Als bestuurder ben je persoonlijk aansprakelijk als blijkt dat je onvoldoende maatregelen hebt genomen om een cyberincident te voorkomen of te beperken. Dat is geen theoretisch risico meer. In 2026 geldt voor steeds meer organisaties dat cyberveiligheid een bestuurlijke verantwoordelijkheid is, vastgelegd in wetgeving en toezichtkaders. Dit artikel beantwoordt de meest urgente vragen die elke directeur of IT-manager zichzelf zou moeten stellen.

Wie is er aansprakelijk bij een cyberaanval op de organisatie?

Bij een cyberaanval ligt de aansprakelijkheid in de eerste plaats bij het bestuur. Als directeur of bestuurder ben je verantwoordelijk voor een adequaat beleid rondom informatiebeveiliging. Wanneer aangetoond kan worden dat je nalatig hebt gehandeld of bewust risico’s hebt genegeerd, kun je persoonlijk aansprakelijk worden gesteld voor de schade die de organisatie of derden lijden.

Dit onderscheid is belangrijk: de organisatie zelf kan aansprakelijk zijn richting klanten, partners of toezichthouders, maar jij als bestuurder kunt ook persoonlijk worden aangesproken. Denk aan situaties waarbij persoonsgegevens zijn gelekt en de Autoriteit Persoonsgegevens concludeert dat er structureel onvoldoende beveiligingsmaatregelen waren. Of waarbij een ransomware-aanval ervoor heeft gezorgd dat klanten ernstige schade leden doordat dienstverlening uitviel.

Bestuurdersaansprakelijkheid bij een cyberincident is geen uitzondering meer. Rechtbanken en toezichthouders kijken steeds vaker naar de vraag of een bestuurder aantoonbaar heeft gehandeld als een zorgvuldig en redelijk handelend bestuurder op het gebied van digitale veiligheid.

Wat zijn de concrete gevolgen van een cyberincident voor een organisatie?

Een cyberincident raakt een organisatie op meerdere fronten tegelijk: operationeel, financieel, juridisch en reputationeel. De directe gevolgen zijn vaak zichtbaar, maar de indirecte schade duurt langer en is moeilijker te herstellen. Voor organisaties met 100 tot 600 werkplekken kan een ernstig incident de continuïteit van de bedrijfsvoering weken of maanden onder druk zetten.

De meest voorkomende concrete gevolgen zijn:

• Operationele stilstand: systemen liggen plat, medewerkers kunnen niet werken en klanten worden niet geholpen.
• Financiële schade: herstelkosten, losgeld bij ransomware, verlies van omzet en mogelijke boetes van toezichthouders.
• Juridische aansprakelijkheid: claims van klanten of partners die schade hebben geleden als gevolg van het incident.
• Reputatieschade: verlies van vertrouwen bij klanten, medewerkers en de markt, dat zich moeilijk laat kwantificeren maar wel degelijk voelbaar is.
• Meldplicht en toezicht: bij een datalek ben je verplicht dit te melden bij de Autoriteit Persoonsgegevens, wat extra aandacht en onderzoek kan triggeren.

Wat dit voor een bestuurder betekent: je legt verantwoording af richting je Raad van Commissarissen of aandeelhouders op het moment dat een incident plaatsvindt. De vraag die dan onmiddellijk gesteld wordt, is niet alleen “hoe is dit gebeurd?” maar ook “wat had jij gedaan om dit te voorkomen?”

Welke bestuursrechtelijke verplichtingen gelden er rondom cyberveiligheid?

Bestuurders hebben een wettelijke zorgplicht om de organisatie adequaat te beveiligen. De AVG verplicht organisaties technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Daarnaast verplicht de Europese NIS2-richtlijn, die in Nederland is omgezet in nationale wetgeving, een steeds grotere groep organisaties tot aantoonbare maatregelen op het gebied van cyberbeveiliging en incidentrapportage.

Concreet betekent dit voor bestuurders:

• Je bent verplicht risicomanagement op het gebied van cyberveiligheid actief te voeren en te documenteren.
• Bij een datalek moet je binnen 72 uur een melding doen bij de Autoriteit Persoonsgegevens.
• Onder NIS2 gelden aanvullende meldplichten en is het bestuur expliciet verantwoordelijk voor de naleving van beveiligingsmaatregelen.
• Aantoonbaar beleid is niet genoeg: je moet ook kunnen laten zien dat dit beleid werkt en actueel is.

De verantwoordelijkheid van een directeur voor cyberbeveiliging is daarmee geen technische kwestie geworden, maar een bestuurlijke. Je kunt de uitvoering delegeren, maar de eindverantwoordelijkheid blijft bij jou liggen.

Hoe weet een bestuurder of de organisatie voldoende beveiligd is?

Een bestuurder weet of de organisatie voldoende beveiligd is door periodiek aantoonbare informatie te ontvangen over de staat van de beveiliging, de risico’s en de genomen maatregelen. Vertrouwen op een jaarlijkse IT-audit of op de eigen IT-afdeling zonder gestructureerde rapportage is onvoldoende. Grip op cyberrisico’s binnen de organisatie vereist structurele governance.

Praktische signalen dat de beveiliging op orde is:

• Er is een actueel informatiebeveiligingsbeleid dat regelmatig wordt herzien.
• Medewerkers worden structureel getraind op bewustwording rondom phishing en social engineering.
• Toegangsbeheer is ingericht op basis van het principe van minimale rechten.
• Er zijn back-ups die regelmatig worden getest op herstelbaarheid.
• Er is een actueel incidentresponsplan en dat plan is geoefend.
• Leveranciers en softwareomgevingen worden beoordeeld op beveiligingsrisico’s.

Een goede manier om als bestuurder grip te houden, is door te eisen dat beveiliging een vast agendapunt is in managementrapportages, inclusief concrete metrics. Voor organisaties die werken met Microsoft 365 als werkplekoplossing zijn er ingebouwde beveiligingsfuncties die inzicht geven in risico’s en afwijkingen, mits deze correct zijn geconfigureerd en bewaakt.

