Cyberbeveiligingswet maakt crisiscommunicatie een bestuurszaak

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt eisen aan ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. Zij krijgen onder meer een zorg- en meldplicht met bestuurlijke aansprakelijkheid als uiterste consequentie. Het toezicht op de nieuwe wet krijgt inmiddels vorm. Op 7 oktober maakten het Nationaal Cybersecurity Centrum (NCSC) en verschillende toezichthouders afspraken over samenwerking, toezicht en informatie-uitwisseling.

Bij een cyberincident moeten bestuurders in korte tijd bepalen wie wanneer wordt geïnformeerd. Naast toezichthouders willen medewerkers, klanten en investeerders weten wat er aan de hand is. Voor beursgenoteerde bedrijven komt daar de markt bij. DORA verplicht financiële instellingen al om ICT-incidenten op te volgen met interne en externe stakeholders, maar voor andere sectoren zijn de communicatieverplichtingen minder expliciet

De vragen tijdens een incident zijn wel hetzelfde: Wie is eindverantwoordelijk? Wie houdt contact met klanten en medewerkers? Wanneer worden investeerders en aandeelhouders geïnformeerd? Welke boodschap ligt er klaar voor de media? En wie wordt het ‘gezicht van de crisis’?

Een acute crisis laat geen tijd om deze vragen voor het eerst te beantwoorden. CFF Communications helpt bedrijven zich voor te bereiden. We werken scenario’s uit, stellen crisisplannen op en overleggen met bestuur, IT en de directie communicatie over rollen, verantwoordelijkheden en boodschappen. Tijdens een incident staan we paraat en volgen we hoe het verhaal zich ontwikkelt. Zo ontstaat de rust om orde op zaken te stellen.

Wilt u meer weten? Neem contact op met Ruben Cardol.