NIS2 bestuurdersaansprakelijkheid: wat bestuursleden persoonlijk riskeren

In het bedrijfsleven van vóór NIS2 zat cybersecurity waar IT zat. Een CISO rapporteerde ieder kwartaal. Het bestuur nam de update voor kennisgeving aan. Als er iets misging, droeg het bedrijf de aansprakelijkheid en de bestuurders nauwelijks iets persoonlijk. NIS2 heeft die regeling doelbewust doorbroken. De richtlijn legt het cybersecurityprogramma op het bureau van het bestuursorgaan en koppelt persoonlijke gevolgen aan tekortkomingen in governance, niet alleen aan operationele missers.

Dit artikel loopt de aansprakelijkheidsmechanismen in gewone taal langs, met specifieke verwijzing naar de Nederlandse implementatiewet (Cyberbeveiligingswet) waar die extra scherpte toevoegt bovenop de richtlijn. Het doel is praktisch: aan het eind weet je welke artikelen je moet lezen, wat elk artikel persoonlijk voor je betekent, en welk bewijs je blootstelling beperkt als een toezichthouder een dossier met jouw naam opent.

Wat 'persoonlijke aansprakelijkheid' onder NIS2 precies betekent

Aansprakelijkheid onder NIS2 rust op het bestuursorgaan van essentiële en belangrijke entiteiten. Die term komt uit het EU-vennootschapsrecht: het omvat de statutaire raad van bestuur, de raad van commissarissen, of een gelijkwaardig bestuursorgaan dat bindende beslissingen neemt voor de entiteit. In een two-tier structuur vallen zowel de raad van bestuur als de raad van commissarissen binnen de reikwijdte. Senior managers onder het statutaire bestuur vallen niet automatisch binnen scope, al zitten zij vaak wel dezelfde trainingssessies uit.

Onder de richtlijn liggen drie categorieën van persoonlijke gevolgen: bestuurlijke boetes (waar nationaal recht dat toestaat), tijdelijke schorsing van bestuursfuncties, en openbaarmaking van toezichtsbeslissingen. Elk van de drie kan neerkomen op een met naam genoemd individu in plaats van de entiteit. Een bestuurder met een openbare bevinding op zijn naam draagt dat dossier mee naar elke toekomstige bestuursfunctie en D&O verzekeringsaanvraag.

NIS2 bestuurdersaansprakelijkheid in Nederland: wat de Cyberbeveiligingswet toevoegt

De Cyberbeveiligingswet is de Nederlandse implementatie van NIS2. Op het punt van bestuurdersaansprakelijkheid voegt de wet drie elementen toe bovenop de richtlijn zelf. Ten eerste een expliciete bevoegdheid voor de toezichthouder om een persoonlijke boete op te leggen als blijkt dat een bestuurder wist van cybersecurity tekortkomingen en deze niet herstelde. Ten tweede de bevoegdheid om een tijdelijk functieverbod op te leggen, in lijn met artikel 32(5) van de richtlijn, voor essentiële entiteiten. Ten derde de publicatie van bestuursrechtelijke beslissingen waarin de naam van de bestuurder voorkomt.

De handhaving is verdeeld over meerdere toezichthouders, afhankelijk van de sector. Voor de meeste essentiële en belangrijke entiteiten is de Rijksinspectie Digitale Infrastructuur (RDI) de primaire toezichthouder, met gedeelde sectorale bevoegdheid voor energie, transport en zorg. Een persoonlijke bestuursrechtelijke procedure tegen een bestuurder loopt via dezelfde paden als een procedure tegen de entiteit, maar leidt tot een aparte beschikking met de naam van de bestuurder.

De drie aansprakelijkheidsmechanismen die voor bestuurders van belang zijn

Ontdaan van juridisch jargon leiden drie mechanismen tot persoonlijke gevolgen voor bestuursleden onder NIS2 en nationale implementaties. Het is belangrijk om te weten welk mechanisme in welke situatie van toepassing is, want de verdediging verschilt per mechanisme.

1. Directe toezichtsmaatregelen tegen een individu (artikel 32(5))

Voor essentiële entiteiten kunnen toezichthouders de tijdelijke schorsing eisen van een natuurlijk persoon die managementverantwoordelijkheden draagt op het niveau van CEO of wettelijk vertegenwoordiger, wanneer de entiteit heeft nagelaten cybersecurity tekortkomingen te herstellen. Dit is de zwaarste sanctie onder de richtlijn. Ze is voorbehouden aan herhaald falen om formeel vastgestelde problemen op te lossen, niet aan een eerste overtreding, maar de norm voor 'hersteld' wordt door de toezichthouder bepaald.

