Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Lees wanneer jij als bestuurder persoonlijk aanspreekbaar bent en welke stappen je nu zet.
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (NIS2). De wet legt de eindverantwoordelijkheid voor digitale veiligheid bij het bestuur. Dan is de vraag logisch: kun jij persoonlijk worden aangesproken als het misgaat, of alleen je bedrijf? Kort antwoord: dat kan, maar pas bij wezenlijke tekortkomingen. Hieronder lees je wanneer dat speelt en wat je nu doet om grip te houden.
Valt jouw organisatie onder de wet?
Volgens de Rijksoverheid vallen ruim 8.000 organisaties in 18 sectoren onder de Cyberbeveiligingswet, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en vervoer. Je toetst zelf of jouw organisatie daarbij hoort, en zo ja, registreer je je bij het NCSC. Op 14 augustus 2026 stonden er 2.942 organisaties in het register, op een geschatte 8.000 tot 10.000 die eronder vallen.
Valt je organisatie er niet onder, dan kun je er toch mee te maken krijgen. Klanten en leveranciers die wel onder de wet vallen, stellen eisen aan hun keten. Twijfel je waar jij staat? Laat het nakijken door je adviseur.
Wat de wet van jou als bestuurder vraagt
De Rijksinspectie Digitale Infrastructuur (RDI) zet het helder op een rij. Het bestuur keurt de maatregelen goed die uit de zorgplicht volgen, houdt toezicht op de uitvoering en blijft eindverantwoordelijk, ook als je taken bij een CISO of IT-partner legt. Daarnaast volgen alle uitvoerende bestuurders een training en kunnen ze een certificaat laten zien. Daarvoor heb je tot medio 2028. Word je later benoemd, dan heb je twee jaar na je benoeming.
Commissarissen en andere toezichthoudende bestuurders vallen buiten deze regels. Is een rechtspersoon bestuurder van jouw organisatie, bijvoorbeeld een holding? Dan gelden de verplichtingen voor de mensen die namens die rechtspersoon in het bestuur zitten.
Wanneer word jij persoonlijk aangesproken?
Er zijn twee routes.
Via de toezichthouder. De Cyberbeveiligingswet maakt het mogelijk om een individuele bestuurder een boete of een last onder dwangsom op te leggen, naast maatregelen tegen de organisatie zelf. Juristen wijzen erop dat de toezichthouder in ernstige gevallen de rechter kan vragen een bestuurder te schorsen. De Europese richtlijn noemt zo'n tijdelijk verbod alleen voor essentiële organisaties. Wat voor jouw organisatie geldt, check je bij je adviseur.
Via het gewone ondernemingsrecht. Hier verandert de wet niets aan de regels zelf. Artikel 2:9 van het Burgerlijk Wetboek (onbehoorlijk bestuur) en artikel 6:162 (onrechtmatige daad tegenover derden) bestonden al. Wat wel verandert: digitale veiligheid hoort nu bij wat je van een redelijk handelend bestuurder mag verwachten.
Persoonlijke aansprakelijkheid komt pas in beeld bij wezenlijke tekortkomingen. Denk aan maatregelen die structureel niet worden goedgekeurd, bekende risico's die blijven liggen of een opleidingsplicht die wordt genegeerd. En er moet schade zijn die aan jou toe te rekenen is. Een fout maken is iets anders dan wegkijken terwijl je wist of had moeten weten dat het misging.
Taken verdelen mag, de verantwoordelijkheid blijft bij jou
Je hoeft de techniek niet te doorgronden. Je IT-partner of CISO doet het uitvoerende werk, en dat is precies goed. Wat jij moet kunnen, is het gesprek voeren: weten wat je goedkeurt, doorvragen als iets onduidelijk is en zien of afspraken worden nagekomen. Een handtekening onder een stuk dat je niet begrijpt, telt niet als toezicht.
Vier stappen voor deze maand
- Laat toetsen of je organisatie onder de wet valt, en of de registratie bij het NCSC rond is.
- Zet digitale veiligheid vast op de agenda van het bestuur, bijvoorbeeld elk kwartaal.
- Leg vast wat je goedkeurt en waarom. Zo kun je later laten zien dat je je rol hebt gepakt.
- Plan je training, en vraag je verzekeringsadviseur of je bestuurdersaansprakelijkheidsverzekering cyberrisico's dekt. Dat is niet altijd vanzelfsprekend.
Waar sta je nu?
Wil je weten waar je organisatie nu staat? De Kasteelinspectie is een korte, gratis check die laat zien waar je al grip hebt en waar nog niet. Start de Kasteelinspectie.
Meer lezen? Op de Cyberbeveiligingswet-hub staan alle artikelen en veelgestelde vragen.
Dit artikel is geen juridisch advies. Leg je eigen situatie voor aan je adviseur.
Bronnen: Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht" (7 juli 2026); Rijksinspectie Digitale Infrastructuur, "Bestuurlijke verantwoordelijkheid en governance" (bijgewerkt 24 juli 2026); Binnenlands Bestuur, "Meer dan helft organisaties niet geregistreerd voor cyberwet" (17 augustus 2026); Holla legal & tax, "Bestuurders en NIS2: van papieren verantwoordelijkheid naar persoonlijke aansprakelijkheid" (juli 2026). Bijgewerkt in oktober 2026.
Gratis · Vrijblijvend · Direct inzicht
Veelgestelde vragen
Ben ik als bestuurder automatisch persoonlijk aansprakelijk onder de Cyberbeveiligingswet?
Nee. De wet maakt het mogelijk om een individuele bestuurder aan te spreken, maar dat speelt pas bij wezenlijke tekortkomingen, zoals maatregelen die structureel niet worden goedgekeurd of bekende risico's die blijven liggen, en als er schade is.
Wat is het verschil met de aansprakelijkheid van mijn bedrijf?
Naast bestuursrechtelijke handhaving tegen de organisatie (zoals boetes) kan de toezichthouder ook een boete of last onder dwangsom rechtstreeks aan een individueel bestuurslid opleggen. Dat is een aanvulling op, niet een vervanging van, de aansprakelijkheid van de organisatie zelf.
Kan ik mijn taken delegeren aan een IT-partij of CISO?
Je kunt taken verdelen, maar niet de eindverantwoordelijkheid wegdelegeren. Het bestuur moet de genomen maatregelen zelf goedkeuren en toezien op de uitvoering ervan.
Geldt dit ook als een ander bedrijf (een rechtspersoon) bestuurder is van mijn organisatie?
Ja. In dat geval gelden de verplichtingen voor de natuurlijke personen die namens die rechtspersoon in het bestuur zitten.