Kennis
Wat er in de wet staat, en wat erin ontbreekt.
Artikelen over de Cyberbeveiligingswet, de artikelen van de AVG die wij per partij inzetten, en de markt waarin persoonsgegevens van bestuurders worden verhandeld. Met de bron en de datum erbij, en met de grens erin.
Cyberbeveiligingswet
De Cyberbeveiligingswet geldt sinds 15 augustus 2026.
Achtduizend organisaties in achttien sectoren vallen onder de wet. Wat er per 15 augustus veranderde, waar de registratie loopt, en wat de wet uitdrukkelijk niet van u vraagt.
Artikel 24 legt de plicht bij het bestuur.
Zeven leden, waarvan de meeste samenvattingen er twee behandelen. Wat het bestuur moet goedkeuren, wat ieder lid persoonlijk moet kunnen, en wat een overtreding kost.
Het bestuursstuk moet het risico benoemen.
De wet schrijft geen enkele maatregel voor; zij vraagt dat u een afweging maakt en die kunt tonen. Drie formuleringen voor hetzelfde voorstel, waarvan er twee omvallen bij de eerste jurist die meeleest.
Dezelfde zorgplicht, een andere boete.
Drie routes waarlangs een organisatie in een categorie belandt, en geen daarvan is 'groot of klein'. Met de twee boetestaffels naast elkaar, en waarom hier geen sectorlijst staat.
Het certificaat is voorgeschreven.
Artikel 24 vraagt om een certificaat én om kennis die aantoonbaar actueel blijft. Vier leden in de juiste leesvolgorde, en twee dingen die er in de praktijk onderuit glippen.
Acht ministers, één wet.
De wet kent geen centrale toezichthouder. Artikel 15 wijst per sector een minister aan als bevoegde autoriteit; artikel 68 legt het feitelijke toezicht bij ambtenaren die zij aanwijzen. Met de volledige verdeling.
De rechten
Artikel 21 lid 2 kent geen belangenafweging.
Lid 1 zegt 'tenzij'. Lid 2 zegt dat niet, en daar zit het verschil tussen een verzoek dat een partij kan afwijzen en een verzoek dat zij moet uitvoeren.
Identificatie mag de termijn niet opschorten.
Een tegenvraag om een kopie van uw paspoort zet de klok niet stil, en dat staat nergens anders. Wanneer een partij wél om identificatie mag vragen, en wat u antwoordt als zij te veel vraagt.
Artikel 19 verplicht tot doorgeven aan ontvangers.
Wie gegevens heeft verstrekt en ze moet wissen, meldt dat aan iedere ontvanger — en vertelt u op verzoek wie dat zijn. Het juridische antwoord op de vraag wat wissen oplevert als een partij opnieuw inkoopt.
Kredietscoring verdedigt zich met een bewaarplicht.
Een kaal verzoek om wissing loopt daar stuk. Inzage dwingt de partij haar eigen positie op schrift te zetten, inclusief de ontvangers — met de openingszet per soort partij in één tabel.
Een klacht bij de AP is geen procedure.
Artikel 77 kost niets en levert geen uitspraak op. Wanneer er iets concreets te melden valt, wat er in het dossier hoort, en waarom één klacht over één weigering zelden iets in beweging brengt.
Het recht is persoonsgebonden.
Een organisatie kan artikel 17 of 21 niet uitoefenen voor haar personeel. Wat er misgaat als u het toch doet, en de vier dingen die in een machtiging horen.
Artikel 21 lid 1 draait de bewijslast om.
Lid 1 wordt gelezen als de zwakke variant, en dat is de verkeerde lezing. Wat 'dwingende gerechtvaardigde gronden' betekent, hoe een geldige weigering eruitziet, en waarom uw eigen omschrijving het gewicht bepaalt.
Een verzoek behandelen is kosteloos.
Kennelijk ongegrond of buitensporig — en de bewijslast daarvoor ligt bij de partij die het inroept. Wanneer dat verweer opgaat, wanneer niet, en wat u erop antwoordt.
Bij een onbekende grondslag begint u met inzage.
Als niet vast te stellen is waarop een partij zich beroept, dwingt inzage haar dat op schrift te zetten. Met de route bij toestemming, en waarom uitblijven van antwoord zelf een uitkomst is.
Voor de FG
De informatieplicht komt vóór de meting.
Een blootstellingsmeting valt onder het zwaarste van de twee informatieregimes, want de gegevens komen niet van de betrokkene zelf. Wat dat betekent voor de volgorde, en vier vragen die u een leverancier kunt stellen.
