Nieuwe Nederlandse wet maakt topmanagers verantwoordelijk voor cyberbeveiliging

Hoe de plichten van de Cyberbeveiligingswet Nederland veiliger moeten maken

Na een lange aanloop heeft Nederland sinds zaterdag 15 augustus een nieuwe cyberwet: de Cyberbeveiligingswet. Deze late implementatie van de tweede EU-richtlijn voor netwerk- en informatiebeveiliging (NIS2) raakt vooral bedrijven en overheden, maar belooft daarmee ook consumenten digitaal veiliger te maken. Volledige veiligheid is een illusie, maar de Cyberbeveiligingswet legt plichten op die helpen bij digitale dijkversterking.

Ivo Opstelten

'Digitale dijken' is de metafoor die minister Ivo Opstelten ruim tien jaar geleden op de securityconferentie NCSC One gebruikte voor de strijd tegen cybercrime. De toenmalige bewindsman van Justitie en Veiligheid stond ook bekend om zijn uitspraak 'het fenomeen van de cyber', maar had met de dijkvergelijking wel een goed punt. Digitale onveiligheid is namelijk een nationale bedreiging, waarbij een kleine doorbraak grote gevolgen kan hebben.

Digitaal overstromingsgevaar

Achtereenvolgende hackaanvallen en datalekken tonen dit digitale overstromingsgevaar telkens weer aan. Kijk bijvoorbeeld naar datadiefstallen, ransomwareinfecties en digitale verstoringen bij bedrijven die diensten verlenen aan andere bedrijven. Een hack of datalek heeft dan een domino-effect.

Een actueel voorbeeld is dat van logistiek bedrijf CEVA, dat diverse bedrijven en hun klanten raakt. De recente geschiedenis toont vele andere voorbeelden, vaak met enige mate van vlekwerking. Er zijn genoeg gevallen waarbij een klein digitaal lek grote, ontwrichtende gevolgen voor veel Nederlanders had.

Doordat ict-diensten steeds sterker met elkaar verweven zijn, kan een hack bij één leverancier veel organisaties en consumenten raken. Bedrijven kunnen zulke ketenaanvallen moeilijk alleen voorkomen, terwijl getroffen consumenten vaak machteloos staan. Juist daarom legt de Cyberbeveiligingswet de verantwoordelijkheid voor digitale beveiliging nadrukkelijker bij organisaties en hun bestuurders.

Hacks kunnen een domino-effect hebben. Foto: Emily Wabitsch (DPA, AFP, via Getty Images, 136477590)

Nederland werkt al jaren aan betere digitale beveiliging voor organisaties, bedrijven en burgers. Zo kent Nederland overheidsinitiatieven zoals het Nationaal Cyber Security Centrum (NCSC) en het voormalige Digital Trust Center. Deze twee organisaties zijn sinds dit jaar samengevoegd. Daarnaast heeft Nederland het impactvolle vrijwilligersinitiatief Dutch Institute for Vulnerability Disclosure (DIVD) dat kwetsbaarheden opspoort en die verantwoord meldt, zodat bedrijven en organisaties ze kunnen verhelpen. Verder had Nederland al vroeg een meldplicht voor datalekken en liep het voorop met de brede omarming van bedrijfsbeleid voor verantwoorde melding van kwetsbaarheden.

Niet altijd de eerste van de klas

Toch loopt Nederland niet op alle fronten voorop. Op Europees niveau werken overheden ook aan betere digitale beveiliging. Nederland krijgt dan ook – net als alle andere EU-lidstaten – vanuit Europa hulp aangeboden en dwang opgelegd. De nieuwe Cyberbeveiligingswet is een voorbeeld van dat laatste. Deze Nederlandse wet komt voort uit de NIS2-richtlijn, die al zes jaar in de maak is en eind 2022 formeel is aangenomen.

Na het aannemen van een EU-richtlijn krijgen landen de tijd om die op te nemen in hun nationale wetgeving. De ingangsdatum voor implementatie van NIS2 lag op 17 oktober 2024, maar zelfs EU-deadlines blijken niet heilig. Nederland was een van de landen die het niet op tijd rond hadden en zag dat bijna een jaar voor de deadline al. Alleen België en Kroatië waren op tijd klaar.

België was wel op tijd klaar met de NIS2-richtlijn van de Europese Unie.

Op zaterdag 15 augustus is het er alsnog van gekomen voor Nederland. De nieuwe Cyberbeveiligingswet (Cbw) geldt vanaf deze datum. De Cbw verandert veel voor digitale beveiliging en lijkt vooral een zaak voor bedrijven en overheden. Via die partijen raakt het echter ook individuele mensen. Als bedrijven en overheidsorganisaties hun beveiliging beter op orde hebben, zijn consumenten en burgers ook beter beschermd.

De Cbw gaat breder en dieper

De Cbw moet dat einddoel bereiken met een bredere reikwijdte dan bestaande wet- en regelgeving voor cybersecurity. Het gaat niet langer alleen om de relatief kleine groep organisaties en bedrijven die kritieke functies vervullen voor Nederland. De nieuwe wet is van toepassing op ruim 8000 Nederlandse organisaties en bedrijven die belangrijke of essentiële diensten verlenen.

Het gaat bijvoorbeeld om de sectoren energie, drinkwater, vervoer, gezondheidszorg, financiën en digitale infrastructuur zoals telecommunicatie en diensten voor het Domain Name System (DNS). De Cbw moet bescherming bieden tegen de bredere gevolgen van hackaanvallen, zoals stroomuitval, onveilig drinkwater, treinstoringen, uitgevallen ziekenhuissystemen en uitgelekte creditcardgegevens.

