Bestuurderstraining onder de Cyberbeveiligingswet: wat moet erin?

De regel in het kort

Artikel 24 van de Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026 voor essentiële en belangrijke entiteiten. Het bestuur keurt de beveiligingsmaatregelen uit de zorgplicht goed. Ieder bestuurslid moet risico's voor netwerk- en informatiesystemen kunnen herkennen, maatregelen kunnen beoordelen en de gevolgen van beide voor de dienstverlening kunnen overzien. Dat toont het bestuurslid aan met een certificaat van een training. Het Cyberbeveiligingsbesluit (Cbb) werkt de training uit in de artikelen 20, 21 en 22.

Wie moet de training volgen?

• De leden van het bestuur (directie of raad van bestuur).
• Bij een monistisch bestuur alleen de uitvoerende bestuurders (artikel 24, achtste lid).
• Is een rechtspersoon bestuurder, bijvoorbeeld een holding-bv, dan de natuurlijke persoon of personen die namens die rechtspersoon in het bestuur zitten.
• Maatschap en vof: iedere maat of vennoot; bij een cv de beherende vennoten.

Een raad van commissarissen of raad van toezicht valt er volgens de NCTV en het ministerie van VWS niet onder. Medewerkers ook niet: hun bewustwordingstraining hoort bij de zorgplicht zelf (artikel 21, derde lid, onder g, Cbw).

Financiële instellingen die onder DORA vallen, vormen een apart geval. Als hun EU-sectorregels ten minste gelijkwaardig zijn, geldt de zorgplicht van de Cbw niet (artikel 22) en daarmee artikel 24 ook niet (artikel 24, dertiende lid). Hun bestuur heeft dan een eigen trainingsplicht uit DORA (artikel 5, vierde lid): regelmatig specifieke training, passend bij het ICT-risico.

Vóór wanneer, en hoe vaak?

Zittende bestuurders hebben tot 15 augustus 2028. Wie later bestuurder wordt, heeft twee jaar vanaf de benoeming. Daarna moet de kennis "aantoonbaar actueel" blijven. Er is geen vaste herhalingstermijn, en het hoeft niet dezelfde training opnieuw te zijn. Voor het bijhouden is volgens de toelichting bij het besluit ook geen certificaat nodig: een bestuurder mag dat op een andere manier aantonen. Een voorbeeld (onze suggestie, geen eis): vastgelegde briefings door de CISO over dreigingen, incidenten en gewijzigde maatregelen.

Wat de training moet behandelen

Het doel (artikel 20 Cbb): de bestuurder kan risico's herkennen en maatregelen beoordelen, en ziet wat beide betekenen voor de diensten van de organisatie. De training behandelt in ieder geval (artikel 21 Cbb):

• de soorten risico's voor netwerk- en informatiesystemen;
• risicomanagementprocessen;
• risicobeoordelingsmethodiek;
• alle tien maatregelen uit de zorgplicht (artikel 21, derde lid, Cbw): beleid voor risicoanalyse en informatiebeveiliging; incidentbehandeling; bedrijfscontinuïteit, back-ups, herstel en crisisbeheer; beveiliging van de toeleveringsketen; beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief kwetsbaarheden; het toetsen van de effectiviteit van maatregelen; cyberhygiëne en opleiding; cryptografie en encryptie; personeel, toegangsbeleid en beheer van assets; multifactor-authenticatie en beveiligde communicatie.

Het niveau is strategisch, niet technisch. Volgens de toelichting bij het besluit hoeft de bestuurder niet uit te kunnen leggen hoe netwerk- en informatiesystemen werken, maar moet maatregelen kunnen beoordelen en de risico's kunnen (laten) beheersen.

Wat op het certificaat staat

Volgens artikel 22 Cbb staat op het certificaat in ieder geval:

• de naam van het bestuurslid;
• de datum of data van de training;
• de behandelde onderwerpen;
• de naam van de aanbieder.

Het certificaat is in het Nederlands of het Engels. De training zelf mag in elke taal.