Detecteerbaar, niet onveranderlijk.
Een keten van vingerafdrukken maakt wijziging achteraf opmerkbaar, niet onmogelijk. Waarom dat verschil telt in een dossier, en waarom een statusoverzicht uit een database dit niet is.
Dataminimalisatie is een ontwerpkeuze.
Het verschil tussen een belofte en een ontwerpkeuze is of een leverancier kan opnoemen wat hij níét vraagt. Onze lijst, met per veld de reden, plus wat wij wel nodig hebben en waarom dat meer is dan comfortabel voelt.
Wat u een leverancier vraagt die namens uw mensen verzoeken indient.
Een standaard leveranciersvragenlijst dekt dit niet. De vragen die er wél toe doen, met waar u op moet letten in het antwoord — en onze eigen antwoorden erbij, inclusief de vraag waarop wij slecht scoren.
Wij zijn verantwoordelijke voor de verzoeken.
Bij een dienst die op persoonlijk mandaat handelt klopt het standaardmodel niet. De toets in drie vragen per verwerking, en waarom één verwerkersovereenkomst voor het geheel een signaal is.
Datahandel
Datahandel in Nederland.
Vier soorten partijen met vier verschillende zwaktes, en waarom die indeling bepaalt welk verzoek werkt. Zonder één enkel aantal, want dat is de leugen van deze categorie.
De bron is een openbaar register.
Handelsregister, Kadaster, BAG, insolventieregister en UBO op een rij, met wat er over een bestuurder in staat. En het punt waar de discussie meestal spaak loopt: een bron is geen grondslag.
De AP beboette Experian voor een ontbrekende grondslag.
Twee overtredingen, waarvan de tweede telt: verwerking zonder geldige grondslag. Wat de zaak aantoont, en de drie dingen die u er niet uit kunt halen.
B2B-leadgen noemt zich zakelijk.
Er is geen bepaling die de verordening uitschakelt zodra iemand in zijn werk wordt benaderd. Waar het misverstand vandaan komt, en wat u antwoordt als het verweer komt.
Eén partij, vier merknamen.
Een verzoek dat één merk noemt, krijgt een antwoord dat klopt en niets oplost. Waarom het juridisch één verantwoordelijke is, en de twee zinnen die de ontsnapping afsluiten.
Het woonadres is bij KVK standaard afgeschermd.
Het tegenovergestelde van wat vrijwel iedereen aanneemt, en de scheur waar het misverstand doorheen loopt: staat uw woonadres als bezoekadres geregistreerd, dan staat het er alsnog.
Het Handelsregister is openbaar.
Het Hof van Justitie verklaarde algemene openbaarheid ongeldig, ook voor een legitiem doel. Waarom die redenering breder bruikbaar is, en wat het niet doet met kopieën die er al waren.
Aanval en risico
De verkenningsfase kiest de doelwitten.
Een gerichte aanval begint met een lijst, niet met een bericht. Welke drie soorten materiaal die lijst nodig heeft, welke daarvan een leverancier en een factuur hebben, en welke u kunt weghalen.
Pathé verloor 19,2 miljoen euro.
De best gedocumenteerde Nederlandse zaak, met de tijdlijn erbij. En het deel dat er níét in staat: waar de aanvallers hun kennis vandaan haalden, is nooit vastgelegd.
Na een incident. Wat u in de eerste week aan blootstelling kunt doen.
Twee dingen die niets met ons te maken hebben komen eerst. Daarna: wat de bewaarde berichten u vertellen over wat er bekend was, wat er realistisch snel kan, en wat niet.
Een privéadres is geen phishingrisico.
Twee dreigingsmodellen die iedereen door elkaar haalt, gevoed door dezelfde vier velden. Waarom het uitmaakt in welke categorie u het opschrijft, en welke maatregel per model werkt.
Inkoop en besluit
Vier handtekeningen. Vier verschillende redenen.
Deze opdracht komt niet met één handtekening rond. Wie tekent wat, waarom de laatste twee de smalle doorgang zijn, en wat er in welke volgorde moet.
Een bestuursbesluit heeft drie regels nodig.
Risico, maatregel, grens. Een bruikbare besluittekst met per onderdeel de reden dat het er staat, en wat u eromheen moet plannen.
Voor de bestuurder
Uw naam blijft in het Handelsregister staan.
De hardste grens van deze dienst, verteld aan wie moet tekenen. Wat er wel en niet openbaar is, waarom er dan toch een woonadres in omloop is, en wat er dus wel verandert.