Wat moet de directie regelen voor NIS2?

NIS2 maakt de directie eindverantwoordelijk voor cybersecurity. Ontdek wat dat concreet betekent.

De directie van een organisatie is eindverantwoordelijk voor NIS2-compliance. Dat betekent dat bestuurders niet alleen toezicht houden, maar ook actief betrokken moeten zijn bij het goedkeuren van beveiligingsbeleid, het toewijzen van middelen en het bewaken van de naleving. NIS2 legt deze verantwoordelijkheid expliciet bij het hoogste bestuursniveau neer. De vragen hieronder werken dat uit: van concrete verplichtingen tot de eerste stappen die de directie kan zetten.

Wie is er binnen een organisatie verantwoordelijk voor NIS2?

Onder NIS2 is de directie of het bestuur van een organisatie eindverantwoordelijk voor de naleving van de richtlijn. Dit geldt voor alle entiteiten die onder de richtlijn vallen, ongeacht of er een CISO of IT-manager aanwezig is. NIS2 maakt duidelijk dat cybersecurity een bestuurlijke aangelegenheid is, geen puur technisch vraagstuk.

In de praktijk betekent dit dat de directie de kaders stelt, het beveiligingsbeleid goedkeurt en erop toeziet dat de organisatie de juiste maatregelen neemt. Operationele uitvoering kan worden belegd bij een IT-manager, een interne beveiligingsverantwoordelijke of een externe CISO, maar de eindverantwoordelijkheid blijft bij de bestuurders liggen. Delegeren is dus mogelijk; de aansprakelijkheid overdragen niet.

Dit onderscheid is relevant voor middelgrote organisaties waar cybersecurity tot nu toe vooral een IT-aangelegenheid was. NIS2 verandert dat: het onderwerp hoort op de agenda van de directievergadering, niet alleen in het IT-overleg.

Welke concrete verplichtingen legt NIS2 op aan de directie?

NIS2 verplicht de directie om beveiligingsbeleid goed te keuren, toezicht te houden op de uitvoering en aantoonbaar betrokken te zijn bij risicobeheer. Bestuurders moeten ook een basisniveau van kennis hebben over cybersecurity om deze taken verantwoord te kunnen uitvoeren.

De verplichtingen voor de directie omvatten onder meer:

Goedkeuring van risicobeheersmaatregelen: de directie keurt het beveiligingsbeleid en de bijbehorende maatregelen formeel goed.
Toezicht op naleving: bestuurders houden actief toezicht op de uitvoering van beveiligingsmaatregelen en laten zich periodiek informeren over de stand van zaken.
Kennis en bewustzijn: de directie moet aantoonbaar beschikken over voldoende kennis van cyberrisico’s om verantwoorde beslissingen te nemen.
Incidentmelding: de organisatie is verplicht significante incidenten te melden bij de toezichthouder; de directie is verantwoordelijk voor het inrichten van dit meldproces.
Ketenverantwoordelijkheid: de directie moet ook de beveiliging van de eigen toeleveringsketen meenemen in het risicobeheer.

Een goed ingerichte GRC-aanpak helpt organisaties om deze verplichtingen gestructureerd bij te houden en aantoonbaar te maken richting toezichthouders.

Wat zijn de gevolgen als de directie NIS2 niet naleeft?

Als een organisatie NIS2 niet naleeft, kan de toezichthouder handhavend optreden. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima. Wat NIS2 toevoegt ten opzichte van eerdere wetgeving, is dat bestuurders persoonlijk aansprakelijk kunnen worden gesteld.

Persoonlijke aansprakelijkheid betekent dat een bestuurder in bepaalde situaties verantwoordelijk kan worden gehouden voor schade die voortvloeit uit nalatigheid bij de naleving van NIS2. Dit is een wezenlijke verandering voor directies die cybersecurity tot nu toe als een IT-verantwoordelijkheid beschouwden.

