31 juli 2026
Leestijd: circa 8 minuten
De Cyberbeveiligingswet (Cbw) treedt per 15 augustus 2026 in werking. Voor duizenden organisaties betekent dit nieuwe verplichtingen rond registratie, zorg, incidentmeldingen en bestuurlijke verantwoordelijkheid. Maar de belangrijkste vraag is niet of alle vereisten op papier zijn afgedekt. De vraag is of het bestuur daadwerkelijk in staat is om cyberrisico’s te begrijpen, richting te geven en aantoonbaar bij te sturen.
Cyberweerbaarheid is geen IT-dossier
Een cyberincident raakt zelden alleen de techniek. Uitval van een cloudleverancier, ransomware of misbruik van een account kan de dienstverlening stilleggen, omzet kosten, contractuele verplichtingen raken en het vertrouwen van klanten, burgers en ketenpartners onder druk zetten. De Cyberbeveiligingswet maakt daarom expliciet dat digitale weerbaarheid een verantwoordelijkheid van het bestuur is.[1]
Bestuurders hoeven geen technische configuraties te beoordelen. Zij moeten wel begrijpen welke kritieke processen afhankelijk zijn van digitale systemen, welke risico’s de organisatie bereid is te accepteren en of maatregelen daadwerkelijk bijdragen aan continuïteit. Dat vraagt om duidelijke rollen, bruikbare stuurinformatie en besluiten die achteraf navolgbaar zijn.
Voor compliance officers ligt hier een belangrijke verbindende rol. Niet door de verantwoordelijkheid van bestuur, CISO of operatie over te nemen, maar door te bewaken dat wettelijke verplichtingen worden vertaald naar eigenaarschap, besluitvorming, aantoonbaarheid en structurele verbetering.
1. Bepaal de reikwijdte én het bestuurlijke eigenaarschap
De eerste stap blijft de scope. De Cyberbeveiligingswet geldt voor essentiële en belangrijke entiteiten in achttien sectoren. Sector, activiteit, omvang en enkele specifieke uitzonderingen bepalen of een organisatie onder de wet valt. Organisaties zijn zelf verantwoordelijk voor die beoordeling. Leg daarom niet alleen de conclusie vast, maar ook de onderbouwing: welke activiteiten, diensten, groepsmaatschappijen en omvangsgegevens zijn meegenomen?
Valt de organisatie onder de wet, dan hoort daar registratie in het entiteitenregister via MijnNCSC bij. Maar registratie is slechts het begin. Leg ook vast wie bestuurlijk eigenaar is van digitale weerbaarheid, hoe de CISO, operatie, compliance en interne audit samenwerken en op welk niveau restrisico’s worden geaccepteerd.
Kijk bovendien verder dan de juridische organisatiegrens. Ook leveranciers die niet rechtstreeks onder de Cbw vallen, kunnen via hun klanten te maken krijgen met strengere eisen. De beveiliging van de toeleveringsketen is onderdeel van de zorgplicht. Een zorgvuldig vastgelegde scope voorkomt daarom zowel blinde vlekken als dubbel werk.
2. Maak van de zorgplicht een risicogestuurde cyclus
De zorgplicht vraagt om passende en evenredige technische, operationele en organisatorische maatregelen. Daaronder vallen onder meer risicoanalyse, incidentenbehandeling, bedrijfscontinuïteit, leveranciersbeveiliging, toegangsbeheer, cyberhygiëne en het beoordelen van de effectiviteit van maatregelen.[2]
Een eenmalige gap-analyse is daarvoor niet genoeg. Volwassen risicomanagement werkt cyclisch: risico’s en afhankelijkheden worden geïdentificeerd, kans en impact worden beoordeeld, maatregelen worden geprioriteerd, restrisico’s worden bewust geaccepteerd en de werking wordt gevolgd. Nieuwe dreigingen, incidenten of veranderingen in de organisatie kunnen aanleiding zijn om opnieuw te beoordelen.
Voor het bestuur moet die cyclus uitmonden in begrijpelijke keuzes. Welke kritieke processen mogen niet uitvallen? Hoelang mag herstel duren? Welke investering verlaagt het risico aantoonbaar? En waar wordt bewust een restrisico geaccepteerd? Koppel verbetermaatregelen daarom aan een eigenaar, termijn, bedrijfsimpact en besluit.
Het Cbw (NIS2) Control Framework van de Auditdienst Rijk en NOREA kan helpen bij scopebepaling, gap-analyse, volwassenheidsbeoordeling en een verbeterroadmap. Het framework is een praktisch hulpmiddel, maar vervangt de eigen risicoanalyse of sectorspecifieke eisen niet.[3]
3. Richt bestuurlijke sturing bij incidenten en crises in
Wanneer een incident zich voordoet, moet het bestuur onder tijdsdruk besluiten over continuïteit, herstel, communicatie en mogelijke meldingen. Dat lukt alleen als de governance vooraf helder is. De organisatie moet weten wanneer een operationeel incident bestuurlijke aandacht vraagt, wie het crisisproces activeert en welke informatie nodig is om verantwoorde besluiten te nemen.
Goede bestuurlijke sturing begint daarom bij goedgekeurde meld- en escalatieprocessen, duidelijke mandaten en een crisisorganisatie die aantoonbaar is geoefend. Het bestuur moet snel een samenhangend beeld krijgen van de getroffen processen, de verwachte herstelduur, de gevolgen voor klanten en ketenpartners, de wettelijke verplichtingen en de keuzes die voorliggen. Volledige zekerheid is in de eerste uren zelden beschikbaar; besluiten moeten wel navolgbaar en risicogestuurd zijn.
