumenten overeenkomsten op afstand met handelaren sluiten — een marktplaats — moet van elke handelaar naam, adres, telefoonnummer en e-mailadres, een identificatiedocument, betaalrekeninggegevens, het handelsregister met inschrijvingsnummer en een zelfverklaring over productconformiteit verzamelen, en redelijke inspanningen leveren om die gegevens op betrouwbaarheid en volledigheid te toetsen (art. 30). Daarbovenop komen conformiteit door ontwerp (art. 31) en het informeren van kopers achteraf als een illegaal product of een illegale dienst is aangeboden (art. 32). Artikel 29 stelt ook voor dit blok kleine en micro-ondernemingen vrij.

Zeer grote platforms

Aanwijzing door de Europese Commissie bij meer dan 45 miljoen maandelijkse gebruikers in de EU (art. 33). Daarbij horen jaarlijkse systeemrisicobeoordelingen, risicobeperkende maatregelen, onafhankelijke audits, datatoegang voor erkende onderzoekers, een advertentierepository en een jaarlijkse toezichtsvergoeding aan de Commissie. Op deze categorie houdt de Commissie exclusief toezicht.

Nederlandse uitvoering

Uitvoeringswet digitaledienstenverordening (BWBR0050739), Stb. 2025, 21, in werking 4 februari 2025. Artikel 2.1 wijst de ACM aan als bevoegde autoriteit én als digitaledienstencoördinator; artikel 3.1 wijst de Autoriteit Persoonsgegevens aan als bevoegde autoriteit. De artikelen 2.3 en 3.3 geven beide toezichthouders de bevoegdheid tot een bestuurlijke boete, de artikelen 2.4 en 3.4 tot een last onder dwangsom.

Toezicht NL

De ACM is digitaledienstencoördinator: zij houdt toezicht op in Nederland gevestigde tussenhandeldiensten, behandelt klachten van gebruikers en ondernemers, en erkent betrouwbare flaggers, buitengerechtelijke geschillenbeslechtingsorganen en onderzoekers. Zij publiceert een DSA-check waarmee een aanbieder van een website of app kan nagaan in welke categorie hij valt; die check dekt geen clouddiensten of internetinfrastructuur, waarvoor de DSA wel kan gelden.

NL-gevestigde zeer grote platforms

AliExpress International (Netherlands), Booking.com, Snap en Reddit Netherlands hebben hun hoofdvestiging in Nederland. Het toezicht op hun systeemrisico’s ligt niettemin bij de Europese Commissie, niet bij de ACM.

Boete

Artikel 52: ten hoogste 6 procent van de wereldwijde jaaromzet van de aanbieder bij niet-naleving, ten hoogste 1 procent bij het verstrekken van onjuiste, onvolledige of misleidende informatie, het niet antwoorden of het weigeren van medewerking aan een inspectie, en een dwangsom van ten hoogste 5 procent van de gemiddelde dagelijkse wereldwijde omzet. De Nederlandse uitvoeringswet verwijst voor de maxima rechtstreeks naar dit artikel.

Hele dossier →

De DMA legt gedragsregels op aan een gesloten groep zeer grote techbedrijven die de Europese Commissie als poortwachter heeft aangewezen. Voor een gewone Nederlandse onderneming is dit geen nalevingsdossier maar een rechtendossier: wie adverteert via Google, verkoopt via Amazon, een app distribueert via de App Store of kamers verhuurt via Booking, kan zich beroepen op verplichtingen die de poortwachter jegens hem heeft. Anders dan de DSA, die de hele keten van tussenhandeldiensten raakt, bindt de DMA uitsluitend de aangewezen bedrijven.

Waarvoor is dit bedoeld

Digitale markten betwistbaar en eerlijk houden door vooraf te verbieden wat mededingingstoezicht pas achteraf kan aanpakken. De verplichtingen in de artikelen 5, 6 en 7 gelden van rechtswege zodra een bedrijf is aangewezen; de Commissie hoeft geen misbruik van machtspositie te bewijzen.

Voor wie

Alleen voor ondernemingen die de Commissie aanwijst als poortwachter. De drempels van artikel 3, lid 2: een jaaromzet in de Unie van ten minste € 7,5 miljard in elk van de laatste drie boekjaren óf een gemiddelde beurswaarde van ten minste € 75 miljard in het laatste boekjaar, mét een kernplatformdienst in ten minste drie lidstaten; en ten minste 45 miljoen maandelijkse actieve eindgebruikers in de Unie en ten minste 10.000 jaarlijkse actieve zakelijke gebruikers, in elk van de laatste drie boekjaren. Geen Nederlands mkb-bedrijf komt hier in de buurt.

Wat er niet onder valt

Elke onderneming die niet is aangewezen — dus vrijwel elke Nederlandse onderneming. De DMA legt zakelijke gebruikers van poortwachters geen enkele verplichting op. Wie zelf een platform exploiteert zonder poortwachter te zijn, valt onder de P2B-verordening en de DSA, niet onder de DMA.

Wat je moet doen

Als zakelijke gebruiker: niets. Wel kun je de rechten uit de artikelen 5 tot en met 7 tegenover de poortwachter inroepen, en signalen over niet-naleving melden bij de Europese Commissie of bij de ACM, die meldingen doorgeeft.

Wie zijn de poortwachters

Alphabet (Google), Amazon, Apple, Booking, ByteDance, Meta en Microsoft — samen 23 kernplatformdiensten, waaronder Google Search, Google Play, Google Maps, Google Shopping, YouTube, Android, Chrome, Google Ads, Amazon Marketplace, Amazon Ads, App Store, iOS, iPadOS, Safari, Booking.com, TikTok, Facebook, Instagram, WhatsApp, Messenger, Meta Ads, LinkedIn en Windows.

Rechten bij prijsstelling

Een poortwachter mag een zakelijke gebruiker niet beletten hetzelfde product of dezelfde dienst via een ander platform of via het eigen verkoopkanaal tegen andere prijzen of voorwaarden aan te bieden (art. 5, lid 3) — het einde van de pariteitsclausule.

Rechten bij klantcontact

Een poortwachter moet toestaan dat je kosteloos aanbiedingen communiceert en promoot aan eindgebruikers die je via zijn dienst hebt verworven, en dat je met die klanten rechtstreeks een overeenkomst sluit, ook onder andere voorwaarden (art. 5, lid 4).

Rechten bij advertenties

Adverteerders en uitgevers hebben recht op kosteloze dagelijkse informatie over de betaalde prijs en vergoedingen en over de maatstaven waarop die zijn berekend (art. 5, leden 9 en 10).

Rechten bij data en rangschikking

Een poortwachter mag niet-openbare data die door jouw activiteit op zijn dienst ontstaat niet gebruiken om met je te concurreren (art. 6, lid 2), mag zijn eigen diensten en producten niet gunstiger rangschikken, indexeren of crawlen dan vergelijkbare aanbiedingen van derden (art. 6, lid 5), moet je kosteloos doorlopende toegang in realtime geven tot geaggregeerde en niet-geaggregeerde data die door jouw gebruik is gegenereerd (art. 6, lid 10), en moet billijke, redelijke en niet-discriminerende toegangsvoorwaarden hanteren voor zijn appwinkel, zoekmachine en sociaal netwerk (art. 6, lid 12).

Nederlandse relevantie

Booking is de enige poortwachter met hoofdvestiging in Nederland. Verder werkt de DMA in Nederland vrijwel uitsluitend door via ondernemers die zakelijke gebruiker van een poortwachter zijn.

Toezicht NL

Er is geen nationale DMA-toezichthouder. De handhaving ligt exclusief bij de Europese Commissie. De ACM informeert Nederlandse ondernemers over hun rechten en neemt meldingen aan, maar kan zelf geen DMA-besluit nemen.

Boete

Artikel 30: ten hoogste 10 procent van de totale wereldwijde jaaromzet bij overtreding van de artikelen 5, 6 of 7, oplopend tot 20 procent bij herhaling van dezelfde of een soortgelijke inbreuk binnen acht jaar, en ten hoogste 1 procent bij het niet verstrekken van informatie of het niet meewerken aan een onderzoek.

Hele dossier →

De EAA verplicht aanbieders van een afgebakende lijst producten en diensten om die toegankelijk te maken voor mensen met een beperking. Voor het Nederlandse bedrijfsleven is de e-handelsdienst het breedste aangrijpingspunt: elke website of app waarmee een consument een overeenkomst kan sluiten valt eronder, ongeacht wat er wordt verkocht. Micro-ondernemingen die diensten verlenen zijn volledig vrijgesteld; voor producten geldt die vrijstelling niet. Anders dan het Tijdelijk besluit digitale toegankelijkheid overheid, dat alleen overheidsinstanties bindt, richt de EAA zich op de private sector.

Waarvoor is dit bedoeld

Eén set toegankelijkheidseisen in de hele EU, zodat een bedrijf niet per lidstaat aan andere voorschriften hoeft te voldoen en mensen met een visuele, auditieve, motorische of cognitieve beperking zelfstandig kunnen kopen, bankieren, reizen en lezen. De eisen zelf staan in bijlage I bij de richtlijn en zijn functioneel geformuleerd: informatie moet via meer dan één zintuiglijk kanaal waarneembaar zijn, bedienbaar zijn en begrijpelijk worden gepresenteerd.

Voor wie

Fabrikanten, importeurs en distributeurs van de aangewezen producten, en dienstverleners die de aangewezen diensten aan consumenten leveren. De drempel die het mkb bepaalt: een micro-onderneming is een onderneming met minder dan tien werknemers waarvan de jaaromzet óf het jaarlijkse balanstotaal niet hoger is dan € 2 miljoen (art. 3, punt 23). Zulke ondernemingen zijn bij het verlénen van diensten volledig vrijgesteld (art. 4, lid 5; in Nederland artikel 6:230fc, lid 1 BW). Een webshop met twaalf medewerkers valt er dus wél onder, ook als de omzet laag is: het personeelscriterium en het financiële criterium gelden cumulatief.

Wat er niet onder valt

Zakelijke dienstverlening zonder consumentenovereenkomst — de definitie van e-handelsdienst vereist dat het gaat om het sluiten van een consumentenovereenkomst (art. 3, punt 30). Verder zondert artikel 2, lid 4 uit: vooraf opgenomen tijdgebonden media die vóór 28 juni 2025 zijn gepubliceerd, kantoorbestandsformaten van vóór die datum, archiefinhoud die na die datum niet meer is bijgewerkt, onlinekaarten voor zover essentiële navigatiegegevens wel toegankelijk worden aangeboden, en inhoud van derden die niet door de betrokken marktdeelnemer wordt gefinancierd, ontwikkeld of beheerd. Micro-ondernemingen die producten fabriceren, importeren of distribueren zijn níét vrijgesteld.

Wat je moet doen

Een e-handelsdienst moet worden ontworpen en aangeboden volgens de toegankelijkheidsvoorschriften van bijlage I, afdeling III en afdeling IV onder g, en bijlage V bij de richtlijn (in Nederland artikel 6:230fb BW). Daarbij hoort: informatie over de toegankelijkheid van de dienst opnemen in de algemene voorwaarden of vergelijkbare documentatie, de onderbouwing bewaren, procedures hebben die borgen dat de dienst blijft voldoen, en corrigerende maatregelen treffen als dat niet meer zo is.

Welke producten

Gewone computerapparatuur voor consumenten en de bijbehorende besturingssystemen; zelfbedieningsterminals zoals betaalautomaten, geldautomaten, kaartautomaten, incheckautomaten en interactieve informatiezuilen; eindapparatuur met interactieve computerfuncties voor elektronische communicatie; apparatuur voor toegang tot audiovisuele mediadiensten; en e-lezers.

Welke diensten

Elektronischecommunicatiediensten; diensten die toegang geven tot audiovisuele media; bepaalde onderdelen van personenvervoer over lucht, bus, spoor en water, waaronder websites, mobiele diensten, elektronische tickets en informatieverstrekking; consumentenbankdiensten; e-boeken en de bijbehorende software; en e-handelsdiensten.

Onevenredige last

Een marktdeelnemer hoeft niet te voldoen voor zover dat een ingrijpende wijziging van het product of de dienst zou vergen of een onevenredige last oplevert (art. 14). De beoordeling volgt de criteria van bijlage VI en moet worden gedocumenteerd en bewaard. Zij moet ten minste elke vijf jaar opnieuw worden gemaakt. Wie voor toegankelijkheid externe financiering ontvangt, kan zich niet op onevenredige last beroepen.

Overgangstermijnen

Dienstverleners mogen tot 28 juni 2030 hun diensten blijven leveren met producten die zij vóór 28 juni 2025 rechtmatig gebruikten. Dienstenovereenkomsten die vóór 28 juni 2025 zijn gesloten, mogen ongewijzigd doorlopen tot hun einde, maar niet langer dan vijf jaar na die datum. Zelfbedieningsterminals die vóór 28 juni 2025 rechtmatig in gebruik waren, mogen tot het einde van hun economische levensduur worden gebruikt, doch niet langer dan twintig jaar na ingebruikname (art. 32).

Nederlandse implementatie

De Implementatiewet toegankelijkheidsvoorschriften producten en diensten (Stb. 2024, 87) wijzigt zeven wetten: de Warenwet (nieuwe artikelen 34 tot en met 35e voor producten, met aanwijzing van de productcategorieën bij algemene maatregel van bestuur), de Telecommunicatiewet (nieuw hoofdstuk 7a), Boek 6 BW (nieuwe afdeling 2ab, artikelen 230fa tot en met 230fd, voor e-handelsdiensten), de Wet op het financieel toezicht (consumentenbankdiensten), de Wet handhaving consumentenbescherming, de Wet gelijke behandeling op grond van handicap of chronische ziekte en de Overgangswet nieuw BW. De wet trad gefaseerd in werking bij koninklijk besluit; de e-handelsbepalingen in Boek 6 BW gelden vanaf 28 juni 2025.

Norm en conformiteit

In de praktijk wordt getoetst aan EN 301 549, de Europese toegankelijkheidsnorm die de WCAG-succescriteria overneemt. De op 7 september 2026 gepubliceerde versie 4.1.1 stapt over van WCAG 2.1 naar WCAG 2.2, schrapt het verouderde criterium 4.1.1 Parsing en voegt zes eisen toe. Zolang die versie niet in het Publicatieblad van de EU is aangewezen, blijft versie 3.2.1 uit 2021 het juridische ijkpunt.

Toezicht NL

Verdeeld over vier toezichthouders en de Warenwet. De ACM houdt toezicht op e-handelsdiensten en elektronischecommunicatiediensten, de AFM op consumentenbankdiensten, het Commissariaat voor de Media op e-boeken en audiovisuele mediadiensten, en de Inspectie Leefomgeving en Transport op personenvervoersdiensten. Voor producten zijn de toezichthoudende ambtenaren aangewezen bij besluit van de minister (art. 35c Warenwet).

Boete

De richtlijn laat de sancties aan de lidstaten. De ACM handhaaft e-handelsdiensten via de Wet handhaving consumentenbescherming en kan op grond van de Instellingswet ACM een last onder dwangsom en een bestuurlijke boete opleggen van ten hoogste € 900.000 of, indien dat meer is, 1 procent van de omzet, te verdubbelen bij een eerdere overtreding binnen vijf jaar (art. 12m en 12o Instellingswet ACM). Voor producten loopt de handhaving via de Warenwet.

Wie kan je aanspreken

Naast bestuursrechtelijk toezicht kunnen consumenten en belangenorganisaties zich rechtstreeks op de toegankelijkheidsvoorschriften beroepen: de bepalingen zijn in Boek 6 BW opgenomen en in de Wet gelijke behandeling op grond van handicap of chronische ziekte verankerd.

Eerstvolgende datum: 28 jun 2030 · nog 4 jaar — Einde overgangstermijn voor bestaande producten in de dienstverlening en voor lopende dienstenovereenkomsten

Hele dossier →

De nieuwe productaansprakelijkheidsrichtlijn vervangt de regeling uit 1985 en merkt software, digitale fabricagebestanden en verbonden digitale diensten uitdrukkelijk aan als product. Wie zo’n product in de handel brengt is aansprakelijk voor schade door een gebrek, zonder dat de benadeelde schuld hoeft aan te tonen. De richtlijn geldt voor producten die na 9 december 2026 in de handel worden gebracht of in gebruik worden gesteld; voor oudere producten blijft de richtlijn uit 1985 gelden. Waar de Cyber Resilience Act publiekrechtelijke eisen vooraf stelt en met CE-markering wordt gehandhaafd, bepaalt deze richtlijn wat er privaatrechtelijk gebeurt als het misgaat.

Waarvoor is dit bedoeld

De richtlijn uit 1985 ging uit van tastbare, afgeronde producten die na verkoop niet meer veranderen. Software, updates, clouddiensten en zelflerende systemen pasten daar niet in, en het was voor een benadeelde vaak onmogelijk om in een complex digitaal product een gebrek aan te wijzen. De nieuwe richtlijn trekt het productbegrip open en verlicht de bewijspositie van de benadeelde.

Voor wie

De fabrikant van een gebrekkig product en de fabrikant van een gebrekkige component. Bij een fabrikant buiten de EU: de importeur, de gemachtigde en — als die er niet zijn — de fulfilmentdienstverlener. Distributeurs zijn subsidiair aansprakelijk als zij de verantwoordelijke partij niet kunnen aanwijzen, en aanbieders van onlineplatforms kunnen onder voorwaarden in die kring vallen. Er geldt geen omzet- of personeelsdrempel: een eenmanszaak die software verkoopt valt er net zo goed onder als een concern.

Wat er niet onder valt

Gratis en opensourcesoftware die buiten het kader van een handelsactiviteit wordt ontwikkeld of geleverd (art. 2, lid 2). Producten die vóór 9 december 2026 in de handel zijn gebracht of in gebruik zijn gesteld (art. 2, lid 1). Schade door nucleaire ongevallen voor zover gedekt door verdragen (art. 2, lid 3). En, bij de schadeposten: het gebrekkige product zelf, een product dat is beschadigd door een gebrekkige component, en zaken die uitsluitend voor beroepsdoeleinden worden gebruikt. Zuivere bedrijfsschade tussen ondernemingen blijft dus buiten deze richtlijn.

Wat je moet doen

De richtlijn legt geen vergunning, keuring of markering op — er valt niets aan te vragen. Aansprakelijkheid ontstaat achteraf, wanneer een gebrek schade veroorzaakt. Wat er wél verandert aan het werk vooraf komt uit de bewijsregels: de rechter kan de gedaagde bevelen relevant bewijsmateriaal te openbaren, en wie dat niet doet, ziet het gebrek vermoed worden. Wat een leverancier over ontwerp, testen, releases en updates heeft vastgelegd, bepaalt daarmee de eigen procespositie.

