Wat betekent NIS2 bestuurdersaansprakelijkheid?
In de praktijk betekent dit niet dat elk cyberincident automatisch een persoonlijke claim oplevert. Het betekent wel dat cyberbeveiliging onder de Cyberbeveiligingswet niet meer alleen bij IT kan liggen. Het bestuur blijft eindverantwoordelijk voor governance, risicobeheersing en het goedkeuren en volgen van maatregelen.
Bestuurders moeten voldoende kennis hebben om cyberrisico's en beveiligingsmaatregelen te kunnen beoordelen. Voor uitvoerende bestuurders van organisaties die onder de wet vallen, beschrijven officiële bronnen ook een opleidingsplicht. Vantora geeft geen juridisch advies, maar helpt bestuur en directie om de aantoonbare kant goed te organiseren.
Wat moet bestuur of directie concreet doen?
Risico's begrijpen
Vertaal technische kwetsbaarheden naar impact op continuïteit, klanten, leveranciers, financiën en reputatie.
Maatregelen goedkeuren
Het bestuur moet passende maatregelen begrijpen, prioriteren en formeel kunnen goedkeuren.
Toezicht houden
Vraag periodieke rapportage over risico's, incidenten, voortgang, uitzonderingen en resterend risico.
Kennis actueel houden
Plan bestuurstraining en leg vast hoe kennis, rapportage en besluitvorming structureel terugkomen.
Welk bewijs helpt bij zorgvuldig bestuur?
Een bestuur kan vooral laten zien dat het zorgvuldig handelt door besluitvorming en opvolging concreet te maken. Denk aan een kort dossier met scope, risicoanalyse, goedgekeurde maatregelen, leveranciersrisico's, incidentproces, training, uitzonderingen, budgetkeuzes en periodieke directierapportage.
- Bepaal of de organisatie direct of indirect onder NIS2/Cyberbeveiligingswet valt.
- Laat de belangrijkste cyberrisico's vertalen naar bestuurlijke impact.
- Keurt het bestuur de maatregelen en prioriteiten expliciet goed?
- Leg resterend risico vast: wat accepteert u tijdelijk, waarom en tot wanneer?
- Maak een vaste rapportagecyclus voor CISO, IT, directie en bestuur.
- Documenteer incident- en meldplichtafspraken inclusief beslissers en escalatie.
- Bewaar bewijs van training, besluiten, voortgang en leveranciersafspraken.
Vragen die bestuurders moeten stellen
Gebruik de bestuursvergadering niet voor technische details, maar voor scherpte op risico, besluit en verantwoordelijkheid. Deze vragen helpen daarbij:
- Welke processen vallen stil als identity, ERP, cloud, OT of leveranciers uitvallen?
- Welke NIS2-maatregelen zijn al aantoonbaar ingericht en welke ontbreken nog?
- Welke leveranciers vormen een continuïteitsrisico en welke afspraken ontbreken?
- Hoe weten we binnen 24 uur of een incident meldplichtig kan zijn?
- Welke risico's accepteren we bewust en wanneer beoordelen we die opnieuw?
- Welke rapportage krijgt het bestuur maandelijks of per kwartaal?
Een NIS2 Review kan deze vragen vertalen naar een compacte directiesamenvatting, prioriteitenlijst en bewijsroute.
Officiele bronnen
Deze pagina gebruikt publieke informatie van RDI, NCSC en NCTV over bestuurlijke verantwoordelijkheid, opleidingsplicht, governance, risicobeheersing en de rol van het bestuur onder de Cyberbeveiligingswet.
RDI: bestuurlijke verantwoordelijkheid · NCSC: Cyberbeveiliging is ook een bestuurszaak · NCSC: vragen aan de CISO · NCTV: opleidingsplicht bestuurders