Key takeaways
- Cybersecurity is niet langer uitsluitend een verantwoordelijkheid van de IT-afdeling.Onder de Belgische NIS2-wet moeten de bestuursorganen de maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren en toezien op de uitvoering ervan.
- Die verantwoordelijkheid kan niet volledig worden gedelegeerd.Een CISO, IT-afdeling of externe dienstverlener kan een belangrijke operationele rol opnemen, maar het bestuursorgaan behoudt zijn eigen wettelijke verantwoordelijkheid.
- Opleiding is verplicht.Leden van bestuursorganen moeten voldoende kennis en vaardigheden verwerven om cyberrisico’s te kunnen identificeren en de risicobeheersmaatregelen van de organisatie te beoordelen.
- Niet-naleving kan verregaande gevolgen hebben.Naast aanzienlijke administratieve boetes voor de organisatie voorziet de NIS2-wet in verantwoordelijkheid op bestuursniveau en, voor essentiële entiteiten en onder specifieke voorwaarden, zelfs in een tijdelijk verbod om bepaalde leidinggevende functies uit te oefenen voor bestuurders.
Cybersecurity is niet alleen een IT-verantwoordelijkheid
Cybersecurity werd lange tijd voornamelijk als een technische aangelegenheid beschouwd. De verantwoordelijkheid lag bij de IT-afdeling, de Chief Information Security Officer (CISO) of een externe cybersecuritydienstverlener.
De NIS2-wet maakt duidelijk dat deze aanpak niet langer volstaat.
Voor essentiële en belangrijke entiteiten legt artikel 31 van de Belgische NIS2-wet uitdrukkelijke verplichtingen op aan de bestuursorganen. Zij moeten de maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren, toezien op de uitvoering ervan en dragen verantwoordelijkheid wanneer de entiteit haar verplichtingen inzake die maatregelen niet naleeft.
Cybersecurity wordt daarmee ook een kwestie van corporate governance.
De verantwoordelijkheid kan niet volledig worden gedelegeerd
Dat betekent niet dat bestuurders zich moeten bezighouden met de dagelijkse technische uitvoering van cybersecuritymaatregelen. De operationele verantwoordelijkheid kan uiteraard bij gespecialiseerde medewerkers worden gelegd. Een CISO, IT-team of externe dienstverlener kan risicoanalyses uitvoeren, beveiligingsmaatregelen implementeren en incidenten opvolgen.
Evenwel kan het bestuursorgaan (en de bestuurders die hier lid van uitmaken) zijn eigen wettelijke rol niet volledig uitbesteden. Het moet voldoende betrokken blijven om de voorgestelde maatregelen te kunnen beoordelen, ze goed te keuren en toe te zien op hun daadwerkelijke uitvoering.
In de praktijk betekent dit dat het bestuursorgaan onder meer zicht moet hebben op de belangrijkste cyberrisico’s van de organisatie, de maatregelen die daartegen worden genomen en de manier waarop de implementatie ervan wordt opgevolgd.
Cybersecurityopleiding voor bestuursorganen is verplicht
Om die verantwoordelijkheid op een geïnformeerde manier te kunnen uitoefenen, voorziet de NIS2-wet ook uitdrukkelijk in een opleidingsverplichting.
Leden van bestuursorganen van essentiële en belangrijke entiteiten moeten een opleiding volgen zodat zij over voldoende kennis en vaardigheden beschikken om cyberrisico’s te identificeren. Deze opleiding moet hen ook toelaten de praktijken voor het beheer van cyberbeveiligingsrisico’s en hun impact op de dienstverlening van de organisatie beter te beoordelen.
Van bestuurders wordt dus niet verwacht dat zij cybersecurityexperten worden. Wel moeten zij voldoende kennis hebben om met kennis van zaken beslissingen te kunnen nemen en effectief toezicht uit te oefenen.
Wat zijn de gevolgen bij niet-naleving?
De mogelijke gevolgen van niet-naleving zijn aanzienlijk.
Wanneer een essentiële entiteit haar verplichtingen inzake cyberbeveiligingsmaatregelen of incidentmelding niet naleeft, kan volgens de Belgische NIS2-wet een administratieve boete worden opgelegd van 500 euro tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet van het voorgaande boekjaar, waarbij het hoogste bedrag geldt.
Voor belangrijke entiteiten kan de boete oplopen van 500 euro tot 7 miljoen euro of 1,4% van de totale wereldwijde jaaromzet, opnieuw waarbij het hoogste bedrag geldt. Deze administratieve boetes worden opgelegd aan de betrokken entiteit.
Daarnaast maakt de wet duidelijk dat verantwoordelijkheid niet uitsluitend bij de organisatie als rechtspersoon ligt. Artikel 31 legt verantwoordelijkheid bij de bestuursorganen voor inbreuken op de verplichtingen inzake cyberbeveiligingsmaatregelen. Artikel 61 bepaalt bovendien dat bepaalde natuurlijke personen die verantwoordelijk zijn voor of optreden als wettelijke vertegenwoordiger van een essentiële of belangrijke entiteit, verantwoordelijk zijn voor tekortkomingen in hun plicht om toe te zien op de naleving van de wet.
Dit betekent echter niet dat ieder cyberincident automatisch leidt tot persoonlijke aansprakelijkheid van een bestuurder. Wel maakt NIS2 duidelijk dat cybersecurity niet eenvoudigweg kan worden doorgeschoven naar de IT-afdeling zonder voldoende betrokkenheid en toezicht op bestuursniveau.
Kan een bestuurder tijdelijk uit zijn functie worden gezet?
Voor essentiële entiteiten voorziet artikel 60 van de Belgische NIS2-wet bovendien in een bijzonder verregaande handhavingsmaatregel.
Wanneer de door de bevoegde autoriteit gevraagde maatregelen niet binnen de opgelegde termijn worden genomen, kan tijdelijk worden verboden dat een natuurlijke persoon die leidinggevende verantwoordelijkheden uitoefent op het niveau van algemeen directeur (CEO) of wettelijke vertegenwoordiger nog leidinggevende verantwoordelijkheden binnen de betrokken entiteit uitoefent.
Van IT-risico naar governance verantwoordelijkheid
De boodschap van NIS2 is duidelijk: cybersecurity kan niet langer uitsluitend binnen de IT-afdeling worden georganiseerd.
Bestuursorganen moeten kunnen aantonen dat zij voldoende zicht hebben op de cyberrisico’s van hun organisatie, passende maatregelen hebben goedgekeurd, de uitvoering daarvan opvolgen en over voldoende kennis beschikken om die verantwoordelijkheid daadwerkelijk uit te oefenen.
Cybersecurity is daarmee niet alleen een technisch risico, maar ook een governance- en bestuursverantwoordelijkheid.
Organisaties die cybersecurity structureel opnemen in hun besluitvorming, rapportering en opleiding van bestuursleden zijn dan ook beter geplaatst om niet alleen hun cyberrisico’s te beheersen, maar ook hun verplichtingen onder NIS2 aantoonbaar na te leven.
