# EU-recht: AVG, DORA, CRA en AI-verordening (FAQ)

> 20 vragen over EU-recht: AVG, DORA, CRA en AI-verordening, in gewone taal: wat u controleert, wat NetSenX laat zien en wat een sensor niet ziet.

Source page: https://netsenx.com/nl/faq/eu-law

## Wat is de AVG, in gewone taal?

De Algemene verordening gegevensbescherming (AVG), Verordening (EU) 2016/679, is de EU-wet over het omgaan met informatie over mensen. Ze geldt rechtstreeks in elke lidstaat en dekt elke verwerking van persoonsgegevens, dus informatie die iemand direct of indirect identificeert, door organisaties in de EU en door organisaties daarbuiten die mensen in de EU goederen of diensten aanbieden of hun gedrag volgen. De kern is eenvoudig: een rechtsgrond hebben voor elk gebruik, alleen gebruiken wat nodig is, gegevens juist en niet langer dan nodig bewaren, ze beveiligen, betrokkenen open informeren en dat alles kunnen aantonen. Mensen krijgen rechten zoals inzage, correctie en verwijdering. Voor een beveiligingsteam telt de AVG dubbel: beveiligingslogs zijn zelf persoonsgegevens, en een incident kan een datalek zijn met een eigen meldplicht. Nationale wetten voegen regels toe, bijvoorbeeld over werknemersgegevens; controleer de uwe.

https://netsenx.com/nl/faq/what-is-the-gdpr-in-plain-terms

## Zijn IP-adressen persoonsgegevens onder de AVG?

Vaak wel, en in een beveiligingscontext kunt u daar beter van uitgaan. Persoonsgegevens zijn alle gegevens over een persoon die direct of indirect identificeerbaar is, en de AVG noemt online-identificatoren uitdrukkelijk als voorbeeld. Een IP-adres draagt geen naam, maar is er meestal wel aan te koppelen: binnen een bedrijf wijst het adres van een laptop naar de persoon die hem gebruikt, en een internetprovider kan een publiek adres aan een abonnee koppelen. Het Hof van Justitie van de EU heeft geoordeeld dat een dynamisch IP-adres een persoonsgegeven kan zijn voor een websitebeheerder die wettelijke middelen heeft om de persoon erachter te identificeren. Behandel netwerklogs, apparaatnamen en verbindingsgegevens in de praktijk als persoonsgegevens: met een grondslag, beperkte toegang, niet langer bewaard dan nodig en opgenomen in uw verwerkingsregister. NetSenX behandelt ze onder zijn verwerkersovereenkomst als persoonsgegevens en slaat ze op in de EU.

https://netsenx.com/nl/faq/are-ip-addresses-personal-data-under-the-gdpr

## Wat telt onder de AVG als inbreuk in verband met persoonsgegevens?

Een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens, per ongeluk of opzettelijk. Dat is ruimer dan een lek: ransomware die een klantendatabase versleutelt, is een inbreuk ook als er niets is gekopieerd, omdat de gegevens onbeschikbaar werden; hetzelfde geldt voor een e-mail aan de verkeerde ontvangers of een verloren onversleutelde laptop. Niet elk beveiligingsincident is een datalek, omdat sommige geen persoonsgegevens raken, en niet elk datalek moet worden gemeld. Volgens artikel 33 van de AVG meldt de verwerkingsverantwoordelijke het zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat hij ervan kennis kreeg aan de toezichthouder, tenzij het waarschijnlijk geen risico voor mensen oplevert; elk datalek moet hoe dan ook worden vastgelegd. Beslis samen met uw functionaris voor gegevensbescherming. Vanaf het Starter-abonnement stelt NetSenX uit de incidentgegevens een concept van de melding volgens artikel 33 voor hem op; de risicobeoordeling en het indienen blijven bij u.

