Bestuursprogramma Cyberbeveiligingswet

Van wettelijke plicht naar afgewogen besluitvorming

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Sindsdien geldt voor ieder lid van het bestuur van een essentiële of belangrijke entiteit een persoonlijke verplichting: je moet risico's voor netwerk- en informatiesystemen kunnen identificeren, beheersmaatregelen kunnen beoordelen en de gevolgen daarvan voor je dienstverlening kunnen wegen (artikel 24, tweede lid, Cbw). Je toont dat aan met een certificaat van een training die de wettelijk voorgeschreven onderwerpen behandelt, en je houdt de kennis daarna aantoonbaar actueel. Uiterlijk 15 augustus 2028 moet je hieraan voldoen.

De wetgever is duidelijk over het niveau. Er wordt geen technische kennis van je verwacht, wel kennis op strategisch niveau, zodat je als bestuurder maatregelen kunt beoordelen en risico's kunt laten beheersen. De toelichting bij het Cyberbeveiligingsbesluit vat het doel samen als het komen tot “een goede afweging en afgewogen besluitvorming rondom de beveiliging van netwerk- en informatiesystemen”.

Precies dat is wat dit programma traint.

Waarom e-learning alleen niet genoeg is

De wet vraagt twee verschillende dingen. Het Cyberbeveiligingsbesluit schrijft dertien onderwerpen voor die de training moet behandelen. Dat is kennis, en kennis breng je efficiënt over met e-learning. De wet zelf vraagt daarnaast vaardigheden, en een vaardigheid ontstaat niet door te luisteren. Die ontstaat wanneer je een besluit moet nemen terwijl de feiten onvolledig zijn en de meldtermijn loopt.

Daarom bestaat dit programma uit beide, en is geen van beide optioneel. Zes korte e-learningmodules leggen de theoretische basis en dekken aantoonbaar alle dertien wettelijke onderwerpen. Twee workshops met je eigen bestuur zetten die basis om in het gedrag waar de wet werkelijk om vraagt. Wie alleen filmpjes kijkt, haalt een certificaat. Wie ook oefent, kan het besluit dat erachter hoort ook echt nemen en verantwoorden.

Het programma in zes maanden

Je doorloopt zes e-learningmodules van 12 tot 15 minuten, één per maand, op het moment dat jou uitkomt. Elke module draait om dezelfde vier vragen die je daarna aan je eigen bestuurstafel stelt: wat kan hier misgaan en wat raakt dat, wat doen we eraan en zie ik dat het werkt, wat betekent het voor onze dienstverlening als het toch gebeurt, en wie besluit hierover en wat is mijn rol.

Halverwege volgt de eerste workshop, met je eigen bestuur en je eigen CISO aan tafel. Je bevraagt je eigen risicorapportage, stelt je risicobereidheid vast en neemt één maatregelbesluit dat je schriftelijk motiveert.

Aan het eind volgt de tweede workshop, een simulatie in drie rondes. Je zit in de eerste uren van een incident met onvolledige informatie, je staat op dag drie voor de keuze tussen herstellen en doorwerken, en je legt zes maanden later aan de toezichthouder uit waarom je besloot wat je besloot. Een onafhankelijke waarnemer legt elk besluit vast in een besluitenlogboek dat je meekrijgt voor je bewijsdossier.

De totale investering per bestuurder is ongeveer negen uur, verspreid over zes maanden. Dat is anderhalf uur per maand voor een verplichting waarvoor je persoonlijk aanspreekbaar bent.

Wat je in handen hebt na afloop

Je ontvangt een certificaat dat voldoet aan alle vormeisen van artikel 22 van het Cyberbeveiligingsbesluit, opgesteld in het Nederlands of Engels. Op de achterzijde staat per wettelijk onderwerp in welke module of workshop het is behandeld en wanneer. Een auditor die het certificaat naast de wettekst legt, hoeft niets meer te controleren.

Daarnaast bouwt het platform doorlopend je bewijsdossier op. De wet eist dat je je kennis na de training aantoonbaar actueel houdt, en daarvoor is geen certificaat voorgeschreven maar bewijs “op andere wijze”. Onze rapportage is precies dat bewijs: een niet-aanpasbaar logboek per bestuurder met voltooiingsdata, inhoudsversies, toetsresultaten en de geplande actualisatie. Bij een controle lever je één export aan.

Actueel blijven

Na het eerste jaar volgt jaarlijks een korte actualisatiemodule met nieuwe casuïstiek en de wetswijzigingen van dat jaar. Elke twee jaar herhaal je de simulatie met een nieuwe casus. Een bestuurder die tussentijds aantreedt, doorloopt het volledige programma direct bij benoeming. De wet gunt een nieuw lid twee jaar, maar wie meebeslist over maatregelen die hij pas later leert beoordelen, loopt dat hele venster een risico zonder aantoonbare basis.

Investering

Eén prijs per bestuur, ongeacht het aantal leden tot acht deelnemers. Alle bedragen zijn exclusief btw. De workshops vinden plaats op locatie en zijn inclusief voorbereiding met je CISO, begeleiding, een onafhankelijke waarnemer en verslaglegging.

Een bestuurder die tussentijds aantreedt, doorloopt het volledige e-learningprogramma en ontvangt een eigen certificaat, zonder meerkosten zolang de actualisatie loopt. Bij een bestuur met meer dan acht leden, of bij meerdere besturen binnen één organisatie, maken we een afspraak op maat.

Ben je al klant van 2LRN4 of Kantyra, dan geldt een combinatiekorting van 10% op het volledige programma. Gebruik je beide platformen, dan is de korting 15%. Je bewijsdossier sluit dan bovendien direct aan op je bestaande omgeving, zodat het bewijs voor de opleidingsplicht en het bewijs voor de zorgplicht in dezelfde rapportage samenkomen.

Voor wie dit geldt

De verplichting rust op ieder lid van het bestuur van een essentiële of belangrijke entiteit. Bij een one-tier board geldt zij uitsluitend voor de uitvoerende bestuurders. Bij een maatschap geldt zij voor iedere maat, bij een vof voor iedere vennoot, en bij overheidsinstanties wijst de wet het bestuur aan, bij gemeenten bijvoorbeeld het college van burgemeester en wethouders. Twijfel je of jouw organisatie en jouw rol eronder vallen, dan zoeken we dat in een gesprek van een half uur voor je uit, kosteloos.

Begin op tijd

De uiterste datum is 15 augustus 2028 en het programma duurt zes maanden. Wie in 2027 begint, doorloopt het programma in rust, naast de registratie, de zorgplichtmaatregelen en de ketenafspraken die in dezelfde periode op de bestuursagenda staan. Wie wacht tot het voorjaar van 2028, doet de training onder tijdsdruk terwijl de toezichthouder al meekijkt.

Plan een kennismaking via de contactpagina of mail naar support@2lrn4.com.