Gratis register bestuurderstraining Cyberbeveiligingswet
Elk bestuurslid van een essentiële of belangrijke entiteit heeft een certificaat van een cybertraining nodig, zittende bestuurders uiterlijk 15 augustus 2028. Met dit gratis Excel-register houdt u per bestuurslid bij of dat op orde is.
Laatst bijgewerkt op 16 oktober 2026
Gratis download · Excel
Register bestuurderstraining Cyberbeveiligingswet
Een register bestuurderstraining is een overzicht van alle bestuursleden met de cybertraining die zij volgden, het certificaat en de uiterste datum, zodat de organisatie kan aantonen dat zij aan artikel 24 van de Cyberbeveiligingswet voldoet. Dit register rekent die uiterste datum zelf uit en kleurt de status per bestuurslid.
Wat de wet van bestuurders vraagt
| Wat | Termijn | Wetsartikel |
|---|---|---|
| Het bestuur keurt de maatregelen van de zorgplicht goed | sinds 15 augustus 2026 | art. 24 lid 1 Cbw |
| Elk bestuurslid heeft kennis van cyberrisico's en maatregelen | uiterlijk 15 augustus 2028, of twee jaar na benoeming | art. 24 lid 2 en 3 Cbw |
| Elk bestuurslid heeft een certificaat van een training | idem | art. 24 lid 5 Cbw, art. 21 en 22 Cbb |
| Elk bestuurslid houdt de kennis aantoonbaar actueel | doorlopend | art. 24 lid 4 Cbw |
De toezichthouder kan een bestuurslid dat hier niet aan voldoet persoonlijk een last onder dwangsom of een boete van ten hoogste € 25.000 opleggen (artikelen 92 en 93 Cbw). Meer uitleg staat in Cyberbeveiligingswet voor bestuurders: trainingsplicht en aansprakelijkheid.
Wat er in het register staat
Het Excel-bestand heeft vijf bladen:
- Start: uitleg, deadlines en licentie.
- Register: één regel per bestuurslid. De uiterste datum en de status (✓ Op orde, ! Binnen 90 dagen, ✕ Te laat of Open) rekent het register zelf uit.
- Controle training: legt een training naast de 13 verplichte onderwerpen en de eisen aan het certificaat, voor maximaal drie aanbieders tegelijk.
- Bijscholing: om vast te leggen hoe bestuurders hun kennis actueel houden. Daarvoor is geen certificaat nodig, maar wel bewijs.
- Overzicht: hoeveel bestuursleden op orde zijn en wanneer de eerstvolgende uiterste datum is.
De 14 kolommen van het register
Naam bestuurslid
Ieder lid van het bestuur valt onder de plicht; de naam staat ook op het certificaat.
Art. 24 lid 2 Cbw, art. 22 lid 1 a Cbb
Functie
Bijvoorbeeld directeur, CFO of wethouder.
Soort bestuurder
Bij een one-tier board alleen uitvoerende bestuurders; bij een rechtspersoon als bestuurder de natuurlijke personen die namens hem in het bestuur zitten; bij maatschap, vof en cv iedere maat, vennoot of beherend vennoot.
Art. 24 lid 7 tot en met 12 Cbw
Datum benoeming
Bepaalt de uiterste datum voor wie na 15 augustus 2026 is benoemd.
Art. 24 lid 3 Cbw
Uiterlijk certificaat
Rekent het register zelf uit: 15 augustus 2028 voor wie al bestuurder was, anders twee jaar na de benoeming.
Art. 24 lid 3 Cbw, art. 35 Cbb
Datum training
De datum of data waarop de training is gevolgd.
Art. 22 lid 1 b Cbb
Aanbieder
Wie de training gaf; die naam staat op het certificaat.
Art. 22 lid 1 d Cbb
Onderwerpen volledig
Behandelde de training alle verplichte onderwerpen? Controleer dat met het blad Controle training.
Art. 21 Cbb
Certificaat aanwezig
Elk bestuurslid bezit een certificaat waaruit de deelname blijkt.
Art. 24 lid 5 Cbw
Certificaat compleet
Staan naam, datum, behandelde onderwerpen en aanbieder op het certificaat?
Art. 22 lid 1 Cbb
Taal certificaat
Het certificaat is in het Nederlands of het Engels; de training zelf mag in elke taal.
Art. 22 lid 2 Cbb
Vindplaats certificaat
Waar het certificaat is opgeslagen, zodat u het bij een vraag van de toezichthouder snel kunt tonen.
Laatste bijscholing
De kennis moet aantoonbaar actueel blijven. Daarvoor is geen nieuw certificaat nodig; leg de bijscholing vast op het blad Bijscholing.
Art. 24 lid 4 Cbw
Status
Rekent het register zelf uit: ✓ Op orde, ! Binnen 90 dagen, ✕ Te laat of Open.
