Welke beveiligingsonderwerpen zijn het belangrijkst voor leidinggevenden?

Waarom bestuurstraining anders is dan medewerkerstraining

Medewerkers leren hoe ze phishing herkennen en wat ze doen bij een gestolen wachtwoord. Bestuurders leren iets anders: hoe ze sturen op cyberrisico, welke vragen ze hun CISO stellen, hoe ze meebeslissen bij een incident, en welke aansprakelijkheid ze dragen wanneer het misgaat. De inhoud overlapt deels, maar het niveau verschilt fundamenteel.

Onder artikel 24 van de Cbw is bestuurstraining wettelijk verplicht voor essentiële en belangrijke entiteiten. Die verantwoordelijkheid is persoonlijk: bij een datalek dat aantoonbaar voortvloeit uit tekortschietende cybergovernance kan naast de organisatie ook de individuele bestuurder worden aangesproken. Dat verandert wat een bestuurder moet kunnen: vragen stellen, beslissen onder onzekerheid en escaleren wanneer dat nodig is.

Een goede bestuurstraining is dan ook geen verkorte versie van de medewerkerscursus. Het is een eigen leertraject met strategische onderwerpen, gericht op besluitvorming en toezicht in plaats van op het herkennen van een verdachte mail.

De zeven onderwerpen die in 2026 zeker thuishoren

Deze zeven onderwerpen vormen samen een werkbaar curriculum voor bestuurstraining onder artikel 24 van de Cbw:

• Cybergovernance en aansprakelijkheid. Wat is de juridische rol van een bestuurder onder de Cbw, DORA en de AVG, welke beslissingen worden van het bestuur verwacht, en welke documentatie heb je nodig om aan te tonen dat je aan je plicht hebt voldaan?
• Risicoanalyse en -acceptatie. Welk type cyberrisico loopt de organisatie, welke maatregelen zijn genomen, en welk restrisico is bewust geaccepteerd? De bestuurder neemt geen technische beslissingen, maar tekent voor het risicokader.
• Het dreigingslandschap op hoofdlijnen. Wat zijn ransomware, BEC, AI-gegenereerde phishing en aanvallen via de leveranciersketen, en welke schade hebben ze gemiddeld veroorzaakt bij vergelijkbare organisaties?
• Incidentrespons op bestuursniveau. Wat gebeurt er in de eerste 24 uur na een groot incident, welke beslissingen liggen bij het bestuur (wel of niet betalen, de communicatie met klanten, de melding aan de toezichthouder), en hoe oefen je dat vooraf?
• Compliance-landschap. Denk aan de Cbw, DORA, de AVG, de AI Act en in de zorg NEN 7510. Welke gelden er voor je organisatie, welke meldplichten zijn er, en hoe rapporteert het bestuur over naleving?
• AI-governance. De EU AI Act is sinds februari 2025 van kracht: welke AI-systemen draaien er in de organisatie, welke risicoclassificatie hebben ze, en hoe zorg je voor AI-geletterdheid van medewerkers?
• Bestuursrapportage. Welke cyberindicatoren komen elk kwartaal terug, hoe interpreteer je een phishing-meldpercentage of een kwetsbaarheidsscan, en welke trends vragen om bijsturing?

Wat juist niet in een bestuurstraining hoort

Een paar onderwerpen duiken regelmatig op in bestuurstrainingen terwijl ze er aantoonbaar niet thuishoren.

Technische details over hoe een aanvalsketen werkt, bijvoorbeeld. Een bestuurder hoeft niet te weten hoe een buffer overflow werkt of wat een SQL-injectie precies doet, maar wel dat de CISO maatregelen heeft tegen die categorie aanvallen en hoe vaak die worden getoetst.

Hetzelfde geldt voor operationele incidentprocedures. Het draaiboek voor wie wat doet in welk uur na een ransomware-aanval ligt bij IT en het CSIRT; het bestuur hoeft alleen de hoofdlijn en de eigen rol te kennen.

Ook phishing-simulaties op bestuurdersniveau zonder context voegen weinig toe. Een bestuurder die met een phishingmail wordt getest, leert daar weinig van: de agenda is te vol en de beoordeling wordt gedelegeerd. Veel zinvoller is een simulatieoefening waarin een ransomware-scenario aan de bestuurstafel wordt besproken.

Simulatieoefeningen (tabletops): het krachtigste onderdeel

Het effectiefste onderdeel van bestuurstraining is geen e-learning, maar een simulatieoefening aan de bestuurstafel, in het vak ook wel tabletop genoemd. Een gespecialiseerde begeleider legt een scenario neer ("je krijgt op vrijdagavond bericht dat klantdata is gelekt op een gangbaar lekplatform"), en het bestuur doorloopt ter plekke de beslissingen die volgen: wie je informeert, of je betaalt, wie het woord voert en hoe je met de toezichthouder communiceert.

Zulke oefeningen leveren drie dingen op die andere trainingsvormen niet bieden. Ten eerste ontdek je waar het besluitvormingsproces hapert: wie heeft mandaat, wie ontbreekt, en welke informatie mist er. Ten tweede oefen je met samenwerken onder druk, en dat verschilt wezenlijk van samenwerken in routine. Ten derde bouw je een gedeelde taal op: na zo'n oefening weet iedereen wat een "P1-incident" of de "containment-fase" betekent.

Een redelijk ritme is twee oefeningen per jaar voor het bestuur, met wisselende scenario's (ransomware, een datalek, AI-misbruik of een gecompromitteerde leverancier), gecombineerd met een jaarlijkse e-learning voor de strategische basisstof.

