Bestuurdersaansprakelijkheid bij NIS2

Dit is de bepaling die de Cyberbeveiligingswet onderscheidt van vrijwel alle eerdere regels: cybersecurity is formeel een bestuurskwestie geworden. Het bestuur kan de verantwoordelijkheid niet doorschuiven naar de IT-afdeling, en bij ernstige nalatigheid kunnen bestuurders persoonlijk worden aangesproken.

De drie verplichtingen van het bestuur

1. Goedkeuren. Het bestuur keurt de beveiligingsmaatregelen goed. Dat betekent kennisnemen van de risicoanalyse en expliciet besluiten welke restrisico's aanvaardbaar zijn.
2. Toezien. Het bestuur ziet toe op de uitvoering. In de praktijk via de directiebeoordeling, met besluiten en niet alleen een verslag.
3. Zelf geschoold zijn. Bestuurders moeten training volgen over risicobeheer en cyberbeveiliging, zodat ze de aanpak kunnen beoordelen. Dit is de eis die het vaakst wordt overgeslagen.

Wanneer u persoonlijk risico loopt

Niet bij een incident op zich. Wel wanneer blijkt dat het bestuur wist of had moeten weten dat er iets niet op orde was en er niets mee deed. Het onderscheid dat gemaakt wordt is tussen pech en nalatigheid.

Concreet gevaarlijk zijn situaties waarin een risico is gemeld, opgeschreven en vervolgens jarenlang is blijven staan zonder besluit. Dat is aantoonbaar en het staat in uw eigen documenten.

Wat u dus vastlegt

• dat het bestuur de risicoanalyse heeft gezien, met datum
• welke restrisico's zijn aanvaard en door wie
• de directiebeoordelingen met besluiten, eigenaren en data
• de gevolgde bestuurstraining: wanneer, wat, door wie
• wat er is gedaan met gemelde risico's die niet direct zijn opgelost

Dat laatste punt is uw belangrijkste bescherming. Een risico dat is benoemd, gewogen en bewust aanvaard is een bestuursbesluit. Hetzelfde risico dat is benoemd en genegeerd is nalatigheid.

Bestuur van een kleine organisatie

De eis geldt onverkort, ook als u met twee directeuren bent. De invulling is wel lichter: een training van een dagdeel, een risicoanalyse van vijftien risico's en een jaarlijkse beoordeling van een uur voldoen prima, mits ze echt plaatsvinden en zijn vastgelegd.

Wat dit betekent voor uw agenda

Zet informatiebeveiliging minstens één keer per jaar als apart agendapunt op de bestuursvergadering, met de cijfers en de openstaande punten erbij. Dat is niet alleen wat de wet vraagt, het is ook precies het bewijs waarmee u later kunt aantonen dat u uw rol heeft ingevuld.

Wat een toezichthouder aan uw notulen ziet

De vraag die gesteld wordt is niet of u alles op orde had, maar of het bestuur zijn rol heeft ingevuld. Dat is af te lezen aan drie dingen in uw eigen stukken: staat informatiebeveiliging op de agenda, staan er besluiten in met een eigenaar en een datum, en is er iets gedaan met wat er eerder is gemeld.

Een bestuur dat jaarlijks een uur besteedt en vijf concrete besluiten neemt, staat er aanzienlijk beter voor dan een bestuur dat een uitgebreid beleid heeft goedgekeurd en er daarna nooit meer op terugkwam.

Het verschil tussen aanvaarden en negeren

U hoeft niet elk risico op te lossen. Aanvaarden is een van de vier legitieme keuzes, en bij een klein bedrijf met beperkte middelen is dat vaak de verstandige. Maar aanvaarden is een besluit: benoemd, gewogen, en genomen door iemand die daarover gaat.

Hetzelfde risico dat op een lijst staat zonder besluit is geen aanvaarding maar nalatigheid, en dat onderscheid is precies waar een aansprakelijkheidsvraag op wordt beoordeeld. Zorg dus dat bij elk risico dat u laat liggen staat wie dat besloten heeft en waarom.

