Wat staat er op het spel als bestuurder bij een cyberincident?

Als bestuurder ben je persoonlijk aansprakelijk als blijkt dat je onvoldoende maatregelen hebt genomen om een cyberincident te voorkomen of te beperken. Dat is geen theoretisch risico meer. In 2026 geldt voor steeds meer organisaties dat cyberveiligheid een bestuurlijke verantwoordelijkheid is, vastgelegd in wetgeving en toezichtkaders. Dit artikel beantwoordt de meest urgente vragen die elke directeur of IT-manager zichzelf zou moeten stellen.

Wie is er aansprakelijk bij een cyberaanval op de organisatie?

Bij een cyberaanval ligt de aansprakelijkheid in de eerste plaats bij het bestuur. Als directeur of bestuurder ben je verantwoordelijk voor een adequaat beleid rondom informatiebeveiliging. Wanneer aangetoond kan worden dat je nalatig hebt gehandeld of bewust risico’s hebt genegeerd, kun je persoonlijk aansprakelijk worden gesteld voor de schade die de organisatie of derden lijden.

Dit onderscheid is belangrijk: de organisatie zelf kan aansprakelijk zijn richting klanten, partners of toezichthouders, maar jij als bestuurder kunt ook persoonlijk worden aangesproken. Denk aan situaties waarbij persoonsgegevens zijn gelekt en de Autoriteit Persoonsgegevens concludeert dat er structureel onvoldoende beveiligingsmaatregelen waren. Of waarbij een ransomware-aanval ervoor heeft gezorgd dat klanten ernstige schade leden doordat dienstverlening uitviel.

Bestuurdersaansprakelijkheid bij een cyberincident is geen uitzondering meer. Rechtbanken en toezichthouders kijken steeds vaker naar de vraag of een bestuurder aantoonbaar heeft gehandeld als een zorgvuldig en redelijk handelend bestuurder op het gebied van digitale veiligheid.

Wat zijn de concrete gevolgen van een cyberincident voor een organisatie?

Een cyberincident raakt een organisatie op meerdere fronten tegelijk: operationeel, financieel, juridisch en reputationeel. De directe gevolgen zijn vaak zichtbaar, maar de indirecte schade duurt langer en is moeilijker te herstellen. Voor organisaties met 100 tot 600 werkplekken kan een ernstig incident de continuïteit van de bedrijfsvoering weken of maanden onder druk zetten.

De meest voorkomende concrete gevolgen zijn:

• Operationele stilstand: systemen liggen plat, medewerkers kunnen niet werken en klanten worden niet geholpen.
• Financiële schade: herstelkosten, losgeld bij ransomware, verlies van omzet en mogelijke boetes van toezichthouders.
• Juridische aansprakelijkheid: claims van klanten of partners die schade hebben geleden als gevolg van het incident.
• Reputatieschade: verlies van vertrouwen bij klanten, medewerkers en de markt, dat zich moeilijk laat kwantificeren maar wel degelijk voelbaar is.
• Meldplicht en toezicht: bij een datalek ben je verplicht dit te melden bij de Autoriteit Persoonsgegevens, wat extra aandacht en onderzoek kan triggeren.

Wat dit voor een bestuurder betekent: je legt verantwoording af richting je Raad van Commissarissen of aandeelhouders op het moment dat een incident plaatsvindt. De vraag die dan onmiddellijk gesteld wordt, is niet alleen “hoe is dit gebeurd?” maar ook “wat had jij gedaan om dit te voorkomen?”

Welke bestuursrechtelijke verplichtingen gelden er rondom cyberveiligheid?

Bestuurders hebben een wettelijke zorgplicht om de organisatie adequaat te beveiligen. De AVG verplicht organisaties technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Daarnaast verplicht de Europese NIS2-richtlijn, die in Nederland is omgezet in nationale wetgeving, een steeds grotere groep organisaties tot aantoonbare maatregelen op het gebied van cyberbeveiliging en incidentrapportage.

Concreet betekent dit voor bestuurders:

• Je bent verplicht risicomanagement op het gebied van cyberveiligheid actief te voeren en te documenteren.
• Bij een datalek moet je binnen 72 uur een melding doen bij de Autoriteit Persoonsgegevens.
• Onder NIS2 gelden aanvullende meldplichten en is het bestuur expliciet verantwoordelijk voor de naleving van beveiligingsmaatregelen.
• Aantoonbaar beleid is niet genoeg: je moet ook kunnen laten zien dat dit beleid werkt en actueel is.

De verantwoordelijkheid van een directeur voor cyberbeveiliging is daarmee geen technische kwestie geworden, maar een bestuurlijke. Je kunt de uitvoering delegeren, maar de eindverantwoordelijkheid blijft bij jou liggen.

Hoe weet een bestuurder of de organisatie voldoende beveiligd is?

Een bestuurder weet of de organisatie voldoende beveiligd is door periodiek aantoonbare informatie te ontvangen over de staat van de beveiliging, de risico’s en de genomen maatregelen. Vertrouwen op een jaarlijkse IT-audit of op de eigen IT-afdeling zonder gestructureerde rapportage is onvoldoende. Grip op cyberrisico’s binnen de organisatie vereist structurele governance.

