Verandering biedt kansen
Home / Nieuws / NIS2: Per 2025 bestuurder aansprakelijk voor falend cybersecurity beleid
Vanaf 2025 vallen veel meer organisaties onder de NIS2 cybersecurity-richtlijnen en is de NIS2 dusdanig aangescherpt dat een bestuurder aansprakelijk voor falend cybersecurity beleid kan worden gehouden. Veel bestuurders zijn echter niet op de hoogte van NIS2 en de consequenties. Ook weten ze niet of de NIS2 per 2025 ook van toepassing is op hun organisatie. Lees de hoofdlijnen.
Daarvoor waarschuwt de Cyber Security Raad (CSR) in het FD. De CSR, die de overheid adviseert op het gebied van cybersecurity, constateert dat veel bedrijven en hun bestuurders nog niet op de hoogte zijn van de aankomende veranderingen: “Als gevolg van nieuwe Europese regels moeten bestuurders straks de maatregelen om cyberrisico’s te beheren goedkeuren en toezien op uitvoering ervan. Ze moeten ook meehelpen om de cyberveiligheid bij hun directe toeleveranciers te waarborgen.”
Als een bedrijf tekortschiet op het gebied van cybersecurity, kan dat leiden tot waarschuwingen en flinke boetes. De boetebedragen gaan tot maximaal twee procent van de jaaromzet. Als dat niet leidt tot de gewenste verbetering, dan kunnen bestuurders persoonlijk aansprakelijk worden gesteld en zelfs tijdelijk uit hun functie worden gezet. De persoonlijke aansprakelijkheid geldt ook voor commissarissen.
De Network and Information Security Directive (NIS2-richtlijn) is eind 2022 vastgesteld door de Europese Unie. De richtlijn richt zich op risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico’s. Ze moet bijdragen aan meer Europese harmonisatie en een hoger niveau van cybersecurity bij bedrijven en organisaties. De NIS2 is de opvolger van de eerste NIS-richtlijn, ook wel bekend als de NIB, in Nederland in 2016 opgenomen in de Wet Beveiliging Netwerk- en Informatiesystemen (Wbni).
Ongeveer duizend ‘essentiële bedrijven’, zoals bijvoorbeeld energie-, en telecombedrijven, vielen al onder de eerste NIS-richtlijn en kennen al een meldplicht bij cyberincidenten. NIS2 geldt straks echter voor veel meer bedrijven en dus geldt ook voor hen dat de bestuurder aansprakelijk voor falend cybersecurity beleid kan worden gehouden.
Een belangrijk verschil met de eerste NIS-richtlijn is dat organisaties automatisch onder de NIS2-richtlijn vallen, als zij actief zijn in een van de eerdergenoemde sectoren en volgens de onderstaande criteria gekenmerkt kunnen worden als ‘essentiële’ of ‘belangrijke’ entiteit. Voor hen gelden de NIS2-verplichting direct met inwerkingtreding van de nationale wetgeving eind 2024.
De overheid informeert je niet actief als jouw organisatie als jouw organisatie automatisch onder de NIS2-richtlijnen valt. Je moet dit zelf onderzoeken. Dit kun je doen met een online vragenlijst van onder meer de Rijksinspectie Digitale Infrastructuur (RDI).
Organisaties die automatisch vallen onder de tweede NIS-richtlijn behoren tot:
Bron: Accountant, Nationaal Cyber Security Centrum
Actueel
Rapportageplicht werkgebonden personenmobiliteit: wat werkgevers vóór 1 juli 2026 moeten doen
Reparatiewet nieuw pensioenstelsel: meer bescherming voor medewerkers en nabestaanden
Rechtsvermoeden minimumloon: werkgever moet betaling beter kunnen bewijzen
Deel dit bericht
Nog niet uitgelezen?
De rapportageplicht werkgebonden personenmobiliteit vraagt in 2026 nog steeds aandacht van werkgevers met meer dan 100 medewerkers. Valt je organisatie onder deze verplichting? Dan moet je vóór 1 juli 2026 rapporteren over het zakelijke verkeer en het woon-werkverkeer van medewerkers in 2025. Voor organisaties met minder dan 250 medewerkers verandert de verplichting waarschijnlijk vanaf 2026. […]
De reparatiewet nieuw pensioenstelsel moet praktische knelpunten in de Wet toekomst pensioenen oplossen. Voor werkgevers is dit belangrijk, omdat pensioenafspraken direct raken aan arbeidsvoorwaarden, personeelsadministratie en communicatie met medewerkers. Het wetsvoorstel versterkt onder meer de bescherming van nabestaanden en arbeidsongeschikte medewerkers.Ook moet de uitvoering voor pensioenfondsen en verzekeraars duidelijker worden. Als werkgever krijg je hierdoor […]
Als werkgever krijg je mogelijk te maken met een strengere bewijspositie rond het wettelijk minimumloon. Het kabinet werkt het rechtsvermoeden minimumloon verder uit tot een wetsvoorstel.Daarmee kan de bewijslast verschuiven naar de werkgever als niet duidelijk is of een medewerker genoeg loon heeft ontvangen. Vooral een complete en tijdige loonadministratie wordt daardoor belangrijker. Rechtsvermoeden minimumloon […]
Op 21 mei 2026 is het wetsvoorstel implementatie Richtlijn loontransparantie ingediend bij de Tweede Kamer. Als dit wetsvoorstel wordt aangenomen, treedt de wet op 1 januari 2027 in werking. Voor werkgevers betekent dit concrete verplichtingen op het gebied van salarissen, informatieverstrekking en rapportage. Hoe groter je organisatie, hoe meer er van je verwacht wordt. Dit […]
De Wet toelating terbeschikkingstelling van arbeidskrachten heeft gevolgen voor meer bedrijven dan veel werkgevers denken. Niet alleen uitzendbureaus, maar ook detacheerders, payrollbedrijven en andere ondernemingen kunnen onder de Wtta vallen. Leen je personeel uit tegen betaling? Dan moet je mogelijk vanaf 2028 zijn toegelaten door de Nederlandse Autoriteit Uitleenmarkt. Ook als je personeel inhuurt, krijg […]
© 2026 - Stolwijk Kennisnetwerk