Cyberbeveiligingswet voor bestuurders: trainingsplicht en aansprakelijkheid

Welke training moeten bestuurders volgen onder de Cyberbeveiligingswet, en waarvoor zijn zij aansprakelijk? De wet legt drie dingen bij het bestuur: het bestuur keurt de beveiligingsmaatregelen goed, elk bestuurslid heeft kennis van cyberrisico's en elk bestuurslid heeft een certificaat van een training. Zittende bestuurders hebben daarvoor tot 15 augustus 2028. Dit staat in artikel 24 van de Cyberbeveiligingswet (Cbw).

Wat vraagt artikel 24 van het bestuur?

Artikel 24 Cbw is het governance-artikel van de wet: het maakt de beveiliging van netwerk- en informatiesystemen een taak van het bestuur zelf, niet alleen van de IT-afdeling. Het geldt voor essentiële en belangrijke entiteiten. Valt u er nog niet zeker onder, lees dan eerst Valt mijn bedrijf onder de Cyberbeveiligingswet?

De Europese basis is artikel 20 van de NIS2-richtlijn. In Nederland staat de uitwerking in de artikelen 20 tot en met 22 van het Cyberbeveiligingsbesluit.

Wie geldt als bestuurder?

Elk lid van het bestuur van de essentiële of belangrijke entiteit. De wet regelt een aantal bijzondere gevallen (artikel 24, zevende tot en met twaalfde lid):

• Is een rechtspersoon bestuurder, bijvoorbeeld een holding, dan gelden de kennis- en trainingsplicht voor de mensen die namens die rechtspersoon in het bestuur zitten.
• Heeft de organisatie een bestuur met uitvoerende en niet-uitvoerende bestuurders (one-tier board), dan geldt het artikel alleen voor de uitvoerende bestuurders.
• Bij een maatschap geldt het voor iedere maat, bij een vof voor iedere vennoot en bij een cv voor de beherende vennoten.
• Bij de overheid is het bestuur bijvoorbeeld het college van burgemeester en wethouders (gemeenten), gedeputeerde staten (provincies) of het dagelijks bestuur (waterschappen).

Welke training en welk certificaat?

De training moet bestuursleden in staat stellen om risico's en maatregelen te beoordelen en zo tot afgewogen besluiten te komen. Volgens artikel 21 Cyberbeveiligingsbesluit behandelt zij in ieder geval:

De nota van toelichting zegt uitdrukkelijk dat het geen technische opleiding is: een bestuurder hoeft de werking van systemen niet te kunnen uitleggen, maar moet op strategisch niveau maatregelen kunnen beoordelen.

Het certificaat bevat ten minste de naam van het bestuurslid, de datum of data van de training, de behandelde onderwerpen en de naam van de aanbieder, en is in het Nederlands of Engels (artikel 22 Cyberbeveiligingsbesluit). De training zelf mag in elke taal worden gegeven. Wet en besluit stellen geen eisen aan de vorm (klassikaal of online) en noemen geen erkende aanbieders.

Tot wanneer hebben bestuurders de tijd?

Zittende bestuursleden voldoen binnen twee jaar na de inwerkingtreding van artikel 24, tweede lid (artikel 24, derde lid, Cbw). De wet en het besluit traden op 15 augustus 2026 in werking (artikel 35 Cyberbeveiligingsbesluit). De uiterste datum is dus 15 augustus 2028.

Wie na 15 augustus 2026 bestuurslid wordt, heeft twee jaar na de benoeming. Daarna houdt elk bestuurslid de kennis aantoonbaar actueel (vierde lid). Voor dat actueel houden is geen certificaat volgens het besluit verplicht; het mag ook op een andere manier worden aangetoond, bijvoorbeeld met gedocumenteerde bijscholing.

De goedkeuring van de maatregelen (eerste lid) kent geen overgangstermijn: die geldt sinds 15 augustus 2026.

Zijn bestuurders persoonlijk aansprakelijk?

De Cbw regelt geen civiele aansprakelijkheid van bestuurders; het woord komt in de wet niet voor. Of een bestuurder tegenover de organisatie of derden aansprakelijk is, volgt uit het Burgerlijk Wetboek. De Cbw geeft de toezichthouder wel sancties die het bestuurslid persoonlijk raken:

Een schorsing wordt ingeschreven in het handelsregister en duurt tot de entiteit wel voldoet (artikel 78 Cbw). Daarnaast kan de organisatie zelf een boete krijgen: voor overtreding van de zorgplicht of de meldplicht tot € 10 miljoen of 2% van de wereldwijde jaaromzet (essentieel) en € 7 miljoen of 1,4% (belangrijk).

Zo regelt u het als bestuur

1. Stel vast welke bestuursleden onder artikel 24 vallen, inclusief natuurlijke personen achter een rechtspersoon-bestuurder.
2. Laat het bestuur de maatregelen formeel goedkeuren, met een besluit in de notulen. Dat geldt nu al.
3. Plan een training per bestuurslid vóór 15 augustus 2028. Controleer vooraf of de training de onderwerpen van artikel 21 Cyberbeveiligingsbesluit behandelt en of het certificaat de vier verplichte gegevens bevat.
4. Houd een register bij: welk bestuurslid, welke training, welke datum, welke aanbieder, en waar het certificaat staat. Neem ook bijscholing op.
5. Zet nieuwe benoemingen erin, met de termijn van twee jaar.

De Cyberbeveiligingswet Toolkit (€ 495 excl. btw) bevat het document "Bestuur – goedkeuring en training" en een document voor competenties, training en bewustzijn, naast de documenten voor de zorgplicht, de meldplicht en de registratie. Meer over alle verplichtingen leest u op de pagina NIS2 en de Cyberbeveiligingswet.