NIS2 en hoofdelijke aansprakelijkheid: wat publieke bestuurders wél en niet moeten vrezen
Gepubliceerd op 5 juni 2026 · Bijgewerkt op 21 juli 2026
Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.
NIS2 roept bij veel publieke organisaties dezelfde vraag op: worden bestuurders straks persoonlijk of zelfs hoofdelijk aansprakelijk wanneer cyberbeveiliging tekortschiet? Die vraag is begrijpelijk, maar vermengt twee zaken die u scherp uit elkaar moet houden. De formele cybersecuritywetgeving (NIS2 en de Cyberbeveiligingswet) legt verplichtingen op aan de organisatie en haar bestuur: maatregelen goedkeuren, toezicht houden op uitvoering en voldoende kennis hebben om cyberrisico's te beoordelen. De politieke en bestuurlijke aansprakelijkheid (verantwoording aan raad, staten of parlement wanneer het misgaat) loopt via de bestaande nationale kaders en verandert door NIS2 niet wezenlijk. Wie deze twee sporen door elkaar haalt, overschat het juridische risico en onderschat het bestuurlijke.
Toch verdient het begrip hoofdelijke aansprakelijkheid nuance, zeker bij publieke bestuurders. NIS2 introduceert geen algemene, automatische hoofdelijke aansprakelijkheid voor iedere burgemeester, wethouder, gedeputeerde, dijkgraaf, bestuurder of overheidsdirecteur. Voor overheidsinstanties blijft nationaal recht rond aansprakelijkheid van publieke instellingen, ambtenaren en gekozen of benoemde functionarissen leidend. Digitale Overheid formuleert dit expliciet: NIS2 brengt voor overheidsbestuurders geen nieuwe aansprakelijkheden met zich mee buiten wat al bestond; aansprakelijkheid wegens bijvoorbeeld grove nalatigheid bestond ook vóór NIS2 al.
De kernboodschap is daarom niet dat iedere publieke bestuurder persoonlijk financieel aansprakelijk wordt voor elk cyberincident. De kernboodschap is dat bestuurlijke verantwoordelijkheid aantoonbaar moet worden ingevuld. Wie geen zicht heeft op risico's, geen passende maatregelen laat treffen en geen bewijs heeft van opvolging, staat bestuurlijk en toezichthoudend zwakker.
Drie acties die u als bestuurder in elk geval moet nemen:
- Volg de verplichte cybersecurity-training en houd kennis bij: NIS2 verplicht bestuurders om cyberrisico's en beheersmaatregelen zelf te kunnen beoordelen. De Cyberbeveiligingswet (artikel 24, derde lid) geeft bestuurders hiervoor twee jaar na inwerkingtreding de tijd, bij inwerkingtreding op 15 augustus 2026 dus uiterlijk 15 augustus 2028, en vraagt een certificaat waaruit deelname blijkt. De training mag extern of intern worden verzorgd, bijvoorbeeld door de CISO. Wie bij overheden als "het bestuur" geldt, regelt artikel 24, twaalfde lid: bij ministeries de minister, bij zelfstandige bestuursorganen van de centrale overheid het zelfstandige bestuursorgaan, bij provincies gedeputeerde staten, bij gemeenten het college van burgemeester en wethouders, bij waterschappen het dagelijks bestuur en bij gemeenschappelijke regelingen het dagelijks bestuur van het openbaar lichaam, het bestuur van de bedrijfsvoeringsorganisatie of het gemeenschappelijk orgaan.
- Keur de beveiligingsmaatregelen expliciet goed en leg dat besluit vast: goedkeuring is een wettelijke bestuurstaak die u niet aan de CISO of IT kunt overlaten.
- Organiseer aantoonbaar toezicht op de uitvoering: een vast rapportageritme over risico's, herstel en restpunten, met een herleidbaar dossier van wat is besloten en gecontroleerd.
Wat betekent "hoofdelijk" eigenlijk?
