NIS2 training bestuurders in het kort: uitvoerende bestuurders van organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, moeten voldoende kennis hebben om cyberrisico’s te beoordelen en dat aantonen met een certificaat. Zittende bestuurders hebben daarvoor tot 15 augustus 2028, nieuwe bestuurders twee jaar na hun benoeming. Commissarissen en leden van een raad van toezicht vallen er niet onder.
De wet schrijft geen cursus, geen aanbieder en geen aantal uren voor. Dat lijkt ruimte te geven, maar het verlegt de vraag. Niet de training zelf is doorslaggevend, maar wat je kunt laten zien als de toezichthouder vraagt hoe het bestuur zijn rol invult. Daar gaat dit artikel over.
Wat houdt de trainingsplicht voor bestuurders in?
De plicht komt uit artikel 20 van de NIS2 richtlijn. In Nederland is hij uitgewerkt in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Het bestuur van een essentiële of belangrijke entiteit heeft drie taken:
- Goedkeuren van de maatregelen waarmee de organisatie cyberrisico’s beheerst.
- Toezien op de uitvoering van die maatregelen.
- Kennis hebben om risico’s en maatregelen te kunnen beoordelen, en daarvoor een training volgen.
De training is dus een middel. Het doel is een bestuur dat zelf kan beoordelen of de maatregelen passen bij de risico’s. Het Cyberbeveiligingsbesluit koppelt de inhoud van de training aan de onderwerpen van de zorgplicht. In de toelichting bij het besluit staat uitdrukkelijk dat van bestuurders geen technische kennis wordt verwacht. Het niveau is strategisch: risico’s afwegen, keuzes maken en verantwoording afleggen.
De verantwoordelijkheid blijft bij het bestuur, ook als de uitvoering bij een CISO of een externe partij ligt. Delegeren mag. Wegdelegeren niet.
Voor wie geldt de NIS2 training?
Alleen voor bestuurders van organisaties die onder de Cbw vallen. Weet je dat nog niet zeker, doe dan eerst de NIS2 Scope Check.
| Rol | Trainingsplicht | Toelichting |
|---|---|---|
| Statutair directeur, uitvoerend bestuurder | Ja | Bepalend is de juridische positie (statuten, inschrijving bij de KvK), niet de functietitel |
| Bestuurder via een holding, zoals een DGA | Ja, de persoon zelf | Een holding kan geen training volgen. De natuurlijke persoon die namens de holding bestuurt, volgt de training |
| Commissaris of lid van een raad van toezicht | Nee | Geen plicht. Wel verstandig: wie toezicht houdt op het bestuur, moet de juiste vragen kunnen stellen |
| Bestuurder zonder uitvoerende taak (monistisch bestuur) | Nee | Zelfde lijn als bij commissarissen |
| CISO, security officer, hoofd IT | Nee, tenzij statutair bestuurder | Zij voeren uit. Het bestuur blijft eindverantwoordelijk |
| Medewerkers | Geen individuele plicht | Cyberhygiëne en training zijn wel onderdeel van de zorgplicht van de organisatie |
De plicht geldt voor essentiële en belangrijke entiteiten. Op dit punt is er geen verschil tussen de twee.
Tot wanneer heb je? De termijnen
- Zittende bestuurders: uiterlijk 15 augustus 2028. Dat is twee jaar na de inwerkingtreding van de Cbw op 15 augustus 2026.
- Nieuwe bestuurders: binnen twee jaar na hun benoeming.
- Daarna: de kennis aantoonbaar actueel houden. Een vaste herhalingstermijn is er niet.
Let op het verschil tussen twee soorten plichten. De overgangstermijn gaat over kennis en training. Het goedkeuren van maatregelen en het toezicht op de uitvoering zijn taken van het bestuur sinds de wet geldt. Wacht dus niet tot 2028 met het eerste bestuursbesluit over de maatregelen.
Wat moet een NIS2 training voor bestuurders behandelen?