De 13 verplichte onderwerpen van de training
Risico's identificeren en hun gevolgen beoordelen
- Soorten risico's voor netwerk- en informatiesystemen (Art. 21 lid 1 Cbb)
- Risicomanagementprocessen (Art. 21 lid 1 Cbb)
- Risicobeoordelingsmethodiek (Art. 21 lid 1 Cbb)
Maatregelen en hun gevolgen beoordelen
- Beleid inzake risicoanalyse en beveiliging van informatiesystemen (Art. 21 lid 2 Cbb, art. 21 lid 3 a Cbw)
- Incidentenbehandeling (Art. 21 lid 2 Cbb, art. 21 lid 3 b Cbw)
- Bedrijfscontinuïteit (back-ups, herstel) en crisisbeheer (Art. 21 lid 2 Cbb, art. 21 lid 3 c Cbw)
- Beveiliging van de toeleveringsketen (Art. 21 lid 2 Cbb, art. 21 lid 3 d Cbw)
- Beveiliging bij verwerven, ontwikkelen en onderhouden, en omgaan met kwetsbaarheden (Art. 21 lid 2 Cbb, art. 21 lid 3 e Cbw)
- Beoordelen van de effectiviteit van maatregelen (Art. 21 lid 2 Cbb, art. 21 lid 3 f Cbw)
- Cyberhygiëne en opleiding (Art. 21 lid 2 Cbb, art. 21 lid 3 g Cbw)
- Cryptografie en encryptie (Art. 21 lid 2 Cbb, art. 21 lid 3 h Cbw)
- Personeel, toegangsbeleid en beheer van assets (Art. 21 lid 2 Cbb, art. 21 lid 3 i Cbw)
- Multifactorauthenticatie en beveiligde (nood)communicatie (Art. 21 lid 2 Cbb, art. 21 lid 3 j Cbw)
Wat er op het certificaat moet staan
- Naam van het bestuurslid (Art. 22 lid 1 a Cbb)
- Datum of data van de training (Art. 22 lid 1 b Cbb)
- Behandelde onderwerpen (Art. 22 lid 1 c Cbb)
- Naam van de aanbieder (Art. 22 lid 1 d Cbb)
- In het Nederlands of het Engels (Art. 22 lid 2 Cbb)
Artikel 24 vraagt ook dat het bestuur de maatregelen van de zorgplicht goedkeurt; dat geldt al sinds 15 augustus 2026. De Cyberbeveiligingswet Toolkit bevat daarvoor CBW-002 Bestuur - goedkeuring en training en CMP-001 Competenties, training en bewustzijn. Bekijk de Cyberbeveiligingswet Toolkit
Zo gebruikt u het register
- Stel vast wie onder artikel 24 valt. Ieder lid van het bestuur; bij een rechtspersoon als bestuurder de mensen die namens hem in het bestuur zitten; bij een one-tier board alleen de uitvoerende bestuurders; bij een maatschap, vof of cv iedere maat of (beherend) vennoot.
- Vul per bestuurslid de datum van benoeming in. Laat die leeg voor wie op 15 augustus 2026 al bestuurder was; dan rekent het register met 15 augustus 2028.
- Toets een training vóór u hem inkoopt op het blad Controle training. Een training die niet alle onderwerpen behandelt, levert geen bruikbaar certificaat op.
- Vul na de training de datum, de aanbieder en de controle van het certificaat in.
- Bekijk het Overzicht voor de eerstvolgende uiterste datum, en zet nieuwe benoemingen er direct in.
Licentie en bronnen
Het register valt onder Creative Commons Naamsvermelding 4.0 (CC BY 4.0): gebruiken, aanpassen en delen mag, ook commercieel, met vermelding van MaasISO en een link naar deze pagina. De kolommen en onderwerpen komen uit de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Het register is geen juridisch advies. Wilt u alle verplichtingen van de wet in één lijst, gebruik dan ook de gratis NIS2-checklist.
Feiten en bronnen
| Trainingsplicht bestuur | Artikel 24, tweede tot en met vijfde lid, Cyberbeveiligingswet | wetten.overheid.nl |
|---|---|---|
| Eisen aan training en certificaat | Artikelen 20 tot en met 22 Cyberbeveiligingsbesluit | Staatsblad 2026, 189 |
| Inwerkingtreding | 15 augustus 2026 (wet en besluit) | Artikel 35 Cyberbeveiligingsbesluit |
| Boete bestuurslid | Ten hoogste € 25.000, bij overtreding van art. 24 lid 2 tot en met 6 | Artikel 93 Cyberbeveiligingswet |
Veelgestelde vragen
Is een register van bestuurderstrainingen verplicht?
De wet noemt geen register. Wel moet elk bestuurslid een certificaat bezitten (artikel 24, vijfde lid, Cbw) en de kennis aantoonbaar actueel houden (vierde lid). Een register is de eenvoudigste manier om dat voor het hele bestuur te laten zien als de toezichthouder ernaar vraagt.
Tot wanneer hebben bestuurders de tijd voor de training?
Wie op 15 augustus 2026 al bestuurslid was, heeft uiterlijk 15 augustus 2028 een certificaat. Wie later wordt benoemd, heeft twee jaar na de benoeming (artikel 24, derde lid, Cbw, met artikel 35 Cyberbeveiligingsbesluit). Het register rekent die datum per bestuurslid uit.
Welke onderwerpen moet de training behandelen?
Volgens artikel 21 van het Cyberbeveiligingsbesluit in ieder geval de soorten risico's voor netwerk- en informatiesystemen, risicomanagementprocessen, risicobeoordelingsmethodiek en de tien onderdelen van de zorgplicht uit artikel 21, derde lid, Cbw. Het blad Controle training zet ze op een rij.
Moeten commissarissen de training ook volgen?
De plicht geldt voor de leden van het bestuur. Bij een one-tier board alleen voor de uitvoerende bestuurders (artikel 24, achtste lid, Cbw). Leden van een raad van commissarissen zitten niet in het bestuur.
Mag ik het register aanpassen?
Ja. Het register valt onder CC BY 4.0: gebruiken, aanpassen en delen mag, ook commercieel, met vermelding van MaasISO en een link naar deze pagina.
Verder
Gratis: welke normen en wetten passen bij uw organisatie? Start de ISO-selector
Meer in de kennisbank
Deze pagina geeft algemene informatie en is geen juridisch advies. Uw organisatie blijft zelf verantwoordelijk voor de toepassing van normen en wetgeving.