Ja, een bestuurder kan persoonlijk aansprakelijk worden gesteld onder NIS2. De richtlijn legt niet alleen verplichtingen op aan organisaties als geheel, maar maakt bestuurders ook individueel verantwoordelijk voor het toezicht op en de naleving van cyberbeveiligingsmaatregelen. Dit geldt voor organisaties in kritieke en belangrijke sectoren, en de aansprakelijkheid kan oplopen tot aanzienlijke persoonlijke gevolgen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-aansprakelijkheid voor bestuurders.
Onderzoek laat zien dat een groot deel van de organisaties die onder NIS2 vallen nog niet volledig voorbereid is op de nieuwe verplichtingen. Tegelijkertijd neemt het aantal significante cyberincidenten in het MKB en de mid-market jaar op jaar toe. Voor bestuurders die nog twijfelen over de urgentie van compliance: de risico’s zijn reëel en de toezichthouder is actief. Wachten is geen optie meer.
Welke verplichtingen legt NIS2 op aan bestuurders?
NIS2 verplicht bestuurders om actief betrokken te zijn bij het cyberbeveiligingsbeleid van hun organisatie. Ze moeten risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en een cultuur van digitale veiligheid bevorderen. Bestuurders zijn dus niet alleen eindverantwoordelijk op papier, maar moeten aantoonbaar betrokken zijn bij de beveiligingsstrategie.
Concreet betekent dit dat bestuurders verplicht zijn om:
- Een risicoanalyse te laten uitvoeren en de resultaten te beoordelen
- Technische en organisatorische beveiligingsmaatregelen goed te keuren
- Procedures voor incidentmelding in te richten en te bewaken
- Ketenverantwoordelijkheid serieus te nemen, ook richting leveranciers
- Regelmatig te controleren of het beveiligingsniveau nog voldoet
De richtlijn gaat verder dan vroegere wetgeving op dit gebied. Waar cyberveiligheid vroeger vaak werd gedelegeerd aan de IT-afdeling, maakt NIS2 duidelijk dat het een bestuurlijke aangelegenheid is. Bestuurders die zeggen “dat is een zaak voor IT” voldoen daarmee niet aan hun wettelijke verplichtingen. Meer weten over ICT-beveiliging voor het MKB is dan ook een logische eerste stap.
Moet je je organisatie registreren onder de Cyberbeveiligingswet?
Ja, organisaties die onder de Cyberbeveiligingswet vallen zijn verplicht zich te registreren bij de aangewezen toezichthouder. Deze registratieplicht geldt voor zowel essentiële als belangrijke entiteiten. Registratie is een van de eerste concrete stappen die een bestuurder moet zetten zodra duidelijk is dat de organisatie onder de wet valt. Het is geen formaliteit die je later kunt regelen: het niet registreren vormt op zichzelf al een overtreding en kan direct leiden tot ingrijpen door de toezichthouder.
Voor bestuurders is dit een belangrijk aandachtspunt, omdat de registratieplicht direct op hen rust. Wie dit verzuimt, loopt het risico al vroeg in de sanctieladder terecht te komen, nog voordat er sprake is van een beveiligingsincident. De registratie is daarmee de startpositie van aantoonbare compliance, niet het eindpunt.
Wanneer kan een bestuurder persoonlijk aansprakelijk worden gesteld?
Een bestuurder kan persoonlijk aansprakelijk worden gesteld wanneer er sprake is van nalatigheid bij het naleven van de NIS2-verplichtingen. Dit is het geval als een bestuurder aantoonbaar heeft verzuimd om beveiligingsmaatregelen te treffen, toezicht te houden op de naleving of adequaat te reageren op een beveiligingsincident. Persoonlijke aansprakelijkheid is dus geen automatisme, maar volgt uit aantoonbaar tekortschieten.
