NIS2-boetes en bestuurdersaansprakelijkheid
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Vanaf dat moment gelden de zorgplicht, de meldplicht en de bestuurdersverantwoordelijkheid, zonder overgangsperiode. Hieronder wat de wet aan sancties kent en, belangrijker, waar een toezichthouder in de praktijk naar kijkt.
- Essentiële entiteiten: boete tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
- Belangrijke entiteiten: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
- Bestuurders kunnen persoonlijk aansprakelijk worden gehouden en een bestuursverbod is mogelijk.
- In de praktijk begint het zelden met een boete, maar met een aanwijzing en een termijn.
Twee categorieën, twee plafonds
NIS2 kent essentiële en belangrijke entiteiten. Het verschil zit vooral in het toezicht en in de hoogte van de maximale boete. De verplichtingen zelf zijn grotendeels gelijk.
| Categorie | Maximale boete | Toezicht |
|---|---|---|
| Essentiële entiteit | 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste van beide | Vooraf en achteraf: de toezichthouder mag ook zonder aanleiding controleren |
| Belangrijke entiteit | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, het hoogste van beide | Achteraf: pas bij aanwijzingen dat er iets misgaat |
Die percentages gaan over de wereldwijde omzet van de hele groep, niet over de omzet van de entiteit die in gebreke is. Voor een middelgrote onderneming ligt het feitelijke plafond dus meestal bij het vaste bedrag, en dat is nog steeds een bedrag waar geen enkel MKB-bedrijf tegen kan.
De sanctie die u eerder zult tegenkomen
Een boete is het zwaarste instrument, niet het eerste. De toezichthouder beschikt daarnaast over middelen die in de praktijk vaker worden ingezet en die net zo vervelend zijn:
- Een bindende aanwijzing met een termijn waarbinnen u iets moet herstellen.
- Een verplichting om uw klanten te informeren over een dreiging of een tekortkoming. Dat is reputatieschade die u niet zelf in de hand heeft.
- Openbaarmaking van de overtreding en van uw naam.
- Een tijdelijk verbod voor een bestuurder om leidinggevende taken uit te oefenen bij essentiële entiteiten.
Bestuurdersaansprakelijkheid, concreet
Dit is de grootste verandering ten opzichte van eerdere regelgeving. Het bestuur moet de risicobeheersingsmaatregelen goedkeuren, toezien op de uitvoering en zelf scholing volgen om risico's te kunnen beoordelen. Verzuimt het bestuur dat, dan kan het persoonlijk aansprakelijk worden gehouden.
Praktisch betekent dat: er moet een spoor zijn. Wie heeft wat wanneer goedgekeurd, op basis van welke informatie, en wat is er daarna mee gedaan. Een besluit dat alleen in iemands hoofd of in een mailbox zit, telt niet als u het moet aantonen.
Dat is ook waarom "dat wist ik niet" onder deze wet geen verweer meer is. De wet gaat er expliciet van uit dat een bestuurder het hoort te weten.
Waar de toezichthouder naar kijkt
Er is geen afvinklijst waarmee u klaar bent. Wel zijn er onderwerpen die in vrijwel elk toezichtgesprek terugkomen, en dat zijn niet toevallig de tien terreinen uit artikel 21 van de richtlijn:
- Heeft u een actueel beeld van uw systemen, gegevens en processen, en van de risico's daarop?
- Is er een incidentprocedure die mensen kennen, en zijn de meldtermijnen van 24 en 72 uur belegd?
- Heeft u uw leveranciers beoordeeld, en zijn de afspraken vastgelegd?
- Zijn back-ups aanwezig, en is het terugzetten getest?
- Is toegang beperkt tot wie het nodig heeft, met meervoudige authenticatie waar dat kan?
- Meet u of maatregelen werken, of neemt u dat aan?
- Heeft het bestuur dit goedgekeurd en aantoonbaar gevolgd?
Wat opvalt: het zijn bijna allemaal vragen naar bewijs, niet naar techniek. Een organisatie met eenvoudige maatregelen die aantoonbaar werken staat er beter voor dan een organisatie met dure techniek die niemand bijhoudt.
Vergeet de registratieplicht niet
Valt u onder de Cyberbeveiligingswet, dan moet u zich registreren bij de toezichthouder. Dat is een aparte, administratieve verplichting die losstaat van de zorgplicht en de meldplicht, en het is de makkelijkste manier om onnodig in overtreding te zijn. Weet u niet zeker of u zich moet registreren, leg dat dan voor aan de toezichthouder van uw sector.
Wat u deze maand kunt doen
- Stel vast of u eronder valt. Gebruik de zelfcheck op sector en organisatiegrootte. Twijfelt u, dan is dat op zichzelf een reden om het uit te zoeken.
- Registreer u als dat voor u geldt.
- Beleg de meldtermijnen. Wie belt er op zondagavond, en wat is de eerste stap? 24 uur is korter dan het lijkt.
- Leg vast wat u al doet. De meeste organisaties doen meer aan beveiliging dan zij kunnen aantonen. Dat gat dicht u met vastleggen, niet met investeren.
- Zet het bestuur erin. Eén agendapunt, één goedkeuring, vastgelegd met datum.
Deze pagina is een toelichting op hoofdlijnen en geen juridisch advies. De precieze afbakening en uitleg van de Cyberbeveiligingswet kan per situatie verschillen. Bron voor de wettelijke status: het NCSC.