Bestuurders en NIS2: waarom governance en aansprakelijkheid nú topprioriteit zijn
Cybersecurity stond lang bekend als een technisch thema. Firewalls, wachtwoorden en updates waren vooral het domein van de IT-afdeling. Met de Cyberbeveiligingswet verandert dat definitief.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en treedt op 15 augustus 2026 in werking. Organisaties die als essentiële of belangrijke entiteit onder de wet vallen, krijgen te maken met onder meer een zorgplicht, meldplicht, registratieplicht en expliciete bestuurlijke verantwoordelijkheden.
Het bestuur moet de maatregelen voor cyberrisicobeheersing goedkeuren. Daarnaast moeten uitvoerende bestuurders over voldoende kennis en vaardigheden beschikken om cyberrisico’s, beveiligingsmaatregelen en de gevolgen daarvan voor de organisatie te kunnen beoordelen. Niet voldoen aan deze verplichtingen kan leiden tot toezicht, handhavingsmaatregelen en bestuurlijke boetes.
Wat verlangt de Cyberbeveiligingswet van bestuurders?
De Cyberbeveiligingswet maakt cyberbeveiliging expliciet tot een bestuursonderwerp.Voor organisaties die als essentiële of belangrijke entiteit onder de wet vallen, betekent dit onder meer:
- Maatregelen goedkeuren – het bestuur moet de maatregelen goedkeuren waarmee de organisatie aan de wettelijke zorgplicht voldoet.
- Kennis opdoen – uitvoerende bestuurders moeten voldoende kennis en vaardigheden hebben om cyberrisico’s en risicobeheersmaatregelen te beoordelen.
- Organisatie-impact begrijpen – bestuurders moeten kunnen beoordelen welke gevolgen cyberrisico’s en beveiligingsmaatregelen hebben voor de dienstverlening en continuïteit.
- Kennis actueel houden – de vereiste kennis en vaardigheden moeten aantoonbaar worden bijgehouden.
- Training aantonen – ieder bestuurslid dat onder de verplichting valt, moet beschikken over een certificaat van een passende training.
De trainingsplicht geldt voor uitvoerende bestuurders. Commissarissen en niet-uitvoerende bestuurders vallen niet onder deze wettelijke verplichting. Cybersecurity blijft echter ook voor toezichthouders een relevant onderdeel van goed bestuur en risicotoezicht.
Persoonlijke handhaving
Een individueel bestuurslid kan een last onder dwangsom of een bestuurlijke boete van maximaal €25.000 krijgen wanneer niet wordt voldaan aan de wettelijke kennis-, actualiteits- en trainingsverplichtingen.
Waarom governance onmisbaar is
Cyberdreigingen raken de kern van een organisatie: continuïteit, reputatie, soms zelfs de fysieke veiligheid van mensen. Dat maakt cybersecurity een klassiek bestuursrisico, net als financiën of juridische compliance.
Zonder governance zie je vaak hetzelfde patroon:
- IT signaleert risico’s, maar krijgt geen gehoor.
- Besluiten worden vooruitgeschoven.
- Incidenten leiden tot paniek en ad-hocmaatregelen.
- NIS2 dwingt bestuurders om deze vicieuze cirkel te doorbreken.
Wat betekent dit concreet voor bestuurders?
Strategische verantwoordelijkheid
Cybersecurity moet een vast onderdeel worden van de bestuursagenda. Geen voetnoot in de kwartaalrapportage, maar een terugkerend agendapunt.
Risicobeoordeling
Bestuurders moeten kunnen uitleggen hoe de organisatie risico’s identificeert, beoordeelt en beheerst. Dat vraagt om inzicht in processen en afhankelijkheden, niet alleen in technische details.
Crisisbesluitvorming
Tijdens een incident komt het aan op snelle en goed geïnformeerde keuzes. Bestuurders moeten weten welke stappen er dan van hen verwacht worden.
De verplichte bestuurderstraining
Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten over voldoende kennis en vaardigheden beschikken om cyberrisico’s en maatregelen op bestuurlijk niveau te kunnen beoordelen.
