Bestuursrapportage cybersecurity: wat legt u de directie voor onder NIS2?

Wat vraagt de wet van het bestuur?

Artikel 24 Cbw zegt:

• de maatregelen van de zorgplicht hebben de goedkeuring van het bestuur nodig;
• ieder bestuurslid heeft kennis en vaardigheden om risico's te herkennen, maatregelen te beoordelen en de gevolgen voor de diensten te beoordelen;
• ieder bestuurslid houdt die kennis aantoonbaar actueel en heeft een certificaat van een training.

De wet zegt niet hoe vaak het bestuur moet vergaderen of rapporteren. Een rapportage is dus geen wettelijk formulier, maar wel de praktische manier om de goedkeuring te onderbouwen. De RDI schrijft bij de zorgplicht dat het bestuur moet instemmen met de keuzes en moet zorgen dat er voldoende middelen zijn.

In een klein bedrijf is het bestuur vaak één of twee directeuren. Bij een bv is dat het bestuur in de zin van de wet. Voor bijzondere vormen, zoals een vof of maatschap, zegt artikel 24 wie als bestuur geldt.

Wat zet u in de rapportage?

Houd het kort: twee pagina's is genoeg voor een klein telecombedrijf. Een vaste opbouw:

1. Stand van zaken: registratie, meldprocedure, trainingen. Eén regel per onderwerp.
2. Top vijf risico's uit de risicoanalyse, met de score en wat eraan gebeurt.
3. Maatregelen ter goedkeuring: wat is nieuw of gewijzigd, wat kost het, wat gebeurt er als u het niet doet.
4. Geaccepteerde risico's: welke risico's u bewust accepteert, en waarom dat volgens de vastgestelde criteria mag.
5. Incidenten: wat er gebeurde, wat er gemeld is en wat u leerde.
6. Meetpunten: een paar cijfers die laten zien of maatregelen werken.
7. Leveranciers: belangrijke wijzigingen of zorgen bij kritieke leveranciers.
8. Besluiten: wat het bestuur vandaag moet besluiten.

Meetpunten kiest u met effectiviteit van maatregelen meten; de risico's komen uit uw risicoanalyse.

Voorbeeld van een overzichtstabel

Voorbeeld (verzonnen, ter illustratie)

Onderwerp	Status	Toelichting
Registratie MijnNCSC	Op orde	Laatste controle gegevens deze maand
MFA op beheertoegang	Bijna op orde	Twee oude switches nog zonder centrale login, vervanging gepland
Back-up hersteltest	Niet op orde	Test telefonieplatform uitgesteld, nieuwe datum voorgesteld
Bestuurderstraining	Gepland	Beide directeuren ingeschreven

Het besluit goed vastleggen

De goedkeuring is een plicht uit de wet. Zorg dat u kunt laten zien dat die er is:

• leg het besluit vast in notulen of een schriftelijk besluit, met datum en namen;
• noem welke documenten zijn goedgekeurd, met versienummer;
• noem de geaccepteerde risico's expliciet;
• leg vast welke middelen zijn toegekend;
• bewaar de rapportage bij het besluit.

Bij een inspectie kan de RDI vragen hoe het bestuur betrokken is. Een map met de besluiten en rapportages is dan het bewijs.

Hoe vaak?

De wet noemt geen frequentie. Een werkbare eigen afspraak voor een klein bedrijf is een korte rapportage elk kwartaal en een uitgebreidere jaarlijkse bespreking met de goedkeuring van beleid en risicoanalyse. Na een groot incident bespreekt u het direct.

Kennis van het bestuur

Een rapportage helpt alleen als de directie haar begrijpt. Daarom vraagt de wet een training met certificaat voor elk bestuurslid. Bestuursleden die er al zaten toen artikel 24 in werking trad, hebben daarvoor twee jaar; nieuwe bestuursleden twee jaar na benoeming (artikel 24, derde lid, Cbw). Meer in NIS2-cursus voor bestuurders en NIS2 en bestuurdersaansprakelijkheid.

Veelgestelde vragen

Is een bestuursrapportage verplicht?

De wet noemt geen rapportage, wel de goedkeuring van de maatregelen door het bestuur (artikel 24 Cbw). Een rapportage is de praktische manier om die goedkeuring te onderbouwen en vast te leggen.

Hoe vaak moet het bestuur over cybersecurity praten?

De wet noemt geen frequentie. Elk kwartaal kort en jaarlijks uitgebreid is een werkbare eigen afspraak, plus direct na een groot incident.

Wat als de directie een maatregel afwijst?

Dat kan, maar leg het besluit en de reden vast. Het risico wordt dan geaccepteerd of anders behandeld. Doe dat volgens uw vastgestelde criteria voor risicoacceptatie (artikel 7 Cyberbeveiligingsbesluit).