De Cyberbeveiligingswet raakt organisaties en bedrijven in diverse sectoren. Bron: NCSC

Het verschil tussen belangrijke en essentiële organisaties en bedrijven zit in hun omvang en de maatschappelijke impact die ze hebben. Het label 'belangrijk' geldt in de regel voor middelgrote organisaties, met meer dan vijftig werknemers en meer dan 10 miljoen euro omzet. Het label 'essentieel' geldt over het algemeen voor grotere organisaties, met meer dan tweehonderdvijftig werknemers en meer dan 50 miljoen euro omzet. Uitzonderingen zijn mogelijk op basis van de functie van een organisatie of bedrijf en de sector waarin het actief is.

De Cbw heeft niet alleen een breder bereik, maar legt ook een reeks doordachte verplichtingen op. Het gaat om een zorgplicht, een meldplicht, een registratieplicht en een toezichtsplicht. Samen moeten deze onze digitale dijken versterken.

Zorgplicht

De zorgplicht bepaalt dat organisaties en bedrijven maatregelen moeten nemen om hun ict-systemen te beschermen tegen cyberincidenten, zoals hackaanvallen. De wet laat niet in het midden wat deze bescherming inhoudt. De Cyberbeveiligingswet verplicht organisaties en bedrijven de risico's in hun ict-omgeving uitgebreid te analyseren en dan op basis daarvan passende maatregelen te nemen. Die maatregelen moeten technisch, operationeel en organisatorisch zijn. Het volstaat dus niet om alleen securitysoftware te draaien, een risicorapport in een mapje te hebben, of een securityverantwoordelijke aan te wijzen.

De zorgplicht reikt verder dan de eigen muren van organisaties en bedrijven. Zij moeten ook nagaan of ingekochte producten, systemen en diensten voldoen aan de toepasselijke cybersecurityregels. Een keten is zo sterk als de zwakste schakel, wat de trend van supplychainaanvallen in de praktijk bewijst. Keurmerken en controles door instellingen moeten helderheid geven over de securitystatus van toeleveranciers.

Zijn digitale sloten goed op slot, of staat er toch wat open? Beeld: Getty Images, JuSun

Naast hun digitale beveiliging moeten organisaties en bedrijven ook hun fysieke beveiliging op orde hebben. Deze bescherming van bijvoorbeeld datacenters moet helpen ongeautoriseerde toegang, sabotage of ongelukken te voorkomen.

Meldplicht

Ook als aan de zorgplicht goed is voldaan, blijven hackaanvallen en datalekken mogelijk. Wanneer dat gebeurt, moeten getroffen organisaties en bedrijven dit melden bij de toezichthouder en het Computer Security Incident Response Team (CSIRT). De toezichthouder is afhankelijk van de sector waarin een organisatie of bedrijf valt. Het CSIRT is in eerste instantie het Nationaal Cyber Security Centrum (NCSC).

Het NCSC biedt het centrale portaal MijnNCSC voor meldingen die automatisch worden doorgestuurd naar een CSIRT voor de betreffende sector. Het portaal van het NCSC geeft organisaties en bedrijven ook informatie over cyberbeveiliging, inclusief analyses van technologie en trends. Die informatie kan ook gaan over meldingen die impact hebben of kunnen hebben op aangesloten organisaties en bedrijven.

Securityincidenten melden moet bij het NCSC. Beeld: Tweakers

De meldplicht geldt niet voor alle securityincidenten, maar alleen voor 'significante incidenten'. Een incident kan significant zijn als het de dienstverlening ernstig verstoort, aanzienlijke financiële schade veroorzaakt of grote schade toebrengt aan andere organisaties of personen. Wanneer een incident precies als 'significant' geldt, verschilt per sector.

Organisaties moeten incidenten in drie stappen melden. Binnen 24 uur moeten ze melden dát er een securityincident is. Binnen 72 uur moeten ze vervolgens melden om wat voor incident het gaat en bijvoorbeeld wat voor data of diensten het raakt. Tot slot moeten ze binnen een maand na de eerste melding een eindverslag indienen met details over het incident, de impact en de gevolgen ervan.

Deze meldingen zijn niet automatisch openbaar, maar moeten Nederlanders uiteindelijk wel behoeden voor securitydrama's die soms onderschat worden en daardoor erger kunnen zijn. Zo wist telecombedrijf Odido niet dat er bij de hackaanval begin dit jaar nog gevoeligere klantgegevens waren gestolen.

Registratieplicht

Een breder en dieper bereik ziet er in combinatie met de zorg- en meldplicht op papier goed uit. Voor een effectieve uitvoering is er meer nodig. Want welke organisaties en bedrijven vallen er nu en in de toekomst onder de Cbw en melden zij ernstige securityincidenten dan wel? Daarvoor legt de Cyberbeveiligingswet een registratieplicht op. Organisaties en bedrijven die voldoen aan criteria als sector, omvang en belang moeten zich registreren in een nationaal register bij het NCSC.

Overheidsorganisaties moeten ook al hun domeinnamen melden bij registratie voor de Cbw.
Bron: Rob Kints/Moment/Getty Images

Overheidsorganisaties moeten bij hun registratie ook alle internetdomeinen melden die zij hebben. Bepaalde organisaties en bedrijven, zoals dienstverleners voor domeinnaamregistratie, konden zich sinds 17 oktober 2024 al registreren. Dat was vrijwillig. Nu is het verplicht. Niet registreren staat gelijk aan een schending van de Cbw. Dat geldt ook als zij incidenten niet melden of hun cyberbeveiliging niet goed verzorgen.

Toezichtsplicht

Wetten en regels staan of vallen met toezicht en handhaving. Als niemand controleert, dan kunnen organisaties en bedrijven wel eens kiezen voor de makkelijke weg, ook als dat eigenlijk illegaal is. Om dit te voorkomen sluit de registratieplicht van de Cbw aan op de toezichtsplicht. De eerste plicht is voor organisaties en bedrijven die onder de nieuwe cybersecuritywet vallen. De tweede geldt voor de toezichthouders in de verschillende sectoren waarop de wet van toepassing is.

