Binnen een organisatie ligt de formele verantwoordelijkheid voor NIS2-compliance bij de directie of het bestuur. De NIS2-richtlijn schrijft expliciet voor dat leidinggevenden persoonlijk aansprakelijk kunnen worden gesteld voor onvoldoende naleving. Dit geldt voor alle organisaties die onder de richtlijn vallen, ongeacht hun omvang. In dit artikel beantwoorden we de meest gestelde vragen over wie welke rol speelt bij NIS2-naleving en hoe je dat als organisatie praktisch organiseert.
Wie moet de NIS2-verantwoordelijkheid formeel dragen?
De formele NIS2-verantwoordelijkheid ligt bij de directie of het hoogste bestuursorgaan van een organisatie. De richtlijn stelt uitdrukkelijk dat leidinggevenden niet alleen verantwoordelijk zijn voor het goedkeuren van beveiligingsmaatregelen, maar ook persoonlijk aansprakelijk kunnen worden gesteld als naleving tekortschiet. Verantwoordelijkheid delegeren aan een IT-afdeling of externe partij ontslaat de directie niet van deze verplichting.
Dit is een belangrijk verschil met eerdere regelgeving. Waar cybersecurity vroeger vaak volledig bij de IT-afdeling werd neergelegd, maakt NIS2 het een bestuurlijke aangelegenheid. De directie moet aantoonbaar betrokken zijn bij het opstellen, goedkeuren en monitoren van het informatiebeveiligingsbeleid.
Concreet betekent dit dat de directie:
- het beveiligingsbeleid formeel vaststelt en goedkeurt
- periodiek rapportages ontvangt over de staat van de beveiliging
- risico’s begrijpt en weloverwogen beslissingen neemt over maatregelen
- aantoonbaar betrokken is bij incidentrespons en herstelplannen
Wat is de rol van de directie bij NIS2-naleving?
De directie heeft bij NIS2-naleving een actieve, toezichthoudende en eindverantwoordelijke rol. Het gaat verder dan het ondertekenen van een beleidsdocument. Directieleden moeten voldoende kennis hebben van cybersecurityrisico’s om verantwoorde beslissingen te nemen en worden geacht trainingen te volgen om die kennis op peil te houden.
In de praktijk betekent dit dat directieleden regelmatig worden bijgepraat over dreigingen, kwetsbaarheden en de effectiviteit van bestaande maatregelen. Ze zijn ook verantwoordelijk voor het beschikbaar stellen van voldoende budget en middelen voor informatiebeveiliging.
Persoonlijke aansprakelijkheid is geen theoretisch risico. Toezichthouders kunnen bij een ernstig incident of aantoonbare nalatigheid sancties opleggen aan individuele bestuurders, waaronder tijdelijke beroepsverboden. Dit maakt NIS2 een onderwerp dat thuishoort op de bestuurstafel, niet alleen in de serverruimte.
Welke interne rollen zijn betrokken bij NIS2-implementatie?
Bij NIS2-implementatie zijn meerdere interne rollen betrokken, waarbij de directie de eindverantwoordelijkheid draagt en operationele taken worden verdeeld over IT, compliance, HR en lijnmanagement. Geen enkele afdeling kan NIS2 alleen dragen; het is een organisatiebrede opgave.
De meest betrokken rollen zijn:
- IT-afdeling of IT-manager: verantwoordelijk voor technische maatregelen zoals toegangsbeheer, patchmanagement, monitoring en incidentdetectie
- Compliance of juridische afdeling: bewaakt de naleving van wettelijke verplichtingen, rapportage en documentatie
- HR-afdeling: betrokken bij bewustwordingstrainingen voor medewerkers en het verankeren van beveiligingsbeleid in onboarding en arbeidscontracten
- Lijnmanagers: verantwoordelijk voor naleving binnen hun eigen team en het melden van afwijkingen
- CISO of security officer (indien aanwezig): coördineert het gehele beveiligingsprogramma en adviseert de directie
De sleutel tot succesvolle NIS2-implementatie is heldere taakverdeling met bijbehorende mandaten. Wanneer iedereen verantwoordelijk is, is niemand het in de praktijk.