Wat moet een bestuurder doen in de eerste uren na een cyberincident?

In de eerste uren na een cyberincident zijn drie dingen cruciaal: beheers de schade, informeer de juiste mensen en documenteer alles. Hoe snel en gestructureerd je handelt in de eerste uren bepaalt in grote mate hoe groot de uiteindelijke schade wordt en hoe jij als bestuurder later wordt beoordeeld op je optreden.

Een praktisch stappenplan voor de eerste uren:

1. Isoleer het incident: zorg dat getroffen systemen worden losgekoppeld om verdere verspreiding te voorkomen.
2. Activeer het incidentresponsplan: als dat er is, volg het. Als dat er niet is, is dit het moment om een crisisteam samen te stellen.
3. Informeer intern: betrek direct de relevante mensen, waaronder IT, juridische zaken en communicatie.
4. Beoordeel de meldplicht: is er sprake van een datalek? Dan geldt de 72-uurstermijn voor melding bij de Autoriteit Persoonsgegevens.
5. Documenteer alles: noteer wat er is gebeurd, welke beslissingen zijn genomen en door wie. Dit is essentieel voor eventuele juridische procedures.
6. Communiceer zorgvuldig naar buiten: stel klanten en partners tijdig op de hoogte, maar doe dit gecoördineerd en feitelijk.

Wat je als bestuurder niet moet doen: het incident intern houden uit angst voor reputatieschade, of de IT-afdeling alleen laten handelen zonder bestuurlijke betrokkenheid. Beide keuzes vergroten het risico op aansprakelijkheid.

Hoe verkleint een bestuurder structureel het risico op een cyberincident?

Een bestuurder verkleint het risico op een cyberincident door cyberveiligheid structureel te verankeren in de governance van de organisatie, niet als eenmalig project maar als doorlopend proces. Dat betekent investeren in mensen, processen en technologie, en er bestuurlijk eigenaarschap over nemen.

De meest effectieve maatregelen op bestuurlijk niveau zijn:

• Zorg voor een actueel en getest incidentresponsplan voordat er iets misgaat.
• Maak cyberveiligheid een vast onderdeel van de risicomanagementcyclus.
• Investeer in bewustwording bij medewerkers, want de meeste incidenten beginnen bij menselijk gedrag.
• Stel heldere eisen aan leveranciers en IT-partners op het gebied van beveiliging.
• Zorg dat beveiligingsmaatregelen aantoonbaar zijn gedocumenteerd en periodiek worden getoetst.
• Betrek een externe partij voor onafhankelijke audits of penetratietests.

Technologie speelt hierin een ondersteunende rol. Een goed ingerichte moderne werkplek met de juiste beveiligingsinstellingen verlaagt de kans op een succesvolle aanval aanzienlijk. Maar technologie zonder beleid en bewustwording is nooit voldoende.

Hoe Puur ICT helpt bij cyberbeveiliging voor bestuurders

Wij begrijpen dat je als bestuurder niet alleen technische zekerheid wil, maar ook bestuurlijke grip en aantoonbare controle. Daarom helpen wij organisaties met een complete aanpak rondom digitale veiligheid, afgestemd op jouw verantwoordelijkheden als directeur of IT-manager.

Wat wij voor jouw organisatie doen:

• Inrichten en bewaken van Microsoft 365-beveiliging, inclusief identiteitsbeheer, toegangscontrole en apparaatbeheer via Microsoft Intune.
• Endpoint Management op afstand, zodat apparaten altijd voldoen aan minimale beveiligingseisen, ook bij verlies of diefstal.
• Proactief beheer en monitoring, waarbij wij afwijkingen signaleren voordat ze uitgroeien tot incidenten.
• Begeleiding bij beleid en compliance, zodat jij aantoonbaar kunt maken dat je als bestuurder aan je zorgplicht voldoet.
• Heldere rapportage die jij kunt gebruiken in gesprekken met je Raad van Commissarissen of aandeelhouders.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van cyberveiligheid? Neem contact op met Puur ICT voor een vrijblijvend gesprek. Wij denken graag met je mee, in begrijpelijke taal en zonder omwegen.

Of jouw organisatie onder de NIS2-richtlijn valt, hangt af van je sector en omvang. Bedrijven in kritieke sectoren met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro vallen in de meeste gevallen onder deze Europese cyberwetgeving. Kleinere organisaties kunnen ook verplicht zijn als ze actief zijn in sectoren die als essentieel worden aangemerkt. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je precies weet waar je staat.

Welke organisaties vallen onder de NIS2-richtlijn?

De NIS2-richtlijn is van toepassing op organisaties in sectoren die als essentieel of belangrijk worden beschouwd, mits zij voldoen aan bepaalde drempelwaarden voor omvang. Concreet gaat het om middelgrote en grote organisaties: minimaal 50 medewerkers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro. Kleinere organisaties kunnen alsnog verplicht zijn als zij actief zijn in een sector die als kritiek geldt, zoals energie, drinkwater of digitale infrastructuur.

De richtlijn maakt onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties in sectoren als energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur en overheid.
• Belangrijke entiteiten: middelgrote organisaties in aanvullende sectoren zoals post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemie, onderzoek en digitale diensten.

Woningcorporaties vallen in veel gevallen buiten de directe scope van NIS2, maar toeleveranciers en dienstverleners die werken voor organisaties in de essentiële of belangrijke sectoren kunnen indirect verplichtingen krijgen via de ketenverantwoordelijkheid die NIS2 oplegt. Het is dan ook verstandig om dit goed te laten beoordelen, ongeacht je sector.

Wat zijn de verplichtingen voor bedrijven die onder NIS2 vallen?

