NIS2 maakt cybersecurity een bestuurszaak
Door: Hans Risseeuw
Cybersecurity is niet langer alleen het domein van de IT-afdeling. Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Daarmee gelden voor ruim 8.000 organisaties nieuwe verplichtingen op het gebied van digitale weerbaarheid. De verantwoordelijkheid daarvoor ligt nadrukkelijk ook bij het bestuur.
De Cyberbeveiligingswet moet de weerbaarheid van essentiële en belangrijke organisaties vergroten. Organisaties die onder de wet vallen, krijgen onder meer te maken met een zorgplicht, registratieplicht en meldplicht. Ze moeten passende maatregelen nemen om hun dienstverlening en informatie te beschermen en significante cyberincidenten melden bij het betreffende CSIRT en de toezichthouder.[1]
Daarmee verandert ook de positie van cybersecurity binnen de organisatie. Digitale veiligheid raakt de continuïteit van de bedrijfsvoering en vraagt om aantoonbare beheersing van risico’s. Het Cyberbeveiligingsbesluit werkt onder meer de zorgplicht en de trainingsplicht voor bestuurders nader uit.
Kijk ook naar de keten
Niet ieder FHI-lid valt rechtstreeks onder de Cyberbeveiligingswet. Toch kan de wet ook voor andere technologiebedrijven gevolgen hebben.
De reden is de keten. Organisaties die onder NIS2 vallen, moeten aandacht besteden aan beveiligingsrisico’s rond hun leveranciers. Voor een fabrikant, technisch dienstverlener, system integrator of andere leverancier kan cybersecurity daardoor onderdeel worden van de eisen die een klant aan de samenwerking stelt.
FHI-Partner Samen Digitaal Veilig richt zich daarom niet alleen op organisaties die rechtstreeks onder NIS2 vallen. Het platform biedt ook ondersteuning aan mkb-bedrijven en leveranciers en besteedt specifiek aandacht aan risico’s in de toeleveringsketen.[2]
Voor bedrijven is daarom niet alleen de vraag relevant: valt mijn organisatie onder de Cyberbeveiligingswet? Ook de vraag welke van mijn klanten eronder vallen verdient aandacht.
Van technisch risico naar bedrijfsrisico
De bredere verantwoordelijkheid voor cybersecurity maakt het noodzakelijk om ook naar de gevolgen van incidenten te kijken. Een cyberincident is immers niet uitsluitend een technisch probleem. Het kan de bedrijfsvoering raken en financiële of juridische gevolgen hebben.
Daarmee komt ook verzekerbaarheid in beeld. Cyberverzekeringen kunnen onderdeel zijn van het bredere risicomanagement van een onderneming. Daarnaast bestaan verzekeringen voor bedrijfs-, beroeps- en bestuurdersaansprakelijkheid. Welke risico’s daadwerkelijk gedekt zijn, hangt af van de specifieke polis en situatie.
FHI-leden kunnen hiervoor terecht bij verzekeringspartner Klap. Klap biedt zakelijke verzekeringen aan, waaronder cyberverzekeringen en bestuurdersaansprakelijkheidsverzekeringen. FHI-leden betalen een aanzienlijk lagere premie.[3]
Een verzekering vervangt de noodzakelijke beveiligingsmaatregelen vanzelfsprekend niet. De eerste stap blijft inzicht krijgen in de digitale risico’s en maatregelen nemen om die risico’s te beheersen.
Aantoonbaar digitaal weerbaar
Juist dat aantoonbare karakter wordt belangrijker. Leveranciers moeten steeds vaker niet alleen zeggen dat hun beveiliging op orde is, maar dit richting opdrachtgevers kunnen onderbouwen.
FHI werkt hiervoor samen met Samen Digitaal Veilig. Het platform biedt bedrijven onder meer ondersteuning, documenten en webinars om met digitale weerbaarheid aan de slag te gaan. Voor leveranciers biedt Samen Digitaal Veilig daarnaast een NIS2 Supply Chain-certificering; organisaties die zelf onder NIS2 vallen kunnen het platform gebruiken voor het beheren en beoordelen van leveranciersrisico’s.[4]
NIS2 maakt cybersecurity daarmee breder dan compliance alleen. Voor technologiebedrijven raakt digitale weerbaarheid aan bedrijfscontinuïteit, klantrelaties en bestuur. De relevante vraag is daarom niet alleen of een organisatie formeel onder de Cyberbeveiligingswet valt, maar vooral of zij haar digitale risico’s kent en kan aantonen dat zij die beheerst.