Hoofdelijke aansprakelijkheid betekent dat ieder bestuurslid afzonderlijk voor de gehele schade kan worden aangesproken, niet slechts voor een eigen aandeel. Wie betaalt, kan vervolgens verhaal zoeken op de medebestuurders, maar het risico ligt eerst bij het individuele lid. Dat is iets anders dan persoonlijke aansprakelijkheid, waarbij iemand alleen voor eigen handelen of nalaten wordt aangesproken, en dan collectieve verantwoordelijkheid, waarbij het bestuur als orgaan verantwoording aflegt. Het begrip komt uit het civielrechtelijke bestuurdersaansprakelijkheidsrecht bij private entiteiten, de sfeer van artikel 2:9 van het Burgerlijk Wetboek: bij onbehoorlijk bestuur is elke bestuurder van een rechtspersoon in beginsel voor het geheel aansprakelijk, tenzij een individueel lid geen ernstig verwijt kan worden gemaakt én hij niet nalatig is geweest in het treffen van maatregelen om de gevolgen van onbehoorlijk bestuur af te wenden. Dat referentiekader helpt om de nuance voor publieke bestuurders op waarde te schatten.
Wat zegt NIS2 over bestuurlijke aansprakelijkheid?
Artikel 20 van de NIS2-richtlijn vormt het hart van de governanceverplichting. De bestuursorganen van essentiële en belangrijke entiteiten moeten de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezien op de uitvoering daarvan en aansprakelijk kunnen worden gesteld voor inbreuken door de entiteit op artikel 21. Artikel 21 bevat de zorgplicht: passende en evenredige technische, operationele en organisatorische maatregelen om risico's voor netwerk- en informatiesystemen te beheersen en de impact van incidenten te voorkomen of te beperken.
"De lidstaten zorgen ervoor dat de bestuursorganen van essentiële en belangrijke entiteiten de door deze entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren om te voldoen aan artikel 21, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld voor inbreuken door de entiteiten op dat artikel."
— Richtlijn (EU) 2022/2555 (NIS2), artikel 20, eerste lid, eerste zin
Voor publieke bestuurders is vooral artikel 20, eerste lid, tweede zin belangrijk. De richtlijn bepaalt dat deze governanceverplichting geen afbreuk doet aan het nationale recht met betrekking tot de aansprakelijkheidsregels die gelden voor overheidsinstanties, en voor de aansprakelijkheid van ambtenaren en verkozen of benoemde overheidsfunctionarissen. Dat betekent dat de Nederlandse implementatie en bestaande bestuursrechtelijke, ambtenarenrechtelijke, civielrechtelijke en politieke verantwoordingsmechanismen bepalend blijven voor de concrete aansprakelijkheidsvraag.
| Onderwerp | Wat NIS2 duidelijk maakt | Wat dit praktisch betekent |
|---|---|---|
| Goedkeuring van maatregelen | Het bestuur moet cyberbeveiligingsmaatregelen goedkeuren. | Cybersecurity hoort op de bestuurstafel, niet alleen bij IT. |
| Toezicht op uitvoering | Het bestuur moet toezien op implementatie. | Er moeten rapportages, escalaties en voortgangsbesluiten zijn. |
| Trainingsplicht | Bestuurders moeten kennis en vaardigheden opbouwen. | Cyberrisico's moeten bestuurlijk begrepen en beoordeeld kunnen worden. |
| Aansprakelijkheid | Bestuursorganen kunnen aansprakelijk worden gesteld voor inbreuken. | Voor publieke bestuurders blijft nationale aansprakelijkheidscontext leidend. |
| Bewijsbaarheid | Toezicht en verantwoording veronderstellen dat maatregelen en besluiten aantoonbaar zijn. | Organisaties moeten dossiers, besluiten, metingen en opvolging kunnen tonen. |
Publieke sector: geen paniek, wel verantwoordelijkheid
Digitale Overheid geeft voor overheidsinstanties een belangrijke verduidelijking. De aansprakelijkheidsbepaling uit de NIS2-richtlijn is volgens deze toelichting niet direct van toepassing op overheidsinstanties, omdat de richtlijn aangeeft dat nationaal recht over aansprakelijkheid van ambtenaren en gekozen of benoemde overheidsfunctionarissen niet wordt aangetast.