Organisaties die onder de NIS2-verplichting vallen, zijn verplicht passende technische en organisatorische maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. Daarnaast geldt een meldplicht voor significante incidenten en moeten bestuurders aantoonbaar betrokken zijn bij het cybersecuritybeleid van de organisatie.

De belangrijkste verplichtingen op een rij:

• Risicobeheer: een actueel risicoanalyseproces en beveiligingsbeleid opstellen en onderhouden.
• Incidentrespons: procedures inrichten voor het detecteren, melden en afhandelen van beveiligingsincidenten.
• Ketenbeveiliging: aantoonbaar toezicht houden op de cybersecurity van leveranciers en partners.
• Bedrijfscontinuïteit: maatregelen treffen voor back-up, herstel en crisismanagement.
• Meldplicht: significante incidenten binnen 24 uur melden bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
• Bestuurlijke verantwoordelijkheid: het management is persoonlijk verantwoordelijk voor de naleving en moet aantoonbaar betrokken zijn bij het cybersecuritybeleid.

Dat laatste punt verdient speciale aandacht. NIS2 legt de eindverantwoordelijkheid expliciet bij het bestuur neer. Een directeur of COO kan niet langer volstaan met het delegeren van cybersecurity aan de IT-afdeling. Goede beveiliging binnen je digitale werkomgeving is daarmee een bestuurlijk vraagstuk geworden.

Wat zijn de gevolgen als je niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-richtlijn riskeren aanzienlijke boetes. Voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten zijn de maximumboetes 7 miljoen euro of 1,4% van de jaaromzet.

Naast financiële sancties zijn er ook andere gevolgen mogelijk. Toezichthouders kunnen tijdelijke beperkingen opleggen aan de bedrijfsvoering, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij aantoonbare nalatigheid. Dat maakt NIS2 fundamenteel anders dan veel eerdere wetgeving waarbij boetes voornamelijk de organisatie troffen en niet de individuele bestuurder.

Reputatieschade is een derde risico dat niet te onderschatten is. Klanten, partners en toezichthouders verwachten in 2026 dat organisaties hun digitale weerbaarheid serieus nemen. Een incident dat het gevolg is van onvoldoende voorbereiding kan het vertrouwen langdurig beschadigen.

Hoe verschilt NIS2 van de oude NIS1-richtlijn?

NIS2 is een fundamentele uitbreiding van de originele NIS1-richtlijn uit 2016. Het toepassingsgebied is aanzienlijk vergroot, de verplichtingen zijn strenger, en de handhaving is steviger verankerd. Waar NIS1 zich beperkte tot een relatief kleine groep aanbieders van essentiële diensten, trekt NIS2 een veel bredere cirkel.

De belangrijkste verschillen:

• Meer sectoren: NIS2 omvat meer dan het dubbele aantal sectoren ten opzichte van NIS1.
• Meer organisaties: door de drempelwaarden voor omvang vallen aanzienlijk meer bedrijven onder de richtlijn.
• Strengere eisen: de minimumvereisten voor beveiligingsmaatregelen zijn concreter en uitgebreider beschreven.
• Ketenverantwoordelijkheid: NIS2 verplicht organisaties expliciet om ook de beveiliging van hun toeleveringsketen te beoordelen en te bewaken.
• Bestuurlijke aansprakelijkheid: NIS2 introduceert persoonlijke aansprakelijkheid voor bestuurders, iets wat in NIS1 ontbrak.
• Harmonisatie: NIS2 streeft naar meer uniforme handhaving tussen EU-lidstaten, wat de inconsistenties uit het NIS1-tijdperk vermindert.

Wanneer moet mijn organisatie compliant zijn met NIS2?

De Europese NIS2-richtlijn had uiterlijk in oktober 2024 door alle EU-lidstaten in nationale wetgeving omgezet moeten zijn. In Nederland loopt de implementatie via de Cyberbeveiligingswet, die de verplichtingen uit NIS2 verankert in het Nederlandse rechtsstelsel. In 2026 is deze wetgeving van kracht en worden organisaties geacht aantoonbaar compliant te zijn.

Dat betekent dat de deadline voor de meeste organisaties al verstreken is, of op korte termijn verstreken zal zijn. Wie nog niet begonnen is met de voorbereiding, loopt achter. Toezichthouders in Nederland zijn bevoegd om actief te handhaven, en de verwachting is dat dit in de loop van 2026 steeds serieuzer wordt opgepakt.

Organisaties die nog in een vroeg stadium van voorbereiding zitten, doen er verstandig aan om dit te prioriteren. Niet alleen vanwege het risico op sancties, maar ook omdat de vereiste maatregelen tijd kosten om goed in te richten.

Hoe begin je met de NIS2-voorbereiding als middelgrote organisatie?

De eerste stap in de NIS2-voorbereiding is bepalen of je organisatie daadwerkelijk onder de richtlijn valt. Daarna volgt een nulmeting: een eerlijke inventarisatie van de huidige staat van je cybersecurity ten opzichte van de NIS2-eisen. Vanuit die basis kun je een gestructureerd verbeterplan opstellen.

Een praktische aanpak in stappen:

1. Scope bepalen: controleer of je sector en omvang je onder essentiële of belangrijke entiteiten plaatsen.
2. Nulmeting uitvoeren: breng in kaart welke beveiligingsmaatregelen al aanwezig zijn en waar de hiaten zitten.
3. Risicoanalyse opstellen: identificeer de grootste risico’s voor je netwerk- en informatiesystemen.
4. Beleid en procedures inrichten: stel een cybersecuritybeleid op en documenteer incidentresponsprocessen.
5. Ketenpartners beoordelen: evalueer de beveiligingspositie van leveranciers en stel contractuele eisen.
6. Bestuur informeren en betrekken: zorg dat directie en management aantoonbaar betrokken zijn en hun verantwoordelijkheid kennen.
7. Registratie en rapportage: zorg voor een meldproces bij de bevoegde autoriteit en houd documentatie bij.

