Nieuws Vandaag

Helft Nederlandse bedrijven is nog niet voorbereid op Europese digitale wetgeving

Nederlandse organisaties zijn onvoldoende voorbereid op de groeiende stroom Europese digitale wetgeving. Dat blijkt uit de Barometer Digital Decade 2026 van ICTRecht, gebaseerd op onderzoek onder ruim vijfhonderd organisaties uit acht sectoren.

Volgens de onderzoekers neemt de wetgevingsdruk snel toe, terwijl de digitale volwassenheid van veel organisaties achterblijft. Daardoor ontstaan risico's op handhaving, boetes en aansprakelijkheid voor bestuurders.

Een van de belangrijkste conclusies van de barometer is dat AI inmiddels breed wordt toegepast buiten de technologiesector. Zo gebruikt 80 procent van de productiebedrijven AI in producten of processen. In de zorg zet 52 procent AI in voor triage of diagnostiek en in de financiële sector gebruikt 48 procent de technologie voor onder meer kredietbeoordeling en risicomodellering.

Veel van deze toepassingen vallen onder de Europese AI Act als hoog-risicosysteem, waarvoor vanaf eind 2027 strenge eisen gelden.

Basisniveau

Connected products zijn inmiddels gemeengoed; volgens het onderzoek ontwikkelt 85 procent van de productiebedrijven producten met software of internetverbindingen. Bij bijna acht op de tien organisaties genereren deze producten bovendien gegevens die waardevol zijn voor gebruikers.

Tegelijkertijd opereert 42 procent van de productiebedrijven digitaal nog op een basisniveau. Dat kan problematisch worden, omdat de Europese Cyber Resilience Act al vanaf september 2026 bepaalde meldplichten introduceert en eind 2027 volledig in werking treedt, aldus ICTRecht.

DORA

De onderzoekers signaleren verder dat de impact van de Digital Operational Resilience Act (DORA) verder reikt dan de financiële sector, waarvoor de regelgeving oorspronkelijk bedoeld is. ICT-leveranciers en datacenters die diensten leveren aan banken, verzekeraars en pensioenfondsen, krijgen via contractuele afspraken eveneens te maken met de eisen uit DORA. Van de onderzochte ICT-bedrijven levert 29 procent aan financiële instellingen; onder datacenteraanbieders gaat het om alle respondenten.

Vooral publieke organisaties worden volgens ICTRecht geconfronteerd met een stapeling van regelgeving. Naast cybersecurityverplichtingen krijgen zij te maken met eisen rond digitale toegankelijkheid, gezondheidsdata, digitale identiteit en AI. Tegelijkertijd bevindt ook 41 procent van de publieke organisaties zich digitaal nog op basisniveau; in het sociaal domein loopt dat zelfs op tot 65 procent.

Accountants en advocaten

Volgens de onderzoekers blijven ook advocaten- en accountantskantoren achter. Bijna de helft van deze organisaties (46 procent) werkt volgens de onderzoekers nog op basisniveau qua kantoorautomatisering. De sector behaalt gemiddeld een digitale volwassenheidsscore van 2,5 op een schaal van vijf. Bij kleine en middelgrote kantoren ligt die score met 2,2 nog lager. Alleen grotere kantoren met meer dan 250 medewerkers komen gemiddeld uit op 3,2.

Volgens Arnoud Engelfriet, Chief Knowledge Officer van ICTRecht, onderschatten veel organisaties de reikwijdte van de nieuwe regelgeving. Daardoor bestaat het risico dat AI-systemen, digitale producten of ICT-diensten niet voldoen aan wettelijke eisen.

De gevolgen kunnen aanzienlijk zijn. Onder de AI Act kunnen boetes oplopen tot 7 procent van de wereldwijde jaaromzet. Daarnaast kunnen bestuurders onder meer op grond van NIS2 en DORA persoonlijk aansprakelijk worden gesteld. Ook verkoopverboden en reputatieschade behoren tot de mogelijke consequenties.

Barometer

Het onderzoek voor de Barometer Digital Decade 2026 werd door ICTRecht tussen maart en juni 2026 uitgevoerd in samenwerking met JuriBlox. De uitkomst is gebaseerd op data van 516 Nederlandse organisaties uit acht sectoren, waaronder de publieke sector, financiële dienstverlening, ICT, industrie, handel en logistiek.

• ICTRecht Barometer Digital Decade 2026