NIS2 is geen afvinklijst maar een leiderschapsvraag

NIS2 zet iets nieuws op scherp: als het misgaat is niet de IT-afdeling aansprakelijk, maar de bestuurder zelf. Dat verandert de aard van het gesprek. Waar cyberveiligheid jarenlang een technisch dossier was dat je kon delegeren, is het nu een verantwoordelijkheid die je persoonlijk draagt. En een verantwoordelijkheid dragen is een leiderschapsvraag, geen invuloefening.

Afvinken levert schijnveiligheid

Een organisatie die NIS2 afvinkt, voldoet op papier en is in de praktijk niet weerbaarder geworden. De maatregelen staan er, maar niemand handelt ernaar als het erop aankomt. Het gevaarlijke is niet dat je niet voldoet, het is dat je denkt van wel. Schijnveiligheid kost hetzelfde geld als echte weerbaarheid en levert het tegenovergestelde: een vals gevoel van controle dat pas barst op het moment van een incident.

De richtlijn vraagt gedrag, geen document

NIS2 hangt een klok aan een incident: een significant voorval geef je binnen een dag als eerste waarschuwing door, met een vollediger beeld kort daarna. Die klok meet geen techniek, ze meet gedrag. Herkent een medewerker wat significant is? Meldt hij een vermoeden voordat het zeker is, in de wetenschap dat een loze melding beter uitpakt dan een gemiste? Een organisatie kan een vlekkeloze procedure op papier hebben en die klok toch missen, puur omdat niemand op tijd aan de bel trok. Dat repareer je niet met een beleidsstuk, maar met een houding.

Wat er van de leider verandert

Een ICT-leider die NIS2 serieus neemt, verschuift van beheerder naar richtinggever. Niet de vraag welke tool je koopt, maar welke risico's je bewust accepteert en welke niet. Wie eigenaar is als een systeem uitvalt. Hoe je een fout bespreekbaar maakt voordat hij een incident wordt. Dat zijn geen technische keuzes, het zijn leiderschapskeuzes. De richtlijn dwingt de leider om ze hardop te maken, in plaats van ze impliciet bij de techniek te laten.

De cultuur die je niet kunt kopen

Weerbaarheid is een cultuur, en cultuur laat zich niet installeren. Ze ontstaat uit hoe de leiding reageert op slecht nieuws. Wie boos wordt bij een gemelde fout, leert het team fouten te verbergen, en verborgen fouten zijn precies wat NIS2 wil voorkomen. Wie vraagt wat we eruit leren, bouwt een organisatie waarin risico's vroeg bovenkomen. De zwaarste maatregel uit de richtlijn is makkelijker te implementeren dan die ene gewoonte: het normaal maken om te zeggen dat er iets mis is.

Wat het oplevert

Een bestuurder die NIS2 als leiderschapsopdracht oppakt, koopt geen gerustheid maar weerbaarheid. Het verschil merk je pas onder druk: een team dat een incident vroeg op tafel legt in plaats van het stilletjes op te lossen, een lijn van verantwoordelijkheid waarin niemand hoeft te raden wie beslist, een organisatie die een tegenslag doorstaat zonder dat de top erdoor wordt overvallen. De boete die je vermijdt is de kleinste opbrengst. De grootste is dat je weet dat het klopt, ook op de dag dat het misgaat.