NIS2 bestuurlijke aansprakelijkheid: wat moeten bestuurders aantoonbaar regelen?

Een bestuurder kan cybersecurity niet meer doorschuiven naar IT. Onder NIS2 wordt digitale veiligheid een bestuursvraagstuk. Niet omdat bestuurders firewalls moeten begrijpen. Wel omdat zij moeten sturen op risico’s, verantwoordelijkheden en aantoonbare keuzes.

Dat vraagt om een andere manier van kijken. Veel middelgrote organisaties hebben al een IT leverancier, back ups en beveiligingsmaatregelen. Toch zegt dat weinig over bestuurlijke grip. De vraag is vooral: weet het management welke risico’s spelen? Zijn verantwoordelijkheden vastgelegd? Worden incidenten gemeld en opgevolgd? En kun je achteraf laten zien waarom keuzes zijn gemaakt?

Daar zit het risico. Niet elk cyberincident leidt automatisch tot aansprakelijkheid. Geen enkele organisatie kan alles voorkomen. Het wordt pas spannend als blijkt dat bekende risico’s zijn genegeerd. Of als niemand kan aantonen wie toezicht hield, welke maatregelen zijn besproken en welke besluiten zijn genomen.

Onder NIS2 kunnen boetes bovendien flink oplopen. Voor essentiële entiteiten gaat het om maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten gaat het om maximaal 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Deze informatie is terug te vinden in hoofdstuk VII, artikel 34 van de NIS2 richtlijn. Daarmee wordt NIS2 niet alleen een IT vraagstuk, maar ook een concreet bestuurlijk risico.

Voor organisaties in kritieke ketens wordt dit extra belangrijk. Klanten, partners en toezichthouders vragen steeds vaker om bewijs. Niet alleen een goed verhaal, maar duidelijke processen, rollen en documentatie. Juist daar ligt de winst voor organisaties die nu willen starten.

Waarom NIS2 bestuurders verantwoordelijk maakt

NIS2 verschuift cybersecurity van een IT onderwerp naar een bestuursverantwoordelijkheid. Dat is logisch. Een cyberincident raakt niet alleen systemen, maar ook klanten, processen, contracten en continuïteit.

Daarom moet het bestuur kunnen laten zien dat cyberrisico’s serieus worden beoordeeld. Niet alleen bij een incident, maar structureel. Denk aan vaste rapportages, duidelijke verantwoordelijkheden en besluiten die goed zijn vastgelegd.

In de praktijk gaat het vaak mis op precies dat punt. De IT leverancier regelt de techniek. De directie vertrouwt op die leverancier. HR, finance en operations werken met gevoelige gegevens. Toch is niet altijd duidelijk wie risico’s bewaakt, wie incidenten beoordeelt en wie besluiten neemt.

Onder NIS2 is dat te dun. Bestuurders hoeven geen technische specialisten te worden. Ze moeten wel de juiste vragen stellen. Welke processen zijn kritiek? Welke leveranciers vormen een risico? Welke maatregelen zijn genomen? En hoe weten we dat die maatregelen werken?

Cybersecurity wordt daarmee onderdeel van normaal risicomanagement. Net zoals privacy, financiën en bedrijfscontinuïteit. Het bestuur hoeft niet alles zelf uit te voeren. Het moet wel zorgen dat de organisatie grip heeft.

Voor middelgrote organisaties is dat vaak wennen. Veel afspraken bestaan informeel. Besluiten zitten in mails. Rapportages zijn technisch of ontbreken helemaal. Daardoor is er misschien wel beveiliging, maar geen aantoonbare sturing.

Dat is precies waar NIS2 de lat hoger legt. Niet alleen veilig zijn telt. Je moet ook kunnen bewijzen dat je bewust hebt gehandeld.

Wanneer ontstaat bestuurlijke aansprakelijkheid?

Bestuurlijke aansprakelijkheid ontstaat niet automatisch na een cyberincident. Een aanval kan elke organisatie raken. De kernvraag is wat het bestuur vooraf heeft gedaan om risico’s te beperken.

Daarbij draait het om aantoonbaarheid. Was er inzicht in de belangrijkste cyberrisico’s? Zijn maatregelen besproken en goedgekeurd? Was duidelijk wie toezicht hield? En is een incident volgens vaste afspraken opgevolgd?

