Cyberbeveiliging is nu ook een bestuurstaak:

wat verwacht de Cyberbeveiligingswet (Cbw) van bestuurders?

Download de gratis Cbw checklist onder aan dit artikel.

Cyberbeveiliging, afgekort als Cbw, was lange tijd vooral het terrein van de IT-afdeling, de CISO of een externe ICT-dienstverlener. Het bestuur kreeg periodiek een rapportage en ging ervan uit dat specialisten de beveiliging regelden.

Met de Cyberbeveiligingswet is die benadering niet meer voldoende.

Sinds 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet van kracht. Daarmee is de Europese NIS2-richtlijn in Nederlandse wetgeving omgezet. Voor organisaties die onder deze wet vallen, wordt digitale weerbaarheid nadrukkelijk een verantwoordelijkheid van het bestuur.

Dat betekent niet dat bestuurders zelf firewalls moeten configureren of beveiligingsincidenten technisch moeten onderzoeken.

Het betekent wél dat zij voldoende moeten begrijpen van cyberrisico's om maatregelen te kunnen beoordelen, goed te keuren en toezicht te houden op de uitvoering.

En precies daar ligt voor veel organisaties nog werk.

Waarom is deze wet nodig?

Organisaties zijn digitaal steeds sterker met elkaar verbonden.

Een zorginstelling is afhankelijk van softwareleveranciers. Een gemeente gebruikt clouddiensten. Een productiebedrijf heeft systemen gekoppeld aan leveranciers en logistieke partners. Een storing of cyberaanval bij één partij kan daardoor gevolgen hebben voor een hele keten.

Cybersecurity gaat daarom allang niet meer alleen over het beschermen van computers.

Het gaat over continuïteit.

Kan een ziekenhuis blijven functioneren wanneer systemen uitvallen? Kan een gemeente haar dienstverlening voortzetten? Kan een leverancier blijven produceren? En wat gebeurt er wanneer vertrouwelijke informatie op straat komt te liggen?

De Cyberbeveiligingswet moet organisaties die belangrijk zijn voor economie en samenleving beter tegen dit soort risico's beschermen.

Eerst de belangrijkste vraag: geldt de Cyberbeveiligingswet voor onze organisatie?

Dit is de eerste vraag die ieder bestuur moet laten beantwoorden.

De Cyberbeveiligingswet geldt voor organisaties die essentiële of belangrijke diensten leveren binnen achttien sectoren. Daaronder vallen onder andere gezondheidszorg, energie, vervoer, drinkwater, digitale infrastructuur en overheid.

Omvang speelt daarbij een belangrijke rol, maar er bestaan uitzonderingen. Alleen naar het aantal medewerkers kijken is daarom onvoldoende.

Belangrijk is bovendien dat organisaties zelf verantwoordelijk zijn voor het vaststellen of zij onder de Cyberbeveiligingswet vallen.

Dat maakt dit een logisch eerste agendapunt voor bestuur of directie:

Hebben wij formeel vastgesteld of onze organisatie onder de Cyberbeveiligingswet valt en kunnen wij onderbouwen hoe wij tot die conclusie zijn gekomen?

Is het antwoord daarop nee, dan is dat de eerste actie.

Valt uw organisatie onder de wet? Dan ontstaan concrete verplichtingen

De Cyberbeveiligingswet kent verschillende verplichtingen. Voor bestuurders zijn vier onderdelen in ieder geval essentieel om te begrijpen: registratie, zorgplicht, incidentmelding en bestuurlijke verantwoordelijkheid.

Registreren

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister bij het NCSC.

Dit lijkt administratief, maar registratie heeft ook een praktische functie. Het zorgt ervoor dat relevante organisaties bekend zijn en toegang kunnen krijgen tot informatie en ondersteuning rondom cyberdreigingen en incidenten.

Voor het bestuur is de controle eenvoudig:

Zijn wij geregistreerd en is binnen onze organisatie duidelijk wie verantwoordelijk is voor het actueel houden van die registratie?

De zorgplicht gaat veel verder dan goede antivirussoftware

Dit is waarschijnlijk het belangrijkste inhoudelijke onderdeel van de wet.

Een organisatie moet passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico's voor netwerk- en informatiesystemen te beheersen.

Dat begint bij een risicoanalyse.

Welke systemen zijn cruciaal voor de organisatie? Welke dreigingen bestaan er? Wat gebeurt er wanneer een systeem uitvalt? Welke informatie kan verloren gaan? Welke leveranciers vormen een afhankelijkheid?

Pas wanneer die risico's bekend zijn, kan worden bepaald welke maatregelen passend zijn.

Daarmee verandert ook de rol van het bestuur.

Een bestuurder hoeft niet te bepalen welke firewall moet worden aangeschaft. Maar een bestuurder moet wel kunnen vragen:

Welk risico lossen we hiermee op?