Communicatie en woordvoering bij een crisis

Een vaak onderschat onderdeel van bestuurstraining is de externe communicatie tijdens en na een incident. Voor veel bestuurders is dat onwennig terrein: zij zijn gewend te sturen op zekerheid, en juist die ontbreekt bij een cyberincident.

In de praktijk werken drie principes: houd het kort, wees eerlijk en communiceer vanuit één punt. Dat betekent één woordvoerder, zonder tegenstrijdige berichten uit verschillende afdelingen. Wees open over wat je zeker weet (de datum, het type aanval en de getroffen groep) en duidelijk over wat je nog niet weet ("dat onderzoeken we nog"). Vermijd technisch jargon richting het publiek; richting de toezichthouder is meer detail juist verstandig.

Onder de Cbw moet een ernstig incident binnen 24 uur vroegtijdig worden gemeld en binnen 72 uur worden aangevuld. Wacht dus niet tot alle feiten binnen zijn, maar meld wat je op dat moment weet en vul aan zodra er meer bekend is. Ook hier helpt voorbereiding: een vooraf opgesteld communicatiekader, met daarin welke onderwerpen je wel en niet benoemt, versnelt de eerste 24 uur enorm.

Hoe je dit verankert in een awareness-programma

Bestuurstraining werkt alleen als zij structureel is in plaats van eenmalig. Een praktische opbouw ziet er zo uit.

Begin met een jaarlijkse basismodule van 45 tot 60 minuten over governance, het dreigingslandschap, compliance en bestuursrapportage. Voor de Nederlandse context horen daar de onderdelen van artikel 24 van de Cbw bij, de AVG-meldplicht en, voor financiële instellingen, DORA.

Plan daarnaast twee simulatieoefeningen per jaar met wisselende scenario's, begeleid door een externe partij voor de objectiviteit, en leg de uitkomsten vast voor de audit.

Laat de CISO elk kwartaal een korte brief aan het bestuur sturen met de stand van het cyberrisico, een incidentoverzicht en de lopende veranderingen: geen dik rapport, maar een halve A4. Dat schept vertrouwdheid met de materie tussen de formele trainingsmomenten in.

Zorg tot slot voor een aantoonbare administratie: wie welke training wanneer heeft afgerond, in welke versie, en wie aan de simulatieoefeningen heeft deelgenomen. Onder artikel 24 van de Cbw is dat het bewijs dat je aan je zorgvuldigheidsplicht hebt voldaan, voor de organisatie én voor jou persoonlijk.

Gerelateerde artikelen

• Cbw artikel 24: bestuurstraining
• Wat is de Cyberbeveiligingswet (Cbw)?
• Board reporting voor awareness zonder ruis
• Compliance-eisen voor awareness-training

Bronnen

• Cyberbeveiligingswet (officiële tekst)
• NIS2-richtlijn (EUR-Lex)
• World Economic Forum: cybersecurity board toolkit

FAQ

Welke onderwerpen horen in een bestuurstraining onder Cbw artikel 24?

Cybergovernance en aansprakelijkheid, risicoanalyse en -acceptatie, het dreigingslandschap op hoofdlijnen, incidentrespons op bestuursniveau, het compliance-landschap (Cbw, DORA, AVG, AI Act), AI-governance en bestuursrapportage. Operationele details horen er niet in.

Hoe verschilt bestuurstraining van medewerkerstraining?

Een medewerker leert herkennen en handelen; een bestuurder leert sturen, beslissen en toezicht houden. Het gaat om dezelfde thema's op een ander niveau: niet "hoe herken ik phishing", maar "hoe weet ik dat onze maatregelen tegen phishing werken".

Wat is een tabletop-oefening?

Een gestructureerde simulatie waarin het bestuur een crisisscenario doorloopt aan de bestuurstafel, met een begeleider die het scenario stap voor stap opbouwt en het bestuur ter plekke beslissingen laat nemen. Het is het effectiefste onderdeel van een bestuurstraining; de meeste organisaties doen er twee per jaar.

Moet de bestuurder zelf weten hoe ransomware werkt?

Op hoofdlijnen wel: welk effect heeft het, welke schade ontstaat er en welke beslissingen volgen daaruit. Technisch detailniveau is niet nodig; het bestuur stuurt op categorieën van risico en niet op afzonderlijke aanvalsmethoden.

Wat is het verschil tussen Cbw artikel 24 en de algemene Cbw-trainingsplicht?

Artikel 24 richt zich specifiek op bestuurders: zij moeten persoonlijk getraind zijn in cyberrisico en governance. De algemene trainingsplicht (artikel 21) richt zich op alle medewerkers. Beide gelden tegelijk in essentiële en belangrijke entiteiten.

Hoe vaak moet een bestuur worden getraind?

Minimaal één formele basistraining per jaar, aangevuld met twee simulatieoefeningen en elk kwartaal een korte update van de CISO. Dat is ruim voldoende voor de zorgvuldigheidsmaatstaf van de Cbw en houdt het bestuur scherp tussen de formele momenten in.

Wat is de persoonlijke aansprakelijkheid onder Cbw artikel 24?

Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor relevante schade die voortvloeit uit het niet voldoen aan de bestuurstrainingsplicht en de bredere cybergovernance-verplichtingen. Documentatie van afgeronde training is dan het belangrijkste bewijsstuk in de verdediging.