Bestuurdersaansprakelijkheid bij cyberaanvallen: wat eisen de Cyberbeveiligingswet en de rechter?

Gepubliceerd op 5 november 2025 · Laatst bijgewerkt op 13 oktober 2026

Een bestuurder is na een cyberaanval alleen persoonlijk aansprakelijk als hem een ernstig verwijt kan worden gemaakt, bijvoorbeeld omdat hij bekende risico’s welbewust liet liggen. Sinds de Cyberbeveiligingswet (Cbw) op 15 augustus 2026 in werking is getreden, heeft het bestuur van essentiële en belangrijke entiteiten daarnaast eigen wettelijke plichten, en schending daarvan weegt mee bij die beoordeling.

Hieronder leest u welke normen de rechter hanteert, wat de Cbw van bestuurders vraagt, welke sancties de toezichthouder kan opleggen en hoe u als bestuurder aantoont dat u zorgvuldig heeft gehandeld.

Wanneer is een bestuurder persoonlijk aansprakelijk na een cyberaanval?

Alleen als de bestuurder persoonlijk een ernstig verwijt treft. Een gewone inschattingsfout of een aanval die ondanks redelijke maatregelen slaagt, is daarvoor niet genoeg.

Hoofdregel is dat de rechtspersoon zelf aansprakelijk is voor schade na een hack, datalek of ransomware-aanval. De bestuurder wordt pas persoonlijk aangesproken via een van de wettelijke routes hieronder. Meer over de algemene regels leest u bij bestuurdersaansprakelijkheid.

Interne aansprakelijkheid tegenover de vennootschap

Iedere bestuurder is tegenover de rechtspersoon gehouden tot een behoorlijke vervulling van zijn taak (art. 2:9 BW). Volgens de Hoge Raad is daarvoor een ernstig verwijt nodig, te beoordelen naar alle omstandigheden van het geval (HR 10 januari 1997, Staleman/Van de Ven, ECLI:NL:HR:1997:ZC2243).

Relevante omstandigheden zijn onder meer de aard van de activiteiten, de risico’s die daaruit voortvloeien, de taakverdeling binnen het bestuur en het inzicht en de zorgvuldigheid die van een bestuurder in die situatie mogen worden verwacht. Handelen in strijd met de wet of de statuten kan een ernstig verwijt opleveren. Zie ook bestuurdersaansprakelijkheid bij een bv.

Externe aansprakelijkheid tegenover derden

Klanten, leveranciers of andere derden kunnen een bestuurder aanspreken op grond van onrechtmatige daad (art. 6:162 BW). Ook dan geldt de drempel van een persoonlijk ernstig verwijt (HR 8 december 2006, Ontvanger/Roelofsen, ECLI:NL:HR:2006:AZ0758).

In de praktijk is die drempel hoog. Derden richten hun claim na een datalek daarom meestal op de organisatie zelf. Lees meer over externe bestuurdersaansprakelijkheid en over aansprakelijkheid bij datalekken.

Aansprakelijkheid bij faillissement

Gaat een bv na een aanval failliet, dan kan de curator de bestuurders aanspreken voor het boedeltekort als zij hun taak kennelijk onbehoorlijk hebben vervuld en dat een belangrijke oorzaak van het faillissement is (art. 2:248 BW). Dat gaat verder dan een ernstig verwijt: geen redelijk denkend bestuurder had onder dezelfde omstandigheden zo gehandeld.

Wat vraagt de Cyberbeveiligingswet van bestuurders?

Het bestuur van een entiteit die onder de Cbw valt, moet de cyberbeveiligingsmaatregelen goedkeuren en toezien op de uitvoering ervan. Iedere bestuurder moet daarnaast aantoonbaar voldoende kennis van cyberrisico’s hebben.

