De praktijk

“Cyberaanval? Geen zorgen, onze IT’er regelt dat wel.”

Dat is voor veel ondernemers nog steeds de eerste gedachte bij cybersecurity. Begrijpelijk, want firewalls, back-ups en wachtwoorden voelen al snel als technische onderwerpen. Maar sinds de nieuwe cyberwetgeving is dat niet meer het hele verhaal.

Stel: u komt op maandagochtend binnen, opent uw computer en ontdekt dat niets meer werkt. Geen mails, geen systemen, geen klantgegevens. U belt de IT-afdeling.

“Ja… we zijn gehackt.”

Dan gaat het niet alleen meer om de vraag hoe snel IT het probleem kan oplossen. De vraag is ook: wist het bestuur welke risico’s er waren, waren er voldoende maatregelen genomen en is vooraf duidelijk vastgelegd wie wat doet bij een cyberincident?

Het juridische punt

Precies daarom is 15 augustus 2026 een datum die ondernemers niet zomaar naast zich neer kunnen leggen. Op die datum zijn de Cyberbeveiligingswet (Cbw), de Wet weerbaarheid kritieke entiteiten (Wwke) en het Cyberbeveiligingsbesluit (Cbb) in werking getreden. Die namen klinken technisch, maar de kern is eenvoudig: cyberweerbaarheid wordt ook een bestuurlijke verantwoordelijkheid.

En hoewel cybersecurity misschien klinkt als iets voor de IT-afdeling, is de boodschap van deze nieuwe wetgeving juist: het hoort ook op de bestuurstafel thuis.

De urgentie is reëel. Internationale rapporten van de Europese Commissie en toezichthouders signaleren al langer dat cyberaanvallen in aantal en ernst toenemen. Ook Nederlandse ondernemingen worden geraakt: in 2020 was 22% van de grote Nederlandse bedrijven slachtoffer van een cyberaanval en in 2021 steeg het aantal meldingen van datalekken door cyberaanvallen met 88%.

Wat betekent dit voor ondernemers?

Cybersecurity is geen uitsluitend IT-onderwerp meer

Daarmee verschuift de vraag van techniek naar bestuur. Cybersecurity gaat niet alleen over firewalls, wachtwoorden en back-ups, maar ook over continuïteit, besluitvorming en toezicht. Juist daarom hoort het onderwerp niet alleen bij de IT’er, maar ook bij de ondernemer en het bestuur.

Maar misschien nog belangrijker, het bestuur krijgt een actievere rol.

Een bestuurder hoeft geen hacker te worden en hoeft niet zelf achter de firewall te kruipen. Wel moet het bestuur begrijpen welke cyberrisico’s de onderneming loopt, welke maatregelen daartegen worden genomen en of die maatregelen daadwerkelijk werken.

Oftewel: u hoeft niet te weten hoe de server technisch wordt beveiligd, maar u moet wel kunnen uitleggen waarom de gekozen beveiliging voldoende is. Dat maakt cybersecurity ineens een ondernemersvraagstuk.

“We hebben toch antivirus?” Misschien. Maar de vraag is inmiddels groter. Wat gebeurt er als een belangrijk systeem uitvalt? Hoe groot is het risico voor de continuïteit van de onderneming? Wie neemt beslissingen tijdens een incident? Zijn medewerkers voldoende getraind? Hoe wordt omgegaan met risico’s bij leveranciers en andere partijen?

Het Cyberbeveiligingsbesluit werkt de zorgplicht daarom verder uit. Daarbij gaat het onder meer om risicomanagement, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, toegangsbeheer, cyberhygiëne, opleidingen en cryptografie.

Dat klinkt misschien als een lange IT-checklist. Voor een ondernemer is het eigenlijk een andere vraag: Kunnen wij onze onderneming blijven draaien als het digitale gedeelte ervan morgen gedeeltelijk wegvalt?

En dan is er nog de bestuurder

De Cyberbeveiligingswet maakt cybersecurity nadrukkelijk onderdeel van de verantwoordelijkheid van het bestuur.

Voor de betrokken bestuursleden geldt bovendien een opleidingsplicht. Zij moeten voldoende kennis en vaardigheden hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen. Voor nieuwe bestuurders geldt een termijn van twee jaar na benoeming om aan de opleidingsverplichting te voldoen; voor zittende bestuurders geldt een vergelijkbare termijn vanaf de inwerkingtreding.

Maar een opleiding volgen en vervolgens het certificaat in een la leggen, is niet het hele verhaal. Van bestuurders wordt verwacht dat zij daadwerkelijk betrokken zijn. Zij moeten maatregelen goedkeuren, zich in de inhoud daarvan verdiepen en toezicht houden op de uitvoering en werking ervan. Cybersecurity wordt daarmee dus ook onderdeel van goed bestuur.

Betekent dit dat u als bestuurder nu persoonlijk aansprakelijk bent?

Nee, niet automatisch. De Cyberbeveiligingswet introduceert geen volledig nieuw regime voor bestuurdersaansprakelijkheid. Bestaande bestuursrechtelijke en civielrechtelijke kaders blijven het uitgangspunt. Maar dat betekent niet dat een bestuurder het onderwerp kan negeren.

Naarmate cybersecurity steeds meer wordt gezien als onderdeel van goed bestuur, kan het negeren van cyberrisico’s onder omstandigheden juridische gevolgen hebben.

De vraag is dan niet meer alleen: “Hebben we een IT-afdeling?”, maar vooral: “Heeft het bestuur voldoende gedaan om de cyberrisico’s van de onderneming te beheersen?”

Wat moet er dus gebeuren?

Voor ondernemers die onder de nieuwe wetgeving vallen, is 15 augustus 2026 niet een willekeurige datum. Het is een startpunt en een goed moment om zo snel mogelijk in de bestuurskamer te gaan en een paar simpele vragen te stellen.

Welke cyberrisico’s lopen we? Welke maatregelen hebben we genomen? Wie houdt daar toezicht op? Zijn bestuur en medewerkers voldoende getraind? En weten we wat we moeten doen als het daadwerkelijk misgaat?

Want misschien is dat wel de belangrijkste verandering van de nieuwe cyberwetgeving.

Cybersecurity is niet meer alleen de vraag of iemand uw systemen kan hacken. Het is ook de vraag of u als ondernemer kunt aantonen dat u alles hebt gedaan wat redelijkerwijs van u mocht worden verwacht.

Daarom is dit het moment om niet alleen aan uw IT’er te vragen of de systemen veilig zijn, maar ook binnen het bestuur vast te leggen wie verantwoordelijk is, welke maatregelen zijn genomen, hoe incidenten worden gemeld en hoe wordt gecontroleerd of de onderneming daadwerkelijk weerbaar is.

Juridisch scherp – tip voor ondernemers

Leg vast wie binnen uw onderneming verantwoordelijk is voor cyberweerbaarheid, welke maatregelen zijn genomen en hoe u bij een incident handelt. Zo voorkomt u dat cybersecurity pas op de bestuurstafel komt wanneer het al mis is gegaan.