vragenlijst vraagt wie binnen het bestuur verantwoordelijk is voor cybersecurity

Bestuur draagt de verantwoordelijkheid, niet de IT-afdeling

Bij deze vraag wil de klant weten of het bestuur zelf de eindverantwoordelijkheid draagt voor cybersecurity, of dat dit is weggedelegeerd naar een IT-manager of CISO zonder bestuursbetrokkenheid. Het antwoord dat de meeste ondernemingen invullen: een bestuurder is aangewezen als eindverantwoordelijke, en de uitvoering ligt bij een functionaris of afdeling daaronder. Die twee dingen zijn niet hetzelfde en de vragenlijst wil vaak allebei zien: wie is verantwoordelijk (bestuursniveau) en wie voert uit (operationeel niveau).

Concreet bewijs hiervoor is meestal een bestuursbesluit, een functieomschrijving van de CISO of security officer, of een passage in het informatiebeveiligingsbeleid waarin de rolverdeling staat. Ontbreekt dat document, dan is "nee" of "nog te bepalen" het eerlijke antwoord — niet omdat er niemand verantwoordelijk is, maar omdat de toewijzing niet is vastgelegd. Deze vraag hangt vaak samen met de vraag of er beleid is voor risicoanalyse en de beveiliging van informatiesystemen, want dat beleid noemt meestal ook wie het heeft goedgekeurd en wie het onderhoudt.

Waar dat in de richtlijn staat: artikel 21 lid 2

De verplichting komt uit artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555), dat tien maatregelen opsomt die onder de verantwoordelijkheid van het bestuur vallen, waaronder governance en risicobeheer. De richtlijn zelf regelt bestuursaansprakelijkheid apart: het bestuur moet toezicht houden op de uitvoering en kan daarop worden aangesproken, ook als de dagelijkse uitvoering bij een CISO ligt. In Nederland komt deze verplichting terug in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. ISO/IEC 27001 Annex A vraagt in de beheersmaatregelen rond organisatiestructuur eveneens om een vastgelegde rolverdeling — wie dat certificaat al heeft, kan die documentatie meestal direct hergebruiken voor deze vraag. Is de onderneming ISO 27001-gecertificeerd, dan staat de bestuurlijke verantwoordelijkheid daar doorgaans al genoemd in het toepassingsgebied of het beleidsdocument.