Wat telt als product

Elke roerende zaak, ook nadat zij is geïntegreerd in of verbonden met een andere zaak, met inbegrip van elektriciteit, digitale fabricagebestanden, grondstoffen en software (art. 4). Software valt er dus zelfstandig onder — als losse applicatie, als ingebouwde besturingssoftware en als dienst. Ook digitale diensten die met een product zijn verbonden tellen mee bij de beoordeling.

Wanneer is een product gebrekkig

Wanneer het niet de veiligheid biedt die een persoon mag verwachten of die het Unierecht of het nationale recht voorschrijft (art. 7, lid 1). Bij die beoordeling wegen onder meer mee: de presentatie en kenmerken van het product inclusief etikettering en ontwerp; het redelijkerwijs te verwachten gebruik; het effect van het vermogen om te blijven leren of na het in de handel brengen nieuwe functies te verwerven; het redelijkerwijs te verwachten effect van andere producten waarmee het wordt gebruikt; het tijdstip van in de handel brengen; relevante productveiligheidsvoorschriften, waaronder veiligheidsgerelateerde cyberbeveiligingsvoorschriften; terugroepingen en andere interventies; en de specifieke behoeften van de doelgroep (art. 7, lid 2). Dat een beter product inmiddels op de markt is, maakt een product op zichzelf niet gebrekkig (art. 7, lid 3).

Ontbrekende beveiligingsupdates

Dit is de scherpste wijziging voor softwareleveranciers. Normaal kan een marktdeelnemer zich vrijpleiten door aan te tonen dat het gebrek er nog niet was toen het product in de handel werd gebracht. Die ontsnapping vervalt wanneer de gebrekkigheid te wijten is aan een verbonden dienst, aan software inclusief updates of upgrades, aan het ontbreken van software-updates of upgrades die nodig zijn om de veiligheid te handhaven, of aan een ingrijpende wijziging — telkens voor zover die onder de zeggenschap van de fabrikant vallen. Wie een beveiligingslek niet patcht, kan daarvoor dus aansprakelijk zijn.

Ingrijpende wijziging

Wie een product ingrijpend wijzigt zonder dat de fabrikant daarover zeggenschap heeft, wordt voor dat gewijzigde product zelf als fabrikant beschouwd (art. 8, lid 2). Voor een ingrijpend gewijzigd product begint bovendien een nieuwe termijn te lopen.

Bewijslast en vermoedens

Uitgangspunt blijft dat de benadeelde het gebrek, de schade en het oorzakelijk verband bewijst (art. 10, lid 1). Daarop komen vermoedens: onder meer wanneer de gedaagde weigert relevant bewijsmateriaal te openbaren waartoe de rechter hem heeft verplicht (art. 9). Verder gelden vermoedens bij een kennelijke disfunctie van het product onder normaal gebruik, en wanneer het voor de benadeelde door technische of wetenschappelijke complexiteit buitensporig moeilijk is het gebrek of het verband te bewijzen.

Welke schade wordt vergoed

Overlijden of lichamelijk letsel, uitdrukkelijk met inbegrip van medisch erkende schade aan de geestelijke gezondheid; beschadiging of vernietiging van zaken, met de genoemde uitzonderingen; en vernietiging of corruptie van niet voor beroepsdoeleinden gebruikte gegevens (art. 6, lid 1). Vergoed worden alle materiële verliezen die daaruit voortvloeien, en immateriële verliezen voor zover het nationale recht daarin voorziet (art. 6, lid 2). Anders dan onder de richtlijn uit 1985 kent de nieuwe richtlijn geen drempelbedrag van 500 euro voor zaakschade.

Termijnen

De aansprakelijkheid vervalt in beginsel tien jaar na het in de handel brengen of in gebruik stellen van het product. Voor letsel waarvan uit medische bewijsstukken blijkt dat de symptomen langzaam opkomen, loopt die termijn door tot 25 jaar.

Verhouding tot andere regels

De richtlijn staat naast, niet in plaats van, de publiekrechtelijke productregels. De Cyber Resilience Act bepaalt welke beveiligingseisen een digitaal product moet halen en hoe lang er updates moeten komen; de algemene productveiligheidsverordening regelt veilige producten en terugroepacties; de AI-verordening stelt eisen aan AI-systemen. De veiligheidsvoorschriften uit die regels wegen mee bij de vraag of een product gebrekkig is.

Nederlandse implementatie

De omzetting loopt via wetsvoorstel 36906, dat Boek 6 en Boek 7 van het Burgerlijk Wetboek wijzigt. De huidige afdeling over productaansprakelijkheid in Boek 6 BW, die de richtlijn uit 1985 omzet, wordt daarmee vervangen. Het wetsvoorstel is aanhangig bij de Tweede Kamer; het verslag dateert van 15 april 2026.

Toezicht NL

Geen. Er is geen toezichthouder en geen meldplicht: productaansprakelijkheid is civiel recht en wordt door de benadeelde bij de civiele rechter ingeroepen. Het markttoezicht op dezelfde producten ligt elders — bij de NVWA, de RDI of de ACM, afhankelijk van het product.

Boete

Geen bestuurlijke boete. De sanctie is schadevergoeding aan de benadeelde, zonder maximumbedrag en zonder plafond per schadegeval. Aansprakelijkheid kan bovendien niet contractueel worden beperkt of uitgesloten tegenover de benadeelde.

Eerstvolgende datum: 9 dec 2026 · nog 3 maanden — Omzettingsdeadline; richtlijn geldt voor producten die daarna in de handel komen

Hele dossier →

De richtlijn bestaat uit twee delen die los van elkaar werken. Het eerste deel introduceert een weerlegbaar rechtsvermoeden: blijken uit de feiten aanwijzingen van sturing en controle, dan geldt de relatie tussen platform en werkende als arbeidsovereenkomst, tenzij het platform het tegendeel bewijst. Het tweede deel stelt eisen aan algoritmisch beheer: wat een platform met gegevens van werkenden mag doen, wat het moet uitleggen, en wanneer een mens naar een geautomatiseerd besluit moet kijken. Dat tweede deel geldt ongeacht of de werkende werknemer of zelfstandige is, maar het bindt alleen digitale arbeidsplatforms — niet elke werkgever die met roostersoftware werkt. De richtlijn overlapt met de Nederlandse discussie over schijnzelfstandigheid, maar dekt die niet: zij gaat uitsluitend over platformwerk, terwijl het Nederlandse debat over alle zelfstandigen gaat.

Waarvoor is dit bedoeld

Bij platformwerk is vaak onduidelijk of iemand werknemer of zelfstandige is, en die onduidelijkheid werkt in het voordeel van de partij met de meeste informatie. De richtlijn verschuift de bewijslast naar het platform en verplicht daarnaast tot openheid over de algoritmes waarmee opdrachten worden toegewezen, tarieven bepaald en accounts geblokkeerd — beslissingen die voor de werkende ingrijpend zijn maar voor hem onzichtbaar.

Voor wie

Digitale arbeidsplatforms: partijen die een dienst aanbieden die ten minste deels langs elektronische weg wordt geleverd, op verzoek van een afnemer, en waarbij het organiseren van werk dat door personen tegen vergoeding wordt verricht een noodzakelijk en essentieel onderdeel is. Het werk moet in de Unie worden verricht. Er is geen omzet- of personeelsdrempel. De richtlijn regelt uitdrukkelijk ook de situatie waarin het werk via een tussenpersoon loopt, zodat een tussengeschoven constructie de bescherming niet wegneemt.

Wat er niet onder valt

Werkgevers die geen digitaal arbeidsplatform zijn. Een bezorgdienst met eigen koeriers in loondienst, een uitzendbureau of een bedrijf dat planningssoftware gebruikt, valt niet onder de richtlijn, hoe algoritmisch de aansturing ook is. Dat is een belangrijk verschil met hoe de richtlijn soms wordt samengevat: het hoofdstuk over algoritmisch beheer geldt los van de vraag of de werkende werknemer is, maar niet los van de vraag of de organisatie een platform is. Ook blijft de kwalificatie van zelfstandigheid buiten platformwerk een zaak van nationaal recht.

Wat je moet doen

De verplichtingen ontstaan pas als de lidstaat de richtlijn heeft omgezet; zij werkt niet rechtstreeks tussen private partijen. Voor platforms betekent de voorbereiding twee sporen: vaststellen welke feitelijke aanwijzingen van sturing en controle in de eigen werkwijze zitten, en de geautomatiseerde systemen in kaart brengen die gegevens over werkenden verwerken of besluiten over hen nemen.

Het rechtsvermoeden

De richtlijn bepaalt dat de contractuele relatie tussen een digitaal arbeidsplatform en een persoon die platformwerk verricht wordt vermoed een arbeidsrelatie te zijn wanneer er feitelijke aanwijzingen van sturing en controle zijn. Het vermoeden is weerlegbaar: het platform kan aantonen dat er volgens het toepasselijke nationale recht geen arbeidsrelatie is. Wat precies als arbeidsrelatie geldt, blijft aan het nationale recht; de richtlijn schrijft geen Europees werknemersbegrip voor.

Feiten gaan boven papier

Naast het vermoeden bevat de richtlijn een zelfstandige regel dat de arbeidsstatus wordt bepaald aan de hand van de feiten rond de daadwerkelijke uitvoering van het werk, en niet aan de hand van de benaming die partijen in het contract hebben gekozen. Dat sluit aan bij wat de Hoge Raad in Nederland al toepast, maar het staat nu ook in Europees recht.

Tussenpersonen

De richtlijn regelt uitdrukkelijk de positie van personen die platformwerk verrichten via een tussenpersoon. De bescherming die de richtlijn biedt gaat daarmee niet verloren doordat er een extra schakel tussen het platform en de werkende wordt gezet.

Beperkingen op gegevensverwerking

Het hoofdstuk over algoritmisch beheer begint met beperkingen op het verwerken van persoonsgegevens door geautomatiseerde monitoringsystemen en geautomatiseerde besluitvormingssystemen. Het gaat daarbij om categorieën die bij platformwerk in de verleiding komen: gegevens over de emotionele of psychologische toestand van de werkende, gegevens uit privégesprekken, gegevens over de uitoefening van grondrechten waaronder vakbondsactiviteit, en gegevens die buiten de werktijd worden verzameld.

Effectbeoordeling en transparantie

De richtlijn verplicht tot een gegevensbeschermingseffectbeoordeling voor deze systemen, en tot transparantie: de werkende en zijn vertegenwoordigers moeten weten welke geautomatiseerde systemen worden gebruikt, welke categorieën gegevens die verwerken en welke soorten besluiten daarmee worden genomen of ondersteund.

Menselijk toezicht

Verder bevat het hoofdstuk verplichtingen over menselijk toezicht op geautomatiseerde systemen en over het recht van de werkende om een ingrijpend besluit — zoals het blokkeren van een account — door een mens te laten toetsen en daarover uitleg te krijgen. De precieze artikelnummers en termijnen daarvan zijn niet geverifieerd en worden hier daarom niet genoemd.

Verhouding tot de AVG en de AI-verordening

Het hoofdstuk over algoritmisch beheer staat naast de AVG en vervangt die niet: de effectbeoordeling sluit aan bij artikel 35 AVG en het recht op menselijke tussenkomst bij artikel 22 AVG. Daarnaast merkt de AI-verordening systemen die worden gebruikt voor werving, taaktoewijzing en het monitoren en beoordelen van werkenden aan als hoogrisicotoepassing. Een platform dat opdrachten algoritmisch verdeelt, krijgt daarmee met drie regimes tegelijk te maken.

Nederlandse implementatie

Per 11 september 2026 was via de geraadpleegde bronnen geen Nederlands wetsvoorstel en geen internetconsultatie voor de omzetting van deze richtlijn te vinden. Het nationale spoor rond schijnzelfstandigheid loopt langs een ander wetsvoorstel — de verduidelijking van de beoordeling van arbeidsrelaties — dat over alle zelfstandigen gaat en niet de richtlijn omzet.

Verhouding tot schijnzelfstandigheid en de Wet DBA

De Nederlandse discussie draait om de fiscale kant: de Belastingdienst controleert sinds 1 januari 2025 weer volledig op schijnzelfstandigheid, met naheffing van loonheffingen en premies als gevolg wanneer een opdrachtnemer feitelijk werknemer blijkt. De richtlijn gaat over de arbeidsrechtelijke kant en over de bewijslast in een geschil tussen platform en werkende. Een platform kan dus fiscaal worden aangesproken langs het ene spoor en arbeidsrechtelijk langs het andere, met verschillende beoordelaars en verschillende gevolgen.

Toezicht NL

De richtlijn wijst geen toezichthouder aan. In Nederland wordt de vraag of iemand werknemer is beslecht door de civiele rechter, terwijl de Belastingdienst langs fiscale weg tot hetzelfde oordeel kan komen. De bepalingen over gegevensverwerking raken het terrein van de Autoriteit Persoonsgegevens. Welke instantie na omzetting formeel bevoegd wordt, hangt af van de Nederlandse implementatiewet die er nog niet is.

Boete

De richtlijn bevat geen boetebedragen en laat de sancties aan de lidstaten, met de gebruikelijke eis dat ze doeltreffend, evenredig en afschrikkend zijn. Zolang er geen Nederlandse implementatiewet is, bestaat er voor deze richtlijn geen nationaal boetestelsel; voor de onderdelen die persoonsgegevens raken blijft het sanctiestelsel van de AVG gelden.

Eerstvolgende datum: 2 dec 2026 · nog 3 maanden — Uiterste datum voor omzetting door de lidstaten

Hele dossier →

De EMFA stelt eisen aan lidstaten en aan aanbieders van mediadiensten: redactionele onafhankelijkheid, bescherming van journalistieke bronnen inclusief beperkingen op de inzet van spionagesoftware tegen journalisten, transparantie over wie een medium bezit, en objectieve criteria voor de verdeling van overheidsreclamegeld. Daarnaast krijgen erkende mediabedrijven een bijzondere positie tegenover zeer grote onlineplatforms die hun content willen verwijderen. Voor een onderneming die zelf geen media maakt, verandert er in de praktijk niets: de verordening legt geen verplichtingen op aan adverteerders, aan bedrijven met een nieuwsbrief of aan werkgevers. Zij is geen tegenhanger van de Digitaledienstenverordening, maar een aanvulling die in één specifiek opzicht — het verwijderen van media-content — bovenop de DSA komt te liggen.

Waarvoor is dit bedoeld

In verschillende lidstaten is de afgelopen jaren druk uitgeoefend op redacties, via eigendomsverhoudingen, via de verdeling van overheidsadvertenties en via het achterhalen van journalistieke bronnen. De verordening legt daar een Europese ondergrens onder, zodat een medium in de ene lidstaat niet slechter af is dan in de andere en zodat de interne markt voor mediadiensten niet langs nationale lijnen uiteenvalt.

Voor wie

Aanbieders van mediadiensten: televisie- en radiodiensten, audiovisuele mediadiensten op aanvraag, en persuitgaven. Daarnaast richt een groot deel van de verordening zich niet tot bedrijven maar tot de lidstaten en hun overheidsinstanties, die zich van bepaald optreden moeten onthouden. Een derde groep zijn de zeer grote onlineplatforms in de zin van de Digitaledienstenverordening. Er is geen omzet- of personeelsdrempel; wel gelden sommige bepalingen specifiek voor aanbieders van nieuws- en actualiteitencontent.

Wat er niet onder valt

Gewone ondernemingen. Een bedrijfsblog, een klantenmagazine, een nieuwsbrief of een corporate YouTube-kanaal maakt een onderneming nog geen aanbieder van mediadiensten in de zin van de verordening. Adverteerders krijgen er geen verplichtingen uit; de regels over reclame richten zich op overheidsinstanties die met publiek geld adverteren, niet op private partijen die advertentieruimte kopen. Wie geen redactionele content aanbiedt en geen zeer groot onlineplatform exploiteert, komt de verordening in de dagelijkse praktijk niet tegen.

Wat je moet doen

Voor mediabedrijven: informatie over eigendom en zeggenschap openbaar en toegankelijk maken, en inzichtelijk maken welke inkomsten uit overheidsreclame worden ontvangen. Voor overheidsinstanties: overheidsreclame verdelen langs transparante, objectieve en niet-discriminerende criteria en daarover verantwoording afleggen. Voor zeer grote onlineplatforms: een zorgvuldiger procedure volgen voordat content van een erkende mediadienstaanbieder wordt verwijderd of beperkt. Voor alle andere ondernemingen: niets.

Transparantie van media-eigendom

Aanbieders van mediadiensten moeten publiek toegankelijk maken wie hun eigenaren zijn en wie zeggenschap uitoefent, in een elektronisch en toegankelijk formaat, zodat de ontvanger van een bericht kan beoordelen of er belangen achter zitten die zijn oordeel kunnen kleuren. Daarbij hoort ook openheid over ontvangen overheidsreclamegelden.

Bescherming van journalistieke bronnen

Lidstaten moeten zich onthouden van dwangmiddelen om informatie te verkrijgen waarmee een journalistieke bron of vertrouwelijke communicatie kan worden geïdentificeerd. De inzet van indringende surveillancesoftware tegen mediaprofessionals is aan strikte voorwaarden gebonden: toestemming van een onafhankelijke rechterlijke instantie en beperking tot onderzoek naar ernstige strafbare feiten.

Het mediaprivilege op grote platforms

Een zeer groot onlineplatform dat content van een erkende mediadienstaanbieder wil verwijderen of beperken omdat die in strijd zou zijn met zijn eigen voorwaarden, moet dat vooraf melden, de reden geven en de aanbieder gelegenheid tot reactie geven — in de geraadpleegde tekst genoemd als vierentwintig uur, met de mogelijkheid van een kortere termijn in crisissituaties. Dit is de bepaling waar de verordening rechtstreeks bovenop de DSA komt te liggen.

Overheidsreclame

De verdeling van overheidsmiddelen voor reclame moet volgens transparante, objectieve, evenredige en niet-discriminerende criteria verlopen, en er moet openbaar worden gemaakt welke bedragen naar welke media gaan. Dit raakt overheden en daarmee indirect de mediabedrijven die daarvan afhankelijk zijn; voor commerciële adverteerders verandert er niets.

Mediaconcentraties

De verordening verplicht lidstaten een beoordelingskader te hebben voor concentraties op de mediamarkt, waarbij niet alleen naar mededinging wordt gekeken maar ook naar de gevolgen voor pluriformiteit en redactionele onafhankelijkheid. Dat staat los van de gewone concentratietoets die de mededingingsautoriteit uitvoert.

Europese raad voor mediadiensten

De verordening richt een Europese raad voor mediadiensten op, samengesteld uit de nationale mediatoezichthouders, met de Commissie als secretariaat. Die raad adviseert, coördineert en geeft adviezen over grensoverschrijdende kwesties.