De onafhankelijke toezichthouders moeten controleren of organisaties en bedrijven wel voldoen aan de zorgplicht, de meldplicht en de registratieplicht. Deze controle gebeurt niet alleen na een securityincident of naar aanleiding van klachten, maar kan ook vooraf. Bij essentiële organisaties en bedrijven controleren toezichthouders actief en kunnen ze audits laten uitvoeren.

Controle van encryptie. Foto: Dünzl, via Getty Images. (Beeld ter illustratie)

Als na controle blijkt dat een organisatie of bedrijf niet voldoet, kan de toezichthouder een boete opleggen. De hoogte daarvan hangt af van hoe ernstig de plichtsverzaking is, of er nalatigheid of zelfs opzet is, of het de zoveelste keer is. Ook de omvang van de organisatie of het bedrijf speelt mee. Het plafond voor de boetes ligt hoog. Voor belangrijke organisaties en bedrijven is de maximale boete 7 miljoen euro of 1,4 procent van de wereldwijde omzet. Van die twee geldt het hoogste bedrag. Voor essentiële organisaties en bedrijven is de maximale boete 10 miljoen euro of 2 procent van de wereldwijde omzet. Ook hier geldt het hoogste bedrag.

Managers onder druk zetten

De optelsom van zorg, melding, registratie en toezicht brengt digitale beveiliging hoog op de agenda van bestuurders. Dat komt niet alleen door de financiële dreiging van hoge boetes. Een boete is vaak niet de eerste stap. De Cbw moet geen impliciete afkoopoptie bieden, maar tot betere beveiliging leiden.

De Cbw introduceert dan ook het pressiemiddel van aansprakelijkheid voor de hoogste managers binnen organisaties en bedrijven. Zij zijn verantwoordelijk voor het goed inschatten van de cyberrisico's en het nemen van maatregelen om die risico's te beperken. Topmanagers kunnen de verantwoordelijkheid niet meer afschuiven op de security- of IT-afdeling. Zij moeten ook cybersecuritytraining volgen, zodat digitaal analfabetisme geen excuus meer kan zijn.

De Cyberbeveiligingswet zet bestuurders onder druk. Foto: Yuri_Arcurs, Getty Images (beeld ter illustratie)

De aansprakelijkheid geldt niet voor overheidsinstanties, hoewel daar al andere vormen van aansprakelijkheid kunnen gelden. Voor bedrijven is de wettelijke aansprakelijkheid van de Cbw nieuw. Bij grove nalatigheid dreigt zelfs vervolging en beboeting voor bestuurders.

Voordat het zover is, kunnen toezichthouders diepgaande beveiligingsaudits laten uitvoeren, op kosten van een organisatie of bedrijf. Verder kunnen toezichthouders openbaarmaking afdwingen, zodat klanten en het bredere publiek weten dat een organisatie of bedrijf tekortschiet in de digitale beveiliging. En toezichthouders kunnen bestuurders tijdelijk laten schorsen.

Cybersecurity: van sluitstuk naar kopstuk

Cybersecurity is door dit alles niet langer een sluitstuk op de bestuursagenda dat pas aandacht krijgt als er tijd, geld en energie over is. Cybersecurity is nu een kopstuk: iets dat bestuurders echt raakt als het misgaat. Daarmee kan de Cyberbeveiligingswet Nederland veiliger maken. Volledig veilig? Vast niet. Digitale stormen en overstromingen blijven mogelijk, maar met verzwaarde dijken is de kans op grote verstoringen kleiner.

_{Redactie: Jasper Bakker • Eindredactie: Monique van den Boomen}

Reacties (114)

[FrostyPeet]

Zo ken ik de overheid weer.

Wet invoeren en dan in de praktijk met twee maten meten. De overheid zelf die niet echt aansprakelijk te stellen is. Ambtenaren zijn zo goed als onaantastbaar en politici zitten al in de baantjes draaideur.

De grote commerciële bedrijven hebben een uitstekend juridisch team, of kunnen eenvoudig naar een land verhuizen dat niet moeilijk doet.

De zzp-er en mkb-er zal wel het vel over de oren getrokken worden als het fout gaat.

[Lisadr]

Overheid maakt inderdaad veel uitzonderingen voor zichzelf, maar jouw argument over zzp-er en mkb is niet juist. Minimale eis is vijftig werknemers en meer dan 10 miljoen euro omzet, en er zijn sector eisen. ZZP-ers en de meeste MKB bedrijven vallen hier niet onder. Het gaat om ongeveer 8000 Nederlandse organisaties en bedrijven die aan de wet moeten voldoen.

[zx9r_mario]

Als je als eenmanszaak eigen DNS servers runt voor klanten, val je al onder de NIS2 richtlijn.

[DhrRob]

Of het klopt wat je zegt weet ik niet. Maar Is het geheel onterecht dat we wat verplichten voor technieken die zulke gevoelige gegevens kan blootleggen?

[sjirafje]

Dat de ambtenaren zo goed als onaantastbaar zijn is de bedoeling. Ze voeren immers uit wat de bestuurders (politiek) ze opdraagt. De politiek is verantwoordelijk, echter worden politici vrijwel nooit verantwoordelijk gehouden (ook door de kiezers niet!).

[wjn]

Die uitsluiting aansprakelijkheid overheidsinstellingen irriteert mij ook.

De grote commerciële bedrijven hebben een uitstekend juridisch team, of kunnen eenvoudig naar een land verhuizen dat niet moeilijk doet.

Dat wordt lastig, want de NIS2 geldt voor de gehele EU, als je daar diensten aanbiedt. Vandaar ook boetes gerelateerd aan wereldwijde omzet etc.

[Bkim]

Wat ik mis is de verplichting van bedrijven om klanten financieel kosteloos te stellen als deze schade hebben opgelopen door de nalatigheid: lees Odido waarbij klanten voor eigen veiligheid, nieuwe documenten zouden moeten aanvragen. Odido heeft dat niet vergoed terwijl ik dat een verplichting vindt.

