NIS2-aansprakelijkheid als bestuurder: “ik wist het niet” is een duur excuus
In heel wat kmo-bestuurskamers leeft nog steeds de gedachte dat cybersecurity louter een technische kwestie is. “Als de servers crashen of we worden gehackt, lost IT het wel op”, horen we bij Fox&Fish Cyberdefense nog te vaak in gesprekken met klanten en prospects. De realiteit is echter grondig veranderd. Met de invoering van de Europese NIS2-richtlijn is cyberbeveiliging officieel gepromoveerd van een technische helpdesktaak naar een hoofdelijke bestuursverantwoordelijkheid. NIS2 is niet enkel de verantwoordelijkheid van IT. Als bestuurder of zaakvoerder staat vandaag jouw privévermogen en bestuurspositie op het spel. In dit artikel slaan wij vanuit Fox&Fish Cyberdefense de handen in elkaar met onze juridische partner Sirius Legal. We belichten zowel de technische praktijk op de werkvloer als het juridische kader, zodat je als zaakvoerder én als IT-manager exact weet waar je staat.
NIS2 en het Cyber Fundamentals Framework
NIS2 is de strengere Europese regelgeving die de digitale weerbaarheid van organisaties tegen alle vormen van cyberrisico’s drastisch verhoogt. In België is deze richtlijn door het Centrum voor Cybersecurity België (CCB) vertaald naar het Cyber Fundamentals Framework (CyFun), opgedeeld in drie niveaus: Basic, Important en Essential.
Sommige bedrijven vallen rechtstreeks onder NIS2. Dit is het geval voor ‘essentiële’ en ‘belangrijke’ entiteiten (meestal vanaf 50 werknemers of 10 miljoen euro omzet) in een brede waaier aan sectoren, van energie en gezondheidszorg tot digitale diensten en voeding. De impact van deze nieuwe cyberwetgeving is echter veel breder. Via het beruchte keteneffect worden heel wat niet-rechtstreeks onderworpen bedrijven toch gedwongen om compliant te zijn. Grote organisaties moeten hun volledige toeleveringsketen controleren en eisen via uitgebreide vragenlijsten harde garanties van al hun leveranciers, waarbij het CyFun-framework de standaard is.
Wanneer valt jouw bedrijf onder de NIS2-wetgeving?
Het CCB stelt een handige zelfevaluatie-spreadsheet ter beschikking om dit te bepalen. Is de vragenlijst te complex of twijfel je over de uitkomst? De technische experts van Fox&Fish Cyberdefense staan klaar om samen met de juridische adviseurs van Sirius Legal jouw technische risico’s en juridische status scherp in kaart te brengen.
Investeren in cybersecurity is de directe verzekering van bedrijfscontinuïteit
De nieuwe Europese NIS2-richtlijn (Network and Information Systems Directive 2) is de meest ingrijpende cyberbeveiligingswetgeving tot nu toe. Zij stelt duidelijke eisen aan de cyberweerbaarheid van bedrijven en organisaties. Maar zoals Nipro, een leidende speler in medische technologie, ondervond: compliance is meer dan een checklist voor de IT-afdeling. Het is een management-verantwoordelijkheid en een bedrijfscultuur die je moet creëren. Wij stonden Nipro bij in dit cruciale traject.
De rol van de raad van bestuur in cyberveiligheid
Wij zien in de praktijk maar al te vaak dat compliancedocumenten achteloos naar de IT-verantwoordelijke worden doorgeschoven. Dat is een gevaarlijke inschattingsfout. De rode draad in nieuwe wetgeving, zoals ook de DORA-verordening of de Cyber Resilience Act (CRA), is de responsabilisering van de Raad van Bestuur. Het bestuursorgaan moet het beleid goedkeuren, actief toezicht houden en is ultiem persoonlijk verantwoordelijk wanneer het grondig fout loopt.
Het Belgische vennootschapsrecht verplicht elke bestuurder om diens taak te vervullen met de zorg en verantwoordelijkheid die van een normale bestuurder verwacht mag worden. Een gebrek aan kennis rond cyberrisico’s of het niet voorzien van budgetten voor elementaire IT-beveiliging valt daar evident niet onder. Hackings, cryptolockers en diefstal van bedrijfs- of persoonsgegevens stellen het bedrijf bloot aan enorme financiële risico’s. Als bestuurder heb je de taak om deze af te dekken.
De interactieve workshops, waarbij we als managementteam plots samen een incident moesten oplossen, waren een eye-opener. Het maakte de noodzaak van snelle besluitvorming en duidelijke procedures op directieniveau pijnlijk duidelijk. De training heeft het hele NIS2-traject intern in een stroomversnelling gebracht.
Individuele aansprakelijkheid: je privévermogen in het vizier
Samen met Sirius Legal wijzen we graag op een cruciale juridische verschuiving. Met de inwerkingtreding van Boek 6 van het Burgerlijk Wetboek is de historische bescherming van bestuurders definitief afgeschaft. Ontevreden contractspartijen kunnen voortaan rechtstreeks jouw privévermogen viseren voor fouten die je begaat tijdens de uitoefening van je mandaat.
De dreiging wordt acuut wanneer een cyberaanval het bedrijf richting een bankroet duwt. Maar deze zware aansprakelijkheidsrisico’s gelden ook voor bedrijven die niet onder NIS2 vallen. Het Belgische aansprakelijkheidsrecht en de faillissementswetgeving maken hierin geen onderscheid. Een vernietigende ransomware-aanval treft een kmo vaak dodelijker dan een multinational, en de curator zal met exact dezelfde juridische instrumenten onderzoeken of het bestuursorgaan nalatig was.
