De NIS2-richtlijn brengt een verschuiving met zich mee die verder reikt dan de techniek: cybersecurity is geen aangelegenheid meer van uitsluitend de IT-afdeling, maar een verantwoordelijkheid van het bestuur. Dat is niet als beeldspraak bedoeld. De richtlijn maakt bestuurders persoonlijk aanspreekbaar op tekortkomingen in de beveiliging van hun organisatie, en de Nederlandse Cyberbeveiligingswet die deze verplichtingen omzet, is sinds 15 augustus 2026 van kracht.

Dit is nieuw: voor het eerst legt Europese wetgeving de verantwoordelijkheid voor cybersecurity uitdrukkelijk bij het bestuur, met persoonlijke sancties als sluitstuk.

De boetes in perspectief

Essentiële entiteiten

€ 10 miljoen

of 2% van de wereldwijde jaaromzet (hoogste telt)

Belangrijke entiteiten

€ 7 miljoen

of 1,4% van de wereldwijde jaaromzet (hoogste telt)

Deze maxima zijn vastgelegd in artikel 34 van richtlijn (EU) 2022/2555. Daarmee is het verhaal echter niet compleet, want naast de boete voor de organisatie kent NIS2 ook gevolgen voor bestuurders persoonlijk.

Wat riskeert u persoonlijk?

Artikel 20 van de richtlijn bepaalt dat bestuursorganen:

  • de maatregelen voor het beheersen van cyberrisico's moeten goedkeuren
  • toezicht moeten houden op de uitvoering daarvan
  • over voldoende kennis en vaardigheden moeten beschikken om cyberrisico's te kunnen beoordelen, dan wel die kennis moeten verwerven
  • persoonlijk aansprakelijk kunnen worden gesteld wanneer zij deze verplichtingen niet nakomen

Lidstaten mogen daarnaast sancties opleggen aan individuele bestuurders. Onder de Nederlandse Cyberbeveiligingswet kan het daarbij gaan om:

  • persoonlijke boetes
  • een tijdelijk verbod op het uitoefenen van bestuursfuncties
  • openbaarmaking van de overtreding

Waar het in de praktijk misgaat

De meeste bestuurders beleggen cybersecurity volledig bij de IT-afdeling of bij een externe dienstverlener. Onder NIS2 volstaat dat niet langer, omdat de wet aantoonbare betrokkenheid van het bestuur verlangt. Vier tekortkomingen komen daarbij stelselmatig terug:

  1. Geen formeel door het bestuur goedgekeurd beveiligingsbeleid. Beleid is doorgaans wel aanwezig, maar de formele vaststelling door het bestuur ontbreekt.
  2. Het bestuur ontvangt geen rapportages. Staat cybersecurity niet op de bestuursagenda, dan is er geen aantoonbaar toezicht.
  3. Geen bewijs van scholing. Bestuurders moeten kunnen aantonen dat zij zich in cyberrisico's hebben verdiept.
  4. Budget niet formeel vastgelegd. Het bestuur moet aantoonbaar middelen ter beschikking stellen die passen bij het risicoprofiel.

Wat moet u als bestuurder doen?

  1. Zet cybersecurity als vast agendapunt op de bestuursagenda, ten minste eenmaal per kwartaal.
  2. Stel het beveiligingsbeleid formeel vast en herzie het jaarlijks.
  3. Volg een scholing op bestuursniveau. Expertise is niet vereist, begrip van de risico's wel.
  4. Verlang periodieke rapportages van uw CISO, IT-verantwoordelijke of externe securitypartner.
  5. Wijs budget toe, gedocumenteerd en in verhouding tot het risicoprofiel.
  6. Laat een readiness assessment uitvoeren, zodat u weet waar de organisatie feitelijk staat.

Ter geruststelling: kunt u aantonen dat u als bestuurder actief betrokken bent, het beleid heeft vastgesteld en passende middelen ter beschikking heeft gesteld, dan is aan de kern van de verplichting voldaan. NIS2 sanctioneert nalatigheid, niet het ontbreken van volmaaktheid.

Weet u wat NIS2 van u als bestuurder verwacht?

Resotech verzorgt NIS2-briefings voor bestuurders en readiness assessments. In een briefing van een dagdeel bespreken we welke verplichtingen persoonlijk bij u liggen en hoe u daarop stuurt.

Plan een briefing