§ Cyberbeveiligingswet

Sinds augustus staat u er persoonlijk voor.

De Cyberbeveiligingswet legt plichten bij ieder bestuurslid afzonderlijk, met een eigen boete op de persoon. Hier staat wat er precies wordt geëist, wat het niet is, en waar wij in passen.

Wat u persoonlijk riskeert

De meeste teksten over deze wet zwaaien met tien miljoen euro. Dat bedrag bestaat, maar het treft de entiteit — niet u. Het getal dat u aangaat is kleiner en persoonlijker.

Artikel 93. De bevoegde autoriteit kan een lid van het bestuur een bestuurlijke boete opleggen van ten hoogste € 25.000 wanneer de plichten van artikel 24 lid 2 tot en met 6 niet worden nageleefd. Dat zijn de plichten die op u als persoon rusten: aantoonbare kennis om cyberrisico’s te beoordelen, en een certificaat van de training daarover. De toezichthouder legt die boete zelf op, zonder tussenkomst van de rechter. Artikel 92 kent daarnaast een last onder dwangsom, eveneens op het bestuurslid.

Dit is de enige boete in de hele wet die een mens treft in plaats van een rechtspersoon, en zij geldt bij essentiële én belangrijke entiteiten. Een gewone bv in de belangrijke categorie valt er dus gewoon onder.

Daarnaast blijft artikel 2:9 van het Burgerlijk Wetboek staan, en dat is ouder dan deze wet: elke bestuurder is tegenover de vennootschap gehouden tot behoorlijke taakvervulling. Lid 2 kent één uitweg uit aansprakelijkheid voor onbehoorlijk bestuur — geen ernstig verwijt, én niet nalatig geweest in het treffen van maatregelen. Die tweede voorwaarde is geen mening maar een feitelijke vraag: zijn er maatregelen genomen, en is dat aan te tonen?

Wat er wél staat

NIS2 stelt één kader voor cyberbeveiliging in achttien kritieke sectoren. De Nederlandse implementatie loopt via de Cyberbeveiligingswet.

• Het bestuursorgaan is verantwoordelijk voor het goedkeuren van en toezien op maatregelen voor cyberrisicobeheer, en volgt zelf verplicht scholing.
• Bij een essentiële entiteit kan de bevoegde autoriteit de rechter verzoeken bestuursleden te schorsen (artikel 78). Dat is een verzoek aan de rechter en geen sanctie die de toezichthouder zelf oplegt, en voor belangrijke entiteiten bestaat die bevoegdheid niet.
• Boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten (artikel 80 lid 3), en tot €7 miljoen of 1,4% voor belangrijke entiteiten (artikel 87 lid 3) — steeds het hoogste van de twee. Welke categorie u bent, bepaalt dus welk bedrag geldt.
• Toezichthouders kunnen een beveiligingsscan laten uitvoeren (artikelen 71 en 82), een audit opleggen (72 en 83), een bindende aanwijzing geven (74 en 85) en een overtreding openbaar maken (73 en 84).

Elk van die verplichtingen is apart uitgewerkt: de aanmelding bij het NCSC waarmee het begint, in welke categorie u valt en waarom dat het boetebedrag bepaalt, wat artikel 24 van het bestuur vraagt, de opleidingsplicht die daarbij hoort, hoe u het risico in een bestuursstuk verwoordt en wie er op uw sector toezicht houdt.

Wat er níét staat

Dat onderscheid is niet academisch. Een leverancier die een compliance-verplichting suggereert die er niet is, verliest de FG en de huisjurist in het eerste gesprek — en dat zijn precies de mensen die uw inkoop moeten aftekenen.

Een maatregel die in de notulen past.

Een bestuurssecretaris heeft geen risicoverhaal nodig maar een regel die hij kan opschrijven. Wat deze dienst daarvoor oplevert, is drie keer per jaar concreet:

Een nulmeting waarin staat wat er bij het begin over uw bestuurders in omloop was, geaggregeerd en zonder persoonsgegevens in het organisatierapport.
Een kwartaalrapportage met wat er is verzonden, wat er is beantwoord, wat er is geweigerd en wat er is geëscaleerd.
Een jaarlijkse herijking waarin staat of de blootstelling is afgenomen, gelijk gebleven of teruggekomen.

Dat is genoeg om de maatregel te beschrijven, de uitvoering aan te tonen en te laten zien dat er toezicht op is. Meer beweren wij er niet over: het blijft een maatregel die u zelf kiest, niet een die u wordt opgelegd.

Wie de rekening tekent en wat het kost, staat op Prijzen. Hoe wij zelf met gegevens omgaan — de vraag van uw FG — staat op Beveiliging.