Wat het bestuur zelf moet doen onder NIS2: opleiding, toezicht en aantoonbaarheid

Onder de Cyberbeveiligingswet heeft het bestuur vier eigen taken: de beveiligingsmaatregelen goedkeuren, zelf over voldoende kennis en vaardigheden beschikken, daarvoor een training met certificaat volgen en die kennis aantoonbaar actueel houden. De kennis- en trainingsplicht geldt per bestuurslid en niet per bestuur, en de termijn loopt tot uiterlijk 15 augustus 2028. Wat de wet van je vraagt is niet dat je techniek begrijpt, maar dat je de maatregelen kunt beoordelen en dat het besluit daarover terug te vinden is.

Waar deze plicht vandaan komt

Leidinggeven is voor een groot deel besluiten nemen met de informatie die er op dat moment is. Dat is precies het punt waar NIS2 aangrijpt. Artikel 20 van de NIS2-richtlijn verplicht lidstaten ervoor te zorgen dat de bestuursorganen van essentiële en belangrijke entiteiten de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld. Het tweede lid van dat artikel voegt daar de opleidingsplicht voor bestuursleden aan toe, met de aansporing om vergelijkbare opleiding ook aan medewerkers aan te bieden.

In Nederland staat die opdracht in artikel 24 van de Cyberbeveiligingswet, dat het kopje governance draagt. Het is het enige artikel in de wet dat verplichtingen bij personen legt in plaats van bij de organisatie. De wet en het bijbehorende Cyberbeveiligingsbesluit zijn sinds 15 augustus 2026 van kracht. Wat de zorgplicht zelf inhoudt staat in onze NIS2-gids.

Vier plichten, en wat ze in de bestuurskamer betekenen

De bestuursplichten uit artikel 24 van de Cyberbeveiligingswet, vertaald naar wat je ervoor inricht.

Plicht	Wat de wet zegt	Wat je ervoor inricht
Goedkeuren (lid 1)	De maatregelen uit artikel 21 behoeven de goedkeuring van het bestuur	Een agendapunt, een besluit en notulen waarin staat wat is goedgekeurd en op welke datum
Kennis en vaardigheden (lid 2)	Ieder bestuurslid kan risico's identificeren, risicobeheersmaatregelen beoordelen en de gevolgen daarvan voor de eigen dienstverlening beoordelen	Een opleidingsplan per bestuurslid, niet één cursus voor de voorzitter
Training met certificaat (lid 5)	Ieder bestuurslid bezit een certificaat waaruit deelname blijkt aan een training over die onderwerpen	Een opleidingsregistratie met per persoon een certificaat dat aan vier inhoudelijke eisen voldoet
Actueel houden (lid 4)	Ieder bestuurslid houdt die kennis en vaardigheden aantoonbaar actueel, zonder einddatum	Een terugkerend moment in de jaaragenda plus vastlegging van wat er is gedaan

De termijn staat in het derde lid: ieder bestuurslid voldoet binnen twee jaar na inwerkingtreding van het tweede lid aan de kenniseis. Dat is uiterlijk 15 augustus 2028. Wie daarna wordt benoemd, heeft twee jaar vanaf de benoeming. Dat is genoeg tijd om het rustig te doen en te weinig tijd om het te vergeten, zeker bij een bestuur dat om de paar jaar wisselt.

Goedkeuren is een besluit, geen handtekening

De wet zegt dat de maatregelen de goedkeuring van het bestuur behoeven. Zonder bestuursbesluit staan ze dus niet vast. Een beleidsstuk dat alleen door de CISO of de IT-manager is getekend is geen goedkeuring, hoe goed het stuk ook is.

Praktisch betekent dat een besluitregel die drie dingen bevat: wat er is goedgekeurd (de maatregelenset en de scope waarop hij geldt), welke restrisico's daarbij bewust zijn geaccepteerd, en wanneer het bestuur er opnieuw naar kijkt. Dat laatste is geen wettelijke eis maar wel het verschil tussen een besluit dat één keer is genomen en toezicht dat doorloopt. De richtlijn vraagt immers ook om toezien op de uitvoering.

Wat toezicht in de praktijk vraagt is een rapportagelijn die iets te melden heeft. Een kwartaalrapportage met de stand van de maatregelen, de openstaande bevindingen, de incidenten en de wijzigingen in het risicobeeld is genoeg om als bestuur te kunnen sturen. Een jaarlijkse presentatie zonder cijfers is dat niet.

De training: inhoud, tijd en kosten

Het Cyberbeveiligingsbesluit werkt de training uit in drie artikelen. Artikel 20 legt het doel vast: het bestuurslid moet risico's kunnen identificeren en de gevolgen daarvan voor de eigen dienstverlening kunnen beoordelen, plus de risicobeheersmaatregelen en hun gevolgen. Artikel 21 schrijft de onderwerpen voor:

• de soorten risico's voor netwerk- en informatiesystemen;
• risicomanagementprocessen;
• risicobeoordelingsmethodiek;
• de tien zorgplichtonderwerpen uit artikel 21, derde lid, van de wet, van incidentbehandeling en back-ups tot toeleveringsketen, cryptografie en multifactorauthenticatie.

De nota van toelichting is uitgesproken over het niveau. Het gaat uitdrukkelijk niet om een opleiding waarin van de bestuurder technische kennis wordt verwacht of het vermogen om de werking van netwerk- en informatiesystemen uit te leggen. Wel wordt kennis op strategisch niveau verwacht, zodat de bestuurder de maatregelen kan beoordelen en de risico's kan laten beheersen.