Ook de zwaarste NIS2-sanctie geldt niet voor overheidsbestuurders. De bevoegdheid om een bestuurder tijdelijk te laten schorsen of een tijdelijk verbod op het uitoefenen van leidinggevende functies te vragen, is in de richtlijn (artikel 32, vijfde lid) en in de Cyberbeveiligingswet uitdrukkelijk uitgezonderd voor overheidsinstanties. Andere handhavingsinstrumenten, zoals bindende aanwijzingen, een last onder dwangsom en bestuurlijke boetes, kunnen wel degelijk op overheidsorganisaties worden toegepast. Die boetes zijn niet symbolisch: de NIS2-richtlijn schrijft voor essentiële entiteiten een boetemaximum voor van ten minste 10 miljoen euro of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt) en voor belangrijke entiteiten ten minste 7 miljoen euro of 1,4% (artikel 34); de Cyberbeveiligingswet neemt deze bedragen over in de artikelen 80 en 87 (voor overtreding van de zorg- en meldplichtbepalingen). Het toezicht op de sector overheid wordt volgens de toelichting van Digitale Overheid belegd bij de Rijksinspectie Digitale Infrastructuur; de wet zondert overheidsinstanties uit van het handhavingstraject dat kan eindigen in schorsing van certificeringen of van bestuursleden (artikelen 76 tot en met 78, via artikel 79) — maar niet van de bestuurlijke boete.
Dat betekent niet dat publieke bestuurders niets hoeven te doen. Integendeel. Gemeenten, provincies, waterschappen en de centrale overheid worden in de toelichting van Digitale Overheid genoemd als entiteiten die onder NIS2 als essentiële entiteiten worden aangemerkt. De omvangscriteria die voor veel private sectoren gelden, zijn niet van toepassing op overheidsinstanties. Voor publieke organisaties wordt bovendien gekeken naar bestaande verantwoordingsstructuren: het voornemen is de zorgplicht voor overheidsorganisaties via de BIO in te vullen en er wordt onderzocht hoe ENSIA aangepast kan worden ten behoeve van het NIS2-toezicht. Daarbij past een kanttekening: BIO en ENSIA tonen als zelfevaluatie aan dat het papier op orde is. Een externe meting toont aan of de werkelijkheid met dat papier overeenkomt: wat een aanvaller feitelijk ziet, gemeten van buitenaf, met tijdstempel.
De boodschap is dus dubbel. Er is geen reden voor juridische paniek over een automatische hoofdelijke aansprakelijkheid. Er is wel alle reden om bestuurlijke cyberzorg aantoonbaar te organiseren. Bestuurders kunnen zich niet verschuilen achter de CISO of IT-afdeling. De Nationaal Coördinator Terrorismebestrijding en Veiligheid benadrukt dat het bestuur eindverantwoordelijk blijft voor cyberbeveiliging, ook wanneer taken bij een CISO zijn belegd.
De Nederlandse Cyberbeveiligingswet: bestuurders moeten kunnen meepraten
De NIS2-richtlijn, eind 2022 vastgesteld om de digitale en economische weerbaarheid van Europese lidstaten te versterken, is in Nederland omgezet in de Cyberbeveiligingswet. De Eerste Kamer stemde op 7 juli 2026 in met het wetsvoorstel; de wet is gepubliceerd in Staatsblad 2026, 187 en treedt op 15 augustus 2026 in werking. Daarmee vervangt de Cyberbeveiligingswet de Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die onder de wet vallen, moeten zich bovendien registreren via mijn.ncsc.nl; zie de toelichting van het NCSC op de registratieplicht.