Wat de rechtsvorm van uw organisatie uitmaakt

De verplichting ligt bij het leidinggevend orgaan, en wie dat precies is verschilt per rechtsvorm.

• Bv met een directie. De statutaire bestuurders zijn het aanspreekpunt. Bij meerdere bestuurders is de aansprakelijkheid in beginsel hoofdelijk, tenzij een bestuurder aantoonbaar buiten zijn portefeuille stond.
• Eenmanszaak of vof. U bent zelf het bestuur. Er is geen andere laag om de verantwoordelijkheid bij neer te leggen.
• Stichting of vereniging met een raad van toezicht. Het dagelijks bestuur draagt de verplichting, de raad van toezicht heeft een controlerende rol die apart wordt beoordeeld.
• Groep met meerdere entiteiten. Elke entiteit die zelfstandig onder de wet valt, heeft zijn eigen bestuursverplichting. Een concernbrede training dekt dat alleen als iedere bestuurder van iedere entiteit hem daadwerkelijk volgt.

Wat een verkeerde inschatting kost

Bestuurders die ervan uitgaan dat "de IT-manager het regelt" ontdekken vaak pas bij een incident dat er geen enkel document is waaruit blijkt dat het bestuur ooit heeft goedgekeurd, toegezien of getraind. Op dat moment is het te laat om het alsnog vast te leggen: een besluit met terugwerkende kracht overtuigt geen toezichthouder.

Het omgekeerde risico bestaat ook: bestuurders die denken dat één uitgebreide beleidsnotitie voldoende bewijs is. Zonder herhaalde, gedateerde besluiten oogt dat als een eenmalige exercitie in plaats van een lopende verantwoordelijkheid.

De volgorde voor een bestuur dat nog moet beginnen

1. Zet informatiebeveiliging op de eerstvolgende bestuursagenda, ook als het dossier nog leeg is.
2. Laat het bestuur de risicoanalyse zien zodra die er is, met een datum in de notulen.
3. Plan de bestuurstraining binnen het kwartaal, niet "ooit dit jaar".
4. Herhaal de directiebeoordeling jaarlijks en neem elke keer een besluit op, ook als dat besluit is: risico aanvaard, geen actie.

De denkfout: aansprakelijkheid als IT-probleem

De meest gemaakte fout is de aanname dat bestuurdersaansprakelijkheid draait om technische kennis. Dat is niet zo. Een bestuurder hoeft geen firewall te kunnen configureren. Waar het om gaat is bestuurlijke betrokkenheid: heeft u de risico's gezien, heeft u er iets mee gedaan, en kunt u dat aantonen. Wie dat proces goed inricht, hoeft zich geen zorgen te maken over technische details waar hij toch geen verstand van heeft.

Veelgestelde vragen

Kan ik dit delegeren aan mijn IT-manager?

De uitvoering wel, de verantwoordelijkheid niet. Goedkeuren, toezien en de eigen training blijven bij het bestuur.

Welke training moet ik volgen?

De wet schrijft geen specifieke opleiding voor. Het moet gaan over risicobeheer en cyberbeveiliging op bestuursniveau. Leg vast wat u volgde en wanneer.

Geldt dit ook voor commissarissen?

De eis richt zich op het leidinggevend orgaan. Voor toezichthoudende organen geldt de gebruikelijke toezichtsverantwoordelijkheid.

Dekt mijn bestuurdersaansprakelijkheidsverzekering dit?

Vaak deels. Controleer de polis expliciet op cyberbepalingen; niet elke verzekering dekt boetes of nalatigheid.

Zijn alle bestuurders hoofdelijk aansprakelijk of alleen degene die over IT gaat?

In beginsel het hele bestuur, tenzij een bestuurder aantoonbaar geen bemoeienis had en dat ook niet behoorde te hebben.

Moet elke dochteronderneming een eigen bestuurstraining organiseren?

Als elke dochter zelfstandig onder de wet valt: ja, elke bestuurder van elke entiteit moet de training zelf gevolgd hebben.

Wat als ons bestuur net is gewisseld?

Een nieuw bestuur moet zich alsnog binnen redelijke termijn inwerken en trainen. "Wij zaten er nog niet lang" is geen vrijstelling.