Nieuwe (Europese) wetgeving en voorstellen

Cyberbeveiligingswet

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden. De Cbw is de Nederlandse implementatie van de NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Organisaties die onder de wet vallen, moeten zich registreren, voldoen aan de zorgplicht en significante cyberincidenten melden. Daarnaast dragen bestuurders verantwoordelijkheid voor de goedkeuring van en het toezicht op de maatregelen op het gebied van cyberbeveiliging en moeten zij voldoende kennis en vaardigheden op dit terrein verwerven, onder meer door het volgen van trainingen. Ook voorziet de Cbw in toezicht en handhaving. Organisaties moeten in beginsel zelf beoordelen of zij onder de Cbw vallen. De overheid heeft hiervoor onder meer een zelfevaluatietool en een checklist voor complexe bedrijfsmodellen beschikbaar gesteld. In de praktijk is het echter niet altijd eenvoudig om vast te stellen wanneer de Cbw van toepassing is op een organisatie, en met name als het gaat om een organisatie in de IT-sector. De IT-sector als geheel valt namelijk niet automatisch onder de wet. De Cbw is onder meer van toepassing op bepaalde aanbieders van digitale infrastructuur, waaronder aanbieders van cloudcomputingdiensten en managed service providers. Met name bij aanbieders van SaaS-diensten kan de vraag rijzen of de aangeboden dienst kwalificeert als een cloudcomputingdienst. Dat vereist een zorgvuldige analyse van de aard en kenmerken van de dienstverlening. Voor organisaties die nog niet hebben beoordeeld of de Cbw op hen van toepassing is, is het zaak om daar snel mee te beginnen. De registratieplicht geldt al sinds 15 augustus 2026 en het beoordelen, ontwerpen en implementeren van de maatregelen die nodig zijn om aan de zorgplicht te voldoen, kosten de nodige tijd en inspanning. Ook organisaties die zelf niet onder de Cbw vallen, kunnen indirect met de wet te maken krijgen. Een belangrijke verplichting onder de Cbw is dat essentiële en belangrijke entiteiten de cyberbeveiligingsrisico’s in hun toeleveringsketen en in hun relaties met directe leveranciers en dienstverleners beheersen. In de praktijk zullen zij daarom bepaalde eisen en verplichtingen op het gebied van informatiebeveiliging doorleggen aan hun ICT-leveranciers.

Digitale Omnibus

De Europese Commissie heeft op 19 november 2025 de Digitale Omnibus voorgesteld: een pakket maatregelen waarmee de Europese digitale regelgeving moet worden vereenvoudigd en beter op elkaar moet worden afgestemd. De Commissie wil hiermee de regeldruk voor bedrijven verminderen, administratieve lasten beperken en ruimte creëren voor innovatie en concurrentie. De voorstellen zien onder meer op regelgeving op het gebied van data, privacy, cybersecurity en kunstmatige intelligentie. Voor IT-bedrijven is de Digitale Omnibus relevant omdat verschillende regels die inmiddels een belangrijke rol spelen in de digitale sector, zoals de AVG, Data Act, NIS2 en AI Act, op onderdelen worden aangepast. Het gaat daarbij niet om één nieuwe digitale wet, maar om een verzameling gerichte wijzigingen van bestaande regelgeving. De gedachte daarachter is dat bedrijven niet met verschillende, overlappende verplichtingen uit afzonderlijke Europese regelgevingskaders worden geconfronteerd.