Bankroet na cyberaanval?
Volgens Artikel XX.225 WER kunnen curatoren bestuurders persoonlijk en hoofdelijk laten opdraaien voor het volledige netto-passief van de faling indien een kennelijk grove fout daartoe bijdroeg. Het volstrekt ontbreken van basale controle- en beveiligingsmechanismen wordt door rechtbanken als zo’n fout beschouwd.
Artikel XX.227 WER (‘wrongful trading’) vermeld duidelijk dat je een persoonlijke veroordeling riskeert als je na een zware hack nieuwe verplichtingen blijft aangaan, terwijl je wist dat er geen redelijk vooruitzicht meer was om de onderneming te redden.
Wacht niet tot het te laat is!
Als ethische hackers weten wij precies waar en hoe cybercriminelen te werk gaan. Daarom hebben we een eenvoudige tool ontwikkeld, want elk gevonden item door criminelen is een potentieel veiligheidsrisico voor jouw organisatie. Houdt daarom de vinger aan de pols voor jouw bedrijfsgegevens en voorkom toekomstige schade aan jouw organisatie en het privévermogen. Ontdek in minder dan één minuut of er data van jouw bedrijfsdomein circuleert op het dark web. Snel, veilig en volledig gratis.
Wat betekent dit concreet voor jouw bedrijf?
Een degelijke technische én juridische verankering van het risicobeleid is vandaag de dag een dwingende noodzaak:
- Agendeer IT-risico’s: Zorg dat cyberdreigingen periodiek op de bestuursagenda staan en dat budgetbeslissingen expliciet in de notulen worden vastgelegd. Stem als bestuurder formeel tegen als de meerderheid weigert noodzakelijke investeringen te doen, en laat dit notuleren om eigen aansprakelijkheid te ontlopen.
- Herzie contracten: Zorg dringend voor exoneratieclausules in commerciële contracten en algemene voorwaarden om rechtstreekse buitencontractuele vorderingen tegen individuele bestuurders zoveel mogelijk uit te sluiten.
- Controleer verzekeringen: Kijk de polis voor bestuurdersaansprakelijkheid minutieus na op dekking voor rechtstreekse vorderingen onder het nieuwe Burgerlijk Wetboek en check of er geen uitsluitingen voor cyberincidenten zijn.
Pragmatische actie: Fox&Fish Cyberdefense en Sirius Legal
Of je nu als zaakvoerder jouw risico’s wil afdekken, of als IT-manager strijdt voor de nodige ondersteuning, je staat er niet alleen voor. Wij geloven in een pragmatische aanpak die jouw bestaande IT-partner versterkt in plaats van vervangt.
Fox&Fish Cyberdefense biedt technische expertise
Wij leggen via een gericht scoping-gesprek en een quickscan meteen de technische blinde vlekken bloot. Voor IT-managers die vechten tegen de bierkaai om het management mee te krijgen, bieden we bovendien praktijkgerichte managementtrainingen met live hacking demo’s om het bestuur definitief wakker te schudden. Ontbreekt het aan interne capaciteit? Via onze CISO as a Service of CISO Ad Interim haal je de nodige expertise op maat in huis.
Sirius Legal biedt juridische expertise
Onze partners helpen je met de juridische inschaling, de broodnodige herziening van je contracten en de objectieve analyse van je bestuursrisico’s.
Schiet op tijd in actie!
Wacht niet op een zwaar incident of een dwingende contractuele audit van een klant om in actie te schieten. De vertaalslag van IT-risico’s naar een sluitend ondernemingsbeleid is dodelijk complex en duldt geen enkel uitstel meer. Boek vandaag nog een video call in om jouw specifieke bedrijfscontext en technische kwetsbaarheden met ons team te bespreken.
Investeren met subsidie
Door samen te werken met een erkende dienstverlener kan je voor begeleiding en trainingen gebruikmaken van de kmo-portefeuille, waarmee je tot 45% subsidie ontvangt.
VEELGESTELDE VRAGEN
Kan een bestuurder persoonlijk aansprakelijk worden gesteld na een cyberaanval?
Ja, door de vernieuwde wetgeving in het Burgerlijk Wetboek kunnen klanten of leveranciers die schade lijden door een datalek bestuurders nu rechtstreeks buitencontractueel aanspreken in hun privévermogen. Ook curatoren kunnen bestuurders persoonlijk laten opdraaien voor de schulden na een faillissement indien de basisbeveiliging ontbrak.
Geldt bestuurdersaansprakelijkheid rond IT ook voor bedrijven die niet onder NIS2 vallen?
Absoluut, het Belgische vennootschapsrecht verplicht elke bestuurder van elke onderneming tot een behoorlijke taakvervulling en risicobeheer. Het structureel negeren van cyberrisico’s wordt door rechtbanken gezien als een fout die losstaat van de vraag of je bedrijf onder een specifieke Europese richtlijn zoals NIS2 of DORA valt.
Hoe kan ik mij als bestuurder indekken tegen deze cyberrisico's?
Breng uw technische kwetsbaarheden in kaart via een quickscan. Zorg ervoor dat cyberbeveiliging periodiek genotuleerd wordt op de bestuursraad en stem formeel tegen wanneer de raad weigert noodzakelijke budgetten vrij te maken. Pas daarnaast via juridisch advies uw algemene voorwaarden aan en controleer of uw D&O-verzekering dekkend is voor cyberincidenten.