Bestuurdersaansprakelijkheid onder de Cyberbeveiligingswet (Cbw) en de DORA-verordening houdt in dat individuele bestuurders en toezichthouders persoonlijk aanspreekbaar zijn wanneer hun organisatie structureel tekortschiet in cyberbeveiliging en ICT-risicobeheer. Dit gaat verder dan een boete voor de rechtspersoon: de wet kent sancties die rechtstreeks de persoon in de bestuursstoel treffen.
Wat de wet precies van bestuurders vraagt
De Cyberbeveiligingswet, de Nederlandse implementatie van NIS-2 (Richtlijn (EU) 2022/2555), legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het hoogste bestuursniveau van een organisatie. Artikel 20 van de richtlijn verplicht lidstaten te waarborgen dat bestuursorganen beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en relevante cybersecuritytrainingen volgen. Dit is geen papieren verplichting: bij een incident zal een toezichthouder controleren of het bestuur aantoonbaar betrokken was.
DORA (Verordening (EU) 2022/2554) gaat voor financiële entiteiten nog een stap verder. De verordening is direct toepasselijk in alle EU-lidstaten zonder nationale implementatie en is per 17 januari 2025 volledig van kracht. DORA verplicht de directie tot het vaststellen en periodiek herzien van een ICT-risicobeheerframework, inclusief expliciete documentatie van besluitvorming over afhankelijkheid van kritische derde aanbieders, waaronder cloudproviders.
Persoonlijke sancties: verder dan een organisatieboete
De sanctiestructuur onder de Cyberbeveiligingswet kent twee niveaus. Voor essentiële entiteiten, waaronder aanbieders van kritieke infrastructuur, overheden en grote digitale dienstverleners, geldt een maximumboete van 10 miljoen euro of 2% van de wereldwijde jaaromzet (Richtlijn (EU) 2022/2555, artikel 34). Voor belangrijke entiteiten ligt dat op 7 miljoen euro of 1,4% van de omzet.
Maar boetes zijn niet de enige stok achter de deur. De richtlijn biedt toezichthouders de bevoegdheid om bij aanhoudende overtredingen van essentiële entiteiten de tijdelijke uitoefening van leidinggevende functies te verbieden. Dit raakt de bestuurder persoonlijk, niet de organisatie. De bevoegde autoriteiten in Nederland, waaronder het NCSC voor overheidsinstanties en vitale sectoren, kunnen toezichthoudende onderzoeken instellen, corrigerende aanwijzingen geven en dwangsommen opleggen.
Onder DORA gelden voor financiële entiteiten dagelijks oplopende boetes: tot 1% van de gemiddelde wereldwijde dagomzet zolang een overtreding voortduurt. Voor kritische ICT-derde aanbieders geldt een eenmalige boete van maximaal 5 miljoen euro (Verordening (EU) 2022/2554, artikel 50). DNB treedt op als prudentieel toezichthouder voor onder meer banken en verzekeraars; de AFM houdt toezicht op beleggingsondernemingen en betalingsinstellingen.
De zorgplicht bij cloudkeuze buiten de EU-jurisdictie
Een van de meest onderschatte bestuursverantwoordelijkheden betreft de keuze van cloudproviders. Wie als bestuurder instemt met het gebruik van een cloudprovider die valt onder extraterritoriale wetgeving zoals de US CLOUD Act of de Foreign Intelligence Surveillance Act, neemt een juridisch risico dat aantoonbaar moet zijn afgewogen.
De zorgplicht houdt niet in dat gebruik van buitenlandse cloudproviders per definitie verboden is. Zij houdt wel in dat het bestuur:
- een gedocumenteerde risicoanalyse heeft laten uitvoeren die de jurisdictionele risico’s benoemt;
- heeft beoordeeld of contractuele maatregelen, zoals verwerkerovereenkomsten en technische garanties, de risico’s voldoende mitigeren;
- een uitwijkstrategie of exitplan heeft vastgesteld voor het geval een provider niet langer voldoet aan EU-vereisten;
- dit geheel heeft vastgelegd in een actueel risicoregister dat bij toezichtonderzoek kan worden overlegd.
