Bestuurdersverantwoordelijkheid onder de Cyberbeveiligingswet

De Cyberbeveiligingswet — de Nederlandse implementatie van de Europese NIS2-richtlijn — treedt op 15 augustus 2026 in werking. Onder deze wet is het bestuur niet langer toeschouwer bij cybersecurity. Waar "de directie moet hier ook iets van weten" vroeger vooral een kwestie van goed bestuur was, is het nu een concrete wettelijke verplichting: het bestuur moet risicomaatregelen goedkeuren, toezicht houden op de uitvoering, en daarvoor over voldoende kennis beschikken. Voor veel bestuurders roept dat direct twee vragen op: wat betekent dit precies in de praktijk, en ben ik hier als individu persoonlijk op aan te spreken?

Dit artikel beantwoordt de eerste vraag zo concreet mogelijk, op basis van wat de wet en de officiële toelichting daarop daadwerkelijk zeggen. Op de tweede vraag geven we een eerlijk antwoord: gedeeltelijk, met een uitdrukkelijke grens aan wat op dit moment wél en niet met zekerheid is vast te stellen.

Wat vraagt de wet van bestuurders?

De kern van de verplichting is compact, maar heeft grote gevolgen voor hoe bestuurlijke besluitvorming rond cybersecurity eruit moet zien. In de eigen aankondiging van de wet verwoordt de Rijksoverheid het zo: "Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten beschikken over voldoende kennis om risico's en beveiligingsmaatregelen te kunnen beoordelen en volgen daarvoor een passende training." Ook het NCSC.nl — Cyberbeveiligingswet en NIS2 bevestigt dit uitgangspunt: het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering.

Twee werkwoorden dragen deze hele verplichting: goedkeuren en toezien. Beide veronderstellen dat het bestuur inhoudelijk begrijpt waar het "ja" tegen zegt. Een handtekening onder een risicodocument dat niemand in het bestuur werkelijk heeft doorgrond, voldoet niet aan de geest van de wet — ook al staat dat punt zelf nog niet tot in juridisch detail uitgewerkt (zie hieronder, "Persoonlijke aansprakelijkheid").

Voor organisaties die al met ISO 27001 werken, is deze eis minder nieuw dan hij klinkt. Clausule 5 van de norm (Leiderschap) vraagt al jaren om aantoonbare betrokkenheid van de directie bij het informatiebeveiligingsbeleid, en de vraag "wie is eigenlijk verantwoordelijk voor het ISMS" is bij auditors een vertrouwd gespreksonderwerp tijdens een interne audit. De Cyberbeveiligingswet vertaalt diezelfde logica van goed bestuur naar een wettelijke eis, met een eigen kennis- en trainingscomponent bovenop wat de ISO-norm al vraagt.

Kennisplicht: wat moet een bestuurder weten?

"Voldoende kennis" betekent niet dat elk bestuurslid een cybersecurity-specialist moet worden. Het betekent wel dat een bestuurder een voorstel voor risicomaatregelen inhoudelijk moet kunnen volgen: wélk risico wordt hiermee afgedekt, waarom is juist deze maatregel gekozen boven een alternatief, wat kost het laten liggen ervan, en welk restrisico blijft er over na invoering? Zonder dat basisniveau van begrip is "goedkeuren" in feite een formaliteit — precies wat de kennisplicht wil voorkomen.

In de praktijk betekent dit dat cybersecurity een vast, inhoudelijk agendapunt wordt op bestuurs- of directieniveau, met een heldere set vragen die het bestuur aan de eigen CISO, IT-manager of externe adviseur kan en moet stellen — denk aan: welk deel van ons risicoprofiel dekt deze maatregel af, wat is de impact als we dit niet vóór het volgende toezichtmoment regelen, en hoe stellen we vast of de maatregel straks daadwerkelijk werkt? Dat laatste sluit aan bij hoe een auditor naar effectiviteit kijkt: niet of er iets is opgeschreven, maar of het aantoonbaar werkt.

Voor organisaties die dit concreet willen maken, vormen de zorgplicht-maatregelen die het bestuur moet goedkeuren een goed startpunt: dat overzicht laat precies zien waarover de kennisplicht in de praktijk gaat, van risicobeheer tot leveranciersbeveiliging.

Trainingsverplichting: eenmalig of doorlopend?

De wettekst spreekt van een "passende training", zonder daarbij een vaste frequentie voor te schrijven. Dat betekent niet dat één trainingssessie bij invoering van de wet volstaat. Cyberdreigingen veranderen, de samenstelling van een bestuur verandert door de tijd heen, en risicomaatregelen die vandaag passend zijn, kunnen dat over twee jaar niet meer zijn. Een training die nooit wordt herhaald of geactualiseerd, verliest juist het kenmerk dat het woord "passend" veronderstelt: aansluiting bij de actuele situatie.

In de praktijk ligt het voor de hand om trainingsmomenten te koppelen aan vaste governance-ritmes — bijvoorbeeld bij aantreding van een nieuw bestuurslid, na een significante wijziging in het risicoprofiel of een incident, of gekoppeld aan de jaarlijkse directiebeoordeling die bij een werkend ISMS toch al gebruikelijk is. Zo wordt de trainingsverplichting een terugkerend onderdeel van bestuurlijke routine, in plaats van een eenmalige actie die na invoering van de wet wordt afgevinkt en vervolgens jarenlang blijft liggen.