2. Persoonlijke bestuurlijke boetes (nationale implementatie)

Artikel 34 van de richtlijn zet boetes op entiteitsniveau op maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten (7 miljoen euro of 1,4 procent voor belangrijke entiteiten). De richtlijn zelf beboet bestuurders niet persoonlijk, maar staat lidstaten toe dit wel te doen. De Duitse NIS2UmsuCG, de Belgische federale wet, en de Nederlandse Cyberbeveiligingswet bevatten elk persoonlijke bestuurlijke boetes voor leden van het bestuursorgaan die willens en wetens hun artikel 20 verplichtingen schenden. De bedragen verschillen, de structuur is consistent: per overtreding, per individu, boven op een eventuele boete op entiteitsniveau.

3. Openbaarmaking van bevindingen

Verschillende nationale toezichthouders publiceren inmiddels toezichtsbeslissingen, inclusief de namen van bestuurders tegen wie een individuele bevinding is vastgesteld. Het reputatiegevolg is lastiger te verzekeren dan een boete. Een directors and officers (D&O) polis kan de juridische procedure verdedigen, maar een publiek doorzoekbaar toezichtsdossier duikt op in elke toekomstige achtergrondcheck en beïnvloedt de D&O premie bij verlenging jarenlang.

Artikel 20 versus artikel 21 versus artikel 32: waar persoonlijke aansprakelijkheid ligt

Drie artikelen sturen bijna elk gesprek over bestuurdersaansprakelijkheid. Elk doet iets anders, en ze door elkaar halen is de meest gemaakte fout in board briefings.

• Artikel 20 is de plicht. Het maakt het bestuursorgaan verantwoordelijk voor het goedkeuren van cybersecurity maatregelen, het toezicht houden op de uitvoering ervan, en het volgen van training. Hier ligt de persoonlijke plicht. Als je artikel 20 schendt, heeft de toezichthouder een aanknopingspunt.
• Artikel 21 is de inhoud. Het somt de 10 minimale cybersecurity maatregelen op (risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, toeleveringsketen, netwerkbeveiliging, kwetsbaarhedenbeheer, training, cryptografie, toegangsbeheer en assetbeheer). Artikel 20 maakt je verantwoordelijk voor het op orde hebben hiervan. Het bewijsdossier voor artikel 21 is het bewijs van het toezicht onder artikel 20.
• Artikel 32 is het sanctie-instrumentarium. Artikel 32(4) somt de maatregelen op entiteitsniveau op (bindende aanwijzingen, audits, boetes). Artikel 32(5) is de persoonlijke variant: tijdelijke schorsing van met naam genoemde individuen. Een toezichthouder grijpt naar artikel 32(5) wanneer de plichten van artikel 20 duidelijk zijn geschonden en de maatregelen van artikel 21 niet op orde zijn.

Voor belangrijke entiteiten is artikel 33 het parallelle sanctie-instrumentarium, met één belangrijke uitzondering: het bevat niet de persoonlijke schorsingsbevoegdheid die artikel 32(5) geeft voor essentiële entiteiten. Bestuurders van belangrijke entiteiten krijgen te maken met boetes onder artikel 34 en reputatierisico, maar kunnen niet door NIS2 zelf uit hun functie worden gezet. Nationaal recht kan dat gat wel dichten.

Praktijkvoorbeelden van handhaving uit begin 2026

De eerste golf van handhavingsbeslissingen in Q1 en Q2 2026 laat een duidelijk patroon zien: toezichthouders richten zich eerst op governance-tekortkomingen, pas daarna op technische tekortkomingen. Drie illustratieve zaken uit openbare beslissingen.

Hoe due diligence je beschermt (en wat niet)

De juridische verdediging tegen persoonlijke aansprakelijkheid onder NIS2 is gedocumenteerde due diligence. Artikel 20 vereist niet dat bestuurders cybersecurity experts zijn. Het vereist dat zij zich gedragen als bestuurders die het onderwerp serieus namen. Het bewijs van dat gedrag is wat tijdens toezicht het zwaarst weegt.

Wat werkt:

• Persoonlijk trainingsdossier. Getekende aanwezigheidslijst, gedateerde agenda, referenties van de trainer, kennistoets, bestuursnotulen waarin de afronding staat vermeld. Minimaal jaarlijks, met extra sessies bij gebeurtenissen.
• Goedgekeurd cybersecurityprogramma. Een gedocumenteerd programma dat het bestuur formeel heeft goedgekeurd, gekoppeld aan de maatregelen van artikel 21, met benoemde verantwoordelijke bestuurders en een vaste beoordelingscyclus op bestuursniveau.
• Risicoregister met geaccepteerd restrisico. Risico's zijn geïdentificeerd, gerangschikt, toegewezen aan een eigenaar, en ofwel behandeld ofwel formeel geaccepteerd door het bestuur met een onderbouwing op schrift.
• Bewijsdossier per artikel 21 maatregel. Eén map per maatregel, met het bewijsstuk waar een toezichthouder om zou vragen: dekkingsrapport voor meervoudige authenticatie (MFA), resultaten van restore-tests, leveranciersvragenlijst, trainingsdossiers, resultaten van kwetsbaarhedenscans, en zo verder.
• Getest incidentresponsplan. Een tabletop- of live-oefening in de afgelopen 12 maanden, met een schriftelijke evaluatie achteraf en vervolgacties die tot afronding worden gevolgd.

