Als directeur of CEO moet je werk maken van NIS2
IT-afdeling kan je adviseren, maar jij bent verantwoordelijk
We zitten regelmatig aan tafel met de directie van onze klanten. Wat opvalt is dat niet iedereen even helder heeft wat NIS2 inhoudt én wat het voor hen persoonlijk betekent. De Cyberbeveiligingswet (NIS2) gaat zo goed als zeker in op 1 juli 2026 en als directeur ben jij en niemand anders eindverantwoordelijk dat de regels worden nageleefd. CEO’s die nu de governance inrichten, voorkomen persoonlijke aansprakelijkheid én beschermen hun organisatie.
“Maar ik heb het belegd bij mijn IT-afdeling”
Dat horen we vaak, maar daarmee kom je niet weg. Het is goed om je te laten adviseren door je IT-afdeling – want daar zit een belangrijk deel van de noodzakelijke kennis – maar uiteindelijk ben jij verantwoordelijk. Het gaat om governance en persoonlijke aansprakelijkheid en zo is het qua rolverdeling wettelijk bepaalt.
Persoonlijke aansprakelijkheid is geen abstract begrip
NIS2 introduceert iets wat veel bestuurders nog niet volledig tot zich hebben laten doordringen: persoonlijke aansprakelijkheid. Niet voor het bedrijf in abstracte zin, maar voor de bestuurder als individu. Als straks blijkt dat jouw organisatie aantoonbaar nalatig is geweest op het gebied van cybersecurity, en dat geldt ook voor de (toeleverings)keten, kan dat leiden tot persoonlijke sancties en bestuurdersaansprakelijkheid.
Het governance-gat
De meeste directeuren delegeren zoals gezegd het onderwerp meteen naar IT. Die pakt het op als een technisch project met als gevolg dat er een governance-gat ontstaat. Niemand heeft het totaalplaatje en het eindplaatje in beeld, niemand neemt de bestuurlijke besluiten die nodig zijn en de directie kan niet aantonen dat er bewust is nagedacht over risico’s in de keten. NIS2 vraagt van jou als directeur geen technische expertise, maar wel bestuurlijk leiderschap op vier punten. 1 Wijs een verantwoordelijke aan op managementniveau voor het supply chain dossier. 2 Stel kaders vast. Welke norm verwacht je van leveranciers en wanneer is een lichtere of zwaardere norm gerechtvaardigd? 3 Zorg dat IT, inkoop en HR samenwerken in plaats van afzonderlijk handelen. 4 Leg dit vast in beleid, in contracten, in het bestuursverslag.
NIS2-opleiding is straks verplicht …
CEO’s van NIS2-organisaties zijn verplicht een NIS2-opleiding te volgen binnen 2 jaar na inwerkingtreding (1 juli 2026). Wat kun je nu in elk geval al doen? Ga aan de slag met het NIS2 Supply Chain certificeringstraject door om te beginnen een afspraak in te plannen met Wim Milder (wim.milder@axoft.nl) van Axoft.
