Cbw artikel 24: bestuurstrainingsplicht uitgelegd

Voor wie geldt de opleidingsplicht?

De opleidingsplicht geldt voor de uitvoerende bestuurders van essentiële en belangrijke entiteiten. De NCTV is er duidelijk over. Toezichthoudende bestuurders, zoals commissarissen, en niet-uitvoerende bestuurders vallen niet onder deze verplichting. Bij een one-tier board raakt de plicht dus alleen de uitvoerende leden.

De vorm van de organisatie doet er niet toe. Bij een maatschap geldt de plicht voor iedere maat, bij een vof voor iedere vennoot, en bij overheidsorganisaties voor het orgaan dat de leiding heeft, bij gemeenten bijvoorbeeld het college van burgemeester en wethouders. Ook colleges van bestuur in het hoger onderwijs vallen eronder, omdat die sector onder de Cbw valt.

Dat de raad van toezicht of de raad van commissarissen buiten de wettelijke plicht valt, betekent niet dat die buiten beeld blijft. Het toezichthoudend orgaan moet kunnen beoordelen of het bestuur zijn cybersecurityrol waarmaakt, en veel organisaties laten commissarissen daarom vrijwillig aanhaken bij dezelfde training.

Wat moet de training inhouden?

De wet formuleert een doel en geen lesrooster. De training moet bestuurders in staat stellen om risico's voor netwerk- en informatiesystemen te identificeren, beheersmaatregelen te beoordelen en de gevolgen daarvan voor de dienstverlening te wegen. Het Cyberbeveiligingsbesluit (Cbb) schrijft daarnaast dertien onderwerpen voor die de training moet behandelen, van het dreigingsbeeld en risicomanagement tot incidentrespons en de meldplicht.

Het niveau is bestuurlijk. Er wordt geen technische kennis verwacht, wel het vermogen om een risicorapportage te bevragen, een maatregel te beoordelen en een besluit te verantwoorden. Een algemene awareness-e-learning voor medewerkers voldoet daarom niet als bestuurstraining; die traint gebruikersgedrag, geen besluitvorming.

Dat kennis alleen niet volstaat, is geen mening maar een onderzoeksuitkomst. Bada, Sasse en Nurse lieten in hun veel aangehaalde studie naar securitybewustwordingscampagnes zien dat het aanbieden van informatie op zichzelf gedrag nauwelijks verandert; mensen moeten het advies kunnen toepassen en gemotiveerd zijn om dat te doen. Voor bestuurders betekent dit dat een goed programma naast e-learning ook oefening bevat, waarin je een besluit moet nemen terwijl de feiten onvolledig zijn.

Ook de bestuurlijke rol zelf is onderbouwd. Uchendu, Nurse, Bada en Furnell analyseerden in Computers & Security 58 studies naar securitycultuur en concluderen dat steun van het topmanagement een van de bepalende voorwaarden is om zo'n cultuur op te bouwen. De opleidingsplicht is in dat licht geen papieren formaliteit; een bestuur dat het onderwerp begrijpt en agendeert, is volgens dit onderzoek precies wat een securitycultuur nodig heeft.

Voor het oefenen op bestuurlijk niveau hoef je evenmin op ons woord te vertrouwen. De Wetenschappelijke Raad voor het Regeringsbeleid bepleitte al in 2019, in het rapport Voorbereiden op digitale ontwrichting, dat organisaties zich met oefeningen moeten voorbereiden op digitale incidenten, zoals ze dat voor fysieke crises allang doen. Een simulatie waarin het bestuur de eerste uren van een incident doorleeft, is daar de praktische invulling van.

Termijnen

Bestuurders moeten binnen twee jaar na inwerkingtreding van de Cyberbeveiligingswet over de vereiste kennis en vaardigheden beschikken. De wet trad op 15 augustus 2026 in werking, dus de uiterste datum is 15 augustus 2028. Daarna moet de kennis aantoonbaar actueel blijven.

Voor een bestuurder die tussentijds aantreedt, begint feitelijk dezelfde ruimte te lopen. Wacht daar niet op. Wie meebeslist over maatregelen die hij pas later leert beoordelen, loopt dat hele venster een risico zonder aantoonbare basis. Direct bij benoeming trainen is de veilige route, en het is ook wat een toezichthouder of curator achteraf als eerste zal navragen.

Certificaat en bewijs

Na afloop van de training ontvangen deelnemers een certificaat waarop staat dat de training is gevolgd en welke onderwerpen zijn behandeld. Het Cyberbeveiligingsbesluit stelt daar vormeisen aan; zo moet het certificaat in het Nederlands of Engels zijn opgesteld.

Voor de periode ná de training schrijft de wet geen certificaat voor, maar bewijs op andere wijze. Denk aan een logboek per bestuurder met voltooiingsdata, inhoudsversies en toetsresultaten. Vastlegging die achteraf niet aan te passen is, met tijdstempels, is bij een controle aanzienlijk sterker dan losse certificaten of e-mails. Leg daarnaast per bestuursvergadering vast wanneer cybersecurity is besproken en welk besluit is genomen; ook dat telt als bewijs dat het bestuur zijn rol vervult.

Persoonlijke aansprakelijkheid, wat betekent dat concreet?

