Onder de Cyberbeveiligingswet is cyberbeveiliging nadrukkelijk een verantwoordelijkheid van het bestuur. Het bestuur moet de maatregelen voor het beheersen van de cyberbeveiligingsrisico’s goedkeuren en toezien op de uitvoering daarvan.
Bestuurders moeten voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s en de gevolgen daarvan voor de organisatie te kunnen begrijpen en beoordelen.
Wat wordt van het bestuur verwacht?
Het bestuur moet onder meer:
- de maatregelen goedkeuren die de organisatie neemt om te voldoen aan de zorgplicht uit de Cyberbeveiligingswet;
- toezien op de uitvoering van deze maatregelen;
- voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s en de gevolgen daarvan voor de organisatie te kunnen begrijpen en beoordelen;
- deze kennis en vaardigheden aantoonbaar actueel houden.
Om deze verantwoordelijkheid goed te kunnen invullen, is het belangrijk dat bestuurders zich actief laten informeren over cyberrisico’s, maatregelen en incidenten. Bijvoorbeeld door hierover regelmatig in gesprek te gaan met de CISO of andere verantwoordelijken voor cyberbeveiliging binnen de organisatie.
Verplichte training voor de bestuurders
Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten over voldoende kennis en vaardigheden beschikken op het gebied van cyberbeveiliging. Hiervoor moeten zij een training volgen.
De training behandelt onder meer:
- risico’s voor de beveiliging van netwerk- en informatiesystemen;
- mogelijke gevolgen van deze risico’s voor de organisatie;
- het identificeren en beheersen van cyberbeveiligingsrisico’s;
- maatregelen om deze risico’s te beheersen;
- de kennis en vaardigheden die nodig zijn om risico’s en maatregelen te beoordelen en hierover op bestuurlijk niveau afgewogen besluiten te nemen.
Bestuurders moeten uiterlijk twee jaar na inwerkingtreding van de Cyberbeveiligingswet over de vereiste kennis en vaardigheden beschikken en deze vervolgens aantoonbaar actueel houden.
Certificaat
Na het volgen van de training ontvangt de bestuurder een certificaat. Daarop staat dat de training is gevolgd en welke onderwerpen zijn behandeld. De eisen aan de training zijn vastgelegd in het Cyberbeveiligingsbesluit. Het certificaat moet in het Nederlands of Engels zijn opgesteld. De training zelf mag in een andere taal worden gegeven.
De Rijksoverheid schrijft geen specifieke training of opleidingsaanbieder voor. Organisaties kunnen gebruikmaken van een externe aanbieder, maar kunnen de training ook zelf organiseren, bijvoorbeeld met ondersteuning van een CISO, zolang de training aan de wettelijke eisen voldoet.
Voor wie geldt de trainingsplicht?
De trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten. Toezichthoudende bestuurders, zoals leden van een raad van commissarissen, en niet-uitvoerende bestuurders vallen niet onder deze trainingsplicht.
Het bestuur blijft eindverantwoordelijk
Ook wanneer de uitvoering van cyberbeveiliging is belegd bij bijvoorbeeld een CISO, blijft het bestuur verantwoordelijk voor zijn wettelijke taken. Het bestuur moet de maatregelen die de organisatie neemt goedkeuren en toezien op de uitvoering daarvan.
Het is daarom belangrijk dat bestuurders zich actief laten informeren over cyberrisico’s, maatregelen en incidenten en cyberbeveiliging regelmatig op de bestuurstafel bespreken.
Lees meer
Webinar over zorgplicht en bestuurlijke verantwoordelijkheid
