Ja, een bestuurder kan onder NIS2 persoonlijk aansprakelijk worden gesteld, maar alleen bij aantoonbare nalatigheid of het structureel negeren van de zorgplicht. De NIS2-richtlijn legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur neer, wat van cybersecurity een boardroomonderwerp maakt. Hieronder beantwoorden we de meest gestelde vragen over NIS2-bestuurdersaansprakelijkheid, van de wettelijke basis tot concrete stappen om risico’s te beperken.
Wat zegt NIS2 precies over de rol van bestuurders?
NIS2 verplicht bestuurders om actief verantwoordelijkheid te nemen voor de cyberbeveiliging van hun organisatie. Zij moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en voldoende kennis hebben om weloverwogen beslissingen te nemen over risico’s en maatregelen. Cybersecurity is daarmee geen delegeerbare technische taak meer, maar een bestuurlijke kerntaak.
In de Nederlandse vertaling van NIS2, de Cyberbeveiligingswet (Cbw), wordt dit concreet uitgewerkt. Bestuurders zijn verantwoordelijk voor beslissingen over netwerk- en informatiebeveiliging en moeten in staat zijn beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie te overzien. Dit vereist actieve betrokkenheid, niet slechts een handtekening onder een beleidsdocument.
Voor overheidsorganisaties is als “bestuur” in de zin van de Cbw de politieke leiding aangewezen: ministers, wethouders en gedeputeerde staten. Dit sluit aan bij bestaande wetgeving zoals de Gemeentewet. Bij private organisaties valt het bestuur samen met de directie of het management dat formeel bevoegd is namens de organisatie te handelen.
Naast de verantwoordelijkheid voor beleid en uitvoering geldt er ook een expliciete trainingsplicht. Alle leden van het bestuur zijn verplicht een training te volgen die hen in staat stelt beveiligingsrisico’s te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie in te schatten. Bestuurders hebben maximaal twee jaar na inwerkingtreding van de Cbw om aan deze verplichting te voldoen.
Wanneer kan een bestuurder persoonlijk aansprakelijk worden gesteld?
Een bestuurder kan persoonlijk aansprakelijk worden gesteld wanneer er sprake is van grove nalatigheid bij het nakomen van de NIS2-zorgplicht. Dit betekent dat een bestuurder bewust of ernstig verwijtbaar tekortschiet in zijn of haar verantwoordelijkheid om adequate cyberbeveiligingsmaatregelen te treffen of te handhaven. Normale fouten of incidenten waarbij aantoonbaar wel zorgvuldig is gehandeld, leiden in principe niet tot persoonlijke aansprakelijkheid.
Belangrijk is dat de Cbw geen nieuwe aansprakelijkheden introduceert buiten wat al bestond in het Nederlandse recht. Bestuurders konden al aansprakelijk worden gesteld bij grove nalatigheid. NIS2 versterkt dit echter door de zorgplicht expliciet te benoemen en toezichthouders de bevoegdheid te geven om te handhaven wanneer bestuurders aantoonbaar hebben nagelaten te handelen.
Concrete situaties die tot persoonlijke aansprakelijkheid kunnen leiden, zijn onder meer:
- Het structureel negeren van bekende beveiligingsrisico’s ondanks herhaalde waarschuwingen
- Het weigeren van budgetten of middelen voor wettelijk vereiste beveiligingsmaatregelen zonder deugdelijke onderbouwing
- Het niet naleven van de meldplicht bij ernstige incidenten
- Het aantoonbaar niet volgen van de verplichte bestuurderstraining
- Het ontbreken van enig beleid of enige governance rondom informatiebeveiliging
Voor overheidsinstanties geldt een uitzondering: de NIS2-bepaling over persoonlijke aansprakelijkheid van bestuurders bij niet-naleving is uitdrukkelijk niet van toepassing op overheidsorganisaties. Daar blijft aansprakelijkheid beperkt tot wat al gold onder bestaande wetgeving.