De Cbw zet de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) om en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De bestuurdersplichten staan in art. 24 Cbw, dat art. 20 NIS2 uitvoert. Volgens de toelichting bij het wetsvoorstel moet iedere bestuurder zijn kennis aantonen met een certificaat van een training en die kennis bijhouden. Bij een bv of nv met niet-uitvoerende bestuurders rusten deze plichten op de uitvoerende bestuurders; voor de raad van commissarissen gelden ze niet.

Valt uw organisatie onder de Cbw?

Dat hangt af van de sector en de omvang. De wet onderscheidt essentiële en belangrijke entiteiten, in sectoren als energie, vervoer, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, ICT-dienstverlening, overheid, post, afvalbeheer, levensmiddelen en bepaalde maakindustrie.

Meestal vallen middelgrote en grote ondernemingen in die sectoren eronder; voor sommige diensten geldt de wet ongeacht de omvang. Essentiële entiteiten krijgen toezicht vooraf en achteraf, belangrijke entiteiten vooral toezicht achteraf. Het toezicht ligt per sector bij onder meer de RDI, de ILT, DNB, de AFM en de IGJ.

Welke maatregelen moet de organisatie nemen?

De organisatie moet passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico’s voor haar netwerk- en informatiesystemen te beheersen. Het Cyberbeveiligingsbesluit werkt dat uit.

• Risicoanalyse en beleid voor informatiebeveiliging.
• Incidentbehandeling, back-ups en bedrijfscontinuïteit.
• Beveiliging van de toeleveringsketen, ook in contracten met leveranciers.
• Toegangsbeheer, onder meer met meerfactorauthenticatie waar passend.
• Training van medewerkers en periodieke toetsing van de effectiviteit.

Binnen welke termijnen moet een incident worden gemeld?

Een significant incident meldt u gefaseerd: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en uiterlijk een maand later een eindverslag. Deze termijnen volgen uit art. 23 NIS2 en zijn in de Cbw overgenomen.

Niet elk incident is significant; de criteria staan in het Cyberbeveiligingsbesluit en sectorale regels. Zijn er persoonsgegevens getroffen, dan geldt daarnaast de meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur (art. 33 AVG). Zie de uitleg van de Autoriteit Persoonsgegevens.

Welke sancties kunnen volgen?

De toezichthouder kan de organisatie een bestuurlijke boete of een last onder dwangsom opleggen. De NIS2-richtlijn verplicht lidstaten een boetemaximum in te stellen van ten minste € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en ten minste € 7 miljoen of 1,4% voor belangrijke entiteiten, als dat hoger is (art. 34 NIS2). Dat zijn minimumeisen aan het maximum; de toezichthouder stemt de hoogte van een boete af op de ernst van de overtreding.

Voor essentiële entiteiten schrijft de NIS2-richtlijn als uiterste middel ook een maatregel tegen bestuurders voor: blijft de organisatie een opgedragen maatregel negeren, dan moet het mogelijk zijn een verantwoordelijke bestuurder tijdelijk te verbieden leidinggevende taken uit te oefenen (art. 32 lid 5 NIS2). Over het verschil tussen boete, dwangsom en straf leest u meer in het verschil tussen een boete, een dwangsom en een strafrechtelijke sanctie.

Een boete van een toezichthouder treft in beginsel de organisatie. Of de organisatie die boete daarna op de bestuurder kan verhalen, beoordeelt de rechter weer via de maatstaf van art. 2:9 BW.

Hoe toetst de rechter het handelen van het bestuur?

De rechter kijkt naar wat het bestuur wist of had moeten weten en wat het vervolgens deed. Wie aantoonbaar risico’s in kaart bracht, maatregelen nam en het incident goed afhandelde, maakt een sterke verdediging.

• Waren de risico’s bekend, bijvoorbeeld uit audits, pentesten of waarschuwingen van de IT-afdeling?
• Heeft het bestuur maatregelen goedgekeurd en budget vrijgemaakt die passen bij de omvang en de risico’s?
• Is er toezicht gehouden op de uitvoering, en staat dat in notulen of rapportages?
• Zijn na het incident de wettelijke meldtermijnen gehaald en is de schade beperkt?

