Two European rules moved cybersecurity from the IT department to the boardroom — in plain language: what changed, what it means for the people at this table, and what we suggest putting in place. Twee Europese regels verplaatsten cyberbeveiliging van de IT-afdeling naar de bestuurskamer — in gewone taal: wat er veranderde, wat het betekent voor de mensen aan deze tafel, en wat wij aanbevelen te regelen.
Until now, a cyber incident was an IT failure with a business consequence. NIS2 changes the subject of the sentence. NIS2 requires the management body to approve the cybersecurity risk measures and oversee them, and it can be held liable when it does not. In the Netherlands the Cbw has been in force since 15 August 2026, for about 8,000 organisations. DORA has applied directly to banks, insurers and investment firms since 17 January 2025, and brings their critical ICT providers under EU oversight. Delegating the work is allowed. Delegating the responsibility is not.
Business impact: this is a governance question before it is a technical one. Regulators can impose fines (NIS2 sets maximum fines of at least €10M or 2% of worldwide turnover for essential entities, €7M or 1.4% for important ones), order remedies, and for essential entities can temporarily bar individuals from management roles. “We hired a good CISO” is not a defence if the board never saw, questioned or approved what that person did.
Tot nu toe was een cyberincident een IT-storing met een bedrijfsgevolg. NIS2 verandert het onderwerp van de zin. NIS2 verplicht het bestuur de maatregelen voor cyberrisico's goed te keuren en erop toe te zien, en het kan aansprakelijk worden gesteld als het dat niet doet. In Nederland geldt sinds 15 augustus 2026 de Cbw, voor ruim 8.000 organisaties. DORA geldt sinds 17 januari 2025 rechtstreeks voor banken, verzekeraars en beleggingsondernemingen, en brengt hun kritieke ICT-leveranciers onder EU-toezicht. Het werk delegeren mag. De verantwoordelijkheid delegeren niet.
Bedrijfsimpact: dit is een governancevraag voordat het een technische vraag is. Toezichthouders kunnen boetes opleggen (NIS2 stelt het maximum op minstens €10 mln of 2% van de wereldwijde omzet voor essentiële entiteiten, €7 mln of 1,4% voor belangrijke), herstelmaatregelen afdwingen, en bij essentiële entiteiten personen tijdelijk uit bestuursfuncties weren. “We hebben een goede CISO aangenomen” is geen verweer als het bestuur nooit heeft gezien, bevraagd of goedgekeurd wat die persoon deed.
An outside researcher, journalist or plaintiff's lawyer can now use AI to comb public filings, press releases and social media for evidence that a board approved nothing and asked no questions, building a liability case in hours instead of weeks.Een journalist, onderzoeker of advocaat van een tegenpartij kan met AI snel openbare stukken, persberichten en sociale media doorzoeken naar bewijs dat het bestuur nooit iets goedkeurde of bevroeg, en zo binnen uren een aansprakelijkheidszaak opbouwen.
Management can use generative AI to produce a polished risk framework and training records that look complete, giving the board false assurance that oversight happened when nobody actually reviewed a single decision.De directie kan met generatieve AI een gepolijst risicokader en trainingsregistraties opstellen die compleet ogen, waardoor het bestuur denkt dat er toezicht is geweest terwijl niemand ook maar één besluit echt heeft beoordeeld.
AI can scan board minutes, approvals and reports for gaps and templated language that signals a rubber stamp, but it cannot replace the board asking hard questions and putting a named owner and dated approval on record.AI kan notulen, goedkeuringen en rapporten scannen op hiaten en sjabloontaal die op een blinde goedkeuring wijzen, maar het bestuur stelt zelf de kritische vragen en legt een eigenaar met naam en datum vast.
A significant incident is no longer something you disclose when the dust settles. NIS2 requires an early warning within 24 hours of becoming aware, an incident notification within 72 hours and a final report within one month; in the Netherlands to NCSC or the sector CSIRT. DORA asks financial entities to classify promptly, then send an initial notification within 4 hours of classifying an incident as major (at most 24 hours after becoming aware), an intermediate report within 72 hours and a final report within one month. Thresholds and recipients depend on your regime — worth having legal confirm that in advance, not on the day.
Business impact: twenty-four hours is shorter than it sounds. It has to cover detecting the incident, deciding it is “significant”, getting the facts straight enough to write down, and finding the person authorised to send it — possibly at night, possibly on a weekend. Companies that have not rehearsed this often miss the window or report wrongly, and a late or inaccurate notification can become a second offence on top of the incident.
