NCSC eist waarborgen voor vibe coding, FCA hervormt incidentmelding, VK schorst gezichtsherkenning wegens vooringenomenheid, digitale-ID-consultatie geopend

Regulations & Compliance De topman van het Britse NCSC gebruikt RSAC 2026 om te pleiten voor verplichte beveiligingswaarborgen in AI-codegeneratietools. De FCA stemt cyberincidentmelding af op DORA-principes. Essex Police schorst de inzet van gezichtsherkenning nadat een Cambridge-studie raciale vooringenomenheid vaststelt — een testcase voor de hoogrisicobepalingen van de EU AI-verordening. De Britse overheid opent een consultatie over digitale ID met onbeantwoorde GDPR-vragen. ENISA publiceert een praktisch NIS2-cyberoefeningsraamwerk voor EU-organisaties.

1. Topman Brits NCSC eist beveiligingswaarborgen voor vibe coding op RSAC 2026

Op de RSA Conference 2026 in San Francisco gaf Richard Horne, chief executive van het Britse National Cyber Security Centre (NCSC), wat neerkomt op een regelgevend waarschuwingsschot: de explosie van AI-ondersteunde softwareontwikkeling — algemeen bekend als "vibe coding" — is zowel een enorme kans als een systeemrisico dat de sector nu moet aanpakken, niet over vijf jaar.

Tegelijkertijd publiceerde NCSC-CTO David C de "Secure Vibe Coding Commandments" van het agentschap:

• Standaard veilig: AI-modellen moeten geharde code genereren die direct bruikbaar is — niet alleen functionele code die "werkt"
• Vertrouw maar verifieer: eis bewijsbare modelherkomst om te garanderen dat er geen backdoors in AI-gegenereerde code zitten
• Door AI aangedreven codereviews: gebruik AI om alle code te auditen — zowel door mensen als door AI geschreven — op kwetsbaarheden
• Deterministische waarborgen: handhaaf strikte, op regels gebaseerde controles die beperken wat gegenereerde code kan doen
• Veilige hostingplatforms: bouw sandboxomgevingen die beschermen tegen slechte code, ongeacht de herkomst
• Geautomatiseerde beveiligingshygiëne: laat AI documentatie, tests, fuzzing en dreigingsmodellering afhandelen voor elk stuk software

Implicaties voor de EU AI-verordening

Het standpunt van het NCSC sluit rechtstreeks aan bij de vereisten van de EU AI-verordening voor AI-systemen gebruikt in kritieke infrastructuur. Onder de Verordening zouden AI-codegeneratietools die worden gebruikt om software voor essentiële diensten te bouwen waarschijnlijk kwalificeren als hoogrisico-AI-systemen, wat conformiteitsbeoordelingen, transparantieverplichtingen en menselijk toezicht vereist. De commandments van het NCSC lezen als een voorproefje van de technische normen die de EU uiteindelijk zal verplichten.

Voor DACH-organisaties die zich al voorbereiden op de verplichtingen van de EU AI-verordening voor AI voor algemene doeleinden in augustus 2026, is dit een signaal om nu te beginnen met het evalueren van hoe AI-gegenereerde code in hun ontwikkelingspijplijnen wordt beheerd.

Wat dit betekent voor uw organisatie

• Inventariseer alle AI-codegeneratietools die worden gebruikt binnen ontwikkelteams
• Stel codereviewbeleid op dat expliciet AI-gegenereerde code dekt
• Beoordeel of uw AI-codeertools voldoen aan de zes commandments van het NCSC
• Begin met het in kaart brengen van AI-toolgebruik tegen de hoogrisicocategorieën van de EU AI-verordening

2. FCA hervormt cyberincidentmelding — afstemming op DORA-principes

Het nieuwe meldingsregime van de FCA pakt een langdurige klacht van financiële instellingen aan: verwarring over wat te melden, wanneer te melden en welke informatie op te nemen. De update omvat:

• Eén meldingsportaal: verenigd met de Prudential Regulation Authority (PRA) en de Bank of England — geen dubbele melding meer
• Gestroomlijnde formulieren: de meeste bedrijven kunnen een kort formulier invullen in plaats van uitgebreide documentatie
• Dekking van derden: nieuwe expliciete vereisten voor het melden van incidenten veroorzaakt door leveranciers en dienstverleners
• Duidelijkere drempels: bijgewerkte definities en richtlijnen over wat een meldingsplichtig incident vormt

Afstemming op DORA

Hoewel het VK niet langer onderworpen is aan EU-regelgeving, put de update van de FCA duidelijk uit het speelboek van de Digital Operational Resilience Act (DORA). Het incidentmeldingskader van DORA — dat EU-financiële entiteiten verplicht grote ICT-gerelateerde incidenten te melden aan hun nationale bevoegde autoriteit — heeft de maatstaf gezet. De stap van de FCA om incidenten bij derden op te nemen weerspiegelt de focus van DORA op kritieke ICT-dienstverleners van derden.

