NIS2: is je bestuur persoonlijk aansprakelijk?
Op 15 augustus 2026 wordt de Cyberbeveiligingswet van kracht, de Nederlandse invulling van NIS2. Vanaf dat moment gelden voor ongeveer 8.000 Nederlandse organisaties nieuwe verplichtingen rond digitale weerbaarheid, en wordt bestuurdersaansprakelijkheid voor cyberbeveiliging een concreet thema. De grootste verschuiving speelt zich af in de bestuurskamer: de wet legt de verantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur. In dit artikel lees je wat dat betekent voor de aansprakelijkheid van bestuurders, welke drie plichten er concreet bij komen en wat je de komende weken regelt om aantoonbaar aan de zorgplicht te voldoen.
In het kort
- De Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn, wordt op 15 augustus 2026 van kracht voor circa 8.000 organisaties.
- Het bestuur moet de beveiligingsmaatregelen goedkeuren, aantoonbaar kennis van cyberrisico’s hebben en uitvoerende bestuurders volgen binnen twee jaar een training.
- Toezichthouders kunnen boetes en bindende aanwijzingen rechtstreeks aan individuele bestuurders opleggen; bij essentiële entiteiten kan een bestuurder worden geschorst.
- De bepalende vraag voor je bestuur is of je aantoonbaar kunt laten zien dat je aan de zorgplicht voldoet.
Wat verandert er vanaf 15 augustus 2026?
De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen en zet de NIS2-richtlijn om in Nederlands recht. Organisaties die onder de wet vallen, moeten zich registreren bij het Nationaal Cyber Security Centrum, passende beveiligingsmaatregelen nemen en ernstige incidenten melden. De verplichtingen gelden voor essentiële en belangrijke entiteiten in aangewezen sectoren, zoals energie, transport, digitale infrastructuur, overheid en zorg.
Val je eronder? Vaak wel als je organisatie in zo’n sector actief is en meer dan 50 medewerkers heeft of een jaaromzet of balanstotaal boven 10 miljoen euro. De zorgplicht is risicogebaseerd: je brengt eerst je risico’s in kaart en neemt daarna maatregelen die daarbij passen.
De meldplicht kent drie momenten. Een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand na de eerste melding. Registreren doe je vóór de inwerkingtredingsdatum via mijn.ncsc.nl. Een volledig overzicht van de wet en de sectoren vind je op onze NIS2-pagina.
Is je bestuur persoonlijk aansprakelijk?
Ja, de Cyberbeveiligingswet verlegt de verantwoordelijkheid naar het individuele bestuursniveau. Toezichthouders kunnen niet alleen de organisatie beboeten, maar ook boetes en bindende aanwijzingen rechtstreeks aan bestuurders opleggen. Bij essentiële entiteiten kan een bestuurder daarnaast tijdelijk uit een leidinggevende functie worden geschorst. Het bestuur houdt de eindverantwoordelijkheid, ook wanneer het taken delegeert aan een CISO of een externe partij.
Daar komt bij dat de bestaande bestuurdersaansprakelijkheid uit het ondernemingsrecht gewoon blijft gelden. Schiet een bestuur verwijtbaar tekort in de zorgplicht en vloeit daaruit schade voort, dan kan dat doorwerken in civiele aansprakelijkheid. De wet stapelt dus een bestuurlijke verantwoordelijkheid bovenop een verantwoordelijkheid die er juridisch al was.
In de praktijk is “ben ik aansprakelijk” zelden de bruikbare vraag. Bruikbaarder is of het bestuur kan laten zien dat het de risico’s kent, de maatregelen heeft goedgekeurd en die keuzes heeft vastgelegd. Die aantoonbaarheid bepaalt of je bestuur een verdedigbare positie heeft of een open flank.
De drie plichten die nu bij je bestuur liggen
De Cyberbeveiligingswet maakt cyberbeveiliging een bestuurstaak met drie concrete verplichtingen. Ze draaien allemaal om hetzelfde principe: het bestuur moet weten wat er speelt en daar aantoonbaar naar handelen.
1. Aantoonbare kennis
Het bestuur moet de risico’s voor de netwerk- en informatiesystemen begrijpen, evenals de manier waarop je die beheerst en de impact ervan op de organisatie.
2. Goedkeuren van maatregelen
Het bestuur keurt de maatregelen goed waarmee de organisatie aan de zorgplicht voldoet. Die goedkeuring is een formeel besluit, geen formaliteit achteraf.
3. Trainingsplicht
Uitvoerende bestuurders van essentiële en belangrijke entiteiten volgen binnen twee jaar een cyberbeveiligingstraining. Commissarissen en niet-uitvoerende bestuurders zijn uitgezonderd.
Naast deze drie plichten verwacht de wet dat het bestuur regelmatig met de eigen CISO in gesprek is over cyberbeveiliging. Cyberrisico verhuist zo van de ICT-afdeling naar de bestuurstafel, waar het als strategisch risico thuishoort.
Wat je bestuur nu moet regelen
De inwerkingtreding is pas het startpunt van je verplichtingen. Deze vijf stappen brengen je van “de wet komt eraan” naar “we voldoen aantoonbaar”. Begin bij de registratie, want die kent een harde deadline.
- Bepaal je positie en registreer. Stel vast of je een essentiële of belangrijke entiteit bent en registreer je organisatie bij het NCSC.
