NIS2 en bestuurdersaansprakelijkheid: wat de wet echt van u vraagt

Onder NIS2 is cyberbeveiliging geen zaak meer van alleen de systeembeheerder. Het bestuur moet de maatregelen goedkeuren en er zelf genoeg van weten. In dit artikel leest u wat de Nederlandse Cyberbeveiligingswet (Cbw) daarover regelt, welke sancties er voor bestuurders zelf bestaan, en hoe u als directeur van een telecom-, VoIP- of internetbedrijf laat zien dat u uw rol serieus neemt.

Wat de Europese NIS2-richtlijn zegt

De basis staat in artikel 20 van de NIS2-richtlijn. Daarin staan drie dingen voor het bestuur (de richtlijn zegt: het bestuursorgaan):

• het bestuur keurt de maatregelen goed die de organisatie neemt om cyberrisico's te beheersen;
• het bestuur ziet toe op de uitvoering van die maatregelen;
• het bestuur kan aansprakelijk worden gesteld als de organisatie de regels over die maatregelen overtreedt.

Lid 2 van hetzelfde artikel zegt dat bestuursleden een opleiding moeten volgen. Zo krijgen zij genoeg kennis om risico's te herkennen en maatregelen te beoordelen.

Een richtlijn geldt niet rechtstreeks voor uw bedrijf. Elk land zet de regels om in eigen wetgeving. In Nederland is dat de Cyberbeveiligingswet, met het Cyberbeveiligingsbesluit (Cbb) als uitwerking. Wat voor u telt, is dus wat de Nederlandse wet regelt.

Wat de Cyberbeveiligingswet van het bestuur vraagt

De Nederlandse regels voor het bestuur staan in artikel 24 Cbw. In het kort:

1. Goedkeuren. De maatregelen uit de zorgplicht (artikel 21 Cbw) hebben de goedkeuring van het bestuur nodig. Dat geldt ook als u de uitvoering aan een beheerder, CISO of externe partij overlaat.
2. Kennis en vaardigheden. Ieder bestuurslid moet risico's kunnen herkennen, maatregelen kunnen beoordelen en de gevolgen voor de dienstverlening kunnen inschatten.
3. Termijn. Bestaande bestuursleden hebben daarvoor twee jaar na de inwerkingtreding. Volgens de RDI is dat uiterlijk medio 2028. Wie later wordt benoemd, heeft twee jaar na benoeming.
4. Actueel houden. Bestuursleden houden hun kennis aantoonbaar bij.
5. Certificaat. Ieder bestuurslid heeft een certificaat waaruit blijkt dat hij of zij een training heeft gevolgd. De eisen aan dat certificaat staan in artikel 22 Cbb.

Is een rechtspersoon (bijvoorbeeld een holding) bestuurder, dan gelden de regels voor de natuurlijke personen die namens die holding in het bestuur zitten. Heeft uw organisatie uitvoerende en niet-uitvoerende bestuurders, dan gelden de regels alleen voor de uitvoerende bestuurders. Ook vennoten in een vof en maten in een maatschap vallen eronder. Meer over de opleiding leest u in NIS2-cursus voor bestuurders.

Essentieel of belangrijk: dat maakt verschil

De wet kent twee soorten organisaties: essentiële en belangrijke entiteiten. Voor openbare telecom zegt de Cbw dit:

• Een aanbieder van een openbaar elektronisch communicatienetwerk of een openbare elektronische communicatiedienst die een middelgrote onderneming is, is van rechtswege essentieel (artikel 8 Cbw).
• Een kleine of micro-onderneming met zo'n dienst is in beginsel belangrijk (artikel 12 Cbw). De minister kan een organisatie ook zelf als essentieel aanwijzen.

Of u middelgroot of klein bent, hangt niet alleen af van het aantal medewerkers. Ook omzet, balanstotaal en groepsrelaties tellen mee. Twijfelt u, lees dan Val ik onder NIS2? of doe de gratis zelfscan.

Voor bestuurders is dit onderscheid belangrijk. Sommige zware maatregelen kunnen alleen bij essentiële entiteiten worden ingezet.

Welke sancties bestaan er voor bestuurders zelf?

