In het kort
- Vanaf 15 augustus moeten de zorgplichtmaatregelen de goedkeuring hebben van het bestuur van een essentiële of belangrijke entiteit.
- Het bestuur moet toezien op de uitvoering. Goedkeuring op papier zonder zicht op werking en opvolging is onvoldoende bestuurlijke grip.
- Ieder bestuurslid moet kennis en vaardigheden hebben om cyberrisico’s, maatregelen en gevolgen voor de dienstverlening te kunnen beoordelen.
- Voor zittende bestuursleden geldt voor die kennis- en vaardigheidseis een overgangstermijn van twee jaar. Nieuwe bestuursleden krijgen twee jaar na hun benoeming.
- De verplichte training moet aansluiten op de onderwerpen uit de Cbw en het Cyberbeveiligingsbesluit. Deelname wordt aangetoond met een certificaat.
- Bestuurlijke aantoonbaarheid zit vooral in besluiten, risicoacceptatie, rapportage, eigenaarschap, evaluaties, opvolging en opleidingsbewijs.
- De CISO en IT kunnen voorbereiden en adviseren. De wettelijke bestuurlijke rol kan niet simpelweg naar hen worden gedelegeerd.
De Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van NIS2, geldt vanaf 15 augustus 2026. Voor organisaties die als essentiële of belangrijke entiteit onder de wet vallen, verschuift cybersecurity daarmee definitief van uitsluitend een technisch onderwerp naar een aantoonbaar onderdeel van bestuurlijke risicobeheersing.
Dat betekent niet dat het bestuur zelf firewalls moet configureren of incidentlogs moet analyseren. Het betekent wel dat bestuurders voldoende informatie, kennis en besluitvorming moeten organiseren om te kunnen beoordelen of de organisatie haar cyberrisico’s passend beheerst.
Actueel vanaf 15 augustus: de verplichting om maatregelen goed te keuren en daarop toe te zien geldt nu. Voor de specifieke kennis- en vaardigheidseis van uitvoerende bestuurders geldt een termijn van twee jaar. Die twee jaar is dus geen uitstel voor bestuurlijke sturing. Bekijk wat een organisatie die nog niet volledig klaar is nu eerst moet organiseren.
Zoekt u een concrete bestuurssessie in plaats van wettelijke uitleg? Bekijk de NIS2 Bestuurderstraining →
Wat verlangt artikel 24 van het bestuur?
Artikel 24 van de Cyberbeveiligingswet vormt de kern van de bestuurlijke verplichtingen. In praktische taal komen daar drie rollen uit voort:
Goedkeuren
De risicobeheersmaatregelen uit de zorgplicht moeten bestuurlijk worden goedgekeurd. Het bestuur moet dus weten welke risico’s worden behandeld, welke maatregelen worden gekozen en welke restrisico’s overblijven.
Toezien
Na goedkeuring moet het bestuur zicht houden op uitvoering, effectiviteit, tekortkomingen en escalaties. Een vastgesteld beleid is niet hetzelfde als aantoonbare werking.
Kunnen beoordelen
Ieder bestuurslid moet genoeg kennis en vaardigheden hebben om cyberrisico’s, beheersmaatregelen en de gevolgen daarvan voor de dienstverlening op strategisch niveau te beoordelen.
Aantoonbaar houden
Kennis en vaardigheden moeten aantoonbaar actueel blijven. De verplichte training en het certificaat vormen daarvoor een belangrijk bewijsstuk, maar bestuurlijke beheersing vraagt daarnaast doorlopende rapportage en besluitvorming.
Wat moet het bestuur precies goedkeuren?
De goedkeuringsplicht ziet op de maatregelen waarmee de organisatie invulling geeft aan de Cbw-zorgplicht. Die zorgplicht is risicogebaseerd: de organisatie moet passende en evenredige technische, operationele en organisatorische maatregelen nemen.