- Voer een actuele risicobeoordeling uit. Breng de risico’s voor je netwerk- en informatiesystemen in kaart als basis voor je maatregelen.
- Laat het bestuur de maatregelen goedkeuren. Neem een formeel besluit over de beveiligingsmaatregelen en leg dat besluit vast.
- Richt de meldketen in. Zorg dat je binnen 24 uur, 72 uur en een maand kunt melden en dat duidelijk is wie dat doet.
- Plan de training en borg je dossier. Roostert de bestuurderstraining in en leg vast dat je aan de zorgplicht voldoet.
Een gedetailleerde NIS2-checklist helpt je deze stappen punt voor punt af te lopen, inclusief de documentatie die je bij een controle nodig hebt.
NIS2-boetes en toezicht: wat staat er op het spel?
De boetes onder de Cyberbeveiligingswet zijn fors en het toezicht verschilt per type entiteit. Essentiële entiteiten krijgen zowel toezicht vooraf als achteraf; belangrijke entiteiten alleen achteraf, bijvoorbeeld na een incident of een signaal. Het toezicht ligt bij sectorspecifieke toezichthouders, met de Rijksinspectie Digitale Infrastructuur als centrale inspectie voor een groot deel van de sectoren.
| Essentiële entiteiten | Belangrijke entiteiten | |
|---|---|---|
| Maximale boete | 10 miljoen euro of 2% van de wereldwijde jaaromzet | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet |
| Toezicht | Vooraf en achteraf | Achteraf |
| Voorbeeldsectoren | Energie, transport, digitale infrastructuur, overheid, zorg | Levensmiddelen, afvalbeheer, digitale aanbieders, post |
De hoogte van de boete telt, maar de reputatieschade en de aansprakelijkheid op bestuursniveau wegen voor veel organisaties zwaarder. Een boete betaal je een keer; een bestuur dat niet kan aantonen dat het in control was, houdt daar langer last van.
Wat betekent “aantoonbaar in control” voor je bestuur?
Aantoonbaar in control betekent dat je op elk moment kunt laten zien hoe je tot je beveiligingskeuzes bent gekomen. Bij een controle weegt het vastgelegde spoor zwaarder dan de goede bedoeling erachter. Een toezichthouder of rechter kijkt terug: wist het bestuur wat er speelde, en heeft het daar navolgbaar naar gehandeld?
In de praktijk draait dat om drie dossierlagen. De risicobeoordeling die je keuzes onderbouwt, het formele bestuursbesluit waarmee je de maatregelen goedkeurt, en de bewijzen dat die maatregelen ook echt werken. Ontbreekt een van die lagen, dan is je positie bij een incident zwak, hoe goed je techniek ook is.
Leg besluiten daarom vast op het moment dat je ze neemt, niet achteraf. Notuleer de bespreking van cyberrisico met de CISO, dateer de goedkeuring van het maatregelenpakket en bewaar de onderbouwing. Dat dossier maakt het verschil tussen een verdedigbare positie en een open flank op bestuursniveau.
Voor een bestuur werkt dit als een verzekering. Wie de aantoonbaarheid op orde heeft, gaat een controle, een incident of een aansprakelijkstelling met vertrouwen in. Wie erop vertrouwt dat de techniek wel goed zit zonder het vast te leggen, ontdekt het gat pas op het verkeerde moment.
Hulp nodig met NIS2 en de Cyberbeveiligingswet?
Wij helpen je bestuur om aantoonbaar aan de zorgplicht te voldoen: van risicobeoordeling en maatregelen tot het dossier dat een toezichthouder wil zien.
Veelgestelde vragen
Wanneer treedt de Cyberbeveiligingswet in werking?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. De Eerste Kamer nam de wet op 7 juli 2026 aan; de oorspronkelijk beoogde datum van 1 juli 2026 is verschoven om de behandeling af te ronden. De wet raakt ongeveer 8.000 organisaties in Nederland.
Hoe weet ik of mijn organisatie onder de wet valt?
De wet geldt voor essentiële en belangrijke entiteiten in aangewezen sectoren. In veel gevallen val je eronder bij meer dan 50 medewerkers of een jaaromzet of balanstotaal boven 10 miljoen euro. Organisaties die eronder vallen registreren zich bij het NCSC.
Moeten commissarissen ook een cyberbeveiligingstraining volgen?
Nee. De trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten. Toezichthoudende bestuurders, zoals commissarissen, en niet-uitvoerende bestuurders zijn uitgezonderd. De uitvoerende bestuurders moeten binnen twee jaar over de vereiste kennis beschikken.
Bestaat er een NIS2-certificering?
Er bestaat geen officieel NIS2-certificaat. Je toont compliance aan met je maatregelen en je dossier, niet met een keurmerk. We leggen dit uit in ons artikel over waarom NIS2-certificering niet bestaat en hoe je compliance dan wél aantoont.
Wat is het verschil tussen de zorgplicht en ISO 27001?
ISO 27001 is een erkend hulpmiddel om de zorgplicht in te vullen en levert veel van de structuur die de wet vraagt. Het is echter geen wettelijk verplichte norm onder de Cyberbeveiligingswet. Je kunt aan de zorgplicht voldoen met of zonder certificaat, zolang je maatregelen passend en aantoonbaar zijn.