Inleiding
In een eerdere blog bespraken wij de belangrijkste verplichtingen van de Cyberbeveiligingswet (hierna: Cbw). Daaruit bleek dat de Cbw een eigen publiekrechtelijke mogelijkheid tot handhaving kent, waarmee ook individuele bestuurders kunnen worden aangesproken. De toezichthouders (de Rijksinspectie Digitale Infrastructuur of de Inspectie Gezondheidszorg en Jeugd) kunnen namelijk de rechter verzoeken een bestuurder te schorsen of een persoonlijke boete op te leggen. Die publiekrechtelijke sancties zijn echter niet het enige risico. Overtreding van de Cbw kan ook gevolgen hebben voor de civielrechtelijke aansprakelijkheid van bestuurders. Dit gaat zowel om aansprakelijkheid jegens de vennootschap zelf, als jegens de curator bij een eventueel faillissement en jegens derden die schade lijden door een cyberincident. Deze blog gaat in op voornoemde mogelijkheden tot aansprakelijkstelling.

Persoonlijke sancties onder de Cbw
Voordat ingegaan wordt op de mogelijkheden tot civielrechtelijke aansprakelijkstelling, bespreken wij eerst de persoonlijke sancties die kunnen worden opgelegd. De Cbw biedt de bevoegde autoriteit publiekrechtelijke mogelijkheden om een individueel bestuurslid rechtstreeks een last onder dwangsom of een bestuurlijke boete op te leggen. Deze bevoegdheid is echter scherp afgebakend en ziet uitsluitend op overtreding van de governance-verplichtingen van artikel 24 Cbw. Dat betreft de kennis- en vaardighedeneis en het certificaatvereiste voor bestuursleden. De persoonlijke bestuurlijke boete bedraagt maximaal € 25.000 en bedraagt daarmee een fractie van de boetes die aan de entiteit zelf kunnen worden opgelegd.

Daarnaast kent de wet een schorsingsmogelijkheid voor bestuursleden. Dat kan echter alleen bij de zogenoemde essentiële entiteiten (zie voor die definitie onze eerste blog) en alleen nadat eerdere en minder ingrijpende handhavingsmaatregelen zonder resultaat zijn gebleven. Bij de zogenoemde belangrijke entiteiten bestaat deze schorsingsroute niet. Het directe publiekrechtelijke risico voor de bestuurder op persoonlijke titel is daarmee beperkt, maar dat geldt niet voor de privaatrechtelijke aansprakelijkheid. 

Interne aansprakelijkheid: artikel 2:9 BW
Bestuurders zijn op grond van artikel 2:9 BW tegenover de vennootschap gehouden tot een behoorlijke taakvervulling. Aansprakelijkheid kan pas ontstaan bij een ernstig verwijt, waarbij volgens de jurisprudentie van de Hoge Raad alle omstandigheden van het geval worden meegewogen.

De Cbw-normen kunnen deze toetsing concretiseren. Bij die beoordeling kan bijvoorbeeld aan de volgende omstandigheden worden gedacht: het (structureel) ontbreken van een schriftelijk cyberbeveiligingsbeleid, het niet doorlopen van de verplichte trainingen, of het bewust negeren van bekende risico's in de toeleveringsketen. Mogelijk is dat op basis daarvan kan worden beoordeeld of een bestuurder zijn taak ernstig verwijtbaar heeft verzaakt. 

Een volgend risico is het uitgangspunt van de collegiale verantwoordelijkheid. Artikel 2:9 lid 2 BW gaat namelijk uit van aansprakelijkheid van het gehele bestuur, tenzij een bestuurder aantoont dat het onbehoorlijk bestuur niet aan hem te wijten is en hij niet nalatig is geweest in het treffen van maatregelen om de gevolgen af te wenden. Het feit dat het bestuur cyberbeveiliging als portefeuille bij één van de bestuurders heeft neergelegd, wil niet zeggen dat de overige bestuurders gevrijwaard zijn. Alle bestuurders zijn in beginsel verantwoordelijk. Cyberbeveiliging is dus een onderwerp dat alle bestuurders aangaat.