FCA-directeur Mark Francis merkte op: "Veerkracht wordt op de proef gesteld als nooit tevoren, met bedrijven die te maken hebben met groeiende cyberdreigingen en toenemende afhankelijkheid van derden." De data ondersteunt dit — 40% van de incidenten die in 2025 bij de FCA werden gemeld, betrof een derde partij, inclusief spraakmakende storingen bij AWS en Cloudflare.

Implicaties voor EU-financiële instellingen

Voor organisaties die zowel in het VK als de EU actief zijn, is de convergentie goed nieuws — de meldingskaders raken steeds meer op elkaar afgestemd. Er blijven echter verschillen bestaan in reikwijdte, tijdlijnen en specifieke vereisten. Dubbel gereguleerde bedrijven moeten hun incidentmeldingsworkflows tegen zowel DORA als het nieuwe FCA-regime afzetten om hiaten te identificeren.

Actiepunten

• Bekijk de Policy Statement PS26/2 van de FCA voor volledige details
• Audit uw leveranciersinventaris van derden — welke leveranciers zouden meldingsplichtige incidenten kunnen veroorzaken?
• Werk incidentresponsdraaiboeken bij om de nieuwe FCA-meldingsdrempels op te nemen
• Indien dubbel gereguleerd (VK + EU), breng overlappingen en hiaten tussen FCA- en DORA-vereisten in kaart
• Bereid u voor op de ingangsdatum van maart 2027 — de 12 maanden gaan nu in

3. Essex Police schorst gezichtsherkenning na Cambridge-studie die raciale vooringenomenheid vaststelt

Een gecontroleerd veldexperiment door onderzoekers van de Universiteit van Cambridge toonde aan dat het live gezichtsherkenningssysteem (LFR) van Essex Police statistisch significante raciale vooringenomenheid vertoonde — het identificeerde zwarte deelnemers vaker correct dan deelnemers uit andere etnische groepen. Hoewel de onderzoekers waarschuwden dat dit het beperkte aantal valse positieven kon weerspiegelen in plaats van een systematisch effect, koos Essex Police ervoor om inzet te pauzeren en samen te werken met de algoritmeleverancier om het probleem aan te pakken.

De bevindingen komen op het moment dat de Britse overheid het gebruik van gezichtsherkenning in de politie actief uitbreidt — met een uitgave van meer dan £26 miljoen aan een nationaal systeem en £11,6 miljoen aan aanvullende met LFR uitgeruste busjes.

Directe relevantie voor de EU AI-verordening

Onder de EU AI-verordening wordt real-time biometrische identificatie op afstand in openbare ruimtes door wetshandhaving geclassificeerd als een verboden praktijk met beperkte uitzonderingen. Zelfs post-identificatie (achteraf) wordt geclassificeerd als hoogrisico, wat vereist:

• Vooringenomenheidstests en -mitigatie: precies het soort testen dat het probleem bij Essex Police aan het licht bracht
• Beoordelingen van de impact op grondrechten vóór implementatie
• Menselijk toezicht: geen volledig geautomatiseerde beslissingen op basis van biometrische identificatie
• Transparantie: publieke bekendmaking dat het systeem in gebruik is
• Registratie in de EU-database voor hoogrisico-AI-systemen

Deze zaak is een schoolvoorbeeld van waarom de EU AI-verordening bestaat. De vooringenomenheid werd alleen ontdekt omdat Essex Police onafhankelijke academische studies in opdracht gaf — veel organisaties die vergelijkbare systemen inzetten, voeren dit niveau van onderzoek nooit uit.

Implicaties voor de private sector

Gezichtsherkenning is niet alleen een politiehulpmiddel. Banken, luchthavens, retailers en toegangscontrolesystemen in de hele EU gebruiken biometrische identificatie. Als uw organisatie enige vorm van biometrische AI inzet, is de zaak Essex Police een waarschuwing: test proactief op vooringenomenheid, of toezichthouders zullen dat voor u doen.