Een significant incident is niet langer iets dat u meldt als het stof is neergedaald. NIS2 vraagt een vroege waarschuwing binnen 24 uur nadat u ervan weet, een incidentmelding binnen 72 uur en een eindrapport binnen een maand; in Nederland aan het NCSC of het sectorale CSIRT. DORA vraagt financiële instellingen snel te classificeren, en dan een eerste melding binnen 4 uur nadat het incident als ernstig is geclassificeerd (uiterlijk 24 uur nadat u ervan weet), een tussentijds rapport binnen 72 uur en een eindrapport binnen een maand. Drempels en ontvangers hangen af van uw regime — laat juridische zaken dat vooraf bevestigen, niet op de dag zelf.
Bedrijfsimpact: vierentwintig uur is korter dan het klinkt. Daarin moet het incident worden ontdekt, worden besloten dat het “significant” is, moeten de feiten voldoende op een rij staan om ze op te schrijven, en moet de persoon worden gevonden die bevoegd is om te melden — mogelijk 's nachts, mogelijk in het weekend. Bedrijven die dit niet hebben geoefend, missen vaak de termijn of melden verkeerd, en een late of onjuiste melding kan een tweede overtreding worden bovenop het incident.
AI can generate a convincing fake regulator confirmation or a spoofed legal-counsel email during the chaos of the 24-hour window, delaying or corrupting the real notification while the response team is stretched thin and racing the clock.AI kan een overtuigend nepbericht van de toezichthouder of een vervalste e-mail van juridische zaken opstellen tijdens de chaos van het 24-uursvenster, waardoor de echte melding vertraagd of verstoord raakt terwijl het team tegen de klok werkt.
Under time pressure, staff paste confidential incident details, customer data and breach specifics into a public AI chatbot to draft the notification quickly, handing sensitive information about the incident to a third party outside company control.Onder tijdsdruk plakken medewerkers vertrouwelijke incidentdetails, klantgegevens en inbraakgegevens in een openbare AI-chatbot om de melding snel op te stellen, en geven zo gevoelige incidentinformatie door aan een derde partij buiten ons toezicht.
AI can pre-fill the notification template and pull a timeline from logs in minutes, saving time inside the deadline, but it is still worth having a named person verify every fact before it goes to the regulator.AI kan het meldsjabloon vast invullen en een tijdlijn uit de logs halen, wat tijd bespaart binnen de termijn, maar laat iemand met naam elk feit controleren voordat het naar de toezichthouder gaat.
Both rules make you responsible for the security of the parties you depend on: the software vendor, the hosting provider, the payroll bureau, the managed-service partner. You are expected to know who they are, to assess their risk, to put obligations in the contract, and — under DORA in particular — to have an exit plan for the ones you cannot afford to lose. When their weakness becomes your incident, “it was the supplier” is an explanation, not an excuse.
Business impact: most organisations cannot produce a complete list of their ICT suppliers today, let alone say which contracts contain security, audit and notification clauses. Building that register is unglamorous procurement and legal work. It is also the first thing a regulator asks for after an incident that started at a third party.
Beide regels maken u verantwoordelijk voor de beveiliging van de partijen waarvan u afhankelijk bent: de softwareleverancier, de hostingpartij, het salarisbureau, de managed-servicepartner. U wordt geacht te weten wie het zijn, hun risico te beoordelen, verplichtingen in het contract vast te leggen en — vooral onder DORA — een exitplan te hebben voor de partijen die u niet kunt missen. Als hun zwakte uw incident wordt, is “het lag bij de leverancier” een verklaring, geen excuus.
Bedrijfsimpact: de meeste organisaties kunnen vandaag geen volledige lijst van hun ICT-leveranciers produceren, laat staan zeggen welke contracten clausules over beveiliging, audit en melding bevatten. Dat register opbouwen is onopvallend inkoop- en juridisch werk. Het is ook het eerste waar een toezichthouder om vraagt na een incident dat bij een derde partij begon.
AI lets an attacker scan hundreds of a company's suppliers at once, quickly finding the smallest and least-defended one, then writes tailored phishing for that supplier's staff in minutes instead of days of manual research.AI laat een aanvaller honderden leveranciers tegelijk scannen, snel de zwakst beveiligde vinden, en schrijft binnen minuten phishing op maat voor het personeel van die leverancier, waar vroeger dagen handmatig onderzoek voor nodig waren.
Suppliers now generate entire security questionnaires with AI, producing polished, compliant-sounding answers about their controls that were never checked against what the supplier actually does, making a weak link look strong on paper.Leveranciers laten hun hele beveiligingsvragenlijst nu door AI invullen, met gepolijste, compliant klinkende antwoorden over maatregelen die nooit zijn getoetst aan wat de leverancier werkelijk doet, waardoor een zwakke schakel sterk oogt op papier.
