Je hebt de zorgplicht en de meldplicht op orde, en misschien staat de bestuurdersopleiding al gepland. Maar er is een vraag die veel bestuurders zich pas laat stellen: wat als het toch misgaat - ben jij dan persoonlijk aan de beurt, of alleen je bedrijf? Kort antwoord: de Cyberbeveiligingswet (NIS2) maakt het inderdaad mogelijk om jou persoonlijk aan te spreken. Hieronder lees je precies wanneer dat speelt, en wat je nu kunt doen om grip te houden.
Wat zegt de wet zelf
De Europese NIS2-richtlijn, die met de Cyberbeveiligingswet in Nederland is geïmplementeerd, bevat een bepaling die direct over jou als bestuurder gaat: artikel 32, lid 6. Daarin staat dat elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger van een essentiële entiteit - op basis van de bevoegdheid om de entiteit te vertegenwoordigen, om namens haar beslissingen te nemen, of om controle over haar uit te oefenen - ervoor moet zorgen dat de entiteit de wet naleeft. Die persoon kan daarop persoonlijk worden aangesproken als dat niet gebeurt.
Dat is geen vage intentie, maar een expliciete grondslag om individuele bestuurders verantwoordelijk te houden, los van de aansprakelijkheid van het bedrijf.
Wat de Nederlandse wetgever ermee heeft gedaan
Nederland heeft hiervoor geen compleet nieuw aansprakelijkheidsregime bedacht. De Cyberbeveiligingswet sluit aan bij het bestaande bestuursrechtelijke en civielrechtelijke kader. Concreet betekent dit twee dingen.
Bestuursrechtelijk kan de toezichthouder (voor de meeste sectoren de Rijksinspectie Digitale Infrastructuur, RDI) een boete of een last onder dwangsom rechtstreeks aan een individueel bestuurslid opleggen - niet alleen aan de organisatie. In ernstige gevallen kan de toezichthouder de civiele rechter zelfs vragen om een bestuurder te schorsen.
Civielrechtelijk verandert er niets aan de bestaande regels, maar cyberbeveiliging wordt er wel onderdeel van. Artikel 2:9 van het Burgerlijk Wetboek (aansprakelijkheid voor onbehoorlijk bestuur) en artikel 6:162 BW (aansprakelijkheid jegens derden) kunnen een rol spelen als jij als bestuurder tekortschiet en de organisatie - of een derde partij - daardoor schade lijdt. Cyberbeveiliging wordt zo onderdeel van wat van een redelijk handelend bestuurder mag worden verwacht.
Wanneer wordt dit voor jou concreet
Dit betekent niet dat je bij elke onvolkomenheid persoonlijk in de problemen komt. Aansprakelijkheid komt pas in beeld bij wezenlijke tekortkomingen: het structureel niet goedkeuren van beveiligingsmaatregelen, het negeren van bekende risico's, of het niet volgen van verplichte procedures uit de wet - zoals de opleidingsplicht. Daarnaast moet er daadwerkelijke, toerekenbare schade zijn. Een fout maken is geen aansprakelijkheid; bewust risico's laten liggen terwijl je wist - of had moeten weten - dat het misging, is dat wel.
Belangrijk detail: de verplichting geldt voor uitvoerende bestuurders. Commissarissen en andere toezichthoudende bestuurders vallen hier in beginsel buiten. Is een rechtspersoon zelf bestuurder van jouw organisatie? Dan gelden de verplichtingen voor de natuurlijke personen die namens die rechtspersoon in het bestuur zitten.
Taken verdelen mag, wegdelegeren niet
Je hoeft niet zelf de techniek te doorgronden. Wat niet kan, is de eindverantwoordelijkheid overdragen aan een IT-partij, een CISO of een auditcommissie en er verder niet meer naar omkijken. De wet gaat uit van collectieve bestuursverantwoordelijkheid: taken mogen verdeeld worden, de verantwoordelijkheid blijft bij het bestuur als geheel. Dat betekent dat je zelf de genomen maatregelen moet goedkeuren, moet toezien op de uitvoering ervan, en het gesprek met je CISO of IT-partner inhoudelijk moet kunnen voeren.
Wat je nu kunt doen
Grip krijgen op dit risico vraagt niet om paniek, maar om een paar concrete stappen. Zet cyberbeveiliging structureel op de agenda van je bestuursvergaderingen. Laat je actief informeren over genomen maatregelen vóórdat je ze goedkeurt - een handtekening zetten zonder de inhoud te begrijpen, telt niet mee als toezicht. Leg besluitvorming rond cyberrisico's vast, zodat je kunt aantonen dat je je rol hebt vervuld. En check of je bestuurdersaansprakelijkheidsverzekering cybergerelateerde risico's dekt - dat is niet altijd vanzelfsprekend.
Gratis · Vrijblijvend · Direct inzicht
Meer overzicht? Bekijk de Cyberbeveiligingswet-hub met alle artikelen en veelgestelde vragen.
Veelgestelde vragen
Ben ik als bestuurder automatisch persoonlijk aansprakelijk onder de Cyberbeveiligingswet?
Nee. De wet maakt persoonlijke aansprakelijkheid mogelijk (artikel 32 lid 6 NIS2), maar dit ontstaat pas bij wezenlijke tekortkomingen, zoals het structureel niet goedkeuren van maatregelen of het negeren van risico's, gecombineerd met aantoonbare schade.
Wat is het verschil met de aansprakelijkheid van mijn bedrijf?
Naast bestuursrechtelijke handhaving tegen de organisatie (zoals boetes) kan de toezichthouder ook een boete of last onder dwangsom rechtstreeks aan een individueel bestuurslid opleggen. Dat is een aanvulling op, niet een vervanging van, de aansprakelijkheid van de organisatie zelf.
Kan ik mijn taken delegeren aan een IT-partij of CISO?
Je kunt taken verdelen, maar niet de eindverantwoordelijkheid wegdelegeren. Het bestuur moet de genomen maatregelen zelf goedkeuren en toezien op de uitvoering ervan.
Geldt dit ook als een ander bedrijf (een rechtspersoon) bestuurder is van mijn organisatie?
Ja. In dat geval gelden de verplichtingen voor de natuurlijke personen die namens die rechtspersoon in het bestuur zitten.
Bronnen: Rijksinspectie Digitale Infrastructuur (RDI), "Bestuurlijke verantwoordelijkheid en governance" en persbericht 7 juli 2026 (rdi.nl); SenS Juristen, "NIS2 en persoonlijke aansprakelijkheid van bestuurders"; Holla legal & tax, "Bestuurders en NIS2: van papieren verantwoordelijkheid naar persoonlijke aansprakelijkheid" - geraadpleegd juli 2026.