Deze pagina geeft algemene informatie en is geen juridisch advies. Laat uw eigen situatie beoordelen door een jurist of privacyadviseur.

Wat er speelt

AVG. De privacywet geldt voor elke organisatie die persoonsgegevens verwerkt. Dus ook voor een mkb-bedrijf met een klantenbestand en een personeelsadministratie.

NIS2 en de Cyberbeveiligingswet. De Nederlandse Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht. Organisaties die onder de wet vallen, moeten zich registreren, hun risico's beheersen en ernstige incidenten melden. Valt u er zelf niet onder, dan kunt u er toch mee te maken krijgen. Klanten die er wel onder vallen, kijken ook naar de beveiliging van hun leveranciers en vragen om bewijs.

AI-verordening. De Europese AI-regels worden in stappen van kracht. Sinds februari 2025 zijn bepaalde toepassingen verboden en hoort u te werken aan de AI-kennis van uw medewerkers. Sinds augustus 2026 gelden transparantieregels: een chatbot moet bijvoorbeeld duidelijk maken dat iemand met AI praat. De zwaarste eisen, voor toepassingen met een hoog risico, volgen later.

Herkent u dit?

  • Een klant stuurt een vragenlijst over informatiebeveiliging. En u weet niet goed wat u moet invullen.
  • Niemand weet precies welke persoonsgegevens waar staan. In het CRM, maar ook in mailboxen, gedeelde mappen en oude exports.
  • Medewerkers gebruiken AI-tools op eigen initiatief. Soms met klantgegevens erin.
  • Iedereen kan overal bij. En oud-medewerkers hebben nog een account.
  • Back-ups worden gemaakt, maar nooit getest.

Wat het uw bedrijf kost

  • Een datalek met gevolgen. Een datalek dat risico's oplevert voor de betrokkenen, moet u binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Daarna volgen herstelwerk en lastige gesprekken met klanten.
  • Gemiste opdrachten. Wie de vragenlijst van een grote klant niet goed kan beantwoorden, valt af als leverancier.
  • Duur repareren. Beveiliging en privacy achteraf inbouwen kost meer dan ze vanaf het begin meenemen.
  • Schijnzekerheid. Een eenmalige controle zakt weg. Zonder vaste aandacht schuift het onderwerp weer naar de achtergrond.

Zo pakken we het aan

We kijken naar drie lagen. Ze hebben elkaar nodig: techniek zonder afspraken werkt niet, en andersom ook niet.

  1. Gegevens

    Welke gegevens heeft u, waar staan ze, wie kan erbij en hoe lang bewaart u ze? Niet alle gegevens vragen dezelfde bescherming. We maken het onderscheid zichtbaar.

  2. Techniek

    Toegang per rol, tweestapsverificatie, versleuteling, updates, geteste back-ups en een logboek van wie wat doet. Bij nieuwe software bouwen we dit in vanaf het ontwerp.

  3. Afspraken

    Wie is waarvoor verantwoordelijk? Wat doet u bij een incident? Welke AI-tools mogen waarvoor worden gebruikt? We helpen u dit vast te leggen, zodat u het ook kunt laten zien.

Wat we wel en niet doen

Vedex is een softwarebedrijf, geen advocatenkantoor. We richten de techniek in en leveren de documentatie die daarbij hoort. Het juridische oordeel blijft bij uw jurist of privacyadviseur. Waar nodig stemmen we met hen af.

Een eerste stap die u zelf kunt zetten

Maak een lijst van alle systemen en tools waarin persoonsgegevens staan, inclusief de AI-tools die collega's gebruiken. Noteer per systeem wie toegang heeft en of tweestapsverificatie aanstaat.

Trek daarna de toegang in van iedereen die haar niet meer nodig heeft. Dat kost een middag en verkleint uw risico direct.

Diensten die hierbij passen

Samenwerken met Vedex

Wat u van Vedex mag verwachten

Vijf afspraken die voor elke samenwerking gelden, groot of klein.

  1. Uw doel is het vertrekpunt

    We beginnen niet bij een techniek of een product. We beginnen bij wat u wilt bereiken en wat u daarbij in de weg zit. Past een bestaand pakket beter dan maatwerk, dan zeggen we dat.

  2. Gewone taal, heldere afspraken

    U heeft geen technische achtergrond nodig om goede keuzes te maken. We leggen uit wat we doen en waarom. Vooraf zetten we op papier wat u krijgt, wat het kost en wat we van u nodig hebben.

  3. Eén aanspreekpunt, van idee tot beheer

    U praat rechtstreeks met de mensen die uw oplossing bouwen. Ook na de oplevering weet u bij wie u terechtkunt voor vragen, onderhoud en de volgende verbetering.

  4. Zorgvuldig met gegevens, vanaf het ontwerp

    Toegangsrechten, back-ups en de omgang met persoonsgegevens zijn geen sluitpost. We nemen ze mee vanaf de eerste schets, zodat u later niet hoeft te repareren.

  5. U houdt de regie

    U bepaalt de richting en de prioriteiten. Vooraf spreken we af hoe broncode, accounts en gegevens op uw naam komen te staan. Zo blijft u vrij in uw keuzes, ook op de lange termijn.

Veelgestelde vragen

Valt mijn bedrijf onder de Cyberbeveiligingswet?

Dat hangt af van uw sector en omvang. De wet richt zich op organisaties die essentiële of belangrijke diensten verlenen. De Rijksoverheid biedt informatie waarmee u dit zelf kunt nagaan. Ook als u er niet onder valt, kunnen klanten eisen aan u stellen.

Mogen medewerkers AI-tools gebruiken met klantgegevens?

Dat hangt af van de tool, de afspraken met de leverancier en het soort gegevens. Spreek in elk geval af welke tools zijn toegestaan en welke gegevens er nooit in mogen. Lees ook personeelsgegevens en AI.

Kunnen jullie ons ‘AVG-proof’ maken?

Dat kan niemand met één project beloven. Wat wel kan: de techniek aantoonbaar op orde brengen en afspraken vastleggen. Daarna blijft het terugkerend werk.

Officiële bronnen

Raadpleeg het NCSC over de Cyberbeveiligingswet, de Europese Commissie over AI-geletterdheid en de Autoriteit Persoonsgegevens over generatieve AI en de AVG. Bespreek twijfel over de toepasselijkheid op uw organisatie met een bevoegde adviseur.

Vraagt een klant om bewijs dat het bij u op orde is?

We denken graag met u mee over hoe u aantoonbaar zorgvuldig werkt, zonder dat het uw bedrijf afremt.

Bespreek uw vraag