AI can cross-check a supplier's questionnaire against breach databases and its own public infrastructure, flagging claims that do not hold up, but the fix stays the same: contract clauses, audits and an exit plan for the ones that fail.AI kan de antwoorden van een leverancier toetsen aan lekdatabases en de eigen zichtbare infrastructuur, en claims markeren die niet kloppen, maar de oplossing blijft hetzelfde: contractclausules, audits en een exitplan voor wie faalt.
The rules do not accept a policy document as evidence. NIS2 requires members of the management body to follow cybersecurity training so they can judge the risks they are approving; the Cbw gives them two years, until August 2028. Testing is how you show the measures work: does the backup restore, does the failover work, does the incident process hold under pressure. Financial entities face the strongest version under DORA — regular resilience testing, and for the larger ones advanced threat-led testing in which specialists attack the live organisation with the board's knowledge.
Business impact: this is where the cost sits, and where the value sits. An untested control is a belief. Testing converts beliefs into either confidence or a to-do list, and both are worth more than the belief. For the board the practical change is small: training on the calendar, and test results — not assurances — on the agenda.
De regels accepteren een beleidsdocument niet als bewijs. NIS2 verplicht bestuursleden een cyberbeveiligingstraining te volgen, zodat zij de risico's die zij goedkeuren kunnen beoordelen; de Cbw geeft hun daarvoor twee jaar, tot augustus 2028. Met testen laat u zien dat de maatregelen werken: herstelt de back-up, werkt de failover, houdt het incidentproces stand onder druk. Financiële instellingen krijgen onder DORA de zwaarste variant — periodieke weerbaarheidstesten, en voor de grotere partijen geavanceerde dreigingsgestuurde testen waarbij specialisten de echte organisatie aanvallen, met medeweten van het bestuur.
Bedrijfsimpact: hier zitten de kosten, en hier zit de waarde. Een ongeteste maatregel is een overtuiging. Testen zet overtuigingen om in vertrouwen of in een actielijst, en beide zijn meer waard dan de overtuiging. Voor het bestuur is de praktische verandering klein: training in de kalender, en testresultaten — geen geruststellingen — op de agenda.
Attackers already use AI to profile which companies show no evidence of real drills or tested restores in public filings and job postings, and target those first, expecting a slower, more improvised response.Aanvallers gebruiken AI al om te bepalen welke bedrijven in openbare stukken en vacatures geen bewijs tonen van echte oefeningen of een getest herstel, en kiezen die het eerst, in de verwachting van een tragere, geïmproviseerde reactie.
Staff or vendors can use AI to auto-generate resilience-test reports and training records that read as thorough but describe an exercise that never actually happened, leaving the board with proof of paperwork, not proof of readiness.Medewerkers of leveranciers kunnen met AI testrapporten en trainingsregistraties opstellen die grondig ogen maar een oefening beschrijven die nooit heeft plaatsgevonden, zodat het bestuur bewijs van papierwerk krijgt, geen bewijs van paraatheid.
AI can compare a test report's claimed timings and outcomes against system logs to catch a copy-pasted or fabricated exercise, but the requirement itself does not change: real training, a real restore, results on the board agenda.AI kan de beweerde tijden en uitkomsten van een testrapport vergelijken met systeemlogs om een gekopieerde of verzonnen oefening te ontmaskeren, maar de eis zelf verandert niet: echte training, een echt herstel, resultaten op de agenda.
We suggest settling questions 1 and 2 with legal now, not during an incident. A financial entity reports under DORA; a breach of personal data adds a GDPR report in parallel. Indicative, not a legal deadline list or legal advice.
Wij raden aan vraag 1 en 2 nu met juristen te beantwoorden, niet tijdens een incident. Een financiële entiteit meldt onder DORA; bij een datalek komt er parallel een AVG-melding bij. Indicatief: geen wettelijke deadlinelijst en geen juridisch advies.
