Risico’s & Compliance
NIS2 nog niet omgezet in Frankrijk, een apart Zwitsers regime, een AI Act met hertekende termijnen, klanten die nu al bewijs eisen. Compliance is niet langer een zaak van juristen: het is een directieafweging.
Wat wij vaststellen
≈ 15 000
entiteiten verwacht binnen het NIS2-toepassingsgebied in Frankrijk, tegenover enkele honderden vandaag
Europese Commissie; raming
24 u
termijn om een cyberaanval te melden aan het NCSC voor Zwitserse kritieke infrastructuur, sinds 1 april 2025
NCSC, ncsc.admin.ch
35 M€ · 7 %
plafond van de AI Act-boetes voor verboden praktijken; 15 M€ of 3 % voor de meeste andere verplichtingen
Verordening (EU) 2024/1689, art. 99
Frankrijk. NIS2 moet het aantal gereguleerde entiteiten van enkele honderden naar ongeveer 15 000 brengen, in 18 sectoren, vanaf 50 werknemers of 10 M€. De omzettingswet is niet gestemd; de Commissie heeft op 8 juli 2026 het Hof van Justitie ingeschakeld. Wachten op de wet is een gok, geen plan.
Zwitserland. NIS2 is niet rechtstreeks van toepassing. Sinds 1 april 2025 melden exploitanten van kritieke infrastructuur elke cyberaanval binnen 24 uur aan het NCSC, met een boete tot 100 000 CHF sinds 1 oktober 2025. Zes maanden na inwerkingtreding waren 164 meldingen geregistreerd. Buiten kritieke infrastructuur geen wettelijke verplichting, maar uw EU-klanten kunnen ze u contractueel opleggen.
AI. Artikel 50 van de AI Act is van toepassing sinds 2 augustus 2026. De verplichtingen voor «hoog risico» van bijlage III zijn door Verordening (EU) 2026/1744 uitgesteld tot 2 december 2027. De boetes lopen op tot 35 M€ of 7 % van de wereldwijde omzet voor verboden praktijken, 15 M€ of 3 % voor de meeste andere verplichtingen.
Wat dit verandert
Drie kalenders, drie rechtsgebieden. De juiste vraag is niet «zijn we conform?» maar «waartoe zijn we gehouden, tegenover wie, tegen wanneer?».
Wat u krijgt
Een helder zicht op wat van toepassing is, wat contractueel wordt geëist en wat kan wachten.
Bewijs dat u aan een klant overhandigt zonder het opnieuw samen te stellen.
Een benoemde verantwoordelijke voor elke verplichting.
Zes situaties
01« Een grote klant stuurt ons een beveiligingsvragenlijst van veertig pagina’s. »
Beslissing
Welk bewijsniveau leveren, volgens welk referentiekader.
Resultaat
Bewijsdossier en plan om de lacunes te dichten, herbruikbaar voor de volgende klanten.
Enkele weken
02« We weten niet of we binnen het toepassingsgebied vallen. »
Beslissing
Wat op ons van toepassing is, wat ons zal worden opgelegd, wat kan wachten.
Resultaat
Blootstellingskaart met drie sporen.
Korte opdracht
03« Onze teams gebruiken AI zonder regels. »
Beslissing
Welke tools, met welke data, onder wiens verantwoordelijkheid.
Resultaat
Gebruiksbeleid, systeeminventaris, classificatie volgens de AI Act.
Korte opdracht
04« We hebben een incident gehad. »
Beslissing
Wie informeren (autoriteit, klanten, verzekeraar), binnen welke termijnen.
Resultaat
Gedocumenteerd incidentdossier en verbeterplan, met incident-responsexperts uit het netwerk.
Op aanvraag
05« Een investeerder of een overnemer gaat ons auditen. »
Beslissing
Wat vooraf regulariseren, wat op zich nemen.
Resultaat
Compliancedossier klaar voor de dataroom.
Enkele weken
06« We verkopen in de EU vanuit Zwitserland (of omgekeerd). »
Beslissing
Vertegenwoordiger, DPO, gegevensoverdrachten.
