Gepubliceerd op 15 juli 2026 · Laatst bijgewerkt op 13 oktober 2026
IT-recht is geen apart wetboek, maar het geheel van regels dat geldt voor software, data en digitale diensten: het contractenrecht uit het Burgerlijk Wetboek, de Auteurswet, de AVG, de Cyberbeveiligingswet (sinds 15 augustus 2026), de AI-verordening en de Data Act. Welke regels voor uw bedrijf gelden, hangt af van wat u doet: wie alleen software inkoopt, heeft vooral met contracten en de AVG te maken, terwijl een aanbieder van AI-systemen of een vitale dienstverlener ook zware Europese verplichtingen heeft.
Hieronder leest u welke onderwerpen onder IT-recht vallen, welke deadlines in 2026 en 2027 spelen en wanneer het zinvol is een IT-advocaat in te schakelen.
Inhoudsopgave
Waar let u op bij IT-contracten?
Bij softwarelicenties, SaaS- en cloudcontracten zitten de risico’s in aansprakelijkheid, eigendom van code en data, beschikbaarheid en de exitregeling. Leveranciers werken meestal met eigen algemene voorwaarden, die u vóór ondertekening moet beoordelen.
- Aansprakelijkheid: hoe hoog is het maximum en is gevolgschade, zoals dataverlies, uitgesloten?
- Service levels (SLA): welke beschikbaarheid wordt gegarandeerd en wat gebeurt er als die niet wordt gehaald?
- Exit: krijgt u uw data terug in een bruikbaar formaat en binnen welke termijn?
- Beveiliging: welke maatregelen treft de leverancier en hoe snel meldt hij incidenten?
Sinds 12 september 2025 geldt de Europese Data Act. Die geeft gebruikers van verbonden apparaten toegang tot de data die zij genereren en verplicht aanbieders van clouddiensten om overstappen naar een andere aanbieder mogelijk te maken. Meer over cloudcontracten leest u in ons artikel over de risico’s van SaaS-contracten.
Wie heeft de rechten op software?
Software is als werk beschermd door de Auteurswet. Bij een externe ontwikkelaar blijft het auteursrecht bij die ontwikkelaar, tenzij het schriftelijk aan u is overgedragen; maakt een werknemer de software in dienstverband, dan is de werkgever in de regel de maker (artikel 7 Auteurswet).
Overdracht van auteursrecht vereist een akte (artikel 2 Auteurswet). Zonder die akte heeft een opdrachtgever die voor maatwerk heeft betaald vaak alleen een gebruiksrecht. Verzamelingen van gegevens kunnen daarnaast beschermd zijn door de Databankenwet. Meer leest u bij intellectuele eigendom in overeenkomsten en misverstanden over softwarelicenties.
Wat vraagt de AVG van uw bedrijf?
De AVG geldt voor vrijwel elk bedrijf dat persoonsgegevens verwerkt. U heeft een grondslag nodig voor elke verwerking, moet betrokkenen informeren en passende beveiligingsmaatregelen nemen (artikel 32 AVG).
- Sluit een verwerkersovereenkomst met IT-leveranciers die namens u persoonsgegevens verwerken (artikel 28 AVG).
- Houd een register van verwerkingsactiviteiten bij (artikel 30 AVG).
- Meld een datalek met risico voor betrokkenen binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG), en informeer betrokkenen bij een hoog risico (artikel 34 AVG).
De Autoriteit Persoonsgegevens kan boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet als dat hoger is (artikel 83 AVG). Meer leest u bij verplichtingen van een verwerker onder de AVG.
Valt u onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet, de Nederlandse uitvoering van de Europese NIS2-richtlijn, geldt sinds 15 augustus 2026. Zij geldt voor middelgrote en grote organisaties in aangewezen sectoren, zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, ICT-dienstverlening en bepaalde productie.
Organisaties die eronder vallen, moeten risicobeheersmaatregelen nemen, ook voor hun toeleveringsketen, en significante incidenten melden; volgens NIS2 volgt een eerste waarschuwing binnen 24 uur. Het bestuur is verantwoordelijk voor het toezicht op die maatregelen. Ook als u zelf niet onder de wet valt, kunnen klanten die er wel onder vallen strengere beveiligingseisen in contracten opnemen. Meer leest u bij meldplichten bij cyberincidenten.
Wat betekent de AI-verordening voor uw bedrijf?
De AI-verordening deelt AI-systemen in naar risico. Verboden AI-praktijken en de plicht om personeel voldoende AI-geletterd te maken gelden sinds 2 februari 2025; de verplichtingen voor hoog-risico-AI-systemen gelden na uitstel via de Digital Omnibus (Verordening (EU) 2026/1744) vanaf 2 december 2027.
Voor de meeste bedrijven is de eerste vraag of zij aanbieder of gebruiksverantwoordelijke zijn en in welke risicocategorie hun toepassing valt. Systemen voor werving en selectie of kredietbeoordeling vallen bijvoorbeeld in de categorie hoog risico. Meer leest u bij verboden AI-praktijken en de AI Act voor uw bedrijf.
