Bestuurdersaansprakelijkheid onder NIS2 en de CBW

De Cyberbeveiligingswet legt uitdrukkelijk verantwoordelijkheid bij de leiding van de organisatie. Bestuurders keuren de maatregelen goed, zien toe op de uitvoering en moeten aantoonbaar kennis hebben van de risico’s.

Dat is een van de grootste veranderingen ten opzichte van eerdere wetgeving, waarin cybersecurity vooral een zaak van de IT-afdeling was. Nu is het een bestuurlijk onderwerp met een eigen verantwoordingsplicht.

Hieronder leest u wat er precies van bestuurders wordt verwacht, wat aantoonbare kennis in de praktijk betekent en hoe u het vastlegt.

Wat de wet van bestuurders vraagt

Drie dingen. Ten eerste het goedkeuren van de maatregelen die uit de risicobeoordeling volgen. Dat is een besluit, geen kennisname.

Ten tweede het toezien op de uitvoering. Er moet dus een terugkoppeling zijn: gebeurt wat er is besloten, en zo niet, wat wordt eraan gedaan.

Ten derde het volgen van scholing, zodat bestuurders de risico’s en de maatregelen kunnen beoordelen. Dat is niet vrijblijvend bedoeld: er wordt verwacht dat het aantoonbaar is.

Wat aantoonbare kennis betekent

Dit is de bepaling waar de meeste vragen over komen. Aantoonbaar betekent dat het ergens vastligt, en niet dat bestuurders technisch specialist moeten worden.

Wat volstaat is bescheiden: een verslag van een sessie waarin het onderwerp is behandeld, een deelnamebevestiging van een training, of notulen waarin staat welke risico’s zijn besproken en welke besluiten zijn genomen.

Wat niet volstaat is een jaarlijkse presentatie zonder besluiten, of een verwijzing naar het feit dat er een security officer is. De verantwoordelijkheid is niet te delegeren, de uitvoering wel.

Hoe u het praktisch inricht

Maak er een terugkerend agendapunt van in plaats van een jaarlijkse gebeurtenis. Een korte bespreking per kwartaal werkt beter dan een lange sessie per jaar, omdat besluiten dan actueel blijven.

Houd de rapportage begrijpelijk. Bestuurders hoeven geen technische details, ze hebben nodig: welke risico’s lopen we, wat doen we eraan, wat blijft open en wat kost dat. Vier vragen, kort beantwoord.

Leg per bespreking vast wie erbij was, wat er is besproken en welke besluiten zijn genomen. Dat is uw bewijs, en het kost tien minuten per keer.

Aansprakelijkheid in perspectief

Rond dit onderwerp wordt veel geschreven in stevige bewoordingen. Nuchter bekeken komt het hierop neer: de wet maakt het bestuur verantwoordelijk voor het goedkeuren van maatregelen en het toezien op de uitvoering, en er kan worden gehandhaafd als dat niet gebeurt.

Wat de meeste organisaties in de praktijk eerder merken, is iets anders: opdrachtgevers en verzekeraars die vragen hoe het bestuurlijk is belegd. Dat komt doorgaans eerder langs dan een toezichthouder.

De praktische conclusie is dezelfde in beide gevallen. Zorg dat het onderwerp op de agenda staat, dat er besluiten worden genomen en dat het is vastgelegd.

Wat een goede bestuursrapportage bevat

De meeste organisaties worstelen niet met de vraag of het bestuur betrokken moet zijn, maar met hoe zo’n bespreking eruitziet zonder een technische sessie te worden.

Vier onderdelen volstaan. Ten eerste de belangrijkste risico’s in gewone taal, met wat er zou gebeuren als het misgaat en niet met welke techniek erachter zit. Ten tweede de stand van de maatregelen: wat is af, wat loopt, wat is uitgesteld en waarom.

Ten derde de incidenten sinds de vorige bespreking, met wat eruit is geleerd. Ook als er niets is gebeurd is dat een mededeling waard, want een organisatie die nooit iets registreert is zelf een signaal.

Ten vierde de besluiten die nu nodig zijn, met wat ze kosten. Dat is het deel waarvoor het bestuur er zit, en het is precies het deel dat in veel rapportages ontbreekt.

Vier onderdelen, twee pagina’s, een kwartier bespreking. Dat is genoeg en het levert de vastlegging op die de wet vraagt.

Wat een goede bestuursrapportage bevat

De meeste organisaties worstelen niet met de vraag of het bestuur betrokken moet zijn, maar met hoe zo’n bespreking eruitziet zonder een technische sessie te worden.

Vier onderdelen volstaan. Ten eerste de belangrijkste risico’s in gewone taal, met wat er zou gebeuren als het misgaat en niet met welke techniek erachter zit. Ten tweede de stand van de maatregelen: wat is af, wat loopt en wat is uitgesteld, met de reden erbij.

Ten derde de incidenten sinds de vorige bespreking, met wat eruit is geleerd. Ook als er niets is gebeurd is dat een mededeling waard, want een organisatie die nooit iets registreert is zelf een signaal.

Ten vierde de besluiten die nu nodig zijn, met wat ze kosten. Dat is het deel waarvoor het bestuur er zit, en het is precies het deel dat in veel rapportages ontbreekt.

Vier onderdelen, twee pagina’s, een kwartier bespreking. Dat is genoeg en het levert de vastlegging op die de wet vraagt.

Wat u vastlegt en waar

Aantoonbaar is het sleutelwoord, en dat betekent in de praktijk iets bescheidens: er moet ergens staan dat het is gebeurd.

Leg per bespreking vast wie aanwezig was, welke risico’s zijn behandeld, welke maatregelen zijn goedgekeurd, welke punten open blijven en met welke termijn. Notulen volstaan, mits ze deze punten bevatten en niet alleen dat het onderwerp aan de orde is geweest.

Bewaar daarnaast bewijs van de scholing: een deelnamebevestiging, een verslag van een sessie of de presentatie met de datum erbij. Dat hoeft geen certificaat te zijn.

Houd het op één plek, samen met de rest van uw dossier. Bij een toezichtvraag wordt dit doorgaans als eerste opgevraagd, en dan wilt u niet in agenda’s en mailboxen gaan zoeken naar wat er vorig jaar is besproken.

Veelgestelde vragen over bestuurdersaansprakelijkheid

Moeten bestuurders een cursus volgen?

De wet vraagt dat bestuurders voldoende kennis hebben om risico’s en maatregelen te kunnen beoordelen. Een gerichte sessie voor de directie volstaat meestal, mits die is vastgelegd. Zie ook de boardroomtraining op trainingen NIS2.

Kan het bestuur de verantwoordelijkheid delegeren?

De uitvoering wel, de verantwoordelijkheid niet. U kunt een security officer aanstellen die het werk doet, maar het goedkeuren van de maatregelen en het toezien op de uitvoering blijft bij de leiding.

Wat als wij geen formeel bestuur hebben?

Dan geldt het voor de personen die feitelijk leidinggeven. De wet kijkt naar wie de besluiten neemt, niet naar de titel op het visitekaartje.

Hoe vaak moet het bestuur worden bijgepraat?

De wet noemt geen frequentie. In de praktijk werkt een kort kwartaalpunt beter dan een jaarlijkse sessie, omdat besluiten dan actueel blijven en de vastlegging vanzelf ontstaat.

Wat moet er minimaal worden vastgelegd?

Wie aanwezig was, welke risico’s zijn besproken, welke maatregelen zijn goedgekeurd en welke punten open blijven met een termijn. Dat past op een half A4 en het is precies wat er bij toezicht wordt gevraagd.