Cyberbeveiliging - EU-verordeningen, -richtlijnen en boetes:
Hier volgt een overzicht van de meest recente relevante EU wetgeving met een korte beschrijving en de boete bij overtreding die mogelijk voor jouw organisatie relevant zijn.
Het is belangrijk op te merken dat hoewel sommige EU-verordeningen rechtstreeks van toepassing zijn in alle lidstaten en dat voor EU-richtlijnen vaak nationale wetgeving nodig is om specifieke aspecten te regelen en af te stemmen op de nationale context.
EU-richtlijn: General Data Protection Regulation (GDPR)
Privacywetgeving waarmee de EU probeert de privacy van burgers te beschermen.
EU-richtlijn NIS2
Richtlijn om een hoger gemeenschappelijk niveau van cyberbeveiliging in de Unie (NIS2) te creëren en de cyberweerbaarheid van vitale infrastructuren en digitale dienstverleners te verhogen.
EU CER-richtlijn:
Richtlijn om de fysieke weerbaarheid te verhogen van organisaties die essentiële diensten leveren te versterken tegen diverse bedreigingen, zoals natuurrampen, terroristische aanslagen en sabotage.
Digital Services Act (DSA):
EU-verordening: Verordening (EU) 2022/2065 betreffende een eengemaakte markt voor digitale diensten (DSA). Het gaat om online platforms en zoekmachines zoals Apple, Google, Meta (Facebook en Instagram), X (voorheen Twitter), maar ook om de platforms AliExpress, Booking.com en Snapchat zodat ze niet meewerken aan verspreiding van illegale goederen of content en het verspreiden van desinformatie via hun diensten. Ook krijgen zij controles op hun gebruikte algoritmes.
De DSA is ook van toepassing op onlinemarktplaatsen, sociale netwerken, zoekmachines, Cloud aanbieders, internetproviders en platforms om content te delen zoals videoplatforms en online reis- en accommodatieplatforms.
Digital Markets Act (DMA):
EU-verordening die zorgt voor eerlijke concurrentie tussen digitale platforms, vergroot de keuze voor consumenten en biedt nieuwe kansen voor ondernemingen. De DMA bevat duidelijke regels (verplichtingen en verboden) voor grote platforms, die als poortwachters door de Europese Commissie zijn aangewezen en die “kernplatformdiensten” (bijvoorbeeld: online zoekmachines, - advertentiediensten, en -socialenetwerkdiensten) aanbieden.
Data Governance Act (DGA):
EU verordening betreffende Europese gegevensgovernance (DGA).
Leveranciers moeten ervoor zorgen dat gebruikers hun data uit het product kunnen halen of delen met een ander. Daarnaast moeten aanbieders van clouddiensten zorgen dat gebruikers niet worden belemmerd bij het overstappen en diensten aan elkaar kunnen koppelen.
Digital Operational Resilience Act (DORA):
EU verordening (EU) 2022/2554 betreffende digitale operationele veerkracht voor de financiële sector (DORA)
eIDAS 2.0:
EU verordening (EU) 2022/2066 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt (eIDAS 2.0) die het vertrouwen in online transacties bij bedrijven en consumenten vergroten. Bijvoorbeeld elektronische handtekeningen, echtheidszegels en tijdstempels zoals DigiD.
Cyber Resilience Act (CRA):
EU-verordening (EU) 2022/2554 De CRA zorgt ervoor dat digitale producten aan strenge cybersecurity-eisen moeten voldoen voordat ze in Europa op de markt komen. Zowel consumenten als zakelijke gebruikers moeten erop kunnen vertrouwen dat digitale producten veilig zijn, van de digitale deurbel tot boekhoudsoftware.
Hierbij ligt de verantwoordelijkheid bij de fabrikant. Bent u fabrikant van digitale producten? Dan moet u ervoor zorgen dat uw producten veilig zijn. Ook moet u als fabrikant gedurende de hele levensduur van de producten gratis beveiligingsupdates aanbieden en digitale kwetsbaarheden en incidenten melden.
Inwerkingtreding EU-verordening: 17 januari 2025
Nederlandse implementatie: Nog in ontwikkeling; de specifieke Nederlandse wetgeving wordt momenteel voorbereid.
Boetes: Tot €10 miljoen of 2% van de wereldwijde jaaromzet.
Artificial Intelligence Act (AI Act)
EU-verordening (EU) 2024/1684
De AI Act zorgt ervoor dat AI-systemen binnen de EU op een betrouwbare, transparante en veilige manier worden ontwikkeld en gebruikt. Zowel burgers als bedrijven moeten kunnen vertrouwen op AI die hun rechten respecteert en geen onnodige risico’s oplevert.
De wet legt verplichtingen op aan ontwikkelaars, distributeurs en gebruikers van AI-systemen. Bent u betrokken bij de ontwikkeling, verkoop of toepassing van AI? Dan moet u beoordelen of uw AI-systeem als hoog risico wordt beschouwd en voldoen aan strenge eisen op het gebied van transparantie, toezicht, gegevenskwaliteit en veiligheid.
Voor generatieve AI en foundation models gelden aanvullende verplichtingen, zoals verplichte documentatie, risicobeheer en transparantie over gegenereerde content.
Inwerkingtreding EU-verordening: Gefaseerd vanaf 2025
Boetes: Tot €35 miljoen of 7% van de wereldwijde jaaromzet — afhankelijk van de ernst van de overtreding.