Bestuurdersaansprakelijkheid bij cyberaanvallen: wat eisen de Cyberbeveiligingswet en de rechter?

Gepubliceerd op 5 november 2025 · Laatst bijgewerkt op 30 oktober 2026

Een bestuurder is na een cyberaanval alleen persoonlijk aansprakelijk als hem een ernstig verwijt kan worden gemaakt, bijvoorbeeld omdat hij bekende risico’s welbewust liet liggen. Sinds de Cyberbeveiligingswet (Cbw) op 15 augustus 2026 in werking is getreden, heeft het bestuur van essentiële en belangrijke entiteiten daarnaast eigen wettelijke plichten, en schending daarvan weegt mee bij die beoordeling.

Hieronder leest u welke normen de rechter hanteert, wat de Cbw van bestuurders vraagt, welke sancties de toezichthouder kan opleggen en hoe u als bestuurder aantoont dat u zorgvuldig heeft gehandeld.

Wanneer is een bestuurder persoonlijk aansprakelijk na een cyberaanval?

Alleen als de bestuurder persoonlijk een ernstig verwijt treft. Een gewone inschattingsfout, of een aanval die ondanks redelijke maatregelen slaagt, is daarvoor niet genoeg.

Hoofdregel is dat de rechtspersoon zelf aansprakelijk is voor schade na een hack, datalek of ransomware-aanval. De bestuurder wordt pas persoonlijk aangesproken via een van de drie wettelijke routes hieronder.

Interne aansprakelijkheid tegenover de vennootschap

Iedere bestuurder is tegenover de rechtspersoon gehouden tot een behoorlijke vervulling van zijn taak (art. 2:9 BW). In het arrest Staleman/Van de Ven van 10 januari 1997 (ECLI:NL:HR:1997:ZC2243) bepaalde de Hoge Raad dat daarvoor een ernstig verwijt nodig is, te beoordelen naar alle omstandigheden van het geval.

Die omstandigheden zijn onder meer de aard van de activiteiten en de risico’s die daaruit voortvloeien, de taakverdeling binnen het bestuur, eventuele richtlijnen voor het bestuur en de informatie die de bestuurder had of had moeten hebben. Maatstaf is het inzicht en de zorgvuldigheid die van een geschikte, nauwgezette bestuurder mogen worden verwacht. Voor cyberrisico’s betekent dit: hoe groter de afhankelijkheid van IT en hoe duidelijker de waarschuwingen, hoe meer van het bestuur wordt verwacht. Zie ook bestuurdersaansprakelijkheid bij een bv.

Externe aansprakelijkheid tegenover derden

Klanten, leveranciers of andere derden kunnen een bestuurder aanspreken op grond van onrechtmatige daad (art. 6:162 BW). De Hoge Raad oordeelde op 8 december 2006 (Ontvanger/Roelofsen, ECLI:NL:HR:2006:AZ0758) dat een bestuurder in het algemeen alleen onrechtmatig handelt tegenover een schuldeiser van de vennootschap als hem een voldoende ernstig verwijt kan worden gemaakt.

In de praktijk is die drempel hoog. Derden richten hun claim na een datalek daarom meestal op de organisatie zelf. Lees meer over externe bestuurdersaansprakelijkheid en over aansprakelijkheid bij datalekken.

Aansprakelijkheid bij faillissement

Gaat een bv na een aanval failliet, dan kan de curator de bestuurders aanspreken voor het boedeltekort als zij hun taak kennelijk onbehoorlijk hebben vervuld en dat een belangrijke oorzaak van het faillissement is (art. 2:248 BW). Dat gaat verder dan een ernstig verwijt: geen redelijk denkend bestuurder had onder dezelfde omstandigheden zo gehandeld.

Wat vraagt de Cyberbeveiligingswet van bestuurders?

Het bestuur van een entiteit die onder de Cbw valt, moet de cyberbeveiligingsmaatregelen goedkeuren en toezien op de uitvoering ervan. Iedere bestuurder moet daarnaast aantoonbaar voldoende kennis van cyberrisico’s hebben. De uitvoering kan het bestuur bij de IT-afdeling beleggen, de verantwoordelijkheid niet.

De Cbw zet de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) om en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De bestuurdersplichten staan in art. 24 Cbw, dat art. 20 NIS2 uitvoert. Volgens de toelichting bij het wetsvoorstel moet iedere bestuurder zijn kennis aantonen met een certificaat van een training en die kennis bijhouden. Bij een bv of nv met niet-uitvoerende bestuurders rusten deze plichten op de uitvoerende bestuurders; voor de raad van commissarissen gelden ze niet. Commissarissen houden wel toezicht op het bestuur volgens art. 2:250 BW.

Valt uw organisatie onder de Cbw?

Dat hangt af van de sector en de omvang. De wet onderscheidt essentiële en belangrijke entiteiten, in sectoren als energie, vervoer, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, ICT-dienstverlening, overheid, post, afvalbeheer, levensmiddelen en bepaalde maakindustrie.

Meestal vallen middelgrote en grote ondernemingen in die sectoren eronder; voor sommige diensten geldt de wet ongeacht de omvang. Essentiële entiteiten krijgen toezicht vooraf en achteraf, belangrijke entiteiten vooral toezicht achteraf. Het toezicht ligt per sector bij onder meer de RDI, de ILT, DNB, de AFM en de IGJ.

Welke maatregelen moet de organisatie nemen?