AI Omnibus

Daar waar de wijzigingen op het gebied van data, privacy en cybersecurity nog even op zich laten wachten, is de AI Omnibus in juni 2026 inmiddels vastgesteld en op 27 juli 2026 in werking getreden. De AI Omnibus wijzigt de AI Act. De wijzigingen zijn bedoeld om de toepassing van de AI Act eenvoudiger en beter uitvoerbaar te maken, zonder de belangrijkste waarborgen voor veiligheid en de Europese grondrechten uit het oog te verliezen. Een belangrijke wijziging betreft de planning van de verplichtingen voor hoogrisico AI-systemen. Voor bepaalde hoogrisico AI-systemen (onder andere ingezet bij en toegang tot het gebruik van essentiële particuliere en publieke diensten en uitkeringen) zijn de toepassingsdata daardoor verschoven naar 2 december 2027 en voor AI-systemen die ingezet worden bij bepaalde goederen (zoals onder meer in machines, speelgoed en liften), wordt de deadline verplaatst naar 2 augustus 2028. Ook zijn verschillende verplichtingen verduidelijkt of vereenvoudigd. Zo blijft de verplichting tot AI-geletterdheid bestaan, maar is verduidelijkt dat de AI Act geen specifiek niveau van AI-geletterdheid voorschrijft. Organisaties moeten wel maatregelen nemen om ervoor te zorgen dat medewerkers die met AI-systemen werken over passende kennis en vaardigheden beschikken. Voor IT-bedrijven betekent het niet dat de AI Act van tafel is. Sinds 2 augustus 2026 wordt een belangrijk deel van de AI Act daadwerkelijk gehandhaafd. Voor organisaties die AI-systemen ontwikkelen, aanbieden of gebruiken, blijft het daarom belangrijk om tijdig vast te stellen welke rol zij onder de AI Act hebben, welke verplichtingen van toepassing zijn en welke AI-systemen binnen de verschillende risicocategorieën vallen. Ook de transparantieverplichtingen voor bepaalde AI-systemen zijn vanaf 2 augustus 2026 van toepassing. De AI Omnibus biedt daarmee vooral meer tijd en duidelijkheid, maar betekent niet dat organisaties kunnen wachten met het treffen van voorbereidingen om aan de AI Act te voldoen.

Richtsnoeren classificatie hoogrisico

AI-systemen In het kader van de AI Omnibus publiceerde de Europese Commissie op 19 mei 2026 conceptrichtsnoeren over de classificatie van hoogrisicosystemen onder artikel 6 van de AI Act. De richtsnoeren bevatten een niet-uitputtende lijst van voorbeelden en ‘use-cases’ van hoogrisicosystemen. Deze beogen ondernemingen te ondersteunen bij de beoordeling of een AI-systeem als hoog-risico moet worden aangemerkt.

Cloud en AI Development Act

De Europese Commissie heeft een voorstel gepubliceerd voor de Cloud and AI Development Act (CADA). Met deze nieuwe verordening wil de EU de digitale soevereiniteit op het gebied van cloud en AI versterken en de afhankelijkheid van niet-Europese cloudaanbieders verminderen. Voor de publieke sector introduceert de CADA vier Union Assurance Levels (1 tot en met 4). Deze levels bepalen welke waarborgen gelden voor onder meer de locatie van data en infrastructuur, de zeggenschap over de clouddienst en bescherming tegen toegang of invloed vanuit derde landen. Welk level nodig is, wordt bepaald aan de hand van een risicobeoordeling. Voor cloudleveranciers betekent dit dat zij hun dienstverlening in de toekomst mogelijk moeten laten erkennen voor een bepaald assurance level. Voor publieke organisaties kan het assurance level onderdeel worden van de 23 voorwaarden waaronder een clouddienst mag worden ingekocht. De CADA is nog niet definitief en de wetgevingsprocedure loopt nog. De uiteindelijke inhoud en het moment van inwerkingtreding kunnen daarom nog wijzigen. Wij volgen de ontwikkelingen op de voet. Wilt u toch alvast meer weten over deze nieuwe wetgeving, lees dan onze nieuwe blog via deze link.

Jurisprudentieoverzicht

De jurisprudentie uit de periode juli 2025 tot en met juli 2026 laat verschillende relevante ontwikkelingen binnen de IT-sector zien. Daarbij staan onder meer de uitleg en uitvoering van IT- overeenkomsten, aansprakelijkheid, back-ups en de zorgplicht van IT-leveranciers centraal. Ook wordt ingegaan op relevante ontwikkelingen binnen het aanbestedings-, privacy- en intellectuele eigendomsrecht. Hieronder volgt een selectie van enkele in het oog springende uitspraken.

