Welke Rollen En Verantwoordelijkheden Vraagt NIS2?

Vraag in een willekeurige organisatie wie verantwoordelijk is voor NIS2, en u krijgt drie antwoorden: de IT-manager, de kwaliteitsmanager en niemand in het bijzonder. Dat is geen detail. De Cyberbeveiligingswet gaat er namelijk van uit dat verantwoordelijkheden aantoonbaar zijn belegd, en juist daar loopt het in de praktijk vast.

Sinds 15 augustus 2026 geldt de wet in Nederland. Voor de vraag naar NIS2 rollen en verantwoordelijkheden is één ding belangrijk om vooraf te weten: de wet verplicht u niet om een CISO aan te stellen. Wat de wet wel verlangt, is dat duidelijk is wie welke taak uitvoert, wie beslist en wie toezicht houdt, en dat u dat kunt laten zien.

Welke rollen en verantwoordelijkheden vraagt NIS2?

De Cyberbeveiligingswet benoemt maar één rol expliciet: het bestuur. Artikel 20 bepaalt dat het bestuur de maatregelen goedkeurt, toezicht houdt op de uitvoering en aantoonbaar scholing volgt over cyberrisico’s. Alle andere rollen volgen uit de praktijk: iemand moet de tien maatregelgebieden uit artikel 21 daadwerkelijk uitvoeren.

Dat geeft u vrijheid in de inrichting, maar geen vrijblijvendheid. Een toezichthouder die vraagt wie verantwoordelijk is voor het leveranciersbeleid of voor de meldbeslissing, verwacht een naam of een functie, geen afdeling. Onduidelijkheid over rollen is een van de meest voorkomende oorzaken van vertraging tijdens een incident.

Wat is de rol van het bestuur?

Het bestuur is eindverantwoordelijk en kan die verantwoordelijkheid niet wegdelegeren. Concreet betekent dit drie dingen: de maatregelen worden door het bestuur goedgekeurd, de uitvoering wordt gevolgd, en bestuurders volgen zelf scholing zodat zij cyberrisico’s kunnen beoordelen.

De consequenties zijn niet vrijblijvend. Bij essentiële entiteiten kan een bestuurder bij ernstige nalatigheid tijdelijk uit een leidinggevende functie worden geschorst, naast boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor de organisatie zelf. Meer daarover leest u bij bestuurdersaansprakelijkheid onder NIS2.

De scholingsverplichting wordt vaak onderschat. Het gaat niet om een technische cursus, maar om voldoende kennis om vragen te stellen en risico’s af te wegen. Leg vast wie wanneer welke scholing heeft gevolgd, want ook dat is een vorm van bewijs. De invulling staat beschreven bij training en cyberkennis voor het bestuur.

Moet u een CISO aanstellen?

Nee, NIS2 verplicht geen CISO. De wet noemt geen functietitels behalve het bestuur en schrijft geen organisatiestructuur voor. Wat wel nodig is, is dat iemand het overzicht houdt: het beleid actueel houden, de risicoanalyse bewaken, de meldketen coördineren en het bestuur voeden met informatie.

In grotere organisaties is dat vaak een CISO of een security officer. In kleinere organisaties kan een kwaliteitsmanager, controller of operationeel manager die rol vervullen, eventueel met externe ondersteuning. De titel doet er niet toe, de aantoonbaarheid wel. Zorg dat de rol is beschreven, dat er tijd voor is vrijgemaakt en dat de verantwoordelijke rechtstreeks toegang heeft tot het bestuur.

Wie doet wat per verplichting?

De onderstaande tabel verdeelt de verplichtingen over de betrokken rollen. Gebruik hem als vertrekpunt en pas de functiebenamingen aan op uw eigen organisatie.

De verdeling volgt de tien maatregelgebieden uit de wet. Wilt u de onderliggende eisen nalezen, kijk dan bij de tien maatregelen van artikel 21.

Waarom horen proceseigenaren centraal te staan?

Omdat zij zeggenschap hebben over het werk waar de maatregel op landt. Een toegangsbeleid dat door IT wordt bedacht zonder de proceseigenaar leidt tot rechten die niet kloppen, en tot uitzonderingen die niemand meer terugdraait.

Beleg daarom per maatregel de uitvoering bij de functionaris die het proces bestuurt: HR voor personeelsbeveiliging en screening, inkoop voor leveranciersafspraken, facilitair voor fysieke toegang, de directie voor continuïteitskeuzes. ICT-beheer levert de techniek die het besluit ondersteunt. Dit misverstand staat niet voor niets in het overzicht van veelgemaakte fouten bij NIS2-implementatie.

Welke rol heeft ICT-beheer?

ICT-beheer voert uit en levert bewijs. Denk aan het inrichten van multifactorauthenticatie, het beheren van back-ups, het uitvoeren van herstel, het aanleveren van logging en het technisch onderzoeken van incidenten. Dat is een grote rol, maar geen sturende rol.