Voor middelgrote organisaties is het verstandig om een betrouwbare ICT-partner te betrekken die zowel technisch als organisatorisch meedenkt. Professioneel ICT-beheer en ondersteuning vormt een sterke basis voor de technische maatregelen die NIS2 vereist.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complex vraagstuk is, zeker als je als directeur of IT-manager tegelijkertijd verantwoordelijk bent voor continuïteit, governance en dagelijkse bedrijfsvoering. Puur ICT helpt je stap voor stap, in begrijpelijke taal, zonder onnodige complexiteit.

Wat wij voor je kunnen betekenen:

• NIS2-nulmeting: we brengen de huidige staat van je beveiliging in kaart en leggen helder uit waar je staat ten opzichte van de NIS2-eisen.
• Technische maatregelen: via onze Puur Moderne Werkplek richten we een veilige, beheerde werkomgeving in die voldoet aan moderne beveiligingseisen, inclusief endpoint management, toegangsbeheer en monitoring.
• Beleid en documentatie: we helpen je het cybersecuritybeleid en de incidentresponsprocessen op te stellen die toezichthouders verwachten.
• Ketenbeveiliging: we adviseren over de eisen die je aan leveranciers kunt stellen en hoe je dit contractueel verankert.
• Bestuurlijke ondersteuning: we rapporteren helder naar directie en RvC, zodat jij aantoonbaar in control bent.

Wil je weten of jouw organisatie onder NIS2 valt en wat de volgende stap is? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee.

Als directeur ben je onder de nieuwe cybersecuritywet verplicht om actief toezicht te houden op de informatiebeveiliging van je organisatie, risicomaatregelen te implementeren en incidenten tijdig te melden. De NIS2-richtlijn, die in Nederland is omgezet in nationale wetgeving, legt de eindverantwoordelijkheid expliciet bij het bestuur neer. Dat betekent concreet: jij als leidinggevende bent niet langer alleen verantwoordelijk voor de bedrijfsresultaten, maar ook voor de digitale weerbaarheid van je organisatie. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, van wie er precies onder valt tot wanneer je persoonlijk aansprakelijk bent.

Welke organisaties vallen onder de nieuwe cybersecuritywet?

De NIS2-richtlijn is van toepassing op organisaties die actief zijn in sectoren die worden beschouwd als essentieel of belangrijk voor de samenleving. Denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, financiële dienstverlening en overheid. Naast deze klassieke sectoren zijn ook managed service providers, datacenters en leveranciers van digitale diensten onder de NIS2-wetgeving gebracht.

De grootte van je organisatie speelt ook een rol. Bedrijven met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro vallen in principe onder de reikwijdte van de wet. Er wordt onderscheid gemaakt tussen essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten zijn grotere organisaties in kritieke sectoren en staan onder strenger toezicht. Belangrijke entiteiten zijn kleiner of minder kritiek, maar zijn ook verplicht om aan de NIS2-eisen te voldoen.

Twijfel je of jouw organisatie onder de NIS2-richtlijn valt? De Rijksoverheid heeft een zelfevaluatietool beschikbaar gesteld waarmee je kunt nagaan of je binnen de scope valt. Het is verstandig dit niet af te wachten: toezichthouders in Nederland hanteren actief beleid en verwachten dat organisaties zelf proactief in kaart brengen of zij verplichtingen hebben.

Wat zijn de concrete verplichtingen voor bestuurders onder NIS2?

Onder NIS2 zijn bestuurders persoonlijk verantwoordelijk voor het cybersecuritybeleid van hun organisatie. De wet verplicht bestuurders om beveiligingsmaatregelen goed te keuren, toe te zien op de uitvoering ervan en kennis te hebben van de risico’s die hun organisatie loopt. Bestuurders die deze verantwoordelijkheid verwaarlozen, kunnen persoonlijk aansprakelijk worden gesteld.

De cybersecurity verplichtingen voor bestuurders zijn concreet:

• Actieve betrokkenheid bij het opstellen en goedkeuren van het cybersecuritybeleid
• Regelmatige rapportage ontvangen over de beveiligingsstatus van de organisatie
• Deelnemen aan cybersecuritytrainingen om basiskennis op peil te houden
• Toezien op de naleving van risicobeheermaatregelen
• Zorgen voor voldoende budget en middelen voor informatiebeveiliging

Dit is een wezenlijke verschuiving ten opzichte van de vroegere situatie, waarbij cybersecurity vaak werd gedelegeerd aan de IT-afdeling of een externe partij. Onder NIS2 is dat niet langer voldoende. Als directeur moet je aantoonbaar betrokken zijn en dat ook kunnen documenteren.

Wat is het verschil tussen NIS2 en de vroegere NIS1-richtlijn?

NIS2 is een significante uitbreiding ten opzichte van NIS1, zowel in reikwijdte als in strengheid. Waar NIS1 zich beperkte tot een kleine groep aanbieders van essentiële diensten, trekt NIS2 de scope veel breder. Meer sectoren, meer organisaties en strengere eisen voor iedereen die eronder valt.

De belangrijkste verschillen op een rij:

• Bredere scope: NIS2 omvat aanzienlijk meer sectoren en organisaties dan NIS1
• Bestuurlijke aansprakelijkheid: NIS1 kende geen expliciete persoonlijke aansprakelijkheid voor directeuren; NIS2 wel
• Strengere meldplicht: Incidenten moeten sneller en gedetailleerder worden gemeld
• Hogere boetes: Bij NIS2 kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten
• Ketenveiligheid: NIS2 verplicht organisaties ook om de beveiliging van hun leveranciers te beoordelen en te borgen

Kortom: NIS1 was een eerste stap, NIS2 is een fundamentele herziening van hoe Europa omgaat met digitale weerbaarheid. Voor veel organisaties betekent dit dat ze voor het eerst actief met cybersecurity binnen hun digitale omgeving aan de slag moeten.

