Boetes en handhaving: wat riskeert u echt

De Cyberbeveiligingswet heeft tanden. Maar wie begrijpt hoe de handhaving werkt, weet ook dat de eerste klap zelden een boete is en dat aantoonbare inspanning het beste schild is.

De maximale boetes

Hoe de handhaving werkt

Essentiële entiteiten krijgen proactief toezicht: de toezichthouder kan audits en inspecties uitvoeren zonder aanleiding. Belangrijke entiteiten krijgen toezicht achteraf: de toezichthouder komt in actie na een incident, melding of signaal. In beide gevallen begint handhaving doorgaans met een waarschuwing of bindende aanwijzing met een hersteltermijn; de boete is het sluitstuk voor wie niet meewerkt of ernstig nalatig is. Niet registreren, niet melden of geen basisdossier kunnen tonen zijn daarbij de meest zichtbare overtredingen.

Bestuurders persoonlijk

Nieuw is dat het bestuur aantoonbaar betrokken moet zijn: maatregelen goedkeuren, toezicht houden, opleiding volgen. Bij ernstige verwijtbaarheid kan de rechter bestuurders van essentiële entiteiten zelfs tijdelijk hun functie ontzeggen. Voor de gemiddelde bestuurder is de praktische boodschap simpel: zorg dat u kunt laten zien dat u het serieus heeft genomen.

Het beste schild: een dossier

Toezichthouders wegen inspanning mee. Een organisatie die geregistreerd staat, de tien maatregelen aantoonbaar heeft opgepakt en incidenten netjes meldt, staat er fundamenteel anders voor dan een organisatie die niets kan laten zien, ook als er toch iets misgaat. Begin met de checklist en bouw het dossier op.

Hoe handhaving in de praktijk verloopt

Een toezichthouder begint niet met een boete. De praktijk verloopt in stappen, en bij elke stap kunt u de zaak nog rechtzetten. Dat is belangrijk om te weten, omdat het de angst wegneemt die veel organisaties verlamt.

1. Informatieverzoek. De toezichthouder vraagt documenten op. Vaak naar aanleiding van een melding, een signaal uit de sector of een steekproef.
2. Onderzoek. Gesprekken, soms een inspectie ter plaatse. Hier blijkt of uw dossier klopt met de werkelijkheid.
3. Aanwijzing. Een formele opdracht om binnen een termijn iets te herstellen. Dit is het meest voorkomende instrument.
4. Last onder dwangsom. Herstelt u niet op tijd, dan gaat er een bedrag per dag of per overtreding lopen.
5. Bestuurlijke boete. Het zwaarste middel, gereserveerd voor ernstige of hardnekkige gevallen.

Voor essentiële entiteiten geldt bovendien proactief toezicht: de toezichthouder kan langskomen zonder dat er iets is gebeurd. Belangrijke entiteiten krijgen toezicht achteraf, dus pas na een incident of een signaal.

Andere sancties dan geld

De boete krijgt de aandacht, maar er zijn maatregelen die ingrijpender zijn voor de bedrijfsvoering.

• Openbaarmaking. De toezichthouder kan een overtreding publiceren, inclusief de naam van de organisatie. Voor een dienstverlener is dat commercieel schadelijker dan het bedrag.
• Tijdelijke schorsing van een bestuurder. Bij essentiële entiteiten kan een leidinggevende tijdelijk zijn functie niet uitoefenen.
• Opschorting van een vergunning of certificering in sectoren waar die vereist is.
• Verplichte audit op kosten van de organisatie zelf.

Bestuurdersaansprakelijkheid

Dit is het onderdeel waar bestuurders wakker van moeten liggen, en niet van het boetebedrag. De wet legt de goedkeuring van de maatregelen en het toezicht op de uitvoering expliciet bij het bestuur. Verzaakt het bestuur die taak aantoonbaar, dan kan het persoonlijk worden aangesproken.

Wat helpt, is eenvoudig en kost weinig: laat het bestuur de risicoanalyse en het beveiligingsbeleid formeel vaststellen, met datum, en leg vast dat de verplichte training is gevolgd. Notulen van een vergadering waarin cybersecurity op de agenda stond, zijn in een aansprakelijkheidsdiscussie meer waard dan welk technisch rapport ook. Lees meer over bestuurdersaansprakelijkheid onder NIS2.

Wat de toezichthouder meeweegt

Bij het bepalen van een sanctie kijkt de toezichthouder onder meer naar de ernst en de duur van de overtreding, of het opzet of nalatigheid was, welke schade er is ontstaan, of u zelf gemeld heeft en meegewerkt, en of u eerder in de fout ging. Ook de omvang van de organisatie telt mee: van een bedrijf met 60 medewerkers wordt iets anders verwacht dan van een netbeheerder.

Aantoonbaar bezig zijn weegt zwaar mee. Een organisatie met een gedateerd plan, een bestuursbesluit en een realistische planning wordt anders behandeld dan een organisatie die niets kan laten zien.

Wat u kunt doen als u een brief krijgt

Een informatieverzoek van de toezichthouder is geen boete en geen beschuldiging. Het is een vraag om documenten, met een termijn. Hoe u daarop reageert, bepaalt in belangrijke mate hoe het verdergaat.

• Reageer op tijd. Lukt de termijn niet, vraag dan uitstel voordat hij verstrijkt. Stilte wordt uitgelegd als onwil.
• Lever wat er gevraagd wordt, niet meer. Een stapel ongevraagde documenten maakt de indruk dat u iets wilt verbergen in de massa.
• Wees eerlijk over gaten. Zeg wat er niet is, met een planning erbij. Een aantoonbaar plan weegt mee; een onjuiste opgave die later uitkomt, weegt zwaar tegen u.
• Leg vast wie erover gaat. Eén contactpersoon, en het bestuur op de hoogte. Losse antwoorden uit verschillende hoeken van de organisatie leveren tegenstrijdigheden op.

Veelgestelde vragen

Krijg ik meteen een boete als ik nog niet klaar ben?

Nee. In de praktijk begint handhaving met een informatieverzoek of een aanwijzing met een hersteltermijn. Boetes zijn bedoeld voor ernstige of hardnekkige gevallen, niet voor organisaties die aantoonbaar bezig zijn.

Kan een boete verhaald worden op de bestuurder privé?

De bestuurlijke boete wordt aan de organisatie opgelegd. Persoonlijke aansprakelijkheid van bestuurders is een aparte route en vereist dat aantoonbaar sprake is van nalatigheid in de toezichttaak. Het is geen automatisme, maar het risico is reëel genoeg om het bestuursbesluit netjes vast te leggen.

Word ik gestraft als ik een incident meld?

Melden is verplicht en leidt niet automatisch tot handhaving. Het omgekeerde is riskanter: een incident dat later alsnog boven water komt terwijl u niet gemeld heeft, is een zelfstandige overtreding en weegt zwaar mee.

Gelden er lagere boetes voor belangrijke entiteiten?

Ja. Voor essentiële entiteiten ligt het maximum hoger dan voor belangrijke entiteiten. De verplichtingen zelf zijn vrijwel identiek; het verschil zit in de zwaarte van het toezicht en het maximum van de sanctie.