Wat dit voor een gewone onderneming betekent

Vrijwel niets. De enige denkbare aanrakingspunten zijn indirect: een onderneming die een vakblad of een redactioneel platform uitgeeft kan als aanbieder van mediadiensten kwalificeren, en een onderneming waarvan content door een zeer groot platform wordt verwijderd heeft aan deze verordening niets — dat mediaprivilege geldt alleen voor erkende mediadienstaanbieders. Voor het overige is dit wetgeving voor de mediasector en voor de overheid.

Nederlandse relevantie

Het Commissariaat voor de Media is de Nederlandse mediatoezichthouder en de nationale vertegenwoordiger in het Europese overleg. Publieke en commerciële omroepen en uitgevers zijn de partijen die de verplichtingen dragen. Opvallend is dat het Commissariaat op zijn eigen pagina over regelgeving alleen de Mediawet 2008, het Mediabesluit 2008, de Mediaregeling 2008, de Europese richtlijn audiovisuele mediadiensten en de Algemene wet bestuursrecht noemt; de EMFA staat daar niet bij.

Toezicht NL

Het Commissariaat voor de Media, op grond van de Mediawet 2008. Voor de onderdelen die zeer grote onlineplatforms betreffen loopt de handhaving langs de structuur van de Digitaledienstenverordening, waarin de Europese Commissie voor die platforms de bevoegde toezichthouder is.

Boete

De verordening kent geen eigen boetestelsel met bedragen. Handhaving loopt via het nationale mediarecht en de daarin opgenomen sanctie-instrumenten, en voor de platformverplichtingen via het handhavingsinstrumentarium van de Digitaledienstenverordening.

Hele dossier →

De P2B-verordening regelt de verhouding tussen een onlinetussenhandelsdienst en de ondernemers die daarop verkopen: heldere algemene voorwaarden, een motivering als je aanbod wordt beperkt of je account wordt beëindigd, uitleg over hoe de rangschikking tot stand komt, en een klachten- en bemiddelingsroute. Zij geldt voor élk platform dat consumenten en zakelijke gebruikers bij elkaar brengt, hoe klein ook — anders dan de DMA, die alleen zeven aangewezen poortwachters bindt. Wie zelf zo’n platform exploiteert heeft er verplichtingen uit; wie erop verkoopt heeft er rechten uit. De Europese Commissie heeft in november 2025 voorgesteld de verordening in te trekken.

Waarvoor is dit bedoeld

Een zakelijke gebruiker die grotendeels afhankelijk is van één platform staat bij een geschil zwak. De verordening compenseert dat met transparantie- en procedurerechten. Zij regelt niet wat een platform mag rekenen of wie het mag toelaten, maar wél dat de voorwaarden vindbaar en begrijpelijk zijn en dat ingrijpende beslissingen worden gemotiveerd.

Voor wie

Twee kanten. Verplichtingen rusten op aanbieders van onlinetussenhandelsdiensten — diensten die zakelijke gebruikers in staat stellen goederen of diensten aan consumenten aan te bieden om directe transacties tot stand te brengen, op basis van een contractuele relatie — en op aanbieders van onlinezoekmachines. De bescherming geldt voor zakelijke gebruikers die in de EU zijn gevestigd en via de dienst aan consumenten in de EU aanbieden; waar de platformaanbieder zelf zit, doet niet ter zake (art. 1, lid 2). Voor het mkb dat zélf zo’n dienst aanbiedt is één drempel van belang: de artikelen 11 en 12 gelden niet voor kleine ondernemingen in de zin van Aanbeveling 2003/361/EG, dus minder dan 50 werknemers én een jaaromzet of balanstotaal van ten hoogste € 10 miljoen. Alle overige verplichtingen gelden ongeacht de omvang.

Wat er niet onder valt

Diensten die geen directe transacties tussen zakelijke gebruikers en consumenten tot stand brengen, zoals onlinebetaaldiensten en advertentiebeurzen of advertentietools. Ook zuiver zakelijke marktplaatsen zonder consumenten vallen erbuiten, net als de verhouding tussen platform en consument — die valt onder het consumentenrecht en de DSA.

Wat je moet doen — algemene voorwaarden

Voorwaarden in duidelijke en begrijpelijke taal, die tijdens de hele handelsrelatie en ook al vóór het contract eenvoudig beschikbaar zijn. Zij moeten de gronden noemen waarop je een dienst kunt beperken, opschorten of beëindigen. Een wijziging mag pas ingaan na een kennisgeving van ten minste vijftien dagen, langer als de zakelijke gebruiker technische of commerciële aanpassingen moet doen; binnen die termijn kan de zakelijke gebruiker opzeggen. Voorwaarden die niet aan deze eisen voldoen, zijn nietig (art. 3).

Beperken, opschorten, beëindigen

Bij beperking of opschorting van een individueel aanbod moet je uiterlijk op het moment van ingaan een motivering geven. Bij beëindiging van de hele dienstverlening geldt een motivering en een opzegtermijn van ten minste dertig dagen. Die termijn vervalt onder meer bij een wettelijke verplichting, bij een dringend veiligheidsbelang en bij herhaalde schending van de voorwaarden. Wordt de beslissing teruggedraaid, dan moet de toegang tot gegevens worden hersteld (art. 4).

Rangschikking

De belangrijkste parameters die de rangschikking bepalen en het relatieve gewicht daarvan moeten in de algemene voorwaarden staan. Onlinezoekmachines publiceren een eenvoudige, openbaar toegankelijke beschrijving. Ook moet worden uitgelegd of en hoe betaling de rangschikking kan beïnvloeden. Het algoritme zelf hoeft niet te worden prijsgegeven als openbaarmaking manipulatie mogelijk zou maken (art. 5).

Gedifferentieerde behandeling en data

Een platform moet beschrijven of het zijn eigen aanbod of dat van gelieerde partijen anders behandelt dan dat van andere zakelijke gebruikers, en waar dat op neerkomt voor toegang tot gegevens, rangschikking en technische functies (art. 7). Daarnaast moet het beschrijven welke gegevens het over de zakelijke gebruiker en diens transacties verzamelt en wie daar toegang toe heeft (art. 9).

Klachten en bemiddeling

Een intern klachtenafhandelingssysteem dat kosteloos en transparant is (art. 11), en de aanwijzing van ten minste twee bemiddelaars met wie de aanbieder bereid is buiten de rechter om tot een oplossing te komen, waarbij de aanbieder een redelijk deel van de kosten draagt (art. 12). Beide verplichtingen gelden niet voor kleine ondernemingen; die mogen ze vrijwillig toepassen.

Wat een verkoper hieraan heeft

Concreet: minstens vijftien dagen vooraf bericht bij gewijzigde voorwaarden, minstens dertig dagen vooraf bericht met uitleg bij verwijdering van het platform, uitleg over de rangschikking en over betaalde plaatsing, inzage in welke data het platform over hem verzamelt, en een gratis klachtenroute bij platforms die geen kleine onderneming zijn.

Handhaving

De verordening schrijft zelf geen sancties voor: artikel 15 verplicht de lidstaten alleen tot adequate en doeltreffende handhaving, zonder hen te dwingen boetes op te leggen of ambtshalve op te treden. Artikel 14 geeft daarnaast representatieve organisaties en verenigingen het recht om zelf naar de rechter te stappen.

Toezicht NL

De ACM houdt sinds 8 november 2024 toezicht op de regels voor online platforms en zoekmachines jegens zakelijke gebruikers en neemt meldingen van ondernemers aan.

Boete

Er is geen Europees boetemaximum. De ACM kan in Nederland een last onder dwangsom en een bestuurlijke boete opleggen op grond van de Instellingswet ACM: ten hoogste € 900.000 of, indien dat meer is, 1 procent van de omzet, te verdubbelen bij een eerdere overtreding binnen vijf jaar (art. 12m en 12o).

Intrekking voorgesteld

De Digital Omnibus van 19 november 2025 — COM(2025) 837 final — trekt volgens zijn eigen titel de Verordeningen (EU) 2018/1807, (EU) 2019/1150 en (EU) 2022/868 en Richtlijn (EU) 2019/1024 in. De toelichting motiveert dat met de vaststelling dat de DMA en de DSA de bepalingen van de P2B-verordening grotendeels hebben ingehaald. Een deel van de bepalingen blijft in stand vanwege kruisverwijzingen in andere regelgeving; die verwijzingen blijven volgens het voorstel gelden totdat de betrokken regelingen zijn aangepast, uiterlijk 31 december 2032.

Eerstvolgende datum: 31 dec 2032 · nog 6 jaar — Uiterste datum waarop kruisverwijzingen naar de P2B-verordening moeten zijn aangepast, volgens het voorstel

Hele dossier →

CCD2 vervangt de richtlijn consumentenkrediet uit 2008 en trekt de reikwijdte flink open. Kredieten onder € 200, renteloze kredieten, ‘koop nu, betaal later’, kaarten met uitgestelde debitering en huur- en leaseovereenkomsten met koopoptie vielen er tot nu toe grotendeels buiten en vallen er straks onder, met een bovengrens van € 100.000. Voor een gewone ondernemer is dit vooral relevant aan de achterkant van de webshop: wie achteraf betalen aanbiedt, krijgt te maken met een aanbieder die in Nederland een vergunning nodig heeft en met de vraag of hij zelf als bemiddelaar wordt aangemerkt. Anders dan de richtlijn hypothecair krediet gaat CCD2 niet over woningfinanciering; anders dan de betaaldienstenrichtlijn gaat zij niet over de betaling zelf, maar over het uitstel ervan.

Waarvoor is dit bedoeld

De richtlijn uit 2008 dateert van vóór de smartphone en vóór de betaalknop bij de kassa. Hele categorieën kortlopend, klein en renteloos krediet vielen daardoor buiten het toezicht, terwijl juist die vormen sterk zijn gegroeid. CCD2 haalt die vormen binnen en voegt daar eisen aan toe over verantwoorde kredietverlening, leeftijdsverificatie en het vroegtijdig signaleren van betalingsproblemen.

Voor wie

Kredietgevers en kredietbemiddelaars die consumenten krediet verlenen of daarin bemiddelen, en aanbieders van crowdfundingdiensten voor kredietverlening. Er is geen omzet- of personeelsdrempel; de drempels zitten in het product. Krediet tot € 100.000 valt onder de richtlijn, en de ondergrens van € 200 uit de richtlijn van 2008 is losgelaten, zodat ook kleine bedragen meetellen. Voor een webshop is de vraag wie de rol van kredietgever vervult: doet een externe partij dat, dan rust de vergunningplicht daar, maar kan de webshop zelf als bemiddelaar worden gezien.

Wat er niet onder valt

Kredietovereenkomsten die door een hypotheek of ander zekerheidsrecht op onroerend goed zijn gedekt, en kredieten voor de verwerving of het behoud van onroerend goed; die vallen onder de richtlijn hypothecair krediet. Zuivere huur- en leaseovereenkomsten zonder koopoptie of koopverplichting blijven erbuiten. En het belangrijkste voor de handel: uitstel van betaling dat de leverancier van het goed of de dienst zélf verleent, zonder rente en zonder kosten — afgezien van beperkte kosten bij betalingsachterstand — blijft buiten de richtlijn, mits er geen derde partij is die het krediet verstrekt. Zodra er wel een derde financiert, zoals bij de bekende achterafbetaaldiensten, is er sprake van krediet.

Wat je moet doen

Voor een webshop begint het bij het vaststellen van de constructie: verleent de winkel zelf uitstel, of koopt een externe partij de vordering en financiert die het uitstel? In het tweede geval heeft die partij in Nederland een vergunning nodig. De AFM wijst erop dat aanbieders van uitgestelde betaling moeten nagaan of zij onder artikel 2:60 Wft vallen, dat grote bemiddelaars in kortlopende achterafbetaalkredieten onder de registratieplicht van artikel 2:81 Wft kunnen vallen, en dat voor overige bemiddelaars in de nieuwe kredietvormen de vergunningplicht van artikel 2:80 Wft geldt. De AFM neemt vergunningaanvragen al aan, met de kanttekening dat de regelgeving nog niet definitief is.

Wat er nieuw onder valt

De Nederlandse implementatiewet brengt volgens de AFM drie eerder uitgezonderde categorieën binnen het bereik van de Wft: diensten voor uitstel van betaling (‘buy now, pay later’), kaarten met uitgestelde debitering, en huur- of leaseovereenkomsten met een koopoptie. Daarnaast vallen ook renteloze en kostenloze kredieten en kredieten onder € 200 voortaan onder de richtlijn.

Uitstel van betaling door de leverancier zelf

De overwegingen bij de richtlijn beschrijven de uitzondering: uitstel dat de leverancier zelf geeft, zonder rente en zonder kosten, blijft buiten het toepassingsgebied zolang er geen derde partij krediet aanbiedt en de betaling binnen een vastgestelde termijn na levering moet plaatsvinden. In de geraadpleegde tekst worden daarbij twee termijnen genoemd — vijftig dagen als hoofdregel en een kortere termijn van veertien dagen voor grote onlineleveranciers — maar die tweedeling is niet in de artikeltekst zelf nagelezen.

Kredietwaardigheidsbeoordeling

De kredietgever moet vóór het verstrekken beoordelen of de consument het krediet kan dragen. Die beoordeling moet volgens de AFM berusten op de financiële positie van de consument en niet uitsluitend op zijn kredietgeschiedenis, en de ingewonnen informatie over inkomen en vermogen moet worden geverifieerd. Is het krediet niet passend, dan moet het worden geweigerd. Bij doorlopend krediet hoort een beleid om de beoordeling te actualiseren.

Proportioneel regime voor kortlopend krediet

De AFM acht voor kredieten die binnen drie maanden moeten worden terugbetaald een proportionele invulling van de norm voor verantwoorde kredietverlening passend. Ook dan gelden de randvoorwaarden uit de implementatiewet, waaronder leeftijdsverificatie en raadpleging van het centraal krediet informatiesysteem van het BKR. Aanbieders van achterafbetalen moeten volgens de AFM daarnaast bestaande beschermingsmaatregelen behouden, zoals raadpleging van het curatele- en bewindregister.

Leeftijdsverificatie

Kredietaanbieders moeten de leeftijd van de consument vaststellen aan de hand van een betrouwbare bron. De AFM noemt iDIN als voorbeeld. Dat raakt direct het ontwerp van de afrekenpagina: een zelf ingevulde geboortedatum voldoet niet.

Preventief beheer

Nieuw is de verplichting om consumenten met beginnende betalingsproblemen vroegtijdig te signaleren en door te verwijzen naar schuldhulpverlening. De AFM heeft aangekondigd haar leidraad aan te passen om deze norm daarin op te nemen.

Geautomatiseerde kredietbeoordeling

Wordt de beoordeling geautomatiseerd uitgevoerd, dan heeft de consument volgens de overwegingen bij de richtlijn recht op menselijke tussenkomst van de kredietgever, op een zinvolle en begrijpelijke toelichting bij de beoordeling — inclusief de voornaamste variabelen en de gehanteerde logica — en op herziening van de beoordeling en van het uiteindelijke besluit.

Drie regimes op dezelfde beslissing

De uitlegplicht bij geautomatiseerde kredietbeoordeling loopt parallel aan artikel 22 AVG, dat het recht geeft niet aan uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen te worden onderworpen, en aan de AI-verordening, waarin kredietwaardigheidsbeoordeling van natuurlijke personen als hoogrisicotoepassing is aangemerkt. Voor één beslissing gelden daarmee drie verschillende regimes met eigen documentatie- en uitlegverplichtingen.

Nederlandse implementatie

De implementatiewet was in september 2026 nog in voorbereiding; de AFM meldt dat het wetgevingsproces nog loopt en dat vergunningaanvragen die nu worden ingediend het risico dragen dat de regelgeving nog verandert. De ingangsdatum waar de AFM zich op richt is 20 november 2026: vanaf dat moment moeten marktpartijen zich aan de nieuwe normen houden.

Toezicht NL

De AFM, via de Wet op het financieel toezicht. De vergunningplicht voor aanbieden van krediet, de vergunningplicht voor bemiddelen en de registratieplicht voor bepaalde bemiddelaars in kortlopend krediet zijn de drie ingangen waarlangs de nieuwe categorieën onder dat toezicht komen.

Boete

De richtlijn stelt zelf geen bedragen vast en laat de sancties aan de lidstaten, met de eis dat ze doeltreffend, evenredig en afschrikkend zijn. In Nederland loopt de handhaving langs het boetestelsel van de Wft; welke boetecategorie aan de nieuwe verplichtingen wordt gekoppeld, volgt uit de implementatiewet en was nog niet vast te stellen.

Eerstvolgende datum: 20 nov 2026 · nog 2 maanden — CCD2 van toepassing

Hele dossier →

Deze richtlijn is geen nieuwe wet met een eigen naam, maar een verbouwing van twee bestaande consumentenrichtlijnen. Zij zet twaalf nieuwe praktijken op de zwarte lijst van handelspraktijken die onder alle omstandigheden misleidend zijn — de helft daarvan gaat over milieuclaims, de andere helft over software-updates, reserveonderdelen en levensduur — en zij voegt informatieplichten toe over hoe lang een product meegaat en hoe lang het updates krijgt. Wat op de zwarte lijst staat, is verboden zonder dat een toezichthouder nog hoeft aan te tonen dat een consument daadwerkelijk is misleid. De richtlijn wordt vaak verward met het afzonderlijke Commissievoorstel voor een richtlijn groene claims, dat een methode zou voorschrijven om milieuclaims te onderbouwen en te laten verifiëren; dat voorstel is niet aangenomen en staat los van deze richtlijn, die nu wel geldend recht wordt.

Waarvoor is dit bedoeld

Een consument kan niet controleren of een trui werkelijk klimaatneutraal is of een telefoon werkelijk vijf jaar meegaat. In plaats van een keurmerkenstelsel te bouwen, heeft de Unie de bestaande richtlijn oneerlijke handelspraktijken uitgebreid: een reeks uitingen is nu per definitie verboden. Daarnaast is de richtlijn consumentenrechten aangevuld, zodat een koper vóór de koop te horen krijgt hoe lang de fabrikant instaat voor het product en voor de software erin.

Voor wie

Elke handelaar die goederen of diensten aan consumenten in de Unie aanbiedt: fabrikanten, importeurs, webshops, fysieke winkels en dienstverleners. Er is geen omzet- of personeelsdrempel en geen uitzondering voor kleine ondernemingen — een webshop met drie man valt er even hard onder als een warenhuis. Dit is consumentenrecht, dus de doelgroep is bepaald door wie er aan de andere kant van de transactie staat, niet door de omvang van de verkoper.

Wat er niet onder valt

Uitingen die uitsluitend aan andere bedrijven zijn gericht. De richtlijn oneerlijke handelspraktijken beschermt consumenten; een leverancier die in een offerte aan een zakelijke klant iets over duurzaamheid beweert, valt er niet onder — al kan dat wel een misleidende reclame in de zin van andere regels opleveren. Ook duurzaamheidsverslaggeving in het jaarverslag valt erbuiten; die loopt langs een eigen spoor. De richtlijn schrijft verder geen rekenmethode voor waarmee een milieuclaim moet worden onderbouwd; dat was juist de kern van het aparte, niet aangenomen voorstel voor een richtlijn groene claims.

