Bestuurlijke aansprakelijkheid onder NIS2 betekent dat bestuurders in 2026 niet meer op afstand kunnen blijven van cybersecurity. Het bestuur moet aantoonbaar sturen op cyberrisico’s, passende maatregelen goedkeuren en toezicht houden op de uitvoering. Doet het dat niet, dan kunnen er serieuze juridische, financiële en bestuurlijke gevolgen ontstaan.
Dat risico speelt vooral bij organisaties die onder NIS2 vallen en waar digitale continuïteit, informatiebeveiliging en compliance direct samenhangen met de maatschappelijke of economische functie van de organisatie. Voor veel bestuurders draait NIS2 compliance daarom niet alleen om IT, maar om aantoonbare governance en zorgplicht van de directie.
Hieronder lees je wat bestuurlijke aansprakelijkheid onder NIS2 precies inhoudt, wanneer bestuurders persoonlijk risico lopen, welke maatregelen nodig zijn en hoe je laat zien dat het bestuur cybersecurity serieus neemt.
Wat is bestuurlijke aansprakelijkheid onder NIS2?
Bestuurlijke aansprakelijkheid onder NIS2 houdt in dat bestuurders verantwoordelijkheid dragen voor het goedkeuren, aansturen en bewaken van cybersecuritymaatregelen binnen hun organisatie. NIS2-bestuurdersaansprakelijkheid gaat dus verder dan algemene eindverantwoordelijkheid: het bestuur moet actief betrokken zijn bij risicobeheersing, besluitvorming en toezicht op NIS2 compliance.
De kern is simpel. NIS2 behandelt cybersecurity niet als een puur technisch onderwerp, maar als een bestuursvraagstuk. Bestuurders moeten begrijpen welke digitale risico’s de organisatie loopt, welke maatregelen nodig zijn en of die maatregelen in de praktijk werken. Alleen delegeren aan de CISO, CIO of IT manager is niet genoeg.
Daarmee raakt NIS2 direct aan de zorgplicht van de directie. Het bestuur moet niet alleen beleid laten opstellen, maar ook zorgen voor prioriteit, budget, eigenaarschap en opvolging. Denk aan incidentrespons, toegangsbeheer, ketenrisico’s, back-up en herstel, monitoring en awareness. Wie daar structureel geen grip op heeft, loopt niet alleen operationeel risico, maar ook bestuurlijk risico.
Voor organisaties die deze vertaalslag snel moeten maken, kan specialistische ondersteuning helpen. Ventus ondersteunt organisaties met senior expertise op het snijvlak van security, privacy, architectuur en governance, onder meer rondom NIS2 vraagstukken.
Wanneer kunnen bestuurders onder NIS2 persoonlijk risico lopen?
Bestuurders kunnen onder NIS2 persoonlijk risico lopen wanneer zij nalaten om passende cybersecuritymaatregelen te laten treffen, onvoldoende toezicht houden of aantoonbaar signalen negeren. Het grootste risico ontstaat niet door één technisch incident, maar door bestuurlijk falen in voorbereiding, besluitvorming en opvolging.
Dat speelt bijvoorbeeld in situaties waarin bekende kwetsbaarheden blijven liggen, risicoanalyses ontbreken, incidenten niet tijdig worden opgepakt of verantwoordelijkheden onduidelijk zijn. Ook wanneer de organisatie wel beleid heeft, maar geen uitvoering, kan dat tegen het bestuur werken. Een papieren aanpak zonder werkende beheersmaatregelen biedt weinig bescherming.
Persoonlijk risico neemt toe als het bestuur:
- geen structureel inzicht heeft in cyberrisico’s
- geen besluitvorming kan onderbouwen
- waarschuwingen van interne of externe experts negeert
- onvoldoende middelen vrijmaakt voor noodzakelijke beveiliging
- geen toezicht houdt op naleving en opvolging
Juist in complexe organisaties ontstaat hier vaak een probleem. IT, security, compliance en business werken langs elkaar heen, terwijl het bestuur denkt dat alles is afgedekt. In de praktijk blijkt dan dat eigenaarschap ontbreekt. Dat is precies waar NIS2 compliance scherper op toetst.
Ventus ziet in verandertrajecten regelmatig dat organisaties wel advies hebben ontvangen, maar nog geen executiekracht hebben georganiseerd. In zulke gevallen kan een ervaren specialist via IT detachering snel helpen om governance, risicoanalyse en implementatie op orde te brengen.
Welke maatregelen moet het bestuur nemen om aan NIS2 te voldoen?
Om aan NIS2 te voldoen, moet het bestuur cybersecuritymaatregelen laten vaststellen, financieren, prioriteren en controleren. De belangrijkste eis is dat het bestuur niet alleen beleid goedkeurt, maar ook aantoonbaar stuurt op risicovermindering, weerbaarheid en naleving. Dat maakt cybersecurity een vast onderdeel van de bedrijfsvoering.
In de praktijk betekent dit dat het bestuur ten minste de volgende maatregelen moet borgen:
- Voer een actuele risicoanalyse uit
Leg vast wie eigenaar is van security, incidentmanagement, leveranciersrisico en compliance. Zorg dat rollen niet alleen op papier bestaan.
- Richt technische en organisatorische beheersmaatregelen in
Het bestuur moet periodiek rapportages ontvangen over risico’s, incidenten, voortgang en resterende gaps. Zonder ritme ontstaat schijncontrole.
- Train bestuur en management
Een plan is niet genoeg. Oefen scenario’s, evalueer incidentrespons en controleer of maatregelen in de praktijk effectief zijn.
Veel organisaties hebben hierbij behoefte aan tijdelijke senior capaciteit. Bijvoorbeeld een security architect, programmamanager of compliance specialist die niet alleen adviseert, maar ook uitvoert. Voor grotere of afgebakende trajecten kan projectdetachering passend zijn.
Hoe toon je als organisatie aan dat het bestuur NIS2 serieus neemt?
Een organisatie toont aan dat het bestuur NIS2 serieus neemt door beslissingen, prioriteiten, controles en opvolging expliciet vast te leggen. Aantoonbaarheid is cruciaal: niet wat het bestuur zegt, maar wat het bestuur heeft besproken, besloten, gefinancierd en gemonitord, bepaalt of de aanpak geloofwaardig is.
Dat bewijs zit meestal in een combinatie van governance, documentatie en uitvoering. Denk aan bestuursnotulen, risicorapportages, goedgekeurd beleid, investeringsbesluiten, incidentevaluaties en periodieke voortgangsbesprekingen. Ook moet zichtbaar zijn dat het bestuur doorvraagt en corrigeert waar nodig.
Concreet helpt het om de volgende zaken op orde te hebben:
- een formeel vastgesteld cyberrisicobeleid
- periodieke board rapportages over security en compliance
- duidelijke escalatiepaden bij incidenten
- vastgelegde besluiten over budget, prioriteiten en restrisico
- opleidingen of briefings voor bestuur en directie
- interne controles en evaluaties op de werking van maatregelen
Voor veel organisaties is dit het verschil tussen reactief en bestuurbaar werken. Zeker bij toezicht, audits of incidentonderzoek wil je kunnen laten zien dat de zorgplicht van de directie serieus is ingevuld. Dat vraagt om samenhang tussen beleid, techniek en gedrag.
Ventus werkt sinds 1998 met professionals in vaste dienst die organisaties helpen om complexe IT en compliance vraagstukken daadwerkelijk te realiseren. Wie meer wil weten over de aanpak, kan kijken op over Ventus of direct contact opnemen voor een verkennend gesprek.