Het ontbreken van die documentatie is op zichzelf al een tekortkoming die een toezichthouder kan aanmerken als schending van de zorgplicht, los van of er daadwerkelijk data is gelekt.
Aantoonbaarheidsverplichtingen: wat toezichthouders willen zien
Zowel de Cyberbeveiligingswet als DORA hanteren het principe van aantoonbaarheid. Het is onvoldoende om goede maatregelen te hebben genomen; een organisatie moet kunnen bewijzen dat ze dat heeft gedaan, met gedateerde documentatie.
Risicoregister
Het risicoregister is de ruggengraat van elke verantwoording aan NCSC, DNB of AFM. Het register moet ICT-risico’s identificeren, kwantificeren, prioriteren en koppelen aan eigenaarschap op bestuursniveau. Risico’s die voortkomen uit afhankelijkheid van specifieke cloudproviders, waaronder concentratierisico bij één grote hyperscaler, moeten expliciet zijn benoemd.
Audit trails
Logbestanden en audit trails moeten bewijzen dat beveiligingsmaatregelen operationeel zijn en dat toegang tot kritische systemen wordt gemonitord. DORA vereist bovendien dat audit trails van ICT-gerelateerde incidenten minimaal vijf jaar worden bewaard voor financiële entiteiten.
Beleidsdocumentatie en bestuursbesluiten
Notulen van bestuursvergaderingen waarin cybersecurityonderwerpen zijn behandeld, goedgekeurde beleidsversies met datum en versienummer, en bewijs van gevolgde trainingen door bestuurders zijn essentieel bij een toezichtonderzoek. DNB heeft in zijn Good Practice ICT-risicobeheer verduidelijkt: “De directie van een financiële instelling is verantwoordelijk voor een adequaat ICT-risicobeheerframework. Onwetendheid over ICT-risico’s is geen excuus.”
Het Cbw (NIS-2) Control Framework als intern toetsingsinstrument
De Auditdienst Rijk heeft, in samenwerking met beroepsorganisatie NOREA, het Cbw (NIS-2) Control Framework gepubliceerd. Dit framework vertaalt de wettelijke vereisten van de Cyberbeveiligingswet naar een gestructureerde set beheersmaatregelen, elk met een beschrijving, testcriteria en een verwijzing naar de wettelijke grondslag.
Organisaties kunnen het framework op twee manieren inzetten. Als zelfevaluatie-instrument biedt het een nulmeting: per maatregel wordt beoordeeld in hoeverre de organisatie er al aan voldoet en welke bewijsstukken daarvoor beschikbaar zijn. Als communicatiemiddel richting toezichthouders biedt het een gemeenschappelijke taal, omdat het framework is afgestemd op de verwachtingen van toezichthouders zoals het NCSC.
Praktisch betekent dit dat een compliance officer of IT-auditor het framework kan doorlopen met de verantwoordelijke bestuurder, per maatregel de volwassenheid scoort en een verbeterplan opstelt met eigenaarschap en deadlines. Dit verbeterplan zelf is vervolgens een onderdeel van de aantoonbaarheidsverplichtingen.
Meldplichten bij incidenten: termijnen die niet voor discussie vatbaar zijn
| Melding | Termijn (Cbw / NIS-2) | Termijn (DORA) | Ontvanger (NL) |
|---|---|---|---|
| Vroege waarschuwing | Binnen 24 uur na ontdekking | Binnen 4 uur (grote ICT-incidenten) | NCSC / sectoraal CSIRT |
| Incidentkennisgeving | Binnen 72 uur | Binnen 24 uur | NCSC / DNB of AFM |
| Eindrapport | Binnen 1 maand | Binnen 1 maand | NCSC / DNB of AFM |
De meldplicht geldt ook wanneer een incident zijn oorsprong vindt bij een externe cloudprovider. Het feit dat de organisatie zelf geen fout heeft gemaakt, ontslaat haar niet van de meldplicht. Dit maakt het essentieel dat contracten met cloudproviders voorzien in directe incidentnotificatie aan de afnemer, zodat de 24-uurtermijn haalbaar blijft.