Welke sancties en boetes riskeert een bestuurder onder NIS2?
Onder NIS2 kunnen organisaties boetes oplopen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dit geldt voor essentiële entiteiten. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovenop organisatieboetes kan de toezichthouder ook een bestuurder persoonlijk aanpakken.
De sanctiemogelijkheden voor toezichthouders zijn breed. Naast financiële boetes kunnen zij:
- Waarschuwingen en bindende aanwijzingen opleggen
- Eisen dat specifieke maatregelen binnen een bepaalde termijn worden getroffen
- Bij herhaalde of ernstige overtredingen een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen
- Publiekelijk bekendmaken dat een organisatie de regels overtreedt
Het tijdelijk verbod om leidinggevende functies te vervullen is de meest ingrijpende maatregel die direct de bestuurder als persoon raakt. Deze maatregel is bedoeld voor situaties van aanhoudende, ernstige niet-naleving waarbij de bestuurder aantoonbaar verantwoordelijk is. Dit maakt NIS2-directieverantwoordelijkheid tot meer dan een papieren verplichting.
In Nederland wordt de inwerkingtreding van de Cyberbeveiligingswet verwacht in Q2 2026. Tot die tijd geldt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni), maar organisaties doen er verstandig aan zich nu al voor te bereiden, omdat de risico’s er nu al zijn.
Wat is het verschil tussen aansprakelijkheid bij essentiële en belangrijke entiteiten?
Het onderscheid tussen essentiële en belangrijke entiteiten bepaalt hoe streng het toezicht is en hoe hoog de maximale boetes uitvallen. Essentiële entiteiten vallen onder proactief toezicht en riskeren hogere boetes. Belangrijke entiteiten worden reactief gecontroleerd, doorgaans pas nadat er een incident of klacht is, en de maximale sancties liggen lager. De bestuurlijke verantwoordelijkheid is in beide gevallen gelijkwaardig.
Essentiële entiteiten
Essentiële entiteiten zijn organisaties in sectoren die als kritiek worden beschouwd voor de samenleving, zoals energie, transport, drinkwater, digitale infrastructuur en de financiële sector. Alle overheidslagen (ministeries, provincies, gemeenten, waterschappen) worden automatisch als essentiële entiteit aangemerkt. Voor hen geldt actief toezicht: toezichthouders kunnen op eigen initiatief controles uitvoeren, ook zonder dat er een incident heeft plaatsgevonden. De maximale boete bedraagt 10 miljoen euro of 2% van de wereldwijde jaaromzet.
Belangrijke entiteiten
Belangrijke entiteiten vallen in sectoren die relevant zijn maar minder direct kritiek zijn, zoals post- en koeriersdiensten, afvalverwerking en bepaalde digitale dienstverleners. Het toezicht is reactief: toezichthouders treden pas op na een melding, incident of aanwijzing van niet-naleving. De maximale boete ligt op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. De zorgplicht en de bestuurlijke trainingsplicht gelden echter ook voor deze categorie volledig.
Voor bestuurders van beide categorieën geldt dat de persoonlijke aansprakelijkheid in de kern hetzelfde werkt: grove nalatigheid kan leiden tot sancties. Het verschil zit vooral in de kans dat niet-naleving wordt ontdekt, omdat essentiële entiteiten veel frequenter worden gecontroleerd.
Hoe kunnen bestuurders aantonen dat zij aan hun zorgplicht voldoen?
Bestuurders tonen naleving van de NIS2-zorgplicht aan door te kunnen bewijzen dat zij actief betrokken zijn bij het cyberbeveiligingsbeleid van de organisatie, dat zij de verplichte training hebben gevolgd en dat er aantoonbare maatregelen zijn getroffen op basis van een risicoanalyse. Documentatie en governance zijn daarbij de sleutelwoorden.
Concreet betekent dit dat bestuurders het volgende op orde moeten hebben:
- Aantoonbare training: Deelname aan een bestuurderstraining die de drie wettelijke leerdoelen dekt: risicoherkenning, beoordeling van maatregelen en impactbeoordeling. Er worden geen eisen gesteld aan de opleider, zodat de training op de eigen context kan worden afgestemd.
