← Alle inzichten

Drie digitale risico's werden zojuist persoonlijke verantwoordelijkheden van uw bestuur

Jacques Domenie · 17 augustus 2026 · 9 min lezen

Stelt u zich het moment voor. Een ransomware-incident heeft een kritieke leverancier platgelegd. De dienstverlening van uw organisatie is zes dagen verstoord. De brief van de toezichthouder vraagt niet aan uw CIO wat er gebeurd is. Hij vraagt uw bestuur — bij naam — drie dingen: hoe zag uw ICT-risicokader eruit, wanneer heeft u het persoonlijk voor het laatst beoordeeld, en kunt u aantonen dat u begreep wat u goedkeurde?

Onder DORA en NIS2 is dat geen hypothese. Het is de tekst van de wet.

Het grootste deel van mijn loopbaan was digitaal risico een managementkwestie — het probleem van de CIO, als sheet naar het bestuur getild, goedgekeurd, gearchiveerd. Dat tijdperk is voorbij. Drie Europese wetten — de Digital Operational Resilience Act (DORA), de NIS2-richtlijn en de AI-verordening — hebben ICT- en AI-risico uit de bijlage gehaald en op de eigen tafel van het bestuur gelegd. Niet als toezichttaak die u kunt beleggen bij wie aan u rapporteert. Als eigen verantwoordelijkheid.

Ik heb dertig jaar aan de uitvoerende kant van precies deze lijn gewerkt — binnen de technologiefunctie van een DNB-gereguleerde bank, en recenter een raad van bestuur adviserend over cloud, data en AI-risico bij een beursgenoteerde geo-dataonderneming. Wat volgt is wat deze drie wetten feitelijk van een bestuur vragen, vertaald uit juridische tekst naar de vragen die u deze week zou moeten kunnen beantwoorden.

Drie verantwoordelijkheden, en ze werken niet hetzelfde

Het is verleidelijk DORA, NIS2 en de AI-verordening op één hoop te gooien als "meer compliance". Dat is een vergissing, en niet alleen een semantische. Elk creëert blootstelling voor het bestuur via een ander mechanisme, en weten welk mechanisme geldt, verandert wat u ermee moet.

DORA is de scherpste van de drie. Artikel 5(2)(a) verplicht het leidinggevend orgaan de uiteindelijke verantwoordelijkheid te dragen voor het beheer van het ICT-risico van de financiële entiteit. Niet "op de hoogte zijn". Niet "erop toezien dat iemand het belegt". Uiteindelijk. Overwegingen 45 en 46 duiden dat als volledige en uiteindelijke verantwoordelijkheid — een overkoepelend beginsel, geen plicht die u afdoet door haar naar beneden te delegeren. Artikel 28(1)(a) sluit de voor de hand liggende uitweg: entiteiten blijven "te allen tijde volledig verantwoordelijk" voor naleving, ook wanneer het werk bij een derde ligt. Artikel 5(4) voegt de competentie-eis toe: bestuurders moeten hun kennis en vaardigheden actueel houden om ICT-risico te begrijpen en te beoordelen, mede door regelmatige training. DORA is sinds januari 2025 volledig van toepassing.

NIS2 doet iets structureel vergelijkbaars, voor een veel bredere groep organisaties. Artikel 20 verplicht de bestuursorganen van essentiële en belangrijke entiteiten de cyberbeveiligingsmaatregelen goed te keuren, toe te zien op de uitvoering — en bepaalt uitdrukkelijk dat die bestuursorganen aansprakelijk kunnen worden gesteld voor inbreuken van de entiteit op artikel 21. Wilt u de individuele haak: dat is artikel 32(6), dat toezichthouders in staat stelt een bestuurder tijdelijk te verbieden leidinggevende functies uit te oefenen. NIS2 trekt sectoren ver buiten de financiële wereld naar binnen: energie, transport, zorg, digitale infrastructuur, industrie en hun toeleveringsketens. In Nederland landde dit op 15 augustus 2026, toen de Cyberbeveiligingswet in werking trad — ruim 8.000 organisaties vallen er nu onder, met registratieplicht bij het NCSC vanaf die datum. Dit is geen agendapunt voor later. Het is de week waarin u zit. En de verplichting verhuist mee met de entiteit bij een overname, wat de meeste dealteams niet hebben geprijsd.

