De NIS2-richtlijn, zoals geïmplementeerd via de Cyberbeveiligingswet, geeft bestuurders een expliciete rol bij cyberbeveiliging. Daarbij geldt dat de NIS2 ook bepalingen bevat waardoor bestuurders persoonlijk aansprakelijk kunnen worden gesteld bij onvoldoende naleving.
Op deze pagina lees je wat NIS2 en de Cbw van bestuurders vragen en welke risico’s daarbij horen.
Als uitgangspunt geldt dat bestuurders de algemene wettelijke taak hebben om hun organisatie behoorlijk te besturen. Nieuwe Europese kaders, zoals NIS2, scherpen deze verantwoordelijkheid verder aan. Zij verplichten organisaties om cyberrisico’s aantoonbaar te beheersen en leggen expliciet bij het bestuur de plicht om beveiligingsmaatregelen goed te keuren en hierop toezicht te houden.
Daarnaast bevat NIS2 eisen aan de opleiding en deskundigheid van bestuurders. De impact hiervan is groot: veel organisaties zullen hun governance en ketenafspraken moeten herzien.
Er is de afgelopen tijd veel aandacht voor de persoonlijke aansprakelijkheid van bestuurders onder de NIS2-richtlijn (Cyberbeveiligingswet). Dat gebeurt wel vaker bij de invoering van nieuwe wetgeving: een nieuwe set regels leidt al snel tot onrust en waarschuwingen in de trant van “als je dit niet op orde hebt, ben je als bestuurder straks persoonlijk aansprakelijk.”
We zagen dat destijds ook bij de AVG. Uiteindelijk bleek dat het juridisch kader daar behoorlijk terughoudend was. Persoonlijke aansprakelijkheid voor bestuurders komt daar pas in beeld bij evidente gevallen van wanbestuur.
Toch zien we nu dat de toon bij NIS2 steviger is, en bestuurders wel degelijk meer risico lopen. Niet alleen vanwege de verplichting om beveiligingsmaatregelen zelf goed te keuren, maar ook bijvoorbeeld door de opleidingsplicht. Hieronder gaan we dieper in op de belangrijkste verantwoordelijkheden en risico’s.
Voor organisaties die onder de NIS2 wetgeving vallen geldt een brede zorgplicht uit artikel 21 van de richtlijn. Die verplicht organisaties om passende en evenredige technische, organisatorische en operationele maatregelen te nemen om digitale risico’s te beheersen en incidenten te voorkomen of de impact daarvan te beperken.
Artikel 21, lid 2, werkt deze verplichting verder uit en somt een aantal maatregelen op die minimaal moeten zijn geregeld. Denk aan een risicoanalyse en een beveiligingsbeleid.
Bovenstaande raakt direct aan de bestuurlijke verantwoordelijkheid: het bestuur moet deze maatregelen namelijk goedkeuren.
In artikel 20, lid 1 NIS2 (Governance) lezen we immers het volgende:
De lidstaten zorgen ervoor dat de bestuursorganen van essentiële en belangrijke entiteiten de door deze entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren om te voldoen aan artikel 21, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld voor inbreukendoor de entiteiten op dat artikel.
Bestuurders zijn dus verplicht om de risicobeheersingsmaatregelen goed te keuren en toe te zien op de uitvoering daarvan. De Nederlandse wetgever moet er bovendien voor zorgen dat bestuursorganen aansprakelijk kunnen worden gesteld wanneer zij artikel 21 schenden.
In lid 2 van artikel 20 staat bovendien dat bestuurders verplicht zijn om via opleiding voldoende kennis en vaardigheden op te doen om cyberrisico’s te herkennen, de beheersing en impact daarvan te kunnen beoordelen en rapportages over deze risico’s goed te kunnen duiden.
Kijken we verder in NIS2, dan zien we dat er een heel concrete bepaling staat over de persoonlijke aansprakelijkheid van individuele bestuurders. Die staat expliciet in artikel 32, lid 6:
De lidstaten zorgen ervoor dat elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger van een essentiële entiteit op basis van de bevoegdheid om deze te vertegenwoordigen, de bevoegdheid om namens deze entiteit beslissingen te nemen of de bevoegdheid om controle uit te oefenen op deze entiteit, de bevoegdheid heeft om ervoor te zorgen dat deze entiteit deze richtlijn nakomt. De lidstaten zorgen ervoor dat dergelijke natuurlijke personen aansprakelijk kunnen worden gesteld voor het niet nakomen van hun verplichtingen om te zorgen voor de naleving van deze richtlijn.