- Goedgekeurd beveiligingsbeleid: Formele goedkeuring door het bestuur van het informatiebeveiligingsbeleid, inclusief de risicoanalyse die eraan ten grondslag ligt.
- Aantoonbaar toezicht: Verslaglegging van bestuursvergaderingen waaruit blijkt dat cybersecurity periodiek op de agenda staat en dat beslissingen worden genomen op basis van actuele risico-informatie.
- Naleving van de meldplicht: Ingerichte processen voor het tijdig melden van incidenten bij de bevoegde autoriteiten, inclusief de eerste melding binnen 24 uur en een eindverslag uiterlijk een maand na het incident.
- Supply chain-beheer: Inzicht in de cyberbeveiligingsmaatregelen van leveranciers, zoals vereist door de NIS2-zorgplicht.
Voor overheidsorganisaties biedt de Baseline Informatiebeveiliging Overheid 2 (BIO2) een praktisch kader dat grotendeels invulling geeft aan de NIS2-zorgplicht. De NIS2 Zelfevaluatietool en de BIO Self Assessment helpen bij het bepalen waar de organisatie staat. De Handreiking “De bestuurder aan zet” biedt een praktisch startpunt voor bestuurders die hun rol willen invullen. Voor technische toetsing van de beveiligingsmaatregelen is het verstandig ook periodiek onafhankelijk te laten beoordelen of de genomen maatregelen in de praktijk effectief zijn.
Het bijhouden van een actueel risicoregister, het documenteren van beslissingen en het aantonen van continue verbetering zijn de meest overtuigende bewijzen dat een bestuurder de zorgplicht serieus neemt. Een toezichthouder die ziet dat een organisatie bewust en structureel werkt aan haar cyberweerbaarheid, heeft weinig grond om persoonlijke aansprakelijkheid te claimen.
Hoe Q-Cyber helpt met NIS2-compliance voor bestuurders
NIS2-bestuurdersaansprakelijkheid is geen abstracte juridische kwestie, maar een concreet risico dat vraagt om concrete actie. Wij helpen organisaties en hun bestuurders om die verantwoordelijkheid op een praktische en effectieve manier in te vullen, zonder onnodige complexiteit.
Wat wij voor uw organisatie kunnen doen:
- Gap-analyse: We brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en waar de grootste risico’s liggen voor bestuurders.
- Beleid op maat: We schrijven informatiebeveiligingsbeleid dat aansluit op uw organisatie en voldoet aan de wettelijke eisen, inclusief de documentatie die toezichthouders verwachten.
- Bestuurderstrainingen: We verzorgen trainingen die de drie wettelijke leerdoelen dekken en zijn afgestemd op uw sector en organisatiegrootte.
- Virtuele CISO via Continuous-Q: Onze vCISO-dienst biedt doorlopende begeleiding en advies, zodat cybersecurity structureel is geborgd in uw bestuurlijke processen.
- Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in uw belang is.
Wacht niet totdat de Cyberbeveiligingswet formeel in werking treedt. De risico’s zijn er nu al, en bestuurders die nu handelen, staan straks een stuk sterker. Neem contact met ons op en ontdek hoe we uw organisatie kunnen helpen.
Gerelateerde artikelen
- Hoe implementeer je zero trust in een mkb?
- Wat is NIS2 en wat betekent het voor jouw bedrijf?
- Wat is een CISO en wat doet die precies?
- Zijn er tools om te controleren of mijn server kwetsbaarheden heeft?
- Wat is OWASP in relatie tot pentesten?
- Hoe kan ik testen of mijn website goed beveiligd is?
- Wie voert een pentest uit?
- Wat zijn de 3 basisprincipes van informatiebeveiliging?
- Wat zijn de nieuwste trends in pentesten?
- Hoe vaak moet je pentesten uitvoeren?