De NIS2-richtlijn (EU) 2022\/2555<\/a> trad op 16 januari 2023 in werking. EU-lidstaten moesten de richtlijn uiterlijk op 17 oktober 2024 omzetten in nationale wetgeving. De concrete regels voor bestuurlijke aansprakelijkheid, toezicht en handhaving worden echter per lidstaat verder uitgewerkt. Daardoor kunnen de precieze verplichtingen en gevolgen voor bestuurders per land verschillen.<\/p>\n Wilt u weten welke NIS2-wetgeving in een specifiek Europees land geldt? Bekijk dan het overzicht van NIS2-wetgeving per EU-land<\/a>.<\/p>\n Artikel 20 van de NIS2-richtlijn legt specifieke verantwoordelijkheden bij de bestuursorganen van essenti\u00eble en belangrijke entiteiten. Cyberbeveiliging is daarmee niet alleen een technische of operationele verantwoordelijkheid, maar ook een onderwerp waarop het bestuur actief moet sturen en toezicht moet houden.<\/p>\n Het bestuursorgaan moet in ieder geval:<\/p>\n Het begrip bestuursorgaan<\/em> wordt in de NIS2-richtlijn niet voor iedere rechtsvorm afzonderlijk gedefinieerd. Wie precies tot het bestuursorgaan behoort en welke persoonlijke aansprakelijkheidsregels gelden, hangt daarom mede af van de nationale wetgeving en de juridische structuur van de organisatie.<\/p>\n Ja. De NIS2-richtlijn bepaalt dat bestuursorganen van essenti\u00eble en belangrijke entiteiten aansprakelijk kunnen worden gesteld voor inbreuken van de organisatie op de verplichtingen voor het beheer van cyberbeveiligingsrisico\u2019s uit artikel 21.<\/p>\n Dit betekent niet dat iedere bestuurder bij iedere NIS2-overtreding automatisch persoonlijk aansprakelijk is. De richtlijn verplicht EU-lidstaten om bestuurlijke verantwoordelijkheid te regelen, maar de precieze aansprakelijkheidsregels worden bepaald door het nationale recht. Dit geldt in het bijzonder voor persoonlijke aansprakelijkheid en voor de regels die van toepassing zijn op overheidsinstanties, ambtenaren en gekozen of benoemde functionarissen.<\/p>\n Bestuurlijke verantwoordelijkheid is niet hetzelfde als automatische persoonlijke aansprakelijkheid<\/strong><\/p>\n NIS2 verplicht bestuursorganen om cyberbeveiligingsmaatregelen goed te keuren en toezicht te houden op de uitvoering. Of en onder welke omstandigheden een individuele bestuurder persoonlijk aansprakelijk kan worden gesteld, wordt mede bepaald door de nationale wetgeving van de betreffende EU-lidstaat.<\/p>\n<\/div>\n NIS2 stelt niet alleen eisen aan de besluitvorming van het bestuur. Artikel 20 bepaalt ook dat leden van de bestuursorganen van essenti\u00eble en belangrijke entiteiten training moeten volgen<\/strong>.<\/p>\n Het doel van deze training is dat bestuurders voldoende kennis en vaardigheden ontwikkelen om:<\/p>\n De NIS2-richtlijn schrijft niet voor welke specifieke training een bestuurder moet volgen of bij welke opleider deze moet worden gevolgd. De nadere invulling kan per land verschillen.<\/p>\n BC Academy biedt hiervoor een NIS2 Executive training voor directie en management<\/strong><\/a>. Tijdens deze incompany training krijgen deelnemers inzicht in de NIS2-richtlijn, de rol van het bestuur, cyberbeveiligingsrisico\u2019s en de maatregelen die organisaties moeten treffen. Na afloop ontvangt iedere deelnemer een certificaat van deelname.<\/p>\n NIS2 moedigt essenti\u00eble en belangrijke entiteiten daarnaast aan om regelmatig vergelijkbare cyberbeveiligingstraining aan medewerkers aan te bieden.<\/p>\n EU-lidstaten moeten bevoegde nationale autoriteiten aanwijzen die toezicht houden op de naleving van de nationale NIS2-wetgeving. Welke autoriteit bevoegd is en hoe het toezicht precies wordt ingericht, kan per lidstaat en sector verschillen.<\/p>\n De NIS2-richtlijn maakt daarbij onderscheid tussen essenti\u00eble entiteiten<\/strong> en belangrijke entiteiten<\/strong>.<\/p>\n Bij essenti\u00eble entiteiten kunnen bevoegde autoriteiten zowel proactief als reactief toezicht houden. Zij moeten onder meer bevoegd zijn om:<\/p>\n Bij belangrijke entiteiten vindt het toezicht volgens de Europese hoofdregel achteraf plaats wanneer er bewijs, aanwijzingen of informatie beschikbaar zijn waaruit blijkt dat de organisatie mogelijk niet aan haar NIS2-verplichtingen voldoet.