Na een ransomware-aanval spelen ook strafrechtelijke vragen, bijvoorbeeld rond het betalen van losgeld; zie ransomwarezaken en de rol van de ondernemer.

Waar let u als bestuurder op?

• Stel vast of uw organisatie onder de Cbw valt en of zij zich bij de toezichthouder moet registreren.
• Laat het bestuur het cyberbeveiligingsbeleid formeel goedkeuren en leg dat vast in een besluit.
• Volg de verplichte training en bewaar het certificaat.
• Laat minstens jaarlijks rapporteren over incidenten, kwetsbaarheden en de voortgang van maatregelen.
• Controleer of uw bestuurdersaansprakelijkheidsverzekering en cyberverzekering de risico’s dekken; boetes zijn vaak uitgesloten.

Waar let u op als aandeelhouder of commissaris?

• Vraag het bestuur om een periodieke rapportage over cyberrisico’s en naleving van de Cbw.
• Ga na of de taakverdeling binnen het bestuur over informatiebeveiliging is vastgelegd.
• Beoordeel na een incident tijdig of er grond is om een bestuurder aan te spreken; een vordering uit art. 2:9 BW verjaart in de regel vijf jaar na bekendheid met schade en aansprakelijke persoon (art. 3:310 BW).
• Let op dat een decharge bij de vaststelling van de jaarrekening alleen dekt wat uit de stukken bekend was.

Ook medewerkers zijn een bron van cyberrisico’s; lees daarover cybercrime-risico’s voor werknemers.

Wat kunnen wij voor u doen bij bestuurdersaansprakelijkheid na een cyberaanval?

• Beoordelen of uw organisatie onder de Cbw valt en welke bestuurdersplichten gelden.
• Opstellen van bestuursbesluiten, een bestuursreglement en leverancierscontracten met beveiligingseisen.
• Begeleiden van meldingen aan de toezichthouder en de Autoriteit Persoonsgegevens binnen de termijnen.
• Verweer voeren tegen een aansprakelijkstelling door de vennootschap, een curator of derden.
• Procederen tegen een boete of maatregel van de toezichthouder; zie ook onze pagina’s ondernemingsrecht advocaat en advocaat aansprakelijkheidsrecht.

Samengevat

• Persoonlijke aansprakelijkheid na een cyberaanval vereist een ernstig verwijt (art. 2:9 en 6:162 BW).
• De Cbw geldt sinds 15 augustus 2026 en verplicht het bestuur maatregelen goed te keuren, toezicht te houden en training te volgen (art. 24 Cbw).
• Significante incidenten meldt u binnen 24 uur, 72 uur en een maand; datalekken binnen 72 uur bij de AP.
• Goed vastgelegde besluiten en rapportages zijn de beste verdediging van een bestuurder.

Veelgestelde vragen

Is een bestuurder automatisch aansprakelijk als de organisatie wordt gehackt?

Nee. Er moet sprake zijn van een ernstig verwijt; een aanval die ondanks redelijke maatregelen slaagt, leidt niet tot persoonlijke aansprakelijkheid.

Kan het bestuur de verantwoordelijkheid bij de IT-afdeling leggen?

De uitvoering wel, de verantwoordelijkheid niet. Onder art. 24 Cbw moet het bestuur de maatregelen zelf goedkeuren en op de uitvoering toezien.

Gelden de Cbw-plichten ook voor commissarissen?

Nee, volgens de toelichting bij art. 24 Cbw rusten ze op het bestuur. Commissarissen houden wel toezicht op het bestuur volgens Boek 2 BW (art. 2:250 BW).

Is een ISO 27001-certificaat verplicht?

Nee, de Cbw schrijft geen bepaalde certificering voor. Een certificaat als ISO 27001 of, in de zorg, NEN 7510 kan wel helpen aantonen dat de organisatie passende maatregelen heeft genomen.