Wat je moet doen

Drie dingen tegelijk. De uitingen die nu op de zwarte lijst staan, moeten uit alle kanalen verdwijnen — verpakking, webshop, advertenties, e-mail, winkelvloer. Van de claims die overblijven moet onderbouwing beschikbaar zijn. En de nieuwe precontractuele informatie over levensduur, repareerbaarheid en updates moet vóór de koop worden getoond, op de plaats waar de consument zijn keuze maakt.

De nieuwe verboden: milieuclaims

Aan bijlage I bij Richtlijn 2005/29/EG zijn punten toegevoegd die het volgende onvoorwaardelijk verbieden. Punt 2 bis: een duurzaamheidskeurmerk tonen dat niet op een certificeringsregeling berust en niet door een overheidsinstantie is vastgesteld. Punt 4 bis: een generieke milieuclaim waarvoor de handelaar geen erkende voortreffelijke milieuprestatie kan aantonen. Punt 4 ter: een claim over het hele product of het hele bedrijf voeren terwijl die in werkelijkheid maar op één aspect slaat. Punt 4 quater: beweren dat een product klimaatneutraal, CO2-neutraal of klimaatpositief is op grond van compensatie van uitstoot. Punt 10 bis: een wettelijk verplicht kenmerk presenteren als een eigen pluspunt.

De nieuwe verboden: software, onderdelen en levensduur

In dezelfde bijlage staan nu ook verboden die niets met milieu te maken lijken te hebben maar er wel uit voortkomen. Punt 23 quinquies: verzwijgen dat een software-update de werking van het product negatief beïnvloedt. Punt 23 sexies: een update die alleen functionaliteit toevoegt presenteren als noodzakelijk om het product te laten blijven werken. Punt 23 septies: reclame maken voor een product waarvan de handelaar weet dat er een kenmerk in zit dat de levensduur beperkt. Punt 23 octies: onjuiste beweringen over de levensduur bij normaal gebruik. Punt 23 nonies: een niet-repareerbaar product als repareerbaar presenteren. Punt 23 decies: de consument onder druk zetten om verbruiksartikelen eerder te vervangen of bij te vullen dan nodig. Punt 23 undecies: verzwijgen dat het product niet met niet-originele onderdelen werkt, of ten onrechte beweren dat het daarmee niet werkt.

Wat nog wel mag

Specifieke, onderbouwde claims over een concreet aspect blijven toegestaan, mits op hetzelfde medium duidelijk staat waar de claim op slaat. Een claim over toekomstige milieuprestaties mag alleen als daar duidelijke, objectieve, openbaar toegankelijke en verifieerbare verplichtingen achter zitten, met een uitvoeringsplan en regelmatige verificatie door een onafhankelijke derde. Een vergelijkende claim moet vertellen welke producten zijn vergeleken, volgens welke methode, en hoe die vergelijking wordt bijgehouden. Reclame maken met een voordeel dat voor de consument irrelevant is, is verboden.

Eisen aan duurzaamheidskeurmerken

Een duurzaamheidskeurmerk is in de richtlijn elk vrijwillig label dat een product, proces of bedrijf aanprijst op milieu- of sociale kenmerken. Zo’n keurmerk mag alleen worden gevoerd als het berust op een certificeringsregeling — een regeling met openbare, objectieve criteria die door een onafhankelijke derde wordt gecontroleerd — of door een overheidsinstantie is vastgesteld. Een zelfbedacht bedrijfslabel dat er als keurmerk uitziet, staat daarmee op de zwarte lijst.

Generieke claims

Woorden als milieuvriendelijk, groen, eco, natuurlijk of klimaatvriendelijk zonder nadere toelichting op hetzelfde medium gelden als generieke milieuclaim. Die mag alleen als de handelaar een erkende voortreffelijke milieuprestatie kan aantonen. De richtlijn koppelt dat begrip aan de EU-milieukeur en aan type I-milieukeurregelingen in de zin van ISO 14024. In de praktijk betekent dit dat de losse kreet zonder onderbouwing verdwijnt.

Informatie over levensduur en repareerbaarheid

De richtlijn consumentenrechten is aangevuld met informatieplichten vóór de koop. Biedt de producent een commerciële duurzaamheidsgarantie van meer dan twee jaar, dan moet die kenbaar worden gemaakt met een geharmoniseerd label. Daarnaast moet de consument worden herinnerd aan de wettelijke conformiteitsgarantie die hij sowieso al heeft, en moet waar dat aan de orde is een reparatiescore worden getoond. De Commissie moest uiterlijk 27 september 2025 het model voor dat label en die mededeling vaststellen.

Informatie over software-updates

Bij goederen met digitale elementen moet de verkoper vóór de koop vertellen gedurende welke periode gratis software-updates beschikbaar zijn. Dat is een verkoopinformatieplicht: zij verplicht niet tot updaten, maar wel tot het noemen van de termijn. In combinatie met het verbod op het verzwijgen van nadelige updates betekent het dat een leverancier een positie moet innemen over het updatebeleid van zijn eigen product.

Verband met de Cyber Resilience Act

Dezelfde termijn duikt op in Verordening (EU) 2024/2847. Daar bepaalt de fabrikant zelf de ondersteuningsperiode waarin hij kwetsbaarheden verhelpt, en moet hij die einddatum bij aankoop duidelijk vermelden; uitgangspunt is ten minste vijf jaar. Voor wie een apparaat met firmware of een app verkoopt, lopen de twee regimes in elkaar over: de CRA bepaalt hoe lang er beveiligingsupdates moeten komen en de groene richtlijn maakt het misleidend om over updates onvolledig of onjuist te communiceren. De CRA wordt op 11 december 2027 volledig van toepassing; de informatieplicht uit deze richtlijn komt ruim een jaar eerder.

Nederlandse omzetting

De zwarte lijst van misleidende handelspraktijken staat in artikel 6:193g BW, in afdeling 3A van boek 6 over oneerlijke handelspraktijken; de zwarte lijst van agressieve praktijken staat in artikel 6:193i BW. De nieuwe verboden worden aan de eerste lijst toegevoegd. De informatieplichten bij overeenkomsten op afstand en buiten de verkoopruimte staan in artikel 6:230m BW; daar landen de bepalingen over duurzaamheidsgarantie, reparatiescore en updatetermijn.

Toezicht NL

De ACM handhaaft de regels over oneerlijke handelspraktijken bestuursrechtelijk en heeft duurzaamheidsclaims al vóór deze richtlijn als prioriteit behandeld; haar Leidraad duurzaamheidsclaims bevat vijf vuistregels en is de facto het toetsingskader dat zij hanteert. Daarnaast is er een civiele route: een consument die door een oneerlijke handelspraktijk is geraakt, kan de overeenkomst aantasten en schadevergoeding vorderen.

Boete

De ACM vermeldt zelf dat een boete kan oplopen tot € 900.000 per overtreding of, als dat meer is, 10 procent van de betrokken omzet. De hoogte hangt af van de ernst en de duur van de overtreding en van de omstandigheden van het geval; de ACM werkt daarbij met haar eigen boetebeleidsregels.

Eerstvolgende datum: 27 sep 2026 · nog 16 dagen — Richtlijn 2024/825 van toepassing

Hele dossier →

Het voorstel introduceert een permanent Europees regime om online seksueel kindermisbruik op te sporen, te melden en te laten verwijderen — in de wandelgangen ‘chatcontrole’ genoemd. Het zou gaan gelden voor hostingdiensten, appwinkels en aanbieders van interpersoonlijke communicatiediensten zoals chat-, e-mail- en berichtenapps, die risico’s moeten beoordelen en beperken en die onder voorwaarden een rechterlijk detectiebevel kunnen krijgen. Raad en Parlement onderhandelen sinds december 2025 in triloog zonder akkoord, terwijl de tijdelijke regeling die vrijwillig scannen toestond op 3 april 2026 is verlopen.

Waarvoor is dit bedoeld

Online seksueel kindermisbruik wordt nu grotendeels bestreden via vrijwillige, tijdelijk toegestane scanning door aanbieders zelf. De Commissie wil daar een permanent, verplicht regime van maken: een risicobeoordeling door diensten, verplichte risicobeperkende maatregelen, en als dat onvoldoende is een rechterlijk of bestuurlijk detectiebevel voor een specifieke dienst. Het voorstel introduceert daarnaast een nieuw EU-orgaan dat meldingen zou moeten ontvangen, beoordelen en doorsturen naar opsporingsdiensten.

Voor wie

Het voorstel richt zich op aanbieders van hostingdiensten en van interpersoonlijke communicatiediensten — chat-, e-mail- en berichtenapps, ook wanneer die end-to-end versleuteld zijn — die diensten aanbieden aan gebruikers in de EU, ongeacht waar de aanbieder is gevestigd. Ook appwinkels zouden verplichtingen krijgen, onder meer rond leeftijdsverificatie voor apps waarmee minderjarigen in contact kunnen komen met anderen. Geen enkele versie van het voorstel die dit onderzoek kon natrekken bevat een omzet- of personeelsdrempel die kleine aanbieders volledig vrijstelt.

Wat er niet onder valt

Diensten die geen interpersoonlijke communicatie faciliteren en zuivere infrastructuurdiensten vallen in de kern buiten het voorstel, evenals werkzaamheden op het gebied van nationale veiligheid en defensie. De precieze afbakening — welke categorieën diensten exact worden geraakt, en of er een uitzondering komt voor de kleinste aanbieders — verschilt per versie van de tekst die Raad en Parlement onderhandelen en ligt na de triloog nog niet vast.

Wat je moet doen

Nu nog niets. Er is geen aangenomen verordening, dus geen risicobeoordelingsplicht, geen meldplicht en geen mogelijkheid tot een detectiebevel. Voor aanbieders die op dit moment vrijwillig op materiaal van seksueel kindermisbruik scannen, ligt er wel een acuut punt: de tijdelijke derogatie die dat toestond zonder in strijd te komen met de ePrivacy-richtlijn is verlopen (zie hieronder).

Het voorgestelde EU Centre

Het voorstel voorziet in een nieuw EU-orgaan — in de Commissietekst het EU Centre on Child Sexual Abuse — dat meldingen van aanbieders zou ontvangen, technisch zou beoordelen of materiaal daadwerkelijk kindermisbruik betreft, en gevalideerde meldingen zou doorgeleiden naar Europol en nationale opsporingsdiensten. De precieze bevoegdheden en de zetel van dit centrum zijn onderdeel van de lopende triloogonderhandelingen.

Stand van zaken

De LIBE-commissie van het Europees Parlement stemde op 14 november 2023 over een onderhandelingsmandaat (rapporteur Javier Zarzalejos, EPP) en kreeg groen licht om te gaan onderhandelen. De Raad nam op 13 november 2025 een algemene oriëntatie aan. De triloog tussen Raad, Parlement en Commissie ging op 9 december 2025 van start en liep begin september 2026 nog door, met eerder de ambitie om in juli 2026 tot een akkoord te komen — een resultaat dat er op 11 september 2026 nog niet lag.

Wat omstreden is

De kern van het debat is het voorgestelde detectiebevel voor end-to-end versleutelde diensten. Voorstanders — onder wie een deel van de Raad en organisaties voor kinderbescherming — wijzen erop dat een groeiend deel van misbruikmateriaal en grooming juist via versleutelde kanalen verloopt, en dat detectie zonder zo’n bevel technisch onmogelijk blijft. Tegenstanders — onder wie beveiligingsonderzoekers, privacyorganisaties en aanbieders van versleutelde messaging — stellen dat clientside scanning de facto de versleuteling ondergraaft voor alle gebruikers, een technische kwetsbaarheid en surveillance-infrastructuur creëert die ook door kwaadwillenden kan worden misbruikt, en dat een vermoeden van schuld wordt gelegd bij alle gebruikers van een dienst. Beide posities zijn in de onderhandelingen nog niet verzoend.

De tijdelijke derogatie

Verordening (EU) 2021/1232 gaf aanbieders van interpersoonlijke communicatiediensten tijdelijk een uitdrukkelijke rechtsgrondslag om vrijwillig te scannen op materiaal van seksueel kindermisbruik en grooming, als uitzondering op de vertrouwelijkheidsregels van de ePrivacy-richtlijn. Verordening (EU) 2024/1307 verlengde die derogatie tot 3 april 2026. Het Europees Parlement wees in maart 2026 een verdere verlenging af, waarna de derogatie op 3 april 2026 is verlopen zonder opvolger.

Gevolg van het vervallen van de derogatie

Grote aanbieders als Google, Meta, Microsoft en Snap hebben laten weten hun vrijwillige scanning voort te zetten. Zonder de derogatie ontbreekt daarvoor de uitdrukkelijke uitzondering op de ePrivacy-regels over vertrouwelijkheid van communicatie, wat een juridisch risico oplevert — gebruikers kunnen hierover in beginsel een klacht indienen bij een gegevensbeschermingsautoriteit. Voor Nederlandse chat-, e-mail- en messagingaanbieders die nog scannen, geldt hetzelfde risico.

Nederlandse positie

Het kabinet hield in een commissiedebat van 24 november 2025 vast aan een kritische opstelling, met zorgen of een detectiebevel op end-to-end versleutelde diensten de nationale veiligheid en de veiligheid van digitale communicatie in bredere zin zou aantasten. Dit gegeven is overgenomen uit een eerdere versie van dit dossier en kon dit onderzoek niet opnieuw bij tweedekamer.nl verifiëren; zie onzeker.

Toezicht NL

Nog niet van toepassing. Er is geen aangenomen verordening en dus geen Nederlandse uitvoeringswet die een toezichthouder aanwijst. Zolang de tijdelijke derogatie liep, gold voor de gegevensbeschermingsaspecten van vrijwillig scannen in beginsel het toezicht van de Autoriteit Persoonsgegevens; dat is met het verlopen van de derogatie niet automatisch veranderd.

Boete

Nog niet vast te stellen. Zolang het voorstel geen wet is, bestaat er geen boetebepaling om na te leven. Eerdere onderhandelingsteksten van Raad en Parlement bevatten wel een boeteparagraaf, maar de hoogte en de grondslag daarvan liggen na de triloog nog niet vast.

Hele dossier →

Het voorstel bundelt vier bestaande telecom-instrumenten tot één rechtstreeks werkende verordening, in plaats van een richtlijn die elke lidstaat apart moet omzetten. Het zou gaan gelden voor telecomaanbieders en satellietoperators, met onder meer één EU-brede autorisatie in plaats van aanmelding per lidstaat, en verplichte nationale plannen om kopernetwerken uit te faseren. Het voorstel dateert van januari 2026 en moet nog volledig door het Europees Parlement en de Raad worden behandeld; van een akkoord is nog geen sprake.

Waarvoor is dit bedoeld

Het huidige Europese telecomkader — het Europees wetboek voor elektronische communicatie — is een richtlijn die elke lidstaat op zijn eigen manier omzet, met als gevolg uiteenlopende vergunningsregels, spectrumbeleid en toezichtpraktijken. De Commissie wil daarvoor één rechtstreeks werkende verordening in de plaats stellen, zodat een telecomaanbieder die in meerdere lidstaten actief wil zijn niet in elk land opnieuw een vergunningstraject hoeft te doorlopen.

Voor wie

Aanbieders van elektronische-communicatienetwerken en -diensten — telecomoperators, internetproviders, satellietoperators — die in meerdere EU-lidstaten actief zijn of willen worden. Nationale regelgevers zoals de ACM en de RDI zijn de andere kant van de medaille: hun bevoegdheden en werkwijze zouden veranderen als de richtlijn plaatsmaakt voor een verordening.

Wat er niet onder valt

Dit is telecominfrastructuurregelgeving, geen contentregulering: onlinediensten, platforms en de content die over netwerken loopt, blijven het terrein van de Digitaledienstenverordening en de Digitalemarktenverordening. Of er een drempel voor kleine aanbieders komt, is in de geraadpleegde bronnen niet bevestigd.

Wat je moet doen

Nu nog niets. Het voorstel is op 21 januari 2026 ingediend en moet nog door het Europees Parlement en de Raad worden behandeld voordat het wet wordt; de Nederlandse Telecommunicatiewet, die het huidige Europese wetboek omzet, verandert dus nog niet.

Kernelementen van het voorstel

Eén EU-brede autorisatie voor operators in plaats van aanmelding per lidstaat; een EU-brede spectrumautorisatie voor satellietdiensten; meer ruimte voor zakelijke (business-to-business) contractvrijheid; verplichte nationale transitieplannen voor het uitfaseren van kopernetwerken naar glasvezel; en een EU-paraatheidsschema tegen verstoringen door natuurrampen en buitenlandse inmenging.

Van richtlijn naar verordening

Het huidige kader is een richtlijn (Richtlijn (EU) 2018/1972) die Nederland heeft omgezet in de Telecommunicatiewet, met eigen beleidsruimte voor de ACM. Een verordening werkt rechtstreeks en laat op termijn minder ruimte voor nationale invulling; hoe de ACM haar rol daarbinnen behoudt, is onderdeel van de onderhandelingen.

De kopertransitie

Lidstaten zouden verplicht worden een nationaal plan te hebben voor het uitfaseren van kopernetwerken. In Nederland raakt dat rechtstreeks KPN, dat het grootste kopernetwerk beheert, en het toezicht van de RDI op de overgang naar glasvezel.

Satellietspectrum

Een EU-brede autorisatie voor satellietspectrum zou aanbieders van satellietcommunicatie een Europees traject bieden in plaats van aparte nationale spectrumvergunningen — relevant voor operators die breedband via satelliet aanbieden, ook in gebieden waar vaste of mobiele netwerken niet toereikend zijn.

Wat omstreden is: bijdrage van contentaanbieders aan netwerkkosten

Al sinds 2022 wordt in Brussel gediscussieerd over de vraag of grote contentaanbieders — partijen die een groot deel van het dataverkeer veroorzaken — zouden moeten meebetalen aan de netwerkinfrastructuur waarover hun verkeer loopt, bekend als het ‘fair share’-debat. Telecomoperators, verenigd in de branchevereniging Connect Europe (voorheen ETNO), drongen ook in 2026 nog aan op een steviger kostendelingsmechanisme; grote techbedrijven en voorvechters van netneutraliteit hebben zich daar consistent tegen verzet. Of de gepubliceerde DNA-tekst zelf een bindend kostendelingsmechanisme bevat, kon dit onderzoek niet bevestigen — de telecomsector voerde medio 2026 juist campagne vóór een steviger regeling, wat erop wijst dat de huidige tekst op dit punt niet aan hun wensen voldoet.