Het risico wordt groter als bestuurders signalen negeren. Denk aan bekende kwetsbaarheden, ontbrekende risicoanalyses of leveranciers die nooit zijn beoordeeld. Ook onduidelijke rollen zorgen voor problemen. Zeker als achteraf niemand kan uitleggen wie verantwoordelijk was.

Een concreet voorbeeld. Een middelgrote dienstverlener werkt met een externe salarisprovider. Via die leverancier ontstaat een datalek. Later blijkt dat leveranciersrisico’s nooit op de agenda stonden. Er was geen vaste controle, geen rapportage en geen besluit over passende maatregelen.

Dan gaat het niet alleen om de aanval zelf. Het bestuurlijke probleem zit in het gebrek aan grip. De organisatie kan niet laten zien dat risico’s vooraf zijn beoordeeld. Ook ontbreekt bewijs dat het bestuur bewust keuzes heeft gemaakt.

NIS2 vraagt dus niet om perfecte veiligheid. Dat bestaat niet. De richtlijn vraagt wel om bestuurlijke zorgvuldigheid. Je moet kunnen laten zien dat risico’s bekend zijn, maatregelen logisch zijn gekozen en opvolging structureel is geregeld.

Wat betekent de NIS2 zorgplicht voor bestuurders?

De NIS2 zorgplicht betekent dat organisaties passende maatregelen moeten nemen tegen cyberrisico’s. Voor bestuurders gaat het vooral om de vraag hoe die keuzes worden gemaakt, bewaakt en vastgelegd.

Passende maatregelen zijn geen standaardlijst die je blind afvinkt. Wat nodig is, hangt af van je organisatie, processen, leveranciers en risico’s. Een softwarebedrijf in een kritieke keten heeft andere risico’s dan een administratiekantoor. Toch geldt voor beide dat keuzes uitlegbaar moeten zijn.

Daarom begint zorgplicht bij overzicht. Welke systemen zijn belangrijk voor de continuïteit? Welke gegevens zijn gevoelig? Welke leveranciers hebben toegang tot data of processen? Zonder dat overzicht kun je geen bewuste keuzes maken.

Daarna moet duidelijk zijn wie verantwoordelijk is. IT kan maatregelen uitvoeren, maar het bestuur bepaalt de richting. Management, HR, finance en operations moeten weten welke rol zij hebben. Cybersecurity raakt namelijk bijna elk proces.

Ook opvolging hoort bij zorgplicht. Een risicoanalyse zonder actieplan helpt weinig. Hetzelfde geldt voor beleid dat nooit wordt getest. Bestuurders moeten periodiek zien wat de status is. Waar zitten open risico’s? Welke maatregelen lopen achter? Welke incidenten zijn gemeld?

Zo wordt zorgplicht praktisch. Niet als juridisch begrip, maar als vaste manier van werken. Je beoordeelt risico’s, kiest maatregelen, legt besluiten vast en stuurt bij waar nodig.

Wat moeten bestuurders concreet regelen?

Bestuurders hebben vooral behoefte aan overzicht. Waar staan we nu? Waar zitten de grootste risico’s? En welke stappen zijn nodig om aantoonbaar in control te komen?

Begin met deze onderwerpen:

1. Kritieke processen en systemen
   Breng in kaart welke processen niet mogen stilvallen. Denk aan klantportalen, personeelsdata, financiële systemen en operationele planning.
2. Leveranciersrisico’s
   Veel incidenten ontstaan buiten de eigen organisatie. Controleer daarom welke leveranciers toegang hebben tot systemen, data of processen.
3. Rollen en verantwoordelijkheden
   Leg vast wie risico’s beoordeelt, wie maatregelen opvolgt en wie incidenten meldt. Voorkom dat cybersecurity tussen IT, HR en directie blijft hangen.
4. Rapportages aan management
   Zorg voor vaste rapportages over risico’s, incidenten en voortgang. Niet technisch, maar bestuurlijk bruikbaar. Bestuurders moeten kunnen sturen.
5. Incidentprocedure
   Maak duidelijk wat er gebeurt bij een verdacht bericht, datalek of systeemuitval. Wie wordt geïnformeerd? Wie beslist? Wat wordt vastgelegd?
6. Documentatie van besluiten
   Bewijs ontstaat niet achteraf. Leg daarom vast welke risico’s zijn besproken, welke keuzes zijn gemaakt en waarom maatregelen passend zijn.