Het Cyberbeveiligingsbesluit koppelt de training aan de onderwerpen van de zorgplicht. Een training die daarop aansluit, behandelt in elk geval:
- risicoanalyse en beveiligingsbeleid
- incidentbehandeling en de meldplicht
- bedrijfscontinuïteit, backups en crisisbeheer
- beveiliging van de toeleveringsketen
- beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarheden
- beoordeling van de effectiviteit van maatregelen
- cyberhygiëne en training
- cryptografie en versleuteling
- personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
- meervoudige authenticatie en beveiligde communicatie
Duur, toetsvorm en werkvorm liggen niet vast. Een eerdere versie van het besluit noemde een minimum aantal uren; dat is geschrapt. Erkende aanbieders zijn er evenmin. Je kiest zelf, en je moet die keuze kunnen verantwoorden.
Een bruikbare toets na afloop: kan elke bestuurder deze vijf vragen beantwoorden voor de eigen organisatie?
- Wat zijn onze vijf grootste cyberrisico’s, en welke accepteren we bewust?
- Welke maatregelen hebben we genomen, en wanneer heeft het bestuur ze goedgekeurd?
- Wie besluit binnen 24 uur na een significant incident over de melding, ook ’s nachts?
- Welke leveranciers zijn kritiek, en hoe beoordelen we hun beveiliging?
- Hoe weten we of onze maatregelen werken?
Een certificaat zonder antwoorden op deze vragen is papier.
Welk bewijs wil een toezichthouder zien?
Het certificaat is verplicht, maar het is het minst interessante stuk. Toezichthouders kunnen nagaan of cyberrisico’s op bestuursniveau zijn besproken, vastgelegd en geëvalueerd. Dat vraagt om een klein dossier:
| Bewijsstuk | Wat erin staat | Welke plicht het aantoont |
|---|---|---|
| Certificaat per bestuurder | Naam, datum, behandelde onderwerpen, aanbieder | Training gevolgd |
| Trainingsregister | Alle bestuurders, datum benoeming, datum training, volgend actualisatiemoment | Termijnen bewaakt, ook bij nieuwe bestuurders |
| Bestuursbesluit over de maatregelen | Datum, versie van de risicoanalyse en de maatregelen | Goedkeuring |
| Notulen met cyber als vast agendapunt | Besproken risico’s, besluiten, acties en eigenaren | Toezicht op de uitvoering |
| Periodieke rapportage aan het bestuur | Status maatregelen, incidenten, open risico’s, kritieke leveranciers | Toezicht en actuele kennis |
| Verslag van een crisisoefening | Scenario, wie besliste wat, verbeterpunten | Kennis is actueel en toepasbaar |
Twee praktische punten. Een gezamenlijke presentielijst is geen certificaat per bestuurder. En bewaar het dossier op één plek: bij een vraag van de toezichthouder wil je binnen een dag kunnen leveren.
Wie ISO 27001 heeft, heeft een deel van dit dossier al: managementreviews en directiebesluiten zijn hetzelfde soort bewijs. De ISO 27001 checklist laat zien welke documenten je kunt hergebruiken.
Wat riskeert een bestuurder zonder training?
De toezichthouder kan ook individuele bestuurders aanspreken, met een boete of een last onder dwangsom. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij hun wettelijke taken niet nakomen. Onder omstandigheden kan een bestuurder tijdelijk worden geschorst.
Voor de organisatie zelf gelden de boetemaxima uit NIS2: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Het hoogste bedrag telt.
Het grootste risico zit niet in een ontbrekend certificaat. Het zit in het moment na een incident, als blijkt dat het bestuur nooit een besluit nam over de maatregelen die tekortschoten.
Wat betekent de trainingsplicht voor MSP’s?
Voor MSP’s speelt de plicht twee keer.
1. Je eigen bestuur. Aanbieders van beheerde diensten vallen in een sector van hoge kritikaliteit. Een middelgrote MSP (vanaf 50 medewerkers, of met een jaaromzet én balanstotaal van elk meer dan 10 miljoen euro) is een belangrijke entiteit, een grote MSP een essentiële entiteit. In beide gevallen geldt de trainingsplicht voor de uitvoerende bestuurders. Bij veel MSP’s is dat een DGA via een persoonlijke holding. Dan volgt de DGA zelf de training.
Voor MSP’s komt daar de Europese Uitvoeringsverordening (EU) 2024/2690 bij. Die schrijft voor dat het bestuur het beveiligingsbeleid minstens jaarlijks beoordeelt, en daarnaast na een significant incident of een belangrijke wijziging in de bedrijfsvoering of de risico’s. Het bestuur van een MSP heeft dus minimaal één vast moment per jaar waarop het aantoonbaar moet meedenken.