Positie van de sector

Connect Europe publiceerde in 2026 een ‘12-point plan to fix the Digital Networks Act’, en sociale partners in de telecomsector riepen op 16 juni 2026 op tot een ‘bolder’ Digital Networks Act. Beide signalen wijzen op onvrede bij de telecomsector met de reikwijdte van het voorstel zoals dat nu voorligt.

Toezicht NL

Op dit moment de ACM (marktregulering) en de RDI (spectrum en technische aspecten), op grond van de Telecommunicatiewet die het huidige Europese wetboek omzet. Hoe het toezicht verandert als de DNA als rechtstreeks werkende verordening wordt aangenomen, ligt nog niet vast.

Boete

Nog niet vast te stellen. Het voorstel is nog niet aangenomen; een boeteregime dat in de plaats komt van de huidige sanctiebepalingen in de Telecommunicatiewet is in dit onderzoek niet bij de brontekst geverifieerd.

Hele dossier →

De Digital Fairness Act is een aangekondigd wetgevingsvoorstel tegen manipulatief interfaceontwerp, verslavend ontwerp van apps en games, gepersonaliseerde prijzen en misleidende influencer-marketing. Het zou, als het wordt zoals aangekondigd, gaan gelden voor vrijwel elke onderneming die online aan EU-consumenten verkoopt of een app of game aanbiedt. Op 11 september 2026 was er nog geen wetsvoorstel: de publieke consultatie is gesloten, maar de exacte publicatiedatum van de Commissie is in de geraadpleegde bronnen niet eenduidig.

Waarvoor is dit bedoeld

De Commissie liet in 2024 onderzoeken of de bestaande consumentenrichtlijnen — de richtlijn oneerlijke handelspraktijken en de consumentenrechtenrichtlijn — nog voldoen in een digitale omgeving. De conclusie van die ‘fitness check’, gepubliceerd op 3 oktober 2024: de regels blijven relevant, maar pakken een aantal specifiek digitale praktijken onvoldoende aan — dark patterns, verslavend ontwerp, gepersonaliseerde prijzen en misleidende influencer-marketing. De Digital Fairness Act moet die leemte opvullen.

Voor wie

Op dit moment: niemand, want er is geen wet. Zoals aangekondigd zou het voorstel gaan gelden voor iedere onderneming die online aan EU-consumenten verkoopt of digitale diensten aanbiedt — webshops, app- en game-ontwikkelaars, en partijen die met influencers werken voor marketing. Anders dan bij de Digital Services Act ligt de nadruk niet op de omvang van het platform, maar op de praktijk: elke onderneming die een manipulatief ontwerp, gepersonaliseerde prijzen of misleidende beïnvloedersmarketing gebruikt, zou eronder kunnen vallen, van grote webshop tot eenmans-app.

Wat er niet onder valt

Zuiver zakelijke (B2B) relaties blijven in de regel buiten consumentenrecht, dus ook buiten een toekomstige Digital Fairness Act. Of er een uitzondering komt voor micro- of kleine ondernemingen, is niet bekend: er bestaat nog geen wettekst om dat in vast te leggen.

Wat je moet doen

Nu nog niets, want er is geen voorstel gepubliceerd. Praktijken als dark patterns en misleidende duurzaamheidsclaims of nepreviews kunnen nu al worden aangepakt via de bestaande richtlijn oneerlijke handelspraktijken en de richtlijn tot versterking van de positie van de consument bij de groene transitie (Richtlijn (EU) 2024/825); de Digital Fairness Act zou daar in de toekomst bovenop komen, niet in de plaats van.

De aanleiding: het Europees Parlement

Het Europees Parlement nam in 2023 een resolutie aan over verslavend ontwerp van onlinediensten en consumentenbescherming in de digitale interne markt, en drong daarin aan op aanvullende EU-regels. Die resolutie was mede aanleiding voor de fitness check die in 2024 volgde.

De fitness check van 3 oktober 2024

Een Commissie-werkdocument dat de bestaande consumentenregels toetste aan digitale praktijken. Expliciet genoemde problemen: manipulatief interfaceontwerp (dark patterns) bij bijvoorbeeld opzeg- en annuleringsknoppen, verslavend ontwerp van apps en diensten, oneerlijke gepersonaliseerde prijspraktijken op basis van gedrag of locatie, misleidende influencer-marketing, en oneerlijke contractvoorwaarden in digitale dienstverlening.

De publieke consultatie

Liep van 17 juli 2025 tot 24 oktober 2025. Binnen twee weken kwamen er ordegrootte 3.000 reacties binnen, opvallend veel afkomstig van gamers die aandrongen op regels voor het behoud van games en virtuele bezittingen (‘game preservation’) wanneer een uitgever een dienst stopzet — een signaal dat in-app-aankopen, virtuele valuta en loot boxes een expliciet onderwerp in dit dossier zijn.

Verantwoordelijke commissaris

Michael McGrath, Eurocommissaris voor Democratie, Justitie en Consumentenbescherming, is verantwoordelijk voor dit dossier binnen de Commissie-Von der Leyen II.

Verwachte publicatie

Bronnen lopen uiteen: het ene overzicht noemt het derde kwartaal van 2026, een eerdere versie van dit dossier noemde onder verwijzing naar het Commissiewerkprogramma het vierde kwartaal van 2026. Op 11 september 2026 was in de geraadpleegde bronnen geen gepubliceerd voorstel te vinden; zie onzeker.

Verhouding tot bestaand recht

De Digital Fairness Act is aangekondigd als aanvulling op de richtlijn oneerlijke handelspraktijken (2005/29/EG) en de consumentenrechtenrichtlijn (2011/83/EU), niet als vervanging. Zij zou voortbouwen op de recente richtlijn empowering consumers (2024/825), die al een aantal dark patterns-achtige praktijken aanpakt zoals nepreviews en misleidende duurzaamheidsclaims, en dat verder doortrekken naar interfaceontwerp, verslaving en personalisatie.

Wat het voor een webshop zou kunnen betekenen

Als het voorstel de aangekondigde onderwerpen volgt: beperkingen op manipulatieve annuleer- en opzegschermen, grenzen aan het gebruik van kunstmatige schaarste- en tijdsdruksignalen (‘nog maar 2 op voorraad’, aftelklokken), eisen aan transparantie over gepersonaliseerde prijzen, en strengere regels voor het inzetten van en samenwerken met influencers.

Wat het voor een app of game zou kunnen betekenen

De aandacht voor verslavend ontwerp en de opvallende gamersrespons op de consultatie wijzen erop dat mechanismen als eindeloos scrollen, pushmeldingen die tot gebruik aanzetten, en virtuele valuta of loot boxes in games onderdeel van het debat zijn. Of en hoe dat in concrete verplichtingen wordt vertaald, staat nog niet vast.

Bescherming van minderjarigen

Kwetsbare consumenten, met uitdrukkelijke aandacht voor minderjarigen, zijn door de Commissie genoemd als bijzonder aandachtspunt voor dit dossier — vergelijkbaar met de aandacht voor minderjarigen in de Digital Services Act, maar dan vanuit consumentenrecht in plaats van platformregulering.

Toezicht NL

Nog niet vast te stellen, want er is geen wet. De ACM handhaaft nu al de richtlijn oneerlijke handelspraktijken en de consumentenrechtenrichtlijn in Nederland en ligt daarmee voor de hand als toezichthouder, maar dat is een verwachting, geen vaststaand gegeven.

Boete

Nog niet vast te stellen: er bestaat geen wettekst. Vergelijkbare recente consumentenrechtelijke wetgeving loopt via de nationale ACM-boetebevoegdheid; of de Digital Fairness Act een eigen, hoger boeteregime krijgt zoals de Digitaledienstenverordening dat kent, is niet bekend.

Hele dossier →

Het voorstel introduceert een digitale portemonnee voor bedrijven waarmee zij bedrijfsgegevens en officiële attesten eenmalig, machineleesbaar en grensoverschrijdend kunnen vastleggen en delen met overheden en met andere ondernemingen. Het is het zakelijke pendant van de EUDI-wallet voor burgers uit eIDAS 2, maar een apart voorstel met een eigen wetgevingstraject. Het ligt sinds 19 november 2025 bij Raad en Parlement; in de Tweede Kamer was er op 10 september 2026 een technische briefing, maar van een akkoord is nog geen sprake.

Waarvoor is dit bedoeld

Bedrijven die grensoverschrijdend zakendoen of bij een aanbesteding meedingen, leveren vaak herhaaldelijk dezelfde gegevens aan — een uittreksel uit het handelsregister, een vergunning, een btw-registratie — via kanalen die onderling niet op elkaar aansluiten. Dat is vooral belastend voor het mkb, dat niet de administratieve capaciteit heeft om dat proces te stroomlijnen. Het voorstel wil dat eenmalig en machineleesbaar maken via een digitale portemonnee voor bedrijven.

Voor wie

Rechtspersonen en zelfstandig ondernemers die gebruik zouden maken van een business wallet om gegevens te bewaren en te delen met overheden en andere bedrijven; uitgevers van business wallets; en uitdrukkelijk ook marktdeelnemers uit derde landen, aan wie een wallet kan worden uitgegeven.

Wat er niet onder valt

Natuurlijke personen die als burger — niet als ondernemer — gegevens willen delen, vallen onder de aparte EUDI-wallet uit eIDAS 2 (Verordening (EU) 2024/1183), niet onder de European Business Wallet. Beide kaders zijn afzonderlijke voorstellen met een eigen wetgevingstraject.

Wat je moet doen

Nu nog niets. Het voorstel is op 19 november 2025 ingediend en moet nog volledig door het Europees Parlement en de Raad worden behandeld. De technische briefing en het rondetafelgesprek in de Tweede Kamer op 10 september 2026 zijn een stap in de parlementaire behandeling, geen wetgeving — er ontstaat geen verplichting voordat een verordening is aangenomen.

Verhouding tot de EUDI-wallet (eIDAS 2)

De EUDI-wallet is gericht op natuurlijke personen: identificatie, elektronische handtekeningen, en het delen van persoonlijke attesten zoals een diploma of rijbewijs. Elke lidstaat moet daarvan ten minste één versie aanbieden binnen de termijn die uit de uitvoeringshandelingen bij Verordening (EU) 2024/1183 volgt — naar verwachting eind december 2026. De European Business Wallet is het zakelijke pendant: gericht op rechtspersonen en hun bedrijfsgegevens in plaats van persoonsgegevens, met een eigen voorstel en eigen tijdlijn.

Wat een bedrijf ermee zou kunnen

Bedrijfsgegevens en officiële attesten — een inschrijving in het handelsregister, een vergunning, een btw-registratie, een certificaat — eenmalig vastleggen en vervolgens gericht en machineleesbaar delen met een overheidsinstantie of een andere onderneming, in plaats van bij elke aanbesteding, aanvraag of zakelijke relatie opnieuw documenten te verzamelen en te uploaden.

Acceptatie door overheden en bedrijven

Net als bij de EUDI-wallet zou er een acceptatieplicht kunnen gaan gelden voor bepaalde overheidsinstanties en mogelijk voor private partijen die met bedrijven zakendoen. De precieze reikwijdte van zo’n plicht, en of er een uitzondering komt voor kleine ondernemingen zoals bij eIDAS 2, ligt niet vast zolang het voorstel niet is aangenomen.

Nederlandse behandeling

Volgens een eerdere versie van dit dossier zijn de Tweede Kamerrapporteurs op dit dossier El Boujdaini (D66) en Van Dijk (PVV), met een technische briefing en rondetafelgesprek op 10 september 2026. Dit onderzoek kon dat deze sessie niet opnieuw bij tweedekamer.nl verifiëren; zie onzeker.

Raakvlak met Nederlandse instanties

Een European Business Wallet zou in Nederland onder meer raken aan de Kamer van Koophandel (handelsregistergegevens), de Belastingdienst (fiscale en btw-gegevens) en gemeenten (vergunningen), als bronnen of afnemers van de gegevens die via de wallet worden gedeeld.

Samenhang met de EU-brede digitale-identiteitsarchitectuur

Zowel de EUDI-wallet als de European Business Wallet bouwen op dezelfde onderliggende eIDAS-infrastructuur voor vertrouwensdiensten en certificering. Voor bedrijven die al met eHerkenning of DigiD werken, komt er dus een derde laag bij, naast de bestaande nationale en de nieuwe Europese burgerwallet.

Toezicht NL

Nog niet vast te stellen. Er is geen aangenomen verordening en dus geen aangewezen Nederlandse toezichthouder. Gelet op de bestaande rol van de Rijksinspectie Digitale Infrastructuur bij eIDAS-vertrouwensdiensten ligt een vergelijkbare rol voor de hand, maar dat is niet bevestigd.

Boete

Nog niet vastgesteld. Het voorstel is een conceptverordening; een sanctieparagraaf is in dit onderzoek niet bij de brontekst van COM(2025) 838 geverifieerd.

Hele dossier →

De Woo verplicht bestuursorganen om informatie openbaar te maken: uit eigen beweging, en op verzoek van iedereen die erom vraagt. Voor een onderneming zit het belang meestal aan de andere kant van de tafel: wat je hebt ingediend bij een gemeente, een inspectie, een subsidieverstrekker of een aanbestedende dienst, kan het onderwerp worden van een Woo-verzoek van een concurrent, een journalist of een belangenorganisatie. De wet kent daarvoor uitzonderingsgronden voor bedrijfs- en fabricagegegevens en een procedure waarin een derde zijn zienswijze kan geven voordat er iets naar buiten gaat. De Woo trad op 1 mei 2022 in werking, in de plaats van de Wet openbaarheid van bestuur, en legt zelf geen enkele verplichting op aan bedrijven.

Waarvoor is dit bedoeld

De wet geeft eenieder een recht op publieke informatie en verplicht bestuursorganen daarnaast een groeiende lijst documenten uit eigen beweging te publiceren. Daarachter zit een tweede doel: de informatiehuishouding van de overheid zo inrichten dat informatie überhaupt vindbaar en leverbaar is. De Woo bouwt voort op de Wet openbaarheid van bestuur uit 1980, maar verschuift het zwaartepunt van verzoeken naar openbaarmaking uit eigen beweging.

Voor wie

De verplichtingen liggen uitsluitend bij bestuursorganen en bij de instellingen, diensten en bedrijven die onder verantwoordelijkheid van een bestuursorgaan werken (art. 4.1, lid 1). Er is geen omzet-, personeels- of andere drempel, in geen enkele richting: elke overheidsorganisatie valt eronder en elk bedrijf kan een verzoek indienen. Een verzoeker hoeft geen belang te stellen (art. 4.1, lid 3) en hoeft dus niet te zeggen waarom hij iets wil weten of voor wie hij het vraagt. Voor ondernemingen die met de overheid zaken doen — leveranciers, vergunninghouders, subsidieontvangers, onder toezicht staande bedrijven — is de praktische betekenis dat hun eigen stukken bij die overheid in beginsel opvraagbaar zijn.

Wat er niet onder valt

De Woo verplicht bedrijven tot niets: zij richt zich op de overheid. Buiten de openbaarheid blijft verder informatie die onder een uitzonderingsgrond valt (hoofdstuk 5), en persoonlijke beleidsopvattingen in documenten die voor intern beraad zijn opgesteld (art. 5.2). Een bestuursorgaan kan een verzoek onbehandeld laten als de verzoeker kennelijk een ander doel heeft dan het verkrijgen van publieke informatie of als het verzoek evident geen bestuurlijke aangelegenheid betreft (art. 4.6). Een groot deel van de actieve openbaarmakingsplicht van artikel 3.3 is bovendien nog niet in werking; zie hieronder.

Wat je moet doen

Voor een onderneming bevat de Woo geen verplichtingen, maar wel twee momenten waarop zij aan zet is. Het eerste ligt bij het aanleveren: gegevens vallen onder de absolute uitzondering van artikel 5.1, lid 1, onder c, alleen als zij vertrouwelijk aan de overheid zijn meegedeeld, wat betekent dat uit de aanlevering zelf moet blijken dat het om vertrouwelijke bedrijfs- en fabricagegegevens gaat. Het tweede ligt bij de zienswijze: als een bestuursorgaan een Woo-verzoek over jouw stukken ontvangt, is de zienswijzetermijn de gelegenheid om per document te onderbouwen wat waarom niet openbaar zou moeten worden.

Bedrijfs- en fabricagegegevens

Artikel 5.1, lid 1, onder c bepaalt dat openbaarmaking achterwege blijft voor zover die ‘bedrijfs- en fabricagegegevens betreft die door natuurlijke personen of rechtspersonen vertrouwelijk aan de overheid zijn meegedeeld’. Dit is een absolute grond: er wordt niet afgewogen tegen het belang van openbaarheid. De twee voorwaarden zijn wel strikt — het moeten bedrijfs- en fabricagegegevens zijn, en zij moeten vertrouwelijk zijn meegedeeld. Gegevens die het bestuursorgaan zelf heeft opgesteld of die de onderneming zonder enige aanduiding van vertrouwelijkheid heeft ingeleverd, vallen er niet zonder meer onder.

Concurrentiegevoelige informatie

Wat niet onder de absolute grond valt, kan nog onder de afweging van artikel 5.1, lid 2, onder f vallen: ‘bescherming van andere dan in het eerste lid, onderdeel c, genoemde concurrentiegevoelige bedrijfs- en fabricagegegevens’. Hier weegt het bestuursorgaan het belang van openbaarheid af tegen het belang van de onderneming, en het moet die afweging motiveren. Bij informatie die ouder is dan vijf jaar moet het bestuursorgaan uitdrukkelijk motiveren waarom het belang ondanks het tijdsverloop nog steeds zwaarder weegt dan openbaarheid (art. 5.3).

De zienswijzeprocedure

Voordat een bestuursorgaan informatie over een derde openbaar maakt, past het artikel 4:8 van de Algemene wet bestuursrecht toe: een belanghebbende die de beschikking niet heeft aangevraagd en die naar verwachting bedenkingen zal hebben, wordt in de gelegenheid gesteld zijn zienswijze naar voren te brengen. De Woo koppelt daar een termijnregeling aan: de beslistermijn wordt opgeschort vanaf de dag nadat het bestuursorgaan de verzoeker meedeelt dat artikel 4:8 wordt toegepast, tot en met de dag waarop de zienswijze is gegeven of de daarvoor gestelde termijn ongebruikt is verstreken (art. 4.4, lid 3). Loopt de opschorting af, dan meldt het bestuursorgaan dat aan de verzoeker, met de termijn waarbinnen alsnog wordt beslist (art. 4.4, lid 4). Besluit het bestuursorgaan tot verstrekking, dan gaat de informatie in beginsel tegelijk met de bekendmaking van het besluit naar de verzoeker. Verwacht het bestuursorgaan dat een belanghebbende daar bezwaar tegen heeft, dan wordt de informatie pas twee weken na de bekendmaking verstrekt (art. 4.4, lid 5). Binnen die twee weken kan de derde een voorlopige voorziening vragen op grond van artikel 8:81 Awb; is dat verzoek gedaan, dan wordt de openbaarmaking opgeschort totdat de voorzieningenrechter uitspraak heeft gedaan of het verzoek is ingetrokken. Dit is in de praktijk het enige echte slot op openbaarmaking van bedrijfsgegevens.

