GRATIS TOOL
Wat vraagt NIS2 van het bestuur zelf?
Onder de Belgische NIS2-wet van 26 april 2024 keurt het bestuursorgaan de cyberbeveiligingsmaatregelen goed als orgaan en ziet het erop toe. De leden volgen zelf een opleiding over cyberrisico. Ze zijn persoonlijk aansprakelijk als het bedrijf niet voldoet, en essentiële entiteiten die opgelegde termijnen missen riskeren een tijdelijk verbod.
NIS2-memo bestuursplicht: Je bedrijf
Wat het bestuursorgaan zelf goedkeurt, opvolgt en waarvoor het aansprakelijk is onder de Belgische NIS2-wet van 26 april 2024.
1. Keur de maatregelen goed, als orgaan, met een datum
Het bestuursorgaan (niet één bestuurder alleen) keurt de maatregelen voor cyberbeveiliging van het bedrijf goed en ziet toe op de uitvoering. Elk lid is mee verantwoordelijk voor die goedkeuring. Daarom hoort ze op de agenda van een bestuurs- of directievergadering, met een datum in de notulen, en niet in één mailbox (art. 31, § 1 van de Belgische NIS2-wet; art. 20, lid 1 van de EU-richtlijn).
2. Leden van het bestuursorgaan volgen zelf een opleiding
De wet vraagt het bestuur niet om een opleidingsbudget voor anderen goed te keuren. De leden zelf moeten een opleiding volgen om cyberrisico’s te herkennen en te beoordelen hoe de maatregelen de diensten van het bedrijf raken (art. 31, § 2; art. 20, lid 2). De wet legt geen leerplan, duur of erkende aanbieder vast. Volgens de FAQ van het CCB bepaalt elke entiteit zelf inhoud en duur, en raadt het CCB geen specifieke programma’s aan.
3. Persoonlijke aansprakelijkheid
Elke natuurlijke persoon die verantwoordelijk is voor een essentiële of belangrijke entiteit, of die optreedt als haar wettelijke vertegenwoordiger, is persoonlijk aansprakelijk voor de naleving van de wet door het bedrijf (art. 61). Een handtekening van een partner of IT-leverancier op een beleid verplaatst die aansprakelijkheid niet: ze blijft bij wie de entiteit kan vertegenwoordigen, binden of controleren.
4. Alleen essentiële entiteiten: het tijdelijke verbod
Deze specifieke sanctie (art. 60) geldt alleen voor essentiële entiteiten. Bij een belangrijke entiteit is het toezicht reactief, meestal pas na een incident en niet als audit vooraf.
Wie is precies "het bestuursorgaan"?
De NIS2-richtlijn zelf definieert de term niet. De FAQ van het CCB over NIS2 in België citeert de memorie van toelichting van de Belgische NIS2-wet: iedereen die de entiteit mag besturen of vertegenwoordigen, iedereen die juridisch bindende beslissingen voor haar neemt (of daaraan meewerkt), en iedereen die ze controleert, dus met doorslaggevende invloed op de benoeming van de meeste bestuurders of op de leiding van het bestuur. Een rechtspersoon in zo’n rol wordt samen met haar eigen bestuursorgaan onderzocht.
Deze memo past op één pagina via "Afdrukken of opslaan als PDF" hieronder.
Wat vraagt de wet precies van het bestuur?
Vier aparte plichten liggen bij het bestuursorgaan, niet bij een IT-partner of één bestuurder. Eén: de cyberbeveiligingsmaatregelen van het bedrijf goedkeuren en toezien op de uitvoering (art. 31, § 1 van de Belgische NIS2-wet, art. 20, lid 1 van de EU-richtlijn [1][2]). Twee: zelf een opleiding cyberbeveiliging volgen, om risico’s te herkennen en hun effect op de diensten van het bedrijf te beoordelen (art. 31, § 2, art. 20, lid 2). Drie: persoonlijk verantwoording afleggen als het bedrijf niet voldoet (art. 61). Vier, alleen voor essentiële entiteiten: een tijdelijk verbod riskeren voor de CEO of wettelijke vertegenwoordiger als opgelegde maatregelen niet op tijd genomen worden (art. 60, samen met art. 52).
