2025 is a decisive year for digital security in Europe. The 

, the EU’s updated cybersecurity framework, is already in force at the EU level. Member states had until October 2024 to transpose the directive into national law.

 is expected to take effect in 2026. Regulators already encourage organisations to align with NIS2 requirements.

, which entered into force in 2024, has begun applying its first obligations in 2025. Together, these frameworks are shaping how Dutch companies balance 

The NIS2 Directive (Network and Information Systems Directive 2) is the EU’s strengthened cybersecurity law. Compared to the original 2016 NIS Directive, it introduces:

: More industries are included, such as cloud service providers, digital platforms, and medium-sized IT vendors.

: Stronger risk management, supply-chain security, and incident reporting within 24 to 72 hours.

: Up to €10 million or 2 percent of global turnover.

NIS2 in the Netherlands: Where Things Stand in 2025

While NIS2 is already binding at the EU level, the Netherlands is still preparing its national implementation law, the 

, which is expected to enter into force in 2026.

Dutch businesses are not yet subject to national-level fines.

, as enforcement will follow quickly once the law is enacted.

Early preparation reduces risk, avoids rushed compliance, and strengthens overall security practices.

NIS2 does not specifically mention Artificial Intelligence, but AI systems fall under its scope because they:

Process sensitive personal and business data.

Depend on cloud services and third-party APIs, increasing supply-chain risk.

Introduce new attack surfaces, such as data poisoning or leakage.

Make breach detection more complex due to opaque decision-making.

 is being phased in. While NIS2 focuses on 

transparency, safety, and ethical use of AI

. Together, they form a comprehensive framework that Dutch businesses must take into account when adopting AI technologies.

Checklist for Dutch Businesses Using AI Under NIS2

To prepare effectively, businesses can focus on the following steps:

: Identify what data is collected, stored, and transferred.

: Confirm that AI and cloud partners meet recognised standards such as ISO 27001 or SOC 2.

: Include AI pipelines in detection and reporting.

: Build AI systems with encryption, access control, and audit logging.

: Conduct penetration testing and risk assessments for AI models and APIs.

: Monitor open-source components, pretrained models, and external services.

Some companies worry that compliance may slow down AI adoption. In practice, NIS2 and the AI Act can both 

: Use anonymisation, federated learning, and data minimisation.

: Apply strict identity management, encryption, and monitoring.

: Integrate security scans and compliance checks into AI development cycles.

: Use tools that log activity and flag risks automatically.

This approach allows businesses to remain compliant while maintaining speed and trust in AI-driven services.

Failing to prepare for NIS2 and the AI Act carries significant risks:

 once the Cybersecurity Act (Cyberbeveiligingswet) enters into force.

 caused by unplanned reporting obligations and investigations.

The preparatory phase of 2025 is an opportunity to strengthen resilience before these frameworks are fully enforceable.

At Cyborg, we design and deliver platforms where 

AI security and privacy are built into the architecture

 demonstrates how AI can be developed with strong protections and independent security testing.

GDPR, NIS2, the Cybersecurity Act, and the AI Act

, combining expertise in cloud, DevOps, and AI.

Our focus is to help businesses adopt AI without sacrificing compliance or security.

NIS2 sets a new standard for cybersecurity across Europe. For Dutch businesses, 2025 is the time to prepare for the 

 in 2026. Alongside the EU AI Act, these frameworks will shape the future of digital operations.

By securing AI systems now, companies can avoid penalties, build customer trust, and gain a competitive advantage.

Learn more about how Cyborg helps Dutch businesses build secure AI platforms aligned with NIS2, the Cybersecurity Act, and the EU AI Act.

