14 augustus 2026
Leestijd: circa 8 minuten
Een bestuurder hoeft geen cybersecurityspecialist te worden. Wel moet hij of zij kunnen beoordelen welke digitale risico’s de organisatie bedreigen, of voorgestelde maatregelen passend zijn en hoe snel kritieke processen na een incident kunnen worden hersteld. Daarvoor is meer nodig dan kennis van de wet alleen: bestuurlijke cyberweerbaarheid vraagt om leren, toepassen én actueel blijven.
De trainingsplicht is het begin, niet het eindpunt
Per 15 augustus 2026 legt de Cyberbeveiligingswet de verantwoordelijkheid voor digitale weerbaarheid nadrukkelijk bij organisaties én hun bestuurders. Het bestuur keurt de maatregelen voor de zorgplicht goed en houdt toezicht op de uitvoering. Bestuurders moeten daarom beschikken over voldoende kennis en vaardigheden om cyberrisico’s en de gevolgen daarvan voor de organisatie te kunnen beoordelen.[1]
Een certificaat maakt aantoonbaar dat een bestuurder een passende opleiding heeft gevolgd. Dat is belangrijk voor de bewijsvoering, maar het is niet de werkelijke eindbestemming. De waarde ontstaat wanneer nieuwe kennis terugkomt in de bestuurskamer: in de vragen die worden gesteld, de informatie die wordt opgevraagd en de besluiten die worden vastgelegd.
Cyberrisico is bedrijfsrisico
Een cyberincident verschijnt zelden als een geïsoleerd IT-probleem op de bestuursagenda. Een aanval, storing of kwetsbaarheid kan productie en dienstverlening stilleggen, herstelkosten veroorzaken, contractuele verplichtingen raken en het vertrouwen van klanten, burgers of ketenpartners schaden. Bij organisaties met een maatschappelijke of vitale functie kunnen de gevolgen nog verder reiken.
De bestuurlijke vraag is daarom niet hoe een beveiligingstechniek precies werkt. De relevante vragen zijn: welke processen mogen niet uitvallen, hoe afhankelijk zijn we van leveranciers, welk restrisico accepteren we en zijn onze hersteldoelstellingen realistisch? Zo wordt cyberweerbaarheid onderdeel van regulier risicomanagement en bedrijfscontinuïteit.
Wat bestuurders wél moeten kunnen
Goede cybereducatie helpt bestuurders om technische informatie te vertalen naar keuzes over de organisatie. Zij hoeven niet zelf maatregelen te ontwerpen, maar moeten wel voldoende inzicht hebben om richting te geven en toezicht te houden.
- Risico’s wegen: welke dreigingen kunnen de strategie, dienstverlening, financiële positie of reputatie het zwaarst raken?
- Prioriteiten stellen: passen investeringen en maatregelen bij de risicobereidheid en de kritieke processen van de organisatie?
- Rollen verduidelijken: wie adviseert, wie besluit, wie voert uit en wie controleert of maatregelen werkelijk werken?
- Afhankelijkheden doorgronden: welke leveranciers, systemen en gegevens zijn essentieel en welke terugvalopties zijn beschikbaar?
- Handelen onder druk: zijn escalatie, besluitvorming, communicatie en eventuele incidentmeldingen vooraf geoefend?
Daarmee raakt cybereducatie niet alleen compliance. Zij versterkt ook de kwaliteit van besluitvorming, de samenwerking tussen bestuur, business, IT, risk en compliance en de cultuur waarin risico’s tijdig worden besproken.
Waarom een technische training vaak niet landt
Een overzicht van aanvalstechnieken, systemen en afkortingen kan informatief zijn, maar helpt een bestuurder niet automatisch om een investeringsvoorstel te beoordelen of tijdens een crisis te beslissen. Daarvoor moet de inhoud aansluiten bij de bestuurlijke belevingswereld.
Herkenbare dilemma’s werken beter. Denk aan de uitval van een cruciale cloudleverancier, twijfel over de haalbaarheid van hersteldoelen of een beveiligingsmaatregel die veel vraagt van budget en operatie. Door zulke situaties te verbinden aan continuïteit, risicotolerantie, verantwoordelijkheden en bewijsvoering wordt abstracte wetgeving concreet. Reflectievragen en toepassingstoetsen zetten de deelnemer vervolgens aan om zelf een afweging te maken.
Van weten naar aantoonbaar handelen
De Cyberbeveiligingswet vraagt om passende en evenredige technische, operationele en organisatorische maatregelen. Het Cbw (NIS2) Control Framework maakt zichtbaar dat deze aanpak begint bij context en risicoanalyse en vervolgens doorloopt via gapanalyse, uitvoering, toetsing en verbetering.[2] Voor bestuurders betekent dit dat zij niet alleen moeten vragen óf er maatregelen zijn, maar ook waarom deze passen bij het risicoprofiel en hoe de werking ervan wordt aangetoond.
Dat vraagt om betrouwbare stuurinformatie. Niet een dashboard met zoveel mogelijk indicatoren, maar informatie die een besluit ondersteunt: trends in incidenten, kritieke leveranciersrisico’s, testresultaten, herstelcapaciteit, openstaande verbeterpunten en afwijkingen van de afgesproken risicotolerantie. Ook de bestuurlijke afweging en opvolging horen aantoonbaar te worden vastgelegd.