De wet benoemt ten minste tien onderwerpen die in dat stelsel van maatregelen terugkomen:
- beleid voor risicoanalyse en beveiliging van informatiesystemen;
- incidentenbehandeling;
- bedrijfscontinuïteit, back-upbeheer, noodvoorzieningen en crisisbeheer;
- beveiliging van de toeleveringsketen en directe leveranciers;
- veilig verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief kwetsbaarhedenbeheer;
- beleid en procedures om de effectiviteit van maatregelen te beoordelen;
- basispraktijken voor cyberhygiëne en opleiding;
- beleid en procedures voor cryptografie en waar passend encryptie;
- personeelsbeveiliging, toegangsbeleid en beheer van assets;
- waar passend multifactorauthenticatie, continue authenticatie en beveiligde communicatie.
Wat betekent ‘toezicht houden’ in de praktijk?
Een jaarlijks cybersecurity-item op de agenda is geen robuuste toezichtscyclus. Het bestuur heeft een ritme nodig waarmee afwijkingen, incidenten, nieuwe dreigingen en vertraagde acties zichtbaar worden voordat ze escaleren.
Een bruikbare bestuursrapportage hoeft niet technisch te zijn. Zij moet antwoord geven op vragen zoals:
- Welke cyberrisico’s kunnen onze kritieke dienstverlening wezenlijk verstoren?
- Welke risico’s liggen boven onze afgesproken risicobereidheid?
- Welke maatregelen zijn nog niet geïmplementeerd of werken onvoldoende?
- Welke kritieke leveranciers vormen een concentratie- of continuïteitsrisico?
- Zijn herstel, back-ups en crisisbesluitvorming recent getest?
- Kunnen wij een significant incident binnen de wettelijke termijnen herkennen, escaleren en melden?
- Welke bevindingen uit audits, pentesten of incidenten staan nog open?
- Welke besluiten of middelen zijn nu van het bestuur nodig?
Governancy-principe: rapporteer niet alleen hoeveel maatregelen ‘groen’ staan. Verbind ieder relevant risico aan een eigenaar, maatregel, bewijs van werking, tekortkoming, actie en bestuurlijk besluit.
Moet de bestuurderstraining vóór 15 augustus zijn afgerond?
Nee. Dit is een belangrijk detail dat in veel NIS2-communicatie verloren gaat. Artikel 24 geeft zittende bestuursleden twee jaar na de inwerkingtreding om aan de wettelijke kennis- en vaardigheidseis te voldoen. Een bestuurslid dat later wordt benoemd, krijgt daarvoor twee jaar na de benoeming.
Dat betekent niet dat het verstandig is twee jaar te wachten. Het bestuur moet vanaf 15 augustus al maatregelen goedkeuren en toezicht houden. Zonder voldoende kennis wordt het moeilijk om die taak overtuigend uit te voeren.
Wat moet een Cbw-bestuurderstraining behandelen?
Het Cyberbeveiligingsbesluit werkt de training concreet uit. De training moet bestuurders in staat stellen om risico’s voor netwerk- en informatiesystemen te identificeren en de gevolgen voor de dienstverlening te beoordelen. Ook moeten zij cyberbeveiligingsmaatregelen en de gevolgen daarvan kunnen beoordelen.
Daarvoor behandelt de training in ieder geval:
- soorten risico’s voor netwerk- en informatiesystemen;
- risicomanagementprocessen;
- risicobeoordelingsmethodiek;
- de onderwerpen die onder de wettelijke zorgplicht vallen, waaronder incidentafhandeling, continuïteit, leveranciers, kwetsbaarhedenbeheer, effectiviteitsbeoordeling, cyberhygiëne, cryptografie, toegangsbeheer en authenticatie.
Wat moet op het certificaat staan?
Het certificaat van de training bevat volgens het Cyberbeveiligingsbesluit minimaal:
- de naam van het bestuurslid;
- de datum of data waarop de training is gevolgd;
- de behandelde onderwerpen;
- de naam van de aanbieder van de training.
Welke bestuurlijke bewijsstukken moet u kunnen laten zien?