[R_Zwart]

Vergelijk het met iemand aanrijden. Voor de verkeersovertreding krijg je een boete die je aan de overheid betaalt. De schade wordt onderling geregeld, al dan niet via een civiele rechtzaak.

[Toine1]

Goede opmerking, want de verantwoordelijke bestuurders zijn over het algemeen verzekerd voor financiële boetes en juridische procedures. Terwijl de boetes vanuit de toezichthoudende organisatie meestal in NL een lachertje zijn.

[MSalters]

Beon? Want volgens mij zijn boetes bij wet niet verzekerbaar.

[Krulliebol]

Op zich bestaat die verplichting al. Als je aan kunt tonen dat je daadwerkelijk schade hebt opgelopen, kun je die gewoon claimen bij Odido. Dat is alleen heel moeilijk.

[The Zep Man]

Bij grove nalatigheid dreigt zelfs vervolging en beboeting voor bestuurders.

Het is een enkele zin, maar dit is een belangrijk aspect dat NIS2 toevoegt. Veel belangrijke ("essentiële" en vitale) sectoren hebben al toezicht die veel overlap kent met Cbw, maar dit deeltje mist tot nu toe.

Alles staat dus bij hoe handhaving zal plaatsvinden, wat men classificeert als "grove nalatigheid" en hoe men inzet op vervolging en boetes. Als bij een lek waarbij grove nalatigheid overduidelijk aanwezig is en alsnog (voor de eerste keer voor een partij) enkel een waarschuwing of milde boete wordt uitgegeven (na maanden of jaren, dus mogelijk latere boekjaren), dan voegt dit niet veel toe.

Denk aan het Odido lek, waarbij overduidelijk (grof?) nalatigheid een element was. Dataretentie was niet (goed) ingericht, waardoor gegevens onnodig veel te lang bewaard werden. Maar ook elke andere hack waarbij een gebrek aan rate limiting en adequate monitoring ervoor zorgt dat een enkel gebruikersaccount binnen een korte periode een heel klantbestand kan leegtrekken.

Nederland is traditioneel niet sterk in handhaving richting bedrijven. Ik ben benieuwd of de Cbw hier verandering in brengt.

[Reactie gewijzigd door The Zep Man op 22 augustus 2026 07:29]

[Blokker_1999]

Bestuurders in een vennootschap zijn nooit immuun geweest bij bewezen nalatigheid. Anders worden bepaalde misdaden wel heel eenvoudig. Even een vennootschap oprichten, jezelf bestuurder maken en bega maar misstappen in naam van je vennootschap.

Bepaalde dingen staan nu gewoon explicieter in de wetgeving. En dat is zeker niet slecht.

Maar hier is een ander punt, je spreekt over het Odido lek, maar wie zegt dat de bestuurders hier nalatig zijn geweest? Als bestuurder kan je niet elk detail gaan nakijken. Je delegeert die taken en vraagt op hoog niveau of alles in orde is en kunt eventueel eens een steekproef laten uitvoeren. Maar je kan je niet met elk detail in de onderneming gaan bezighouden. Je spreekt over rate limiting, maar een bestuurder is geen technisch persoon. Die weet niet eens wat rate limiting is of hoe het na te kijken. Je kan niet zomaar over details gaan en zeggen dat men maar op de hoogte had moeten zijn. Je zal moeten aantonen dat deze bestuurders bewust de cyberveiligheid en relevante wetgeving aan hun laars hebben gelapt. En dat is een veel hogere vereiste.

Ik vraag me ook af hoe effectief deze wetgeving zal zijn. Als ik rondom me heen kijk en zie hoeveel moeite wij hebben om onze klanten, en daar zitten soms grote bedrijven tussen, uit te leggen waarom wij bepaalde aanpassingen wensen in onze relatie met hen, net vanwege NIS2, en zij horen het dan in keulen donderen en werken tegen of weigeren simpelweg. Dan weet ik dat er nog veel werk voor de boeg is.

[ApexAlpha]

Als bestuurder kan je niet elk detail gaan nakijken. Je delegeert die taken en vraagt op hoog niveau of alles in orde is en kunt eventueel eens een steekproef laten uitvoeren. Maar je kan je niet met elk detail in de onderneming gaan bezighouden. Je spreekt over rate limiting, maar een bestuurder is geen technisch persoon. Die weet niet eens wat rate limiting is of hoe het na te kijken. Je kan niet zomaar over details gaan en zeggen dat men maar op de hoogte had moeten zijn. Je zal moeten aantonen dat deze bestuurders bewust de cyberveiligheid en relevante wetgeving aan hun laars hebben gelapt. En dat is een veel hogere vereiste.

Maar dit is nu precies wat er aangepast kan worden. Dat kan dadelijk dus wel.

Net als dat de Financieel Directeur van een organisatie ookniet zelf de boeken controleert maar wel wettelijk verantwoordelijk is om de boeken te laten controleren, interne controle te doen etc...

Juist uitspraken als "ja maar ik ben niet technisch ICT doet dat" kom je dus niet zomaar mee weg. Net als dat de CFO niet zomaar kan zeggen "ja eh de boekhouder doet dat ik heb geen idee".

[Lisadr]

Goed voorbeeldbeeld met CFO. Als bestuurder hoef je inderdaad niet de technische details van cyberbeveiliging te weten, net zoals een CFO niet de technische details van boekhouding hoeft te weten. Maar je moet wel op hoog niveau inzicht en verstand hebben om te kunnen besturen.

Cbw maakt het in ieder geval belangrijk genoeg dat de grootste vereniging van directeuren nu ook een cyberbeveiligingstraining geeft voor bestuurders.

[R_Zwart]

Maar daar zit dan wel een groot verschil tussen een CEO en een CFO. Een CFO is uiteindelijk wel een vakspecialist en van daaruit CFO geworden. Een CEO moet voor veel onderwerpen veel meer vertrouwen op anderen.