Wat niet werkt:

• "We vertrouwden op de CISO". Artikel 20 zegt dat de plicht bij het bestuur ligt, niet overdraagbaar is. Een redelijk bestuur toetst en verifieert; een bestuur dat alleen luistert, wordt niet beschermd door de bekwaamheid van de CISO.
• "Er was ons niet verteld dat er een probleem was". Toezichthouders verwachten dat het bestuur vraagt, niet wacht. Een risicoregister waarin cybersecurity niet voorkomt, is zelf al bewijs van onvoldoende toezicht.
• "Cybersecurity staat in het strategiedocument". Strategische intentie zonder een bewijsdossier voor artikel 21 en een trainingsdossier heeft geen gewicht.
• "Onze D&O polis dekt dit". Die dekt verdedigingskosten. Die dekt geen boetes, en biedt geen bescherming tegen een openbare bevinding.

D&O verzekering en vrijwaring van bestuurders: wat is gedekt

De meeste bestuurders van entiteiten binnen scope hebben een directors and officers (D&O) polis, hetzij via een bedrijfspolis, hetzij via een persoonlijke aanvulling. De polismarkt van 2026 heeft op NIS2 gereageerd met drie wijzigingen die elke bestuurder zou moeten lezen.

• Uitsluiting van boetes. Bestuurlijke boetes onder NIS2 en de AVG zijn in bijna elke polis van 2026 uitgesloten. Verdedigingskosten, meldingskosten en herstelkosten zijn meestal nog wel gedekt. De boete zelf is voor jouw eigen rekening.
• Verplichte beveiligingsmaatregelen (warranties). Polissen sommen nu specifieke cybersecurity maatregelen op (dekking van meervoudige authenticatie, offline of onveranderbare back-ups, percentage EDR) die op orde moeten zijn wil de dekking gelden. Een schending van zo'n warranty kan de claim ongeldig maken, ook als de rest van de polis er ruim uitziet. Het bewijs van de maatregelen dat je verzekeraar wil, is hetzelfde bewijs dat je toezichthouder wil. Dat één keer opbouwen voor beide is efficiënt.
• Panel van dienstverleners. Veel polissen eisen nu het gebruik van met naam genoemde incident response bureaus, forensische dienstverleners en juridische adviseurs. Je eigen voorkeursleverancier bellen zonder goedkeuring kan die kosten niet-claimbaar maken.

Vrijwaring van bestuurders door het bedrijf via de statuten is in de meeste EU-lidstaten toegestaan voor civiele claims, maar doorgaans niet voor bestuurlijke boetes of voor bevindingen van fraude of opzettelijk wangedrag. Een bestuurder van wie is vastgesteld dat hij willens en wetens zijn artikel 20 verplichtingen heeft geschonden, kan onder de meeste nationale regels niet door het bedrijf worden schadeloos gesteld.

Een checklist van 6 stappen voor persoonlijke aansprakelijkheid van bestuursleden

Zes concrete acties die elk bestuurslid van een entiteit binnen scope de komende 90 dagen zou moeten nemen. Elke actie levert bewijs op dat een due diligence verdediging ondersteunt.

• 1. Bevestig de scope. Vraag formeel of de entiteit essentieel of belangrijk is onder artikel 3, leg het antwoord vast in de bestuursnotulen, en koppel het aan de relevante sectorbijlage. Is het antwoord onzeker, vraag dan om een scope-beoordeling. De NIS2 scope check-tool is een nuttig startpunt.
• 2. Rond de training af. Volg een op maat gemaakte artikel 20 training, getekend en genotuleerd. Herhaal jaarlijks. Training voor het bestuur onder artikel 20 loopt door wat het lesprogramma moet bevatten.
• 3. Lees het bewijsdossier voor artikel 21. Vraag om de map, binder of gedeelde schijf te zien waarin elk van de 10 artikel 21 maatregelen wordt gekoppeld aan actuele beheersmaatregelen en bewijs. Bestaat die niet, dan is dat de eerste tekortkoming.
• 4. Controleer het risicoregister en het restrisico. Bevestig dat het register bestaat, dat het restrisico formeel is geaccepteerd met een onderbouwing op schrift, en dat cybersecurity een vast agendapunt is van het audit- of risicocomité.
• 5. Test het incidentresponsplan. Dring aan op een tabletop-oefening in het volgende kwartaal. De meldingstermijnen van artikel 23 (24 uur, 72 uur, één maand) zijn niet te halen met improvisatie. De draaiboek voor incidentmelding beschrijft welk bewijs toezichthouders na een incident verwachten.
• 6. Lees je D&O polis. In het bijzonder de clausule over verplichte beveiligingsmaatregelen, de uitsluiting van boetes, en de lijst met het panel van dienstverleners. Vraag daarna de CISO of het bewijsdossier van de maatregelen overeenkomt met de warranties.

Veelgestelde vragen

Gerelateerde artikelen