{"id":19138,"date":"2026-09-01T09:57:13","date_gmt":"2026-09-01T08:57:13","guid":{"rendered":"https:\/\/www.cranium.eu\/nis2-management-liability\/"},"modified":"2026-09-22T10:09:21","modified_gmt":"2026-09-22T09:09:21","slug":"nis2-management-aansprakelijkheid","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/nl\/nis2-management-aansprakelijkheid\/","title":{"rendered":"NIS2 en managementaansprakelijkheid: waarom cybersecurity ook een bestuurskwestie is"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"19138\" class=\"elementor elementor-19138 elementor-19114\" data-elementor-settings=\"{&quot;element_pack_global_tooltip_width&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_padding&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true}}\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-dbd40b3 e-con e-atomic-element e-flexbox-base e-default-div e-7dad31a \" data-id=\"dbd40b3\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"dbd40b3\" data-e-type=\"e-flexbox\" data-id=\"dbd40b3\">\n    \t\t<div class=\"elementor-element elementor-element-39093d2 elementor-widget elementor-widget-html\" data-id=\"39093d2\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<div style=\"position:relative;padding-top:56.25%;\"><iframe data-src=\"https:\/\/player.mediadelivery.net\/embed\/585288\/d03ea5c1-9d28-40e3-8d04-5c85c793d805?autoplay=true&loop=false&muted=true&preload=true&responsive=true\" style=\"border:0;position:absolute;top:0;height:100%;width:100%;\" allow=\"accelerometer;gyroscope;autoplay;encrypted-media;picture-in-picture;fullscreen;\" allowfullscreen=\"true\" src=\"data:image\/svg+xml;base64,PHN2ZyB3aWR0aD0iMSIgaGVpZ2h0PSIxIiB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciPjwvc3ZnPg==\" class=\"lazyload\" data-load-mode=\"0\"><\/iframe><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-07137e2 e-con e-atomic-element e-flexbox-base e-default-div e-1ffecd0 \" data-id=\"07137e2\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"07137e2\" data-e-type=\"e-flexbox\" data-id=\"07137e2\">\n    \t\t<div class=\"elementor-element elementor-element-3b7284f elementor-widget elementor-widget-text-editor\" data-id=\"3b7284f\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2 style=\"font-weight: 400;\"><strong>Key takeaways<\/strong><\/h2><ul><li><strong>Cybersecurity is niet langer uitsluitend een verantwoordelijkheid van de IT-afdeling.<\/strong>Onder de Belgische NIS2-wet moeten de bestuursorganen de maatregelen voor het beheer van cyberbeveiligingsrisico\u2019s goedkeuren en toezien op de uitvoering ervan.<\/li><li><strong>Die verantwoordelijkheid kan niet volledig worden gedelegeerd.<\/strong>Een CISO, IT-afdeling of externe dienstverlener kan een belangrijke operationele rol opnemen, maar het bestuursorgaan behoudt zijn eigen wettelijke verantwoordelijkheid.<\/li><li><strong>Opleiding is verplicht.<\/strong>Leden van bestuursorganen moeten voldoende kennis en vaardigheden verwerven om cyberrisico\u2019s te kunnen identificeren en de risicobeheersmaatregelen van de organisatie te beoordelen.<\/li><li><strong>Niet-naleving kan verregaande gevolgen hebben.<\/strong>Naast aanzienlijke administratieve boetes voor de organisatie voorziet de NIS2-wet in verantwoordelijkheid op bestuursniveau en, voor essenti\u00eble entiteiten en onder specifieke voorwaarden, zelfs in een tijdelijk verbod om bepaalde leidinggevende functies uit te oefenen voor bestuurders.<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-3df5e39 e-con e-atomic-element e-flexbox-base e-default-div e-38c63e6 \" data-id=\"3df5e39\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"3df5e39\" data-e-type=\"e-flexbox\" data-id=\"3df5e39\">\n    \t\t<div class=\"elementor-element elementor-element-33ad5f4 elementor-widget elementor-widget-text-editor\" data-id=\"33ad5f4\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><strong>Cybersecurity is niet alleen een IT-verantwoordelijkheid<\/strong><\/h2><p style=\"font-weight: 400;\">Cybersecurity werd lange tijd voornamelijk als een technische aangelegenheid beschouwd. De verantwoordelijkheid lag bij de IT-afdeling, de Chief Information Security Officer (CISO) of een externe cybersecuritydienstverlener.