Woord vooraf 

De laatste tijd zien we veel nieuwe ontwikkelingen die impact hebben op de IT-sector. Er is in korte tijd veel nieuwe wetgeving gekomen en we zien een toenemende dreiging van cyberaanvallen, waarbij hackers steeds geraffineerder te werk gaan en maximaal gebruik maken van de mens als ‘zwakste schakel’. Als gevolg hiervan hebben we als C&S besloten onze nieuwsbrief nieuw leven in te blazen. We hopen dat deze nieuwsbrief in jullie behoefte voorziet en staan open voor feedback en suggesties voor volgende edities.

Privacy

Naar aanleiding van recente datalekken bij onder andere Odido, Basic-Fit, ChipSoft en Rituals heeft de Autoriteit Persoonsgegevens (AP) aangekondigd op korte termijn bij een aantal ICT-leveranciers in Nederland te gaan controleren of hun beveiliging tegen cyberaanvallen op orde is. Reden hiervoor is dat ICT-leveranciers vaak grote hoeveelheden persoonsgegevens verwerken namens hun klanten in zowel de private als publieke sector. Datalekken tonen aan dat er vaak een verschil is tussen beveiliging op papier en in de praktijk en dat een ISO 27001 certificaat veelal niet volstaat. Cliënten die op grote schaal persoonsgegevens namens klanten verwerken, raden wij aan om proactief interne audits uit te voeren. Mocht de AP langskomen of als zich een cybersecurity incident voordoet waarbij mogelijk sprake is van een datalek, kan C&S daarbij ondersteuning bieden of adviseren.

Cyberbeveiligingswet

Op 15 april jl. heeft de Tweede Kamer het wetsvoorstel voor de Cyberbeveiligingswet (Cbw) aangenomen. Deze wet is de Nederlandse implementatie van de ‘Europese Network and Information Security Directive’, oftewel de NIS2-richtlijn. Doel van de wet is om de digitale en fysieke weerbaarheid van organisaties tegen toenemende dreigingen te versterken. De Cbw geldt voor entiteiten in essentiële en belangrijke sectoren en kent drie belangrijke verplichtingen: 1) Registratie; 2) Zorgplicht; 3) Meldplicht. Daarnaast voorziet de Cbw in toezicht en handhaving. De Cbw moet nog worden aangenomen door de eerste kamer. De verwachting is dat dit in het tweede kwartaal zal gebeuren en dat de wet uiterlijk in het derde kwartaal in werking zal treden. Vooruitlopend op de invoering van de Cbw is het raadzaam om risico’s in kaart te brengen en de benodigde acties op te starten. Een belangrijk onderdeel van de wet is dat bestuurders verantwoordelijk zijn voor het cyberbeveiligingsbeleid in hun organisatie en ervoor moeten zorgen dat zij voldoende kennis daarvan hebben. Daarnaast springt in het oog de verplichting om de hele keten op orde te hebben. Het kan geen kwaad om deze proactief in kaart te brengen en na te gaan in hoeverre toeleveranciers de beveiliging op orde hebben en daar, indien nodig, nadere afspraken over te maken.

AI Act

De AI Act is op 1 augustus 2024 in werking getreden, maar kent een gefaseerde toepassing. Het verbod op verboden AI-systemen geldt al sinds 2 februari 2025 en de regels voor General Purpose AI (GPAI) sinds 2 augustus 2025. Vanaf 2 augustus 2026 moeten (nieuwe) hoog-risico systemen voldoen aan de AI Act (NB: hoog-risico AI-systemen die vóór augustus 2025 op de markt waren, krijgen tot 2 augustus 2027 de tijd om compliant te worden).We merken de laatste tijd dat AI echt een vlucht neemt en dat steeds meer van onze cliënten AI gaan integreren in de diensten die zij op de markt aanbieden. Dat komt ook met nieuwe vragen en risico’s. Voordat AI wordt gebruikt en toegepast zal altijd gekeken moeten worden of sprake is van een verboden of hoog risico AI-systeem of beperkt risico AI-systeem waarvoor transparantieverplichtingen gelden. Daarnaast is het belangrijk om vast te stellen welke rol wordt vervuld onder de AI Act. ICT-leveranciers zijn doorgaans aanbieders van AI-systemen, maar kunnen ook gebruikersverantwoordelijken zijn voor AI-systemen die binnen hun eigen organisatie worden gebruikt. Afhankelijk van de rol de wordt vervuld, gelden strikte regels waaraan moet worden voldaan.

Gemeentelijke Inkoopvoorwaarden bij IT (GIBIT)

De GIBIT 2025 is op 12 februari 2026 door de Vereniging van Nederlandse Gemeenten vastgesteld en gepubliceerd op 2 maart 2026. Het betreft een nieuwe versie van de gemeentelijke inkoopvoorwaarden voor IT, die voortbouwt op de GIBIT 2023. Aanleiding om te komen tot een nieuwe set van voorwaarden was om deze aan te laten sluiten bij de snelle technologische én juridische ontwikkelingen, zoals AI-systemen, toenemende afhankelijkheden in softwareketens, datavraagstukken, open source, SaaS en transparantie rondom softwarecomponenten. Daarnaast is nieuwe wetgeving op deze terreinen in de voorwaarden verwerkt. De kernrechten en verplichtingen uit de GIBIT 2023 zijn niet wezenlijk gewijzigd, maar de GIBIT 2025 introduceert veel aanvullende verplichtingen voor leveranciers, waar zij zich goed van bewust moeten zijn en ten aanzien waarvan zij hun positie moeten bepalen.

Wet toelating terbeschikkingstelling van arbeidsklachten (Wtta)

ICT-dienstverleners die werknemers detacheren bij opdrachtgevers zijn zich er niet altijd van bewust dat wetgeving, zoals de Wet allocatie arbeidskrachten door intermediairs (WAADI) ook op hen van toepassing is. Deze wet voorziet onder andere in de ‘inlenersbeloning’ en het ‘belemmeringsverbod’. Per 1 januari 2027 wordt naast de WAADI ook de Wtta van kracht. Deze wet voert een toelatingsstelsel in voor uitleners. Alleen uitleners die officieel zijn toegelaten door de Nederlandse Autoriteit Uitleenmarkt (NAU) mogen personeel uitlenen en bedrijven die personeel inlenen (inleners) mogen alleen samenwerken met toegelaten uitleners. Om toegelaten te worden, moet de uitlener aan tal van voorwaarden voldoen, waaronder aantonen dat hij aan wettelijke verlichtingen, waaronder ook die voortvloeien uit de WAADI, voldoet.

Tot slot

Mochten naar aanleiding van de onderwerpen die in deze nieuwsbrief aan de orde zijn gekomen vragen zijn, neem dan gerust contact op met: Kyong Soon Rijnders (k.s.rijnders@cordemeyerslager.nl) of Hanneke Slager (j.slager@cordemeyerslager.nl).