Welke maatregelen moet een organisatie technisch en organisatorisch treffen?

NIS2 verplicht organisaties tot een combinatie van technische en organisatorische maatregelen die proportioneel zijn aan het risico. Er is geen vaste checklist, maar de wet beschrijft een aantal domeinen waarop je aantoonbaar actie moet hebben ondernomen.

Technische maatregelen

• Multifactorauthenticatie (MFA) voor toegang tot systemen
• Versleuteling van gevoelige gegevens in opslag en transport
• Netwerksegmentatie om verspreiding van aanvallen te beperken
• Regelmatige back-ups met getest herstelproces
• Patchmanagement: systemen tijdig voorzien van beveiligingsupdates
• Monitoring en logging van verdachte activiteiten

Organisatorische maatregelen

• Een gedocumenteerd informatiebeveiligingsbeleid
• Risicoanalyses die regelmatig worden uitgevoerd en bijgewerkt
• Bewustzijnstrainingen voor medewerkers over phishing en social engineering
• Een calamiteitenplan (business continuity plan) voor het geval van een ernstig incident
• Leveranciersbeoordelingen om de beveiliging van de keten te borgen
• Duidelijke rollen en verantwoordelijkheden rondom informatiebeveiliging

Een goed startpunt is een nulmeting: breng in kaart wat je al hebt geregeld en waar de grootste risico’s liggen. Vanuit die analyse kun je prioriteiten stellen en stap voor stap werken aan NIS2-compliance.

Hoe meld je een cybersecurity-incident correct onder NIS2?

Onder NIS2 geldt een strikte meldplicht bij significante incidenten. Een incident is significant als het de beschikbaarheid, integriteit of vertrouwelijkheid van systemen of gegevens ernstig verstoort, of als het grote financiële of operationele schade veroorzaakt. De melding verloopt in fasen en binnen vaste termijnen.

De meldprocedure ziet er als volgt uit:

1. Vroegtijdige waarschuwing (binnen 24 uur): Zodra je een significant incident ontdekt, meld je dit bij de bevoegde nationale autoriteit. In Nederland is dat het Nationaal Cyber Security Centrum (NCSC) of de relevante sectorale toezichthouder.
2. Incidentmelding (binnen 72 uur): Je dient een gedetailleerdere melding in met een eerste beoordeling van de ernst, de oorzaak en de genomen maatregelen.
3. Eindrapport (binnen een maand): Na afhandeling van het incident lever je een volledig rapport op met een beschrijving van het incident, de impact, de getroffen maatregelen en lessen voor de toekomst.

Zorg ervoor dat je intern een duidelijk escalatieproces hebt ingericht, zodat je weet wie bij een incident de verantwoordelijkheid neemt voor de melding. Dat is niet iets om ter plekke uit te zoeken: oefen dit scenario vooraf.

Wanneer ben je als directeur persoonlijk aansprakelijk bij een datalek?

Als directeur ben je persoonlijk aansprakelijk wanneer kan worden aangetoond dat je je verplichtingen onder NIS2 structureel hebt verwaarloosd. Dat betekent concreet: als je geen adequate beveiligingsmaatregelen hebt getroffen, geen toezicht hebt gehouden op naleving, of je aantoonbaar onvoldoende betrokken was bij het cybersecuritybeleid van je organisatie.

NIS2 introduceert de mogelijkheid om bestuurders tijdelijk te verbieden leidinggevende functies te bekleden bij herhaalde of ernstige overtredingen. Dit is een ingrijpende bevoegdheid die toezichthouders kunnen inzetten bij grove nalatigheid. Persoonlijke aansprakelijkheid wordt niet zomaar vastgesteld, maar de lat voor wat van een bestuurder wordt verwacht ligt nu aanzienlijk hoger dan voor de invoering van NIS2.

De sleutel tot het beperken van persoonlijk risico is documentatie en aantoonbare betrokkenheid. Zorg dat je kunt laten zien dat je als directeur actief hebt gestuurd op cybersecurity: goedgekeurde beleidsdocumenten, verslagen van risicobesprekingen in het MT, gevolgde trainingen en beslissingen over investeringen in beveiliging. Dat is je beste bescherming als het ooit tot een toezichtonderzoek komt.

Hoe Puur ICT helpt bij NIS2-compliance

NIS2 is geen eenmalig project, maar een doorlopende verantwoordelijkheid. Wij helpen organisaties met 100 tot 600 werkplekken om stap voor stap aan de NIS2-verplichtingen te voldoen, zonder dat je als directeur alles zelf hoeft uit te zoeken. Onze aanpak is concreet, pragmatisch en volledig afgestemd op de Microsoft-omgeving die je al gebruikt.

Wat wij voor je regelen:

• Een nulmeting van je huidige beveiligingsniveau ten opzichte van de NIS2-eisen
• Implementatie van technische maatregelen zoals MFA, monitoring en versleuteling via de Puur Moderne Werkplek
• Opstellen en documenteren van beleid, risicoanalyses en calamiteitenplannen
• Bewustzijnstrainingen voor medewerkers en leidinggevenden
• Proactief ICT-beheer en ondersteuning, zodat je altijd zicht hebt op de beveiligingsstatus van je omgeving
• Heldere rapportages waarmee jij als directeur aantoonbaar grip houdt

Wil je weten waar jouw organisatie nu staat en wat er nog geregeld moet worden? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee, in begrijpelijke taal en zonder onnodige complexiteit.

Ja, als bestuurder kun je persoonlijk aansprakelijk worden gesteld bij een datalek of cyberaanval. Dit geldt zowel civielrechtelijk als bestuursrechtelijk, en in ernstige gevallen zelfs strafrechtelijk. De kern van de aansprakelijkheid ligt niet zozeer in het incident zelf, maar in de vraag of jij als bestuurder aantoonbaar hebt voldaan aan je zorgplicht. In dit artikel beantwoorden we de meest gestelde vragen over bestuurdersaansprakelijkheid bij datalekken en cyberincidenten.

