Cyberbeveiligingswet: wat betekent bestuurlijke aansprakelijkheid concreet?
De Cyberbeveiligingswet introduceert iets wat in Nederlandse wetgeving op dit vlak nieuw is. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij onvoldoende zorgvuldig hebben gehandeld bij de beveiliging van netwerk- en informatiesystemen.
Dat is een fundamentele verschuiving. Informatiebeveiliging stond jarenlang op de agenda van de IT-afdeling; de wet maakt het een bestuursverantwoordelijkheid. Niet als zachte aanbeveling, maar als wettelijke verplichting met persoonlijke consequenties. Voor veel bestuurders is de vraag dan ook niet of ze iets moeten doen, maar wat ze concreet moeten kunnen aantonen.
Wat zegt de wet precies?
De wet verplicht bestuurders van essentiële en belangrijke entiteiten toe te zien op de naleving van de zorgplicht. Dat toezicht is niet vrijblijvend. De wet vereist dat bestuurders:
- Kennis nemen van de beveiligingsmaatregelen die de organisatie treft;
- Deelnemen aan trainingen om hun kennis op peil te houden;
- Aantoonbaar betrokken zijn bij de risicoafweging en de besluitvorming over beveiligingsmaatregelen.
Als een incident optreedt en blijkt dat het bestuur onvoldoende zorgvuldig heeft gehandeld, kan de toezichthouder een bestuurder persoonlijk aanspreken. Dat kan leiden tot een tijdelijk verbod om leidinggevende functies te vervullen, naast de boetes die de organisatie zelf kan opgelegd krijgen.
Wat betekent “onvoldoende zorgvuldig”?
De wet definieert dit niet tot op de letter. De toezichthouder beoordeelt per geval of een bestuurder heeft gehandeld zoals van een redelijk en bekwaam bestuurder mag worden verwacht. In de praktijk zijn er drie situaties die snel als onvoldoende zorgvuldig worden beoordeeld.
Geen betrokkenheid bij risicoafweging
Een bestuurder die niet kan aantonen dat beveiligingsrisico’s op bestuursniveau zijn besproken en afgewogen, heeft een zwakke positie. Het is niet voldoende dat de CISO of IT-manager de risico’s kent. Het bestuur moet ze kennen en er aantoonbaar een besluit over hebben genomen, al is dat besluit het bewust aanvaarden van een risico.
Geen opvolging van bekende risico’s
Als uit een audit, een risicoanalyse of een eerder incident blijkt dat een bepaald risico bestaat, en het bestuur heeft geen maatregelen genomen en heeft het ook niet aantoonbaar afgewogen, is er sprake van nalatigheid. Risicoaanvaarding zonder vastlegging telt niet als zorgvuldig handelen.
Geen aantoonbare governance
Informatiebeveiliging die uitsluitend op operationeel niveau leeft, zonder zichtbare betrokkenheid van het bestuur, is onvoldoende. De wet verwacht dat governance op beveiligingsgebied structureel is ingebed in de bestuursprocessen, niet als periodieke update maar als vast onderdeel van de besluitvorming.
Hoe bescherm je jezelf als bestuurder?
Bescherming begint bij aantoonbaarheid. Een bestuurder die kan laten zien dat hij actief betrokken is geweest bij beveiligingsbeslissingen, staat juridisch en bestuurlijk sterk. Dat vereist geen technische expertise. Het vereist governance.
Zorg dat informatiebeveiliging op de bestuurstafel staat
Niet als periodieke update van de IT-afdeling, maar als structureel agendapunt. Risicorapportages, incidentevaluaties en beveiligingsbeslissingen horen thuis in de bestuursvergadering en worden vastgelegd in de notulen.
Documenteer risicobesluiten
Als het bestuur besluit een bepaald risico te aanvaarden, leg dat vast: datum, overweging, besluit en wie aanwezig was. Dat is de directe tegenhanger van het verwijt van nalatigheid.
Volg de wettelijk vereiste training
De wet verplicht bestuurders expliciet hun kennis op peil te houden. Een aantoonbaar gevolgde training op het gebied van cybersecurity governance is een directe invulling van die verplichting en tegelijkertijd bewijs van betrokkenheid.
Richt een meldproces in dat ook het bestuur betrekt
Bij een significant incident moet het bestuur direct worden geïnformeerd. De meldketen naar de toezichthouder loopt via de organisatie, maar de bestuurlijke verantwoordelijkheid voor die melding ligt bij de top. Wie dat proces niet heeft ingericht, kan bij een incident aantoonbaar tekort zijn geschoten.
Het verschil tussen certificering en bescherming
Een 27001-certificaat toont aan dat het managementsysteem op het moment van de audit voldeed aan de normeisen. Dat is waardevol. Maar het beschermt een bestuurder niet persoonlijk als blijkt dat hij of zij na de audit geen actieve rol heeft gespeeld in de beveiliging van de organisatie.
De wet kijkt naar gedrag over tijd, niet naar een certificaat op een bepaalde datum. Aantoonbare betrokkenheid, gedocumenteerde besluiten en een structurele governance zijn de enige echte bescherming.
Certificering is het startpunt. Governance is de bescherming.