[Triblade_8472]

Het punt nu is dat ze niet meer wegkomen met "Wir haben es nicht gewußt".

Ze zijn verplicht rapporten op te laten stellen met de werkelijkheid en hierop te acteren.

Als de ondermanager een vals rapport opstelt is dèze manager hoofdelijk verantwoordelijk, niet de ceo. Het idee van deze wet is dat de ondermanager ook geen mooi weer meer kan èn wil spelen naar boven toe. En zo de hele keten naar beneden.

[Cid Highwind]

Is dat zo?
Wanneer een individu bewust fraude pleegt en de verantwoordelijke in de boardroom er van overtuigt dat het niet het geval is, heb je een interessante casus. Maar het hele idee is dat de eindverantwoordelijke verantwoordelijk is, dus voor de hele keten (staffing, budgetten en dus de output).

Zomaar een medewerker onder de bus gooien terwijl je zelf dus kennelijk niet afdoende hebt zekergesteld je personeel zorgvuldig te selecteren en controleren lijkt me geen makkelijk proces mocht het werkelijk zover komen. Vooral niet omdat de factor moedwil zich natuurlijk lastig laat bewijzen. Het zou ook haaks staan op de intentie van deze wetgeving waarmee expliciet degene die op papier verantwoordelijk zijn, dus ook daadwerkelijk de gevolgen kunnen voelen indien de enkel de lusten, maar niet de lasten nemen van hun positie.

[Triblade_8472]

Zeker is dat zo. Als de bestuurder aangetoond heeft alles eraan gedaan te hebben op de hoogte te zijn en denkt de zaakjes goed voor elkaar te hebben.

Daarbij behoren bijvoorbeeld ook certificeringen/onafhankelijke audits. He moet aantonen dat je er alles aan hebt gedaan.

En als het fout gaat en men bekijkt mailwisseling, dan hoort hier in naar boven te komen dat de bestuurder het goed wil doen incl budgetten.

Als dan een tussenmanager liegt èn een audit geeft geen problemen, dan gaat de bestuurder hier nooit voor verantwoordelijk gehouden kunnen worden.

[Lisadr]

Tegelijkertijd moet een CEO voldoende basiskennis hebben van diverse onderwerpen om te kunnen sturen. Een CEO die geen kennis heeft van financiële zaken en geen jaarverslag kan lezen, is ook niet geaccepteerd. Een CEO kan niet zeggen: "Ik heb geen idee hoe we er financieel voor staan of wat een balans is en vertrouw hiervoor op anderen". Dat hoort ook zo te zijn voor cyberbeveiliging en risicomanagement. Een CEO en andere leden van het bestuur moeten een basiskennis hebben om te kunnen besturen. Cwb maakt het nu verplicht, net zoals er al wetten zijn die aangeven dat bestuurders voldoende financiële kennis moeten hebben om hun taken fatsoenlijk uit te voeren.

[Ananas_hoi]

Daar is dan weer de CTO voor, die wel bekwaam zou moeten zijn in een beetje techniek. Dat is helaas meestal niet het geval.

[jhnddy]

Een goede CEO moet niet zomaar mensen vertrouwen: hij moet ook de bestuurskundige kennis hebben om zaken indien nodig inhoudelijk te kunnen aansturen. Hij moet kunnen controleren of de CFO zijn werk goed doet.

De nieuwe wetgeving voegt daar simpelweg een vereiste aan toe, namelijk kunnen beoordelen of je IT risico's afgedekt zijn en dat bijvoorbeeld extern te laten beoordelen bij kritieke systemen.

[qless]

Bij veel bedrijven is dit helaas niet zo, veel van dit soort functies worden door vriendjes ingevuld

[PdeBie]

Maar je moet wel op hoog niveau inzicht en verstand hebben om te kunnen besturen.

Best bijzonder eigenlijk dat wij dan politici op plekken hebben waar ze 0 verstand van hebben en soms volledig van plek veranderen.

[MSalters]

Ja, het is bepaald geen toeval dat zij uitgesloten zijn van bestuursverantwoordelijkheid.

[FooLsKi]

Je wil idd niet elke paar maanden (laat ik optimistisch blijven) een nieuwe minister Digitale Infrastructuur of zo zoeken

Serieuze noot: ik vraag me af hoe dit dan zit met multinationals. Er wordt al gesproken over een x-percentage wereldwijde omzet als potentiële boete, maar wie is er dan eindverantwoordelijk? Is dat de lokale topman/-vrouw die ook maar op te volgen heeft wat de internationale organisatie opdraagt, of is dat degene die aan het hoofd van de internationale organisatie staat? Want dat kan in sommige (Amerikaanse) gevallen weleens op tegenstand rekenen en evt 'tariffs' (als ze vriendjes zijn met de huidige president)

[Lisadr]

Uitvoerend bestuur is verantwoordelijk. Dus als Microsoft Nederland de Cbw overtreedt in Nederland, zal de Nederlandse CEO Joris Schoonis aansprakelijk worden gesteld en niet de wereldwijde CEO Satya Nadella als de uitvoering in Nederland oorzaak van de overtreding is.

In het geval dat het gaat om uitvoering door CEO Satya Nadella, heeft Nederland echt niet de mogelijkheden om Satya Nadella aan te pakken. Hooguit de maximale boete van 25.000 euro voor bestuurders. Met een inkomen van meer dan 80 miljoen euro per jaar is 25.000 euro niets voor hem.

[Lisadr]

Klopt! De meeste politici zijn geen bestuurders, maar moeten toezicht houden op bestuur (zoals Tweede Kamerleden en raadsleden). Hoewel die ook enige verstand van onderwerpen horen te hebben waar ze toezicht op houden. Praktijk is dat veruit de meeste politici dat niet hebben en daar ook niet op worden geselecteerd.

[player-x]

Best bijzonder eigenlijk dat wij dan politici op plekken hebben waar ze 0 verstand van hebben en soms volledig van plek veranderen.

