Op 9 september 2026 is wetsvoorstel 36906 aangemeld voor plenaire behandeling in de Tweede Kamer. Dat voorstel zet Richtlijn (EU) 2024/2853 om in het Burgerlijk Wetboek, en de Europese omzettingstermijn loopt af op 9 december 2026. Vanaf die datum geldt voor alles wat daarna in de handel wordt gebracht een nieuw regime, waarin software volgens artikel 4 uitdrukkelijk een product is. Voor softwarebedrijven, machinebouwers met firmware, importeurs en integratiepartijen is dat geen detail: het is een risicoaansprakelijkheid die buiten het contract om loopt.
Waarom de exoneratie in uw voorwaarden hier niets doet
Artikel 15 van de richtlijn verbiedt beperking of uitsluiting van de aansprakelijkheid jegens de benadeelde. Geen aansprakelijkheidsplafond, geen uitsluiting van gevolgschade, geen beperking tot twaalf maanden contractwaarde. Die bedingen blijven werken tussen contractspartijen en raken de vordering van de benadeelde niet. Wat vanaf december het werk moet doen, is de vrijwaring voor aanspraken van derden: de afspraak die bepaalt wie in de keten uiteindelijk betaalt. In veel Nederlandse leveringsvoorwaarden staat een uitvoerige exoneratie en geen woord over vrijwaring. De schade die onder de richtlijn valt is wel begrensd — letsel, zaakschade en dataverlies in de privésfeer, niet de bedrijfsschade van uw zakelijke klant.
Bewijs, updates en de vraag wanneer u zelf fabrikant wordt
Artikel 9 geeft de rechter de bevoegdheid om afgifte van relevant bewijsmateriaal te bevelen; artikel 10 laat het gebrek vermoeden als die stukken uitblijven. Uw release-administratie, testrapporten en incidentenregister worden daarmee procesdocumenten. Artikel 7 lid 2 rekent het vermogen van een product om na levering te blijven leren mee bij de beoordeling van gebrekkigheid, en artikel 11 lid 2 sluit vrijstelling uit wanneer het gebrek te wijten is aan software, aan updates of aan het ontbreken van beveiligingsupdates. Wie bovendien de software van een ander ingrijpend wijzigt en onder eigen naam levert, geldt op grond van artikel 8 lid 2 zelf als fabrikant voor die wijziging.
Zes vragen vóór 9 december
Het artikel eindigt met zes concrete vragen over uw inkoop- en leveringsvoorwaarden: welke producten software bevatten, wie per onderdeel fabrikant is, of er een vrijwaring tegenover de exoneratie staat, tot wanneer u beveiligingsupdates levert in verhouding tot de vervaltermijn van tien jaar in artikel 17, welke documenten u zou moeten afgeven, en of u per levering kunt aantonen wanneer het product in de handel kwam. Die laatste vraag beslist welk van de twee regimes geldt.
Read moreVijf jaar stil, in dagen leeggehaald
Eind juli 2026 waarschuwde hardwarefabrikant Coinkite voor een zwakte in zijn Coldcard-apparaten. In diezelfde dagen werden getroffen wallets leeggehaald: één veegactie van ongeveer 41 minuten kostte gebruikers circa 70 miljoen dollar, en begin augustus stond de teller volgens Galaxy Research op ongeveer 1.755 bitcoin uit zo'n 5.000 wallets, terwijl het incident nog liep. Het onderliggende gebrek zat sinds maart 2021 in de firmware: een bouwfout zorgde ervoor dat ongemerkt een zwakke reserveversie van de sleutelgenerator werd meegeleverd. Vijf jaar lang werkte alles ogenschijnlijk normaal. Voor ondernemers die software of apparatuur inkopen raakt dit incident direct aan de eigen inkooppraktijk. Een beveiligingsgebrek in geleverde software kan naar Nederlands recht een tekortkoming opleveren, en de vraag wie de schade draagt wordt in belangrijke mate beslist door het contract dat u jaren eerder tekende.
De patch is het begin, het contract bepaalt de rest
De firmware-update van de fabrikant repareert de generator, maar een sleutel die onder de fout is aangemaakt blijft zwak, zelfs na overzetting naar een ander apparaat; alleen extra eigen invoer bij het aanmaken of een sterke passphrase beperkte volgens de fabrikant het risico, en die laatste herstelt de sleutel zelf niet. Herstel omvat hier dus heruitgifte, migratie, onderzoek en notificatie, en juist die kostbare nasleep valt in veel leverancierscontracten buiten de herstelverplichting. Wie de risicoverdeling wil begrijpen, kijkt naar de definitie van herstel, naar meldtermijnen en naar de exoneratieclausule in de algemene voorwaarden, die gevolgschade vrijwel altijd uitsluit en tussen ondernemingen vaak standhoudt, afhankelijk van onder meer totstandkoming, uitleg en de beperkende werking van redelijkheid en billijkheid. Precies daar valt aan de voorkant het meest te winnen.
AI maakt het venster kleiner
De waarschuwing en de veegacties vielen in dezelfde dagen, en de fabrikant vermoedt, zonder bewijs vooralsnog, dat de aanvaller AI gebruikte om het lek te vinden. Opmerkelijker is dat zijn eigen AI-controle van dezelfde code weken eerder niets vond. Eén AI-scan zegt dus weinig, als aanvalswapen noch als zorgvuldigheidsverweer. IBM telde in 2026 dat een op de vier kwaadaardige inbreuken AI-ondersteund was, ruim de helft meer dan een jaar eerder. De bijdrage vertaalt dit incident naar de Nederlandse inkooppraktijk en geeft vijf concrete contractvragen over meldplichten, hersteltermijnen, aansprakelijkheid en bewijs, zodat u weet wie de rekening krijgt wanneer een oud gebrek plots actueel wordt.
Read more