De NIS2 bevat dus een bepaling waaruit direct voortvloeit dat personen binnen de organisatie persoonlijk aansprakelijk kunnen worden gesteld. Wanneer een individuele bestuurder zijn of haar taken en verantwoordelijkheden onder NIS2 niet voldoende invult, kan deze persoon daarop derhalve worden aangesproken.
Dit betekent dus wel degelijk een uitbreiding van de bestuurdersaansprakelijkheid onder de NIS2, vooral ook omdat de taken en verantwoordelijkheden van bestuurders nu expliciet zijn vastgelegd in de richtlijn.
NIS2 verlangt niet dat bestuurders securityspecialisten zijn, maar wél dat zij voldoende kennis hebben om cyberrisico’s te beoordelen en het gesprek hierover te voeren. Artikel 20 lid 2 NIS2 bepaalt daarom dat bestuurders een opleiding moeten volgen waarmee zij de vaardigheden ontwikkelen om risico’s te herkennen, risicobeheersmaatregelen te beoordelen en de impact daarvan te begrijpen.
Dit is nadrukkelijk geen papieren verplichting. Bestuurders moeten in staat zijn om met CISO’s en andere betrokken medewerkers inhoudelijk te spreken over informatiebeveiliging en om te beoordelen of maatregelen passend en evenredig zijn. Daarbij hoort ook dat het bestuur een cultuur stimuleert waarin informatiebeveiliging een vanzelfsprekend onderdeel van de bedrijfsvoering is.
De Cyberbeveiligingswet werkt deze verplichting verder uit. Artikel 26 bepaalt dat bestuurders een erkende opleiding of training moeten volgen en met een certificaat moeten kunnen aantonen dat hun kennis actueel is. Zonder deze basis kan een bestuurder zijn wettelijke taken onder NIS2 niet goed vervullen.
Wie de NIS2-richtlijn grondig doorneemt, ziet al snel dat een van de meest kenmerkende elementen is dat de richtlijn enkele verantwoordelijkheden uitdrukkelijk bij het bestuur neerlegt. Dit gaat verder dan een algemene zorgplicht voor het bestuur. Een belangrijk inzicht is dan ook dat het bestuur van een organisatie in beginsel niet het beheer van en het toezicht op cyberrisico’s kan “wegdelegeren” aan gespecialiseerde leidinggevenden of aan een audit- of risicocommissie. Taken kunnen worden verdeeld, maar de verantwoordelijkheid blijft bij het bestuur als geheel.
Kort samengevat: NIS2 gaat uit van een collectieve verantwoordelijkheid van het bestuur, waarbij individuele bestuurders hoofdelijk aansprakelijk kunnen worden gesteld voor de verantwoordelijkheden van het bestuur als geheel, ook wanneer bepaalde taken intern zijn verdeeld.
Dat betekent in praktische zin dat iedere bestuurder wettelijk in staat moet zijn om besluiten te nemen over beveiligingsmaatregelen. De richtlijn verlangt dat alle bestuurders de bevoegdheid en de verantwoordelijkheid dragen om passende maatregelen te nemen.
Tegelijkertijd betekent dit natuurlijk nog niet dat bestuurders bij iedere fout persoonlijk kunnen worden aangesproken. Aansprakelijkheid komt in beginsel pas in beeld wanneer er sprake is van wezenlijke tekortkomingen, zoals het structureel negeren van beveiligingsrisico’s of het niet goedkeuren van noodzakelijke maatregelen. Van belang daarbij is dat artikel 21 NIS2 (zorgplicht) een open norm bevat waarin wordt uitgegaan van “passende en evenredige technische, operationele en organisatorische maatregelen”. Wat in een concrete situatie als “passend” moet worden beschouwd, is natuurlijk niet altijd eenduidig en laat ruimte voor interpretatie en discussie.
Daar komt bij dat er voor aansprakelijkheid daadwerkelijke schade moet zijn die aan het handelen of nalaten van de bestuurder kan worden toegerekend. Dat zal in de praktijk niet altijd makkelijk te bewijzen zijn, zeker wanneer meerdere factoren een rol spelen bij het ontstaan van een incident.