De organisatie moet passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico’s voor haar netwerk- en informatiesystemen te beheersen. Het Cyberbeveiligingsbesluit werkt dat uit.

• Risicoanalyse en beleid voor informatiebeveiliging.
• Incidentbehandeling, back-ups en bedrijfscontinuïteit.
• Beveiliging van de toeleveringsketen, ook in contracten met leveranciers.
• Toegangsbeheer, onder meer met meerfactorauthenticatie waar passend.
• Training van medewerkers en periodieke toetsing van de effectiviteit.

De Cbw schrijft geen bepaalde certificering voor. Een certificaat als ISO 27001 of, in de zorg, NEN 7510 kan wel helpen aantonen dat de organisatie passende maatregelen heeft genomen.

Binnen welke termijnen moet een incident worden gemeld?

Een significant incident meldt u gefaseerd. Deze termijnen volgen uit art. 23 NIS2 en zijn in de Cbw overgenomen. Raakt het incident persoonsgegevens, dan geldt daarnaast de meldplicht van de AVG.

Niet elk incident is significant; de criteria staan in het Cyberbeveiligingsbesluit en sectorale regels. Zie voor datalekken de uitleg van de Autoriteit Persoonsgegevens.

Welke sancties kunnen volgen?

De toezichthouder kan de organisatie een bestuurlijke boete of een last onder dwangsom opleggen. De NIS2-richtlijn verplicht lidstaten een boetemaximum in te stellen van ten minste € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en ten minste € 7 miljoen of 1,4% voor belangrijke entiteiten, als dat hoger is (art. 34 NIS2). Dat zijn minimumeisen aan het maximum; de toezichthouder stemt de hoogte van een boete af op de ernst van de overtreding.

Voor essentiële entiteiten schrijft de NIS2-richtlijn als uiterste middel ook een maatregel tegen bestuurders voor. Blijft de organisatie een opgedragen maatregel negeren, dan moet het mogelijk zijn een verantwoordelijke bestuurder tijdelijk te verbieden leidinggevende taken uit te oefenen (art. 32 lid 5 NIS2). Over het verschil tussen boete, dwangsom en straf leest u meer in het verschil tussen een boete, een dwangsom en een strafrechtelijke sanctie.

Een boete van een toezichthouder treft in beginsel de organisatie. Of de organisatie die boete daarna op de bestuurder kan verhalen, beoordeelt de rechter weer via de maatstaf van art. 2:9 BW.

Hoe toetst de rechter het handelen van het bestuur?

De rechter kijkt naar wat het bestuur wist of had moeten weten en wat het vervolgens deed. Dat zijn precies de omstandigheden uit het Staleman-arrest, toegepast op cyberrisico’s. Een uitspraak waarin een bestuurder persoonlijk aansprakelijk is gehouden voor een cyberaanval, hebben wij bij het schrijven van dit artikel niet gevonden.

• Waren de risico’s bekend, bijvoorbeeld uit audits, pentesten of waarschuwingen van de IT-afdeling?
• Heeft het bestuur maatregelen goedgekeurd en budget vrijgemaakt die passen bij de omvang en de risico’s?
• Is er toezicht gehouden op de uitvoering, en staat dat in notulen of rapportages?
• Zijn na het incident de wettelijke meldtermijnen gehaald en is de schade beperkt?

Na een ransomware-aanval spelen ook strafrechtelijke vragen, bijvoorbeeld rond het betalen van losgeld; zie ransomwarezaken en de rol van de ondernemer.

Wat legt u als bestuurder nu vast?

• Stel vast of uw organisatie onder de Cbw valt en of zij zich bij de toezichthouder moet registreren.
• Laat het bestuur het cyberbeveiligingsbeleid formeel goedkeuren en leg dat vast in een besluit.
• Volg de verplichte training en bewaar het certificaat.
• Laat minstens jaarlijks rapporteren over incidenten, kwetsbaarheden en de voortgang van maatregelen.
• Controleer of uw bestuurdersaansprakelijkheidsverzekering en cyberverzekering de risico’s dekken; boetes zijn vaak uitgesloten.

Wat vraagt u als aandeelhouder of commissaris van het bestuur?

• Een periodieke rapportage over cyberrisico’s en naleving van de Cbw.
• Een vastgelegde taakverdeling binnen het bestuur voor informatiebeveiliging.
• Na een incident: een tijdige beoordeling of er grond is om een bestuurder aan te spreken. Een vordering uit art. 2:9 BW verjaart in de regel vijf jaar na bekendheid met schade en aansprakelijke persoon (art. 3:310 BW).
• Let op dat een decharge bij de vaststelling van de jaarrekening alleen dekt wat uit de stukken bekend was.

Ook medewerkers zijn een bron van cyberrisico’s; lees daarover cybercrime-risico’s voor werknemers.

Wat kunnen wij doen bij cyberrisico’s in het bestuur?

• Beoordelen of uw organisatie onder de Cbw valt en welke bestuurdersplichten gelden.
• Bestuursbesluiten, een bestuursreglement en leverancierscontracten met beveiligingseisen opstellen.
• Meldingen aan de toezichthouder en de Autoriteit Persoonsgegevens binnen de termijnen begeleiden.
• Verweer voeren tegen een aansprakelijkstelling door de vennootschap, een curator of derden.
• Procederen tegen een boete of maatregel van de toezichthouder; zie ook onze pagina’s ondernemingsrecht advocaat en advocaat aansprakelijkheidsrecht.