vragenlijst vraagt of het management betrokken is bij cybersecurity

Bestuursbetrokkenheid is een aparte NIS2-verplichting, los van de tien maatregelen

Deze vraag gaat niet over techniek maar over governance: is de directie zelf aangehaakt op cybersecurity, of is het volledig gedelegeerd aan IT. Onder artikel 21 lid 2 van NIS2 staan de tien maatregelen zelf, maar artikel 20 van de richtlijn verplicht daarnaast dat bestuursorganen de risicobeheermaatregelen goedkeuren en toezicht houden op de uitvoering, en dat bestuursleden training volgen om cyberrisico's te kunnen beoordelen. Dat is dus een losstaand punt van de vragenlijst: niet "welke maatregelen heeft u", maar "weet en keurt de top dit goed".

Als bewijsstuk telt meestal een notulen-fragment waarin het bestuur het beveiligingsbeleid heeft vastgesteld of geëvalueerd, een organogram waaruit rapportagelijnen naar de directie blijken, of een agendapunt uit een periodiek directie-overleg over cyberrisico's. Ontbreekt dat, dan is "nee" hier het eerlijke antwoord — een leverancier die dit invult zonder stuk loopt het risico dat de klant er later op terugkomt. Deze vraag hangt vaak samen met de vraag wordt de doeltreffendheid van de beveiligingsmaatregelen periodiek getoetst, want toetsing zonder bestuurlijke opvolging is voor een klant een half antwoord. Ook relevant is of uw onderneming zelf onder de NIS2-richtlijn valt, want dan is dit niet alleen een vraag van uw klant maar een eigen wettelijke plicht per 15 augustus 2026, wanneer de Cyberbeveiligingswet in werking treedt.

Waar dit vandaan komt: artikel 20 naast artikel 21 NIS2

Artikel 20 van Richtlijn (EU) 2022/2555 regelt de aansprakelijkheid en betrokkenheid van bestuursorganen, apart van de tien inhoudelijke maatregelen in artikel 21 lid 2; ISO/IEC 27001 kent in Annex A geen letterlijk equivalent maar vraagt via de kernvereisten van de norm (clausule 5, leiderschap) wel om aantoonbare betrokkenheid van de top, wat vaak als los bewijsstuk naast de Annex A-maatregelen wordt aangeleverd.