De omvang is bekend uit de regeldrukberekening bij het besluit. Bestuurders van middelgrote ondernemingen zijn naar verwachting bijna 5 uur per persoon aan de training kwijt, bij grote ondernemingen bijna 9 uur. De eenmalige governancekosten komen gewogen uit op ongeveer 7.750 euro per organisatie, waarvan ruim 5.500 euro out-of-pocket voor de trainer en de rest bestuurstijd. Dat bedrag is het gewogen gemiddelde over alle 7.550 bedrijven uit die regeldrukberekening (Tabel 1, Stb. 2026, 189); bij een middelgrote onderneming komt de training zelf op ongeveer 6.000 euro uit. Structureel is het beperkt: ongeveer 388 euro per jaar per organisatie. Dat is een andere orde dan de zorgplicht zelf, die in dezelfde berekening op gemiddeld ruim 136.000 euro eenmalig per organisatie uitkomt.

Wat er op het certificaat moet staan

Artikel 22 van het besluit stelt vier eisen aan het certificaat: de naam van het bestuurslid, de datum of data waarop de training is gevolgd, de behandelde onderwerpen en de naam van de aanbieder. Het certificaat moet in het Nederlands of het Engels zijn opgesteld. De training zelf mag in elke taal worden gegeven.

Er is geen erkenningsstelsel voor aanbieders. De eis dat de trainer een onafhankelijke, externe partij moet zijn stond in het ontwerp maar is na de internetconsultatie geschrapt. Je kunt de training dus ook intern organiseren, mits de onderwerpen zijn gedekt en het certificaat aan de vier eisen voldoet. Controleer bij inkoop vooral of de behandelde onderwerpen daadwerkelijk op het papier komen te staan, want dat is waar een toezichthouder aan kan aflezen of de training aan de eisen voldeed.

Actueel houden zonder certificaat

Voor het actueel houden uit het vierde lid is geen certificaat verplicht. De toelichting zegt dat een bestuurslid dat ook op andere wijze mag aantonen. Dat klinkt vriendelijk, maar het legt de bewijslast wel bij jou: je bepaalt zelf hoe je het aantoont. Een deelnamebevestiging van een jaarlijkse sessie, een verslag van een crisisoefening waarin het bestuur meedeed of een korte notitie bij de directiebeoordeling zijn allemaal bruikbaar, zolang ze een datum en een naam dragen.

Aantoonbaar: het dossier dat je bouwt

Aantoonbaar betekent in de praktijk dat een ander het kan nalezen zonder jou erbij. Vier documenten dekken het grootste deel:

• Besluitregister. Per goedkeuring: datum, wat is goedgekeurd, welke versie van het maatregelenoverzicht en welke restrisico's bewust zijn geaccepteerd.
• Notulen. Het gesprek achter het besluit, inclusief de vragen die het bestuur heeft gesteld. Dat is het bewijs dat de goedkeuring een beoordeling was.
• Opleidingsregistratie. Per bestuurslid het certificaat, de datum en de behandelde onderwerpen, plus wat er sindsdien is gedaan om de kennis actueel te houden.
• Rapportages aan het bestuur. De stukken waarop het toezicht steunt: stand van de maatregelen, incidenten, bevindingen en wijzigingen in het risicobeeld.

Wat er gebeurt als dit dossier er niet is valt buiten dit artikel. Dat staat in NIS2-boetes: hoe hoog zijn ze en wie is aansprakelijk?.

Wie in jouw organisatie als bestuur telt

Artikel 24 regelt dat zelf, en de uitwerking is breder dan een raad van bestuur. Zit er een rechtspersoon in het bestuur, dan gelden de plichten voor de natuurlijke personen die namens die rechtspersoon zitting hebben. Bij een monistisch bestuursmodel op grond van artikel 129a of 239a van Boek 2 van het Burgerlijk Wetboek gelden ze uitsluitend voor de uitvoerende bestuurders. Bij een maatschap geldt het voor iedere maat, bij een vennootschap onder firma voor iedere vennoot en bij een commanditaire vennootschap voor de beherende vennoten.

Voor overheidsinstanties wijst de wet het bestuur aan: bij ministeries de minister, bij zelfstandige bestuursorganen van de centrale overheid het bestuursorgaan zelf, bij provincies gedeputeerde staten, bij gemeenten het college van burgemeester en wethouders, bij waterschappen het dagelijks bestuur en bij gemeenschappelijke regelingen het dagelijks bestuur van het openbaar lichaam.

Twee uitzonderingen die je moet kennen

Geldt de zorgplicht van artikel 21 niet voor je entiteit, dan geldt artikel 24 ook niet. Dat staat in het dertiende lid en volgt de logica van de wet: zonder maatregelen valt er niets goed te keuren.

Voor instellingen voor hoger onderwijs die op grond van artikel 11 of 13 zijn aangewezen geldt een eigen termijn: de artikelen 21 en 24 zijn op hen pas van toepassing vanaf 36 maanden na de aanwijzing. Dat is de enige groep waarvoor de wet de bestuursplichten opschuift.

Waar je als bestuur vandaag begint

Drie dingen kun je deze maand doen. Zet de goedkeuring van de maatregelen als apart agendapunt op de eerstvolgende vergadering, zodat er een besluit ligt in plaats van een aanname. Maak een lijst van je bestuursleden met per persoon de datum waarop de training is gevolgd of gepland, en reken terug vanaf 15 augustus 2028. Vraag om één rapportage die je als bestuur echt kunt lezen.

Wil je de eerste rapportage laten beginnen met iets meetbaars, dan is de technische buitenkant het makkelijkste startpunt. Met onze gratis domeinscan zie je in een paar minuten hoe je domein ervoor staat op TLS, security headers, DNSSEC en e-mailbeveiliging, en welke daarvan als bewijs meetellen. Dat is niet het hele verhaal, maar het is wel een cijfer waar een bestuursgesprek mee kan beginnen.