Resultaat
Matrix van rechtsgebieden (DSG / AVG) en bijbehorende verplichtingen.
Korte opdracht
Onze diensten
Ons kader
Elke tekst wordt op een van de drie sporen geplaatst, met zijn termijn, zijn interne verantwoordelijke en de vastgestelde lacune.
Verplicht
Wat de wet u vandaag oplegt, volgens uw rol: essentiële of belangrijke entiteit, gebruiksverantwoordelijke of aanbieder van AI, verwerkingsverantwoordelijke.
Contractueel
Wat uw klanten, verzekeraars en investeerders eisen, ook zonder wet.
Op te volgen
Gekende termijn, vandaag niet van toepassing.
Resultaat
Eén synthesepagina, gedetailleerde bijlagen per tekst.
Naar omvang
Kmo · 10 tot 50 M€
Zelden een voltijdse CISO of DPO. Wij mikken op een basis van tegenwerpbare controles, geen volledig managementsysteem, en zetten uitbestede functies uit het netwerk in.
Middelgroot bedrijf · vanaf 50 M€
Er is een risicoafdeling, meerdere referentiekaders overlappen. Wij consolideren ze in één plan en bereiden de interne audit voor.
Naar sector
Finance & Capital
DORA, van toepassing sinds 17 januari 2025: kritieke ICT-derden, weerbaarheidstests, register van dienstverleners. In Zwitserland, FINMA-eisen inzake operationele risico’s en weerbaarheid (circulaire 2023/1).
Gezondheid & Life Sciences
HDS in Frankrijk, MDR/IVDR, EHDS. AI ingebed in een medisch hulpmiddel: hoog risico van bijlage I, termijn 2 augustus 2028.
Industrie, Energie & Infrastructuur
NIS2 (energie, water, vervoer, productie); in Zwitserland, NCSC-melding binnen 24 u; IT/OT-segmentering.
Handel, Diensten & Klantbeleving
AVG en DSG (loyaliteit, profilering); artikel 50 (conversatie-agenten, gegenereerde inhoud); tools voor cv-screening: hoog risico, bijlage III, 2 december 2027.
Tech, Innovatie & Publieke sector
Uw NIS2- en DORA-klanten vragen u om bewijs; Cyber Resilience Act (meldingsverplichtingen vanaf september 2026, producteisen in december 2027); softwareleveranciers gebruikt in kritieke infrastructuur: nagaan of de Zwitserse ISG op u van toepassing is.
Typisch scenario · illustratief
Zwitserse softwareleverancier met 25 M€ omzet, klanten in de energiesector in Duitsland en Frankrijk. Zijn grootste klant eist bewijs van beveiliging van de toeleveringsketen vóór verlenging. Binnen drie weken: toepassingsgebied verduidelijkt (verplicht voor de klant, contractueel voor de leverancier), acht lacunes gerangschikt, bewijs herbruikbaar voor de drie andere klanten.
Wat een AI-tool niet voor u doet
Een assistent vat NIS2 samen. Hij draagt uw dossier niet voor bij uw klant, kiest niet welke lacunes u aanvaardt, staat niet in voor de kwaliteit van het bewijs. Aegryn zet een met naam genoemde expert in, verantwoordelijk voor zijn domein.
Onze begeleiding vervangt geen juridisch advies; wij werken met partnerkantoren.
Uitvoeren
Het compliance-plan uitrollen: beleid, procedures en registers.
De controles en het bewijsdossier invoeren dat bij klanten standhoudt.
Teams en directiecomités opleiden in de nieuwe vereisten.
De remediëring sturen tot de afwijkingen zijn gesloten.
Dertig minuten met een met naam genoemde expert uit ons netwerk, verantwoordelijk voor zijn domein. Geen verplichting in dit stadium; de voorwaarden volgen na het gesprek.
Uw blootstelling beoordelenNieuwsbrief · Built to Last
Marktanalyses, levenscycli van organisaties, ervaringen uit de praktijk. Eén brief, geen prospectie.