Welke regels gelden voor online verkoop?
Verkoopt u online aan consumenten, dan gelden de regels voor overeenkomsten op afstand (artikel 6:230g en volgende BW). De consument heeft in de regel 14 dagen bedenktijd (artikel 6:230o BW), en u moet vooraf duidelijke informatie geven over prijs, levering en herroeping.
Voor het plaatsen van niet-noodzakelijke cookies is toestemming nodig (artikel 11.7a Telecommunicatiewet). De ACM houdt toezicht op consumentenregels en kan boetes opleggen.
Hoe lost u een IT-geschil op?
Een IT-geschil, zoals een mislukte implementatie of een leverancier die zijn SLA niet nakomt, begint met de vraag wat het contract over acceptatie, tekortkomingen en aansprakelijkheid zegt. Een ingebrekestelling met een redelijke termijn is meestal nodig voordat u schadevergoeding kunt vorderen of kunt ontbinden (artikel 6:82 en 6:265 BW).
Veel IT-contracten verwijzen naar arbitrage of bindend advies, bijvoorbeeld bij de Stichting Geschillenoplossing Automatisering (SGOA) of het Nederlands Arbitrage Instituut. Ontbreekt zo’n beding, dan oordeelt de gewone rechter; bij spoed kan een kort geding. Over de keuze tussen deze routes leest u meer bij alternatieve geschiloplossing.
Wat is het verschil tussen een IT-advocaat en een IT-jurist?
Een advocaat staat ingeschreven bij de Nederlandse orde van advocaten, valt onder tuchtrecht en heeft een geheimhoudingsplicht met verschoningsrecht. Een jurist zonder advocatentitel kan adviseren, maar heeft geen verschoningsrecht en mag u niet vertegenwoordigen in procedures waarin een advocaat verplicht is.
Bij de rechtbank is een advocaat verplicht in civiele zaken boven € 25.000 en in zaken die niet bij de kantonrechter horen. Bij de kantonrechter mag u zich ook door een ander laten bijstaan.
Waar let u op als afnemer van IT?
- Laat maatwerksoftware schriftelijk aan u overdragen, of leg minstens een ruim gebruiksrecht vast.
- Controleer de aansprakelijkheidsbeperking en de exitregeling vóór ondertekening.
- Sluit een verwerkersovereenkomst met elke leverancier die persoonsgegevens verwerkt.
- Ga na of u onder de Cyberbeveiligingswet valt.
Waar let u op als leverancier van IT?
- Zorg dat uw algemene voorwaarden tijdig ter hand worden gesteld (artikel 6:234 BW).
- Leg vast welke rechten u op standaardcomponenten en eigen code behoudt.
- Ga na welke Data Act-verplichtingen gelden voor uw clouddienst, zoals het faciliteren van overstappen.
- Bepaal of uw AI-toepassing onder de AI-verordening valt en in welke risicocategorie.
Wat kunnen wij voor u doen bij IT-recht?
- Softwarelicenties, SaaS- en ontwikkelcontracten beoordelen en opstellen.
- Verwerkersovereenkomsten en AVG-documentatie opstellen.
- Beoordelen of u onder de Cyberbeveiligingswet of de AI-verordening valt en welke plichten gelden.
- Bij een datalek de meldplicht beoordelen en de termijn van 72 uur bewaken.
- Onderhandelen en procederen bij IT-geschillen; zie ook onze pagina ICT-recht advocaat.
Samengevat
- IT-recht bestaat uit contractenrecht, auteursrecht, privacyrecht en nieuwe Europese regels.
- Auteursrecht op maatwerk van een externe ontwikkelaar gaat alleen bij akte over.
- Een datalek met risico meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens.
- De Cyberbeveiligingswet geldt sinds 15 augustus 2026; hoog-risicoplichten uit de AI-verordening vanaf 2 december 2027.
Veelgestelde vragen
Is er verschil tussen een IT-advocaat en een ICT-advocaat?
Nee, beide termen worden gebruikt voor een advocaat die zich richt op software, data en digitale diensten. Het is geen beschermde titel; controleer de registratie van rechtsgebieden bij de Nederlandse orde van advocaten.
Wat is het verschil met een functionaris gegevensbescherming?
Een functionaris gegevensbescherming (FG) houdt binnen de organisatie toezicht op naleving van de AVG en is in bepaalde gevallen verplicht (artikel 37 AVG). Een advocaat adviseert en treedt op bij geschillen en procedures.
Moet elk datalek worden gemeld?
Nee. Een datalek moet bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het waarschijnlijk geen risico voor betrokkenen oplevert. Elk datalek moet wel intern worden geregistreerd (artikel 33 lid 5 AVG).
Wat kost juridische hulp bij IT-recht?
Dat hangt af van de omvang van het contract of geschil. Ons uurtarief is € 295 exclusief btw; voor afgebakende opdrachten, zoals een verwerkersovereenkomst, is soms een vaste prijs mogelijk.
Lees ook: risico’s van SaaS-contracten, de AI Act voor uw bedrijf, verplichtingen van een verwerker onder de AVG, meldplichten bij cyberincidenten.
