Met deze ict-wetgeving krijg je in 2025 vast een keer te maken

Welke wetgeving voor de ict-sector komt er op ons af in dit nieuwe jaar? Iedereen kent natuurlijk het algemene overzicht van de Kamer van Koophandel, maar dat betreft vooral fiscale veranderingen en randzaken. De nieuwe regels voor onze sector komen natuurlijk allemaal uit Europa, waar de term “Digital Decade” centraal staat.

De Digital Decade is het Europese wetgevingsprogramma dat technologische innovatie verbindt met fundamentele rechten en maatschappelijke waarden, van identiteit en privacy tot platformeconomie en cyberveiligheid. Ik hanteer daarbij een verdeling in acht thema’s (waarover een andere keer meer) en zal per thema relevante wetgeving noemen:

• De Markets in Crypto-Assets Regulation (MiCA) (2023/1114) trad 30 december 2024 in werking en voert een EU-breed vergunningstelsel in voor crypto-dienstverleners. De wet stelt eisen aan wallet-providers en andere bewaarders van digitale activa, vergelijkbaar met traditionele financiële instellingen. Dit past in het bredere EU-raamwerk voor betrouwbare digitale identiteiten en transacties.
• Data & Privacy: De AI Act (2024/1689) introduceert een risico-gebaseerd systeem voor AI-regulering met strenge eisen voor hoog-risico toepassingen en enkele absolute verboden. Die laatste treden al per 2 februari in werking (net als de eis voor AI-geletterdheid).
• Mensgericht & Inclusief: De Toegankelijkheidsrichtlijn (2019/882) verplicht alle marktdeelnemers tot integreren van toegankelijkheid van producten, diensten en interfaces. Deze verplichting gaat vanaf 28 juni 2025 gelden voor alle nieuwe producten of interfaces – dus vanaf je eerste update na die datum.
• Cyber & Weerbaarheid: De Nederlandse Cyberbeveiligingswet implementeert de NIS2-richtlijn (2022/2555) in Q3 2025 met nieuwe eisen voor digitale dienstverleners en vitale aanbieders rond cybersecurity en incidentrapportage.
• Data & Privacy: In 2025 wordt de European Health Data Space Regulation verwacht die veilige uitwisseling van gezondheidsdata tussen EU-landen met sterke privacywaarborgen faciliteert.
• Data & Privacy: De Dataverordening (2022/868) geldt al, maar voor databemiddelingsdiensten geldt de deadline van 24 september 2025.
• Digitale Identiteit: De nieuwe European Digital Identity Framework (2024/1183) treedt gedeeltelijk in werking – met name de technische normen zullen gaan gelden.
• Digitale Economie: De Corporate Sustainability Due Diligence Directive (2024/1760) verplicht vanaf juli 2026 techbedrijven tot het monitoren en aanpakken van mensenrechten- en milieurisico’s in hun waardeketen. Zaak dus om in 2025 alvast een en ander te gaan inventariseren.
• Inhoud & Expressie: Vanaf de zomer gaan regels gelden voor transparantie bij politieke advertenties dankzij de Political Advertising Regulation (2024/900), het was al reden voor Google om daarmee te stoppen.
• Infrastructuur: De Gigabit Infrastructure Act (2024/1309) stroomlijnt de uitrol van snelle internetverbindingen. Nieuw is ook dat gebouwen voortaan ‘gigabit-ready’ moeten zijn bij grote renovaties. Vanaf 12 november 2025 gaan de regels gelden.
• Mensgericht & Inclusief: De Right to Repair Directive (2024/1799) geeft consumenten recht op reparatie van elektronische apparaten en verplicht fabrikanten tot het beschikbaar stellen van reserveonderdelen en reparatie-informatie. Dit moet vanaf 31 juli 2026 gaan gelden, maar in 2025 zul je al het nodige tegenkomen.
• Digitale Economie: De Platform Work Directive (2024/2831) versterkt de positie van platformwerkers door criteria vast te leggen voor arbeidsrelaties en transparantie over algoritmes die werk toewijzen. Deze moet vanaf 2 december 2026 gaan gelden. Je contracten en werkrelaties vóór die tijd op orde hebben is natuurlijk wel zo verstandig.
• Soevereiniteit: De Critical Raw Materials Act (2024/1252) moet Europa’s toegang tot cruciale grondstoffen voor digitale infrastructuur veiligstellen via productietargets en supply chain monitoring. Hoewel de meeste eisen pas in 2026 gaan gelden, moeten projecten inzake kritieke grondstoffen hier nu al rekening mee houden.
• Digitale Soevereiniteit: Het Strategic Technologies for Europe Platform (STEP) (2024/795) bundelt investeringen in strategische technologieën als AI, quantum en chips.
• Cyber & Weerbaarheid: De Cyber Resilience Act (2024/2847) stelt minimale beveiligingseisen aan alle connected producten, van IoT-apparaten tot industriële systemen. Ik noem hem alvast, maar je hebt tot 11 december 2027 om je implementatie te regelen.

Dit is natuurlijk een enorme berg om rekening mee te houden. Ik ben dan ook onlangs begonnen met een nieuw boek: Wetwijs in het digitale decennium. Je kunt je alvast voorintekenen, dan blijf je op de hoogte van inhoud & vormgeving.

Oh ja, de beste wensen nog voor 2025!

Arnoud