IT-contractenrecht

Exoneratiebeding niet opgeheven

Media Artists B.V. zou voor het reserveringsplatform van Primedinners een nieuwe website en app bouwen, maar haalde structureel de afgesproken deadlines niet, waarna Primedinners de overeenkomst ontbond. In een eerdere procedure had het gerechtshof Arnhem- Leeuwarden de aansprakelijkheid van Media Artists al vastgesteld omdat Media Artists tekort was geschoten. In deze zaak ging het nog uitsluitend om de vraag of Media Artists zich mocht beroepen op het exoneratiebeding in haar algemene voorwaarden, dat de aansprakelijkheid beperkte tot het betaalde bedrag (ruim €58.000,-), terwijl Primedinners haar schade stelde op meer dan €700.000,-. De rechtbank Gelderland (ECLI:NL:RBGEL:2025:11617) honoreerde het beroep van Media Artists op haar exoneratiebeding. Geen van de door Primedinners aangevoerde argumenten, zoals het ontbreken van juridisch advies bij het aangaan van de overeenkomst, de aard van de samenwerking, of de grote kloof tussen de schade van Primedinners en het gemaximeerde bedrag, was voldoende om het exoneratiebeding naar maatstaven van redelijkheid en billijkheid buiten werking te stellen.

Verplichting maken van back-ups

Blok Enterprise Vastgoed B.V. besteedde het beheer van haar ICT-infrastructuur uit aan Hallo Nederland B.V. (rechtsopvolger van IT Support Groep), inclusief het maken van cloudback-ups van een aantal servers. Na een serverupgrade in 2022 bleek na een crash in 2024 dat de nieuwe server (waarop het essentiële ERP-systeem draaide) nooit in het back-upsysteem was opgenomen. Alle data gingen verloren. Blok vorderde in kort geding een schadevoorschot van ruim €400.000,- en kreeg dit toegewezen. In hoger beroep werd deze vordering echter afgewezen. Het gerechtshof Amsterdam (ECLI:NL:GHAMS:2026:275) oordeelt dat onvoldoende duidelijk was of de overeenkomst Hallo verplichtte om back-ups te maken van juist deze nieuwe server; dat vergde nader onderzoek dat niet in een kort geding thuishoort. Daarnaast oordeelt het hof dat Hallo zich in beginsel kan beroepen op de aansprakelijkheidsbeperkingen in haar algemene voorwaarden (de NL Digital voorwaarden); dat geen sprake was van bewuste roekeloosheid. Deze zaak maakt duidelijk dat de rechter in hoger beroep tot een compleet andere conclusie kan komen dan in eerste aanleg en onderstreept het belang om altijd duidelijke afspraken te maken over back-ups, als servers worden vervangen of software wordt gemigreerd door een derde partij.

Dataverlies bij IT-migratie: wie is aansprakelijk?

In een geschil over de overgang naar een nieuwe IT-leverancier stond bij het hof Amsterdam (ECLI:NL:GHAMS:2026:595) de vraag centraal wie verantwoordelijk was voor het verlies van data tijdens de migratie. Het hof oordeelde dat de leverancier niet aansprakelijk was. Van belang was dat uit de offerte juist bleek dat bepaalde migratiewerkzaamheden, waaronder het gebruik van een datamigratietool en de migratie van mailboxen, niet tot de opdracht behoorden: daarvoor stond expliciet een aantal van nul en een prijs van € 0,00. Algemene verwachtingen over een zorgvuldige migratie konden dat niet anders maken. Het hof benadrukt daarmee het belang van een duidelijke afbakening van de werkzaamheden en verantwoordelijkheden. Dat tijdens een IT- migratie data verloren gaat, betekent niet automatisch dat de nieuwe leverancier daarvoor aansprakelijk is. De opdrachtgever moet kunnen aantonen dat de leverancier een concrete contractuele verplichting heeft geschonden en dat die schending het dataverlies en de schade heeft veroorzaakt.

Zorgplicht van leverancier ook in voorfase

In zijn arrest van 13 maart 2026 heeft de Hoge Raad het cassatieberoep dat GAC had ingesteld tegen het arrest van gerechtshof ‘s-Hertogenbosch (ECLI:NL:HR:2026:402) van 17 december 2024, verworpen en daarmee bevestigd dat een IT-leverancier een vergaande zorgplicht kan hebben bij de implementatie van software. Die zorgplicht begint niet pas bij de uitvoering van het project: de leverancier moet zich ook voorafgaand aan het sluiten van de overeenkomst voldoende verdiepen in de bedrijfsprocessen, eisen en verwachtingen van de klant en waarschuwen voor relevante risico’s. Zelfs als de klant, zoals in dit geval, geen ruimte biedt voor gedegen vooronderzoek, ontslaat dat een leverancier niet van zijn verantwoordelijkheid: hij moet dan expliciet waarschuwen voor de risico’s van het overslaan daarvan.