<\/p>\n De precieze toezichtsprocedures worden verder uitgewerkt in de nationale wetgeving.<\/p>\n Wanneer een essenti\u00eble of belangrijke entiteit niet aan de geldende NIS2-verplichtingen voldoet, kunnen de bevoegde autoriteiten verschillende handhavingsmaatregelen inzetten. Afhankelijk van de nationale wetgeving kan het onder meer gaan om:<\/p>\n Voor essenti\u00eble entiteiten voorziet NIS2 daarnaast in aanvullende mogelijkheden wanneer eerdere handhavingsmaatregelen niet effectief zijn gebleken. Afhankelijk van het nationale recht kan bijvoorbeeld een certificering of vergunning tijdelijk worden opgeschort. Ook kan worden verzocht om een persoon met leidinggevende verantwoordelijkheden op het niveau van algemeen directeur of wettelijke vertegenwoordiger tijdelijk te verbieden leidinggevende functies binnen de betreffende essenti\u00eble entiteit uit te oefenen.<\/p>\n Een dergelijke tijdelijke maatregel geldt alleen totdat de organisatie de geconstateerde tekortkomingen heeft hersteld of aan de eisen van de bevoegde autoriteit voldoet.<\/p>\n De NIS2-richtlijn stelt minimumvereisten aan de maximale administratieve geldboeten die lidstaten in hun nationale wetgeving moeten opnemen.<\/p>\n Deze Europese boetemaxima hebben betrekking op sancties voor de entiteit<\/strong> bij overtreding van onder meer de verplichtingen rond cyberbeveiligingsrisicobeheer en incidentmelding. Zij betekenen niet dat een individuele bestuurder automatisch persoonlijk een boete van deze omvang krijgt opgelegd.<\/p>\n De uiteindelijke boetebevoegdheden, sancties en aansprakelijkheidsregels worden vastgesteld in de nationale wetgeving van iedere EU-lidstaat.<\/p>\n NIS2 maakt duidelijk dat cyberbeveiliging niet uitsluitend een verantwoordelijkheid is van de IT-afdeling of informatiebeveiligingsfunctie. Het bestuursorgaan moet actief betrokken zijn bij het beheersen van cyberbeveiligingsrisico\u2019s, de relevante maatregelen goedkeuren en toezicht houden op de uitvoering ervan.<\/p>\n Bestuurders moeten daarnaast voldoende kennis opbouwen om deze verantwoordelijkheid te kunnen dragen. De verplichte training voor leden van bestuursorganen onderstreept dat cyberbeveiliging onderdeel is geworden van goed bestuur en risicomanagement.<\/p>\n Omdat NIS2 een Europese richtlijn is, worden de concrete aansprakelijkheids-, toezichts- en handhavingsregels in nationale wetgeving vastgelegd. Voor organisaties die in meerdere Europese landen actief zijn, is het daarom belangrijk om niet alleen naar de Europese richtlijn te kijken, maar ook naar de nationale implementatie in de relevante lidstaten.<\/p>\n Controleer de NIS2-regels per EU-land<\/strong><\/p>\n De status van de nationale NIS2-wetgeving, bevoegde autoriteiten, deadlines en nationale procedures verschillen per lidstaat. Op NIS2certification.eu vindt u informatie over de implementatie van NIS2 in de verschillende Europese landen.<\/p>\n Bekijk NIS2 per EU-land<\/a><\/p>\n<\/div>\n Brand Compliance voert onafhankelijke certificatie- en verificatieactiviteiten uit die, afhankelijk van de toepasselijke nationale regeling, kunnen bijdragen aan het aantoonbaar maken van cyberbeveiligingsmaatregelen.<\/p>\n Heeft u vragen over ISO\/IEC 27001-certificering, CyFun\u00ae-verificatie of een ander beoordelingsproces? Vraag dan een vrijblijvend kennismakingsgesprek met Brand Compliance<\/a> aan. Tijdens dit gesprek lichten wij het beoordelingsproces, de benodigde informatie en de mogelijke scope toe.<\/p>\n Geen kennisartikelen missen?<\/strong><\/p>\n Vul uw gegevens in en u ontvangt regelmatig een update met onze nieuwste artikelen.<\/p>\n![\"NIS2](\"https:\/\/brandcompliance.com\/wp-content\/uploads\/2024\/05\/pexels-cqf-avocat-188397-613508_web2-300x266.jpg\")
<\/p>\nNIS2-verplichtingen voor bestuursleden<\/h2>\n
\n
Kunnen bestuurders aansprakelijk worden gesteld onder NIS2?<\/h3>\n
NIS2-training voor bestuurders en management<\/h3>\n
\n
Toezicht op naleving van NIS2<\/h2>\n
\n
Handhavingsmaatregelen bij niet-naleving<\/h3>\n
\n
NIS2-boetes<\/h3>\n
\n
NIS2-aansprakelijkheid vraagt om actieve betrokkenheid van het bestuur<\/h2>\n
Wilt u meer weten over onafhankelijke beoordeling in het kader van NIS2?<\/h4>\n