Dataregels 2026: wat geldt er voor jouw bedrijf?

Je komt maandagochtend binnen, koffie nog heet, en je mailbox staat vol. Een medewerker kan niet inloggen. Een klant meldt dat zijn gegevens ergens opduiken waar ze niet horen. Je lijstje voor die dag verdwijnt achter één vraag: wat is hier gebeurd?

Op zo’n moment blijkt of je iets hebt geregeld. Niet alleen technisch, ook op papier. Want naast de rommel die je moet opruimen, lopen er termijnen: wie moet je informeren, binnen hoeveel tijd, en wat moet je kunnen aantonen?

Het regelgevingslandschap is de afgelopen twee jaar flink veranderd. Waar het lang vooral over de AVG ging, zijn er nu meerdere Europese regels bijgekomen die elkaar overlappen. Deze post zet de dataregels 2026 op een rij die er voor een Nederlands MKB-bedrijf toe doen — en vooral: wat je er concreet mee moet.

Voor de goede orde: wij zijn geen juristen en dit is geen juridisch advies. Bij twijfel over wat er precies op jouw bedrijf van toepassing is, leg je het voor aan een jurist of je brancheorganisatie.

Waarom dit nu meer aandacht vraagt

Kleinere bedrijven zijn een aantrekkelijk doelwit: makkelijker binnen te komen dan een concern, en vaak met gegevens die net zo bruikbaar zijn. Dat het MKB minder in het nieuws komt na een incident, betekent niet dat het minder gebeurt.

Wat je van een incident overhoudt, is zelden alleen technisch herstel:

• Klanten die jarenlang blijven twijfelen of het bij jou wel goed zit.
• Werk dat stilligt terwijl systemen worden hersteld.
• Vragen van de toezichthouder waarop je moet kunnen antwoorden.
• Berichtgeving die nog lang in zoekresultaten blijft staan.

Compliance gaat dus over boetes, maar vooral over het vertrouwen waar je jaren aan hebt gewerkt.

De regels die een Nederlands MKB-bedrijf raken

1. De AVG — nog steeds de basis

De AVG geldt voor elk bedrijf dat persoonsgegevens verwerkt, ongeacht omvang. Klantgegevens, personeelsdossiers, camerabeelden, bezoekersregistratie: het valt er allemaal onder.

De kern in vier punten: je hebt een geldige reden nodig om gegevens te verzamelen, je verzamelt niet meer dan nodig, je bewaart niet langer dan nodig, en mensen mogen hun gegevens inzien, laten corrigeren of laten verwijderen. Bij een datalek met risico voor betrokkenen meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens.

Boetes lopen op tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Voor een MKB-bedrijf is dat theoretisch, maar de plicht om aan te tonen dát je het geregeld hebt, is heel praktisch. Zie ook privacy en AVG in de praktijk.

2. De Cyberbeveiligingswet (NIS2) — vanaf 15 augustus 2026

Nederland heeft de Europese NIS2-richtlijn vertaald naar de Cyberbeveiligingswet. Die treedt op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten. Ruim 8.000 organisaties in achttien sectoren vallen er direct onder, waaronder energie, drinkwater, digitale infrastructuur, zorg, vervoer en overheid.

Val je eronder, dan gelden drie plichten: een zorgplicht (je beheerst je cyberrisico’s aantoonbaar en neemt passende maatregelen), een meldplicht (significante incidenten meld je tijdig) en een registratieplicht.

De Cyberbeveiligingswet bouwt voort op de Wet beveiliging netwerk- en informatiesystemen (Wbni) uit 2018 en moet de digitale weerbaarheid van bedrijven en organisaties vergroten. Valt jouw organisatie eronder, dan komt er ook toezicht bij: een toezichthouder kijkt of je aan de verplichtingen uit de richtlijn voldoet en of je op basis van je risico’s de juiste maatregelen blijft nemen.

Val je er niet onder? Dan kun je er alsnog mee te maken krijgen. Organisaties die wél onder de wet vallen, moeten hun ketenrisico’s beheersen — en gaan steeds vaker eisen stellen aan hun leveranciers. In de praktijk zien we dat terug in vragenlijsten en aangepaste contracten. Meer daarover in wat NIS2 voor jou betekent en leveranciersrisico beheren.

3. De AI-verordening — transparantie geldt nu

Sinds 2 augustus 2026 gelden de transparantieverplichtingen uit de Europese AI-verordening. Concreet: een chatbot moet duidelijk maken dat er geen mens meepraat, AI-gegenereerde beelden, video en audio moeten machineleesbaar gemarkeerd worden, en wie emotieherkenning inzet moet mensen daarover informeren.

De zwaardere eisen voor hoog-risicotoepassingen zijn uitgesteld naar december 2027 en augustus 2028. Voor de meeste MKB-bedrijven is dat nog niet aan de orde. De transparantieregels wel, zodra je een chatbot op je site hebt of AI-materiaal publiceert. Zie AI-regels voor je team.

4. Regels voor producten met digitale onderdelen

Sinds augustus 2025 gelden er cybersecurity-eisen voor draadloze apparaten via de radioapparatenrichtlijn, en de Cyber Resilience Act komt er gefaseerd overheen: meldplichten vanaf september 2026, volledige toepassing eind 2027. Dit raakt je vooral als je zelf apparaten of software met digitale onderdelen op de markt brengt. Koop je ze alleen in, dan is het een handig selectiecriterium. Zie wat het CE-merk zegt over slimme apparaten.

5. Cookies en trackers

Voor je website geldt de Telecommunicatiewet naast de AVG: geen tracking voordat iemand toestemming geeft, en weigeren moet net zo makkelijk zijn als accepteren. Dat laatste gaat in de praktijk het vaakst mis. Zie wat websites met je gegevens doen.