De NCTV maakt duidelijk wat dat bestuurlijk betekent. Cyberbeveiliging wordt onder de Cyberbeveiligingswet niet langer gezien als een technische kwestie, maar als een onderwerp voor de gehele organisatie. Het bestuur is verantwoordelijk voor beleid en naleving, moet aantoonbare kennis en vaardigheden hebben over risico's voor netwerk- en informatiesystemen, moet inzicht hebben in risico's en passende maatregelen nemen, en moet regelmatig met de CISO spreken.
| Bestuurlijke plicht | Praktische invulling | Bewijs dat beschikbaar moet zijn |
|---|---|---|
| Kennis opbouwen | Bestuurstraining, periodieke updates en CISO-gesprekken. | Certificaten, agenda's, verslagen en besluiten. |
| Risico's begrijpen | Inzicht in kritieke processen, assets, leveranciers en dreigingen. | Risicoregister, assetoverzicht, ketenanalyse en dreigingsbeeld. |
| Maatregelen goedkeuren | Besluitvorming over zorgplichtmaatregelen, budget en prioriteiten. | Bestuursbesluiten, onderbouwing, risicobereidheid en uitzonderingen. |
| Toezien op uitvoering | Periodieke rapportage over voortgang, kwetsbaarheden en incidenten. | Dashboards, herstel-SLA's, audit trail en escalaties. |
| Continu verbeteren | Hercontrole na incidenten, audits en scans. | Verbeterplannen, herscans, lessons learned en managementreviews. |
Voor bestuurders is vooral het woord aantoonbaar belangrijk. Niet iedere organisatie hoeft dezelfde maatregelen te nemen, maar iedere organisatie moet kunnen uitleggen waarom gekozen maatregelen passend en evenredig zijn. Zonder actuele feiten over het digitale aanvalsoppervlak, kwetsbaarheden, leveranciersafhankelijkheden en herstelstatus blijft die uitleg kwetsbaar.
Cybersecurity-zorgplicht van de overheid: van beleid naar meetbare beheersing
Artikel 21 van NIS2 verplicht organisaties tot passende en evenredige maatregelen. De richtlijn noemt onder meer risicoanalyse, beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit, ketenbeveiliging, beveiliging bij aanschaf, ontwikkeling en onderhoud, beleid voor effectiviteitsmeting, cyberhygiëne, training, cryptografie, personeelsbeveiliging, toegangsbeheer, beheer van bedrijfsmiddelen, multi-factor authenticatie en beveiligde communicatie.
De Rijksinspectie Digitale Infrastructuur benadrukt dat risicomanagement onder de Cyberbeveiligingswet een geïntegreerde en doorlopende aanpak vraagt. Organisaties moeten risico's in kaart brengen, oplossingen kiezen, regelmatig controleren of die oplossingen werken en bijstellen waar nodig. Ook ketenrisico's en leveranciersafhankelijkheid moeten expliciet onderdeel zijn van de risicoanalyse en het cyberbeveiligingsbeleid.
Voor publieke bestuurders is dit relevant omdat publieke dienstverlening steeds afhankelijker wordt van digitale ketens. Gemeenten, provincies en waterschappen zijn niet alleen verantwoordelijk voor interne kantoorautomatisering. Zij beheren digitale loketten, gegevensstromen, zaak- en documentmanagementsystemen, koppelingen met landelijke voorzieningen, leveranciersportalen en soms operationele technologie. Een kwetsbaarheid in een extern zichtbaar systeem kan daardoor bestuurlijke gevolgen hebben voor continuïteit, privacy, vertrouwen en dienstverlening.
Waarom bewijs uit kwetsbaarhedenbeheer bestuurlijk relevant is
Een bestuur kan alleen toezicht houden op cyberbeveiliging wanneer de informatie betrouwbaar, actueel en begrijpelijk is. Een beleidsdocument of jaarlijkse audit is in de praktijk vaak onvoldoende om dat beeld actueel te houden. Cyberrisico verandert doorlopend: nieuwe diensten komen online, leveranciers passen configuraties aan en er worden dagelijks nieuwe kwetsbaarheden gepubliceerd. Het dreigingsbeeld verandert voortdurend; de NCTV brengt daarover jaarlijks het Cybersecuritybeeld Nederland uit.