Het bestuur keurt de zorgplichtmaatregelen goed en ziet toe op de uitvoering, ook wanneer het dagelijkse werk bij een CISO of een externe partij ligt. De NIS2-richtlijn bepaalt dat leden van het bestuur bij nalatigheid in die taak aansprakelijk gesteld kunnen worden. Bij essentiële entiteiten kan de toezichthouder in het uiterste geval vragen om een tijdelijk verbod op het uitoefenen van leidinggevende taken.

Verwijtbaarheid draait om wat een bestuurder wist of had moeten weten. Wie kan aantonen dat hij is getraind, het risico op de agenda heeft gezet en gemotiveerde besluiten heeft genomen, staat sterk, ook als er toch een incident plaatsvindt. Wie nooit is getraind en cybersecurity volledig heeft gedelegeerd zonder eigen oordeel, staat zwak. De training is daarmee geen doel op zich maar de basis onder een verdedigbare bestuurspositie.

Veelgemaakte fouten

• Generieke awareness-modules gebruiken voor het bestuur in plaats van training op governance-niveau. Dat vinkt een vakje af, maar het traint niet wat de wet vraagt.
• Cybersecurity volledig delegeren aan de CISO zonder dat het bestuur zich een eigen oordeel vormt. De wet legt de goedkeuring van maatregelen uitdrukkelijk bij het bestuur.
• Geen vastlegging van bestuursvergaderingen waarin cybersecurity is besproken. Zonder agenda-item en notulen is er achteraf niets aan te tonen.
• Compliance en veiligheid door elkaar halen. Een organisatie kan op papier aan de Cbw voldoen en tegelijk kwetsbaar zijn. Bestuurders moeten beide kunnen onderscheiden.
• Nieuwe bestuurders laat laten aanhaken. Elke maand tussen benoeming en training is een maand waarin iemand meebeslist zonder aantoonbare basis.

En in België?

Voor bestuurders met activiteiten in België is het goed te weten dat de Belgische NIS2-wet van 26 april 2024 een vergelijkbare verantwoordelijkheid oplegt. Het bestuursorgaan moet de risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en zelf een opleiding volgen. Het toezicht ligt bij het Centre for Cybersecurity Belgium (CCB), dat met CyberFundamentals een referentiekader heeft gepubliceerd dat in de praktijk als invulling van de zorgplicht wordt gebruikt.

De Belgische sancties volgen de NIS2-richtlijn, met boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Voor groepen die in beide landen actief zijn, loont het om de bestuurstraining één keer grondig op te zetten en dezelfde bewijsvoering te gebruiken voor de Cbw en de Belgische wet.

Gerelateerde artikelen

Wat is de Cyberbeveiligingswet (Cbw)? · Board reporting voor awareness · Auditbewijs voor awareness

Bronnen

• Cyberbeveiligingswet, officiële tekst (wetten.overheid.nl)
• NCTV, Bestuurlijke verantwoordelijkheid en opleidingsplicht voor bestuurders
• NIS2-richtlijn (EU) 2022/2555, artikel 20 (EUR-Lex)
• Digital Trust Center, NIS2/Cbw-portaal
• CCB, Belgische NIS2-wet (26 april 2024)
• Bada, Sasse & Nurse, Cyber Security Awareness Campaigns: Why do they fail to change behaviour? (2015)
• Uchendu, Nurse, Bada & Furnell, Developing a cyber security culture, Computers & Security 109 (2021)
• WRR, Voorbereiden op digitale ontwrichting, rapport 101 (2019)

FAQ

Kan de bestuurstraining online?

Ja. De Cbw schrijft geen vorm voor. Online modules, hybride sessies en klassikale workshops zijn alle aanvaardbaar, zolang de training aantoonbaar is afgerond en de voorgeschreven onderwerpen behandelt. Houd er wel rekening mee dat onderzoek laat zien dat informatie alleen gedrag nauwelijks verandert; een programma dat e-learning combineert met oefening aan de bestuurstafel sluit beter aan op wat de wet beoogt.

Geldt de plicht ook voor de raad van toezicht of de raad van commissarissen?

Nee. De NCTV stelt dat toezichthoudende bestuurders, zoals commissarissen, en niet-uitvoerende bestuurders niet onder de verplichting vallen. Veel organisaties laten hen wel vrijwillig meedoen, omdat het toezichthoudend orgaan moet kunnen beoordelen of het bestuur zijn cybersecurityrol waarmaakt.

Wat als een bestuurder weigert de training te volgen?

Dan voldoet de organisatie niet aan de wet en staat de bestuurder zelf zwak bij een incident of controle. Het ligt op de weg van het toezichthoudend orgaan om daarop aan te spreken; de training is immers de basis onder een verdedigbare bestuurspositie.

Telt een MBA met een cybersecurityvak?

Niet vanzelf. De training moet aantoonbaar de onderwerpen uit het Cyberbeveiligingsbesluit dekken en gericht zijn op de bestuurlijke rol, en het certificaat moet aan de vormeisen voldoen. Een algemeen MBA-vak voldoet daar zelden aan; controleer het certificaat en de behandelde onderwerpen voordat je erop leunt.

Wat kost een bestuurstraining?

Dat loopt uiteen van losse e-learnings per persoon tot begeleide programma's per bestuur. Ter indicatie, het complete programma van 2LRN4, met zes modules, twee toetsen, twee workshops op locatie, certificaat en bewijsdossier, kost 11.500 euro per bestuur tot acht deelnemers, plus 950 euro per jaar voor de actualisatie. Vergelijk aanbieders vooral op wat er als bewijs overblijft na afloop, want daar vraagt de toezichthouder naar.