De wet schrijft niet één verplicht ‘bestuursdossier’ voor. Toch is een samenhangend bewijsdossier praktisch essentieel wanneer u intern wilt sturen of later vragen krijgt van een toezichthouder.
| Onderwerp | Praktisch bewijs | Bestuurlijke vraag |
|---|---|---|
| Toepasselijkheid | Scope- en entiteitsanalyse, gebruikte bronnen, besluit of juridische beoordeling. | Waarom valt deze entiteit wel of niet onder de Cbw? |
| Cyberrisico’s | Actuele risicoanalyse, kritieke diensten, afhankelijkheden en risicobereidheid. | Welke risico’s kunnen de continuïteit of veiligheid wezenlijk raken? |
| Goedkeuring maatregelen | Bestuursbesluit, notulen of besluitregister met relevante maatregelen en prioriteiten. | Welke maatregelen hebben wij goedgekeurd en waarom zijn ze passend? |
| Restrisico | Vastgelegde uitzonderingen, risicoacceptaties, eigenaar en einddatum. | Welke risico’s accepteren we bewust en onder welke voorwaarden? |
| Toezicht | Periodieke rapportage over KPI’s/KRI’s, afwijkingen, incidenten, tests en openstaande acties. | Hoe weten we dat de maatregelen daadwerkelijk werken? |
| Incidenten | Escalatiematrix, crisisrollen, meldprocedure, oefeningen en incidentdossiers. | Kunnen we binnen 24 en 72 uur bestuurlijk handelen? |
| Leveranciers | Criticaliteitsindeling, beoordelingen, contractafspraken, assurance en opvolging. | Waar zijn we afhankelijk van derden en hoe beheersen we dat? |
| Opleiding | Trainingscertificaten en bewijs van actuele kennis. | Kan ieder bestuurslid risico’s en maatregelen voldoende beoordelen? |
| Verbetering | Evaluaties, auditbevindingen, verbeterregister, deadlines en besluiten over middelen. | Wat werkt niet genoeg en hoe volgen we verbetering aantoonbaar op? |
Tien vragen voor de eerstvolgende bestuursvergadering
Besturen die nog geen volwassen cybergovernancecyclus hebben, hoeven niet te beginnen met een nieuw dashboard van vijftig indicatoren. Begin met tien vragen waarop een concreet antwoord en waar nodig een besluit moet volgen:
Valt de juiste juridische entiteit onder de wet?
Bevestig sector, activiteit, omvang, uitzonderingen en groepsstructuur. Leg de onderbouwing vast.
Welke diensten mogen niet uitvallen?
Koppel kritieke dienstverlening aan systemen, mensen, locaties en leveranciers.
Wat zijn onze grootste cyberrisico’s?
Vraag niet alleen om een technische kwetsbaarhedenlijst, maar om scenario’s met bedrijfsimpact.
Welke maatregelen behoeven nu expliciet onze goedkeuring?
Maak zichtbaar wat al is besloten, wat nog concept is en waar middelen of risicoacceptatie nodig zijn.
Welke tekortkomingen zijn niet acceptabel om open te laten?
Prioriteer op impact en urgentie, niet op het gemak waarmee een vinkje kan worden gezet.
Kunnen wij een significant incident tijdig herkennen en melden?
Controleer besluitvorming, 24/7 bereikbaarheid, wettelijke termijnen en vervanging.
Welke leveranciers kunnen onze dienst stilleggen?
Verbind leverancierscriticaliteit aan incidentmelding, continuïteit, contracten en assurance.
Hoe meten we of maatregelen echt werken?
Gebruik tests, audits, herstelproeven, reviews en incidentdata als bewijs van effectiviteit.
Wat moet het bestuur zelf nog leren?
Plan de Cbw-training tijdig en leg ook daarna vast hoe kennis actueel wordt gehouden.
Welk besluit leggen we vandaag vast?
Sluit het onderwerp niet af met ‘IT pakt het op’. Leg eigenaar, middelen, termijn, restrisico en rapportagemoment vast.
Wat blijft bij bestuur en wat kan bij CISO, IT of risk liggen?