Beslistermijnen

Het bestuursorgaan beslist zo spoedig mogelijk, doch uiterlijk binnen vier weken gerekend vanaf de dag na ontvangst van het verzoek (art. 4.4, lid 1). Verdaging met ten hoogste twee weken kan als de omvang of de gecompliceerdheid van de informatie dat rechtvaardigt; daarvan moet vóór afloop van de eerste termijn schriftelijk en gemotiveerd mededeling worden gedaan (art. 4.4, lid 2). Daarbovenop komen de opschorting voor de zienswijze en de gewone opschortingsgronden van artikel 4:15 Awb, waardoor de feitelijke doorlooptijd in dossiers met derdenbelangen aanzienlijk langer is dan zes weken.

Openbaarmaking uit eigen beweging

Naast verzoeken kent de wet een algemene plicht om informatie uit eigen beweging openbaar te maken voor zover dat zonder onevenredige inspanning of kosten redelijkerwijs mogelijk is (art. 3.1). Artikel 3.3 maakt dat concreet met een lijst categorieën die verplicht gepubliceerd moeten worden, in beginsel binnen twee weken na vaststelling of ontvangst (art. 3.3, lid 4). Bij algemene maatregel van bestuur kunnen daar categorieën aan worden toegevoegd (art. 3.3, lid 3). Dit is het deel van de wet dat een bedrijf raakt zonder dat iemand iets hoeft te vragen.

De categorieën die nog niet gelden

Van artikel 3.3 zijn in werking: lid 1, onder a, b, d en e — wetten en andere algemeen verbindende voorschriften, overige besluiten van algemene strekking, inzicht in organisatie en werkwijze, en de bereikbaarheid — plus lid 2, onder b, over vergaderstukken van de Kamers. Lid 1, onder c en lid 2, onder a en c tot en met l zijn ruim vier jaar na inwerkingtreding nog steeds niet in werking. Daaronder vallen onder meer agenda’s en besluitenlijsten, adviezen, convenanten, jaarplannen en jaarverslagen, Woo-verzoeken en de daarop genomen besluiten, onderzoeksrapporten, beschikkingen en klachtoordelen. Beschikkingen en onderzoeksrapporten zijn de categorieën waarin bedrijfsnamen het vaakst voorkomen.

Milieu-informatie en emissies

De uitzonderingsgronden van artikel 5.1, lid 1 en lid 2 zijn niet van toepassing op milieu-informatie die betrekking heeft op emissies in het milieu (art. 5.1, lid 7). Emissiegegevens kunnen dus ook niet worden achtergehouden met een beroep op vertrouwelijk meegedeelde bedrijfs- en fabricagegegevens. Voor de overige milieu-informatie geldt een verzwaarde toets. Voor industriële bedrijven, afvalverwerkers en de agrarische sector is dit het punt waarop de Woo strenger is dan de rest van de wet doet vermoeden.

Informatie over jezelf

Artikel 5.5 regelt dat informatie die de verzoeker zelf betreft aan hem wordt verstrekt, ook als die informatie voor anderen niet openbaar zou zijn, met de mogelijkheid voorwaarden te stellen ter bescherming van de belangen uit de artikelen 5.1 en 5.2. Daarnaast kan een bestuursorgaan niet-openbare informatie beschikbaar stellen voor historisch, statistisch, wetenschappelijk of journalistiek onderzoek, onder voorwaarden (art. 5.7). Elk bestuursorgaan wijst een of meer contactpersonen aan voor vragen over de beschikbaarheid van publieke informatie (art. 4.7).

Adviescollege Openbaarheid en Informatiehuishouding

Hoofdstuk 7 van de Woo stelt het ACOI in. Het college adviseert regering en Staten-Generaal gevraagd en ongevraagd over de openbaarmaking van publieke informatie en over de informatiehuishouding, en het bemiddelt in individuele zaken. Om bemiddeling kunnen onderzoeksjournalisten, wetenschappers en beroepsmatig belanghebbenden zoals ngo’s vragen — niet ondernemingen die hun eigen gegevens beschermd willen zien. De uitkomst is niet bindend: lukt bemiddeling, dan volgt een bevestigingsbrief; lukt zij niet, dan geeft het college een advies dat het bestuursorgaan bij zijn verdere besluitvorming moet betrekken. Beide worden gepubliceerd.

Toezicht NL

Er is geen toezichthouder met handhavingsbevoegdheden. Het ACOI adviseert en bemiddelt, de Inspectie Overheidsinformatie en Erfgoed kijkt naar de informatiehuishouding, en de uiteindelijke beslechting ligt bij de bestuursrechter: bezwaar bij het bestuursorgaan, beroep bij de rechtbank, hoger beroep bij de Afdeling bestuursrechtspraak van de Raad van State, en voor een derde de voorlopige voorziening binnen de twee weken van artikel 4.4, lid 5.

Boete

De Woo kent geen bestuurlijke boete — niet voor bestuursorganen die te laat of ten onrechte weigeren, en al helemaal niet voor bedrijven, die immers geen verplichtingen hebben. Naleving wordt afgedwongen langs bestuursrechtelijke weg: tegen een weigering of een te laat besluit staat bezwaar en beroep open, en de rechter kan het bestuursorgaan opdragen alsnog openbaar te maken of juist de openbaarmaking tegenhouden. Voor een onderneming betekent dat: wie zijn gegevens beschermd wil zien, moet dat in de zienswijze en zo nodig bij de voorzieningenrechter doen, want een sanctie achteraf bestaat niet en openbaar gemaakte informatie is onherroepelijk openbaar.

Hele dossier →

Overheidsinstanties moeten hun websites, apps en documenten toegankelijk maken volgens de Europese norm EN 301 549, die de WCAG-succescriteria overneemt, en daarover een openbare toegankelijkheidsverklaring publiceren. De grondslag is het Tijdelijk besluit digitale toegankelijkheid overheid van 1 juli 2018, dat Richtlijn (EU) 2016/2102 uitvoert; sinds 1 juli 2023 is dezelfde eis via de Wet digitale overheid ook als verplichte open standaard verankerd. Dit besluit geldt voor de publieke sector, inclusief publiekrechtelijke instellingen, en niet voor bedrijven — die vallen sinds 28 juni 2025 onder de Europese toegankelijkheidsakte, een andere regeling met een andere reikwijdte en andere toezichthouders. Voor leveranciers is de relevantie indirect maar reëel: wat in opdracht van een overheidsinstantie wordt gebouwd, moet aan dezelfde norm voldoen.

Waarvoor is dit bedoeld

Overheidsdienstverlening verhuisde naar internet zonder dat de bijbehorende websites bruikbaar waren voor mensen met een visuele, auditieve, motorische of cognitieve beperking. Richtlijn (EU) 2016/2102 verplicht lidstaten ervoor te zorgen dat overheidswebsites en -apps waarneembaar, bedienbaar, begrijpelijk en robuust zijn, en dat elke organisatie publiek verantwoording aflegt over hoe ver zij daarmee is. Het Nederlandse besluit zet die richtlijn om.

Voor wie

Voor overheidsinstanties, in het besluit gedefinieerd als de staats-, regionale of lokale overheidsinstanties, publiekrechtelijke instellingen als gedefinieerd in artikel 2, lid 1, punt 4, van Richtlijn (EU) 2014/24, en samenwerkingsverbanden van zulke instanties. Er is geen omzet-, personeels- of budgetdrempel: een waterschap met vijftig medewerkers valt er net zo goed onder als een ministerie. De verplichting geldt voor websites en voor mobiele applicaties die zijn ontworpen en ontwikkeld ‘door of namens’ overheidsinstanties, waardoor uitbesteed werk binnen de reikwijdte blijft.

Wat er niet onder valt

Het besluit noemt onder meer als uitzondering: websites en apps van publieke media-instellingen, de NPO en de RPO; kantoorbestanden die vóór 23 september 2018 zijn gepubliceerd; vooraf opgenomen tijdgebonden media van vóór 23 september 2020; live uitgezonden tijdgebonden media; content van derden die niet door of namens de overheidsinstantie wordt gefinancierd of ontwikkeld en niet onder haar verantwoordelijkheid valt; erfgoedcollecties die niet aanpasbaar zijn; en extranetten en intranetten die vóór 23 september 2019 zijn gepubliceerd. De richtlijn zondert daarnaast ngo’s uit die geen diensten leveren die essentieel zijn voor het publiek. Private ondernemingen vallen buiten dit besluit.

Wat je moet doen

Overheidsinstanties passen standaard EN 301 549 toe bij bouw en beheer van hun websites en mobiele applicaties, publiceren een actuele toegankelijkheidsverklaring volgens het door de minister vastgestelde model, en houden een feedbackmechanisme in stand waarmee gebruikers ontoegankelijkheid kunnen melden en uitgesloten informatie kunnen opvragen. Voor leveranciers volgt daaruit dat de norm via contract en aanbesteding wordt doorgegeven: de opdrachtgever blijft verantwoordelijk voor wat namens hem wordt gebouwd.

De norm

Het besluit verwijst naar ‘standaard EN 301 549’ zonder versienummer, en omschrijft die in artikel 1 als de verzameling technische eisen, waaronder de WCAG-richtlijnen, die bij bouw en beheer van websites en mobiele applicaties moet worden toegepast. Welke versie juridisch telt, volgt uit het Publicatieblad van de EU: Uitvoeringsbesluit (EU) 2018/2048, zoals gewijzigd bij Uitvoeringsbesluit (EU) 2021/1339 van 12 augustus 2021, wijst EN 301 549 V3.2.1 (2021-03) aan als geharmoniseerde norm. Die versie neemt WCAG 2.1 over; in de praktijk wordt getoetst op niveau AA.

De toegankelijkheidsverklaring

Artikel 4 van het besluit verplicht tot een actuele verklaring over de conformiteit van de website of app, volgens een model dat de minister vaststelt. De verklaringen staan in een openbaar register met een statusaanduiding van A tot en met E, waarmee per website of app zichtbaar is hoe ver de organisatie is. De staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties heeft op 8 december 2025 een nieuw model vastgesteld dat op 1 oktober 2026 in werking treedt: de termijn waarvoor een C-status kan worden geclaimd bij het opheffen van een website of app gaat van zes naar twaalf maanden, toegankelijke alternatieven moeten voortaan expliciet in de verklaring worden genoemd als een beroep op onevenredige last wordt gedaan, en ook het inroepen van een wettelijke uitzondering moet in de verklaring worden benoemd.

Onevenredige last

Een overheidsinstantie mag van de eisen afzien voor zover die een onevenredige last opleveren, waarbij zij de omvang van de organisatie, haar middelen en de geraamde kosten en baten in verhouding tot de voordelen voor mensen met een beperking meeweegt (art. 3). De richtlijn is daarbij expliciet: gebrek aan prioriteit, tijd of kennis is geen rechtvaardiging. Wie zich op onevenredige last beroept, moet dat in de toegankelijkheidsverklaring motiveren en een toegankelijk alternatief bieden.

EN 301 549 versie 4.1.1

Op 3 september 2026 is EN 301 549 versie 4.1.1 gepubliceerd; in het documentregister van ETSI staat de versie geregistreerd op 2 september 2026. Zij verwijst naar WCAG 2.2 in plaats van 2.1: zes succescriteria komen erbij en één verouderd criterium vervalt. De eisen gaan bovendien uitdrukkelijk over websites, documenten én software, en de eisen rond gebruikersvoorkeuren die eerder alleen voor software golden, gelden nu ook voor websites en documenten.

Wat versie 4.1.1 nog niet verandert

Publicatie door ETSI is niet hetzelfde als gelding. De Europese Commissie moet de nieuwe versie eerst harmoniseren met de richtlijn over overheidswebsites en met de Europese toegankelijkheidsakte, en pas na die harmonisatie is WCAG 2.2 de maatstaf voor het toetsen van websites, apps en documenten. Volgens DigiToegankelijk is op dit moment niet bekend welke termijn daarvoor staat. Tot die tijd blijft EN 301 549 V3.2.1 met WCAG 2.1 het juridische ijkpunt voor Nederlandse overheidsinstanties.

Semipublieke organisaties

De reikwijdte hangt aan het begrip publiekrechtelijke instelling uit het aanbestedingsrecht: een instelling met rechtspersoonlijkheid die specifiek is opgericht om te voorzien in behoeften van algemeen belang zonder industrieel of commercieel karakter, en die grotendeels door de overheid wordt gefinancierd of waarop de overheid toezicht houdt of waarvan zij het bestuur benoemt. Daardoor vallen ook organisaties die zichzelf niet als overheid zien onder het besluit. Een instelling die onder normale marktvoorwaarden opereert, winst nastreeft en haar eigen verliezen draagt, valt er juist niet onder.

Wat dit voor leveranciers betekent

Een bureau, softwareleverancier of hostingpartij heeft zelf geen verplichting uit dit besluit, maar krijgt de eis via de opdrachtgever. Omdat de plicht ook geldt voor wat ‘namens’ een overheidsinstantie is gebouwd, kan een overheidsinstantie de verantwoordelijkheid niet met uitbesteding afschuiven, en komt EN 301 549 als eis in het programma van eisen, in de gunningscriteria en in de opleveringstoets terecht. De toegankelijkheidsverklaring van de opdrachtgever maakt bovendien publiek zichtbaar wat er niet goed is opgeleverd.

Verschil met de Europese toegankelijkheidsakte

De EAA, Richtlijn (EU) 2019/882, geldt sinds 28 juni 2025 en richt zich juist op de private sector: webshops, consumentenbankdiensten, e-boeken, personenvervoer, elektronische communicatie en bepaalde consumentenproducten. Zij kent een uitzondering voor micro-ondernemingen die diensten leveren, kent bestuurlijke boetes en heeft in Nederland vier toezichthouders. Het Tijdelijk besluit kent dat alles niet. Beide regelingen toetsen in de praktijk aan EN 301 549, maar het zijn verschillende regimes met verschillende adressaten; ze worden regelmatig door elkaar gehaald.

Hoe ver de overheid zelf is

Eind 2024 voldeed volgens de rijksoverheid 49 procent van de overheidswebsites aan de eisen. De naleving wordt gemeten doordat de minister periodiek monitort volgens de door de Europese Commissie vastgestelde methodiek, met steekproeven en tests, en daarover aan de Commissie rapporteert; de richtlijn schrijft voor dat die verslaglegging na het eerste verslag van 23 december 2021 driejaarlijks plaatsvindt.

Toezicht NL

Het Tijdelijk besluit wijst geen zelfstandige toezichthouder met sanctiebevoegdheden aan. Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties voert de monitoring uit en werkt volgens DigiToegankelijk nog aan toezicht en handhaving. De richtlijn verplicht lidstaten wel tot een handhavingsprocedure waarin gebruikers kunnen klagen over ontoegankelijkheid en over een beroep op onevenredige last; in Nederland loopt dat via het feedbackmechanisme van de organisatie zelf en vervolgens via de gewone klachtroute en de Nationale ombudsman.

Boete

Het Tijdelijk besluit kent geen boete. Naleving wordt afgedwongen door openbaarheid: de toegankelijkheidsverklaring met haar statusaanduiding is publiek en vergelijkbaar tussen organisaties, en de monitoringresultaten gaan naar de Europese Commissie. Daarnaast kent de Wet digitale overheid sinds 1 juli 2023 in artikel 17 wel een bestuurlijke boete van ten hoogste de vijfde categorie — € 110.000 per 1 januari 2026 — voor het niet toepassen van de aangewezen open standaarden, en tot die standaarden horen volgens de rijksoverheid de WCAG-eisen en de verklaringsplicht. Dat die boete ook daadwerkelijk voor toegankelijkheid wordt ingezet, is niet gebleken.

Eerstvolgende datum: 1 okt 2026 · nog 20 dagen — Nieuwe modeltoegankelijkheidsverklaring in werking

Hele dossier →

De verordening verplicht overheidsinstanties op elk niveau — Europees, nationaal, regionaal en lokaal — om vóór het vaststellen of ingrijpend wijzigen van een bindende eis voor een digitale overheidsdienst met een grensoverschrijdende dimensie een interoperabiliteitsbeoordeling uit te voeren en de resultaten te publiceren. Voor leveranciers van overheidssoftware is dit vooral een proceseis aan hun opdrachtgever: de aanbestedende overheidsinstantie moet vooraf aantonen dat een nieuwe technische eis geen onnodige barrières opwerpt voor systemen elders in de Unie. Anders dan de vrijblijvende Europese interoperabiliteitskaders van eerdere jaren is de kernverplichting nu vastgelegd in een rechtstreeks werkende verordening.

Waarvoor is dit bedoeld

Grensoverschrijdende digitale overheidsdiensten — denk aan digitale identiteit, sociale zekerheid of aanbestedingen — liepen vast op onderling niet-compatibele nationale systemen. De verordening bouwt voort op eerdere, vrijwillige Europese interoperabiliteitskaders en maakt de kern daarvan afdwingbaar.

Voor wie

Openbare organisaties op alle overheidsniveaus die trans-Europese digitale overheidsdiensten leveren of daarvoor bindende eisen vaststellen. In Nederland gaat het in elk geval om het Rijk, en om medeoverheden en uitvoeringsorganisaties voor zover hun digitale diensten een grensoverschrijdende dimensie hebben.

Wat er niet onder valt

Zuiver interne of nationale digitale diensten zonder grensoverschrijdende dimensie vallen buiten de verplichting. Private partijen hebben geen zelfstandige verplichting onder deze verordening, ook niet wanneer zij systemen voor de overheid ontwikkelen.

Wat je moet doen

Overheidsinstanties moeten vóór het vaststellen of ingrijpend wijzigen van een bindende eis voor zo’n dienst een interoperabiliteitsbeoordeling uitvoeren, de resultaten machineleesbaar op de eigen website publiceren, en het verslag delen met de Interoperable Europe Board.

Wat een interoperabiliteitsbeoordeling inhoudt

Een verplichte beoordeling van de impact van wijzigingen in IT-systemen en gerelateerde digitale diensten op de grensoverschrijdende interoperabiliteit. De resultaten komen terecht in de centrale assessment-repository van het Interoperable Europe-portaal, die geldt als het centrale publicatie- en toegangspunt voor deze beoordelingen.

Het Interoperable Europe Board

Een EU-breed governanceorgaan waarin lidstaten en de Commissie samenwerken. Het bepaalt mede de gedeelde interoperabiliteitsagenda; het portaal noemt daarnaast ondersteunende instrumenten zoals gedeelde interoperabiliteitsoplossingen die overheden van elkaar kunnen overnemen in plaats van zelf opnieuw te bouwen.

