Veel organisaties zien NIS2 nog vooral als een IT- of securityvraagstuk. In de praktijk legt de richtlijn juist nadruk op bestuurlijke verantwoordelijkheid, risicobeheersing en aantoonbare governance.
Voor directies betekent dit dat betrokkenheid niet langer vrijblijvend is. In dit artikel lees je welke verantwoordelijkheden NIS2 met zich meebrengt, welke risico’s bestuurders lopen en hoe je hier als organisatie grip op krijgt.
Waarom NIS2 een directievraagstuk is
NIS2 richt zich niet alleen op technische beveiligingsmaatregelen. De richtlijn verwacht dat organisaties risico’s beheersen, beleid vastleggen en toezicht organiseren op het hoogste niveau van de organisatie.
Dat betekent dat directies inzicht moeten hebben in cyberrisico’s, leveranciersafhankelijkheden, incidentprocessen en besluitvorming rondom beveiliging. Verantwoordelijkheid kan niet volledig worden gedelegeerd aan IT-teams of externe leveranciers.
De verantwoordelijkheid van bestuurders onder NIS2
Een van de meest onderschatte onderdelen van NIS2 is dat bestuurders actief betrokken moeten zijn bij cybersecuritybeleid. Zij moeten risico’s begrijpen, besluiten kunnen onderbouwen en toezicht houden op de uitvoering van maatregelen.
Wanneer incidenten ontstaan door onvoldoende governance of gebrekkige risicobeheersing kan de aandacht verschuiven van techniek naar bestuurlijke besluitvorming. Daarom wordt aantoonbaarheid een vast onderdeel van modern bestuur.
Praktijkinzicht
In veel organisaties wordt NIS2 gestart als een technisch project. Daardoor ontstaat vaak een situatie waarin beleid, risicoacceptatie en verantwoordelijkheden onvoldoende zijn vastgelegd op directieniveau.
Organisaties die sneller grip krijgen op NIS2 beginnen juist met governance. Wanneer rollen, verantwoordelijkheden en rapportages helder zijn ingericht, wordt het eenvoudiger om technische maatregelen aantoonbaar te beheren.
Governance vraagt om aantoonbare controle
NIS2 draait niet alleen om het treffen van maatregelen. Organisaties moeten ook kunnen aantonen hoe risico’s worden beoordeeld, welke keuzes zijn gemaakt en hoe toezicht plaatsvindt.
Dat vraagt om rapportages, periodieke evaluaties, duidelijke eigenaarschapstructuren en vastgelegde processen. Zonder deze onderdelen ontstaat er snel een verschil tussen wat er gebeurt en wat aantoonbaar is.
De organisatorische impact van NIS2
NIS2 raakt vrijwel iedere afdeling binnen een organisatie. Denk aan IT, HR, operations, procurement, compliance en management. Cybersecurity wordt daarmee een onderwerp dat de gehele organisatie raakt.
Voor directies betekent dit dat samenwerking tussen afdelingen actief moet worden aangestuurd. Alleen dan ontstaat voldoende overzicht om risico’s te beoordelen en continuïteit te waarborgen.