Governance en verzekeringspolis bepalen aansprakelijkheid

De Rechtbank Midden-Nederland (ECLI:NL:RBMNE:2026:2848) heeft in een geschil over de implementatie van een elektronisch patiëntendossier geoordeeld dat de opdrachtgever de overeenkomst met de leverancier rechtsgeldig mocht ontbinden. Partijen waren een fatale go-live-datum van 1 juli 2024 overeengekomen. Hoewel binnen het project over uitstel en nieuwe planningen werd gesproken, was de deadline volgens de contractuele governance alleen door de directies van beide partijen te wijzigen. Dat was niet gebeurd. Toen in januari 2024 duidelijk was dat de deadline niet meer kon worden gehaald, mocht de opdrachtgever de overeenkomst ontbinden. In de overeenkomst was de aansprakelijkheid gekoppeld aan het bedrag dat de verzekeraar bij de betreffende schade zou uitkeren. Bij de uitleg van deze bepaling kijkt de rechtbank niet alleen naar de tekst van de overeenkomst, maar ook naar de totstandkomingsgeschiedenis. Daarbij was relevant dat de leverancier tijdens de contractonderhandelingen zijn verzekeringspolis had gedeeld. De rechtbank neemt vervolgens de maximale verzekerde dekking als uitgangspunt voor de aansprakelijkheidslimiet.

Na beëindiging kan een SaaS-aanbieder verplicht zijn data terug te halen

In een geschil tussen Booking Experts en Groepen.nl oordeelde de Rechtbank Overijssel (ECLI:NL:RBOVE:2026:2581) dat Booking Experts gehouden is om bepaalde gegevens uit oude back-ups van haar reserveringssysteem terug te halen en aan de klant beschikbaar te stellen. De rechtbank baseert deze verplichting op de redelijkheid en billijkheid van artikel 6:248 lid 2 BW. Het ging onder meer om gegevens over facturen, boekingen, afrekeningen en commissies, waaraan de klant mede vanwege fiscale verplichtingen belang had. Booking Experts mocht € 195,- per uur in rekening brengen voor het terughalen en leesbaar maken van de data. Een aanvullende vergoeding van € 19.812,20 per maand voor het ‘heractiveren’ van de omgeving vond de rechtbank echter onvoldoende onderbouwd en niet redelijk. De klant hoefde daarom vooraf slechts een voorschot van € 1.887,60 inclusief btw te betalen. Vervolgens kreeg Booking Experts 30 dagen om de data terug te halen.

Aanbestedingsrecht

Gedeeltelijke ontbinding kan wezenlijke wijziging opleveren

Het hof Arnhem-Leeuwarden (ECLI:NL:GHARL:2025:7897) heeft geoordeeld dat een gedeeltelijke ontbinding van een aanbestede overeenkomst een wezenlijke wijziging kan opleveren die tot heraanbesteding verplicht. Het Samenwerkingsverband Dova besteedde in 2020 zowel het ontsluiten van 360-gradenbeelden via een tool (deel 1) als de levering van panoramafoto’s (deel 2) aan, waarbij Cyclomedia de opdracht won en Fis als tweede eindigde. Toen Cyclomedia haar verplichtingen niet nakwam, ontbond Dova deel 2 en zette zij deel 1 met Cyclomedia voort zonder een nieuwe aanbestedingsprocedure te doorlopen. Fis ging naar de rechter en vorderde onder meer schadevergoeding. Het hof beoordeelt of vanuit de behoorlijk geïnformeerde en normaal oplettende inschrijver een materieel andere opdracht is ontstaan, en concludeert dat het wegvallen van één van de twee kernonderdelen de aard van de opdracht wezenlijk wijzigt.