<\/p><p style=\"font-weight: 400;\">De NIS2-wet maakt duidelijk dat deze aanpak niet langer volstaat.<\/p><p style=\"font-weight: 400;\">Voor essenti\u00eble en belangrijke entiteiten legt artikel 31 van de Belgische NIS2-wet uitdrukkelijke verplichtingen op aan de\u00a0<strong>bestuursorganen<\/strong>. Zij moeten de maatregelen voor het beheer van cyberbeveiligingsrisico\u2019s goedkeuren, toezien op de uitvoering ervan en dragen verantwoordelijkheid wanneer de entiteit haar verplichtingen inzake die maatregelen niet naleeft.<\/p><p style=\"font-weight: 400;\">Cybersecurity wordt daarmee ook een kwestie van\u00a0<strong>corporate governance<\/strong>.<\/p><h2><strong>De verantwoordelijkheid kan niet volledig worden gedelegeerd<\/strong><\/h2><p style=\"font-weight: 400;\">Dat betekent niet dat bestuurders zich moeten bezighouden met de dagelijkse technische uitvoering van cybersecuritymaatregelen. De operationele verantwoordelijkheid kan uiteraard bij gespecialiseerde medewerkers worden gelegd. Een CISO, IT-team of externe dienstverlener kan risicoanalyses uitvoeren, beveiligingsmaatregelen implementeren en incidenten opvolgen.<\/p><p style=\"font-weight: 400;\">Evenwel kan het bestuursorgaan (en de bestuurders die hier lid van uitmaken) zijn eigen wettelijke rol niet volledig uitbesteden. Het moet voldoende betrokken blijven om de voorgestelde maatregelen te kunnen beoordelen, ze goed te keuren en toe te zien op hun daadwerkelijke uitvoering.<\/p><p style=\"font-weight: 400;\">In de praktijk betekent dit dat het bestuursorgaan onder meer zicht moet hebben op de belangrijkste cyberrisico\u2019s van de organisatie, de maatregelen die daartegen worden genomen en de manier waarop de implementatie ervan wordt opgevolgd.<\/p><h2><strong>Cybersecurityopleiding voor bestuursorganen is verplicht<\/strong><\/h2><p style=\"font-weight: 400;\">Om die verantwoordelijkheid op een ge\u00efnformeerde manier te kunnen uitoefenen, voorziet de NIS2-wet ook uitdrukkelijk in een\u00a0<strong>opleidingsverplichting<\/strong>.<\/p><p style=\"font-weight: 400;\">Leden van bestuursorganen van essenti\u00eble en belangrijke entiteiten moeten een opleiding volgen zodat zij over voldoende kennis en vaardigheden beschikken om cyberrisico\u2019s te identificeren. Deze opleiding moet hen ook toelaten de praktijken voor het beheer van cyberbeveiligingsrisico\u2019s en hun impact op de dienstverlening van de organisatie beter te beoordelen.<\/p><p style=\"font-weight: 400;\">Van bestuurders wordt dus niet verwacht dat zij cybersecurityexperten worden. Wel moeten zij voldoende kennis hebben om met kennis van zaken beslissingen te kunnen nemen en effectief toezicht uit te oefenen.<\/p><h2><strong>Wat zijn de gevolgen bij niet-naleving?<\/strong><\/h2><p style=\"font-weight: 400;\">De mogelijke gevolgen van niet-naleving zijn aanzienlijk.<\/p><p style=\"font-weight: 400;\">Wanneer een\u00a0<strong>essenti\u00eble entiteit<\/strong>\u00a0haar verplichtingen inzake cyberbeveiligingsmaatregelen of incidentmelding niet naleeft, kan volgens de Belgische NIS2-wet een administratieve boete worden opgelegd van\u00a0<strong>500 euro tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet van het voorgaande boekjaar<\/strong>, waarbij het hoogste bedrag geldt.<\/p><p style=\"font-weight: 400;\">Voor\u00a0<strong>belangrijke entiteiten<\/strong>\u00a0kan de boete oplopen van\u00a0<strong>500 euro tot 7 miljoen euro of 1,4% van de totale wereldwijde jaaromzet<\/strong>, opnieuw waarbij het hoogste bedrag geldt. Deze administratieve boetes worden opgelegd aan de betrokken entiteit.