Wetgeving en verplichtingen

Cybersecurityregelgeving en -normen leggen verwachtingen vast voor de bescherming van gegevens, systemen en digitale processen. Naleving helpt risico's en juridische of financiële gevolgen te beperken en ondersteunt bedrijfscontinuïteit en vertrouwen. Welke regels gelden, hangt af van je activiteiten, sector en de gegevens die je verwerkt.

Welke regels relevant zijn, hangt af van je markt en activiteiten. De cursus behandelt onder meer GDPR voor persoonsgegevens, PCI DSS voor kaartgegevens en in specifieke internationale contexten HIPAA en CMMC; daarnaast wordt het NIST Cybersecurity Framework als praktisch beveiligingskader besproken. Controleer altijd welke regels of normen daadwerkelijk op jouw onderneming van toepassing zijn.

Breng in kaart welke persoonsgegevens je verwerkt, waarom je ze nodig hebt en wie er toegang toe heeft. Zorg voor passende beveiliging, transparante privacy-informatie, procedures voor rechten van betrokkenen en een aanpak voor datalekken. Train medewerkers, documenteer je keuzes en wijs waar vereist een DPO aan.

PCI DSS richt zich op het veilig verwerken en beschermen van betaalkaartgegevens. Belangrijke maatregelen zijn veilige netwerken, encryptie of tokenisatie, strikt toegangsbeheer, monitoring en regelmatige tests. Organisaties die ermee werken moeten hun naleving periodiek beoordelen en documenteren.

Het NIST Cybersecurity Framework biedt een gestructureerde manier om cybersecurity te organiseren rond identificeren, beschermen, detecteren, reageren en herstellen. Je kunt ermee risico's en hiaten zichtbaar maken en prioriteiten bepalen voor verbetering. Regelmatige evaluatie maakt cybersecurity zo een continu verbeterproces.

Start met een risicoanalyse en bepaal welke wettelijke, contractuele en andere eisen op je bedrijf van toepassing zijn. Vertaal die naar beleid, procedures en technische en organisatorische maatregelen en train medewerkers in de uitvoering. Monitor, audit en documenteer de werking en verbeter het programma wanneer risico's of regels veranderen.

Leg medewerkers uit welke regels en interne afspraken op hun werk van toepassing zijn en waarom die belangrijk zijn. Gebruik regelmatig korte workshops, e-learning, praktische oefeningen en simulaties in plaats van alleen theorie. Verzamel feedback en meet of medewerkers de afspraken ook effectief begrijpen en toepassen.

Niet-naleving kan leiden tot boetes, andere sancties, juridische procedures en hoge kosten voor herstel of bijkomende controles. Ook reputatieschade, klantenverlies, hogere verzekeringskosten en operationele problemen kunnen volgen. De precieze gevolgen hangen af van de regelgeving en de ernst van de tekortkoming.

Volg bevoegde autoriteiten en betrouwbare cybersecuritybronnen, nieuwsbrieven en sectorspecifieke publicaties. Professionele netwerken, webinars en evenementen kunnen helpen om wijzigingen sneller te begrijpen. Plan daarnaast vaste momenten om intern te controleren of beleid en procedures nog actueel zijn.

Ontwikkel, produceer, importeer of verkoop je software of een toestel dat digitaal verbonden is? Dan kan je onderneming te maken krijgen met de Europese Cyber Resilience Act, kortweg CRA.

De CRA voert verplichte cyberveiligheidseisen in voor producten met digitale elementen die op de Europese markt worden aangeboden. Het gaat zowel om software als om hardware die rechtstreeks of onrechtstreeks met een toestel of netwerk verbonden is. Denk bijvoorbeeld aan:

• bedrijfssoftware en apps;
• netwerk- en beveiligingsapparatuur;
• slimme huishoudtoestellen;
• verbonden machines en sensoren;
• bepaalde IoT-producten;
• software die als onderdeel van een ander product wordt verkocht.

De regels gelden in het bijzonder voor fabrikanten en softwareontwikkelaars, maar leggen ook verantwoordelijkheden op aan importeurs en distributeurs. De CRA is doorgaans niet rechtstreeks gericht op ondernemingen die bestaande software of toestellen alleen voor hun eigen werking gebruiken.

Wat verandert er?

Producenten moeten cyberveiligheid meenemen tijdens de volledige levenscyclus van hun product. Ze moeten onder meer:

• vooraf de cyberrisico’s beoordelen;
• producten veilig ontwerpen en ontwikkelen;
• bekende kwetsbaarheden opvolgen en oplossen;
• beveiligingsupdates aanbieden;
• gebruikers informeren over veilig gebruik en ondersteuning;
• de naleving documenteren;
• bepaalde kwetsbaarheden en ernstige incidenten melden.

De belangrijkste productverplichtingen worden van toepassing vanaf 11 december 2027. De meldverplichtingen voor actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten starten vroeger, op 11 september 2026.

Is dit relevant voor jouw onderneming?

Bekijk de CRA zeker wanneer je onderneming:

• zelf software, apps of digitale producten ontwikkelt;
• bestaande software onder een eigen merk aanbiedt;
• verbonden toestellen produceert of laat produceren;
• digitale producten van buiten de Europese Unie invoert;
• producten verkoopt waarvan software een essentieel onderdeel is;
• bestaande producten ingrijpend wijzigt en opnieuw op de markt brengt.

Ook wanneer een externe ontwikkelaar of producent het technische werk uitvoert, kan jouw onderneming verantwoordelijkheden hebben wanneer het product onder jouw naam of merk wordt aangeboden.

Wat kan je nu al doen?

Wacht niet tot eind 2027. Breng eerst in kaart welke software en verbonden producten je op de Europese markt aanbiedt en welke rol je daarbij vervult: fabrikant, importeur of distributeur.

Bespreek vervolgens met je ontwikkelaars en leveranciers:

• wie cyberrisico’s beoordeelt;
• wie kwetsbaarheden opvolgt;
• hoe beveiligingsupdates worden geleverd;
• hoelang ondersteuning wordt aangeboden;
• wie incidenten vanaf september 2026 meldt;
• welke technische documentatie beschikbaar moet zijn.

De Europese Commissie publiceerde in juli 2026 aanvullende richtsnoeren om ondernemingen te helpen bij de voorbereiding. Daarin wordt onder meer verduidelijkt welke producten onder de regels vallen, wanneer een wijziging als substantieel geldt en hoe de ondersteuningstermijn moet worden bepaald.

Belangrijkste datum: ontwikkel of produceer je software of verbonden producten, zorg dan dat je meldprocedure vóór 11 september 2026 klaar is.