Leidt een cyberincident tot financiele schade? Dan geldt voor ondernemingen die onder de NIS2 vallen dat directieleden bij bewezen nalatigheid persoonlijk aansprakelijk zijn. Maar hoort een gevangenisstraf ook tot de mogelijkheden?

Topadvocaat Benedicte Ficq voert momenteel een verhitte strijd tegen de CEO van Tata Steel. Ze vindt dat hij achter de tralies thuishoort vanwege ernstige nalatigheid. Het bedrijf laat met zijn vervuiling volgens haar een spoor van dood en verderf achter. Het openbaar ministerie is inmiddels een grootschalig onderzoek gestart naar de haalbaarheid en wenselijkheid hiervan. De opmerkelijke zaak van Benedicte Ficq tegen de CEO van Tata Steel doet ons nadenken over bredere aansprakelijkheidskwesties.

Parallel met cybersecurity

Deze zaak laat zien dat de aansprakelijkheid van bestuurders zich verder kan uitstrekken dan gedacht, zegt Matthijs van der Well, strategisch adviseur bij Orange Cyberdefense. Maar geldt dat ook voor andere terreinen? Deze situatie roept zeker parallellen op met het gebied van cybersecurity. Want bedrijven die inadequaat reageren op beveiligingskwetsbaarheden kunnen ook grote schade veroorzaken. Niet aan onze gezondheid, maar zoals we inmiddels weten kunnen cybercriminelen enorme financiele schade toebrengen.

NIS2 wil de digitale infrastructuur beter beschermen, maar zegt niks over strafrechtelijke verantwoordelijkheid voor bestuurders bij beveiligingsproblemen. Toch lijkt het Van der Well logisch dat als bestuurders aansprakelijk zijn voor milieuschade, ze dat ook zijn voor digitale schade.

Punten ter overweging

Het strafrecht kan bestuurders aanzetten tot beter gedrag. Maar er zijn volgens Van der Well wel een paar belangrijke punten waar we rekening mee moeten houden voordat we soortgelijke aanklachten op het gebied van security kunnen verwachten:

1. Definitie van verantwoordelijkheid

Het is van vitaal belang om de verantwoordelijkheid van bestuurders op het gebied van cybersecurity te definieren. Bij milieuvervuiling is het vrij snel duidelijk wie de schuldige is. Bij een beveiligingslek is dat een stuk lastiger vast te stellen. Dat komt door de complexiteit van technologie, de verborgen aard van digitale aanvallen en het gebrek aan tastbaar bewijs. Het is dus belangrijk om onder meer te weten of het bestuur effectieve stappen heeft genomen om risico s te verminderen. En of zij een cultuur van cybersecurity hebben bevorderd. Het vaststellen van nalatigheid vereist dus een complexe en diepgravende analyse.

Deze versturen we 3-4x per jaar.