De toezichthouder kan persoonlijke aansprakelijkheid inroepen bij situaties zoals:
- Het structureel negeren van bekende beveiligingsrisico’s
- Het niet tijdig melden van een significant incident (binnen 24 uur)
- Het ontbreken van een goedgekeurd beveiligingsbeleid
- Het niet opvolgen van aanwijzingen of waarschuwingen van de toezichthouder
Belangrijk om te begrijpen is dat NIS2 een onderscheid maakt tussen de organisatie als rechtspersoon en de bestuurder als individu. Beide kunnen worden aangesproken. Bij ernstige overtredingen kan een toezichthouder zelfs een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen. Dat maakt de persoonlijke component van NIS2-aansprakelijkheid bijzonder ingrijpend.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.
Wat zijn de financiële gevolgen van NIS2-overtredingen voor bestuurders?
De financiële gevolgen van NIS2-overtredingen kunnen aanzienlijk zijn. Voor de organisatie gelden boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bestuurders kunnen daarnaast persoonlijk aansprakelijk worden gesteld voor geleden schade als gevolg van nalatigheid. Er zijn geen vaste bedragen voor persoonlijke boetes, maar de financiële en reputatiegevolgen kunnen groot zijn.
De sancties die toezichthouders kunnen opleggen, zijn gelaagd opgebouwd:
- Waarschuwingen en aanwijzingen: als eerste stap bij geconstateerde tekortkomingen
- Bindende instructies: verplichte maatregelen met een deadline
- Boetes: opgelegd aan de organisatie bij herhaalde of ernstige overtredingen
- Persoonlijke aansprakelijkheid: voor bestuurders bij aantoonbare nalatigheid
- Tijdelijk functieverbod: in de zwaarste gevallen
Naast directe financiële sancties spelen ook indirecte kosten een rol. Denk aan reputatieschade, verlies van klanten die hoge eisen stellen aan digitale veiligheid, en de kosten van herstelmaatregelen na een incident. In sectoren waar NIS2 van toepassing is, kan aantoonbare niet-naleving ook leiden tot het verliezen van contracten of aanbestedingen.
Geldt NIS2-aansprakelijkheid ook voor het MKB?
Ja, NIS2-aansprakelijkheid geldt ook voor het MKB, maar niet voor alle bedrijven. De richtlijn is van toepassing op organisaties in kritieke en belangrijke sectoren die voldoen aan bepaalde drempelwaarden voor omzet en personeelsomvang. MKB-bedrijven in sectoren zoals ICT-dienstverlening, energie, gezondheidszorg of transport kunnen dus wel degelijk onder de richtlijn vallen.
De NIS2-richtlijn onderscheidt twee categorieën:
- Essentiële entiteiten: grotere organisaties in kritieke sectoren met meer dan 250 medewerkers of een omzet boven 50 miljoen euro
- Belangrijke entiteiten: middelgrote organisaties met meer dan 50 medewerkers of een omzet boven 10 miljoen euro in aangewezen sectoren
Weet je niet zeker of jouw organisatie onder NIS2 valt?
Gebruik dan deze vier stappen als startpunt:
- Controleer in welke sector je organisatie actief is en of die sector op de NIS2-lijst staat.
- Toets de omvang van je organisatie aan de drempelwaarden: meer dan 50 medewerkers of meer dan 10 miljoen euro omzet voor belangrijke entiteiten.
- Beoordeel of je als leverancier werkt voor organisaties die wel onder NIS2 vallen, want via ketenverantwoordelijkheid kunnen de eisen indirect ook op jou van toepassing zijn.
- Laat een formele toepasbaarheidsanalyse uitvoeren om zekerheid te krijgen. Verderop in dit artikel lees je hoe je daarbij begeleid kunt worden.
Ketenverantwoordelijkheid: wat betekent dit in de praktijk?
Voor MKB-bedrijven die niet direct onder de richtlijn vallen, is de ketenverantwoordelijkheid een belangrijke factor. Klanten die zelf wel onder NIS2 vallen, zijn verplicht hun leveranciers te beoordelen op beveiligingsniveau. Dit betekent dat ook kleinere bedrijven in de praktijk te maken krijgen met NIS2-eisen via hun opdrachtgevers. Cybersecurity voor je bedrijf is daarmee voor vrijwel ieder MKB-bedrijf relevant geworden.