Goede governance betekent niet dat het bestuur operationeel werk naar zich toe trekt. Het betekent dat rollen scherp zijn.
| Rol | Typische verantwoordelijkheid |
|---|---|
| Bestuur | Goedkeuren van maatregelen, risicobereidheid en prioriteiten; toezicht op uitvoering; zorgen voor voldoende middelen en bestuurlijke escalatie. |
| CISO / security | Risico’s analyseren, beleidsvoorstellen voorbereiden, adviseren, monitoren en rapporteren over werking en tekortkomingen. |
| IT / operations | Maatregelen technisch en operationeel uitvoeren, beheren, testen en bewijs leveren. |
| Risk / compliance / legal | Wet- en normkaders vertalen, risico- en bewijsstructuur ondersteunen en afwijkingen helpen beoordelen. |
| Proceseigenaren | Risico’s en maatregelen in de eigen dienstverlening uitvoeren en escaleren. |
| Interne audit / onafhankelijke toets | Onafhankelijk beoordelen of governance, processen en maatregelen aantoonbaar werken. |
De CISO kan dus een uitstekend dashboard maken en een advies formuleren. Maar het besluit over passende maatregelen, middelen en geaccepteerde risico’s moet bestuurlijk herkenbaar blijven.
Vier valkuilen die bestuurlijke aantoonbaarheid verzwakken
1. ‘We hebben een CISO’
Een deskundige functionaris is noodzakelijk, maar vervangt de goedkeurings- en toezichtrol van het bestuur niet.
2. ‘We hebben ISO 27001’
Een ISMS is een sterke basis, maar wettelijke scope, artikel 24, registratie en meldplichten moeten afzonderlijk worden beoordeeld.
3. ‘De training doen we over twee jaar’
De overgangstermijn geeft tijd om aan de kennis- en vaardigheidseis te voldoen. Bestuurlijke besluitvorming en toezicht starten niet pas over twee jaar.
4. ‘Het projectplan is goedgekeurd’
Een verbeterplan laat zien wat nog moet gebeuren, maar maakt openstaande wettelijke tekortkomingen niet automatisch compliant.
Wat als u al ISO 27001 gebruikt?
Een werkend ISO 27001-ISMS kan veel van de benodigde bestuurlijke structuur ondersteunen: risicoanalyse, rollen, beleid, managementreview, interne audit, leveranciersbeheer, incidentmanagement en continue verbetering. Dat is waardevol omdat de Cbw eveneens uitgaat van risicogebaseerde en aantoonbare beheersing.
Maak wel expliciet zichtbaar waar de wettelijke laag bovenop het ISMS komt. Denk aan de formele Cbw-scope, registratie, wettelijke incidenttermijnen, de specifieke governanceverplichtingen uit artikel 24 en sectorale eisen.
Lees ook: ISO 27001 als basis voor NIS2 - welke eisen moeten afzonderlijk worden beoordeeld?
Kan een bestuurder zelf worden aangesproken?
De Cyberbeveiligingswet bevat specifieke handhavingsmogelijkheden voor de kennis- en vaardigheidsverplichtingen van bestuursleden. De bevoegde autoriteit kan bij overtreding van artikel 24, tweede tot en met zesde lid, onder meer een last onder dwangsom opleggen en een bestuurlijke boete aan een bestuurslid opleggen. De wettelijke bovengrens voor die bestuurlijke boete is € 25.000.
Dat staat los van de vraag of in een concrete situatie daarnaast civielrechtelijke bestuurdersaansprakelijkheid of andere aansprakelijkheid kan spelen. Daarvoor zijn de feiten en het toepasselijke recht bepalend. Gebruik het boetebedrag daarom niet als angstargument; de governancevraag is relevanter: kan het bestuur laten zien dat het geïnformeerd heeft besloten, toezicht hield en tekortkomingen opvolgde?
Bestuurlijke checklist voor 15 augustus en daarna
- De toepasselijkheid van de Cyberbeveiligingswet is bestuurlijk bekend en onderbouwd.