2025 is een belangrijk jaar voor digitale veiligheid in Europa. De 

, het vernieuwde Europese kader voor cybersecurity, is inmiddels op EU-niveau van kracht. Lidstaten moesten de richtlijn uiterlijk in oktober 2024 omzetten in nationale wetgeving.

 bevinden Nederlandse organisaties zich in een 

 naar verwachting in 2026 in werking treedt. Toezichthouders moedigen bedrijven nu al aan om hun processen af te stemmen op de eisen van NIS2.

 sinds 2024 van kracht, en zijn in 2025 de eerste verplichtingen van toepassing. Samen bepalen deze kaders hoe Nederlandse bedrijven 

De NIS2-richtlijn (Network and Information Systems Directive 2) is de aangescherpte Europese wet voor cybersecurity. In vergelijking met de oorspronkelijke NIS-richtlijn uit 2016 brengt NIS2 de volgende veranderingen met zich mee:

: meer sectoren vallen onder de wet, waaronder cloudproviders, digitale platforms en middelgrote IT-dienstverleners.

: verbeterd risicomanagement, strengere eisen aan de toeleveringsketen en verplichte incidentmelding binnen 24 tot 72 uur.

: boetes tot €10 miljoen of 2 procent van de wereldwijde jaaromzet.

NIS2 in Nederland: stand van zaken in 2025

Hoewel NIS2 op EU-niveau al bindend is, werkt Nederland nog aan de nationale implementatie via de 

Nederlandse organisaties nog niet onder nationale handhaving of boetes vallen.

, omdat handhaving snel zal volgen zodra de wet is ingevoerd.

Vroege voorbereiding risico’s verkleint, overhaaste compliance voorkomt en de algehele weerbaarheid versterkt.

NIS2 noemt kunstmatige intelligentie niet expliciet, maar AI-systemen vallen wel degelijk binnen de reikwijdte van de wet, omdat ze:

gevoelige persoonsgegevens en bedrijfsdata verwerken,

afhankelijk zijn van cloudservices en externe API’s (toeleveringsrisico’s),

nieuwe aanvalsvectoren introduceren, zoals datamanipulatie of datalekken,

het detecteren van incidenten ingewikkelder maken door complexe besluitvorming.

 gefaseerd ingevoerd. Waar NIS2 zich richt op 

transparantie, veiligheid en verantwoord gebruik van AI

. Samen vormen ze een integraal kader waar Nederlandse bedrijven rekening mee moeten houden bij de inzet van AI-technologie.

Checklist voor Nederlandse bedrijven die AI gebruiken onder NIS2

Om zich effectief voor te bereiden, kunnen organisaties zich richten op de volgende stappen:

: weet welke gegevens worden verzameld, opgeslagen en gedeeld.

: controleer of AI- en cloudpartners voldoen aan erkende normen zoals ISO 27001 of SOC 2.

: neem AI-processen op in detectie en melding.

: bouw AI-systemen met encryptie, toegangsbeheer en auditlogs.

: voer penetratietests en risicoanalyses uit op AI-modellen en API’s.

: monitor open-source componenten, voorgetrainde modellen en externe diensten.

Sommige bedrijven vrezen dat compliance de snelheid van AI-ontwikkeling zal remmen. In de praktijk kunnen NIS2 en de AI Act juist 

: gebruik anonimisering, federated learning en dataminimalisatie.

: pas strikt identiteitsbeheer, versleuteling en monitoring toe.

: integreer beveiligingscontroles in de ontwikkelcyclus van AI.

: gebruik tools die automatisch activiteiten loggen en risico’s signaleren.

Zo kunnen organisaties compliant blijven én snelheid en vertrouwen behouden in hun AI-diensten.

Wie zich niet tijdig voorbereidt op NIS2 en de AI Act, loopt aanzienlijke risico’s:

 zodra de Cyberbeveiligingswet van kracht wordt.

 door ongeplande meldplichten en onderzoeken.

De voorbereidingsfase in 2025 biedt bedrijven juist de kans om hun weerbaarheid te versterken voordat de verplichtingen volledig gaan gelden.

Bij Cyborg ontwerpen en bouwen wij platformen waarin 

AI-beveiliging en privacy vanaf het begin zijn geïntegreerd

 laat zien hoe AI veilig en schaalbaar kan worden ontwikkeld met onafhankelijke securitytests.

GDPR, NIS2, de Cyberbeveiligingswet en de AI Act

, met een combinatie van expertise in cloud, DevOps en AI.

