Artificiële Intelligentie & Recht
Innovation, Quantum-AI Technology & Law
0

Blog over Kunstmatige Intelligentie, Quantum, Deep Learning, Blockchain en Big Data Law

Blog over juridische, sociale, ethische en policy aspecten van Kunstmatige Intelligentie, Quantum Computing, Sensing & Communication, Augmented Reality en Robotica, Big Data Wetgeving en Machine Learning Regelgeving. Kennisartikelen inzake de EU AI Act, de Data Governance Act, cloud computing, algoritmes, privacy, virtual reality, blockchain, robotlaw, smart contracts, informatierecht, ICT contracten, online platforms, apps en tools. Europese regels, auteursrecht, chipsrecht, databankrechten en juridische diensten AI recht.

Eén incident, twee meldplichten: hoe de Cyberbeveiligingswet (24 uur) en de AVG (72 uur) sinds 15 augustus 2026 naast elkaar gelden bij een datalek

Een zorginstelling treft op een zaterdagochtend een versleutelde bestandsserver aan. Op die server staan patiëntdossiers, en de instelling valt sinds 15 augustus 2026 onder de Cyberbeveiligingswet. Vanaf dat moment kunnen er twee wettelijke klokken lopen, elk met een eigen startpunt. De Cyberbeveiligingswet vraagt binnen 24 uur na kennisname van een significant incident een vroegtijdige waarschuwing aan het CSIRT en de bevoegde autoriteit. De Algemene verordening gegevensbescherming vraagt van de verwerkingsverantwoordelijke binnen 72 uur na kennisname van een inbreuk in verband met persoonsgegevens een melding aan de Autoriteit Persoonsgegevens; wie alleen verwerker is, informeert zijn verwerkingsverantwoordelijke. Elk regime heeft een eigen drempel, een eigen loket en een eigen toezichthouder. Dit artikel legt de twee regimes naast elkaar, zoals ze sinds 15 augustus in Nederland gelden, en bouwt voort op wat AIRecht eerder schreef over de meldtermijnen van de Cyberbeveiligingswet en de scholingsplicht van het bestuur.

Twee messing buizenpostcapsules, een met rode en een met blauwe band, met een blanco kaart ertussen op een donker bureau en een serverkast op de achtergrond: één incident, twee meldroutes


Welke twee wetten sinds 15 augustus 2026 tegelijk een melding vragen: artikel 25 Cyberbeveiligingswet en artikel 33 AVG

De Cyberbeveiligingswet (Wet van 8 juli 2026, Staatsblad 2026, 187) verplicht in artikel 25 iedere essentiële en belangrijke entiteit om elk significant incident te melden volgens de artikelen 26 tot en met 29. Het Cyberbeveiligingsbesluit (Staatsblad 2026, 189) bepaalt in artikel 25 dat die melding gebeurt bij een door de minister ingericht meldpunt, en in artikel 35 dat wet en besluit op 15 augustus 2026 in werking zijn getreden. De Algemene verordening gegevensbescherming verplicht in artikel 33 iedere verwerkingsverantwoordelijke om een inbreuk in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit, in Nederland de Autoriteit Persoonsgegevens. Die verplichting bestaat sinds 25 mei 2018 en is door de Cyberbeveiligingswet niet gewijzigd.

Voor een organisatie die onder beide regimes valt, gelden beide wetten volledig en naast elkaar op hetzelfde feitencomplex. De AVG-verplichtingen wijken niet voor de nieuwere wet en worden ook los daarvan afgedwongen, zoals de collectieve actie tegen Uber van 2 september 2026 laat zien, waarin artikel 22 AVG als zelfstandige aansprakelijkheidsnorm wordt getest.


Waarom de twee drempels niet samenvallen: het significante incident en de inbreuk in verband met persoonsgegevens

Artikel 25, tweede lid, Cyberbeveiligingswet noemt een incident significant als het een ernstige operationele verstoring van de diensten of financiële verliezen voor de entiteit veroorzaakt of kan veroorzaken, of als het andere entiteiten treft of kan treffen door aanzienlijke materiële of immateriële schade. Persoonsgegevens komen in die definitie niet voor. Een storing die de dienstverlening plat legt zonder dat er één persoonsgegeven is ingezien, is onder de Cyberbeveiligingswet meldplichtig en onder de AVG niet.