https://netsenx.com/nl/faq/what-counts-as-a-personal-data-breach

## Wat is onder de AVG het verschil tussen een verwerkingsverantwoordelijke en een verwerker?

De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt; de verwerker verwerkt ze namens hem en volgens zijn instructies. Als uw bedrijf een beveiligingsdienst gebruikt om zijn netwerk te bewaken, is uw bedrijf normaal gesproken verwerkingsverantwoordelijke voor de netwerkdata en de leverancier verwerker. Bij de verwerkingsverantwoordelijke liggen de hoofdplichten: een grondslag, transparantie naar betrokkenen, het beantwoorden van hun verzoeken en de beslissing over het melden van datalekken. De verwerker moet uw schriftelijke instructies volgen, vertrouwelijkheid en beveiliging waarborgen, alleen met uw toestemming subverwerkers inschakelen, u helpen bij datalekken en verzoeken en de gegevens aan het einde teruggeven of verwijderen. Een overeenkomst, meestal verwerkersovereenkomst genoemd, legt dat vast. De rollen hangen af van de feiten, niet van etiketten: een leverancier die uw data voor eigen doeleinden gebruikt, wordt voor dat gebruik zelf verwerkingsverantwoordelijke. Bij NetSenX treedt TriStiX S.L. op als verwerker en uw organisatie als verwerkingsverantwoordelijke, zoals de gepubliceerde verwerkersovereenkomst vermeldt.

https://netsenx.com/nl/faq/controller-or-processor-what-is-the-difference

## Welke beveiligingsmaatregelen eist de AVG eigenlijk?

Ze eist maatregelen die passen bij het risico, geen vaste lijst. De verwerkingsverantwoordelijke en de verwerker moeten technische en organisatorische maatregelen nemen die rekening houden met de stand van de techniek, de uitvoeringskosten, de aard en het doel van de verwerking en de kans op en de ernst van schade voor mensen. De AVG geeft voorbeelden: pseudonimisering en versleuteling, het vermogen om vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te waarborgen, het vermogen om gegevens na een incident te herstellen en een procedure om de maatregelen regelmatig te testen en te evalueren. Een bedrijf moet dus zelf bepalen, vastleggen en herzien wat passend is voor zijn gegevens, en dat kunnen uitleggen. Een datalek kunnen opmerken hoort daarbij, want wat u niet ziet, kunt u niet melden of indammen, en een lek komt vaak aan het licht door ongebruikelijke netwerkactiviteit. NetSenX kan een van die maatregelen zijn: in elk abonnement detecteert het beaconing, scans, laterale beweging en ongebruikelijk grote uitgaande datavolumes. Of uw maatregelen samen passend zijn, blijft uw beoordeling.

https://netsenx.com/nl/faq/what-security-does-the-gdpr-require

## Heeft ons bedrijf een functionaris voor gegevensbescherming nodig?

Volgens de AVG alleen in bepaalde gevallen: bij overheidsinstanties en bij organisaties waarvan de kernactiviteiten bestaan uit grootschalige, regelmatige en stelselmatige observatie van mensen of uit grootschalige verwerking van bijzondere categorieën gegevens, zoals gezondheidsgegevens. Veel middelgrote bedrijven vallen daarbuiten, maar nationaal recht kan gevallen toevoegen. In Duitsland eist § 38 BDSG een functionaris als in de regel ten minste 20 personen voortdurend met geautomatiseerde verwerking van persoonsgegevens bezig zijn, en in enkele andere gevallen. Controleer het recht van uw land. Ook zonder plicht moet iemand verantwoordelijk zijn voor gegevensbescherming, en een aangewezen contactpersoon helpt als een meldtermijn loopt. Wijst u er een aan, dan moet die tijdig bij privacyzaken worden betrokken, onafhankelijk handelen en rapporteren aan het hoogste leidinggevende niveau. Een beveiligingstool verandert niets aan de vraag of u er een nodig hebt, al is netwerkmonitoring een onderwerp dat de functionaris zou moeten beoordelen. Vanaf het Starter-abonnement stelt NetSenX een concept van de AVG-datalekmelding op voor wie die rol vervult.

