Cyberbeveiliging is een bestuursverantwoordelijkheid
Onder de Cyberbeveiligingswet is cyberbeveiliging niet alleen een taak van ICT. Het bestuur van een essentiële of belangrijke entiteit keurt de maatregelen voor de zorgplicht goed en houdt toezicht op de uitvoering. Bestuurders moeten voldoende kennis en vaardigheden hebben om cyberrisico’s en de gevolgen daarvan voor de organisatie te begrijpen en te beoordelen.
De trainingsplicht
Uitvoerende bestuurders zijn verplicht een training te volgen. Leden van een raad van commissarissen en andere niet-uitvoerende bestuurders vallen niet onder deze plicht. De training levert een certificaat op met in ieder geval de naam van de bestuurder, de datum, de behandelde onderwerpen en de naam van de aanbieder. Voor deze plicht geldt een overgangstermijn van twee jaar na de inwerkingtreding van de wet, tot medio augustus 2028.
Er is geen vaste termijn voor herhaling, maar bestuurders moeten hun kennis aantoonbaar actueel houden. Plan daarom een periodieke opfrissing, bijvoorbeeld gekoppeld aan de directiebeoordeling.
Persoonlijke gevolgen
De wet biedt toezichthouders de mogelijkheid om individuele bestuurders aan te spreken. Zo kan aan een bestuurder persoonlijk een boete of last onder dwangsom worden opgelegd. Dat maakt een aantoonbare betrokkenheid van het bestuur belangrijk.
Hoe toont het bestuur betrokkenheid aan?
Betrokkenheid blijkt uit vastgelegde besluiten, niet uit goede bedoelingen.
- Een door het bestuur goedgekeurd beveiligingsbeleid en verbeterplan.
- Periodieke rapportages over risico’s, incidenten en de voortgang van maatregelen, met de besluiten die daarop zijn genomen.
- Een vastgelegd besluit over geaccepteerde restrisico’s.
- Trainingscertificaten van de uitvoerende bestuurders.
Maak het onderdeel van de agenda
Zet cyberbeveiliging vast op de agenda van het bestuur, bijvoorbeeld elk kwartaal. Laat de verantwoordelijke voor informatiebeveiliging rapporteren in begrijpelijke termen: wat zijn de grootste risico’s, wat is er verbeterd en waar is een besluit nodig? Wie al ISO 27001 hanteert, kan dit combineren met de directiebeoordeling.