De Nederlandse uitvoering ging nog een stap verder, op een manier die individuele bestuurders raakt in plaats van de entiteit — genoeg afwijking om een apart stuk over artikel 24 Cbw en de €25.000 persoonlijke boete te rechtvaardigen.

De AI-verordening is anders van aard, en dat is de nuance die het meeste commentaar plat slaat. Anders dan DORA en NIS2 bevat zij geen expliciete bepaling die de uiteindelijke verantwoordelijkheid bij het bestuur legt. Wat zij wél doet, is verplichtingen scheppen voor gebruiksverantwoordelijken van AI-systemen met een hoog risico — waaronder de eis in artikel 26(2) dat menselijk toezicht wordt belegd bij mensen met de competentie, training en bevoegdheid om dat betekenisvol uit te oefenen. Schendt u die verplichting, dan komt u via artikel 99(4) uit op ten hoogste €15 miljoen of 3% van de wereldwijde jaaromzet. Het plafond van €35 miljoen of 7% in artikel 99(3) is voorbehouden aan de verboden praktijken uit artikel 5 — een ander falen, maar dezelfde bestuurstafel. Alleen die boetestructuur dwingt de vraag al op de agenda: een boete van die omvang is naar elke gangbare governancemaatstaf een materieel risico dat een bestuur geacht wordt te begrijpen en te overzien.

(Eén eerlijke kanttekening, omdat precisie hier belangrijker is dan vaart: hoe "leidinggevend orgaan" zich precies verhoudt tot een tweelagige structuur van bestuur en raad van commissarissen is iets om voor uw eigen governance met een jurist te bevestigen — niet iets om uit een artikel over te nemen, ook niet uit het mijne.)

Wat dit feitelijk van u vraagt

Haal de juridische taal weg en elk van deze wetten stelt een bestuurder dezelfde onderliggende vraag: als u onder ede moest uitleggen waarom u dit goedkeurde, zou u dat kunnen?

Niet "heeft de CIO een presentatie gegeven en knikte het bestuur". Zou u, persoonlijk, een toezichthouder of een rechter kunnen meenemen door:

  • wat uw ICT-risicokader werkelijk afdekt, en waarom het zo is opgebouwd
  • van welke derden uw organisatie kritiek afhankelijk is, en wat er gebeurt als er één uitvalt
  • welke van uw AI-systemen echt risico dragen, wie het beheer daarvan feitelijk bezit, en wat "betekenisvol menselijk toezicht" bij u concreet inhoudt — niet slechts dat iemand technisch op een knop kan drukken
  • wanneer u persoonlijk voor het laatst hierover bent bijgepraat, en of u het goed genoeg begreep om het uit te dagen

Op de AI-vraag is er een concrete toets. Vraag om de toezichtregeling van één hoogrisicosysteem op papier: wie is aangewezen, wat mag die persoon overrulen, welke training heeft hij gehad, en welk bewijs is er dat hij ooit daadwerkelijk heeft ingegrepen. "Betekenisvol menselijk toezicht" dat nog nooit één vastgelegde interventie heeft opgeleverd, is geen toezicht. Het is iemand op een schema. Dat onderscheid is wat artikel 26(2) van u vraagt te kunnen aantonen, en het is in een middag te beantwoorden.

Dat laatste punt is de kern. DORA en NIS2 vragen u niet alleen informatie te ontvangen. Zij vragen u bekwaam te zijn haar te beoordelen — bekwaam genoeg om een risicokader terug te duwen dat er op een sheet netjes uitziet maar een echt incident niet zou overleven.

Het gat in de meeste bestuurskamers

Dan het ongemakkelijke deel. De meeste raden van commissarissen die ik van nabij heb gezien — in financiële dienstverlening, industrie en infrastructuur — hebben diepe expertise in financiën, recht en commerciële strategie. Zeer weinige hebben een lid dat zelfstandig kan beoordelen of het ICT-risicokader dat voor hen ligt deugt, of dat het een goed opgemaakt document is dat nooit is getoetst aan hoe technologie werkelijk faalt.

