Onder de NIS2-richtlijn zijn bestuurders persoonlijk verantwoordelijk voor het cybersecuritybeleid van hun organisatie. Dat betekent dat de directeur of het managementteam de beveiligingsmaatregelen actief moet goedkeuren, toezicht moet houden op de uitvoering en bij nalatigheid persoonlijk aansprakelijk kan worden gesteld. Deze verplichting geldt zodra de Cyberbeveiligingswet in Nederland van kracht is, naar verwachting medio 2026. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verplichtingen voor bestuurders in het MKB.
Wat gebeurt er als een bestuurder de NIS2-verplichtingen negeert?
Als een bestuurder de NIS2-verplichtingen negeert, riskeert de organisatie boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bovendien kan de toezichthouder bestuurders persoonlijk aansprakelijk stellen en hen tijdelijk verbieden leidinggevende functies te vervullen. Negeren is dus geen optie zonder directe persoonlijke consequenties.
Naast de financiële sancties zijn er indirecte gevolgen die minstens zo ingrijpend zijn. Opdrachtgevers in sectoren als zorg, transport en maakindustrie gaan compliance steeds vaker als contractvoorwaarde stellen. Een organisatie die niet aantoonbaar voldoet aan de NIS2-eisen, loopt het risico contracten te verliezen. Reputatieschade na een beveiligingsincident, gecombineerd met het ontbreken van aantoonbare maatregelen, kan de geloofwaardigheid van een bedrijf ernstig aantasten.
Het is ook belangrijk te begrijpen dat de toezichthouder niet alleen kijkt of er iets misging, maar ook of het bestuur aantoonbaar betrokken was bij het beveiligingsbeleid. Wie geen documentatie heeft van goedgekeurde maatregelen en risicobeoordelingen, staat bij een incident direct met lege handen.
Welke maatregelen moeten bestuurders persoonlijk goedkeuren?
| Afspraak maken |
Bestuurders moeten onder de NIS2-richtlijn een aantal specifieke beveiligingsmaatregelen actief goedkeuren en daarop toezicht houden. Het gaat niet om technische details, maar om het beleid en de risicoafwegingen die de organisatie maakt. De goedkeuring moet aantoonbaar zijn, bij voorkeur vastgelegd in notulen of een formeel besluitdocument.
De maatregelen die bestuurlijk geaccordeerd moeten worden, omvatten onder andere:
- Het informatiebeveiligingsbeleid van de organisatie
- De risicobeoordeling en de bijbehorende beheersmaatregelen
- Het incidentresponsplan, inclusief de meldprocedures bij de toezichthouder
- Back-upbeleid en continuiteitsplannen
- Beveiligingseisen voor leveranciers en ketenpartners
- Het trainingsprogramma voor medewerkers op het gebied van cybersecurity
Bestuurders hoeven dit niet zelf technisch uit te voeren, maar ze moeten wel begrijpen wat ze goedkeuren en kunnen uitleggen waarom bepaalde keuzes zijn gemaakt. Een managed IT-partner voor security kan de technische uitvoering verzorgen en de documentatie op orde brengen, maar de bestuurlijke verantwoordelijkheid blijft bij het management.
Valt mijn bedrijf onder de NIS2-richtlijn?
Een bedrijf valt onder de NIS2-richtlijn als het actief is in een aangewezen sector en voldoet aan de drempelwaarden voor middelgrote of grote ondernemingen, dat wil zeggen minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Sectoren die expliciet worden genoemd, zijn onder andere zorg, transport, voedselproductie, maakindustrie, afvalbeheer en digitale dienstverlening.
De praktijk is echter genuanceerder. Bedrijven die zelf niet direct onder NIS2 vallen, kunnen toch te maken krijgen met de eisen als ze toeleverancier zijn van een organisatie die wel onder de richtlijn valt. Ketenverantwoordelijkheid is een kernonderdeel van NIS2: essentiële en belangrijke entiteiten zijn verplicht beveiligingseisen te stellen aan hun leveranciers.
De zelfevaluatietools van de overheid geven helaas geen definitief antwoord. Voor MKB-bedrijven zonder juridische afdeling is het verstandig om een nulmeting te laten uitvoeren door een IT-partner die verstand heeft van zowel de technische als de compliancekant. TCA biedt een gratis online assessment waarmee u binnen 48 uur een persoonlijk rapport ontvangt over uw huidige positie ten opzichte van de NIS2-vereisten.
Hoe verschilt de NIS2-aansprakelijkheid van gewone bestuurdersaansprakelijkheid?
Gewone bestuurdersaansprakelijkheid treedt op bij ernstige fouten of onbehoorlijk bestuur en vereist doorgaans dat een derde partij schade aantoont. NIS2-bestuurdersaansprakelijkheid werkt anders: de richtlijn legt actieve zorgplichten op aan bestuurders en maakt hen aansprakelijk voor het niet naleven van die plichten, ongeacht of er daadwerkelijk een incident heeft plaatsgevonden.