Actiepunten

• Audit alle biometrische AI-systemen in uw organisatie tegen artikel 5 (verboden) en bijlage III (hoogrisico) van de EU AI-verordening
• Geef onafhankelijke vooringenomenheidstests in opdracht voor elk gezichtsherkennings- of biometrisch systeem
• Documenteer beoordelingen van de impact op grondrechten zoals vereist door de EU AI-verordening
• Stel mechanismen voor menselijk toezicht op voor alle beslissingen over biometrische identificatie

4. Britse consultatie over digitale ID geopend — GDPR- en privacyvragen onopgelost

De consultatie over digitale identiteit van de Britse overheid is geopend, met de contouren van een schema dat aanvankelijk right-to-work-controles zou dekken, met plannen voor uitbreiding over overheidsdiensten heen. Maar de consultatie is opvallend stil over verschillende kritieke privacykwesties:

• Gegevensbewaring: geen genoemde tijdlijn voor hoe lang "audittrail"-records van ID-controles zullen worden bewaard
• Kosten: geen prijsschatting — de overheid zegt dat dit afhangt van "nog te nemen beslissingen over de reikwijdte"
• Reikwijdtevergroting: de consultatie noemt toekomstige toepassingen waaronder kinderopvangkosten, studieleningen, uitkeringen, pensioenen en buspassen
• Audittrailrisico's: elk gebruik genereert een tijdgestempeld record — naarmate het schema uitbreidt, ontstaat een gedetailleerde kaart van de activiteiten van burgers

Implicaties voor GDPR en de Britse Data Protection Act

Hoewel het VK op sommige gegevensbeschermingskwesties is afgeweken van de EU na Brexit, is de UK GDPR (behouden uit EU-wetgeving) nog steeds van toepassing. Belangrijke zorgpunten zijn:

• Doelbinding: gegevens verzameld voor right-to-work-controles kunnen niet worden herbestemd voor wetshandhavingssurveillance zonder expliciete rechtsgrond
• Gegevensminimalisatie: heeft een digitale-ID-controle voor een buspas echt een door de overheid bewaarde audittrail nodig?
• Opslagbeperking: het ontbreken van een genoemde bewaartermijn is een waarschuwingssignaal — GDPR vereist gedefinieerde bewaartermijnen
• Transparantie: burgers moeten worden geïnformeerd over hoe hun ID-verificatiegegevens worden gebruikt en bewaard

Lessen voor eIDAS 2.0 van de EU

De eigen eIDAS 2.0-verordening van de EU verplicht Europese digitale identiteitsportefeuilles tegen 2026-2027, en de consultatie van het VK biedt nuttige waarschuwende lessen. Het EU-kader omvat sterkere privacybescherming — waaronder selectieve openbaarmaking (bewijzen dat u ouder dan 18 bent zonder uw geboortedatum bekend te maken) en verboden op tracking over diensten heen. EU-lidstaten moeten de privacyhiaten van het Britse schema bekijken als voorbeelden van wat te vermijden.

Actiepunten

• Britse organisaties: bekijk de consultatie en dien feedback in over gegevensbewaring en privacywaarborgen
• HR-teams: bereid u voor op digitale right-to-work-controles als standaard
• DPO's: beoordeel hoe de gegevensstromen van digitale-ID-verificatie zullen interacteren met uw bestaande GDPR-nalevingskader
• EU-organisaties: vergelijk de Britse aanpak met de eIDAS 2.0-vereisten voor uw eigen digitale-identiteitsstrategie

5. ENISA publiceert NIS2-cyberoefeningsmethodologie

De Cybersecurity Exercise Methodology van ENISA is ontworpen om "organisaties te versterken en te begeleiden bij het ontwikkelen van effectieve cyberoefeningen van begin tot eind." Onder NIS2-artikel 21 moeten essentiële en belangrijke entiteiten maatregelen implementeren voor incidentafhandeling, inclusief regelmatige tests en oefeningen.

De methodologie omvat:

• Oefenplanning: het definiëren van doelstellingen, reikwijdte en scenario's
• Scenario-ontwikkeling: het creëren van realistische aanvalsscenario's op basis van het huidige dreigingslandschap
• Uitvoering: het uitvoeren van tabletop-, functionele en volledige oefeningen
• Evaluatie: het meten van resultaten tegen doelstellingen en het identificeren van verbeterpunten
• Nazorg: het documenteren van geleerde lessen en het bijwerken van incidentresponsplannen

Waarom dit belangrijk is voor NIS2-naleving

Veel organisaties die onder NIS2 vallen, worstelen nog steeds met de praktische vraag: "Hoe testen we onze incidentresponscapaciteiten daadwerkelijk?" De methodologie van ENISA biedt een concreet, door de EU onderschreven antwoord. Nationale bevoegde autoriteiten zullen waarschijnlijk naar dit raamwerk verwijzen bij het beoordelen van naleving, waardoor het de facto verplichte lectuur wordt.

Actiepunten

• Download de methodologie van ENISA van hun website
• Plan uw eerste NIS2-conforme cyberoefening voor Q2 2026
• Gebruik de methodologie om scenario's te creëren op basis van de dreigingen uit de briefing van vandaag
• Documenteer oefenresultaten als bewijs voor NIS2-nalevingsaudits

Samenvatting regelgevingslandschap van vandaag