Dat is niet altijd zo geweest, vroeger hadden partijen als CDA en PvdA 40+ zetels, en vele gespecialiseerde Kamerleden en vak ministers, die +10j ervaring hadden.

Het probleem is: De extreem schrale ondersteuning van onze Kamerleden.

Dus zolang er geen betere ondersteuning, en budget wordt vrijgemaakt voor beleidsmedewerkers en onderzoek, blijft het een trieste aangelegenheid.

[R_Zwart]

Het voorbeeld van de CFO geldt in feite ook voor iedere burger. Als je bijvoorbeeld je belastingaangifte door iemand anders laat doen blijf je nog steeds aansprakelijk voor fouten.

[tw_gotcha]

Even voor de zuiverheid,bij delegeren draag je taken en verantwoordelijkheden over,bij mandateren draag je alleen taken over. Heel veel mensen gebruiken het begrip delegeren terwijl ze mandateren bedoelen. Je kunt dus een onderdirecteur IT hebben die de verantwoordelijkheid heeft als je dat zo inricht.

[hamsteg]

Met het aanscherpen van verantwoordelijkheden 'naar boven' wordt het ook moeilijker om schizofreen aan de ene kant eissen te stellen en aan de andere kant de budgetten daarmee niet in lijn te stellen. Ik heb veel verschillende IT afdelingen gezien en gelukkig zijn er goede uitzonderingen maar vaak zijn ze budgetair de sluitpost van de organisatie. Onbegrijpelijk als je beseft dat bij kantoren eigenlijk iedereen stil valt als de infrastructuur onderuit gaat.

[cricque]

In een kleine onderneming zal iemand nog weet hebben van wat er aan de hand is ... Maar neem een internationale instelling zoals bijvoorbeeld Interbrew (stella). Denk je nu echt dat de topmensen daar iets kaas gegeten hebben van ICT ? Toevallig heb ik ooit een ex CEO van interbrew onmoet (regelrechte blaaskaak en managerpraat alom), maar die vent had geen kaas gegeten van ICT hoor. En de directe lagen eronder ook niet. Het enige wat een CEO "moet" doen is zien dat het bedrijf blijft bestaan en geen slechtere cijfers halen (lees elk jaar moet er groei zijn)

En ze hoeven niet alles qua details te weten, maar dit gaat toch wel een streep te ver. In zo een grote onderneming zitten zoveel tussenlagen. Sorry maar ik zou niet de pineut willen zijn voor een laag of 2-3 tot 15 lager, dikwijls nog gemaakt in een ander land of externe firma etc. De meeste van die "top" managers zijn alleen goed met cijfertjes en ze op te krikken. Soms zelf wat people management, maar als ze hun excel kunnen opstarten zal het veel zijn.

IK heb al in genoeg ICT bedrijven gewerkt en dikwijls gezien dat de CEO met moeite zijn computer kan opzetten hoor. En de aandeelhouders al evenmin

[Siaon]

Maar waarom deden jullie die aanpassingen niet voordat deze wetgeving er was?

[StackMySwitchUp]

Als je een ICT dienstverlener bent dan kun je soms op je kop gaan staan, maar zonder geld en/of toestemming van de klant kun je sommige maatregelen simpelweg niet implementeren. Voorbeeldje: Je hebt om effectief aan bepaalde beveiligingseisen te kunnen voldoen een Microsoft Enterprise Security licentie nodig (user licentie) voor alle gebruikers in de organisatie. Dat schiet je niet even voor als het om 1000 users gaat. Als die klant niet akkoord gaat dan sta je daar met je goede bedoelingen. Met NIS2 kun je in bepaalde gevallen die klant wel overtuigen, vanwege de gevolgen.
Voorheen was het zo dat als er dan wat gebeurt, die klant je heel makkelijk de schuld in de schoenen kan schuiven als jij net niet genoeg op papier hebt om te bewijzen dat ze zelf niet wilden.

[Firestorm666]

Haha, herkenbaar! Zelfs voor iets zo vanzelfsprekend als MFA hebben we een paar klanten die doen alsof we de apacalypse aankondigen hiermee . Gelukkig snappen met afstand de meesten wel het belang van een goed beveiligingsbeleid.

[The Zep Man]

Maar hier is een ander punt, je spreekt over het Odido lek, maar wie zegt dat de bestuurders hier nalatig zijn geweest?

Niemand. Of bestuurders nalatig zijn geweest is irrelevant. Het gaat om of de organisatie nalatig is geweest.

Als bestuurder kan je niet elk detail gaan nakijken. Je delegeert die taken en vraagt op hoog niveau of alles in orde is en kunt eventueel eens een steekproef laten uitvoeren. Maar je kan je niet met elk detail in de onderneming gaan bezighouden.

Irrelevant:

De Cbw introduceert dan ook het pressiemiddel van aansprakelijkheid voor de hoogste managers binnen organisaties en bedrijven. Zij zijn verantwoordelijk voor het goed inschatten van de cyberrisico's en het nemen van maatregelen om die risico's te beperken. Topmanagers kunnen de verantwoordelijkheid niet meer afschuiven op de security- of IT-afdeling.

Het gaat om (eind)verantwoordelijkheid. Nee, een bestuurder op dat niveau houdt zich niet bezig met monitoring of rate limiting. Die houdt zich bezig met het opzetten en beheren van een organisatie waar monitoring en rate limiting uit volgen.

Vergelijk in de VS de Sarbanes-Oxley Act. Nee, de betrokken bestuurders houden zich niet bezig met detailcijfers in de boeken. Toch kunnen die persoonlijk vervolgt worden wanneer door nalatigheid zaken niet kloppen (volgens de wet- en regelgeving, laten we de huidige puinzooi daar even negeren ).

Ook is "Wir haben es nicht gewußt" geen excuus. Onwetendheid is geen excuus om (expliciet geaccepteerde) verantwoordelijkheid te vermijden.