2. Het bestuur van je klanten. Klanten die onder de Cbw vallen, moeten toezien op maatregelen die jij voor hen uitvoert. Een bestuurder kan geen toezicht houden op wat hij niet ziet. Een korte bestuursrapportage per kwartaal (status van de maatregelen in beheer, incidenten, uitkomst van hersteltests, open risico’s) levert precies het bewijsstuk uit de tabel hierboven. Dat is geen training, maar wel de input die een getraind bestuur nodig heeft. Wat de Cbw verder van MSP’s vraagt, lees je in NIS2 voor MSP’s.
Zo regel je het in vijf stappen
- Stel vast of je onder de Cbw valt. Gebruik de NIS2 Scope Check.
- Maak de lijst van uitvoerende bestuurders. Op basis van statuten en KvK, inclusief bestuurders via een holding. Noteer per persoon de datum van benoeming.
- Kies een training op strategisch niveau. Spreek vooraf af dat elk certificaat naam, datum, onderwerpen en aanbieder vermeldt.
- Leg goedkeuring en toezicht vast. Een bestuursbesluit over de maatregelen, cyber als vast agendapunt en een periodieke rapportage. Een gap analyse laat zien welke maatregelen nog ontbreken voordat het bestuur ze goedkeurt.
- Plan het actueel houden. Eén vast moment per jaar, en een signaal bij elke nieuwe benoeming.
Veelgestelde vragen over NIS2 training bestuurders
Is een NIS2 training voor bestuurders verplicht? Ja, voor uitvoerende bestuurders van essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet. Zij moeten voldoende kennis hebben om cyberrisico’s te beoordelen en met een certificaat kunnen aantonen dat zij een training hebben gevolgd.
Wie moet de NIS2 training volgen? De uitvoerende bestuurders: statutair directeuren en andere bestuurders met een uitvoerende taak. Is een holding bestuurder, dan volgt de natuurlijke persoon die namens de holding bestuurt de training.
Geldt de trainingsplicht ook voor belangrijke entiteiten? Ja. De plicht geldt voor bestuurders van zowel essentiële als belangrijke entiteiten. Het verschil tussen beide zit in het toezicht, niet in de trainingsplicht.
Moeten commissarissen of de raad van toezicht een NIS2 training volgen? Nee. Commissarissen, leden van een raad van toezicht en bestuurders zonder uitvoerende taak vallen niet onder de trainingsplicht. Kennis van cyberrisico’s is voor hun toezichtrol wel verstandig.
Wanneer moet de training uiterlijk gevolgd zijn? Zittende bestuurders uiterlijk 15 augustus 2028. Nieuwe bestuurders binnen twee jaar na hun benoeming. Daarna moet de kennis aantoonbaar actueel blijven.
Hoe lang moet een NIS2 training voor bestuurders duren? De wet schrijft geen duur voor. Een eerdere versie van het Cyberbeveiligingsbesluit noemde een minimum aantal uren, maar dat is geschrapt. Wat telt, is dat de training de onderwerpen van de zorgplicht op strategisch niveau behandelt.
Moet de training gegeven worden door een erkende aanbieder? Nee. Er is geen erkenning of keurmerk voor aanbieders. De organisatie kiest zelf en moet die keuze kunnen verantwoorden. De naam van de aanbieder hoort op het certificaat.
Wat moet er op het certificaat staan? Zorg dat het certificaat per bestuurder minimaal de naam, de datum, de behandelde onderwerpen en de aanbieder vermeldt. Een gezamenlijke presentielijst is geen certificaat.
Hoe vaak moet de training herhaald worden? Er is geen vaste termijn. Bestuurders moeten hun kennis aantoonbaar actueel houden, bijvoorbeeld met een jaarlijkse opfrissessie, een crisisoefening of een update na een wetswijziging. Leg vast wat je doet.
Wat gebeurt er als een bestuurder geen training volgt? De toezichthouder kan handhaven, ook richting individuele bestuurders, met een boete of een last onder dwangsom. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld als zij hun wettelijke taken niet nakomen.
Volgende stap
Begin bij de vraag of je onder de wet valt: de NIS2 Scope Check geeft binnen een paar minuten uitsluitsel. Valt je organisatie eronder, dan laat een gap analyse zien welke maatregelen het bestuur straks moet goedkeuren.