Het verschil is fundamenteel. Bij klassieke bestuurdersaansprakelijkheid is er sprake van een reactief systeem: er moet iets fout zijn gegaan voordat aansprakelijkheid aan de orde is. NIS2 introduceert een proactief systeem: het bestuur moet aantoonbaar beleid hebben vastgesteld, maatregelen hebben goedgekeurd en toezicht hebben gehouden. Wie dat niet doet, is al in overtreding, ook als er nog niets is misgegaan.
Een ander verschil is de reikwijdte van de sancties. De toezichthouder kan onder NIS2 besluiten een bestuurder tijdelijk te verbieden leidinggevende functies uit te oefenen. Dit is een ingrijpende maatregel die losstaat van eventuele civielrechtelijke aansprakelijkheid richting aandeelhouders of derden. NIS2-bestuurdersaansprakelijkheid is daarmee een zelfstandige categorie die naast de bestaande aansprakelijkheidsregels bestaat.
Wat is een realistisch stappenplan voor NIS2-compliance?
Een realistisch stappenplan voor NIS2-compliance begint met een nulmeting: inzicht in waar uw organisatie nu staat ten opzichte van de vereisten. Vervolgens vertaalt u de gevonden hiaten naar concrete maatregelen, implementeert u die stap voor stap en borgt u de compliance met periodieke audits. De totale doorlooptijd voor een MKB-bedrijf ligt doorgaans tussen de drie en zes maanden.
Een werkbaar stappenplan ziet er in de praktijk als volgt uit:
- Nulmeting: Breng de huidige beveiligingssituatie in kaart en vergelijk die met de NIS2-vereisten. Stel vast of uw organisatie onder de richtlijn valt.
- Risicoanalyse: Identificeer de belangrijkste risico’s voor uw bedrijfsprocessen en prioriteer op basis van impact.
- Beleid opstellen: Stel een informatiebeveiligingsbeleid op en leg dit bestuurlijk vast.
- Technische maatregelen implementeren: Denk aan endpoint protection, netwerksegmentatie, back-upbeleid en monitoring.
- Organisatorische maatregelen: Stel incidentresponseprocedures op, train medewerkers en maak ketenafspraken met leveranciers.
- Registratie en melding: Registreer uw organisatie bij de relevante toezichthouder en zorg dat meldprocedures bij incidenten klaarstaan.
- Periodieke herbeoordelingen: Compliance is geen eenmalige actie. Plan vaste momenten voor audits en bijsturing.
Voor organisaties zonder interne compliance-expertise is het verstandig dit traject samen met een vaste IT-partner te doorlopen. Meer weten over hoe TCA dit aanpakt? Bekijk wie wij zijn en hoe we MKB-organisaties begeleiden richting aantoonbare compliance.
Wie is verantwoordelijk voor NIS2 als de IT is uitbesteed?
| Afspraak maken |
Als de IT is uitbesteed, blijft de bestuurder van de eigen organisatie eindverantwoordelijk voor NIS2-compliance. Uitbesteding verplaatst de uitvoering, maar niet de wettelijke plicht. De organisatie moet kunnen aantonen dat zij de juiste eisen stelt aan haar IT-leverancier en dat die leverancier aantoonbaar voldoet aan de afgesproken beveiligingsnormen.
Dit heeft praktische consequenties voor de contracten met IT-leveranciers. NIS2 vereist dat organisaties beveiligingseisen opnemen in leveranciersovereenkomsten en dat zij periodiek controleren of die eisen worden nageleefd. Een IT-partner die hier niet proactief over communiceert of geen inzicht geeft in de genomen maatregelen, laat u als bestuurder onnodig risico lopen.
Kies daarom voor een IT-partner die zelf aantoonbaar voldoet aan erkende beveiligingsnormen. TCA is gecertificeerd volgens ISO 27001, de internationale standaard voor informatiebeveiliging. Bekijk de certificaten van TCA als u wilt weten wat dit concreet betekent voor de beveiliging van uw omgeving.
De verantwoordelijkheidsverdeling is eenvoudig samen te vatten: uw IT-partner voert uit, maar u als bestuurder stuurt aan, controleert en legt verantwoording af. Die combinatie werkt alleen als u en uw IT-partner actief samenwerken aan compliance, niet als u het volledig overdraagt en hoopt dat het goed gaat.
Wilt u weten waar uw organisatie nu staat en wat er nodig is om NIS2-compliant te worden? Maak een afspraak voor een vrijblijvende nulmeting en ontvang binnen 48 uur een persoonlijk rapport.