Ik heb het alternatief van dichtbij gezien, meer dan eens: een ISO 27001- of ICT-risicoprogramma dat als compliance-exercitie wordt gevoerd — een presentatie, een spreadsheet, een jaarlijkse auditbrandoefening — dat het papierwerk bevredigt en vrijwel niets zegt over de vraag of de organisatie een echt incident zou doorstaan. Dat is geen nalatig bestuur. Het is een bestuur dat nooit de competentie kreeg om het verschil te zien tussen een maatregel die werkt en een die alleen op papier bestaat. Onder DORA en NIS2 is dat onderscheid nu persoonlijk aan u.

En het is geen gat dat u dicht met een eendaagse workshop, hoezeer de formulering van DORA's competentie-eis dat ook suggereert. Niet een voormalig CISO die een presentatie leest en de vragen stelt die op de achterkant staan. Niet een jurist die de tekst kent maar nooit een architectuurbesluit onder druk heeft moeten verdedigen. Wat artikel 5 beschrijft, als u het leest op wat het vraagt, is iemand die technische blootstelling kan vertalen naar een oordeel waar de rest van het bestuur mee verder kan; die een echte maatregel van een decoratieve onderscheidt omdat hij beide heeft gebouwd; die de vraag stelt die de presentatie van een leverancier moest vermijden; en die AI goed genoeg beoordeelt om niet alleen het risico te wegen maar ook hoe het de instrumenten verandert waarmee je dat risico beheerst.

Die combinatie — uitvoerend oordeelsvermogen op bestuurshoogte — is zeldzamer dan zij zou moeten zijn. De meeste technologen die dat niveau bereiken gaan naar uitvoerende functies, niet naar toezichthoudende. De meeste commissarissen komen uit financiën, recht of algemeen management, en erven ICT-risico als een onbekende late toevoeging aan een reeds volle portefeuille.

Vijf vragen voor uw volgende bestuursvergadering

U heeft geen adviseur nodig om dit gat te beginnen dichten. Begin hier, deze maand:

  1. Kunnen wij onze kritieke ICT- en AI-derden benoemen, en begrijpen wij ons concentratierisico als er één uitvalt? (Dit benadert wat DORA's Register of Information u dwingt te weten.)
  2. Wanneer zijn wij — persoonlijk, als bestuurders — voor het laatst bijgepraat over ons ICT-risicokader, en zou ieder van ons het in eigen woorden kunnen navertellen? Bent u Nederlands en valt u eronder: kan elk lid het artikel 24-certificaat overleggen, en hebben wij een verdedigbaar antwoord op wat "aantoonbaar actueel" voor ons betekent? De klok loopt tot 15 augustus 2028.
  3. Weten wij welke van onze AI-systemen als hoog risico gelden onder de AI-verordening, en wie werkelijk de bevoegdheid tot menselijk toezicht heeft?
  4. Als een toezichthouder ons morgen zou vragen aan te tonen dat wij begrepen wat wij goedkeurden, wat zouden wij dan kunnen laten zien?
  5. Zit er iemand in dit bestuur met het gezag én de technische diepgang om een risicokader uit te dagen dat compleet oogt maar nooit is getoetst aan hoe systemen werkelijk falen?

Is het eerlijke antwoord op de vijfde vraag nee, dan is dat geen trainingsgat. Het is een competentiegat in de kamer — en onder DORA en NIS2 is het nu een persoonlijk gat.

Verder

Bent u Nederlands en valt u eronder, dan bijt de lokale versie harder en komt zij dichterbij — wat artikel 24 Cbw persoonlijk van u vraagt, en tegen wanneer.

Stelt uw bestuur zichzelf de vijf vragen hierboven en bent u niet tevreden met de antwoorden, dan is dat een gesprek waard — neem contact op.

Bronnen

Herkent u dit vraagstuk in uw eigen organisatie? Dan is dat een gesprek waard.

Neem contact op