Wie precies tot "het bestuursorgaan" behoort, definieert de richtlijn zelf niet. Het Centrum voor Cybersecurity België (CCB) beantwoordt dat in zijn FAQ over NIS2 in België [3], met een citaat uit de memorie van toelichting van de Belgische wet: iedereen die de entiteit mag besturen of vertegenwoordigen, iedereen die juridisch bindende beslissingen voor haar neemt of daaraan meewerkt, en iedereen die ze controleert.
Hoe ziet een bestuursplicht-memo eruit?
Vul een bedrijfsnaam in en, als je het weet, of het een essentiële of belangrijke entiteit is. De tool hieronder maakt een memo van één pagina over de vier plichten hierboven. De sectie over het tijdelijke verbod (art. 60) verschijnt alleen voor essentiële entiteiten, want ze geldt niet voor belangrijke. Druk de memo af of sla ze op als PDF en geef ze aan het bestuur vóór de volgende vergadering met beveiligingsmaatregelen op de agenda.
Een voorbeeld: de CEO van een logistiek bedrijf met 90 mensen tekent alleen een nieuw beveiligingsbeleid en zegt de andere bestuurders dat ze het niet hoeven te lezen. Dat voldoet niet aan art. 31, § 1. Goedkeuring en toezicht liggen bij het bestuur als geheel, met een datum in de notulen, en elke bestuurder is ervoor verantwoordelijk, wie er ook tekende.
Nog niet zeker of het bedrijf essentieel, belangrijk of buiten scope is? Doe eerst de NIS2-scopecheck , en bekijk de boetes op de NIS2-boetecalculator .
Liever een document om mee te nemen naar de vergadering? De gratis bestuursmemo NIS2 en CyFun zet deze vijf punten op papier, met de CyFun-niveaus erbij.
Veelgestelde vragen
- Wie telt precies als "lid van het bestuursorgaan" onder NIS2?
- De richtlijn definieert het niet. De FAQ van het CCB citeert de memorie van toelichting van de Belgische wet: iedereen die de entiteit mag besturen of vertegenwoordigen, iedereen die juridisch bindende beslissingen voor haar neemt (of mee neemt), en iedereen die ze controleert door doorslaggevende invloed op de benoeming van haar bestuurders of op de leiding van het bestuur [3].
- Draagt de IT-partner of MSP een deel van die aansprakelijkheid?
- Nee. Goedkeuring, toezicht en persoonlijke aansprakelijkheid (art. 61) liggen bij de natuurlijke personen die de entiteit kunnen vertegenwoordigen, binden of controleren, niet bij een dienstverlener, hoe technisch het werk ook is.
- Welke opleiding vraagt de wet precies?
- Leden van het bestuursorgaan moeten een opleiding volgen om cyberrisico’s te herkennen en risicobeheerpraktijken en hun effect op de diensten van het bedrijf te beoordelen (art. 31, § 2). De wet legt geen leerplan, duur of erkende aanbieder vast; het CCB zegt dat elke entiteit zelf inhoud en duur bepaalt en dat het geen specifieke programma’s aanraadt.
- Kan een bestuurder echt een verbod krijgen om het bedrijf te leiden?
- Alleen voor essentiële entiteiten, en alleen nadat opgelegde cyberbeveiligingsmaatregelen niet binnen de gegeven termijn genomen zijn, niet automatisch na een incident. De CEO of wettelijke vertegenwoordiger kan tijdelijk een verbod krijgen op leidinggevende functies, naast een mogelijke schorsing van een certificering of vergunning (art. 60, samen met art. 52).
- Geldt dit op dezelfde manier voor een belangrijke entiteit?
- De plichten tot goedkeuring, toezicht en opleiding (art. 31, § 1-2) en persoonlijke aansprakelijkheid (art. 61) gelden voor essentiële én belangrijke entiteiten. Het tijdelijke verbod (art. 60) geldt alleen voor essentiële entiteiten; belangrijke entiteiten staan onder reactief toezicht, meestal na een incident.
Andere gratis tools
- NIS2-scopecheck Sector, grootte en een stap over de toeleveringsketen: zie in ongeveer twee minuten of een bedrijf een essentiële of belangrijke NIS2-entiteit is of buiten scope valt, en welke klantsectoren toch eisen doorschuiven.
- NIS2-boetecalculator Kies wat de Belgische NIS2-wet van je bedrijf maakt en geef je groepsomzet in. Zie de hoogste boete die ze toelaat.
2026-11-03
Berekend met de gratis tool op https://easycyberprotection.com/nl/learn/tools/nis2-board-duties/, door Easy Cyber Protection.
#CYBERLEARN