Regelgeving
Na dit deel kan je:
- Uitleggen welke rechten de GDPR je als burger geeft en welke plichten een bedrijf heeft wanneer het persoonsgegevens verwerkt of lekt.
- Aan de hand van sector en grootte inschatten of een organisatie onder de Belgische NIS2-wet valt, en of ze dan een essentiële of belangrijke entiteit is.
- De rol van het CCB, de aansprakelijkheid van bestuurders en het nut van CyberFundamentals toelichten.
- Uitleggen welke verplichtingen de Cyber Resilience Act oplegt aan fabrikanten van producten met digitale elementen (security by default, updates, SBOM, kwetsbaarheden melden).
- De meldplichten van GDPR, NIS2 en CRA naast elkaar zetten: wie meldt wat, aan wie en binnen welke termijn.
Tot nu toe ging dit boek vooral over techniek: encryptie, wachtwoorden, wifi, IoT. Maar een cyberboswachter werkt niet in een vacuüm. Ook in het echte bos gelden er regels: wie mag er jagen, welke bomen mogen gekapt worden, en wie moet het melden als er iets misloopt. Voor het digitale bos is dat niet anders, en de laatste jaren is Europa daar flink strenger in geworden.
Als informaticus denk je misschien dat wetgeving iets is voor de juridische dienst. Dat klopt steeds minder:
- Schrijf je een applicatie die namen, e-mailadressen of gezondheidsgegevens bijhoudt? Dan valt die onder de GDPR, en jij bent degene die moet zorgen dat een datalek geen ramp wordt.
- Werk je bij een ziekenhuis, een waterbedrijf, een voedingsproducent of een IT-dienstverlener? Grote kans dat je werkgever onder de NIS2-wet valt. Dan moet een ernstig incident binnen de 24 uur gemeld worden bij het CCB, en is de directie persoonlijk aansprakelijk als de beveiliging niet op orde is. Die directie gaat dus bij jou aankloppen.
- Bouw je een product met software erin (een app, een slimme deurbel, een router, firmware)? Dan legt de Cyber Resilience Act je als fabrikant op dat het veilig op de markt komt en jarenlang security-updates krijgt. Sinds september 2026 moet je actief misbruikte kwetsbaarheden in je product ook melden.
De wetgeving legt dus op papier vast wat we in de voorgaande hoofdstukken als goede praktijk bespraken. Een bedrijf dat wil aantonen dat het informatiebeveiliging serieus neemt, gebruikt daar vaak de ISO 27001-standaard voor, die je al tegenkwam bij de McCumber kubus. Je zal zien dat die standaard ook in NIS2 terugkomt als een van de erkende manieren om aan te tonen dat je in orde bent.
Wetgeving werkt trouwens niet enkel tegen je. Je las in het eerste hoofdstuk al dat ethisch hacken sinds februari 2023 legaal is in België, zolang je je aan de spelregels houdt en het lek ook bij het CCB meldt. Die regels zijn intussen overgenomen in de NIS2-wet (artikels 22 en 23), dezelfde wet die je hierna ziet.
We bekijken in dit deel drie Europese regels:
- De GDPR, die al sinds 2018 de persoonsgegevens van burgers beschermt.
- NIS2, die bepaalt hoe organisaties in kritieke sectoren zich moeten beveiligen en incidenten moeten melden, in België omgezet in de NIS2-wet van 26 april 2024.
- De Cyber Resilience Act (CRA), die de fabrikanten van digitale producten verantwoordelijk maakt voor de veiligheid ervan.
Let op het verschil tussen een Europese verordening en een Europese richtlijn. Een verordening (GDPR, CRA) geldt meteen en overal in de EU, woord voor woord. Een richtlijn (NIS2) legt enkel de doelen vast: elke lidstaat moet ze zelf omzetten in een eigen wet. Daarom spreken we over “de Belgische NIS2-wet”, en kan die in de details verschillen van bijvoorbeeld de Nederlandse versie.
Net als bij de GDPR geven we hier een high-level overzicht, geen juridisch advies. Moet je organisatie echt uitzoeken of en hoe ze onder een wet valt, ga dan naar de bron: de sites van het CCB, de GBA en de Europese Commissie.