Heeft een MKB-bedrijf een CISO nodig voor NIS2?
Een MKB-bedrijf heeft geen fulltime CISO nodig om aan NIS2 te voldoen, maar iemand moet wel de coördinerende beveiligingsrol op zich nemen. Bij kleinere organisaties kan dit een IT-manager, operations manager of een externe securityadviseur zijn die periodiek betrokken is.
De NIS2-richtlijn stelt geen eis aan een specifieke functietitel. Wat wel vereist is, is dat er een aanwijsbare persoon of rol bestaat die:
- het beveiligingsbeleid coördineert en actueel houdt
- risico-analyses uitvoert of laat uitvoeren
- toeziet op de naleving van technische en organisatorische maatregelen
- de directie informeert en adviseert over beveiligingsvraagstukken
Voor veel MKB-bedrijven is het praktischer om deze rol te beleggen bij een bestaande medewerker met aanvullende opleiding, of om een externe partij in te schakelen die deze functie gedeeltelijk invult. Wat je wilt vermijden, is dat de rol nergens formeel belegd is.
Kan NIS2-compliance worden uitbesteed aan een externe partij?
Ja, een groot deel van de NIS2-compliance kan worden uitbesteed aan een externe partij, maar de eindverantwoordelijkheid blijft altijd bij de eigen directie. Uitbesteding is een effectieve manier om kennis en capaciteit in te huren, maar ontslaat de organisatie niet van haar wettelijke verplichtingen.
Wat je kunt uitbesteden zijn onder andere:
- technische beveiligingsmaatregelen zoals monitoring, endpoint protection en patchmanagement
- het opstellen en actueel houden van beleidsdocumentatie
- risicoanalyses en security audits
- de coördinerende beveiligingsrol (virtual CISO)
- incidentrespons en herstelplannen
Wat je niet kunt uitbesteden, is de bestuurlijke betrokkenheid. De directie moet de uitbestede werkzaamheden begrijpen, goedkeuren en monitoren. Een externe partner werkt als verlengstuk van de organisatie, niet als vervanging van intern eigenaarschap.
Voor MKB-organisaties die onvoldoende interne capaciteit hebben, bieden wij via onze cybersecurity-oplossingen ondersteuning bij het inrichten en borgen van NIS2-compliance, van technische maatregelen tot beleidsadvies.
Wat zijn de gevolgen als NIS2-verantwoordelijkheid onduidelijk is?
Als de NIS2-verantwoordelijkheid onduidelijk is, loopt een organisatie aanzienlijke juridische, financiële en operationele risico’s. Toezichthouders kunnen bij een incident of controle boetes opleggen, en als aantoonbaar is dat er geen heldere verantwoordelijkheidsstructuur bestond, vergroot dat de kans op sancties.
De gevolgen zijn concreet:
- Financiële sancties: NIS2 maakt substantiële boetes mogelijk voor organisaties die aantoonbaar nalatig zijn in hun beveiligingsverplichtingen
- Persoonlijke aansprakelijkheid: directieleden kunnen individueel aansprakelijk worden gesteld als blijkt dat zij onvoldoende toezicht hebben gehouden
- Reputatieschade: een beveiligingsincident in combinatie met onduidelijke verantwoordelijkheid ondermijnt het vertrouwen van klanten, partners en leveranciers
- Operationele kwetsbaarheid: zonder duidelijk eigenaarschap worden beveiligingsmaatregelen inconsistent uitgevoerd, wat de kans op incidenten vergroot
Onduidelijkheid over verantwoordelijkheid is zelf al een risicofactor. NIS2 vereist niet alleen dat maatregelen worden genomen, maar ook dat aantoonbaar is wie waarvoor verantwoordelijk is en hoe dat is geborgd. Een heldere rolverdeling, vastgelegd in beleidsdocumenten en regelmatig geëvalueerd, is daarmee geen administratieve formaliteit maar een kernonderdeel van naleving.
Begin met het benoemen van een verantwoordelijke, stel een basisbeleid op en zorg dat de directie actief betrokken is. Dat is de kortste weg naar een verdedigbare NIS2-positie, ongeacht de omvang van je organisatie.