En:

Waarom vinden we het resterende risico acceptabel?

Dat zijn bestuurlijke vragen.

Ook leveranciers horen bij uw cyberrisico

Een belangrijk aandachtspunt is de keten.

Organisaties besteden steeds meer digitale dienstverlening uit. Denk aan cloudomgevingen, salarisadministratie, patiëntsystemen, CRM-software, hosting, communicatieplatforms en gespecialiseerde SaaS-oplossingen.

Uitbesteden betekent echter niet dat het risico verdwijnt.

Een leverancier met onvoldoende beveiliging kan een ingang vormen naar uw organisatie of ervoor zorgen dat essentiële dienstverlening stilvalt.

Daarom moet leveranciersrisico onderdeel worden van de beoordeling.

Het bestuur hoeft niet iedere leverancier afzonderlijk te controleren, maar moet wel weten dat er een proces bestaat waarmee kritieke leveranciers worden beoordeeld en gemonitord.

Een nuttige vraag voor de volgende bestuursvergadering is daarom:

Welke externe leveranciers vormen voor onze organisatie het grootste continuïteits- of cyberrisico?

Als niemand die vraag direct kan beantwoorden, ontbreekt waarschijnlijk een belangrijk deel van het risicobeeld.

Wat gebeurt er wanneer het toch misgaat?

Geen enkele organisatie kan garanderen dat er nooit een cyberincident plaatsvindt.

De Cyberbeveiligingswet gaat daarom niet alleen over voorkomen, maar ook over reageren.

Significante incidenten moeten worden gemeld. Daarbij gelden wettelijke termijnen. In hoofdlijnen begint het proces met een vroege waarschuwing binnen 24 uur, gevolgd door nadere informatie binnen 72 uur en later een eindverslag.

Wanneer een ernstig incident plaatsvindt, is er dus weinig tijd om nog uit te zoeken wie wat moet doen.

Dat moet vooraf geregeld zijn.

Wie beoordeelt het incident? Wie informeert het bestuur? Wie verzorgt de melding? Wie onderhoudt contact met het CSIRT en de toezichthouder? Wie communiceert met medewerkers, klanten of andere betrokkenen?

Een incidentresponsplan dat alleen ergens als document opgeslagen staat, is niet voldoende.

Het moet bekend, uitvoerbaar en bij voorkeur geoefend zijn.

De belangrijkste verandering: het bestuur kan cybersecurity niet delegeren

Een organisatie kan beveiligingswerkzaamheden natuurlijk delegeren.

De bestuurlijke verantwoordelijkheid zelf verdwijnt daarmee niet.

Het bestuur moet de maatregelen die voortvloeien uit de zorgplicht goedkeuren en toezicht houden op de uitvoering daarvan.

Daarvoor moet het bestuur voldoende kennis hebben om de risico's en maatregelen daadwerkelijk te kunnen beoordelen.

De wet stelt daarom ook eisen aan de kennis van bestuurders. Bestuurders moeten passende training volgen.

Dat is een wezenlijk verschil met een algemene security-awarenesssessie.

Een bestuurder hoeft geen cybersecurityspecialist te worden. Wel moet hij of zij voldoende begrijpen om kritische vragen te kunnen stellen en antwoorden te kunnen beoordelen.

Wat moet een bestuurder dan weten?

Denk aan een directievergadering waarin wordt voorgesteld om een kostbare beveiligingsmaatregel te implementeren.

Een bestuurder moet kunnen begrijpen welk risico daarmee wordt verminderd, hoe groot dat risico is en welke gevolgen ontstaan wanneer de maatregel niet wordt genomen.

Hetzelfde geldt wanneer een CISO rapporteert dat een bepaalde kwetsbaarheid voorlopig wordt geaccepteerd.

Het bestuur moet kunnen beoordelen wat dat betekent.

Daarvoor is basiskennis nodig van onderwerpen zoals cyberrisico's, incidenten, continuïteit, leveranciersrisico's, toegangsbeheer, informatiebeveiliging en risicomanagement.

Niet om het werk van specialisten over te nemen, maar juist om daar goed leiding aan te kunnen geven.

Vergeet de medewerkers niet

Bestuurlijke verantwoordelijkheid is belangrijk, maar cyberweerbaarheid ontstaat uiteindelijk door de hele organisatie heen.

Een medewerker die een phishingbericht opent, vertrouwelijke gegevens verkeerd deelt of beveiligingsmaatregelen omzeilt, kan onbedoeld een ernstig incident veroorzaken.

Daarom is technische beveiliging alleen niet voldoende.

Medewerkers moeten begrijpen welke risico's zij tijdens hun dagelijkse werkzaamheden tegenkomen, hoe zij verdachte situaties herkennen en wat zij moeten doen wanneer iets misgaat.