Ons doel is bedrijven te helpen AI te omarmen zonder concessies te doen aan veiligheid of compliance.

NIS2 stelt een nieuwe Europese standaard voor cybersecurity. Voor Nederlandse bedrijven is 2025 hét moment om zich voor te bereiden op de 

 in 2026. Samen met de EU AI Act zal deze wet het toekomstige digitale landschap bepalen.

Door AI-systemen nu al veilig en compliant te maken, kunnen organisaties boetes vermijden, vertrouwen opbouwen bij klanten en een concurrentievoordeel behalen.

Artificial Intelligence (AI) is transforming the way we work, communicate, and make decisions. From chatbots to automation tools, AI is becoming an essential part of modern productivity. But with this progress comes a growing concern: 

how safe is your personal data in AI systems?

The Privacy Paradox: AI’s Double-Edged Sword

AI models learn from vast amounts of data, including conversations, documents, and behavioral patterns. Even if you don’t share direct identifiers (name, phone number, etc.), AI can still profile you based on your activity. While manually removing PII from every interaction is an option, it’s time-consuming and impractical, especially for businesses handling large amounts of data.

Data breaches, leaks, and unethical data practices by major companies have already shown that sensitive information isn’t always handled as securely as we assume.

Privacy vs. Productivity: The Dilemma (and the FOMO)

In today’s digital world, there’s a growing 

tension between using AI for efficiency and ensuring privacy protection.

 Businesses and individuals who don’t adopt AI risk being less productive in an AI-driven world.

Using AI without precautions can be risky.

 Feeding sensitive data into AI tools without safeguards can expose personal and confidential information.

Compliance laws like GDPR, HIPAA, and CCPA exist, but they are often reactive rather than preventive. 

 While users and organizations can try to remove sensitive data themselves, this is 

a time-consuming process that isn’t scalable.

While everyone is vulnerable to AI-driven profiling, some industries face 

 – Customer financial records, transaction histories, credit scores

 – Patient records, medical histories, prescription data

 – Confidential contracts, case files, sensitive communications

 – Personally identifiable information (PII) shared in conversations

 to leverage AI without exposing sensitive information.

How Businesses Can Protect Data Without Losing AI’s Benefits

The key to balancing AI innovation with privacy concerns lies in PII obfuscation and smart data handling strategies. Here are a few actionable steps businesses can take:

Before feeding data into AI systems, businesses should use encryption, tokenization, and anonymization techniques. This ensures AI models never directly process raw personal information, reducing compliance risks.

Instead of treating privacy as an afterthought, integrate privacy-first principles into every AI-driven workflow. Build AI models with minimal data collection and ensure transparent consent mechanisms for users.

Use Federated Learning to Train AI Without Exposing Data: 

Federated learning allows businesses to train AI models across decentralized devices without moving sensitive data to a central location. This reduces exposure while still enabling AI to learn from diverse datasets.

Apply Differential Privacy for Added Security: 

Differential privacy techniques introduce mathematical noise into datasets, preventing AI from identifying individuals while still allowing useful insights. This ensures data remains statistically valuable but privacy-safe.

Instead of real customer data, companies can generate synthetic datasets that retain the statistical properties of original data while eliminating direct PII exposure.

Waiting for data privacy regulations to catch up is a risky game. Instead, businesses should proactively comply with frameworks like GDPR and HIPAA, even if they aren’t currently required to.

Educate Employees & Customers on AI Privacy: 

A company’s approach to AI privacy is only as strong as its weakest link. Employees handling data should receive continuous training on privacy policies, and customers should be informed about how their data is being used.

Conclusion: Future-Proofing AI-Powered Businesses

AI is an unstoppable force in modern business, but privacy risks don’t have to be a byproduct of progress. By implementing PII obfuscation, following privacy-by-design principles, and embracing AI security best practices, businesses can enjoy the best of both worlds, innovation and trust.

The question is no longer whether businesses should prioritise data privacy, but rather how quickly they can adapt to do so effectively.