Wanneer is een bestuurder persoonlijk aansprakelijk bij een datalek?

Een bestuurder is persoonlijk aansprakelijk bij een datalek wanneer er sprake is van ernstig verwijtbaar handelen of nalaten. Concreet betekent dit dat je als bestuurder wist, of had moeten weten, dat de organisatie onvoldoende beveiligd was, en dat je desondanks geen passende maatregelen hebt getroffen. Aansprakelijkheid volgt dus niet automatisch uit een incident, maar uit een gebrek aan bestuurlijke zorgvuldigheid.

In het Nederlandse recht onderscheiden we twee belangrijke routes. Ten eerste de interne aansprakelijkheid: de organisatie zelf kan een bestuurder aanspreken als het datalek het gevolg is van een onbehoorlijke taakvervulling. Ten tweede de externe aansprakelijkheid: gedupeerde derden, zoals klanten of medewerkers van wie persoonsgegevens zijn gelekt, kunnen de bestuurder persoonlijk aanspreken op grond van onrechtmatige daad.

Daarbij speelt de Autoriteit Persoonsgegevens (AP) een steeds actievere rol. De toezichthouder kan niet alleen de organisatie beboeten, maar ook individuele bestuurders in het vizier nemen wanneer er sprake is van structurele nalatigheid. De vraag die centraal staat, is: heeft de bestuurder gedaan wat redelijkerwijs van hem of haar verwacht mocht worden?

Welke verplichtingen legt de AVG op aan bestuurders?

De AVG legt organisaties een reeks concrete verplichtingen op, en als bestuurder ben jij eindverantwoordelijk voor de naleving daarvan. De wet vereist dat je passende technische en organisatorische maatregelen neemt om persoonsgegevens te beschermen, datalekken tijdig meldt bij de AP, en aantoonbaar kunt maken dat de organisatie privacyprincipes actief naleeft. Dit laatste wordt ook wel de verantwoordingsplicht genoemd.

In de praktijk betekent dit voor bestuurders onder andere:

• Zorgen voor een actueel en werkend privacybeleid
• Risicoanalyses laten uitvoeren op verwerkingen van persoonsgegevens
• Medewerkers bewust maken van hun rol in informatiebeveiliging
• Zorgen dat datalekken binnen 72 uur worden gemeld aan de AP
• Contractuele afspraken maken met leveranciers via verwerkersovereenkomsten

De AVG maakt geen onderscheid tussen kleine en grote organisaties. Of je nu 50 of 500 medewerkers hebt: de verplichtingen zijn gelijkwaardig, en de beveiliging van persoonsgegevens binnen je digitale omgeving is een bestuurlijke verantwoordelijkheid die niet gedelegeerd kan worden zonder toezicht.

Wat zijn de financiële en reputatiegevolgen van een datalek voor een bestuurder?

De financiële en reputatiegevolgen van een datalek voor een bestuurder kunnen aanzienlijk zijn. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Persoonlijk aansprakelijk gestelde bestuurders kunnen daarnaast geconfronteerd worden met schadeclaims van gedupeerden. Maar de reputatieschade is vaak minstens zo ingrijpend als de directe financiële gevolgen.

Denk aan de gevolgen voor jouw positie als bestuurder:

• Verlies van vertrouwen bij de Raad van Commissarissen of aandeelhouders
• Negatieve publiciteit die klanten, partners en investeerders afschrikt
• Persoonlijke aansprakelijkheidsstelling via civiele procedures
• Ontslag of non-reactivering als gevolg van bestuurlijk falen

Bestuurdersaansprakelijkheidsverzekeringen (D&O-verzekeringen) bieden soms dekking, maar lang niet altijd. Bij opzet of grove nalatigheid vervalt de dekking doorgaans. Dat maakt proactief beleid niet alleen verstandig, maar ook financieel rationeel.

Hoe beschermt aantoonbaar beleid een bestuurder juridisch?

Aantoonbaar beleid beschermt een bestuurder juridisch doordat het aantoont dat je als bestuurder hebt gehandeld zoals een redelijk en zorgvuldig bestuurder betaamt. De kern van juridische bescherming ligt in documentatie: niet wat je zegt dat je doet, maar wat je kunt bewijzen dat je hebt gedaan. Rechters en toezichthouders beoordelen bestuurlijk handelen achteraf, en dan telt alleen wat aantoonbaar is.

Concreet betekent dit dat je als bestuurder moet kunnen laten zien:

• Dat er een vastgesteld informatiebeveiligingsbeleid bestaat
• Dat dit beleid periodiek wordt geëvalueerd en bijgesteld
• Dat risico’s zijn geïnventariseerd en afgewogen
• Dat medewerkers zijn getraind en zich bewust zijn van hun verantwoordelijkheden
• Dat incidenten worden geregistreerd en dat er geleerd wordt van fouten

Beleid hoeft niet perfect te zijn om bescherming te bieden. Wat telt, is dat je als bestuurder structureel en serieus hebt geïnvesteerd in beveiliging. Een incident dat plaatsvindt ondanks aantoonbaar goed beleid, leidt zelden tot persoonlijke aansprakelijkheid. Een incident dat plaatsvindt bij aantoonbare nalatigheid, vrijwel altijd wel.

Welke rol speelt de IT-partner bij het beperken van bestuurdersrisico?

Een betrouwbare IT-partner speelt een directe rol bij het beperken van bestuurdersrisico doordat hij de technische en organisatorische maatregelen implementeert en beheert die de AVG vereist. Een goede IT-partner vertaalt bestuurlijke verantwoordelijkheid naar concrete, werkende beveiligingsmaatregelen en zorgt ervoor dat jij als bestuurder kunt aantonen dat je aan je zorgplicht voldoet. Dat maakt de keuze voor de juiste partner een strategische beslissing, geen operationele.