Dat vraagt om structurele bewustwording en training.

Een jaarlijkse e-mail met beveiligingsregels is daarvoor geen serieus alternatief.

Van theorie naar uitvoering: wat kunt u als bestuurder nu doen?

Maak de Cyberbeveiligingswet concreet door tijdens de eerstvolgende bestuurs- of directievergadering zeven vragen te beantwoorden:

1. Valt onze organisatie onder de Cyberbeveiligingswet?
   Leg de beoordeling en onderbouwing vast.
2. Hebben wij aan onze registratieplicht voldaan?
   Controleer de registratie en leg eigenaarschap vast.
3. Hebben wij een actuele cyberrisicoanalyse?
   Niet alleen een technisch rapport, maar een analyse waarin ook processen, mensen, leveranciers en bedrijfscontinuïteit zijn meegenomen.
4. Welke risico's accepteert het bestuur bewust?
   Zorg dat belangrijke restrisico's expliciet worden besproken en niet stilzwijgend blijven bestaan.
5. Kunnen wij binnen 24 uur adequaat reageren op een significant incident?
   Controleer verantwoordelijkheden, procedures, bereikbaarheid en escalatielijnen.
6. Hebben bestuurders voldoende kennis om hun verantwoordelijkheid uit te voeren?
   Leg gevolgde training vast en zorg dat kennis periodiek wordt bijgewerkt.
7. Zijn onze medewerkers aantoonbaar voorbereid?
   Controleer of bewustwording en training structureel zijn ingericht en niet afhankelijk zijn van incidentele communicatie.

Kunt u deze zeven vragen overtuigend beantwoorden én aantonen waarop die antwoorden zijn gebaseerd, dan heeft u een goede basis.

Bij meerdere openstaande antwoorden is er werk te doen.

Maak cybersecurity een vast onderdeel van bestuur en toezicht

De grootste verandering die de Cyberbeveiligingswet vraagt, zit misschien niet in technologie maar in governance.

Cybersecurity hoort niet eenmaal per jaar als technisch onderwerp op de agenda te staan.

Maak er een terugkerend bestuurlijk onderwerp van.

Dat hoeft niet te betekenen dat iedere vergadering een technisch securityrapport wordt besproken. Een compact dashboard kan veel effectiever zijn.

Denk aan de belangrijkste cyberrisico's, openstaande maatregelen, incidenten, kritieke leveranciers, trainingsgraad en veranderingen in het risicoprofiel.

Zo kan het bestuur daadwerkelijk toezicht houden.

En minstens zo belangrijk: leg besluiten vast.

Wanneer een belangrijk cyberrisico wordt geaccepteerd, een investering wordt uitgesteld of een maatregel wordt goedgekeurd, moet later kunnen worden vastgesteld hoe die beslissing tot stand is gekomen.

Cybersecurity is geen verantwoordelijkheid van IT alleen

Dat is uiteindelijk de belangrijkste boodschap van de Cyberbeveiligingswet.

IT en securityspecialisten blijven essentieel. Zij beschikken over kennis die bestuurders niet hoeven te hebben.

Maar de verantwoordelijkheid voor digitale weerbaarheid hoort op dezelfde plaats thuis als financiële continuïteit, personeelsbeleid en andere wezenlijke bedrijfsrisico's.

Aan de bestuurstafel.

Dat vraagt niet om technische bestuurders.

Het vraagt om bestuurders die begrijpen welke vragen zij moeten stellen, die risico's kunnen beoordelen en die erop toezien dat gemaakte afspraken daadwerkelijk worden uitgevoerd.

Begin met drie concrete acties

Wilt u vandaag beginnen? Maak het dan niet ingewikkelder dan nodig.

1. Controleer eerst of uw organisatie onder de Cyberbeveiligingswet valt.
2. Laat vervolgens het bestuur de actuele cyberrisico's en bestaande maatregelen bespreken.
3. Controleer daarna of bestuurders én medewerkers beschikken over de kennis die past bij hun rol.

Daarmee is uw organisatie niet automatisch volledig compliant. Wel ontstaat een bestuurlijke basis waarop de verdere implementatie kan worden gebouwd.

ComplianceTrainingen.nl biedt trainingen waarmee organisaties kennis en bewustwording rondom informatiebeveiliging organisatiebreed kunnen borgen.

Voor bestuurders vraagt de Cyberbeveiligingswet daarbij nadrukkelijk om voldoende kennis om risico's en maatregelen te kunnen beoordelen.

Wilt u eerst ervaren hoe onze trainingen werken? Vraag dan vrijblijvend een gratis demo aan en beoordeel zelf hoe u training en bewustwording praktisch binnen uw organisatie kunt organiseren.

Download de gratis Cbw checklist (PDF) voor een eerste praktische zelfcontrole.