Zoals ik al noemde staat of valt dit met hoe toezichthouders betrokken zijn (kans) en hoe ingezet wordt op vervolging (impact). Organisaties veranderen alleen hun gedrag wanneer een risico groot genoeg is om de verandering te verantwoorden.

[Reactie gewijzigd door The Zep Man op 22 augustus 2026 13:31]

[Croga]

Zoals reeds door anderen hier gezegd: De bestuurder hoeft niet de technische details te kennen maar is wel verantwoordelijk dat er goed mee om gegaan wordt.

Om Odido als voorbeeld te nemen: Nee, de bestuurder hoeft niet te weten hoe de beveiliging geregeld is. Maar de bestuurder kan wel zorgen dat er degelijke audits gedaan worden én dat die opgevolgd worden.
Binnen Odido was al lang bekend dat er een vulnerability was. Daar is door het bestuur niets aan gedaan. Dat is bewust nalatig en nu dus expliciet strafbaar. Zou ditzelfde nog eens gebeuren dan zal het bestuur vervolgd kunnen worden.

[Polydeukes]

Het is simpel: je kunt taken delegeren, verantwoordelijkheid niet. Bestuurders zijn altijd eindverantwoordelijk, tenzij aantoonbaar is dat een medewerker slechte intenties had,of laakbaar gedrag vertoonde. Bij tegoeder trouw ligt de verantwoordelijkheid boven in de top.

[CPM]

"Denk aan het Odido lek, waarbij overduidelijk (grof?) nalatigheid een element was."

Het is maar net hoe een rechter dat classificeert. Odido heeft in dit geval het personeel gewaarschuwd voor de aanvalsmanier. Ondanks dat is er toch iemand ingetrapt. Grove nalatigheid? Wat dan precies?

[useruser]

Het feit dat mijn gegevens er tussen zaten terwijl al jaren geen klant meer was en volgens hun eigen beleid geen onderdeel van deze hack zou moeten kunnen zijn.

[wjn]

Even onafhankelijk welke gegevens dat precies waren:

Lang bewaren van gegevens mag je op konto van de belastingdienst schuiven, met hun omgekeerde bewijslast. Minimaal 10 jaar gegevens bewaren, voor bepaalde zaken is dat de termijn en je weet vooraf nooit welke gegevens je nodig hebt over 10 jaar, en de belastingdienst kan deze termijn nog verlengen als ze dat willen (en reden voor hebben uiteraard).

edit:
Maximale verjaringstermijn belastingdienst is overigens 12 jaar, niet 10 jaar.

[Reactie gewijzigd door wjn op 22 augustus 2026 14:19]

[R4gnax]

Dan is er nog steeds sprake van nalatigheid, want de AVG/GDPR vereist dat je verantwoordelijk met je gegevens omgaat en toepasselijke beveilingsmiddelen daarvoor inzet. Wat o.a. wil zeggen dat historische gegevens die je niet meer in je dagelijks handelen nodig hebt, gearchiveerd horen te staan op een niet-toegankelijk systeem.

[wjn]

100% eens.

Mijn reactie was op het bewaren van gegevens, na aflopen contract. Een bedrijf kan dit soort zaken (verwijderen van gegevens na aflopen contract) dus helemaal niet in de (contract) voorwaarden zetten, want die kunnen ze niet waarmaken.

[DonChaot]

Dat gaat over facturen. Een bsn kan verwijdert worden direct als het contract beeindigd wordt.

[wjn]

Geen idee of het toegestaan is gegevens op die manier te wijzigen (want welke andere gegevens heb je dan ook gewijzigd).

Of je moet je informatie (database) zo organiseren dat bepaalde gegevens gekoppeld zijn, en je ze onafhankelijk van elkaar kunt wissen.

[CPM]

Je haalt twee dingen door elkaar. Dat ze die data nog hebben is (mogelijk) een ander feit dan grove nalatigheid m.b.t. de verantwoordelijkheid van de datadiefstal.

[Transportman]

Ik hoop dat organisaties dit goed praktisch in gaan steken en dat het niet een tijdverspillende papiermolen wordt die niets positiefs bijdraagt maar wel iedereen bezig houden waardoor ze niet kunnen werken aan zaken die wel de veiligheid ten goede komen.

[Krahk]

Wij passen het al een tijd toe in de praktijk. Het kost zeker moeite maar is niet anders dan gewoon het minimale doen om als grote organisatie aantoonbaar in control te zijn over je beveiliging. Het zorgt er in oeder geval voor dat je elke security risico moet vastleggen en afwegen. Het is vooral als je vanaf niks begint dat dit een enorm proces lijkt.

[Lisadr]

Dat zal per organisatie verschillen en afhankelijk zijn van de CISO en auditors. Ik merk dat veel IT auditors en sommige CISOs erg blauw zijn en hier een papiermolen van maken, maar dat is gelukkig niet overal zo.

[R_Zwart]

Veel mensen zijn allergisch voor regels en processen maar als je het goed inregelt valt het allemaal wel mee. Als je security als requirement nummer 1 beschrijft heb je al heel veel gedaan. Het hoeft ook helemaal geen papiermolen te zijn als je het integreert in je bedrijfsprocessen. Voorbeeld: bij ons op het werk is security en privacy onderdeel van alle stappen in het proces, van offerte tot levering en support. Bij het maken van een offerte is er een checklist waar je de relevante zaken invult en dan komt er een lijst van guidelines en requirements die je in de volgende stappen gebruikt. Dat is minutenwerk, maar je borgt dan al direct heel erg veel. Dat heeft uiteraard tijd nodig om op te zetten, maar als je niet doet hoef je binnenkort als bedrijf niets meer te doen….

[Iconlast]

En wat als een ict leverancier bepaalde instanties tegen houdt met voortgang van digitale veiligheid, zou je dit ook kunnen melden?

[CAPSLOCK2000]

En wat als een ict leverancier bepaalde instanties tegen houdt met voortgang van digitale veiligheid, zou je dit ook kunnen melden?

