Ben je bestuurder? Dan moet je voor 15 augustus 2028 een cyberbeveiligingstraining volgen

Ben je uitvoerend bestuurder van een organisatie die onder de Cyberbeveiligingswet valt? Dan moet je persoonlijk een training over cyberbeveiliging volgen en daarvoor een certificaat halen. Dat staat in artikel 24 van de wet, die sinds 15 augustus 2026 van kracht is. Je hebt tot uiterlijk 15 augustus 2028 de tijd om aan de eis te voldoen.

Wat de wet van je vraagt

De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn in Nederland en vervangt de oude Wet beveiliging netwerk- en informatiesystemen. De wet geldt voor organisaties uit 18 sectoren die essentiele of belangrijke diensten leveren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Volgens de Rijksoverheid krijgen ruim 8000 organisaties in Nederland te maken met de nieuwe verplichtingen.

Een van die verplichtingen raakt jou rechtstreeks als je in het bestuur zit. Artikel 24 van de wet schrijft voor dat ieder lid van het bestuur over kennis en vaardigheden moet beschikken om risico's voor netwerk- en informatiesystemen te identificeren, cyberbeveiligingsmaatregelen te beoordelen en de gevolgen daarvan voor de organisatie in te schatten. Om dat aan te tonen, volg je een training en bezit je daarna een certificaat.

Voor wie geldt de trainingsplicht

De trainingsplicht geldt voor uitvoerende bestuurders van essentiele en belangrijke entiteiten. Volgens de NCTV vallen toezichthoudende bestuurders niet onder deze plicht. Ook leden van een raad van commissarissen en andere niet-uitvoerende bestuurders zijn uitgezonderd. Zit je in het uitvoerend bestuur van zo'n organisatie, dan geldt de eis voor jou persoonlijk, niet alleen voor je organisatie als geheel.

Werd je na 15 augustus 2026 benoemd? Dan geldt de termijn van twee jaar vanaf het moment van jouw benoeming, niet vanaf de inwerkingtreding van de wet. Twijfel je of jouw functie als uitvoerend of toezichthoudend geldt, bespreek dat dan met de secretaris van je bestuur of met de juridische afdeling van je organisatie, want de wet zelf geeft geen uitputtende lijst van functietitels.

Wat de training moet behandelen

De wet schrijft geen vaste cursus of aanbieder voor. Wel legt de NCTV vast welke onderwerpen aan bod moeten komen:

• risico's voor de beveiliging van netwerk- en informatiesystemen
• mogelijke gevolgen van die risico's voor de organisatie
• het identificeren en beheersen van cyberbeveiligingsrisico's
• maatregelen om die risico's te beheersen
• de kennis en vaardigheden om risico's en maatregelen te beoordelen en daar op bestuurlijk niveau besluiten over te nemen

Je organisatie kan een externe opleider inschakelen, maar mag de training ook zelf organiseren, bijvoorbeeld met hulp van een CISO. Zolang de inhoud aan de wettelijke eisen voldoet, ligt de keuze bij de organisatie.

Het certificaat

Na afloop van de training krijg je een certificaat. Daarop staat dat je de training hebt gevolgd en welke onderwerpen zijn behandeld. Het certificaat moet in het Nederlands of Engels zijn opgesteld, ook als de training zelf in een andere taal werd gegeven. De precieze eisen aan de training en het certificaat, waaronder duur en niveau, worden nader geregeld in het Cyberbeveiligingsbesluit.

Je houdt je kennis daarna ook aantoonbaar actueel. De wet noemt geen vaste herhalingstermijn, maar het bestuur blijft eindverantwoordelijk voor cyberrisicobeheersing, ook als de dagelijkse uitvoering bij een CISO of een andere functionaris ligt.

Wat je nu doet

Ga eerst na of je organisatie onder de Cyberbeveiligingswet valt: dat bepaal je zelf aan de hand van je sector en de omvang van je organisatie, de Rijksoverheid wijst dit niet automatisch aan. Val je eronder en zit je in het uitvoerend bestuur, plan dan op tijd een training in, want de deadline van 15 augustus 2028 ligt dichterbij dan hij lijkt als je rekening houdt met de agenda's van een heel bestuur. Bespreek met je organisatie wie de training verzorgt en zorg dat je na afloop het certificaat ontvangt en bewaart, want dat is je bewijs dat je aan de wettelijke eis voldoet.