Met deze basis wordt NIS2 bestuurbaar. Je hoeft niet alles tegelijk op te lossen. Wel moet duidelijk zijn waar de organisatie staat, wie waarvoor verantwoordelijk is en welke stappen volgen.

Is NIS2 training verplicht voor bestuurders?

Bestuurders moeten voldoende kennis hebben om cyberrisico’s te beoordelen. Dat betekent niet dat zij technische experts worden. Ze moeten wel begrijpen welke risico’s relevant zijn en welke impact een incident kan hebben.

Een training helpt daarbij, maar alleen als die aansluit op bestuurlijke keuzes. Algemene uitleg over phishing of wachtwoorden is niet genoeg. Bestuurders moeten vooral leren welke vragen zij moeten stellen.

Denk aan vragen zoals:

1. Welke risico’s accepteren we bewust?
2. Welke maatregelen hebben prioriteit?
3. Welke leveranciers vormen een kwetsbaarheid?
4. Wanneer melden we een incident?
5. Hoe leggen we besluiten vast?

Training wordt sterker als die terugkomt in het normale ritme van de organisatie. Bijvoorbeeld bij risicomanagement, directieoverleggen of jaarlijkse evaluaties. Zo blijft kennis actueel en wordt cybersecurity geen los project.

Voor NIS2 is vooral belangrijk dat je kunt aantonen dat bestuurders hun rol begrijpen. Dat vraagt om meer dan aanwezigheid bij een sessie. Leg vast welke onderwerpen zijn besproken, welke acties daaruit volgen en hoe kennis wordt bijgehouden.

Een NIS2 stappenplan voor bestuurders

NIS2 hoeft niet te starten met een groot complianceproject. Begin met een praktische nulmeting. Daarmee zie je snel waar de grootste risico’s zitten.

Gebruik deze zeven vragen als startpunt:

1. Welke cyberrisico’s raken onze continuïteit het meest?
2. Welke systemen en processen zijn bedrijfskritisch?
3. Welke leveranciers zijn essentieel voor onze dienstverlening?
4. Wie houdt toezicht op cyberrisico’s?
5. Hoe melden en beoordelen we incidenten?
6. Welke rapportages ontvangt het management?
7. Kunnen we onze keuzes achteraf aantonen?

De antwoorden maken duidelijk waar verbetering nodig is. Misschien ontbreekt leveranciersbeleid. Misschien zijn incidentprocedures onduidelijk. Of misschien krijgt het bestuur wel informatie, maar niet op een manier die helpt bij besluiten.

Bepaal daarna prioriteiten. Niet alles hoeft tegelijk. Start met risico’s die direct impact hebben op klanten, processen of continuïteit. Leg vervolgens vast wie eigenaar is, welke actie volgt en wanneer voortgang wordt besproken.

Zo groeit NIS2 volwassenheid stap voor stap. Niet vanuit paniek, maar vanuit structuur.

Hoe Blauwhuys helpt bij NIS2 bestuurlijke verantwoordelijkheid

Voor veel organisaties is NIS2 geen technisch project. Het is vooral een vraagstuk over overzicht, rollen en aantoonbare keuzes. Precies daar helpt Blauwhuys. Met een NIS2 audit brengen we in kaart waar je organisatie nu staat. We kijken naar governance, processen, verantwoordelijkheden en risico’s. Ook maken we zichtbaar waar afspraken ontbreken of onvoldoende zijn vastgelegd. Daarna vertalen we de bevindingen naar duidelijke vervolgstappen. Geen dik rapport dat in een la verdwijnt. Wel een helder beeld van de grootste risico’s, concrete aanbevelingen en een praktisch stappenplan.

Zo weet je als bestuurder wat er geregeld is, waar nog werk ligt en welke keuzes je moet vastleggen. Dat geeft rust richting directie, medewerkers, klanten en ketenpartners. Wil je weten of jouw organisatie bestuurlijk klaar is voor NIS2? Start dan met een NIS2 audit van Blauwhuys. Je krijgt inzicht, prioriteit en een duidelijke route naar aantoonbare digitale weerbaarheid.