Wat de wet níet vraagt

• Geen erkende aanbieders. Er komt geen lijst van goedgekeurde trainingen. De organisatie mag een externe aanbieder kiezen of de training zelf organiseren, bijvoorbeeld met de CISO, zolang de onderwerpen aan bod komen.
• Geen minimum aantal uren en geen onafhankelijke trainer. Beide eisen stonden in het ontwerpbesluit en zijn na de internetconsultatie geschrapt. De wet maakt een latere regel over duur en niveau mogelijk (artikel 24, zesde lid), maar die is er nu niet.
• Geen bewijs van naleving. Een certificaat toont dat de bestuurder de training volgde. Het zegt niets over of de organisatie zelf aan de wet voldoet.

Een aanbod beoordelen: vijf vragen

1. Behandelt de training de drie risico-onderwerpen én alle tien zorgplichtmaatregelen? Vraag het programma.
2. Staan naam, data, onderwerpen en aanbieder op het certificaat? Vraag een voorbeeld.
3. Is het niveau bestuurlijk? Een technische cursus of een phishingtraining voor medewerkers is iets anders.
4. Gaat het over uw eigen risicoanalyse en maatregelen? Dat helpt het bestuur bij de goedkeuring die de wet ook vraagt.
5. Klopt wat de aanbieder over de wet zegt? "Erkend door het NCSC", "minimaal acht uur verplicht", "jaarlijks verplicht herhalen" of "ook verplicht voor de RvC" komen niet uit de wet.

Wat u bewaart

• het certificaat van ieder bestuurslid;
• een overzicht van bestuursleden met benoemingsdatum en uiterste datum;
• het programma of de agenda van de training;
• het bestuursbesluit waarmee de maatregelen zijn goedgekeurd;
• bewijs van bijscholing: briefings, presentielijsten, nieuwe certificaten.

De wet noemt geen bewaartermijn. Een bestuurslid kan een boete krijgen van ten hoogste €25.000 (artikel 93 Cbw), en die bevoegdheid vervalt pas vijf jaar na de overtreding (artikel 5:45 Awb). Ons advies: bewaar de stukken daarom ten minste zo lang, en in elk geval zolang de bestuurder in functie is.

Wat nog kan veranderen

Er kan alsnog een algemene maatregel van bestuur komen over de duur en het niveau van de training. Hoe de toezichthouder in elke sector de certificaten gaat controleren, hebben wij nog niet in officiële stukken gevonden. Wij houden deze pagina bij.

Bronnen

• Cyberbeveiligingswet (BWBR0052872), artikelen 21, 22, 24 en 93, wetten.overheid.nl, geldend vanaf 15 augustus 2026.
• Cyberbeveiligingsbesluit (BWBR0052875), artikelen 20 tot en met 22, wetten.overheid.nl.
• Staatsblad 2026, 189: Cyberbeveiligingsbesluit met nota van toelichting (artikelsgewijze toelichting artikelen 20 tot en met 22; consultatie, paragraaf 4.7).
• NCTV: "Cyberbeveiligingswet: vragen en antwoorden" en "Bestuurlijke aansprakelijkheid en trainingsplicht", nctv.nl.
• Ministerie van VWS: "Veelgestelde vragen Cyberbeveiligingswet", datavoorgezondheid.nl.
• Algemene wet bestuursrecht, artikel 5:45.
• Verordening (EU) 2022/2554 (DORA), artikel 5, vierde lid; Richtlijn (EU) 2022/2555 (NIS2), artikel 20.

Dit is algemene informatie, geen juridisch advies, en geen vaststelling of uw organisatie onder de Cyberbeveiligingswet valt. Opgesteld met behulp van AI en gecontroleerd tegen de bronnen hierboven.

Gerelateerd pakket

De Cyberbeveiligingswet (NIS2) starterkit bevat één pagina voor de directie over artikel 24: goedkeuren, kennis en training met certificaat, met een planningstabel. Daarnaast een scope-zelfcheck en een zorgplicht-gapanalyse.