NIS2-cursus voor bestuurders: wat de wet vraagt en hoe u kiest

De Cyberbeveiligingswet (Cbw) vraagt van elke bestuurder van een essentiële of belangrijke entiteit dat hij of zij genoeg weet van cyberrisico's. Dat moet blijken uit een certificaat van een training. In dit artikel leest u wat die training volgens de regels moet behandelen, wat de regels open laten, en hoe u als directeur van een telecom-, VoIP- of internetbedrijf een goede cursus kiest.

Waar staat de opleidingsplicht?

De Europese NIS2-richtlijn zegt in artikel 20 lid 2 dat bestuursleden een opleiding moeten volgen. Nederland heeft dat uitgewerkt in twee regels:

• Artikel 24 Cbw. Ieder bestuurslid moet risico's kunnen herkennen, maatregelen kunnen beoordelen en de gevolgen voor de dienstverlening kunnen inschatten. Het bestuurslid houdt die kennis aantoonbaar bij en heeft een certificaat van een training.
• Artikel 20 tot en met 22 van het Cyberbeveiligingsbesluit (Cbb). Daarin staan het doel van de training, de onderwerpen en de eisen aan het certificaat.

Wie moet de training volgen?

De plicht geldt voor ieder lid van het bestuur. Een paar punten om op te letten:

• Heeft uw organisatie een bestuur met uitvoerende en niet-uitvoerende bestuurders, dan geldt de plicht alleen voor de uitvoerende bestuurders. De RDI zegt dat commissarissen en niet-uitvoerende bestuurders zijn uitgezonderd.
• Is een holding bestuurder, dan moet de persoon die namens de holding in het bestuur zit de training volgen.
• Bij een vof of maatschap gelden de regels voor de vennoten of maten.

Uw technisch verantwoordelijke hoeft volgens de wet geen certificaat te hebben. Het is wel verstandig om die persoon mee te nemen. Hij of zij voert de maatregelen uit die het bestuur goedkeurt.

Wat moet de training behandelen?

Artikel 21 Cbb noemt de onderwerpen die in ieder geval aan bod komen:

1. de soorten risico's voor netwerk- en informatiesystemen;
2. risicomanagementprocessen;
3. een methode om risico's te beoordelen;
4. de tien onderwerpen van de zorgplicht uit artikel 21 lid 3 Cbw. Dat zijn onder meer risicobeleid, incidentenbehandeling, bedrijfscontinuïteit, de toeleveringsketen, veilig inkopen en onderhouden, effectiviteit meten, cyberhygiëne en opleiding, cryptografie, personeel en toegang, en multifactorauthenticatie en beveiligde communicatie.

De nota van toelichting bij het Cbb is hier duidelijk over. Een bestuurder hoeft geen technische kennis te hebben en hoeft niet uit te leggen hoe systemen werken. Wel moet hij of zij op strategisch niveau de maatregelen kunnen beoordelen en de risico's laten beheersen.

Wat de regels niet vastleggen

Veel vragen over bestuurderstrainingen gaan over zaken die de wet open laat. Volgens de teksten die wij lazen:

• Duur en niveau. De Cbw maakt regels hierover mogelijk. Het Cbb noemt geen minimumduur en geen niveau.
• Externe trainer. In het ontwerp stond dat de trainer onafhankelijk moest zijn. Die eis is na de internetconsultatie geschrapt.
• Taal. De training mag in elke taal. Alleen het certificaat moet in het Nederlands of het Engels.
• Vorm. Er staat niet in dat de training klassikaal moet zijn. Een e-learning is dus niet uitgesloten, zolang de inhoud en het certificaat kloppen.
• Erkenning. In de Cbw en het Cbb staat geen erkenning van opleiders en geen lijst van goedgekeurde cursussen. Wees dus kritisch als een aanbieder zegt dat zijn cursus "officieel erkend" is.

Hoe vaak moet u op cursus?