Bestuurders moeten deze kennis aantonen met een certificaat van een passende training. Op het certificaat moet staan welke onderwerpen tijdens de training zijn behandeld. Het certificaat moet in het Nederlands of Engels zijn opgesteld.
De training moet bestuurders onder meer kennis bieden over:
- Risico’s voor netwerk- en informatiesystemen.
- De mogelijke gevolgen van cyberrisico’s voor de organisatie.
- Het identificeren en beheersen van risico’s.
- Cyberbeveiligingsmaatregelen en de gevolgen daarvan.
- Het nemen van afgewogen beslissingen op bestuurlijk niveau.
Er geldt geen vaste wettelijke herhaaltermijn. Bestuurders moeten hun kennis en vaardigheden na de training wel aantoonbaar actueel houden. Hoe de organisatie dat organiseert, mag zij zelf bepalen.
Bestuurders hoeven geen technische cybersecurityspecialisten te worden. Ze moeten wel voldoende kennis hebben om kritische vragen te stellen, maatregelen te beoordelen en goed onderbouwde besluiten te nemen.
De valkuil van “afschuiven”
Veel bestuurders denken nog: “We hebben een CISO, dus het komt goed.” Dat is precies de houding die NIS2 wil doorbreken. De CISO kan adviseren en uitvoeren, maar de eindverantwoordelijkheid blijft bij de directie.
Die verantwoordelijkheid geldt ook richting toezichthouders. Als blijkt dat maatregelen structureel ontbreken, kan de bestuurder zich niet verschuilen achter de IT-afdeling.
Hoe maak je governance werkbaar?
- Stel duidelijke rapportagelijnen in – wie rapporteert wat, en hoe vaak? Zorg dat bestuurders structureel inzicht krijgen.
- Koppel cybersecurity aan bedrijfsdoelen – laat zien hoe investeringen bijdragen aan continuïteit en reputatie.
- Maak gebruik van KPI’s – bijvoorbeeld aantal gesimuleerde phishingpogingen dat succesvol was, of tijd tot detectie van een incident.
- Voer periodieke evaluaties uit – laat externe audits of gap-analyses zien waar de organisatie staat.
Kritische kanttekening
Veel bestuurders zien cybersecurity nog steeds als kostenpost. Een lastige randvoorwaarde in plaats van een strategische factor. Dat is gevaarlijk. De schade van één ernstig incident overstijgt vaak jarenlang bezuinigen op security. Vanaf 15 augustus 2026 kunnen toezichthouders controleren of organisaties aan de verplichtingen uit de Cyberbeveiligingswet voldoen. Bestuurders doen er daarom verstandig aan om besluiten, risicoafwegingen, gevolgde trainingen en de goedkeuring van maatregelen aantoonbaar vast te leggen.
Praktische tips voor bestuurders
- Stel vragen: hoe vaak oefenen we een incident? Hoe zeker zijn we dat leveranciers beveiligd zijn?
- Lees de meldplicht: weet welke deadlines gelden bij incidenten.
- Maak tijd vrij: besteed structureel aandacht aan cybersecurity, niet alleen na een incident.
- Zorg voor training: laat zien dat je je rol serieus neemt.
NIS2 verandert de rol van bestuurders fundamenteel. Cybersecurity is geen detail meer, maar een kernonderdeel van governance. De vraag die bestuurders zich nu moeten stellen is simpel: wil ik wachten tot de toezichthouder aanklopt, of neem ik vandaag de regie?
Meedoen aan een NIS2 Boardroomtraining?
De Cyberbeveiligingswet verandert de rol van bestuurders fundamenteel. Cybersecurity is geen technisch detail meer, maar een vast onderdeel van governance en risicobeheersing. Organisaties die onder de wet vallen, moeten vanaf 15 augustus 2026 aan de registratieplicht, zorgplicht en meldplicht voldoen. Voor de kennis- en trainingsverplichtingen krijgen zittende bestuurders twee jaar.
Met de NIS2 Boardroomtraining van OptiSec krijgen bestuurders praktisch inzicht in hun wettelijke rol, cyberrisico’s, risicobeheersmaatregelen en besluitvorming tijdens incidenten. De training is beschikbaar als e-learning, klassikale training en incompanytraining.