- Het bestuur weet welke kritieke diensten, systemen en leveranciers de grootste risico’s dragen.
- De relevante risicobeheersmaatregelen zijn ter goedkeuring geagendeerd of aantoonbaar goedgekeurd.
- Openstaande tekortkomingen hebben een eigenaar, deadline, prioriteit en waar nodig een bestuurlijk besluit over restrisico.
- Er is een vaste rapportagecyclus voor cyberrisico’s, incidenten, tests, leveranciers en verbeteracties.
- De incident- en meldketen is bestuurlijk duidelijk en buiten kantooruren bruikbaar.
- De opleidingsroute voor ieder relevant bestuurslid is gepland binnen de wettelijke termijn.
- Trainingscertificaten en latere actualisering van kennis worden aantoonbaar bewaard.
- Cybersecurity is onderdeel van regulier risicomanagement en geen los complianceproject.
Veelgestelde vragen
Moet de bestuurderstraining nu al zijn afgerond?
Nee. Voor uitvoerende bestuurders geldt een termijn van twee jaar om aan de kennis- en vaardigheidseis te voldoen. De verplichting van het bestuur om risicobeheersmaatregelen goed te keuren en toezicht te houden op de uitvoering geldt wel vanaf 15 augustus 2026.
Geldt de opleidingsplicht voor één IT-bestuurder of voor het hele bestuur?
Artikel 24 richt de kennis- en vaardigheidseis op ieder lid van het bestuur van een essentiële of belangrijke entiteit. Voor specifieke rechtsvormen bevat de wet nadere regels, waaronder een uitzondering voor niet-uitvoerende bestuurders in een one-tier board.
Moet een bestuurder technisch cybersecurityexpert worden?
Nee. Het Cyberbeveiligingsbesluit verlangt strategische kennis waarmee een bestuurder risico’s, risicomanagement en cyberbeveiligingsmaatregelen kan begrijpen en beoordelen. De toelichting zegt expliciet dat geen technische deep dive wordt verwacht.
Wat moet op het certificaat van de bestuurderstraining staan?
Minimaal de naam van het bestuurslid, de datum of data van de training, de behandelde onderwerpen en de naam van de aanbieder. Het certificaat moet in het Nederlands of Engels zijn opgesteld.
Is ISO 27001 voldoende voor de bestuurlijke verplichtingen?
ISO 27001 kan een sterk fundament bieden voor risicomanagement, directiebetrokkenheid en periodieke beoordeling, maar vervangt de specifieke verplichtingen uit artikel 24 van de Cyberbeveiligingswet niet.
Kan de CISO de verantwoordelijkheid van het bestuur overnemen?
Nee. De CISO, IT, risk en externe adviseurs kunnen analyseren, adviseren en uitvoeren. De wettelijke goedkeuring en het bestuurlijke toezicht blijven bij het bestuur zoals artikel 24 die rol definieert.
Officiële bronnen
Deze pagina is op 13 augustus 2026 gecontroleerd aan de hand van actuele primaire overheidsbronnen. Bij formele juridische besluitvorming blijft de actuele wetstekst en informatie van de bevoegde toezichthouder leidend.
- Staatsblad 2026, 187 - Cyberbeveiligingswet, waaronder artikel 24 over governance
- Staatsblad 2026, 189 - Cyberbeveiligingsbesluit, artikelen 20–22 over bestuurderstraining en certificaat
- NCSC - Vragen die u als bestuurder kunt stellen aan de CISO
- NCSC - Zorgplicht onder de Cyberbeveiligingswet
- Rijksoverheid - Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
Wilt u de bestuurlijke verantwoordelijkheid direct vertalen naar uw eigen organisatie?
De NIS2 Bestuurderstraining verbindt wettelijke eisen aan uw eigen risico’s, besluitvorming en toezicht. Is eerst onduidelijk waar de organisatie als geheel staat, dan kan de NIS2 Gap Analyse de bredere uitgangspositie in kaart brengen.