Praktische signalen dat de beveiliging op orde is:

• Er is een actueel informatiebeveiligingsbeleid dat regelmatig wordt herzien.
• Medewerkers worden structureel getraind op bewustwording rondom phishing en social engineering.
• Toegangsbeheer is ingericht op basis van het principe van minimale rechten.
• Er zijn back-ups die regelmatig worden getest op herstelbaarheid.
• Er is een actueel incidentresponsplan en dat plan is geoefend.
• Leveranciers en softwareomgevingen worden beoordeeld op beveiligingsrisico’s.

Een goede manier om als bestuurder grip te houden, is door te eisen dat beveiliging een vast agendapunt is in managementrapportages, inclusief concrete metrics. Voor organisaties die werken met Microsoft 365 als werkplekoplossing zijn er ingebouwde beveiligingsfuncties die inzicht geven in risico’s en afwijkingen, mits deze correct zijn geconfigureerd en bewaakt.

Wat moet een bestuurder doen in de eerste uren na een cyberincident?

In de eerste uren na een cyberincident zijn drie dingen cruciaal: beheers de schade, informeer de juiste mensen en documenteer alles. Hoe snel en gestructureerd je handelt in de eerste uren bepaalt in grote mate hoe groot de uiteindelijke schade wordt en hoe jij als bestuurder later wordt beoordeeld op je optreden.

Een praktisch stappenplan voor de eerste uren:

1. Isoleer het incident: zorg dat getroffen systemen worden losgekoppeld om verdere verspreiding te voorkomen.
2. Activeer het incidentresponsplan: als dat er is, volg het. Als dat er niet is, is dit het moment om een crisisteam samen te stellen.
3. Informeer intern: betrek direct de relevante mensen, waaronder IT, juridische zaken en communicatie.
4. Beoordeel de meldplicht: is er sprake van een datalek? Dan geldt de 72-uurstermijn voor melding bij de Autoriteit Persoonsgegevens.
5. Documenteer alles: noteer wat er is gebeurd, welke beslissingen zijn genomen en door wie. Dit is essentieel voor eventuele juridische procedures.
6. Communiceer zorgvuldig naar buiten: stel klanten en partners tijdig op de hoogte, maar doe dit gecoördineerd en feitelijk.

Wat je als bestuurder niet moet doen: het incident intern houden uit angst voor reputatieschade, of de IT-afdeling alleen laten handelen zonder bestuurlijke betrokkenheid. Beide keuzes vergroten het risico op aansprakelijkheid.

Hoe verkleint een bestuurder structureel het risico op een cyberincident?

Een bestuurder verkleint het risico op een cyberincident door cyberveiligheid structureel te verankeren in de governance van de organisatie, niet als eenmalig project maar als doorlopend proces. Dat betekent investeren in mensen, processen en technologie, en er bestuurlijk eigenaarschap over nemen.

De meest effectieve maatregelen op bestuurlijk niveau zijn:

• Zorg voor een actueel en getest incidentresponsplan voordat er iets misgaat.
• Maak cyberveiligheid een vast onderdeel van de risicomanagementcyclus.
• Investeer in bewustwording bij medewerkers, want de meeste incidenten beginnen bij menselijk gedrag.
• Stel heldere eisen aan leveranciers en IT-partners op het gebied van beveiliging.
• Zorg dat beveiligingsmaatregelen aantoonbaar zijn gedocumenteerd en periodiek worden getoetst.
• Betrek een externe partij voor onafhankelijke audits of penetratietests.

Technologie speelt hierin een ondersteunende rol. Een goed ingerichte moderne werkplek met de juiste beveiligingsinstellingen verlaagt de kans op een succesvolle aanval aanzienlijk. Maar technologie zonder beleid en bewustwording is nooit voldoende.

Hoe Puur ICT helpt bij cyberbeveiliging voor bestuurders

Wij begrijpen dat je als bestuurder niet alleen technische zekerheid wil, maar ook bestuurlijke grip en aantoonbare controle. Daarom helpen wij organisaties met een complete aanpak rondom digitale veiligheid, afgestemd op jouw verantwoordelijkheden als directeur of IT-manager.

Wat wij voor jouw organisatie doen:

• Inrichten en bewaken van Microsoft 365-beveiliging, inclusief identiteitsbeheer, toegangscontrole en apparaatbeheer via Microsoft Intune.
• Endpoint Management op afstand, zodat apparaten altijd voldoen aan minimale beveiligingseisen, ook bij verlies of diefstal.
• Proactief beheer en monitoring, waarbij wij afwijkingen signaleren voordat ze uitgroeien tot incidenten.
• Begeleiding bij beleid en compliance, zodat jij aantoonbaar kunt maken dat je als bestuurder aan je zorgplicht voldoet.
• Heldere rapportage die jij kunt gebruiken in gesprekken met je Raad van Commissarissen of aandeelhouders.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van cyberveiligheid? Neem contact op met Puur ICT voor een vrijblijvend gesprek. Wij denken graag met je mee, in begrijpelijke taal en zonder omwegen.

Gerelateerde artikelen

• Wanneer is de NIS2-richtlijn verplicht?
• Hoe begin je met NIS2-compliance als je geen CISO hebt?
• Wat moet je regelen in Microsoft 365 voor een ISO 27001-certificering?
• Hoe lang duurt het gemiddeld om 100 werkplekken over te zetten naar Microsoft 365?
• Wat moet je geregeld hebben in Microsoft 365 voordat je Copilot zinvol kunt inzetten?