Naast financiële sancties kan de toezichthouder ook aanwijzingen geven, audits opleggen of in ernstige gevallen overgaan tot tijdelijke schorsing van leidinggevenden. De exacte bevoegdheden van de Nederlandse toezichthouder worden bepaald door de nationale implementatiewetgeving, die in 2026 verder wordt uitgewerkt. Het is verstandig de actuele ontwikkelingen rondom de implementatie van NIS2 in Nederland te volgen.

Hoe verschilt NIS2 van de oorspronkelijke NIS-richtlijn voor bestuurders?

De oorspronkelijke NIS-richtlijn richtte zich vooral op het beveiligen van netwerk- en informatiesystemen en legde de verantwoordelijkheid primair bij operationele en technische teams. NIS2 verschuift die verantwoordelijkheid expliciet naar het bestuursniveau en breidt tegelijkertijd de reikwijdte van de richtlijn aanzienlijk uit.

De belangrijkste verschillen voor bestuurders zijn:

Bestuurlijke aansprakelijkheid: onder de oorspronkelijke richtlijn was er geen expliciete bepaling over persoonlijke aansprakelijkheid van bestuurders. NIS2 introduceert dit wel, wat de directie een direct belang geeft bij naleving.

Bredere reikwijdte: NIS2 geldt voor meer sectoren en meer organisaties dan de oorspronkelijke richtlijn. Veel middelgrote organisaties die eerder buiten de scope vielen, vallen nu wel onder de verplichtingen.

Strengere eisen aan risicobeheer: waar de eerste richtlijn vrij open was over de invulling van beveiligingsmaatregelen, stelt NIS2 concretere eisen aan onder meer incidentrespons, ketenbeveiliging en bedrijfscontinuïteit.

Actieve betrokkenheid verplicht: NIS2 vereist dat bestuurders aantoonbaar betrokken zijn en voldoende kennis hebben. Dat gaat verder dan het formeel ondertekenen van een beleidsdocument.

Welke eerste stappen moet de directie zetten om NIS2-compliant te worden?

De directie start het best met een gestructureerde beoordeling van de huidige situatie, gevolgd door het vastleggen van verantwoordelijkheden en het goedkeuren van een aanpak. Compliance is geen eenmalig project, maar een doorlopend proces dat bestuurlijke aandacht vraagt.

Een praktisch stappenplan voor de directie:

Bepaal of uw organisatie onder NIS2 valt. Controleer of uw sector en organisatiegrootte u kwalificeren als essentiële of belangrijke entiteit. Bij twijfel is een juridische of specialistische toets verstandig.
Voer een nulmeting uit. Breng in kaart welke beveiligingsmaatregelen al aanwezig zijn en waar de grootste hiaten zitten. Een NIS2-audit geeft snel inzicht in de afstand tot compliance.
Leg verantwoordelijkheden vast. Wijs intern een verantwoordelijke aan voor de dagelijkse uitvoering van het beveiligingsbeleid en zorg dat de directie de eindverantwoordelijkheid formeel aanvaardt.
Stel een beveiligingsbeleid op en keur het goed. Het beleid moet de risicobenadering, maatregelen en incidentprocedures beschrijven. De directie keurt dit document formeel goed.
Zorg voor periodieke rapportage aan de directie. Plan structureel overleg over de stand van cybersecurity, zodat bestuurders aantoonbaar betrokken blijven en tijdig kunnen bijsturen.

Hoe OpenSight helpt bij NIS2-compliance voor de directie

Veel directies weten dat NIS2 iets van hen vraagt, maar weten niet precies waar te beginnen of hoe zij de verantwoordelijkheid praktisch kunnen invullen. Wij helpen organisaties met een heldere nulmeting via een NIS2-audit, zodat de directie direct inzicht krijgt in de huidige situatie en de stappen die nodig zijn. Daarna ondersteunen wij bij het opzetten van beleid, het inrichten van rapportagestructuren en, waar nodig, het bieden van flexibele CISO-expertise zonder dat daarvoor een vaste aanstelling nodig is. Onze aanpak combineert strategisch advies met praktische uitvoering, afgestemd op de omvang en het risicoprofiel van uw organisatie. Wilt u weten waar uw organisatie staat? Vraag een NIS2-audit aan en krijg een concreet beeld van wat de directie moet regelen.