Disproportionele voorwaarden IT-aanbesteding

In deze zaak, aangespannen door Protinus IT en met tussenkomst van Softwareone Netherlands BV., heeft de Rechtbank Den Haag (ECLI:NL:RBDHA:2025:27115) in kort geding de Staat bevolen twee grote aanbestedingen voor standaardprogrammatuur en gerelateerde dienstverlening te staken totdat de aanbestedingsvoorwaarden zijn aangepast. De rechtbank achtte de voorwaarden ten aanzien van het uitgevraagde sublicentiemodel disproportioneel. Volgens het model moesten inschrijvers ervoor zorgen dat zij de benodigde licentierechten van softwareproducenten verkregen om deze rechten vervolgens als sublicentie aan de overheid te verstrekken. Protinus kon echter met verklaringen van softwareleveranciers aantonen dat softwareproducenten hiertoe niet bereid waren, omdat eindgebruikers rechtstreeks akkoord moeten gaan de gebruiksvoorwaarden van de softwareproducent. Om die reden mocht de aanbestedende dienst geen sublicentiemodel uitvragen zonder zich ervan te vergewissen dat deze in de praktijk uitvoerbaar is.

Privacyrecht/AVG

AVG-inzageverzoek niet beschermd als bedrijfsgeheim

Het Hof Amsterdam (ECLI:NL:GHAMS:2026:961) heeft in een zaak tegen X (voorheen Twitter) geoordeeld dat het inzagerecht van artikel 15 AVG ook betrekking kan hebben op interne gegevens over de wijze waarop een account is beoordeeld en gemodereerd. Een gebruiker had na een tijdelijke beperking van zijn account gevraagd welke persoonsgegevens X over hem verwerkte. X beriep zich onder meer op de bescherming van bedrijfsgeheimen en vreesde dat inzage in haar interne moderatiesysteem inzicht zou geven in de werking van haar systemen. Het hof gaat daar niet in mee. Het inzagerecht moet de betrokkene in staat stellen om te controleren welke persoonsgegevens worden verwerkt en of dat rechtmatig gebeurt. Dat gegevens onderdeel zijn van een intern systeem of bedrijfsgevoelige informatie bevatten, betekent niet dat zij daarom buiten het inzagerecht vallen. Het hof maakte wel een belangenafweging en stond X toe de namen van medewerkers en de exacte tijdstippen van acties weg te laten.

Schadevergoeding bij niet-passende beveiligingsmaatregelen

Een hacker verschafte zich toegang tot het e-mailaccount van een autobedrijf en stuurde vanuit dat account een valse betaalinstructie naar een koper, die vervolgens de koopsom voor een auto overmaakte naar een Duitse bankrekening. Het gerechtshof Arnhem-Leeuwarden (ECLI:NL:GHARL:2025:8556) oordeelde dat het autobedrijf de AVG had geschonden: het had niet aangetoond dat het e-mailaccount passend was beveiligd in de zin van artikel 5, 24 en 32 AVG. Het uitbesteden van de beveiliging door het autobedrijf aan een ISO 27001-gecertificeerd bedrijf was daarbij weliswaar een relevante omstandigheid, maar onvoldoende. De rechter paste eigen schuld (art. 6:101 BW) en een billijkheidscorrectie toe. Het autobedrijf moest 50% van de materiële schade (de koopsom van de auto) vergoeden aan de koper.

Intellectueel eigendomsrecht

Omvang gebruiksrecht bij overdracht IE

De Hoge Raad (ECLI:NL:HR:2026:668) verwerpt het cassatieberoep van PayingIP tegen het arrest van het gerechtshof Amsterdam (ECLI:NL:GHAMS:2024:3183). Het hof oordeelde dat de auteursrechten op de Usemate-software bij de verkoop in 2016 rechtsgeldig door Workrate aan PayingIP zijn overgedragen. Toch mag Workrate de Workstate-applicatie blijven exploiteren en doorontwikkelen, ook voor zover daarin broncode voorkomt die met Usemate overlapt. Uit de uitleg van de koop- en licentieovereenkomst volgens de Haviltex-maatstaf volgt namelijk dat partijen wisten dat Workstate na de transactie ongewijzigd zou blijven draaien en commercieel zou worden geëxploiteerd in niet-concurrerende sectoren. Daarom heeft Workrate een impliciet contractueel gebruiksrecht op de gemeenschappelijke softwareonderdelen; toepassing van de beperktere Usemate-licentievoorwaarden zou daarmee onverenigbaar zijn.

Tot slot

Mochten er naar aanleiding van de onderwerpen die in deze nieuwsbrief aan de orde zijn gekomen vragen zijn, neem dan gerust contact op met: Kyong Soon Rijnders (k.s.rijnders@cordemeyerslager.nl), Joar Spangenberg (j.spangenberg@cordemeyerslager.nl) of Marina grgic (m.grgic@cordemeyerslager.nl)