Oktober 2026. Bij NIS2 ligt de verantwoordelijkheid voor cyberrisicobeheer expliciet bij het bestuur. Dat is geen formulering voor de bühne: de richtlijn vraagt dat het bestuur de maatregelen goedkeurt, er toezicht op houdt en zelf kennis opbouwt. Dit is wat dat in de praktijk betekent en welk bewijs u kunt laten zien.
Drie dingen die het bestuur moet doen
NIS2 (artikel 20) legt drie verplichtingen bij het bestuursorgaan: de maatregelen voor cyberrisicobeheer goedkeuren, toezicht houden op de uitvoering en opleiding volgen. Daar komt bij dat bestuurders aansprakelijk kunnen worden gehouden als de organisatie de regels overtreedt. Zie ook ons artikel over aansprakelijkheid in de keten.
Goedkeuren: een besluit met een datum
Een goedkeuring bestaat pas als iemand het kan aantonen. Leg de belangrijkste stukken vast in een bestuursbesluit of in de notulen: het risicobeleid, de scope van het ISMS, de risicobereidheid en het jaarlijkse beveiligingsplan. Een ISMS-directiebeoordeling (clausule 9.3) is hiervoor een natuurlijk moment, mits het bestuur de stukken ook echt beoordeelt. Zie de management review in de praktijk.
Toezicht: kijk naar cijfers, niet naar gevoel
Toezicht vraagt terugkerende rapportage. Houd het klein: openstaande hoge risico’s, incidenten en doorlooptijd van meldingen, status van interne audits en corrective actions, en de belangrijkste leveranciersrisico’s. Een KPI-dashboard met vijf tot acht indicatoren is genoeg, zolang het bestuur er elk kwartaal op reageert en dat vastlegt.
Opleiding: kort, concreet en aantoonbaar
De wet schrijft geen vaste lesduur voor. Verwacht wel dat bestuurders genoeg weten om risico’s te kunnen beoordelen. Een sessie van enkele uren per jaar, gekoppeld aan een echt scenario zoals een tabletop-oefening, is verdedigbaarder dan een losse e-learning. Bewaar de aanwezigheidslijst, de agenda en een korte samenvatting van wat is besproken.
Welk bewijs hoort bij het bestuur
Een compact dossier volstaat: bestuursbesluiten over het beleid, notulen met de behandeling van cijfers en risico’s, bewijs van deelname aan training of oefening, en de jaarplanning. Dat dossier toont aan dat het onderwerp structureel op de bestuurstafel ligt. Wilt u weten hoe volledig uw eigen dossier is, dan helpt de readiness-scan. Zie ook de NIS2-hub.
Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg voor uw situatie een jurist.