https://netsenx.com/nl/faq/do-we-need-a-data-protection-officer

## Mogen we ons netwerk voor beveiliging bewaken op grond van gerechtvaardigd belang?

Meestal wel, zolang de monitoring nodig is voor de beveiliging en evenredig is, en u de afweging vastlegt. De AVG staat verwerking toe die nodig is voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, tenzij de rechten van de betrokkenen zwaarder wegen, en de overwegingen noemen netwerk- en informatiebeveiliging als zo’n belang, voor zover strikt noodzakelijk en evenredig. Dat betekent: schrijf een korte belangenafweging op met wat u bewaakt en waarom, waarom minder ingrijpende middelen niet volstaan, welke waarborgen u toepast en hoe lang u de gegevens bewaart. Metadata controleren op tekenen van een aanval weegt anders dan berichtinhoud lezen of het gedrag van individuen volgen. Informeer medewerkers in uw privacyverklaring en controleer het nationale arbeidsrecht, dat overleg met of instemming van de medewerkersvertegenwoordiging kan vereisen. NetSenX is gebouwd om die afweging aan de veilige kant te houden: het legt metadata vast, ontsleutelt verkeer nooit en rapporteert AI-gebruik per apparaat en programma in plaats van per persoon. De juridische beoordeling blijft bij u.

https://netsenx.com/nl/faq/can-we-monitor-the-network-under-legitimate-interest

## Hoe hoog kunnen AVG-boetes zijn?

Voor de ernstigste overtredingen tot 20 miljoen euro of 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat hoger is, volgens artikel 83, lid 5, van de AVG. Die hoogste categorie geldt voor overtredingen van de basisbeginselen, de grondslag, de rechten van betrokkenen en internationale doorgiften. Een lagere categorie geldt voor andere verplichtingen, zoals beveiliging van de verwerking en het melden van datalekken, met lagere maxima in hetzelfde artikel. Het zijn plafonds, geen tarieven: de toezichthouder beslist per geval en weegt aard, ernst en duur van de overtreding, opzet of nalatigheid, wat er is gedaan om de schade te beperken, eerdere overtredingen en medewerking. Een boete is maar één gevolg; toezichthouders kunnen ook een verwerking stilleggen, en betrokkenen kunnen schadevergoeding eisen. Wat het risico verkleint, is gewone, aantoonbare zorgvuldigheid: uw verwerkingen kennen, vastgelegde beveiligingsmaatregelen, een werkende datalekprocedure en tijdige meldingen. NetSenX helpt bij één deel, een datalek vroeg opmerken en vanaf het Starter-abonnement het concept van de melding opstellen; het neemt het boeterisico niet weg.

https://netsenx.com/nl/faq/what-are-gdpr-fines

## Wat is DORA, in gewone taal?

De Digital Operational Resilience Act (DORA), Verordening (EU) 2022/2554, is de EU-wet die banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en andere financiële entiteiten in staat moet stellen technologische storingen en cyberaanvallen te doorstaan en ervan te herstellen. Ze geldt rechtstreeks in elke lidstaat en rust op een paar pijlers: een ICT-risicobeheerkader waarvoor het leidinggevende orgaan verantwoordelijk is; het classificeren en melden van ernstige ICT-gerelateerde incidenten aan de bevoegde autoriteit; regelmatig testen van digitale operationele weerbaarheid, met dreigingsgestuurde penetratietests voor sommige entiteiten; het beheer van het risico van externe ICT-dienstverleners, met contracteisen en een exitstrategie; en het vrijwillig delen van dreigingsinformatie. Voor dienstverleners die de Europese toezichthoudende autoriteiten als kritiek aanwijzen, voegt DORA direct toezicht toe. Voor een financiële entiteit is DORA de bijzondere regeling, die voorgaat op de algemene NIS2-regels waar ze overlappen. Levert u ICT-diensten aan financiële entiteiten, dan komt DORA via contracten en vragenlijsten bij u terecht. NetSenX is geen DORA-tool als zodanig; de detectie kan het monitoringdeel van een ICT-risicokader ondersteunen.