Wat een IT-partner concreet bijdraagt aan het verminderen van cyberrisico governance:

• Proactief beheer van toegangsrechten en identiteiten
• Monitoring op verdachte activiteiten en dreigingen
• Gestructureerde back-up en herstelplannen bij incidenten
• Rapportages waarmee jij als bestuurder verantwoording kunt afleggen
• Begeleiding bij het opstellen van verwerkersovereenkomsten en beleidsdocumentatie

De structurele ICT-beheer en ondersteuning die een partner biedt, is daarmee niet alleen een operationele keuze, maar een onderdeel van je risicomanagement als bestuurder. Hoe transparanter en aantoonbaarder het beheer, hoe sterker je positie bij een eventueel incident.

Hoe Puur ICT helpt bij het beperken van bestuurdersaansprakelijkheid

Wij begrijpen dat cyberrisico governance voor bestuurders niet stopt bij techniek. Het gaat om aantoonbare controle, heldere rapportages en een partner die proactief meedenkt over jouw risicopositie. Met de Puur Moderne Werkplek bieden wij een complete, veilige werkplekoplossing die gebouwd is op bewezen Microsoft-technologie en volledig beheerd wordt door ons gecertificeerde team.

Wat wij voor jou als bestuurder concreet doen:

• Proactief beveiligingsbeheer via Microsoft Endpoint Management en continue monitoring
• Aantoonbare documentatie van beveiligingsmaatregelen, zodat jij verantwoording kunt afleggen
• Heldere rapportages die aansluiten op bestuurlijke verantwoordelijkheid richting RvC of aandeelhouders
• Begeleiding bij AVG-compliance, inclusief verwerkersovereenkomsten en beleidsdocumentatie
• Eén aanspreekpunt dat volledig ontzorgt, van advies en implementatie tot dagelijks beheer

Wil je weten hoe wij jouw organisatie helpen om cyberrisico’s te beheersen en bestuurdersaansprakelijkheid te beperken? Neem contact met ons op en we bespreken samen wat jouw situatie vraagt.

Om veilig digitaal samen te werken met leveranciers moet je minimaal drie dingen regelen: duidelijke contractuele afspraken over gegevensverwerking en toegangsrechten, een gecontroleerde manier om externe partijen toegang te geven tot je systemen, en een proces om die toegang te beheren en tijdig in te trekken. Zonder deze drie pijlers loop je als organisatie aanzienlijke beveiligings- en compliancerisico’s. In dit artikel beantwoorden we de meest gestelde vragen over veilige digitale samenwerking met leveranciers, van de eerste afspraken tot het beheer van externe toegang.

Welke afspraken moet je vastleggen voordat je digitaal samenwerkt?

Voordat je een leverancier toegang geeft tot je digitale omgeving, leg je minimaal vast: welke gegevens zij mogen inzien, tot welke systemen zij toegang krijgen, hoe zij met vertrouwelijke informatie omgaan en wie er verantwoordelijk is bij een beveiligingsincident. Deze afspraken vormen de juridische en operationele basis voor veilig samenwerken.

Concreet gaat het om een aantal documenten en afspraken die je vooraf opstelt:

• Verwerkersovereenkomst (DPA): Verplicht onder de AVG als een leverancier persoonsgegevens verwerkt namens jouw organisatie. Hierin staat hoe zij met die gegevens omgaan, hoe lang ze worden bewaard en wat er bij een datalek moet gebeuren.
• Non-disclosure agreement (NDA): Beschermt vertrouwelijke bedrijfsinformatie die je deelt tijdens de samenwerking.
• Toegangsprotocol: Een intern document dat beschrijft welke systemen toegankelijk zijn, voor wie en onder welke voorwaarden.
• Incidentprocedure: Afspraken over hoe en binnen welke termijn een leverancier een beveiligingsincident bij jou meldt.

Hoe kleiner de leverancier, hoe groter de kans dat dit soort documentatie er nog niet is. Neem dan zelf het initiatief en lever een standaardsjabloon aan. Dat versnelt het proces en zorgt ervoor dat jouw normen worden gehanteerd.

Hoe geef je leveranciers veilig toegang tot je systemen?

Geef leveranciers alleen toegang tot wat zij echt nodig hebben, via een gecontroleerd account dat direct aan hen is gekoppeld. Gebruik nooit gedeelde wachtwoorden of bestaande medewerkeraccounts. Het principe van least privilege is hier leidend: minimale rechten, maximale controle.

In de praktijk betekent dit:

• Gastaccounts via Azure Active Directory: Binnen Microsoft 365 kun je externe gebruikers uitnodigen als gast. Zij krijgen dan toegang tot specifieke Teams-kanalen, SharePoint-sites of gedeelde bestanden, zonder dat zij toegang hebben tot de rest van je omgeving.
• Multifactorauthenticatie (MFA) verplichten: Zorg dat ook externe gebruikers zich moeten verifiëren via een tweede factor. Dit voorkomt dat een gelekt wachtwoord direct tot toegang leidt.
• Conditional Access policies: Stel in dat leveranciers alleen kunnen inloggen vanuit bepaalde landen of op apparaten die aan minimale beveiligingseisen voldoen.
• Tijdelijke toegang: Koppel de toegang aan een einddatum, zodat rechten automatisch vervallen als het project of de samenwerking afloopt.

Een goede configuratie van security binnen Microsoft 365 maakt het mogelijk om al deze maatregelen centraal te beheren, zonder dat je voor elke leverancier een apart proces hoeft op te zetten.

Wat zijn de risico’s van onbeheerde externe toegang?

Onbeheerde externe toegang is een van de meest onderschatte beveiligingsrisico’s voor organisaties. Als een leverancier toegang heeft tot je systemen zonder dat daar toezicht op is, heb je feitelijk een open deur in je digitale infrastructuur die je niet kunt bewaken.