Persoonlijke aansprakelijkheid: wat is wél en niet duidelijk?

Dit is het punt waarop content over dit onderwerp online vaak verder gaat dan wat feitelijk vaststaat. Wij kiezen daar bewust niet voor. Wat wél duidelijk is, staat hierboven beschreven: de wet verplicht het bestuur tot goedkeuring van risicomaatregelen, toezicht op de uitvoering, en het volgen van passende training — en het bestuur is daarvoor, in de eigen bewoordingen van de Rijksoverheid, "eindverantwoordelijk".

Wat op dit moment niet met één eenduidige, controleerbare bron is vast te stellen, is de precieze uitwerking van persoonlijke aansprakelijkheid: welke specifieke consequenties gelden voor een individuele bestuurder die deze verplichting aantoonbaar niet naleeft, hoe dat zich verhoudt tot algemene bestuurdersaansprakelijkheid uit het ondernemingsrecht, en hoe toezichthouders dit in de praktijk gaan handhaven. Dat zijn vragen waarvoor de wettekst zelf, jurisprudentie die zich nog moet vormen, en gekwalificeerd juridisch advies de aangewezen bronnen zijn — niet een blogartikel.

Onze aanbeveling: lees dit artikel als een praktische leidraad voor wat het bestuur moet doen om aantoonbaar aan de kennis- en goedkeuringsplicht te voldoen, niet als juridisch advies over persoonlijke aansprakelijkheid. Twijfelt u over de specifieke aansprakelijkheidspositie van uw bestuur of van individuele bestuursleden, raadpleeg dan een advocaat of jurist die gespecialiseerd is in ondernemingsrecht en cybersecurityregelgeving. Wij zijn onafhankelijk auditor, geen advocatenkantoor, en presenteren dit onderwerp bewust binnen die grens.

Ook relevant voor de directeur-eigenaar van een MKB-onderneming

Dit onderwerp klinkt tot dusver als iets voor grote, complexe bestuursstructuren: een raad van bestuur, aparte commissies, een eigen compliance-afdeling. Voor het grootste deel van het Nederlandse MKB ziet de werkelijkheid er anders uit — de directeur-grootaandeelhouder (DGA) ís het bestuur. Er is geen aparte laag om de kennisplicht bij neer te leggen en geen collega-bestuurder om de trainingsverplichting mee te delen.

Dat maakt dit onderwerp niet minder relevant voor kleinere organisaties, eerder het tegenovergestelde: waar een grotere organisatie de kennisplicht over meerdere bestuursleden kan spreiden, rust deze bij een eenmansdirectie volledig op één persoon. Of dat daadwerkelijk voor uw organisatie geldt, hangt af van de vraag of u onder de wet valt — de Cyberbeveiligingswet in algemene termen gaat in op wie precies met de wet te maken krijgt, inclusief de ketenverplichting voor organisaties die net onder de drempel zitten maar wel leveren aan een partij die er wél onder valt. Valt uw organisatie eronder, dan geldt de kennis- en trainingsverplichting voor u persoonlijk net zo goed als voor het bestuur van een beursgenoteerde onderneming: de wet maakt op dit punt geen onderscheid naar bedrijfsgrootte, alleen naar de vraag of uw organisatie binnen de reikwijdte van de wet valt.

Hoe legt u bestuursbetrokkenheid aantoonbaar vast?

"Aantoonbaar" is het sleutelwoord in dit hele onderwerp. Een bestuur dat zich in de praktijk prima met cybersecurity bezighoudt, maar dat nergens heeft vastgelegd, staat bij een toetsing net zo zwak als een bestuur dat er inhoudelijk niets van weet. De wet vraagt niet alleen om betrokkenheid, maar om betrokkenheid die u achteraf kunt bewijzen.

Concreet betekent dat drie dingen. Ten eerste: notuleer cybersecurity-agendapunten in bestuurs- of directievergaderingen expliciet, inclusief wélke risicomaatregelen zijn besproken en goedgekeurd — niet als samenvattende zin ("IT-onderwerpen besproken"), maar met de inhoud van de beslissing zelf. Ten tweede: documenteer trainingen met datum, deelnemers en globale inhoud, ook wanneer het om een informele sessie gaat. Ten derde: begin niet blanco. Een gap-analyse als basis voor bestuurlijke goedkeuring geeft het bestuur een concreet, onderbouwd overzicht om op te reageren en goed te keuren, in plaats van een leeg vel papier waarop "wij keuren cybersecurity goed" moet worden ingevuld zonder duidelijke inhoud.

Een veelgemaakte fout is dit onderwerp volledig bij IT of een externe securitypartij neer te leggen zonder bestuurlijke ondertekening. Dat ondermijnt precies het doel van de verplichting: besluitvorming over risico hoort bij het bestuur zelf te liggen, niet alleen bij de mensen die de techniek uitvoeren. Ook een MKB-directeur die de operationele beveiliging uitbesteedt, blijft degene die moet kunnen laten zien dát hij of zij de voorgestelde maatregelen daadwerkelijk heeft beoordeeld en goedgekeurd — uitbesteden van uitvoering is geen uitbesteden van verantwoordelijkheid.

Wilt u dit gestructureerd aanpakken? Vraag naar onze NIS2/Cyberbeveiligingswet-checklist, waarin bestuursbetrokkenheid als apart aandachtspunt is opgenomen naast de overige zorgplicht- en meldplichtonderdelen.