https://netsenx.com/nl/faq/what-is-dora-in-plain-terms

## Wat eist DORA van het bestuur van een financiële entiteit?

Het legt de eindverantwoordelijkheid voor het beheer van ICT-risico bij het leidinggevende orgaan, dat die verantwoordelijkheid niet kan afschuiven op een IT-afdeling of een leverancier. Onder DORA bepaalt, keurt en bewaakt het leidinggevende orgaan het ICT-risicobeheerkader en is het verantwoordelijk voor de uitvoering. In de praktijk betekent dat: de strategie voor digitale operationele weerbaarheid en het onderliggende beleid goedkeuren, het budget vaststellen en herzien, afspraken met externe ICT-dienstverleners en het beleid voor het gebruik ervan goedkeuren, geïnformeerd worden over ernstige incidenten en de gevolgen, en de eigen kennis via training actueel houden. Voor bestuurders is dat een governanceplicht die een toezichthouder kan onderzoeken: notulen, goedgekeurde documenten en bewijs dat rapporten zijn gelezen en opgevolgd. Vraag uw compliancefunctie hoe uw organisatie die besluiten vastlegt en gebruik de richtsnoeren van de nationale toezichthouder voor de details. NetSenX speelt in die governance geen rol, maar de meldingen en pdf-compliancerapporten, vanaf het Starter-abonnement, kunnen een van de informatiebronnen van het leidinggevende orgaan zijn.

https://netsenx.com/nl/faq/what-does-dora-require-from-management

## Wat is de Cyberweerbaarheidsverordening, in gewone taal?

De Cyberweerbaarheidsverordening (CRA), Verordening (EU) 2024/2847, is de EU-wet over de beveiliging van producten met digitale elementen: hardware en software die verbinding maken met een apparaat of netwerk, van routers en camera’s tot apps en besturingssystemen die in de EU worden verkocht. Ze legt plichten op aan fabrikanten, en lichtere aan importeurs en distributeurs. Producten moeten met oog voor beveiliging worden ontworpen, zonder bekende uitbuitbare kwetsbaarheden en met veilige standaardinstellingen op de markt komen en beveiligingsupdates krijgen gedurende een door de fabrikant bepaalde ondersteuningsperiode. Fabrikanten moeten kwetsbaarheden gestructureerd afhandelen, de gebruikte componenten documenteren en actief uitgebuite kwetsbaarheden en ernstige incidenten melden, zoals artikel 14 bepaalt. Sommige productcategorieën, zoals beveiligingsproducten en netwerkapparatuur, krijgen een strengere conformiteitsbeoordeling, en producten die aan de eisen voldoen, dragen de CE-markering. Vanaf wanneer elk deel geldt, staat in de slotbepalingen. Koopt en gebruikt u alleen producten, dan helpt de CRA u vooral: verwacht van leveranciers duidelijkere ondersteuningsperioden en updatetoezeggingen.

https://netsenx.com/nl/faq/what-is-the-cyber-resilience-act

## Geldt de Cyberweerbaarheidsverordening voor softwarebedrijven?

Ja, als ze software als product op de EU-markt aanbieden: installeerbare applicaties, firmware, besturingssystemen, commercieel verkochte bibliotheken en mobiele apps zijn producten met digitale elementen, en het bedrijf dat ze onder eigen naam aanbiedt, is de fabrikant. De plichten omvatten een risicobeoordeling, beveiliging door ontwerp en standaardinstellingen, het afhandelen en verhelpen van kwetsbaarheden tijdens de ondersteuningsperiode, het documenteren van componenten, beveiligingsinformatie en instructies voor gebruikers, en het melden van actief uitgebuite kwetsbaarheden en ernstige incidenten volgens artikel 14. Vrije en opensourcesoftware die buiten een commerciële activiteit wordt ontwikkeld of geleverd, valt grotendeels buiten de verordening, en organisaties die opensourceprojecten voor commercieel gebruik ondersteunen, zogeheten opensourcesoftwarebeheerders, hebben lichtere plichten. Software die u alleen voor eigen intern gebruik bouwt, wordt niet in de handel gebracht. Verkoopt u software, begin dan met een lijst van uw producten, hun ondersteuningsperioden en uw proces voor kwetsbaarheden, en lees de details in de verordening zelf. Of uw software aan de eisen voldoet, beoordeelt NetSenX niet.