Artikel 4, onderdeel 12, AVG omschrijft de inbreuk in verband met persoonsgegevens als een beveiligingsinbreuk die leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking of ongeoorloofde toegang tot persoonsgegevens. Artikel 33 voegt daar de risicotoets aan toe: melden hoeft niet als het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Een gestolen laptop met een onversleuteld klantenbestand raakt geen enkele dienst en is toch een datalek dat aan de AP wordt gemeld zodra een risico voor de betrokkenen waarschijnlijk is. De twee drempels kunnen samenvallen bij de zware gevallen, zoals ransomware in een patiëntendossier die tegelijk de zorg verstoort en persoonsgegevens blootlegt, en lopen uiteen bij alles daaromheen.


Drie termijnen tegenover één: 24 uur, 72 uur en een maand onder de Cyberbeveiligingswet, 72 uur onder de AVG

De Cyberbeveiligingswet werkt in stappen. Artikel 26 vraagt een vroegtijdige waarschuwing aan het CSIRT en de bevoegde autoriteit, onverwijld of uiterlijk binnen 24 uur nadat de entiteit van het significante incident kennis heeft gekregen, met daarin of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, of het grensoverschrijdende gevolgen kan hebben, en wie de melding draagt; artikel 24 van het Cyberbeveiligingsbesluit voegt daar het vermoedelijke aanvangstijdstip aan toe en, zo mogelijk, de aard en merkbare gevolgen, een prognose van de hersteltijd en de genomen of voorgenomen maatregelen. Artikel 27 vraagt binnen 72 uur de eigenlijke melding met een initiële beoordeling van ernst en gevolgen en, waar beschikbaar, de indicatoren voor aantasting; aanbieders van vertrouwensdiensten krijgen daarvoor 24 uur. Artikel 29 vraagt uiterlijk één maand na de melding van artikel 27 een eindverslag, of een voortgangsverslag als het incident dan nog voortduurt, gevolgd door het eindverslag binnen een maand na afhandeling.

De AVG kent één termijn. Artikel 33, eerste lid, vraagt de melding zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur nadat de verwerkingsverantwoordelijke van de inbreuk kennis heeft genomen; een latere melding gaat vergezeld van een motivering voor de vertraging. Het vijfde lid verplicht tot documentatie van elke inbreuk, ook van de inbreuken die niet gemeld hoeven te worden. Daar bovenop komt artikel 34: bij een waarschijnlijk hoog risico voor betrokkenen moet de organisatie ook de betrokkenen zelf onverwijld informeren. Die individuele mededeling aan de patiënt of klant, gekoppeld aan een waarschijnlijk hoog privacyrisico, volgt uit artikel 34 AVG; de Cyberbeveiligingswet verplicht de entiteit in artikel 30 daarnaast om de ontvangers van haar diensten in voorkomend geval onverwijld in kennis te stellen van significante incidenten die de dienstverlening nadelig kunnen raken, om hun bij een significante cyberdreiging de maatregelen mee te delen die zij zelf kunnen nemen en, indien nodig, ook de dreiging zelf, en zij laat het CSIRT of de bevoegde autoriteit het publiek over een significant incident informeren of de entiteit daartoe verplichten.


Twee loketten en twee toezichthouders, en artikel 58 Cyberbeveiligingswet dat ze aan elkaar koppelt

De Cyberbeveiligingswet-melding gaat naar het CSIRT en naar de bevoegde autoriteit van de sector, de bewindspersoon die artikel 15 van de wet aanwijst, via het meldpunt van artikel 25 van het besluit; het NCSC beschrijft op zijn meldplichtpagina hoe dat portaal werkt. De AVG-melding gaat naar de Autoriteit Persoonsgegevens, via het meldformulier op de datalekpagina van de AP. Een melding bij het ene loket komt niet automatisch bij het andere terecht.