Would love to hear your thoughts! How do you approach privacy when using AI tools?

#DataPrivacy #AI #CyberSecurity #PIIProtection #AICompliance #PrivacyMatters

Kunstmatige intelligentie (AI) transformeert de manier waarop we werken, communiceren en beslissingen nemen. Van chatbots tot automatiseringstools, AI wordt een essentieel onderdeel van moderne productiviteit. Maar met deze vooruitgang komt ook een groeiende zorg: 

Hoe veilig zijn uw persoonsgegevens in AI-systemen?

De privacyparadox: het tweesnijdende zwaard van AI

AI-modellen leren van enorme hoeveelheden data, waaronder gesprekken, documenten en gedragspatronen. Zelfs als u geen directe identificatiegegevens (naam, telefoonnummer, enz.) deelt, kan AI u nog steeds profileren op basis van uw activiteit. Hoewel het handmatig verwijderen van PII uit elke interactie een optie is, is dit tijdrovend en onpraktisch, vooral voor bedrijven die grote hoeveelheden data verwerken.

Datalekken, datalekken en onethisch datagebruik door grote bedrijven hebben al aangetoond dat gevoelige informatie niet altijd zo veilig wordt behandeld als we aannemen.

Privacy versus productiviteit: het dilemma

Privacy versus productiviteit: het dilemma (en de FOMO)

In de digitale wereld van vandaag de dag is er een groeiende 

spanning tussen het efficiënter inzetten van AI en het waarborgen van de privacybescherming.

Als je AI negeert, loop je het risico achterop te raken.

 Bedrijven en individuen die geen AI omarmen, lopen het risico minder productief te zijn in een door AI aangestuurde wereld.

Het kan riskant zijn om AI zonder voorzorgsmaatregelen te gebruiken.

 Als u zonder beveiliging gevoelige gegevens in AI-tools invoert, kunnen persoonlijke en vertrouwelijke gegevens worden blootgesteld.

Er bestaan weliswaar nalevingswetten zoals de AVG, HIPAA en CCPA, maar deze zijn vaak reactief in plaats van preventief.

Het handmatig beschermen van PII is inefficiënt.

 Hoewel gebruikers en organisaties zelf kunnen proberen gevoelige gegevens te verwijderen, is dit 

een tijdrovend proces dat niet schaalbaar is.

Terwijl iedereen kwetsbaar is voor AI-gedreven profilering, worden sommige sectoren geconfronteerd met 

 – Financiële gegevens van klanten, transactiegeschiedenissen, kredietscores

 – Patiëntendossiers, medische geschiedenissen, voorschriftgegevens

 – Vertrouwelijke contracten, dossiers, gevoelige communicatie

 – Persoonlijk identificeerbare informatie (PII) gedeeld in gesprekken

Organisaties die deze gegevens verwerken, hebben behoefte aan: 

 om AI te benutten zonder gevoelige informatie bloot te stellen.

Hoe bedrijven gegevens kunnen beschermen zonder de voordelen van AI te verliezen

De sleutel tot het vinden van een balans tussen AI-innovatie en privacyzorgen ligt in het verduisteren van PII en slimme dataverwerkingsstrategieën. Hier zijn een paar concrete stappen die bedrijven kunnen nemen:

Implementeer PII-verduisteringstechnieken:

 Voordat ze data in AI-systemen invoeren, moeten bedrijven encryptie-, tokenisatie- en anonimiseringstechnieken gebruiken. Dit zorgt ervoor dat AI-modellen nooit rechtstreeks ruwe persoonsgegevens verwerken, wat compliancerisico's vermindert.

Pas een 'Privacy-by-Design'-benadering toe:

 In plaats van privacy als een bijzaak te beschouwen, integreer je privacy-first principes in elke AI-gestuurde workflow. Bouw AI-modellen met minimale dataverzameling en zorg voor transparante toestemmingsmechanismen voor gebruikers.