| Control | Covers | In one line |
|---|---|---|
| Scope | All four | Confirm with legal which regime applies: essential or important entity under the Cbw, financial entity under DORA, or both. Cbw entities must register with NCSC. Everything else follows from this. |
| Named owner | Accountable (01) | One executive accountable for cybersecurity by name, reporting to the board on a fixed cadence. Not a committee. |
| Risk framework | Accountable (01) | The set of measures, the reasoning behind them, and the board's approval — written down and dated. |
| Reporting drill | The clock (02) | An incident classification, a decision tree for “significant”, pre-drafted notifications, and a rehearsal against the clock at least yearly. |
| Supplier register | Suppliers (03) | Every ICT supplier, its criticality, its contract clauses on security, audit and notification, and an exit plan for the critical ones. |
| Board training | Prove it (04) | Cybersecurity training for the management body, recorded and repeated. Also the fastest way to make the other rows land. |
| Testing programme | Prove it (04) | A schedule of tests — restores, failovers, incident exercises, and for financial entities threat-led testing — with results reported to the board. |
| Evidence | All four | Minutes, approvals, test reports, training records, supplier assessments. If it is not documented, to a regulator it did not happen. |
| Maatregel | Dekt | In één zin |
|---|---|---|
| Reikwijdte | Alle vier | Bevestig met juridische zaken welk regime geldt: essentiële of belangrijke entiteit onder de Cbw, financiële instelling onder DORA, of beide. Cbw-entiteiten moeten zich registreren bij het NCSC. Alles volgt hieruit. |
| Eigenaar bij naam | Aansprakelijk (01) | Eén bestuurder die bij naam verantwoordelijk is voor cyberbeveiliging en op vaste momenten aan het bestuur rapporteert. Geen commissie. |
| Risicokader | Aansprakelijk (01) | De set maatregelen, de onderbouwing en de goedkeuring van het bestuur — opgeschreven en gedateerd. |
| Meldoefening | De klok (02) | Een incidentclassificatie, een beslisboom voor “significant”, voorbereide meldingen, en minstens jaarlijks een oefening op de klok. |
| Leveranciersregister | Leveranciers (03) | Elke ICT-leverancier, de kritikaliteit, de contractclausules over beveiliging, audit en melding, en een exitplan voor de kritieke. |
| Bestuurstraining | Bewijs het (04) | Cyberbeveiligingstraining voor het bestuur, vastgelegd en herhaald. Ook de snelste manier om de andere rijen te laten landen. |
| Testprogramma | Bewijs het (04) | Een planning van testen — herstel, failover, incidentoefeningen, en voor financiële instellingen dreigingsgestuurde testen — met resultaten aan het bestuur. |
| Bewijs | Alle vier | Notulen, goedkeuringen, testrapporten, trainingsregistraties, leveranciersbeoordelingen. Wat niet is vastgelegd, is voor een toezichthouder niet gebeurd. |
Being in scope is a fact for most mid-sized and large organisations in the covered sectors. The risk is being in scope and not knowing it.Onder de regels vallen is een feit voor de meeste middelgrote en grote organisaties in de betrokken sectoren. Het risico is eronder vallen zonder het te weten.
Fines that scale with turnover, remedial orders, temporary bans on management functions, and a public enforcement decision on top of the incident itself.Boetes die meeschalen met de omzet, herstelmaatregelen, tijdelijke uitsluiting van bestuursfuncties, en een openbaar handhavingsbesluit bovenop het incident zelf.
With scope confirmed, a named owner, an approved framework and rehearsed reporting, what remains is the incident itself — which the other briefings address.Met bevestigde reikwijdte, een eigenaar bij naam, een goedgekeurd kader en geoefend melden blijft het incident zelf over — en daar gaan de andere briefings over.
The law names the management body. Legal confirms scope and deadlines; the CEO owns that it gets done.De wet noemt het bestuur. Juridische zaken bevestigt reikwijdte en termijnen; de CEO is eigenaar van de uitvoering.
Scope decision dated and signed (yes / no) · months since the last board training · days since the last reporting rehearsal · % of critical ICT suppliers with contract clauses and an exit plan.Reikwijdtebesluit gedateerd en ondertekend (ja / nee) · maanden sinds de laatste bestuurstraining · dagen sinds de laatste meldoefening · % kritieke ICT-leveranciers met contractclausules en exitplan.