Opleiden, trainen en oefenen zijn daarbij onmisbaar. Door realistische scenario’s te doorlopen, wordt zichtbaar of rollen, escalatielijnen en besluitvorming in de praktijk werken. Na afloop horen lessen niet in een evaluatierapport te blijven staan, maar terug te komen in risicoanalyses, continuïteitsplannen en verbetermaatregelen.
4. Behandel ketenafhankelijkheden als bedrijfsrisico
Digitale dienstverlening stopt niet bij de eigen organisatiegrens. Cloudproviders, softwarepartijen, managed service providers en andere ketenpartners ondersteunen vaak kritieke processen of verwerken gevoelige gegevens. Uitbesteding verplaatst de uitvoering, maar niet de bestuurlijke verantwoordelijkheid.
Breng daarom in kaart welke functies van derden afhankelijk zijn, wat de impact van uitval is en of meerdere kritieke diensten op dezelfde leverancier steunen. Beoordeel vervolgens niet alleen het beveiligingsniveau, maar ook beschikbaarheid, herstelcapaciteit, incidentmeldingen, audit- en inspectierechten, onderaannemers en een werkbare exitstrategie.
De relevante bestuursvraag is niet of een leverancier een bekend certificaat heeft. De vraag is of de gekozen beheersing past bij de mogelijke impact op de eigen organisatie en of het restrisico bewust is geaccepteerd. Periodieke rapportage en gezamenlijke scenario-oefeningen maken zichtbaar of contractuele afspraken ook werkelijk uitvoerbaar zijn.
5. Borg kennis, gedrag en aantoonbaarheid
De Cyberbeveiligingswet verwacht dat uitvoerende bestuurders over voldoende kennis en vaardigheden beschikken om risico’s voor netwerk- en informatiesystemen, de gevolgen voor de dienstverlening en de voorgestelde maatregelen te beoordelen. Een passende training is daarmee een directe voorwaarde voor zorgvuldig bestuur, niet alleen een formeel bewijsstuk.[4]
Goede cybereducatie sluit aan op de belevingswereld van bestuurders: risicomanagement, bedrijfscontinuïteit, investeringskeuzes, leveranciersafhankelijkheid, crisisbesluitvorming en verantwoord gedrag. De opbrengst zit in betere vragen, beter onderbouwde besluiten en duidelijker toezicht. Een certificaat en persoonlijk leerlog maken vervolgens aantoonbaar welke kennis is opgedaan.
Kennis moet bovendien actueel blijven. Dreigingen, technologie, wetgeving en de eigen organisatie veranderen voortdurend. Koppel leren daarom aan de governancecyclus: actuele risicoanalyses, incidenten, oefeningen, audits en bestuursrapportages bepalen welke kennis opnieuw aandacht vraagt. Zichtbare deelname van bestuurders versterkt tegelijk een cultuur waarin medewerkers risico’s delen, incidenten melden en van fouten leren.
Vijf bestuurlijke controlevragen voor blijvende grip
- Weten we welke kritieke processen, systemen, gegevens en externe afhankelijkheden onze dienstverlening dragen?
- Is onze risicotolerantie expliciet en ontvangen we stuurinformatie waarmee we risico’s, trends, maatregelen en restrisico’s werkelijk kunnen beoordelen?
- Zijn rollen, escalatielijnen en mandaten zo ingericht en geoefend dat we tijdens een incident snel en onderbouwd kunnen besluiten?
- Kunnen we aantonen dat leveranciersrisico’s, herstelafspraken en concentratieafhankelijkheden periodiek worden beoordeeld en getest?
- Beschikken bestuurders en medewerkers over passende, actuele en aantoonbare kennis die aansluit op hun rol en het risicoprofiel van de organisatie?
Wie deze vragen overtuigend kan beantwoorden, bouwt aan meer dan wettelijke naleving. De organisatie kan risico’s eerder signaleren, sneller herstellen en beter uitleggen waarom bepaalde keuzes zijn gemaakt. Dat versterkt de continuïteit, het vertrouwen van stakeholders en de kwaliteit van bestuurlijke besluitvorming.
Van wettelijke verplichting naar bestuurlijke waarde
Het Nederlands Compliance Instituut vertaalt de Cyberbeveiligingswet naar de dagelijkse verantwoordelijkheid van bestuurders en beleidsbepalers. De E-learning Cyberweerbaarheid behandelt in maximaal drie uur de risico’s voor netwerk- en informatiesystemen, risicomanagement, risicobeoordeling en beheersmaatregelen. Herkenbare bestuursdilemma’s, realistische casuïstiek, reflectievragen en toetsen maken de vertaalslag naar besluitvorming zonder technische voorkennis.
Na succesvolle afronding ontvangt de deelnemer een certificaat en wordt de deelname vastgelegd in een persoonlijk leerlog. Daarmee kan de organisatie aantoonbaar maken dat op het trainingsonderdeel invulling is gegeven aan de vereisten uit de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Permanent Actueel Cyberweerbaarheid helpt om de kennis daarna aantoonbaar te blijven actualiseren.
Wil je bespreken welke aanpak past bij jouw bestuur, directie of organisatie? Neem contact op met Bart Keijzers voor een passend voorstel.
Bronnen
1. Rijksoverheid, Cyberbeveiligingswet en Wwke sinds 15 augustus 2026 van kracht
2. NCSC, Informatiebrochure Cyberbeveiligingswet
3. Auditdienst Rijk, Cbw (NIS2) Control Framework v1.2 en studierapport
4. NCTV, Bestuurlijke verantwoordelijkheid en trainingsplicht voor bestuurders