Bij een cloudgerelateerd datalek gelden naast de Cbw-meldplicht ook de GDPR-verplichtingen: melding bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking van een inbreuk op persoonsgegevens. Beide verplichtingen lopen parallel en kunnen niet worden samengevoegd in één melding aan één loket.
Sovereign cloud en on-premise als risicomitigatie op bestuursrisiconiveau
Vanuit bestuurdersperspectief biedt de keuze voor een sovereign cloudoplossing of on-premise infrastructuur een aantoonbare risicomitigatie ten opzichte van hyperscalers die vallen onder niet-EU-jurisdictie. Voorbeelden zijn Nextcloud-implementaties gehost op Europese datacenters, Zwitserse hostingoplossingen of volledig on-premise omgevingen.
De keuze voor dergelijke alternatieven reduceert het juridische risico op CLOUD Act-gedwongen gegevensverstrekking aan Amerikaanse autoriteiten, vereenvoudigt de GDPR-compliancedocumentatie omdat geen beroep op adequaatheidsbesluiten of standard contractual clauses nodig is, en maakt concentratierisico’s beheersbaar. Dit laatste is specifiek relevant voor DORA, dat ICT-concentratierisico bij derde aanbieders als een zelfstandig risicofactor benoemt.
Voor overheidsorganisaties en gereguleerde sectoren zoals de financiële sector, de zorgsector en de advocatuur geldt bovendien dat het gebruik van sovereign of on-premise oplossingen in toenemende mate een verwachting is van toezichthouders, ook al is dit op dit moment niet altijd expliciet wettelijk verplicht.
Veelgestelde vragen
Kan een individuele bestuurder persoonlijk worden geschorst bij overtreding van de Cyberbeveiligingswet?
Ja. De Cyberbeveiligingswet biedt toezichthouders de bevoegdheid om bij essentiële entiteiten tijdelijke uitoefening van leidinggevende functies te verbieden als ernstige overtredingen aanhouden. Dit is een uitzonderlijke maar reële sanctie voor bestuurders die aantoonbaar tekort zijn geschoten in hun toezichthoudende taak.
Geldt DORA ook voor kleinere financiële ondernemingen in Nederland?
DORA is van toepassing op een breed scala aan financiële entiteiten, waaronder banken, verzekeraars, beleggingsondernemingen en betalingsinstellingen. Voor micro-ondernemingen gelden vereenvoudigde eisen, maar de basisverplichtingen voor ICT-risicobeheer en incidentrapportage gelden ook voor kleinere spelers. DNB en AFM zijn de bevoegde autoriteiten in Nederland.
Binnen welke termijn moet een cloudgerelateerd incident worden gemeld onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet vereist een vroege waarschuwing binnen 24 uur na ontdekking, een volledige kennisgeving binnen 72 uur en een eindrapport binnen een maand. Dit geldt ook als het incident zijn oorsprong heeft bij een cloudprovider die buiten de EU opereert.
Hoe helpt het Cbw (NIS-2) Control Framework van de Auditdienst Rijk bij voorbereiding op toezicht?
Het framework, ontwikkeld door de Auditdienst Rijk in samenwerking met NOREA, biedt een gestructureerde lijst van beheersmaatregelen die direct zijn gekoppeld aan de wettelijke vereisten van de Cyberbeveiligingswet. Organisaties gebruiken het als zelfevaluatie-instrument: per maatregel wordt de volwassenheid gescoord en worden bewijsstukken geïdentificeerd die ook bij een extern toezichtonderzoek kunnen worden overlegd.
Maakt het gebruik van een Amerikaanse cloudprovider een organisatie direct aansprakelijk?
Niet automatisch, maar het vergroot het risico op niet-naleving van GDPR en de Cyberbeveiligingswet aanzienlijk. Bestuurders moeten aantoonbaar een risicoanalyse hebben uitgevoerd, contractuele garanties hebben bedongen en een uitwijkstrategie hebben gedocumenteerd. Ontbreekt die documentatie, dan is de bestuurder kwetsbaar bij toezichtonderzoek door NCSC, DNB of AFM.