Nederlandse bevoegde autoriteit

Volgens het overzicht van nationale bevoegde autoriteiten op het Interoperable Europe-portaal is voor Nederland het onderdeel Digital Government (Bureau Architectuur) van het Ministerie van BZK aangewezen als bevoegde autoriteit en contactpunt, bereikbaar via bureau.architectuur@minbzk.nl.

Voor leveranciers van overheidssoftware

Het concrete raakvlak zit in de aanbestedingsfase: een overheidsinstantie die nieuwe technische eisen stelt aan een systeem met grensoverschrijdende werking, moet daarover eerst een beoordeling hebben gepubliceerd. Leveranciers kunnen die beoordelingen raadplegen om te zien welke interoperabiliteitseisen eraan zitten te komen, vóórdat een aanbesteding wordt gepubliceerd.

Hergebruik van oplossingen

De verordening stimuleert dat overheidsinstanties interoperabiliteitsoplossingen die elders in de Unie al zijn ontwikkeld, hergebruiken in plaats van zelf opnieuw te bouwen, via een gedeeld portaal van oplossingen dat door de Commissie wordt onderhouden.

Gefaseerde toepassing

De algemene bepalingen gelden sinds ongeveer 11 juli 2024, drie maanden na inwerkingtreding. De verplichting tot interoperabiliteitsbeoordeling en de aanwijzing van de nationale bevoegde autoriteit en het centraal contactpunt gelden sinds ongeveer 11 januari 2025, negen maanden na inwerkingtreding.

Toezicht NL

Er is geen aparte Nederlandse toezichthouder met sanctiebevoegdheid aangetroffen. De verordening werkt via een governancestructuur — de Interoperable Europe Board, rapportageverplichtingen en gedeelde beoordelingen — in plaats van via handhaving door een toezichthouder.

Boete

In de geraadpleegde bronnen is geen bestuurlijke boete of ander sanctie-instrument voor deze verordening aangetroffen. Naleving lijkt te worden afgedwongen via de governancestructuur — rapportage aan en beoordeling door de Interoperable Europe Board — en niet via een boetestelsel zoals bij productwetgeving.

Hele dossier →

De Wdo bepaalt hoe burgers en bedrijven zich digitaal identificeren bij de overheid: welke betrouwbaarheidsniveaus een dienst vraagt, welke inlogmiddelen daarvoor mogen worden gebruikt, en wie zulke middelen op de markt mag brengen. De wet geldt sinds 1 juli 2023, maar de onderdelen die het meest zichtbaar zouden zijn — de acceptatieplicht, de toelating van private inlogmiddelen en de hele paragraaf over dienstverlening aan bedrijven — zijn drie jaar later nog niet in werking. Anders dan de Europese eIDAS-verordening, die grensoverschrijdende erkenning regelt en de Europese portemonnee voor digitale identiteit introduceert, ordent de Wdo vooral de Nederlandse infrastructuur. Voor ondernemers is de praktische werkelijkheid daarom nog altijd eHerkenning, dat op een privaat afsprakenstelsel draait en niet op het wettelijke toelatingsstelsel.

Waarvoor is dit bedoeld

Inloggen bij de overheid gebeurde jarenlang met voorzieningen zonder eigen wettelijke basis. De Wdo geeft die basis: zij verplicht overheidsorganisaties hun digitale diensten te classificeren naar het vereiste betrouwbaarheidsniveau, zij regelt dat alleen middelen met ten minste dat niveau toegang geven, en zij creëert een stelsel waarin ook private partijen erkende inlogmiddelen kunnen aanbieden. Daarnaast wijst zij open standaarden aan die overheidsorganisaties moeten toepassen.

Voor wie

De wet is van toepassing op bestuursorganen als bedoeld in artikel 1:1, eerste lid, onder a, Awb, op aangewezen organisaties — de categorieën die in de bijlage bij de wet staan, plus organisaties die de minister individueel aanwijst — en op de rechterlijke instanties, waaronder de gerechten, de Afdeling bestuursrechtspraak van de Raad van State, het College van Beroep voor het bedrijfsleven en de Centrale Raad van Beroep (art. 2). De standaardenplicht van artikel 3 geldt daarnaast voor organen, personen en colleges als bedoeld in artikel 1:1, tweede lid, Awb en voor rechtspersonen met een wettelijke taak als bedoeld in artikel 1.1 van de Comptabiliteitswet 2016. Er is geen omzet- of personeelsdrempel: de wet hangt aan de publieke taak, niet aan de omvang.

Wat er niet onder valt

De Wdo legt gewone bedrijven geen verplichtingen op. Zij raakt hen langs twee wegen: als afnemer van overheidsdiensten die op een bepaald betrouwbaarheidsniveau moeten worden benaderd, en — zodra het toelatingsstelsel werkt — als aanbieder van een inlogmiddel of authenticatiedienst die erkenning wil. Publieke identificatiemiddelen zoals DigiD mogen uitsluitend worden gebruikt voor toegang tot elektronische dienstverlening van bestuursorganen en aangewezen organisaties (art. 8); een bedrijf kan DigiD dus niet voor zijn eigen klantportaal inzetten.

Wat je moet doen

Voor overheidsorganisaties: per digitale dienst vaststellen welk betrouwbaarheidsniveau vereist is volgens de regels die bij ministeriële regeling zijn gesteld, uitsluitend middelen toelaten die dat niveau halen (art. 6), en de aangewezen open standaarden toepassen (art. 3). Voor ondernemingen: over een inlogmiddel beschikken dat het niveau haalt dat de betreffende overheidsdienst vraagt, met de bijbehorende machtigingen voor wie namens de onderneming inlogt. De gebruiker van een identificatiemiddel moet zelf alle nodige maatregelen nemen om misbruik te voorkomen (art. 10).

Wat sinds 1 juli 2023 geldt

In werking zijn onder meer: de classificatie van digitale diensten naar betrouwbaarheidsniveau (art. 6), het gebruiksvoorbehoud voor publieke identificatiemiddelen (art. 8), de zorgplicht van de gebruiker (art. 10), de verplichte open standaarden (art. 3), het toezicht- en boeteartikel (art. 17), de bevoegdheid om dienstverlening te onderbreken (art. 18), de informatieplicht aan de minister (art. 19) en de doorberekening van de kosten van publieke identificatiemiddelen (art. 20).

Wat nog niet in werking is

Artikel 4 over informatieveiligheid, artikel 7 over de acceptatieplicht van bestuursorganen, artikel 9 over het toelaten van identificatiemiddelen en diensten, de gehele paragraaf 4.3 met de artikelen 11 tot en met 15 over elektronische dienstverlening aan bedrijven, en de artikelen 21 en 22 over doorberekening van de kosten van dienstverlening en van erkenningsaanvragen en toezicht. De wet treedt op grond van artikel 29 in werking bij koninklijk besluit, dat per artikel kan verschillen.

Betrouwbaarheidsniveaus

Artikel 6 bepaalt dat bestuursorganen en aangewezen organisaties bij dienstverlening waarvoor authenticatie op het niveau substantieel of hoog vereist is, uitsluitend toegang verlenen met identificatiemiddelen die ten minste dat niveau hebben. Welke dienst welk niveau nodig heeft, wordt bij ministeriële regeling bepaald. De overgangstermijn waarin overheden diensten nog op een lager niveau mogen aanbieden, is met drie jaar verlengd tot 1 juli 2028.

eHerkenning

eHerkenning is het inlogmiddel waarmee ondernemers en organisaties zich bij overheidsdiensten identificeren; het werkt met machtigingen, zodat duidelijk is wie namens welke rechtspersoon handelt, en het kent meerdere betrouwbaarheidsniveaus waarbij steeds meer dienstverleners niveau 3 vragen. Het wordt geleverd door erkende leveranciers waar een onderneming zelf een abonnement bij afsluit; de kosten komen voor rekening van de onderneming. Het wettelijke toelatingsstelsel waaronder die erkenning zou moeten vallen, staat in artikel 9 en in paragraaf 4.3 — en juist die bepalingen zijn nog niet in werking.

Het toelatingsstelsel

Artikel 9 regelt de toelating van identificatiemiddelen en authenticatiediensten: de route waarlangs een private aanbieder een erkend inlogmiddel op de markt kan brengen voor gebruik bij de overheid. Zolang dat artikel niet in werking is, en de artikelen 21 en 22 over de doorberekening van aanvraag- en toezichtkosten evenmin, is er geen wettelijke aanvraagprocedure. Volgens de rijksoverheid is het daadwerkelijke gebruik van private middelen nog niet beschikbaar omdat de lagere regelgeving nog moet worden uitgewerkt.

De acceptatieplicht

Artikel 7 verplicht bestuursorganen om toegelaten identificatiemiddelen te accepteren. Dat artikel is niet in werking; de invoering is gekoppeld aan een aansluitschema dat bij ministeriële regeling wordt vastgesteld. Zonder acceptatieplicht heeft een aanbieder van een privaat inlogmiddel geen afzetmarkt bij de overheid, en zonder toegelaten middelen heeft een acceptatieplicht geen inhoud; de twee wachten op elkaar.

Open standaarden en toegankelijkheid

Artikel 3 verplicht de genoemde organen de aangewezen standaarden voor elektronisch verkeer toe te passen, voor zover die standaard op hen van toepassing is. Tot de standaarden die sinds 1 juli 2023 gelden horen volgens de rijksoverheid HTTPS en HSTS, TLS, en de toegankelijkheidseisen volgens WCAG 2.1 met de bijbehorende verplichting een toegankelijkheidsverklaring te publiceren. Daarmee heeft de digitale toegankelijkheid van overheidswebsites naast het Tijdelijk besluit digitale toegankelijkheid overheid een tweede, wettelijke grondslag gekregen.

Onderbreken van dienstverlening

Artikel 18 geeft de minister de bevoegdheid elektronische dienstverlening te onderbreken bij een ernstige storing, bij misbruik of bij niet-naleving. Organisaties moeten inbreuken op de beveiliging onverwijld melden, en toezichthouders informeren de minister over niet-naleving. Artikel 19 verplicht organisaties en diensten desgevraagd en uit eigen beweging gegevens te verstrekken.

eIDAS en de Europese portemonnee

Sinds 29 september 2018 moeten Nederlandse publieke organisaties en private organisaties met een publieke taak erkende inlogmiddelen uit andere EU-lidstaten accepteren. Verordening (EU) 2024/1183 bouwt dat om tot eIDAS 2: elke lidstaat verstrekt ten minste één Europese portemonnee voor digitale identiteit binnen 24 maanden na de inwerkingtreding van de bijbehorende uitvoeringshandelingen. Private vertrouwende partijen die op grond van Unierecht of nationaal recht sterke gebruikersauthenticatie moeten toepassen — micro- en kleine ondernemingen uitgezonderd — moeten de portemonnee binnen 36 maanden na diezelfde datum aanvaarden wanneer de gebruiker daarom vraagt. Zeer grote onlineplatforms in de zin van de Digitaledienstenverordening moeten het gebruik ervan faciliteren.

Toezicht NL

Artikel 17 draagt het toezicht op naleving van de artikelen 3, 6, 7, 8 en 15 op aan daartoe aangewezen ambtenaren, met verschillende toezichthouders voor het Rijk, de provincies en de aangewezen organisaties. Volgens de rijksoverheid houdt de Rijksinspectie Digitale Infrastructuur toezicht op de authenticatie en ziet Logius toe op de informatieveiligheid; Logius beheert daarnaast de generieke digitale infrastructuur, waarvoor de minister op grond van artikel 5 verantwoordelijk is.

Boete

Artikel 17 geeft de minister de bevoegdheid degene die in strijd met de genoemde bepalingen handelt een bestuurlijke boete op te leggen van ten hoogste het bedrag van de vijfde categorie van artikel 23 van het Wetboek van Strafrecht. Dat bedrag is per 1 januari 2026 € 110.000. De boete richt zich op overheidsorganisaties en op aanbieders binnen het stelsel, niet op bedrijven die alleen inloggen. Daarnaast is het onderbreken van de dienstverlening op grond van artikel 18 in de praktijk het scherpste instrument.

Eerstvolgende datum: 24 dec 2026 · nog 3 maanden — Uiterste termijn voor lidstaten om een Europese portemonnee voor digitale identiteit te verstrekken

Hele dossier →

De Wmebv is geen zelfstandige wet maar een wijziging van afdeling 2.3 van de Algemene wet bestuursrecht. Zij keert het uitgangspunt om: waar een bestuursorgaan voorheen zelf bepaalde of het de elektronische weg openstelde, heeft eenieder — burger én rechtspersoon — nu het recht berichten in een procedure over een besluit of een klacht elektronisch te zenden. Het bestuursorgaan wijst wel aan langs welke weg dat moet gebeuren, dus het is een recht op digitaal verkeer en niet op vrije kanaalkeuze. Daartegenover staat een zorgplicht: het bestuursorgaan moet passende ondersteuning bieden aan wie daar moeite mee heeft.

Waarvoor is dit bedoeld

De oude afdeling 2.3 Awb dateerde uit 2004 en ging ervan uit dat de elektronische weg een uitzondering was die het bestuursorgaan kon openstellen. Dat leverde een lappendeken op waarin per bestuursorgaan en per procedure verschilde of iets digitaal kon. De Wmebv maakt elektronisch zaken doen het recht van de indiener, regelt hoe betrouwbaar dat verkeer moet zijn, en legt vast wat een bestuursorgaan moet doen als het zelf digitaal bericht: bevestigen, notificeren en ondersteunen.

Voor wie

De verplichtingen gelden voor alle bestuursorganen: rijk, provincies, gemeenten, waterschappen, zelfstandige bestuursorganen en andere organen met openbaar gezag. Er is geen drempel en geen uitzondering voor kleine organisaties. Het recht komt toe aan ‘een ieder’, dus ook aan ondernemingen, stichtingen en verenigingen; een eenmanszaak en een beursfonds hebben hetzelfde recht. Voor bedrijven zelf bevat de wet geen enkele verplichting.

Wat er niet onder valt

Het recht van artikel 2:13, eerste lid, Awb geldt voor een bericht dat deel uitmaakt van een procedure over een besluit of een klacht, of voor een ander bij wettelijk voorschrift voorgeschreven bericht. Alle overige berichten vallen onder artikel 2:14: die kunnen alleen elektronisch worden verzonden voor zover het bestuursorgaan kenbaar heeft gemaakt dat die weg is geopend. Een informele vraag of een los verzoek valt dus buiten het recht. De wet raakt ook niet het verkeer tussen bedrijven onderling en niet de civiele rechtsverhouding met de overheid als contractspartij.

Wat je moet doen

Voor bestuursorganen: per type bericht een voldoende betrouwbare en vertrouwelijke wijze van verzenden aanwijzen, de ontvangst van elektronische berichten bevestigen, en de zorgplicht invullen. Voor bedrijven: de door het bestuursorgaan aangewezen weg gebruiken, want het recht om elektronisch te zenden is geen recht om zelf het kanaal te kiezen. Wie een bezwaar- of beroepschrift langs een andere weg indient, neemt daarbij een kleiner risico dan bij andere berichten, omdat het bestuursorgaan die stukken niet mag terugsturen met de enkele verwijzing naar het juiste kanaal.

Het recht om elektronisch te zenden

Artikel 2:13, eerste lid, Awb: ‘Een ieder kan een bericht dat deel uitmaakt van een procedure over een besluit of een klacht of een ander krachtens wettelijk voorschrift voorgeschreven bericht elektronisch aan een bestuursorgaan zenden.’ Dat is de kern van de wet en de bepaling waarvan de invoering per bestuursorgaan is gefaseerd.

De aangewezen weg

Artikel 2:13, tweede lid, Awb: bij wettelijk voorschrift of bij besluit van het bestuursorgaan wordt voor ieder type bericht, gelet op de aard en de inhoud van het bericht en het doel waarvoor het wordt gebruikt, een voldoende betrouwbare en vertrouwelijke wijze van verzenden aangewezen. In de praktijk is dat een webformulier of een portaal, en meestal niet e-mail. Een bestuursorgaan mag een bericht weigeren als de betrouwbaarheid of vertrouwelijkheid onvoldoende is gewaarborgd (art. 2:15) en mag de afzender wijzen op de juiste verzendwijze (art. 2:16) — dat laatste met een uitzondering voor bezwaar- en beroepschriften.

Ontvangstbevestiging

Artikel 2:17 Awb verplicht het bestuursorgaan de ontvangst van een elektronisch verzonden bericht te bevestigen. Daarnaast geldt volgens de rijksoverheid dat wie een webformulier invult recht heeft op een kopie van de ingevulde gegevens, en dat een formulier niet mag vragen om informatie die voor de aanvraag niet nodig is.

Zorgplicht

Artikel 2:1 Awb: ‘Een bestuursorgaan draagt zorg voor passende ondersteuning bij het verkeer met dat bestuursorgaan.’ Die bepaling geldt sinds 1 januari 2024 en is niet beperkt tot digitaal verkeer: zij ziet op het hele contact met het bestuursorgaan, voor wie daar niet zelfstandig uit komt.

Berichten van de overheid

Voor de andere richting geldt artikel 2:10 Awb: als een bestuursorgaan een bericht in een systeem beschikbaar stelt — een berichtenbox of portaal — moet het de geadresseerde daarvan notificeren. De notificatie moet volgens de rijksoverheid vermelden wat voor bericht het is, welke rechtsgevolgen eraan verbonden zijn en welke termijnen gelden. Mislukken notificaties herhaaldelijk, dan moet het bestuursorgaan langs een andere weg contact zoeken. De bewijslast dat een bericht is bezorgd ligt bij het bestuursorgaan, en de geadresseerde krijgt inzage in de gegevens over wanneer een bericht is ingezien.

Storingen en termijnen

Is een elektronische voorziening buiten werking op het moment dat een termijn afloopt, dan wordt die termijn verlengd. Dat is de tegenhanger van het feit dat het bestuursorgaan het kanaal voorschrijft: wie is aangewezen op één portaal, mag niet de dupe worden van een storing daarin.

Gefaseerde invoering

De wet is van 10 mei 2023 en is in stappen bij koninklijk besluit in werking getreden, met de zorgplicht van artikel 2:1 per 1 januari 2024 en de hoofdmoot per 1 januari 2026. Twee onderdelen zijn uitgesteld tot 1 januari 2027: de notificatieplicht van artikel 2:10 voor alle bestuursorganen, en de kanaalaanwijzing van artikel 2:13 voor een bij naam aangewezen groep bestuursorganen. Op wetten.overheid.nl staat bij artikel 2:13 dan ook een toekomstige wijziging met ingang van 1 januari 2027.