Faillissement: artikel 2:138/2:248 BW
Leidt een cyberincident, bijvoorbeeld een ransomware-aanval met langdurige bedrijfsuitval, uiteindelijk tot een faillissement, dan komt artikel 2:138 BW (NV) of artikel 2:248 BW (BV) in beeld. Een curator kan het bestuur dan aanspreken voor het gehele faillissementstekort. Vereist daarvoor is dat het bestuur zijn taak kennelijk onbehoorlijk heeft vervuld en dat aannemelijk is dat dit een belangrijke oorzaak van het faillissement is.

De wet kent bewijsvermoedens dat onbehoorlijk bestuur een belangrijke oorzaak van het faillissement is, maar die vermoedens worden alleen geactiveerd bij schending van de boekhoud- of publicatieplicht. De schending van sectorspecifieke verplichtingen als de Cbw-zorgplicht vallen daar niet onder. 

De curator zal dus zonder bewijsvermoeden moeten aantonen dat het veronachtzamen van de Cbw-verplichtingen kennelijk onbehoorlijk bestuur oplevert én een belangrijke oorzaak van het faillissement is. Aannemelijk is in ieder geval dat het volledig ontbreken van cyberbeveiligingsbeleid bij een digitaal-afhankelijke onderneming bijdraagt aan het oordeel dat het bestuur een fundamentele taak heeft verwaarloosd.

Externe aansprakelijkheid
De meest interessante vraag speelt bij aansprakelijkheid jegens klanten, ketenpartners of aandeelhouders die schade lijden door een cyberincident. Kunnen zij dan ook een bestuurder persoonlijk aanspreken, naast de vennootschap?

De hoofdregel is dat de vennootschap aansprakelijk is wanneer zij tekortschiet, bijvoorbeeld door de Cbw niet goed na te leven. Zoals besproken kan een bestuurder daarnaast alleen persoonlijk aansprakelijk worden gehouden als hem een persoonlijk ernstig verwijt kan worden gemaakt. Er is sprake van een hoge drempel omdat bestuurders besluiten moeten kunnen nemen zonder voortdurend te vrezen voor persoonlijke aansprakelijkheid. 

De Cbw biedt daarin een interessante dimensie omdat er ook aan de bestuurders directe verplichtingen worden opgelegd. Vanwege deze directe verplichtingen die op de bestuurders rusten, is denkbaar dat een derde die schade lijdt deze verplichtingen zal aangrijpen om zich direct tot de bestuurder te kunnen richten. Schending van de wettelijke verplichtingen zou mogelijk zelfs een onrechtmatige daad kunnen opleveren zonder dat de verhoogde ernstig-verwijt-drempel moet worden gehaald. Daarmee laat de Cbw zien dat een publiekrechtelijke mogelijkheid om bestuurders sancties op te leggen de civielrechtelijke aansprakelijkheidsnorm in de praktijk mede kan invullen. 

Praktische betekenis
Voor (interim) bestuurders volgt uit het voorgaande een duidelijke les. De publiekrechtelijke boete van maximaal € 25.000,- is niet het grootste risico van de Cbw. Het grootste risico ligt in de civielrechtelijke aansprakelijkheid jegens de vennootschap, de curator of derden. Daarbij fungeren de normen uit de Cbw als concrete en toetsbare maatstaf. Bestuurders doen er daarom goed aan besluitvorming over cyberbeveiligingsbeleid aantoonbaar te documenteren, de vereiste trainingen te volgen en certificaten te bewaren. 

Heeft u behoefte aan een advocaat die meedenkt over governance- en aansprakelijkheidsrisico’s onder de Cbw, of aan een praktische check van uw documentatie? Neem dan gerust contact met ons op.