Cybersecurity wordt een bestuurstaak: NIS2 vergroot aansprakelijkheid van bestuurders

Met de verwachte inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 verandert de rol van bestuurders ingrijpend. De wet, die de Europese NIS2-richtlijn in Nederland implementeert, introduceert geen nieuw aansprakelijkheidsregime, maar scherpt wel de norm aan waaraan bestuurders worden getoetst. Cybersecurity wordt daarmee een integraal onderdeel van goed bestuur.

Bestuurders moeten niet alleen cyberrisico’s begrijpen, maar ook actief sturen op passende beveiligingsmaatregelen, toezien op de uitvoering ervan en cybersecurity structureel opnemen in de governance en risicobeheersing van de organisatie. Een opvallende verplichting is de opleidingsplicht: bestuurders moeten aantoonbaar beschikken over actuele kennis van cyberrisico’s en passende beheersmaatregelen. Bij ernstige tekortkomingen kunnen toezichthouders bestuursrechtelijke sancties opleggen en kan onder omstandigheden ook civielrechtelijke aansprakelijkheid in beeld komen.

Voor organisaties betekent dit dat cybersecurity niet langer uitsluitend een onderwerp is voor IT of de CISO. Besturen zullen zich moeten voorbereiden door cyberrisico’s regelmatig te bespreken, de informatievoorziening te versterken en de eigen kennis en deskundigheid aantoonbaar op peil te brengen. Daarmee wordt cyberweerbaarheid een expliciete verantwoordelijkheid van de gehele bestuurslaag.

Dit is een samenvatting van het volledige artikel op holla.nl.