Belangrijk is dat ICT-beheer meetgegevens levert waarmee de effectiviteit van maatregelen kan worden beoordeeld. Zonder die gegevens blijft de beoordeling een mening. Hoe u dat bewijs opbouwt en ordent, staat beschreven bij het aantonen van NIS2-compliance.

Wat wordt er van gewone medewerkers verwacht?

Minder dan vaak wordt gedacht, maar wel consequent. Medewerkers hoeven de wet niet te kennen. Zij moeten weten welke afspraken gelden, hoe zij een verdachte situatie melden en bij wie.

• Incidenten melden. Direct en zonder drempel, ook bij twijfel of het echt iets is.
• Accountgebruik. Persoonlijke accounts, geen gedeelde inloggegevens, multifactorauthenticatie waar die geldt.
• Omgaan met informatie. Weten welke gegevens gevoelig zijn en hoe die gedeeld mogen worden.
• Deelname aan bewustwording. Trainingen volgen en de uitkomsten toepassen in het dagelijks werk.
• Terugvalwerkwijze kennen. Weten wat te doen als een systeem niet beschikbaar is.

De meldbereidheid is hierbij het belangrijkst. Een organisatie waar mensen aarzelen om een fout te melden, verliest juist de uren die tellen voor de meldtermijn van 24 uur. Zie ook de aanpak bij cyberhygiëne en bewustwording.

Hoe legt u de rolverdeling aantoonbaar vast?

Werk met één overzicht waarin per maatregel staat wie eigenaar is, wie uitvoert en wie goedkeurt. Houd het simpel: een tabel in uw beveiligingsbeleid is voldoende, mits die actueel is en het bestuur hem heeft vastgesteld.

Zorg daarnaast dat de rollen terugkomen in de plannen waarin het echt telt. In uw incident response plan hoort te staan wie de meldbeslissing neemt, wie er buiten kantoortijden bereikbaar is en wie contact heeft met het CSIRT en de toezichthouder. Namen en functies, geen afdelingen.

Veelgestelde vragen over NIS2 rollen en verantwoordelijkheden

1. Verplicht NIS2 het aanstellen van een CISO?

Nee. De Cyberbeveiligingswet noemt geen functietitels behalve het bestuur en verplicht geen CISO. Wat wel moet, is dat verantwoordelijkheden aantoonbaar zijn belegd en dat iemand het overzicht bewaakt over beleid, risicoanalyse en meldketen. In kleinere organisaties kan dat een bestaande functionaris zijn.

2. Kan het bestuur de verantwoordelijkheid delegeren aan IT?

Nee. Artikel 20 legt de verantwoordelijkheid bij het bestuur: goedkeuren van de maatregelen, toezicht houden en aantoonbaar scholing volgen. Taken kunnen worden gedelegeerd, de eindverantwoordelijkheid niet. Bij essentiële entiteiten kan een bestuurder bij ernstige nalatigheid tijdelijk uit een leidinggevende functie worden geschorst.

3. Wie neemt de beslissing om een incident te melden?

Dat bepaalt u zelf, maar het moet vooraf zijn vastgelegd. In de praktijk werkt het goed als de verantwoordelijke voor informatiebeveiliging de melding voorbereidt en een aangewezen bestuurder of directielid besluit. Regel ook wie beslist buiten kantoortijden, want de vroege waarschuwing moet binnen 24 uur de deur uit.

4. Moeten alle medewerkers een NIS2-training volgen?

Cyberhygiëne en beveiligingstrainingen zijn een van de tien maatregelgebieden, dus bewustwording is verplicht. Dat betekent niet dat iedereen de wet moet kennen. Medewerkers moeten weten welke afspraken gelden, hoe zij incidenten melden en hoe zij met gevoelige informatie omgaan. Voor bestuurders geldt een aparte scholingsverplichting.

5. Hoe toont u aan dat verantwoordelijkheden zijn belegd?

Met een vastgesteld overzicht waarin per maatregel de eigenaar, de uitvoerder en de goedkeurder staan, aangevuld met bewijs dat die rollen ook echt worden ingevuld. Denk aan besluiten van het bestuur, verslagen van beoordelingen, deelnamelijsten van trainingen en de rolverdeling in het incident response plan.

Conclusie

NIS2 vraagt geen nieuw organogram, maar wel helderheid. Het bestuur beslist en houdt toezicht, één functionaris bewaakt het geheel, proceseigenaren voeren uit binnen hun eigen domein, ICT-beheer levert techniek en bewijs, en medewerkers passen de afspraken toe. Zodra die verdeling op papier staat en het bestuur haar heeft vastgesteld, verdwijnt het grootste deel van de onduidelijkheid.

Begin klein: maak het overzicht, laat het vaststellen en verwerk de rollen in beleid en incidentplan. Het NIS2 compliance pakket geeft die structuur, de 176 NIS2 document templates bevatten de beleidsstukken en registraties waarin de rolverdeling wordt vastgelegd, en de digitale Coach bewaakt dat beoordelingen, trainingen en herzieningen ook echt bij de juiste persoon terechtkomen.