Bij een NIS2-overtreding kan een directeur persoonlijk een boete krijgen van maximaal €500.000. Dit is een persoonlijke sanctie, los van de boete die de organisatie zelf ontvangt. De Cyberbeveiligingswet, die naar verwachting medio 2026 in werking treedt, legt de eindverantwoordelijkheid voor cybersecurity expliciet bij het bestuur. Hieronder beantwoorden we de meest gestelde vragen over bestuurdersaansprakelijkheid bij NIS2.
Wie is persoonlijk aansprakelijk bij een NIS2-overtreding?
Bij een NIS2-overtreding zijn de bestuurders van de organisatie persoonlijk aansprakelijk. De richtlijn wijst het management expliciet aan als eindverantwoordelijke voor het cybersecuritybeleid. Dit betekent dat directeuren, CEO’s en andere leden van het bestuur niet achter de organisatie kunnen schuilen als er iets misgaat.
Concreet houdt dit in dat toezichthouders niet alleen de organisatie aanspreken, maar ook de individuele bestuurders die verantwoordelijk zijn voor het goedkeuren en borgen van beveiligingsmaatregelen. Het maakt daarbij niet uit of de directeur zelf technische kennis heeft. De verantwoordelijkheid is functioneel: als bestuurder ben je eindverantwoordelijk voor de keuzes die je organisatie maakt op het gebied van cybersecurity, ook als de uitvoering is belegd bij een IT-afdeling of externe partner.
Dit is een fundamentele verschuiving ten opzichte van de oude situatie, waarbij cybersecurity vaak werd gezien als een technisch vraagstuk voor de IT-manager. Onder NIS2 is het een bestuursverantwoordelijkheid.
| Afspraak maken |
Hoe hoog kan de persoonlijke boete voor een bestuurder oplopen?
De persoonlijke boete voor een bestuurder bij een NIS2-overtreding kan oplopen tot €500.000. Dit is het maximumbedrag dat een individuele bestuurder persoonlijk verschuldigd kan zijn, bovenop de sancties die de organisatie zelf ontvangt.
De hoogte van de boete hangt af van meerdere factoren, waaronder de ernst van de overtreding, de mate waarin de bestuurder aantoonbaar nalatig was, en of de organisatie al eerder gewaarschuwd is door de toezichthouder. Een eenmalige, beperkte tekortkoming leidt niet automatisch tot de maximale boete. Maar structurele nalatigheid, het negeren van aanwijzingen, of het ontbreken van elk aantoonbaar beleid kan leiden tot forse persoonlijke sancties.
Naast de directe boete kan een bestuurder ook tijdelijk worden verboden om leidinggevende functies te vervullen. Dit is een van de meest ingrijpende gevolgen die de Cyberbeveiligingswet mogelijk maakt.
Wanneer wordt een directeur persoonlijk aangesproken door de toezichthouder?
Een directeur wordt persoonlijk aangesproken wanneer de toezichthouder vaststelt dat het bestuur zijn verantwoordelijkheid voor cybersecurity niet serieus heeft genomen. De drempel daarvoor is niet een incident op zichzelf, maar het ontbreken van aantoonbare maatregelen en toezicht door het bestuur.
Concreet zijn er situaties waarin persoonlijke aansprakelijkheid extra snel in beeld komt:
- De organisatie heeft geen gedocumenteerd informatiebeveiligingsbeleid vastgesteld
- Bestuurders kunnen niet aantonen dat ze op de hoogte waren van de cybersecurityrisico’s
- Na een eerdere waarschuwing of aanbeveling zijn geen verbeteringen doorgevoerd
- Een incident is niet gemeld binnen de wettelijke termijn van 24 uur
- Er is geen incidentresponseprocedure aanwezig
De toezichthouder kijkt dus niet alleen naar wat er technisch mis is gegaan, maar ook naar hoe het bestuur zijn rol heeft ingevuld. Actief toezicht houden, beleid goedkeuren en aantoonbaar betrokken zijn bij cybersecurity zijn daarin doorslaggevend.
Wat is het verschil tussen de boete voor de organisatie en de boete voor de bestuurder?
De organisatie en de bestuurder kunnen allebei een boete krijgen, maar de hoogte en grondslag verschillen. De boete voor de organisatie kan oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. De persoonlijke boete voor de bestuurder is een aparte sanctie met een maximum van €500.000.