Wat je concreet doet

1. Maak een datakaart. Welke persoonsgegevens heb je, waar staan ze, wie kan erbij en waarom bewaar je ze? Vergeet de minder voor de hand liggende plekken niet: oude back-ups, laptops, exportbestanden en systemen van leveranciers.
2. Verzamel en bewaar minder. De gegevens die je niet hebt, kunnen niet lekken. Loop je formulieren langs: welke velden zijn er echt nodig? En stel bewaartermijnen in — zie bewaren en opruimen van gegevens.
3. Beperk toegang. Alleen wie het voor zijn werk nodig heeft. Loop dit mee bij in- en uitdiensttreding — zie de offboarding-checklist.
4. Zet het beleid op papier. Hoe gegevens worden opgeslagen, geback-upt en vernietigd, en wat er gebeurt bij een incident. Twee pagina’s die kloppen zijn genoeg. Zie IT-beleid voor het MKB.
5. Versleutel onderweg en in rust. HTTPS op je site, versleutelde schijven op laptops en telefoons, veilige manieren om bestanden te delen. Zie bestanden veilig opslaan en versturen.
6. Blijf trainen. De meeste incidenten beginnen bij een mens die iets aanklikt. Korte, terugkerende sessies werken beter dan één jaarlijkse presentatie — zie hoe vaak je moet trainen.
7. Regel je leveranciers. Verwerkersovereenkomst, waar staan de gegevens, en wat gebeurt er bij een incident aan hun kant.

En vergeet de fysieke kant niet: een serverruimte die op slot zit, apparaten die niet zomaar mee naar buiten lopen, papier dat versnipperd wordt.

Als het toch misgaat

Handel snel en gecoordineerd. Isoleer de getroffen systemen, trek gestolen inloggegevens in en zet de rest op scherp. Betrek meteen de mensen die je nodig hebt: iemand met technische kennis, iemand juridisch, en iemand die de communicatie doet.

Stel daarna vast wat er precies is gebeurd en welke gegevens het betreft. Leg alles vast wat je doet en op welk moment — dat heb je nodig voor de melding, voor je verzekeraar en om het een volgende keer te voorkomen. De meldtermijn richting de Autoriteit Persoonsgegevens is 72 uur; wacht daar niet mee tot je het volledige beeld hebt.

Hoe je die eerste dagen niet in de valkuilen stapt, staat in een datalek afhandelen: 5 valkuilen. Voorkomen is uiteraard beter: zie tien maatregelen om een datalek te voorkomen. En zorg dat je herstel is uitgedacht vóórdat je het nodig hebt — zie je herstelplan met RTO en RPO.

Een praktijkvoorbeeld

Een adviesbureau met 19 medewerkers kreeg een vragenlijst van een grote klant: welke beveiligingsmaatregelen hebben jullie, waar staan onze gegevens, en wat doen jullie bij een incident? Geen boete, geen inspectie — gewoon een klant die zijn eigen ketenverplichtingen doorschoof.

Ze konden de helft niet beantwoorden. Niet omdat het slecht geregeld was, maar omdat het nergens stond. De back-up draaide, maar was nooit getest. Tweestapsverificatie stond aan voor de meesten, met twee uitzonderingen die niemand meer wist. Er was geen overzicht van welke gegevens waar stonden.

In zes weken hebben ze een datakaart gemaakt, de laatste twee accounts van tweestapsverificatie voorzien, een herstelproef gedaan en het beleid op twee pagina’s gezet. De vragenlijst ging terug. De opdracht ook.

Wat opviel: er hoefde technisch bijna niets bij. Het bestond al, het was alleen nooit opgeschreven of gecontroleerd.

Veelgestelde vragen

Wij zijn met vijftien mensen. Geldt dit allemaal voor ons?

De AVG geldt sowieso. De Cyberbeveiligingswet geldt voor organisaties in de aangewezen sectoren; val je daar niet in, dan kun je de eisen alsnog via je klanten krijgen. De AI-transparantieregels gelden zodra je AI zichtbaar richting klanten inzet. Ga bij twijfel niet op je gevoel af — laat toetsen wat op jou van toepassing is.

Moeten we een functionaris gegevensbescherming aanstellen?

Voor de meeste MKB-bedrijven niet. Dat is verplicht bij grootschalige, stelselmatige monitoring of grootschalige verwerking van bijzondere gegevens. Wel handig: wijs iemand aan die het overzicht houdt, ook zonder formele titel.

Hoe lang moeten we gegevens bewaren?

Dat verschilt per soort. Fiscale administratie zeven jaar, sommige personeelsgegevens korter, en voor persoonsgegevens geldt: niet langer dan nodig voor het doel. Zet per categorie een termijn en houd je eraan — ook in je back-ups.

Waar begin ik als ik nog niets heb?

Met de datakaart. Zonder overzicht van welke gegevens je hebt en waar ze staan, kun je geen enkele vraag beantwoorden — niet van een klant, niet van een toezichthouder, en niet van jezelf op zo’n maandagochtend.

Wat is het verschil tussen de NIS2-richtlijn en de Cyberbeveiligingswet?

De NIS2-richtlijn is Europese wetgeving; de Cyberbeveiligingswet is de Nederlandse uitwerking daarvan. Valt je organisatie eronder, dan moet je aan de zorgplicht en meldplicht voldoen — en controleert een toezichthouder of je dat ook doet.

Wil je weten welke regels op jouw bedrijf van toepassing zijn en wat je nog moet regelen? We lopen het praktisch met je door: datakaart, maatregelen, en een beleid dat op twee pagina’s past. Bel 030-7115791 of mail info@okayict.nl.