Strategisch toezicht, juridische verantwoordelijkheid en digitale veerkracht onder de NIS2-richtlijn
Inleiding
De Network and Information Security Directive (NIS2) markeert een fundamentele verschuiving in de verantwoordelijkheid voor digitale weerbaarheid. Waar cybersecurity voorheen vooral als een technische aangelegenheid gold, worden bestuurders onder NIS2 expliciet en juridisch aansprakelijk voor de beveiliging van netwerk- en informatiesystemen. Met ingang van 18 oktober 2024 zijn deze verplichtingen in alle EU-lidstaten nationaal van kracht.
NIS2 vormt daarmee niet slechts een cyberregelgeving, maar een governance-regime: een dwingend juridisch kader dat vraagt om bestuurlijke sturing, controleerbare governance en strategische besluitvorming.
1. Juridische verankering van bestuursverantwoordelijkheid
Artikel 20 van Richtlijn (EU) 2022/2555 (NIS2) vereist dat leden van het bestuursorgaan van zowel essentiële als belangrijke entiteiten:
-
het risicobeheersingsbeleid goedkeuren;
-
toezicht houden op de implementatie ervan;
-
en actief deelnemen aan het versterken van de cyberbeveiligingscultuur binnen de organisatie.
Daarbij geldt expliciet een persoonlijke bestuursverantwoordelijkheid voor het falen in het nemen van passende maatregelen. Lidstaten dienen sancties vast te stellen die “doeltreffend, evenredig en afschrikkend” zijn (art. 34 NIS2), waaronder bestuursrechtelijke boetes vergelijkbaar met die onder de GDPR: tot 10 miljoen euro of 2% van de wereldwijde omzet.
2. Van compliance naar veerkracht: strategisch risicomanagement
NIS2 vereist een transitie van incidentgedreven IT-beheer naar systematisch en aantoonbaar risicomanagement (art. 21-23 NIS2). Dit omvat onder meer:
-
cyberrisico-identificatie,
-
supply chain security en audit,
-
incidentdetectie en -melding binnen 24 uur (art. 23),
-
encryptie en business continuity planning,
-
en beveiliging van ICT-diensten van derden (art. 25).
Het gevolg? Cybersecurity wordt onvermijdelijk een structureel onderdeel van het Enterprise Risk Management en de board agenda.
3. Besturen op uitkomsten: het Cybersecurity Uitkomst Canvas
Om deze governanceverantwoordelijkheid concreet en strategisch in te vullen, werkt Cybercompany met het Cybersecurity Uitkomst Canvas. Dit raamwerk ondersteunt raden van bestuur bij het vertalen van juridische verplichtingen naar vijf sturende governance-uitkomsten:
-
Vertrouwen – Bij stakeholders, toezichthouders, afnemers en ketenpartners.
-
Veerkracht – Vermogen om snel te reageren op cyberincidenten en operationele verstoringen.
-
Transparantie – Aantoonbaarheid van besluitvorming, maatregelen en risicoafweging.
-
Toezicht – Heldere verantwoordelijkheden, rapportagelijnen en KPIs naar de board.
-
Verantwoordelijkheid – Juridisch conforme governance- en aansprakelijkheidsstructuren.
Het canvas is compatibel met ISO/IEC 27001, NIST SP 800-161r1 en vormt een brug tussen NIS2, DORA, CRA en de bredere Europese cybersecuritystrategie zoals verankerd in de EU Cybersecurity Act en de Cyber Solidarity Act.
4. Digitale governance als value lever
Organisaties die NIS2 strategisch benaderen, realiseren meer dan louter compliance:
-
Verhoogde digitale weerbaarheid, aantoonbaar voor aandeelhouders en toezichthouders;
-
ESG-integratie, met cybersecurity als pijler in de S van “social” en G van “governance”;
-
Verbeterde M&A-readiness, met supply chain visibility en cyber due diligence;
-
Versterkt marktvertrouwen, door transparante verantwoording en incidentresolutiecapaciteit.
5. Aanbeveling: toetsing bestuurlijke volwassenheid onder NIS2
Voor effectieve implementatie van NIS2 adviseren wij een stapsgewijze aanpak:
-
Een boardroom briefing op basis van juridische risico’s en governanceverplichtingen;
-
Toepassing van het Cybersecurity Uitkomst Canvas voor maturiteitstoetsing;
-
Integratie van NIS2-eisen in het interne controlekader en rapportagestructuur;
-
Voorbereiding op incidentmeldings- en auditprocessen conform art. 27 en 28 NIS2.
Conclusie
NIS2 vereist modern bestuur. NIS2 is geen compliance-project. Het is een bestuursverantwoordelijkheid die vraagt om digitale governance, juridische precisie en strategische visie. Boardleden die deze rol serieus nemen, gebruiken NIS2 niet als een verplichting, maar als een katalysator voor waardecreatie.
Cybercompany begeleidt bestuurders, toezichthouders en general counsel bij de juridische, organisatorische en strategische implementatie van NIS2.
Wilt u een juridische analyse, maturity assessment of board-sessie met het Cybersecurity Uitkomst Canvas? Neem contact met ons op voor een vertrouwelijk adviesgesprek.
Bronnen:
-
Richtlijn (EU) 2022/2555 betreffende maatregelen voor een hoog gezamenlijk niveau van cybersecurity in de Unie (NIS2)
-
Digital Operational Resilience Act (DORA) – Verordening (EU) 2022/2554
-
ENISA – 2024 Report on the State of Cybersecurity in the Union
-
WEF (2025) – Artificial Intelligence and Cybersecurity: Balancing Risks and Rewards
Wilt u meer weten over juridische implicaties van cyberdreiging en hoe u als organisatie voorbereid kunt zijn op het digitale slagveld? Neem contact met ons op of volg onze juridische inzichten op deze blog.