Beide boetes kunnen tegelijk worden opgelegd. Een organisatie die een ernstige overtreding begaat, riskeert dus zowel een organisatieboete als een persoonlijke boete voor de verantwoordelijke bestuurder. Dit is bewust zo ontworpen: de wetgever wil voorkomen dat bestuurders de kosten van nalatigheid afwentelen op de organisatie terwijl ze zelf geen gevolgen ondervinden.
Een ander verschil is het toepassingsbereik. De organisatieboete is gebaseerd op de omzet en de ernst van de overtreding in relatie tot de organisatie als geheel. De persoonlijke boete richt zich specifiek op het gedrag en de nalatigheid van de individuele bestuurder.
Welke andere gevolgen heeft een NIS2-overtreding voor een directeur?
Naast een financiële boete kan een NIS2-overtreding voor een directeur leiden tot een tijdelijk verbod op het uitoefenen van leidinggevende functies. Dit is een van de zwaarste persoonlijke sancties die de Cyberbeveiligingswet mogelijk maakt en kan ingrijpende gevolgen hebben voor de loopbaan van een bestuurder.
Maar er zijn ook indirecte gevolgen die minstens zo groot kunnen zijn:
- Reputatieschade: Overtredingen en sancties zijn openbaar. Klanten, partners en opdrachtgevers zien dit en kunnen besluiten de samenwerking te beëindigen.
- Verlies van contracten: Opdrachtgevers in de keten stellen steeds vaker NIS2-compliance als voorwaarde. Wie niet compliant is, verliest opdrachten.
- Civielrechtelijke aansprakelijkheid: Als een incident schade veroorzaakt bij derden en aantoonbaar is dat het bestuur nalatig was, kunnen benadeelde partijen de bestuurder persoonlijk aansprakelijk stellen via het civiele recht.
- Verhoogde verzekeringsrisico’s: Cyberverzekeringspolissen kunnen worden geweigerd of ongeldig worden verklaard als blijkt dat de organisatie niet aan basisvereisten voldeed.
De combinatie van financiële sancties, reputatieschade en mogelijke civiele claims maakt NIS2-naleving voor bestuurders persoonlijk urgent, niet alleen als organisatieverplichting.
| Afspraak maken |
Wat moet een directeur minimaal doen om aansprakelijkheid te vermijden?
Om persoonlijke aansprakelijkheid onder NIS2 te vermijden, moet een directeur aantoonbaar betrokken zijn bij het cybersecuritybeleid van de organisatie. Dat betekent niet dat je als bestuurder zelf technische maatregelen moet implementeren, maar wel dat je de juiste stappen neemt, goedkeurt en bewaakt.
De minimale stappen die een directeur moet kunnen aantonen:
- Vaststellen of de organisatie onder NIS2 valt via de zelfevaluatietool van de overheid of via een externe beoordeling
- Een nulmeting laten uitvoeren om te bepalen waar de organisatie nu staat en welke maatregelen ontbreken
- Een informatiebeveiligingsbeleid formeel vaststellen en dit als bestuur goedkeuren
- Incidentresponseprocedures en meldprocedures inrichten, inclusief de 24-uursmeldplicht
- Periodiek toezicht houden op de uitvoering van beveiligingsmaatregelen en dit documenteren
- Medewerkers trainen op cybersecuritybewustzijn
Documentatie is hierbij cruciaal. De toezichthouder beoordeelt niet alleen of maatregelen zijn genomen, maar ook of het bestuur aantoonbaar betrokken was. Een logboek van beslissingen, goedgekeurde beleidsdocumenten en verslagen van evaluaties zijn daarin onmisbaar.
Een praktische eerste stap is een gratis securitycheck aanvragen bij een gespecialiseerde IT-partner. TCA voert als managed IT-partner voor het MKB en publieke organisaties nulmetingen uit op basis van het ISO 27001-raamwerk en vertaalt de uitkomsten naar een concreet actieplan. Zo weet je als directeur precies waar je staat en wat je moet doen om persoonlijke aansprakelijkheid te beperken. TCA is zelf ISO 27001-gecertificeerd sinds 2017, wat aantoont dat ze de normen die ze adviseren ook zelf naleven. Wie nu begint, staat straks sterker, zowel tegenover toezichthouders als tegenover opdrachtgevers in de keten.