Wat betekent “Goed bestuur” voor cyberveiligheid?

Volgens de wet dient een eigenaar zijn bedrijf goed te besturen. Met goed bestuur bedoelt de wetgever: transparantie, integriteit, een heldere missie en visie, ordelijke bedrijfsvoering en risicobeheersing.

De juridische basis hiervoor ligt in het Burgerlijk Wetboek (BW), Boek 2 – Rechtspersonenrecht, met name:

• • Artikel 2:8 BW, dat bepaalt dat bestuurders zich moeten gedragen naar de redelijkheid en billijkheid die de verhouding tussen bestuur, aandeelhouders en andere betrokkenen beheerst.
• Artikel 2:9 BW, dat stelt dat bestuurders hun taak naar behoren moeten vervullen en bij onbehoorlijk bestuur aansprakelijk kunnen worden gesteld.

Daarnaast wordt het begrip goed bestuur nader uitgewerkt in verschillende governancecodes en sectorale kaders, waaronder:

• de Nederlandse Corporate Governance Code (2022) – gericht op transparantie, integriteit, risicobeheersing en lange-termijnwaardecreatie;de Governancecode Zorg (2022) – die voorschrijft dat bestuurders verantwoordelijk zijn voor verantwoorde bedrijfsvoering, informatiebeveiliging, interne controle en maatschappelijke verantwoordelijkheid;
• en de Wet toetreding zorgaanbieders (Wtza) – die bepaalt dat zorgaanbieders dienen te handelen in overeenstemming met goed bestuur en goed toezicht.

Deze wettelijke en sectorale kaders benadrukken dat goed bestuur onlosmakelijk verbonden is met verantwoord risicobeheer, waaronder ook cyberrisicobeheersing valt.

Cyberrisico’s raken immers niet alleen de organisatie zelf, maar ook werknemers, klanten, leveranciers, aandeelhouders en de maatschappij.
Een directeur die cyberveiligheid als onderdeel van goed bestuur benadert, neemt verantwoordelijkheid voor het beschermen van alle betrokken partijen tegen digitale schade.

Dat betekent concreet:

• Werknemers moeten veilig kunnen werken, met goed getrainde digitale gewoonten en bescherming van hun persoonsgegevens.Klanten moeten erop kunnen vertrouwen dat hun gegevens en dienstverlening veilig zijn.
• Leveranciers en partners moeten deel uitmaken van een betrouwbare keten, waarin risico’s worden gedeeld en geminimaliseerd.
• Aandeelhouders verwachten stabiele bedrijfscontinuïteit en bescherming tegen reputatie- en financiële schade door cyberincidenten.
• De maatschappij profiteert van weerbare organisaties die bijdragen aan een veilig digitaal ecosysteem.

Een stakeholder-georiënteerde directeur ziet cyberveiligheid daarom niet als een IT-onderwerp, maar als een onderdeel van strategisch leiderschap en maatschappelijke verantwoordelijkheid.
Het vormt een integraal onderdeel van goed bestuur: zorgvuldig, transparant en toekomstgericht handelen ten behoeve van álle belanghebbenden.

Bronvermelding:

• Burgerlijk Wetboek Boek 2 – Rechtspersonenrecht, art. 2:8 en 2:9.
• Nederlandse Corporate Governance Code (2022), principes 1.1–1.4 (lange-termijnwaardecreatie en risicobeheersing).
• Governancecode Zorg (2022), principes 1–3 (goed bestuur, maatschappelijke verantwoordelijkheid en interne beheersing).
• Wet toetreding zorgaanbieders (Wtza), art. 3 lid 1 (verplichtingen inzake goed bestuur en toezicht).