Wat dit concreet betekent

Voor een onderneming die een vergunning aanvraagt, bezwaar maakt of een klacht indient: bij bestuursorganen waar de kanaalaanwijzing al geldt, is er altijd een digitale weg en is die weg vindbaar, en de overheid moet de ontvangst bevestigen. Bij bestuursorganen die pas op 1 januari 2027 aan de beurt zijn, kan het nog voorkomen dat een bericht alleen op papier kan. Omgekeerd betekent de kanaalaanwijzing dat een e-mail naar een willekeurig adres geen geldige indiening hoeft te zijn, ook niet als hij is aangekomen.

Toezicht NL

Er is geen toezichthouder. De naleving loopt via het bestuursrecht zelf: een bestuursorgaan dat de regels van afdeling 2.3 schendt, loopt het risico dat een termijnoverschrijding verschoonbaar wordt geacht, dat een besluit niet geacht wordt te zijn bekendgemaakt, of dat het in bezwaar of beroep wordt teruggefloten. Daarnaast kan de Nationale ombudsman klachten over de behandeling onderzoeken.

Boete

Er is geen boete. De Wmebv is procesrecht in de Algemene wet bestuursrecht en kent geen bestuurlijke sanctie, voor geen van beide partijen. Naleving wordt afgedwongen doordat de rechter aan een gebrek gevolgen verbindt in de zaak zelf: een niet of te laat genotificeerd bericht kan ertoe leiden dat een bezwaartermijn niet is gaan lopen, en een verkeerd behandeld elektronisch bericht kan een besluit aantastbaar maken. Voor bedrijven is dat de enige echte hefboom.

Eerstvolgende datum: 1 jan 2027 · nog 4 maanden — Notificatieplicht (art. 2:10 Awb) en kanaalaanwijzing (art. 2:13 Awb) voor de resterende bestuursorganen

Hele dossier →

De Archiefwet 2026 vervangt de Archiefwet 1995 en regelt hoe overheidsorganen hun documenten beheren, wanneer die naar een archiefdienst worden overgebracht en wanneer ze openbaar worden. De belangrijkste inhoudelijke wijziging is het korten van de overbrengingstermijn van twintig naar tien jaar, maar alleen voor documenten die ná de inwerkingtreding zijn ontstaan. De wet legt zelf geen verplichtingen op aan bedrijven, maar leveranciers van informatiesystemen aan de overheid krijgen te maken met eerdere en strengere eisen aan duurzame digitale toegankelijkheid dan onder de wet uit 1995.

Waarvoor is dit bedoeld

De Archiefwet 1995 is geschreven voor een papieren en beperkt geautomatiseerde overheid en sluit niet goed aan op digitaal informatiebeheer. De nieuwe wet regelt informatiebeheer vanaf het moment van creatie, moet leiden tot snellere overbrenging en openbaarmaking, en verduidelijkt wie waarvoor verantwoordelijk is.

Voor wie

Overheidsorganen: het Rijk, provincies, gemeenten, waterschappen en zelfstandige bestuursorganen. Elke zorgdrager moet een archiefdienst en een archivaris aanwijzen. Bedrijven hebben onder deze wet geen zelfstandige archiveringsplicht.

Wat er niet onder valt

Private bedrijfsarchieven vallen niet onder de wet, ook niet wanneer een bedrijf een overheidstaak uitvoert waarvoor het geen bestuursorgaan is. De wet regelt uitsluitend het informatiebeheer van overheidsorganen zelf.

Wat je moet doen

Voor leveranciers van informatiesystemen aan de overheid: systemen moeten duurzame toegankelijkheid van digitale documenten ondersteunen, overdracht na tien in plaats van twintig jaar mogelijk maken voor nieuw gecreëerde documenten, en de rol van de aangewezen archivaris faciliteren.

De overbrengingstermijn: van twintig naar tien jaar

Verantwoordelijke overheidsorganen brengen documenten die ouder zijn dan tien jaar over naar de archiefdienst (art. 5.4, lid 1). De Archiefwet 1995 kende een overbrengingstermijn van twintig jaar. Reden voor de verkorting: het in toenemende mate vastleggen van informatie in vluchtige, kwetsbare en veelvormige digitale toepassingen vergt passende en tijdige beheersmaatregelen.

Overgangsrecht

Voor documenten die al waren gecreëerd of ontvangen op het moment dat de wet in werking treedt, blijft de overbrengingstermijn van twintig jaar uit de Archiefwet 1995 gelden (art. 12.3, lid 1). De termijn van tien jaar geldt dus alleen voor documenten die na de inwerkingtreding ontstaan — in de praktijk begint het effect van de verkorting pas over jaren merkbaar te worden.

Archiefdienst en archivaris

Provincies, gemeenten en waterschappen moeten elk een archiefdienst inrichten — als eigen organisatieonderdeel, gedeeld met andere overheden, of uitbesteed — en een archivaris aanwijzen. Decentrale overheden die dat nog niet hebben gedaan, hebben daarvoor tot 1 januari 2029 de tijd.

Het Nationaal Archief

Het Nationaal Archief is belast met de bewaring en beschikbaarstelling van blijvend te bewaren documenten van het Rijk. Departementen, uitvoeringsorganisaties en zelfstandige bestuursorganen vallen voor die taak onder de Rijksarchivaris.

Wetgevingstraject

Tweede Kamer 18 februari 2025, unaniem aangenomen → Eerste Kamer 12 mei 2026, als hamerstuk → Staatsblad 2026, 149, gepubliceerd 19 juni 2026.

Een eerder uitstel

De beoogde inwerkingtredingsdatum is in november 2025 al eens uitgesteld. Het Nationaal Archief noemt nu 1 januari 2027 als beoogde datum, maar het definitieve inwerkingtredings-KB was er per 11 september 2026 nog niet: de wet heeft op wetten.overheid.nl nog geen BWBR-nummer, en de Archiefwet 1995 staat daar nog als geldend, met de melding ‘intrekking regeling zonder datum inwerkingtreding’.

Doorwerking in andere wetten

De wet wijzigt onder meer artikel 45 van de Uitvoeringswet AVG, artikel 2.4 van de Woo en artikel 14 van de Wet politiegegevens. Die wijzigingen zijn, opmerkelijk genoeg, per 13 mei 2026 al deels in werking getreden, terwijl de Archiefwet zelf op dat moment nog niet gold.

Wat er verder verandert

Naast de kortere overbrengingstermijn benadrukt het Nationaal Archief drie thema’s: informatiebeheer vanaf het moment van creatie in plaats van achteraf op orde brengen, snellere openbaarmaking van archiefmateriaal, en duidelijkere verantwoordelijkheden — met als achterliggend doel verdere professionalisering van het archiefvak bij de overheid.

Toezicht NL

De Inspectie Overheidsinformatie en Erfgoed houdt toezicht op de naleving van de archiefwetgeving door overheidsorganen. Het Nationaal Archief is daarnaast beheerder en uitvoerder voor het Rijksarchief.

Boete

Er is in de geraadpleegde bronnen geen bestuurlijke boete voor overheidsorganen of voor bedrijven aangetroffen. Naleving wordt afgedwongen via het toezicht van de inspectie — signalering, aanwijzing en rapportage — en niet via een boetestelsel zoals bij de Cyberbeveiligingswet.

Eerstvolgende datum: 1 jan 2027 · nog 4 maanden — Beoogde inwerkingtreding nieuwe Archiefwet

Hele dossier →

De Wep verplicht bestuursorganen om algemene bekendmakingen, kennisgevingen en terinzageleggingen digitaal te publiceren op officielebekendmakingen.nl, in de plaats van het huis-aan-huisblad of het gemeentelijke publicatiebord. Het gaat nadrukkelijk niet om individuele besluiten die aan één aanvrager zijn gericht — die krijgt zijn besluit gewoon toegestuurd — maar om besluiten van algemene strekking en om kennisgevingen aan derden, zoals omwonenden van een vergunningaanvraag. Voor een ondernemer is de wet vooral relevant als bron: wat een concurrent, een buurbedrijf of de eigen gemeente van plan is, staat voortaan uitsluitend digitaal gepubliceerd, en vanaf het moment van die publicatie lopen de termijnen om er iets tegen te doen.

Waarvoor is dit bedoeld

Vóór de Wep verschilde het per bestuursorgaan of een bekendmaking in een huis-aan-huisblad, een gemeenteblad, de Staatscourant of op een prikbord hing. De wet concentreert dit in één digitaal systeem, zodat bekendmakingen vindbaar en doorzoekbaar zijn en niet langer afhankelijk van de vraag of je toevallig het juiste papieren blad leest.

Voor wie

Bestuursorganen: het Rijk, provincies, gemeenten, waterschappen en zelfstandige bestuursorganen die algemene bekendmakingen, mededelingen of terinzageleggingen doen. De wet legt geen verplichting op aan bedrijven; zij is puur gericht op de overheid als afzender van publicaties.

Wat er niet onder valt

Besluiten die aan een specifieke aanvrager of belanghebbende zijn gericht, worden bekendgemaakt door toezending of uitreiking (art. 3:41 Awb) en gaan dus niet via officielebekendmakingen.nl. Alleen besluiten die niet tot een of meer belanghebbenden zijn gericht — en kennisgevingen aan andere derden dan de aanvrager — vallen onder de elektronische bekendmaking via de Bekendmakingswet (art. 3:42 Awb). Een vergunninghouder krijgt zijn eigen vergunning dus per brief; de buurman die er niet om heeft gevraagd, moet hem op officielebekendmakingen.nl vinden.

Wat je moet doen

Voor een ondernemer betekent dit vooral: zelf actief volgen wat er over zijn locatie, branche of concurrenten wordt gepubliceerd. Er komt geen persoonlijk bericht wanneer een buurbedrijf een omgevingsvergunning aanvraagt of een bestemmingsplan wijzigt, tenzij je daarbij expliciet belanghebbende bent en als zodanig bent aangeschreven.

Waar vind je bekendmakingen die je bedrijf raken

officielebekendmakingen.nl is het centrale, doorzoekbare platform voor bekendmakingen, mededelingen en terinzageleggingen van alle bestuurslagen, met zoekmogelijkheden op trefwoord, locatie, soort besluit en periode.

De attenderingsservice

Overheid.nl biedt de gratis e-mailservice ‘Berichten over uw Buurt’: geregistreerde gebruikers ontvangen maximaal één keer per week automatisch een e-mail met bekendmakingen rond een door hen opgegeven adres — ook een bedrijfsadres — binnen een instelbare straal van 250 meter tot de hele gemeente. De service dekt onder meer vergunningen voor het verhuren van een vakantiewoning, het kappen van een boom en het uitbreiden van een horecaterras.

Het moment waarop de bezwaartermijn gaat lopen

Dit is het praktische kernpunt van de wet. Een besluit treedt niet in werking voordat het is bekendgemaakt (art. 3:40 Awb); pas met die bekendmaking — nu dus de digitale publicatie of terinzagelegging — begint de termijn te lopen waarbinnen een belanghebbende bezwaar of beroep kan indienen. Wie de attenderingsservice niet gebruikt en niet zelf naar officielebekendmakingen.nl kijkt, loopt het risico die termijn te missen zonder dat daar ooit een brief aan te pas is gekomen.

Gefaseerde inwerkingtreding

De Wep is in drie stappen ingevoerd: 1 juli 2021, 1 juli 2023 en, volledig, per 1 januari 2024.

Uitvoeringsregelgeving

Het Besluit elektronische publicaties en de Regeling elektronische publicaties werken de technische en organisatorische details uit, zoals de eisen aan het platform en de wijze van machineleesbare publicatie.

Wat er is verdwenen

De papieren huis-aan-huisbladen en gemeentelijke publicatieborden zijn niet langer het wettelijk voorgeschreven kanaal. Sommige gemeenten publiceren daarnaast nog via eigen website of sociale media, maar dat is aanvullend en vervangt de wettelijke bekendmaking niet.

Verschil met de Wet open overheid

De Wep en de Woo worden vaak door elkaar gehaald omdat beide over overheidsinformatie gaan. De Wep regelt alleen de wijze en het moment van bekendmaken van besluiten en kennisgevingen die toch al openbaar worden; de Woo regelt de bredere vraag welke overheidsinformatie openbaar moet worden en welke uitzonderingen daarop gelden. Een besluit kan dus keurig volgens de Wep zijn bekendgemaakt, terwijl onderliggende stukken pas via een Woo-verzoek boven water komen.

Toezicht NL

Er is geen zelfstandige toezichthouder die bestuursorganen controleert op tijdige of juiste elektronische bekendmaking. Het controlemechanisme loopt via het bestuursrecht zelf: is een besluit niet correct bekendgemaakt, dan kan dat gevolgen hebben voor het moment waarop de bezwaartermijn is gaan lopen, en kan de bestuursrechter daarover oordelen in een geschil over een net dat besluit.

Boete

De Wep kent geen bestuurlijke boete. De wet richt zich tot bestuursorganen, niet tot bedrijven, en handhaving verloopt niet via een sanctiestelsel maar via de rechtsgevolgen van een gebrekkige bekendmaking: in het uiterste geval kan een rechter een bezwaartermijn laten herleven omdat de bekendmaking niet deugde.

Hele dossier →

De Wegiz verplicht dat specifieke, bij algemene maatregel van bestuur aangewezen gegevensuitwisselingen tussen zorgverleners voortaan elektronisch verlopen, in een vastgelegde taal (informatiestandaard) en, voor de zwaardere categorie, ook via voorgeschreven en gecertificeerde techniek. Voor leveranciers van zorg-ICT is dat laatste — spoor 2 — de kern van de wet, omdat het een certificeringsplicht meebrengt voor het product zelf. Het traject van nieuwe aanwijzingen ligt sinds begin 2026 grotendeels stil door een juridisch conflict met het Europese EHDS-kader.

Waarvoor is dit bedoeld

Gegevensuitwisseling in de zorg verliep en verloopt op veel plekken nog via fax, papier of onderling niet-compatibele systemen. De Wegiz geeft de overheid een instrument om, uitwisseling voor uitwisseling, af te dwingen dat specifiek aangewezen informatie digitaal en volgens vaste afspraken wordt gedeeld, in plaats van te wachten tot de sector dat zelf regelt.

Voor wie

Zorgaanbieders en zorgverleners in de zin van de Wet kwaliteit, klachten en geschillen zorg, voor zover zij een aangewezen gegevensuitwisseling uitvoeren. Daarnaast ICT-leveranciers wier product of dienst wordt gebruikt voor een uitwisseling die onder spoor 2 is aangewezen: zij krijgen een eigen certificeringsplicht.

Wat er niet onder valt

Gegevensuitwisselingen die niet bij AMvB zijn aangewezen, vallen niet onder de wet, ook niet als het om vergelijkbare medische informatie gaat. Voor militaire gezondheidszorg gelden aparte uitzonderingen (art. 3.1.3 van het Besluit elektronische gegevensuitwisseling in de zorg).

Wat je moet doen

Nagaan of de eigen organisatie een aangewezen gegevensuitwisseling uitvoert. Voor spoor 2: zorgen dat het gebruikte ICT-product of de -dienst is voorzien van een certificaat van een aangewezen, op NEN-EN-ISO/IEC 17065:2012 geaccrediteerde certificerende instelling.

Twee sporen

Spoor 1 stelt eisen op functionele, technische of organisatorische wijze zonder verplichte uniforme standaard. Spoor 2 stelt eisen op interoperabele wijze, volgens een voor die uitwisseling aangewezen norm die is gebaseerd op open en waar mogelijk internationale standaarden, en brengt een certificeringsplicht mee (art. 1.4, leden 3 en 4).

Wat al is aangewezen

Het versturen van een recept door een huisarts aan een terhandsteller — het e-recept — is aangewezen als gegevensuitwisseling (art. 3.1.1 van het Besluit elektronische gegevensuitwisseling in de zorg). Persoonlijke gezondheidsomgevingen moeten daarbij voldoen aan de gegevensdienst ‘Verzamelen Huisartsgegevens, versie 2.0’, met medicatieafspraken als minimale gegevensset (art. 3.1.2).

Wat op de Meerjarenagenda staat maar nog niet is aangewezen

De BgZ-overdracht tussen medisch specialisten, eOverdracht bij zorgoverdracht, beeldbeschikbaarheid en medicatieoverdracht — inclusief e-recept, medicatiegegevens, labgegevens ten behoeve van medicatie en contra-indicaties. Sinds het Integraal Zorgakkoord is ook acute zorg aan de agenda toegevoegd.

De blokkade door het EHDS-kader

Volgens de Kamerbrief van 20 januari 2026 is er een juridische belemmering om nieuwe AMvB’s onder de Wegiz te starten, vanwege significante verschillen tussen het Wegiz-kader en het kader van de Europese verordening voor de ruimte voor gezondheidsgegevens (EHDS, Verordening (EU) 2025/327). Er lopen fit-gap-analyses; die zijn afgerond voor de Basisgegevensset Zorg en voor medicatieoverdracht — precies twee onderwerpen die al jaren op de Wegiz-Meerjarenagenda staan.

Wat die blokkade concreet betekent

De uitwisselingen die als eerstvolgende AMvB’s werden verwacht — waaronder medicatieoverdracht en verpleegkundige overdracht — liggen stil totdat de spanning tussen het nationale Wegiz-kader en het Europese EHDS-kader is opgelost. Voor ICT-leveranciers die zich al op certificering onder spoor 2 hadden voorbereid, betekent dit uitstel zonder concrete nieuwe datum, in afwachting van de uitkomst van de fit-gap-analyses.

Certificering onder spoor 2

ICT-producten en -diensten moeten zijn voorzien van een certificaat waaruit blijkt dat aan de gestelde eisen wordt voldaan (art. 3.1). Certificerende instellingen worden door de minister aangewezen op basis van accreditatie volgens NEN-EN-ISO/IEC 17065:2012 (art. 3.2); nadere regels over de certificeringsprocedure kunnen bij ministeriële regeling worden gesteld (art. 3.3).

Aanpalend wetsvoorstel

De Wet digitale identificatie en authenticatie in de zorg (dossier 36702) is op 6 maart 2025 ingediend en moet de Wegiz-uitwisselingen straks flankeren met eisen aan identificatie en authenticatie. Op 10 september 2026 stonden volgens de dossierpagina van de Tweede Kamer vervolgstappen gepland; een eindstemming had op dat moment nog niet plaatsgevonden.

Toezicht NL

De Inspectie Gezondheidszorg en Jeugd houdt toezicht op de naleving (art. 4.1). De Nederlandse Zorgautoriteit is betrokken vanuit haar reguliere rol als zorgmarkttoezichthouder.

Boete

Bij het in strijd met de certificeringseisen op de markt brengen van een ICT-product of -dienst kan een bestuurlijke boete worden opgelegd tot het bedrag van de geldboete van de zesde categorie, of, indien dat hoger uitvalt, tot ten hoogste 10 procent van de omzet van de onderneming (art. 4.3). Daarnaast kan de minister een aanwijzing geven, bestuursdwang toepassen of een last onder dwangsom opleggen (art. 4.2).

Hele dossier →