De Cbw noemt het woord "aansprakelijk" niet zoals de richtlijn dat doet. De wet geeft de toezichthouder wel middelen tegen bestuurders persoonlijk. Voor telecomaanbieders is de toezichthouder de Rijksinspectie Digitale Infrastructuur (RDI).

Schorsing in plaats van een "tijdelijk verbod"

De richtlijn (artikel 32 lid 5) laat landen een tijdelijk verbod op leidinggevende functies regelen voor essentiële entiteiten. Nederland heeft dat in artikel 78 Cbw uitgewerkt als een schorsing. Die werkt zo:

• De toezichthouder heeft eerst andere maatregelen genomen. Die hielpen niet, of zullen naar verwachting niet helpen.
• De toezichthouder geeft een einddatum om de overtreding te stoppen (artikel 76).
• Voldoet de essentiële entiteit niet op tijd, dan kan de toezichthouder de burgerlijke rechter vragen om één of meer bestuursleden te schorsen.
• De schorsing wordt opgenomen in het Handelsregister en duurt zolang de organisatie niet voldoet.

Dit is dus een laatste stap na een lange reeks, geen sanctie die direct volgt op één incident. Voor belangrijke entiteiten bestaat deze mogelijkheid niet in de Cbw.

Boetes voor de organisatie

Los daarvan kan de organisatie zelf een boete krijgen. Voor overtreding van onder meer de zorgplicht en de meldplicht is het maximum bij essentiële entiteiten € 10 miljoen of 2% van de wereldwijde jaaromzet als dat hoger is (artikel 80). Bij belangrijke entiteiten is dat € 7 miljoen of 1,4% (artikel 87). Dit zijn maximumbedragen, geen vaste boetes.

En civiele aansprakelijkheid?

In de tekst van de Cbw hebben wij geen aparte regeling gevonden over de civiele aansprakelijkheid van bestuurders, bijvoorbeeld voor schade van klanten. Daarvoor gelden de gewone Nederlandse regels over bestuurdersaansprakelijkheid. Een incident betekent niet automatisch dat u als bestuurder persoonlijk aansprakelijk bent. Feiten, uw eigen handelen en de toepasselijke regels bepalen dat. Laat u bij een concrete vraag adviseren door een jurist.

Wel is duidelijk: als u niet kunt laten zien dat het bestuur maatregelen heeft goedgekeurd en heeft gevolgd, staat u zwakker. Bij de toezichthouder, maar ook bij een claim of een verzekeraar.

Zo maakt u uw rol aantoonbaar

De RDI kan om uw certificaat vragen en om bewijs dat maatregelen zijn goedgekeurd. Met deze stappen bent u voorbereid:

1. Leg de goedkeuring vast. Neem een bestuursbesluit over de maatregelen, met datum, en verwijs naar de risicoanalyse. Bijvoorbeeld: "het bestuur keurt MFA op alle beheertoegang van routers en SBC's goed, met budget en eigenaar".
2. Bespreek risico's vast op de agenda. Kies een eigen ritme, bijvoorbeeld elk kwartaal. Bespreek dan de grootste risico's, zoals uitval van een carrier, toll fraud op SIP-trunks, DDoS en bereikbaarheid van 112. Dit ritme is uw keuze, geen wettelijke termijn.
3. Laat u rapporteren. Vraag een korte bestuursrapportage: stand van maatregelen, incidenten, open punten en besluiten die nodig zijn.
4. Leg delegatie vast. Schrijf op wie wat uitvoert en welke bevoegdheden die persoon heeft bij een incident. Delegeren mag. De goedkeuring blijft bij het bestuur.
5. Bewaar de certificaten. Bewaar per bestuurder het trainingscertificaat en bewijs van bijscholing in één dossier.
6. Test de meldroute. Weet wie beslist of een incident significant is en wie meldt. Zie Meldplicht bij een incident.

In het NIS2-portaal legt u maatregelen, risico's, incidenten en besluiten vast. U maakt er ook een bestuursrapportage mee. Zo heeft u het bewijs op één plek als de toezichthouder erom vraagt.

Volgende stap

Begin met de gratis zelfscan (ongeveer 15 minuten). U ziet dan of u onder de wet valt en waar de grootste gaten zitten. Wilt u als bestuurder de kennis opdoen die de wet vraagt? Bekijk dan de NIS2-cursus met bestuurdersspoor.