Kwetsbaarhedenmonitoring waarbij het bewijs tijdens het werk wordt opgebouwd, helpt publieke organisaties om die dynamiek bestuurbaar te maken. De kern is dat iedere bevinding niet alleen technisch wordt geregistreerd, maar ook wordt gekoppeld aan context, eigenaar, prioriteit, besluit en hercontrole. Dat maakt het verschil tussen "we hebben ooit gescand" en "we kunnen aantonen wat ons actuele risicobeeld is en wat wij ermee doen".
| Bestuurlijk risico | Zonder aantoonbare monitoring | Met evidence-first monitoring |
|---|---|---|
| Onbekend aanvalsoppervlak | Vergeten domeinen, testomgevingen of open diensten blijven buiten beeld. | Nieuwe subdomeinen, open poorten en certificaatwijzigingen verschijnen in de eerstvolgende scanronde, met datum van eerste waarneming. |
| Onvoldoende prioritering | Teams werken aan lage risico's terwijl kritieke blootstelling blijft bestaan. | Iedere bevinding krijgt een ernst en een eigenaar; kritieke blootstelling staat bovenaan de rapportage. |
| Zwakke verantwoording | Het bestuur kan niet onderbouwen welke keuzes zijn gemaakt. | Besluiten, uitzonderingen en herstelacties zijn per bevinding terug te vinden, met datum en besluitvormer. |
| Ketenonzekerheid | Leveranciersrisico's worden pas zichtbaar bij incidenten. | Extern zichtbare leveranciersdiensten en koppelingen staan in hetzelfde risicobeeld als de eigen systemen. |
| Audit- of toezichtdruk | Informatie moet achteraf worden gereconstrueerd. | Ieder scanresultaat heeft een tijdstempel en een historie; reconstructie achteraf is niet nodig. |
Een voorbeeldscenario ter illustratie, geen beschrijving van een klantcasus: een gemeente richt voor de livegang van een nieuw zaaksysteem een testomgeving in op een apart subdomein. Na livegang wordt die omgeving niet opgeruimd en blijft zij extern bereikbaar, zonder de beveiligingsupdates van de productieomgeving. Doorlopende monitoring van het aanvalsoppervlak signaleert zo'n vergeten subdomein zodra het extern zichtbaar wordt, en legt vast wanneer het is gevonden en wanneer het is opgelost.
Exposentry sluit hierbij aan door kwetsbaarhedenmonitoring te benaderen als een herleidbaar onderbouwd proces. Het doel is niet om bestuurders technische details te laten managen, maar om hen betrouwbare stuurinformatie te geven. De CISO of securityverantwoordelijke blijft de inhoudelijk adviseur; het bestuur krijgt de bewijslast die nodig is om keuzes te maken en toezicht te houden.
Exposentry bouwt daarbij op OpenKAT, de open-source securityscanner die voortkomt uit de Nederlandse overheid. Edward Hasekamp, die Exposentry ontwikkelt, draagt zelf bij aan OpenKAT. Voor publieke organisaties is dat relevant: de onderliggende tooling is transparant en controleerbaar en sluit aan op software die binnen de overheid al wordt gebruikt.
Wat moet er op de bestuurstafel liggen?
Een effectief bestuursgesprek over NIS2 gaat niet over honderden individuele kwetsbaarheden. Het gaat over trend, prioriteit, restrisico en besluitvorming. Het NCSC adviseert bestuurders om met de CISO te spreken over veiligheidscultuur, kennis, verantwoordelijkheid, bestuursagenda, risicobeoordeling, risicobehandeling, "continuous in control" en wet- en regelgeving.