https://netsenx.com/nl/faq/does-the-cra-apply-to-software-companies

## Geldt de Cyberweerbaarheidsverordening voor software als dienst?

Meestal niet voor een zuivere onlinedienst, maar ze kan wel het clouddeel van een product raken. De CRA geldt voor producten met digitale elementen die in de handel worden gebracht. Software die alleen als dienst via internet wordt geleverd, zonder product dat de klant installeert, valt daar in beginsel buiten; de beveiliging van zulke diensten is vooral een zaak van NIS2 als de aanbieder eronder valt. De CRA dekt echter ook gegevensverwerking op afstand die een fabrikant als onderdeel van een product ontwerpt, als het product zonder die verwerking een van zijn functies niet kan vervullen: de cloudbackend van een slimme camera of van een netwerksensor die met een agent wordt geleverd, zijn typische voorbeelden. Een bedrijf dat zowel een installeerbaar onderdeel als een clouddienst verkoopt, kan dus CRA-plichten hebben voor het geheel. Breng in kaart welke delen van uw aanbod klanten installeren en welke alleen bij u draaien, en lees de definities in de verordening zorgvuldig. NetSenX, dat agenten samen met een clouddienst levert, stelt zichzelf dezelfde vraag.

https://netsenx.com/nl/faq/does-the-cra-apply-to-saas

## Wat is een SBOM, en eist de Cyberweerbaarheidsverordening er een?

Een software bill of materials (SBOM) is een machineleesbare lijst van de onderdelen in software, zoals bibliotheken en hun versies, vergelijkbaar met een ingrediëntenlijst. Daarmee kunnen een fabrikant en iedereen met wie hij de lijst deelt snel nagaan of een nieuw gepubliceerde kwetsbaarheid een product raakt. De CRA verplicht fabrikanten de componenten van hun producten te identificeren en te documenteren, onder meer door een SBOM op te stellen in een gangbaar, machineleesbaar formaat dat ten minste de afhankelijkheden op het hoogste niveau dekt. Die maakt deel uit van de technische documentatie; publicatie eist de verordening niet, maar autoriteiten kunnen erom vragen. Koopt u software, vraag leveranciers dan of ze een SBOM bijhouden en hoe ze die gebruiken om kwetsbaarheden te volgen, in plaats van het bestand zelf te eisen. Gangbare formaten zijn CycloneDX en SPDX. NetSenX maakt geen SBOM’s van uw producten, en een netwerksensor ziet niet welke bibliotheken in een applicatie zitten.

https://netsenx.com/nl/faq/what-is-an-sbom-and-does-the-cra-require-one

## Wat is de AI-verordening van de EU, in gewone taal?

De verordening artificiële intelligentie, Verordening (EU) 2024/1689, is de EU-wet die AI-systemen regelt naar het risico dat ze opleveren. Enkele praktijken zijn verboden, zoals sociale scoring en bepaalde vormen van emotieherkenning op het werk. Systemen met een hoog risico, per gebied opgesomd, zoals AI bij werving, personeelsbeheer, kredietbeslissingen of als veiligheidscomponent van kritieke infrastructuur, moeten voor en na het in de handel brengen voldoen aan eisen voor risicobeheer, datakwaliteit, documentatie, menselijk toezicht, nauwkeurigheid en beveiliging. Sommige systemen hebben transparantieplichten, bijvoorbeeld melden dat iemand met een chatbot praat. Voor de meeste andere AI, zoals spamfilters, gelden geen specifieke plichten. Aparte regels gelden voor AI-modellen voor algemene doeleinden. Plichten rusten op aanbieders, die systemen ontwikkelen en in de handel brengen, en op gebruiksverantwoordelijken, die ze beroepsmatig inzetten. Sinds 2 februari 2025 verplicht artikel 4 beide om maatregelen te nemen voor de AI-geletterdheid van hun personeel, wat sinds de wijziging van juli 2026 betekent die geletterdheid bevorderen in plaats van voor ieder persoon een bepaald niveau garanderen; andere delen gelden gefaseerd. Vraag uw leverancier in welke klasse zijn systeem valt.