NIS2 vereist dat organisaties hun leveranciers actief beoordelen op beveiligingsniveau en dit contractueel vastleggen. Als een leverancier een beveiligingsincident veroorzaakt dat doorwerkt in jouw systemen, kan de toezichthouder ook jouw organisatie aanspreken op onvoldoende ketenrisicomanagement. Praktische stappen om dit aan te pakken zijn:
- Maak een overzicht van je kritieke leveranciers en de systemen waartoe zij toegang hebben
- Stel minimale beveiligingseisen op en leg deze vast in contracten of verwerkersovereenkomsten
- Vraag leveranciers om bewijs van naleving, zoals een ISO 27001-certificaat of een ingevulde beveiligingsvragenlijst
- Evalueer het beveiligingsniveau van leveranciers periodiek, niet alleen bij het sluiten van het contract
In Nederland is de Cyberbeveiligingswet op 15 augustus 2026 in werking getreden. Het is verstandig om nu direct te inventariseren of jouw organisatie onder de wet valt en welke stappen je moet zetten.
Hoe kunnen bestuurders aantonen dat ze aan NIS2 voldoen?
Bestuurders kunnen aantonen dat ze aan NIS2 voldoen door een aantoonbare en gedocumenteerde aanpak van cyberveiligheid te hanteren. Dit betekent: vastgelegde risicoanalyses, goedgekeurde beveiligingsmaatregelen, aantoonbaar toezicht op de uitvoering en gedocumenteerde incidentprocedures. Documentatie is daarbij cruciaal, want zonder bewijs is naleving niet te bewijzen.
Praktische stappen die bestuurders kunnen zetten:
- Voer een formele risicoanalyse uit en leg de uitkomsten vast in een rapport
- Stel een beveiligingsbeleid op dat door het bestuur is ondertekend
- Zorg voor een incidentresponsplan met duidelijke meldprocedures
- Implementeer technische maatregelen zoals Microsoft 365-beveiliging, MFA en encryptie
- Laat periodieke audits of assessments uitvoeren en documenteer de bevindingen
- Train medewerkers aantoonbaar in cyberbewustzijn
Een gestructureerd compliance-traject helpt bestuurders niet alleen om aan de wet te voldoen, maar ook om bij een eventuele controle of incident aan te tonen dat ze hun verantwoordelijkheid serieus hebben genomen. Organisaties die werken met een framework zoals ISO 27001 hebben daarin een voorsprong, omdat dit framework veel raakvlakken heeft met de NIS2-vereisten. ISO 27001-begeleiding kan hierbij een waardevolle basis vormen.
Hoe IT Aanspreekpunt helpt met NIS2-compliance
Wij begrijpen dat NIS2-compliance voor veel bestuurders en ondernemers complex en tijdrovend aanvoelt. Toch is het iets wat je niet kunt uitstellen, nu de Cyberbeveiligingswet al van kracht is. Wij ontzorgen je volledig in dit traject, zodat jij je kunt blijven focussen op je bedrijf.
Wat wij voor je doen:
- Inventariseren of jouw organisatie onder NIS2 valt en wat dat concreet betekent
- Uitvoeren van een risicoanalyse en vastleggen van bevindingen
- Implementeren van technische maatregelen zoals MFA, patchbeheer, encryptie en toegangsbeleid
- Inrichten van monitoring en updates zodat je beveiligingsniveau actueel blijft
- Opstellen van incidentprocedures en compliance-rapportages
- Begeleiden bij ISO 27001-trajecten als aanvullende borging
Als Microsoft 365-specialist en SharePoint Online-expert beschikken wij over de kennis en tools om jouw digitale beveiliging snel en effectief op orde te brengen. Wil je weten waar jouw organisatie nu staat en wat er nog moet gebeuren? Neem contact met ons op voor een vrijblijvend gesprek.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.