In de praktijk kiezen veel publieke organisaties een vast kwartaalritme voor deze rapportage. Bij grote incidenten, kritieke kwetsbaarheden of bestuurlijke risicoacceptatie moet escalatie sneller plaatsvinden. Het rapport hoeft niet lang te zijn, maar moet wel consistent zijn.
| Bestuursrapportage-onderdeel | Voorbeeldvraag |
|---|---|
| Actueel aanvalsoppervlak | Welke nieuwe of onbekende externe assets zijn ontdekt? |
| Kritieke kwetsbaarheden | Welke bevindingen raken essentiële dienstverlening of gevoelige gegevens? |
| Herstelstatus | Welke risico's zijn binnen SLA opgelost en welke niet? |
| Risicoacceptatie | Welke risico's accepteren we tijdelijk, waarom en tot wanneer? |
| Ketenrisico's | Welke leveranciers of koppelingen vragen bestuurlijke aandacht? |
| Incidentgereedheid | Zijn back-up, incidentrespons en continuïteitsplannen getest? |
| Bewijspositie | Kunnen we aantonen wat is gevonden, besloten, uitgevoerd en hercontroleerd? |
Het bestuur hoeft daarbij geen technisch college te worden. Wel moet het bestuur voldoende kennis hebben om de juiste vragen te stellen, prioriteiten te wegen en besluiten te nemen over geld, capaciteit en risicobereidheid.
Conclusie: aansprakelijkheid voorkomen begint bij aantoonbaarheid
Voor publieke bestuurders is NIS2 geen reden tot paniek over automatische hoofdelijke aansprakelijkheid. De richtlijn laat nationale regels over aansprakelijkheid van publieke instellingen, ambtenaren en gekozen of benoemde functionarissen intact. Digitale Overheid bevestigt bovendien dat NIS2 voor overheidsbestuurders geen nieuwe aansprakelijkheden introduceert buiten wat al bestond.
Maar die nuance mag niet worden gelezen als vrijbrief. NIS2 en de Cyberbeveiligingswet maken cyberbeveiliging nadrukkelijk bestuurlijk. Bestuurders moeten risico's begrijpen, maatregelen goedkeuren, toezicht houden op uitvoering, training volgen en aantoonbaar in gesprek blijven met de CISO.
Daarom is de echte vraag niet: "Ben ik straks hoofdelijk aansprakelijk?" De betere vraag is: "Kan ik aantonen dat wij onze cyberrisico's kennen, passende maatregelen hebben gekozen en opvolging controleren?" Hoe u die aantoonbaarheid stap voor stap organiseert, leest u in het NIS2-stappenplan voor overheidsbesturen.
Exposentry helpt publieke organisaties bij dat laatste. Door het digitale aanvalsoppervlak en kwetsbaarheden evidence-first te monitoren, ontstaat de feitelijke basis voor bestuurlijke cyberzorg: actueel, herleidbaar en geschikt voor dialoog tussen bestuur, CISO, auditor en toezichthouder.
Bronnen
- EUR-Lex, Directive (EU) 2022/2555, Article 20, eur-lex.europa.eu
- Digitale Overheid, "Veelgestelde vragen Cyberbeveiligingswet", digitaleoverheid.nl
- EUR-Lex, Directive (EU) 2022/2555, Article 21, eur-lex.europa.eu
- EUR-Lex, Directive (EU) 2022/2555, Article 34, eur-lex.europa.eu
- NCTV, "Bestuurlijke verantwoordelijkheid en trainingsplicht voor bestuurders", nctv.nl
- Rijksinspectie Digitale Infrastructuur, "Risicomanagement en cyberbeveiliging", rdi.nl
- NCSC, "Vragen die je als bestuurder kunt stellen aan de CISO", ncsc.nl
- NCTV, "Cybersecuritybeeld Nederland", nctv.nl
- Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht" (nieuwsbericht 7 juli 2026), rijksoverheid.nl
- Staatsblad 2026, 187 (Cyberbeveiligingswet), zoek.officielebekendmakingen.nl
Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.