De wet noemt geen vast aantal uren per jaar en geen verplichte herhaling. Wel geldt:

• Bestaande bestuurders moeten binnen twee jaar na inwerkingtreding over de kennis beschikken. Volgens de RDI is dat uiterlijk medio 2028. Nieuwe bestuurders hebben twee jaar na benoeming.
• Daarna houdt u de kennis aantoonbaar actueel (artikel 24 lid 4 Cbw).

Voor dat actueel houden is volgens de nota van toelichting geen certificaat met de Cbb-eisen nodig. U mag het ook op een andere manier aantonen. Denk aan een korte opfriscursus, een webinar, een verslag van een oefening of notulen van een bestuursoverleg waarin nieuwe dreigingen zijn besproken. Een vast moment per jaar is een goede eigen afspraak, maar geen wettelijke termijn.

Wat moet er op het certificaat staan?

Artikel 22 Cbb noemt vier gegevens die in ieder geval op het certificaat staan:

1. de naam van het bestuurslid;
2. de datum of data waarop de training is gevolgd;
3. de behandelde onderwerpen;
4. de naam van de aanbieder van de training.

De RDI kan om dit certificaat vragen. Controleer bij elke opleiding, ook bij die van ons, of deze vier gegevens erop staan. Bewaar het certificaat in uw bewijsdossier, samen met bewijs van latere bijscholing.

Wat maakt een cursus goed voor een telecombedrijf?

De wettelijke onderwerpen zijn algemeen. Een bestuurder van een telecom- of VoIP-bedrijf heeft meer aan voorbeelden uit de eigen praktijk. Let bij het kiezen op deze punten:

• Telecomvoorbeelden. Bijvoorbeeld uitval van een carrier, toll fraud via SIP-trunks, een kwetsbaarheid in een SBC, DDoS op uw netwerk en de bereikbaarheid van 112.
• Besluiten oefenen. Een goede training laat u keuzes maken: een tweede carrier of niet, welk budget, wie mag bij een incident het netwerk afsluiten.
• Meldplicht. Het verschil tussen een gewoon en een significant incident, en de termijnen van 24 uur, 72 uur en een maand. Zie Meldplicht bij een incident.
• Toets. Met een toets ziet u zelf of u de stof begrijpt. Het geeft ook bewijs dat u de training echt heeft gevolgd.
• Certificaat met de juiste gegevens. Zie de vier punten hierboven.
• Vertaling naar uw eigen bedrijf. Na de cursus moet u kunnen beginnen. Een sjabloon voor risicoanalyse of bestuursrapportage helpt daarbij.

De NIS2-cursus van NIS2portaal

Wij bieden een e-learning voor telecom- en VoIP-aanbieders. Dit is wat u krijgt:

• zes modules, samen ongeveer vier uur lesstof, elk met een toets;
• een bestuurdersspoor: rondt een bestuurder module 1 tot en met 5 af, dan krijgt die een eigen certificaat voor de bestuurdersopleiding;
• maximaal drie deelnemers per organisatie, bijvoorbeeld een bestuurder en de technisch verantwoordelijke;
• twee maanden gebruik van het NIS2-portaal zonder extra kosten, zodat u het geleerde meteen toepast;
• prijs: € 2.500 eenmalig, exclusief btw.

Meer informatie en de inhoud per module vindt u op de cursuspagina. Misschien kunt u een deel van de kosten terugkrijgen via de MCZ-regeling van RVO. Dat is niet zeker: RVO beslist. Lees meer in MCZ-subsidie voor cybersecurity.

Wilt u eerst weten wat er van u als bestuurder wordt verwacht? Lees dan NIS2 en bestuurdersaansprakelijkheid.

Volgende stap

Weet u nog niet zeker of uw bedrijf onder de wet valt? Doe dan eerst de gratis zelfscan. Valt u eronder, plan dan de training voor uw bestuurders. Bekijk de cursus of kom naar de gratis kennissessie.