NIS2 creëert een vorm van persoonlijke aansprakelijkheid voor bestuurders. In de richtlijn staat expliciet dat lidstaten ervoor moeten zorgen dat bestuurders aansprakelijk kunnen worden gesteld wanneer zij hun verplichtingen om naleving van de richtlijn te waarborgen niet nakomen. Dit volgt rechtstreeks uit artikel 32, lid 6 NIS2.
Dat betekent echter niet dat je als bestuurder automatisch persoonlijk aansprakelijk bent. Aansprakelijkheid komt pas in beeld wanneer er sprake is van duidelijke tekortkomingen, zoals het onvoldoende goedkeuren van beveiligingsmaatregelen, het negeren van risico’s of het structureel niet voldoen aan de wettelijke zorgplicht. De kern is dus: NIS2 legt expliciete verantwoordelijkheden neer bij bestuurders, maar persoonlijke aansprakelijkheid ontstaat natuurlijk niet zomaar.
Ja, individuele bestuurders kunnen onder NIS2 hoofdelijk aansprakelijk worden gesteld voor verantwoordelijkheden van het bestuur als geheel, ook wanneer bepaalde taken binnen het bestuur zijn gedelegeerd.
Taken kunnen worden verdeeld, maar de verantwoordelijkheid blijft bij het bestuur als geheel. Bestuurders kunnen dus niet volstaan met doorverwijzen naar een CISO, IT-manager of auditcommissie. NIS2 gaat uit van collectieve verantwoordelijkheid, met ruimte voor individuele aansprakelijkheid.
Ja. Artikel 20 lid 2 NIS2 verplicht bestuurders om via opleiding voldoende kennis op te doen om risico’s te beoordelen, maatregelen te kunnen goedkeuren en toezicht te houden. De Nederlandse Cyberbeveiligingswet maakt dit concreet door te eisen dat bestuurders met een certificaat kunnen aantonen dat hun kennis actueel is.
NIS2 legt verantwoordelijkheden expliciet bij individuele bestuurders. Benieuwd wat dit voor jouw positie betekent?
Neem gerust contact op, we vertellen je graag wat we voor jouw organisatie kunnen betekenen.
Co-founder & Senior ICT-jurist
We zijn gevestigd op de Vijzelstraat 68 (1017 HL) in het mooie Amsterdam en sinds 2018 ingeschreven in het register van de Kamer van Koophandel onder nummer: 99167883.
Ons BTW-nummer: NL858752530B01.
Vijzelstraat 68
1017 HL, Amsterdam
KvK: 99167883
BTW-nummer: NL858752530B01
Privacy- en cookieverklaring
Hester is een van de oprichters van SenS juristen en werkt als General Legal Consultant. Ze heeft meerdere masters in het recht afgerond aan de Universiteit van Amsterdam en het voorrecht gehad een half jaar aan de University of Hong Kong te mogen studeren. Gefrustreerd over de stoffige juridische wereld, besloot ze destijds het heft in eigen hand te nemen en als ondernemer te starten.
Inmiddels werkt ze al zo’n 8 jaar bij SenS juristen en heeft ze honderden ondernemers mogen bijstaan met vraagstukken op het snijvlak van IT en recht.
Haar passie voor tech (en met name AI!) is van grote waarde bij het ‘vertalen’ van juridische regelgeving op het gebied van ICT/internet-en privacyrecht naar de dagelijkse technische realiteit. Klanten omschrijven haar als doortastend, vakkundig en pragmatisch. Om haar kennis op peil te houden is ze o.a. lid van de Vereniging voor Auteursrecht.
Lucia is mede-oprichter van SenS juristen en werkt gedreven samen met het team aan het leveren van onze juridische diensten op top niveau.
Ze is enorm gemotiveerd en een perfectioniste (soms, oké, dikwijls, op het irritante af) die alles tot in de puntjes geregeld wil zien. Haar passie voor het recht kwam al naar voren tijdens haar studietijd in Amsterdam, waar ze ervoor koos om twee juridische masters te volgen. Het liefst controleert ze alle juridische stukken en correspondentie die dagelijks bij SenS juristen de deur uitgaan meerdere malen, zodat de cliënt er zeker van kan zijn dat alles perfect geregeld is.
Verder is ze een groot fan van koffie, reist ze graag en is ze actief als gitariste (ja, echt).