<\/p><p style=\"font-weight: 400;\">Daarnaast maakt de wet duidelijk dat verantwoordelijkheid niet uitsluitend bij de organisatie als rechtspersoon ligt. Artikel 31 legt verantwoordelijkheid bij de bestuursorganen voor inbreuken op de verplichtingen inzake cyberbeveiligingsmaatregelen. Artikel 61 bepaalt bovendien dat bepaalde natuurlijke personen die verantwoordelijk zijn voor of optreden als wettelijke vertegenwoordiger van een essenti\u00eble of belangrijke entiteit, verantwoordelijk zijn voor tekortkomingen in hun plicht om toe te zien op de naleving van de wet.<\/p><p style=\"font-weight: 400;\">Dit betekent echter niet dat ieder cyberincident automatisch leidt tot persoonlijke aansprakelijkheid van een bestuurder. Wel maakt NIS2 duidelijk dat cybersecurity niet eenvoudigweg kan worden doorgeschoven naar de IT-afdeling zonder voldoende betrokkenheid en toezicht op bestuursniveau.<\/p><h2><strong>Kan een bestuurder tijdelijk uit zijn functie worden gezet?<\/strong><\/h2><p style=\"font-weight: 400;\">Voor\u00a0<strong><em>essenti\u00eble entiteiten<\/em><\/strong>\u00a0voorziet artikel 60 van de Belgische NIS2-wet bovendien in een bijzonder verregaande handhavingsmaatregel.<\/p><p style=\"font-weight: 400;\">Wanneer de door de bevoegde autoriteit gevraagde maatregelen niet binnen de opgelegde termijn worden genomen, kan tijdelijk worden verboden dat een natuurlijke persoon die leidinggevende verantwoordelijkheden uitoefent op het niveau van algemeen directeur (CEO) of wettelijke vertegenwoordiger nog leidinggevende verantwoordelijkheden binnen de betrokken entiteit uitoefent.<\/p><h2><strong>Van IT-risico naar governance verantwoordelijkheid<\/strong><\/h2><p style=\"font-weight: 400;\">De boodschap van NIS2 is duidelijk: cybersecurity kan niet langer uitsluitend binnen de IT-afdeling worden georganiseerd.<\/p><p style=\"font-weight: 400;\">Bestuursorganen moeten kunnen aantonen dat zij voldoende zicht hebben op de cyberrisico\u2019s van hun organisatie, passende maatregelen hebben goedgekeurd, de uitvoering daarvan opvolgen en over voldoende kennis beschikken om die verantwoordelijkheid daadwerkelijk uit te oefenen.<\/p><p style=\"font-weight: 400;\"><strong>Cybersecurity is daarmee niet alleen een technisch risico, maar ook een governance- en bestuursverantwoordelijkheid.<\/strong><\/p><p style=\"font-weight: 400;\">Organisaties die cybersecurity structureel opnemen in hun besluitvorming, rapportering en opleiding van bestuursleden zijn dan ook beter geplaatst om niet alleen hun cyberrisico\u2019s te beheersen, maar ook hun verplichtingen onder NIS2 aantoonbaar na te leven.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Key takeaways Cybersecurity is niet langer uitsluitend een verantwoordelijkheid van de IT-afdeling.Onder de Belgische NIS2-wet moeten de bestuursorganen de maatregelen voor het beheer van cyberbeveiligingsrisico\u2019s goedkeuren en toezien op de uitvoering ervan. Die verantwoordelijkheid kan niet volledig worden gedelegeerd.Een CISO, IT-afdeling of externe dienstverlener kan een belangrijke operationele rol opnemen, maar het bestuursorgaan behoudt zijn [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":19126,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[49,80],"tags":[59,120],"post_folder":[],"class_list":["post-19138","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogbericht","category-video","tag-digitaal-recht","tag-nis2-nl"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/19138","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/comments?post=19138"}],"version-history":[{"count":7,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/19138\/revisions"}],"predecessor-version":[{"id":19520,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/19138\/revisions\/19520"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media\/19126"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media?parent=19138"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/categories?post=19138"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/tags?post=19138"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/post_folder?post=19138"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}