“Failure to meet NIS2 or DORA obligations leads to fines, remedial orders and personal liability for the management body, and turns any security incident into a compliance breach as well.”“Het niet nakomen van NIS2- of DORA-verplichtingen leidt tot boetes, herstelmaatregelen en persoonlijke aansprakelijkheid van het bestuur, en maakt van elk beveiligingsincident ook een compliance-overtreding.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management measures approved and overseen by the management body, incident reporting (early warning within 24 hours of becoming aware, notification within 72 hours, final report within one month), supply chain security, and training for management. In the Netherlands via the Cbw: registration with NCSC. | A supplier's own NIS2 status does not discharge your duty. Ask for their measures, their incident notification commitment to you, and who their regulator is. | The incident and the notification are judged separately. A late or missing notification is its own offence, even if the incident was handled well. |
| DORA | An ICT risk framework, incident classification and reporting, resilience testing including threat-led testing for larger firms, and a register of ICT third-party arrangements with mandatory contract clauses and exit strategies. | Critical ICT providers fall under direct oversight. DORA requires your register of information to list them and the contract to contain the mandatory clauses. A report does not replace the clauses. | Major ICT incidents go to DNB or AFM: initial notification within 4 hours of classifying (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. The classification criteria decide what counts; worth writing them down before you need them. |
| SOC 2 | Nothing directly — it is an assurance report, not a law. But NIS2 and DORA expect you to assess suppliers, and SOC 2 is the evidence most suppliers offer. | Read the scope, the period, the exceptions and the complementary user entity controls. A clean SOC 2 covers what was tested, not everything you rely on. | An incident at a SOC 2 supplier can appear as an exception in their next report — long after your notification deadline passed. Contract clauses, not the report, get you told in time. |
| ISAE 3402 | Nothing directly — same logic as SOC 2, and common in Europe for outsourced financial processes. | Check that the controls tested are the ones your compliance depends on, and that the period covers your reporting year. | ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. Your own notification duty runs regardless, and much sooner. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheersmaatregelen die door het bestuur zijn goedgekeurd en worden bewaakt, incidentmelding (vroege waarschuwing binnen 24 uur nadat u ervan weet, melding binnen 72 uur, eindrapport binnen een maand), ketenbeveiliging, en training voor het bestuur. In Nederland via de Cbw: registratie bij het NCSC. | De eigen NIS2-status van een leverancier ontslaat u niet van uw plicht. Vraag naar hun maatregelen, hun meldtoezegging aan u, en wie hun toezichthouder is. | Het incident en de melding worden apart beoordeeld. Een te late of ontbrekende melding is een eigen overtreding, ook als het incident goed is afgehandeld. |
| DORA | Een ICT-risicokader, incidentclassificatie en -melding, weerbaarheidstesten inclusief dreigingsgestuurde testen voor grotere instellingen, en een register van ICT-derdenovereenkomsten met verplichte contractclausules en exitstrategieën. | Kritieke ICT-leveranciers vallen onder direct toezicht. DORA verplicht u ze in uw informatieregister op te nemen en de verplichte clausules in het contract vast te leggen. Een rapport vervangt de clausules niet. | Ernstige ICT-incidenten gaan naar DNB of de AFM: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur nadat u ervan weet), tussentijds rapport binnen 72 uur, eindrapport binnen een maand. De classificatiecriteria bepalen wat meetelt; leg ze vast voordat u ze nodig hebt. |
| SOC 2 | Niets rechtstreeks — het is een assurancerapport, geen wet. Maar NIS2 en DORA verwachten dat u leveranciers beoordeelt, en SOC 2 is het bewijs dat de meeste leveranciers aanbieden. | Lees de reikwijdte, de periode, de afwijkingen en de aanvullende maatregelen die van u als gebruiker worden verwacht. Een schoon SOC 2-rapport dekt wat is getest, niet alles waarop u vertrouwt. | Een incident bij een SOC 2-leverancier kan als afwijking in hun volgende rapport verschijnen — lang nadat uw meldtermijn is verstreken. Contractclausules, niet het rapport, zorgen dat u tijdig wordt geïnformeerd. |
| ISAE 3402 | Niets rechtstreeks — dezelfde logica als SOC 2, en in Europa gebruikelijk voor uitbestede financiële processen. | Controleer of de geteste maatregelen de maatregelen zijn waarvan uw compliance afhangt, en of de periode uw rapportagejaar dekt. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. Uw eigen meldplicht loopt onverminderd door, en veel eerder. |
Checked against: NIS2 Art. 4, 20, 23, 34, 41 and recital 28 (2022), DORA Art. 2 and 64 (2022), Delegated Regulation (EU) 2025/301 (2025), GDPR Art. 33–34, NCSC-NL on the Cbw (Aug 2026), Digitale Overheid, Cbw duties (Sep 2026), DNB and AFM on DORA reporting (2026) · September 2026.
Gecontroleerd tegen: NIS2 art. 4, 20, 23, 34, 41 en overweging 28 (2022), DORA art. 2 en 64 (2022), Gedelegeerde Verordening (EU) 2025/301 (2025), AVG art. 33–34, NCSC over de Cbw (aug 2026), Digitale Overheid, verplichtingen Cbw (sep 2026), DNB en AFM over DORA-meldingen (2026) · september 2026.