IT-projecten en compliance: het moment bepaalt de schade

De vraag is niet alleen technisch of organisatorisch. Ze is ook juridisch, en het antwoord is helder: de verwerkingsverantwoordelijke. Niet de leverancier, niet de bouwer, en niet de cloudprovider.

Een softwareontwikkelaar bouwt wat het bestek vraagt. Bevat dat bestek geen expliciete compliance-eisen, dan is de leverancier niet verantwoordelijk voor de juridische tekortkomingen van het eindproduct. Toezichthouders als de Autoriteit Persoonsgegevens leggen boetes op aan de organisatie die het doel en de middelen van de dataverwerking bepaalt. Dat bent u als opdrachtgever.

Hetzelfde geldt bij uitbesteding. Zodra u data of processen onderbrengt bij een externe partij, blijft u eindverantwoordelijk voor de keten. Als een ingekochte cloudtool of sub-leverancier niet aan de wet voldoet, is uw gehele keten non-compliant.

Financieel meerwerk bij herstel valt bovendien zonder goede contractafspraken vrijwel altijd bij de opdrachtgever. Wie de kosten draagt voor code die opnieuw moet worden geschreven of data die opnieuw moet worden ingericht, hangt af van wat er vooraf contractueel is vastgelegd. In de meeste standaardcontracten staat dat risico aan de verkeerde kant.

Een compliance-probleem is niet per definitie fataal voor een IT-project. Wat de uiteindelijke schade bepaalt, is het moment van ontdekking.

Wordt een probleem gesignaleerd tijdens de ontwerpfase, dan is de impact beperkt. Aanpassingen in de data-architectuur of de keuze van verwerkingsbasis kosten in dit stadium denkwerk en papierwerk, geen herontwikkeling. Wordt dezelfde tekortkoming pas ontdekt vlak voor livegang, dan verandert de situatie wezenlijk: basiscode openbreken en datastromen herinrichten leidt tot budgetoverschrijdingen en vertragingen die moeilijk zijn terug te verdienen. Na de livegang kan een non-compliant systeem worden stilgelegd; software wordt definitief geschrapt en er ontstaan boetes en reputatieschade die zich niet laten repareren.

De handhavingspraktijk illustreert het risico: Europese privacyboetes op grond van de AVG hebben inmiddels de grens van 6 miljard euro overschreden⁴. De handhaving op de AI Act en de NIS2-richtlijn voegt daar nieuw operationeel risico aan toe voor organisaties die hun IT-keten niet op orde hebben.

De impact van Europese digitaliseringswetgeving is niet gelijk verdeeld. De Barometer Digital Decade 2026¹ laat per sector een eigen risicoprofiel zien (alle cijfers: Nederland).

In de zorgsector zet inmiddels meer dan de helft van de instellingen AI in voor triage of diagnose (52%). Omdat dit onder de AI Act als hoog-risico wordt geclassificeerd, met strenge eisen vanaf eind 2027, doen lopende IT-projecten er verstandig aan naleving vanaf het ontwerp in te bouwen in plaats van pas kort voor die deadline te reageren.

In de maakindustrie en smart industry integreert 80 tot 85 procent van de organisaties AI en software in verbonden fysieke producten, maar bijna de helft (42%) opereert nog op een digitaal basisniveau. De Cyber Resilience Act brengt voor die groep een reëel risico op een Europees marktverbod mee zodra de handhaving op gang komt.

In de publieke sector opereert 41 procent van overheden en publieke dienstverleners op een te laag digitaal volwassenheidsniveau; binnen het sociaal domein loopt dat op tot 65 procent. Tegelijkertijd lopen deze organisaties vast in de gelijktijdige implementatie van NIS2, de AI Act en eIDAS 2.0.

In de financiële sector reikt het risico verder dan de sector zelf: 29 procent van de onderzochte ICT-bedrijven levert aan financiële instellingen, en daarmee vallen zij via DORA-keteneisen mogelijk onder toezicht, ook als zij zichzelf niet als financiële-sectorpartij beschouwen. Onder datacenteraanbieders geldt dit voor alle onderzochte respondenten.