Nee, dan moet je een andere leverancier zoeken.

Hoewel het niet direct over leveranciers gaat is het doel van deze wetgeving juist dat je die verantwoordelijkheid niet meer op een ander af kan schuiven.

Het is misschien wat makkelijk om te zeggen dat je dan maar direct moet wisselen, maar uiteindelijk is het als bij ieder ander product of instrument. Als jij het gebruikt ben jij er uiteindelijk verantwoordelijk voor.

Het is natuurlijk lastig als je afhankelijk bent van één leverancier en er geen alternatief is om naar over te stappen, maar dat is een groter probleem van onze economie en met name de software-wereld.

[Reactie gewijzigd door CAPSLOCK2000 op 22 augustus 2026 07:58]

[Krahk]

Grote bedrijven nemen gedetailleerde contracten af of kopen in via aanbesteding met evenveel regels en detail. Als een leverancier dan weigert zich aan het contract te houden dan ga je in gesprek. Houden ze de poot stijf dan klaag je ze aan of verbreek je legaal het contract. Om aan de nis2 te voldoen moet ie inkopen met de nis2 regels in het contract. Dan zoek je leveranciers die dat kunnen. En leveranciers willen dat vaak juist wel zodat ze aan grotere bedrijven mogen leveren.

[Dion2000]

In basis goed dat het belang van security hiermee benadrukt wordt, zeker in deze tijd. Echter vind ik het nogal wat om dit te verwachten van relatief kleine bedrijven, zeker in sectoren waar marges enorm onder druk staan.. ik zie alleen maar meer en meer wetgeving in brede zin en dat maakt ondernemen niet makkelijker. Je bent als bestuurder overal verantwoordelijk voor, maar kan moeilijk alles overzien op alle specialistische gebieden en ik vind het altijd afschuiven op de ceo erg makkelijk.

Overigens valt me op dat er zo weinig wordt gezegd over het feit dat e.e.a. dus niet geldt voor overheidsorganisaties.. die organisaties verwerken doorgaans veel meer persoonlijke informatie dan een mkb bedrijf. De politiek weet het altijd mooi te draaien, zelf maken ze er een zooitje van, maar zelf aansprakelijk gesteld worden gebeurd nooit. Meestal moeten ze de functie neerleggen en daarmee is het klaar.. en vervolgens krijgen ze ergens anders een goed betaalde baan..

[Firestorm666]

Daarom ben je ook bestuurder van een bedrijf... dat komt nu eenmaal met verantwoordelijkheden. Overigens is dit niet anders dan zoals een externe IT firma zoals een MSP.

Je bent als MSP niet verantwoordelijk voor incidenten bij een bedrijf als je als MSP zijnde je klanten meer dan voldoende hebt geinformeerd en je kan aantonen dat de klant vertikt je aanbevelingen te accepteren.

Je bebt als MSP wel verantwoordelijk als je niks doet of niet meer gedaan hebt dan eens 1x een mailtje te hebben gestuurd.

Net zoals een CEO ook niet verantwoordelijk zal worden gesteld bij incidenten ondanks de nodige nodige maatregelen.

Diezelfde CEO zal wel verantwoordelijk worden gesteld bij incidenten die zijn kunnen gebeuren door het negeren van maatregelen.

Maw: een CEO kan niet meer simpelweg zeggen: das de schuld van m'n IT partner net zoals de IT partner ook niet domweg kan zeggen dat het de schuld is van de bestuurder.

Ik werk voor een MSP met KMO klanten, we nemen soms klanten in beheer waar bijna letterlijk staat: please hack mij.

[Die Bruine]

Voor wie niet wil zoeken: hier kun je het Cbw-NIS2 control framework downloaden.

[webhalla]

Dank U wel voor de link. In verband met open standaards, is dit dan eigenlijk wel weer om te

Wij bieden, naast een Exceldocument, ook een open-source alternatief aan in de vorm van een Opendocument-spreadsheet. Dit werkblad is bijvoorbeeld te openen met LibreOffice Calc, een gratis programma beschikbaar voor Windows, macOS en Linux. Het Cbw (NIS2) Control Framework en alle bijbehorende mappings zijn beschikbaar in deze Opendocument-variant. Het managementdashboard werkt (nog) niet volledig in deze variant vanwege enkele technische beperkingen.

[StGermain]

Bijna 25 jaar geleden hadden we in Amerikaanse beursgenoteerde bedrijven al de Sarbanes-Oxley wet die er gekomen is na het Enron schandaal en in hoofdzaak over de financiele reporting ging maar die ook een belangrijke IT component had. In eerste instantie een pest om alles in procedures te gieten maar bracht wel veel duidelijkheid over welke maatregelen en testen wanneer genomen moesten worden en bij wie de eindverantwoordelijkheid lag.

[Tlamain]

Ook als kleinere MSP’s en MSSP’s kun je overigens rechtstreeks onder de Cyberbeveiligingswet vallen. Deze vormen een afzonderlijke sector en zijn dus niet alleen leverancier van organisaties die onder de wet vallen. de eigen dienstverlening en omvang (medewerkers, omzet en belanstotaal) zijn bepalend, niet die van klanten. Daarnaast kunnen omzet, balanstotaal van verbonden bedrijven (onderdeel van een moederorganisatie) ervoor zorgen dat je ook als een kleine organisatie met weinig medewerkers binnen de wet valt.

[iAR]

Het lijkt me een goed idee om verantwoordelijkheid te stellen. Aan de andere kant, hoeveel is genoeg? Je kunt deze zaken nooit uitsluiten.

Sinds er bij ons een datalek is geweest is er vooral angst voor nieuwe dingen, zoals AI. Moet er een hele papieren tijger opgetuigd worden maar aan de echte data wordt weinig gedaan. Met een Odido’tje zijn we nog steeds de sjaak. Ik ben bang dat er met deze wetgeving nog krampachtig gedaan wordt…