Gebruik Federated Learning om AI te trainen zonder data bloot te stellen:

 Federated learning stelt bedrijven in staat AI-modellen te trainen op gedecentraliseerde apparaten zonder gevoelige data naar een centrale locatie te verplaatsen. Dit vermindert de blootstelling en zorgt er tegelijkertijd voor dat AI kan leren van diverse datasets.

Pas differentiële privacy toe voor extra beveiliging:

 Differentiële privacytechnieken introduceren wiskundige ruis in datasets, waardoor AI geen individuen kan identificeren en toch nuttige inzichten kan bieden. Dit zorgt ervoor dat de data statistisch waardevol blijven, maar wel veilig voor de privacy.

Gebruik synthetische data voor AI-training:

 In plaats van echte klantgegevens kunnen bedrijven synthetische datasets genereren die de statistische eigenschappen van de originele gegevens behouden, maar tegelijkertijd directe blootstelling aan PII elimineren.

Blijf op de hoogte van naleving van regelgeving:

 Wachten tot de regelgeving voor gegevensbescherming is aangepast, is een riskant spel. Bedrijven zouden zich proactief moeten houden aan kaders zoals de AVG en HIPAA, zelfs als ze dat momenteel niet verplicht zijn.

Informeer medewerkers en klanten over AI-privacy:

 De aanpak van AI-privacy door een bedrijf is zo sterk als de zwakste schakel. Medewerkers die met data omgaan, moeten voortdurend worden getraind in privacybeleid en klanten moeten worden geïnformeerd over hoe hun data wordt gebruikt.

Conclusie: Toekomstbestendige AI-aangedreven bedrijven

AI is een onstuitbare kracht in het moderne bedrijfsleven, maar privacyrisico's hoeven geen bijproduct van vooruitgang te zijn. Door PII-verduistering te implementeren, de principes van privacy-by-design te volgen en best practices voor AI-beveiliging te omarmen, kunnen bedrijven profiteren van het beste van twee werelden: innovatie en vertrouwen.

De vraag is niet langer of bedrijven prioriteit moeten geven aan gegevensprivacy, maar eerder hoe snel ze zich op een effectieve manier kunnen aanpassen.

Ik hoor graag je mening! Hoe ga je om met privacy bij het gebruik van AI-tools?

#DataPrivacy #AI #Cyberbeveiliging #PIIPlbescherming #AI-naleving #PrivacyIsbelangrijk

In today’s digital landscape, security threats are evolving rapidly, and 

 are at risk. Cybercriminals are no longer just targeting large corporations, 

any organisation that handles sensitive data can be vulnerable

limited budgets, lack of technical expertise, or uncertainty about which protections are necessary

At the same time, advancements in technology, including AI have changed the way security threats emerge. 

. While AI-powered threats exist, businesses don’t need expensive, cutting-edge defenses to stay protected. 

Fundamental security measures still make the biggest difference.

 are too costly to be a viable option. But does that mean they must operate blindly when it comes to security? 

 There are clear steps that businesses can take to 

assess security, verify essential protections, and ensure that their software providers meet basic security standards without requiring deep technical knowledge or expensive audits

how businesses can verify security without costly third-party audits

how to strike the right balance between security and cost

How Clients Can Ensure Basic Security Without Third-Party Audits

While external security audits offer deep insights, they can be expensive. However, clients can still take 

 to ensure their software provider follows essential security practices.

Request a Security Checklist from the Vendor: 

Clients should ask for a self-assessed security checklist covering:

Ask if your data is protected when stored (at rest) and when sent over the internet (in transit).

Check whether the system uses strong login protections like two-factor authentication or role-based access control.

What happens to my data if I stop using the service? 

Latest Insights

Thoughts That Matter. Stories That Inspire.

NIS2 and AI: What Dutch Businesses Need to Know in 2025

AI is Growing But So Are the Risks to Your Personal Data

Ensuring Data Privacy & Security in Software Systems: A Practical Approach

Recent Posts

NIS2 and AI: What Dutch Businesses Need to Know in 2025

AI is Growing But So Are the Risks to Your Personal Data

Ensuring Data Privacy & Security in Software Systems: A Practical Approach