https://netsenx.com/nl/faq/what-is-the-eu-ai-act-in-plain-terms

## Is AI in een beveiligingstool hoog risico onder de AI-verordening?

Meestal niet, maar het hangt af van wat de tool beslist en over wie. De categorieën met hoog risico worden bepaald door het gebruik, niet door de techniek: AI die onder meer wordt gebruikt om medewerkers te werven, te bevorderen, te monitoren of te beoordelen, om kredietwaardigheid te beoordelen of als veiligheidscomponent in het beheer van kritieke infrastructuur. Een tool die malwareverkeer tussen apparaten opspoort, is op zichzelf niet zo’n gebruik. Hij komt dichterbij als de uitkomsten worden gebruikt om het gedrag of de prestaties van individuele medewerkers te beoordelen, of als hij dient als veiligheidscomponent van bijvoorbeeld een energienet. Stel elke beveiligingstool dus twee vragen: beoordeelt hij mensen of machines, en wat gebeurt er automatisch op basis van zijn uitkomsten? Vraag de leverancier om zijn eigen indeling en de onderbouwing. NetSenX is ontworpen om apparaten en verbindingen te bewaken in plaats van mensen te beoordelen, en rapporteert AI-gebruik per apparaat en programma, niet per persoon. De pagina over AI-transparantie beschrijft waar het AI gebruikt en wat onder uw controle blijft; meldingen gebruiken om personeel te beoordelen, zou uw beslissing zijn en een eigen beoordeling vergen.

https://netsenx.com/nl/faq/is-ai-in-security-tools-high-risk-under-the-ai-act

## Welke transparantieplichten stelt de AI-verordening aan chatbots en door AI gemaakte inhoud?

Een paar, en ze gelden ongeacht de risicoklasse. Mensen moeten weten dat ze met een AI-systeem te maken hebben, zoals een klantenservicechatbot, tenzij dat duidelijk is. Aanbieders van systemen die synthetische audio, beelden, video of tekst maken, moeten de uitvoer machineleesbaar markeren, zodat herkenbaar is dat die kunstmatig is gegenereerd. Gebruiksverantwoordelijken die deepfakes publiceren, moeten vermelden dat de inhoud kunstmatig is, en wie door AI gegenereerde tekst over zaken van algemeen belang publiceert, moet dat ook vermelden, tenzij een mens de tekst heeft nagekeken en redactionele verantwoordelijkheid draagt. Gebruiksverantwoordelijken van systemen voor emotieherkenning of biometrische categorisering moeten de betrokkenen informeren. Voor een bedrijf zijn de praktische stappen een overzicht van waar AI met klanten praat of gepubliceerde inhoud maakt, een duidelijke melding op die plekken en een controle of leveranciers hun uitvoer markeren. Deze plichten gelden vanaf de datum in de slotbepalingen van de verordening. NetSenX publiceert een eigen pagina over AI-transparantie voor de AI-functies in zijn dienst.

