Dit artikel is een commerciële uitgave van Contentway bij Het Financieel Dagblad in mei 2026.
Elke nacht staat de digitale voordeur van duizenden organisaties open. Niet omdat niemand het weet, maar omdat niemand precies begrijpt wat er achter die deur ligt. Softwarelagen stapelen zich op softwarelagen, kwetsbaarheden verdwijnen uit zicht, en ergens in een achterkamertje aan de andere kant van de wereld zoekt iemand geduldig naar een opening.
Cybersecurity is daarmee allang geen IT-kwestie meer. Het is een urgent en groeiend bestuursvraagstuk. Toch behandelen veel organisaties het nog steeds als een technische bijzaak, ver weg van de bestuurstafel.
Marcel Dusink, IT- en ISO-auditor en medeoprichter en COO van Nestor Security, herkent het patroon maar al te goed. “Bestuurders zeggen vaak: wij hebben toch geen incidenten? Maar ze hebben wel heel veel bijna-incidenten gehad.”
Van onderbuikgevoel naar bestuurlijke verantwoordelijkheid
De introductie van de Europese NIS2-richtlijn verandert die houding. Niet vrijwillig, maar juridisch. Bestuurders worden voortaan persoonlijk aansprakelijk als zij niet kunnen aantonen dat zij de risico’s kennen, maatregelen hebben goedgekeurd en de implementatie hebben geborgd. Dusink vergelijkt het met de verstrekkende effecten van de Amerikaanse Sarbanes-Oxley-wetgeving uit 2004. “U wordt gewoon aansprakelijk gesteld”’, stelt Dusink.
De sectoren die het hardst geraakt worden, zijn vaak juist de sectoren met beperkte middelen: overheden, zorgorganisaties, zelfstandige bestuursorganen. Zij worden aangemerkt als essentiële entiteiten, maar beschikken zelden over de budgetten van grote financiële instellingen.
Compliance is niet hetzelfde als weerbaarheid
Het grootste misverstand op bestuursniveau is dat compliant zijn voldoende is. Dusink ziet dagelijks hoe organisaties normen implementeren als een administratieve opgave, een lijst die afgevinkt wordt, zonder dat de verbinding wordt gemaakt met de werkelijke risico’s in de eigen organisatie.
Nestor Security werkt anders. Het vertrekpunt is altijd de specifieke context van de organisatie zelf. Welke processen zijn kritisch? Wat is de schade als ze uitvallen? Dusink illustreert het met een concreet voorbeeld: een provincie die verantwoordelijk is voor gladheidsbestrijding, maar geen antwoord heeft op de vraag hoe lang de strooiwagens buiten gebruik mogen zijn. Of een veerdienst waarvan de kaartverkoopsystemen uitvielen omdat alles in één datacenter stond.
“Er is nooit een oneindige pot met geld”, zegt Dusink. “Maak dus keuzes. Wat vinden we spannend, daar besteden we tijd aan. Wat vinden we minder spannend, daar minder.”
Die risicogebaseerde aanpak vormt de kern van de werkwijze. Geen standaardoplossingen, maar maatregelen die passen bij wat de organisatie daadwerkelijk doet en wat er daadwerkelijk mis kan gaan.
Voor bestuurders die nu willen beginnen, heeft Dusink een helder advies: ga het gesprek aan met leidinggevenden per afdeling. Vraag welke processen kritisch zijn. Vraag wat de concrete gevolgen zijn als die uitvallen. “Als bestuurder moet je weten wat echt belangrijk is. Dat weet je alleen als je de gesprekken voert.”