Kennis veroudert sneller dan het certificaat
Een basisopleiding creëert een gemeenschappelijk begrippenkader. Daarna blijven dreigingen, technologie, toezicht en de eigen organisatie veranderen. Een nieuwe leverancier, overname of digitaliseringsproject kan het risicoprofiel verschuiven. Ook een incident bij een andere organisatie kan aanleiding geven om de eigen aannames opnieuw te toetsen.
Actueel blijven betekent daarom niet dat bestuurders iedere waarschuwing of wetswijziging zelf moeten volgen. De kunst is juist om relevante ontwikkelingen te selecteren en te vertalen: wat is er veranderd, waarom raakt dit mogelijk onze organisatie en welke vraag hoort op de bestuursagenda? Zo blijft de tijdsinvestering beperkt en krijgt actualiteit betekenis.
Een praktische leercyclus: fundament, toepassing en actualiteit
Een duurzame aanpak bestaat uit drie samenhangende onderdelen: leren, toepassen en actueel blijven. De e-learning legt het fundament. Vervolgens wordt die kennis toegepast in de dagelijkse bestuurspraktijk, bijvoorbeeld tijdens risico-overleggen, investeringsbesluiten en crisisoefeningen. Permanent Actueel zorgt er ten slotte voor dat bestuurders hun kennis blijven actualiseren met korte, relevante updates.
Deze cyclus sluit aan bij de continue verbetergedachte uit het Cbw Control Framework. Leren is dan geen los moment naast de governance, maar onderdeel van sturen, toetsen en bijstellen. Het persoonlijke leerlog maakt bovendien zichtbaar welke opleiding en actualiteiten zijn doorlopen.
De verbindende rol van compliance
Voor compliance officers ligt hier een waardevolle regierol. Zij kunnen helpen om wettelijke verplichtingen te vertalen naar governance, bewijsvoering en een werkbare leeragenda. Niet door de verantwoordelijkheid van het bestuur of de inhoudelijke experts over te nemen, maar door te bewaken dat verantwoordelijkheden helder zijn en dat leren aansluit op de risico’s van de organisatie.
Een eenvoudige toets is of een opleiding zichtbaar doorwerkt. Komen de onderwerpen terug in bestuursrapportages? Worden leveranciers- en continuïteitsrisico’s scherper besproken? Zijn besluiten en restrisico’s beter onderbouwd? En leidt een actuele ontwikkeling zo nodig tot een actie, oefening of herbeoordeling? Dan wordt opleiding onderdeel van aantoonbare beheersing.
Hoe NCI bestuurlijke cyberweerbaarheid praktisch maakt
De E-learning Cyberweerbaarheid voor bestuurders en beleidsbepalers van het Nederlands Compliance Instituut is bewust niet technisch ingestoken. In 2,5 tot 3 uur wordt de Cyberbeveiligingswet vertaald naar herkenbare bestuursdilemma’s, realistische casuïstiek, reflectievragen en korte toepassingstoetsen. Deelnemers leren risico’s en voorgestelde maatregelen beter beoordelen, gerichte vragen stellen en verantwoordelijkheid nemen op de onderdelen die bij hun rol horen.
Na succesvolle afronding ontvangt de deelnemer een certificaat en wordt de deelname vastgelegd in een persoonlijk leerlog. De inhoud is getoetst aan de vereisten uit de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Daarmee ondersteunt de e-learning aantoonbare naleving van het trainingsonderdeel. Volledige compliance vraagt vanzelfsprekend ook om passende technische, operationele en organisatorische maatregelen.
Permanent Actueel Cyberweerbaarheid bouwt daarop voort. De vakredactie selecteert wijzigingen in wet- en regelgeving, cyberdreigingen en ontwikkelingen in risicobeheersing die bestuurlijke aandacht verdienen. Iedere update geeft compact aan wat de ontwikkeling betekent en welke aandacht of actie mogelijk nodig is. Zo blijven bestuurders aantoonbaar bij zonder zelf de volledige informatiestroom te hoeven volgen.
Van verplichting naar bestuurlijke meerwaarde
Ongeacht welke wet, verordening of norm direct of indirect van toepassing is, blijft investeren in de kennis van bestuurders en beleidsbepalers verstandig. Het versterkt risicomanagement, helpt de continuïteit van kritieke processen te beschermen en maakt verantwoordelijkheden duidelijker. De wettelijke trainingsplicht is daarmee een aanleiding; de blijvende opbrengst is een bestuur dat eerder doorvraagt, bewuster besluit en beter voorbereid is wanneer het erop aankomt.
Wil je de E-learning en Permanent Actueel Cyberweerbaarheid bestellen? Bekijk dan hier het aanbod. Wil je eerst weten of de E-learning en Permanent Actueel aansluiten op jouw bestuur, directie of organisatie? Neem contact op met Bart Keijzers voor een passend advies.
Actief in de financiële dienstverlening?
Voor bestuurders en beleidsbepalers in de financiële sector zijn aparte modules ontwikkeld vanuit Lindenhaeghe. De e-learning en Permanent Actueel sluiten inhoudelijk aan op DORA en bevatten herkenbare casuïstiek uit de financiële praktijk. Daarmee blijft de benadering bestuurlijk, terwijl de inhoud past bij het sectorspecifieke kader. Bekijk hier het aanbod.
Bronnen
1. NCTV, Bestuurlijke verantwoordelijkheid en trainingsplicht voor bestuurders
2. Auditdienst Rijk en NOREA, Cbw (NIS2) Control Framework v1.2 en studierapport
3. NCSC, Informatiebrochure Cyberbeveiligingswet
4. Staatsblad 2026, 189, Cyberbeveiligingsbesluit