https://netsenx.com/nl/faq/what-are-the-ai-act-transparency-duties

## Wat betekenen gegevensbescherming door ontwerp en door standaardinstellingen in de AVG?

Dat privacy moet worden ingebouwd in hoe u een systeem inricht en in de standaardinstellingen, en niet na een klacht wordt toegevoegd. Door ontwerp betekent dat u bij het kiezen en configureren van een tool maatregelen neemt die bij het risico passen, zoals pseudonimisering, dataminimalisatie en toegangsbeheer. Door standaardinstellingen betekent dat direct na installatie alleen de persoonsgegevens worden verwerkt die voor elk doel nodig zijn, niet langer worden bewaard dan nodig en niet toegankelijk zijn voor een onbepaald aantal mensen. Bij een beveiligingstool zijn de praktische vragen: verzamelt hij inhoud of alleen metadata, kunt u beperken wie wat ziet, hoe lang worden gegevens bewaard, en zien mensen buiten het beveiligingsteam de apparaatnamen van medewerkers? De plicht ligt bij de verwerkingsverantwoordelijke; leg uw keuzes dus vast bij de invoering. De standaardinstellingen van NetSenX wijzen dezelfde kant op: het legt metadata vast in plaats van inhoud, ontsleutelt verkeer nooit, bewaart meldingen voor de meldingshistorie van het abonnement en rapporteert AI-gebruik per apparaat en programma in plaats van per persoon; teamrollen zijn beschikbaar vanaf het Starter-abonnement.

https://netsenx.com/nl/faq/what-is-data-protection-by-design-and-by-default

## Welk register van verwerkingsactiviteiten moeten we volgens de AVG bijhouden?

Verwerkingsverantwoordelijken en verwerkers moeten een schriftelijk register, ook elektronisch, van hun verwerkingsactiviteiten bijhouden en het op verzoek aan de toezichthouder ter beschikking stellen. Bij een verwerkingsverantwoordelijke beschrijft elke vermelding de doelen, de categorieën betrokkenen en persoonsgegevens, de ontvangers, eventuele doorgiften buiten de EU met hun waarborgen, zo mogelijk de beoogde bewaartermijnen en een algemene beschrijving van de beveiligingsmaatregelen. Verwerkers houden een korter register bij van de verwerkingen die zij voor elke verwerkingsverantwoordelijke uitvoeren. Kleinere organisaties, onder een in de AVG vastgelegde personeelsgrens, zijn in sommige gevallen vrijgesteld, maar niet als de verwerking niet incidenteel is, wat voor vrijwel elke doorlopende netwerkmonitoring geldt, of als ze waarschijnlijk een risico oplevert of bijzondere categorieën gegevens betreft. Neem beveiligingsmonitoring dus op als aparte verwerkingsactiviteit: doel, verzamelde gegevens, wie ze ziet, de leverancier als verwerker, waar de gegevens staan en hoe lang. De verwerkersovereenkomst van NetSenX en de lijst van subverwerkers geven u de leveranciersgegevens voor die vermelding; het register zelf houdt u bij.

https://netsenx.com/nl/faq/what-records-of-processing-must-we-keep

## Hoe verhouden NIS2, de AVG, DORA, de CRA en de AI-verordening zich tot elkaar?

Elk richt zich op een ander onderwerp, dus één bedrijf kan onder meerdere tegelijk vallen. NIS2 gaat over de cyberbeveiliging van organisaties in genoemde sectoren: risicobeheersmaatregelen, verantwoordelijkheid van het bestuur en het melden van significante incidenten volgens artikel 23. De AVG gaat over persoonsgegevens, waar ze ook worden verwerkt, inclusief de plicht om datalekken te melden volgens artikel 33. DORA is de bijzondere regeling voor financiële entiteiten en gaat voor op NIS2 waar ze overlappen. De CRA gaat over producten met digitale elementen en legt plichten op aan de bedrijven die ze maken en verkopen. De AI-verordening gaat over AI-systemen en legt aanbieders en gebruiksverantwoordelijken plichten op naargelang het risico. Een ransomware-aanval op een leverancier van een ziekenhuis kan dus op dezelfde dag een NIS2-melding en een AVG-melding vereisen, en het productlek erachter kan de CRA-melding van de fabrikant worden. Breng in kaart welke wetten voor u gelden, wie elk ervan beheert en hoe één incidentdossier meerdere meldingen kan voeden. NetSenX volgt NIS2-termijnen per incident en stelt vanaf het Starter-abonnement een AVG-concept op; het dient niets in.

https://netsenx.com/nl/faq/how-do-nis2-gdpr-dora-cra-and-ai-act-fit-together

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

FAQ: https://netsenx.com/nl/faq