De meest voorkomende risico’s zijn:

• Sluimerende accounts: Accounts van voormalige leveranciers die nooit zijn verwijderd en nog steeds actief zijn. Dit zijn ideale ingangspunten voor kwaadwillenden.
• Overmatige rechten: Een leverancier die ooit brede toegang nodig had maar inmiddels een kleinere rol heeft, behoudt die rechten tenzij iemand ze actief terugdraait.
• Gegevenslekken via derden: Als een leverancier zelf wordt gehackt en toegang heeft tot jouw systemen, kan die aanval zich via hun account naar jou verspreiden.
• Compliancerisico’s: Ongedocumenteerde toegang van externen kan leiden tot problemen bij een AVG-audit of ISO-certificering.

Het risico zit hem niet alleen in kwaadwillendheid, maar ook in nalatigheid. Een leverancier die een wachtwoord hergebruikt of een apparaat verliest, kan zonder het te weten een beveiligingsincident veroorzaken bij jouw organisatie.

Hoe beheer en beëindig je de toegang van een leverancier?

Leveranciersbeheer is een doorlopend proces, geen eenmalige actie. Zodra een samenwerking begint, leg je vast wie verantwoordelijk is voor het beheren van de toegangsrechten. En zodra de samenwerking eindigt, trek je die rechten direct in.

Een werkbaar proces ziet er als volgt uit:

1. Registreer elke externe gebruiker: Houd bij wie toegang heeft, tot welke systemen, en vanaf wanneer.
2. Koppel toegang aan een contract of project: Stel een einddatum in of koppel toegang aan een specifieke taak. Zo vervalt toegang automatisch of wordt er een reminder gegenereerd.
3. Voer periodieke toegangsreviews uit: Controleer minimaal elk kwartaal welke externe accounts nog actief zijn en of de rechten nog kloppen.
4. Deactiveer accounts direct bij beëindiging: Wacht niet op een formeel offboarding-moment. Zodra een leverancier zijn werk heeft afgerond, wordt het account uitgeschakeld.
5. Documenteer alles: Zowel het verlenen als het intrekken van toegang moet worden vastgelegd voor audit- en compliancedoeleinden.

Bij grotere organisaties met veel externe partijen loont het om dit proces te automatiseren via identity governance tools, zodat menselijke fouten worden geminimaliseerd.

Welke Microsoft 365-tools zijn geschikt voor veilige samenwerking met externen?

Microsoft 365 biedt meerdere ingebouwde tools waarmee je veilig kunt samenwerken met leveranciers en andere externe partijen, zonder dat je aparte systemen of platforms nodig hebt. De kracht zit in de combinatie van toegankelijkheid voor externen en centrale controle voor de beheerder.

De meest relevante tools voor veilig samenwerken met leveranciers zijn:

• Microsoft Teams (Gedeelde kanalen en gastaccounts): Nodig leveranciers uit in een specifiek Teams-kanaal. Zij kunnen chatten, vergaderen en bestanden delen zonder toegang te krijgen tot andere kanalen of teams.
• SharePoint Online: Deel documenten en projectmappen met externe partijen via beveiligde links met verloopdatum en downloadbeperking.
• OneDrive voor Bedrijven: Deel individuele bestanden of mappen veilig met externen, inclusief de mogelijkheid om toegang op elk moment in te trekken.
• Azure Active Directory B2B: De technische basis voor gastgebruikers in Microsoft 365. Hiermee beheer je centraal wie toegang heeft en welke beleidsregels voor hen gelden.
• Microsoft Purview (Information Protection): Versleutel gevoelige documenten zodat ze, ook als ze worden gedeeld, alleen leesbaar zijn voor geautoriseerde gebruikers.

De Puur Moderne Werkplek maakt gebruik van al deze Microsoft-technologieën in een samenhangende architectuur, zodat samenwerking met externen standaard veilig is ingericht.

Wanneer schakel je een IT-partner in voor leveranciersbeheer?

Je schakelt een IT-partner in voor leveranciersbeheer zodra de complexiteit of het aantal externe partijen groter wordt dan je intern goed kunt overzien. Dat is het moment waarop fouten sluipen in het beheer van toegangsrechten en de kans op beveiligingsincidenten toeneemt.

Concrete signalen dat het tijd is voor externe ondersteuning:

• Je weet niet precies wie er op dit moment toegang heeft tot je systemen.
• Accounts van voormalige leveranciers zijn nooit actief verwijderd.
• Er is geen formeel proces voor het onboarden en offboarden van externe partijen.
• Je organisatie werkt met meerdere leveranciers tegelijk en heeft moeite om het overzicht te bewaren.
• Je staat voor een audit of certificering waarbij externe toegang moet worden aangetoond en gedocumenteerd.

Een IT-partner helpt niet alleen bij de technische inrichting, maar ook bij het opstellen van beleid, het trainen van medewerkers en het inrichten van rapportages waarmee je als directeur of IT-manager altijd inzicht hebt in wie toegang heeft tot wat.

Hoe Puur ICT helpt bij veilig samenwerken met leveranciers

Wij helpen organisaties om leveranciersbeheer en externe toegang goed in te richten, van de eerste afspraken tot het dagelijkse beheer. Als Microsoft 365-specialist weten we precies welke instellingen en tools nodig zijn om samenwerking met externen veilig, overzichtelijk en compliant te maken.

Wat we voor je kunnen doen:

• Inrichten van gastaccounts en toegangsbeleid in Azure Active Directory en Microsoft 365
• Configureren van Conditional Access en MFA voor externe gebruikers
• Opzetten van een leveranciersregister en toegangsreviewproces
• Adviseren over beleid rondom ICT-beheer en externe toegang
• Doorlopend beheer en monitoring van wie toegang heeft tot jouw omgeving

Wil je weten hoe veilig jouw huidige samenwerking met leveranciers is ingericht? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal, zonder omwegen.