Wat de wetgever wel heeft geregeld, staat in artikel 58 Cyberbeveiligingswet, de Nederlandse uitwerking van artikel 35 NIS2-richtlijn. Het eerste lid verplicht de bevoegde autoriteiten om met de Autoriteit Persoonsgegevens samen te werken bij incidenten die tot een inbreuk in verband met persoonsgegevens leiden. Het tweede lid gaat verder: krijgt de bevoegde autoriteit bij toezicht of handhaving kennis van een overtreding van de artikelen 21 of 25 tot en met 30 die een meldplichtig datalek kan inhouden, dan stelt zij de AP daarvan onverwijld in kennis. Het derde lid regelt de samenloop van boetes: legt de AP voor dezelfde gedraging een bestuurlijke boete op onder artikel 58, tweede lid, onderdeel i, AVG, dan legt de bevoegde autoriteit onder de Cyberbeveiligingswet daarvoor geen boete meer op. Voor die ene gedraging komt er dus geen tweede bestuurlijke boete onder de Cyberbeveiligingswet bovenop de AVG-boete. Er ontstaan wel twee dossiers, en een toezichthouder die van de andere hoort wat er niet is gemeld.


Wie meldt namens wie: de verwerker onder artikel 33 lid 2 AVG en de leverancier onder artikel 10 Cyberbeveiligingsbesluit

In de praktijk ontstaat het incident vaak bij een hostingpartij, een softwareleverancier of een beheerde dienst, en bereikt het de meldplichtige organisatie pas daarna. De AVG heeft daarvoor een vaste regel: artikel 33, tweede lid, verplicht de verwerker om de verwerkingsverantwoordelijke zonder onredelijke vertraging te informeren zodra hij van een inbreuk kennis heeft genomen. De 72 uur van de verantwoordelijke beginnen pas te lopen bij diens eigen kennisname, en de verwerkersovereenkomst bepaalt hoe snel die kennisname georganiseerd is.

De Cyberbeveiligingswet legt geen rechtstreekse meldplicht op de leverancier die zelf geen entiteit is. Artikel 10 van het Cyberbeveiligingsbesluit verplicht de entiteit tot schriftelijk beleid voor de beveiliging van haar toeleveringsketen en tot toetsing van haar rechtstreekse leveranciers. De informatie die de entiteit binnen 24 uur nodig heeft, komt daarmee grotendeels uit het contract, naast eigen monitoring en de operationele incidentafspraken. Wie in het leverancierscontract slechts "onverwijld informeren" heeft staan, heeft twee wettelijke termijnen die afhangen van één ongedefinieerd woord. Een meldketen met een vaste eerste melding, een vast telefoonnummer en één dossier dat de twee verschillende gegevenssets afdekt, die van artikel 26 Cyberbeveiligingswet met artikel 24 van het besluit en die van artikel 33, derde lid, AVG, is het contractuele instrument dat beide klokken tegelijk bedient. Over de assetinventaris die zo'n keten veronderstelt, schreef AIRecht eerder in Het register komt voor de plicht.


Wat een organisatie deze maand vastlegt: één incidentprotocol met twee beslisbomen

De organisatie die onder beide regimes valt, heeft aan één incidentprotocol genoeg, mits dat protocol twee vragen apart stelt en apart beantwoordt. De eerste vraag is die van artikel 25 Cyberbeveiligingswet: is de dienstverlening ernstig verstoord, of zijn andere entiteiten geraakt. De tweede is die van artikel 4, onderdeel 12, en artikel 33 AVG: zijn er persoonsgegevens geraakt, en is een risico voor betrokkenen waarschijnlijk. Elk antwoord krijgt zijn eigen klok, zijn eigen loket en zijn eigen verantwoordelijke functionaris, en beide beoordelingen worden vastgelegd, ook als het antwoord "niet meldplichtig" luidt. Voor de persoonsgegevenskant is dat een wettelijke plicht, artikel 33, vijfde lid, AVG verlangt documentatie van iedere inbreuk met feiten, gevolgen en herstelmaatregelen; voor de Cyberbeveiligingswet-kant is het verstandig incidentbeheer, omdat de beoordeling of een incident significant was later in het toezicht aan de orde kan komen.

Twijfelt u of uw leveranciers u bij een incident snel genoeg informeren? Plak het contract in onze contractscan en u ziet binnen een paar minuten wat goed is geregeld, wat ontbreekt en welke tekst u kunt gebruiken. Dat kan op elk moment van de dag, gewoon in uw browser.


Cybersecurity en rechtMauritz Kopcyberbeveiligingswet, NIS2, AVG, datalek, meldplicht, Autoriteit Persoonsgegevens, NCSC, incidentrespons