In de meeste MKB-organisaties is security een onderwerp voor IT. De Cyberbeveiligingswet doorbreekt dat: drie van de verplichtingen liggen bij het bestuur zelf en zijn niet te delegeren.
1. Goedkeuren
Het bestuur moet de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren. Niet er kennis van nemen, niet erover geïnformeerd worden — goedkeuren. Dat veronderstelt dat er iets voorligt dat goed te keuren valt.
In de praktijk is dat het punt waar het misgaat. Er is wel een IT-leverancier met een mening, en er zijn wel wat maatregelen genomen, maar er ligt geen document waarin staat: dit zijn onze risico's, dit is wat wij eraan doen, dit is wat wij bewust níét doen en waarom. Zonder die onderbouwing is er geen goedkeuringsbesluit, alleen een aanname.
Wat er minimaal moet liggen: een actuele risicoanalyse van uw netwerk- en informatiesystemen, een pakket maatregelen dat aan die risico's is gekoppeld, en de expliciete keuzes — inclusief de restrisico's die het bestuur accepteert.
2. Toezicht houden op de uitvoering
Goedkeuren is een moment, toezicht houden is een ritme. Het bestuur moet toezien op de uitvoering van de maatregelen, en dat betekent dat er periodiek iets terug moet komen.
Een kwartaalcyclus is voor het MKB werkbaar. Wat erin hoort: de status van de roadmap, de openstaande risico's met eigenaar en termijn, de incidenten van het afgelopen kwartaal en wat ermee is gedaan, en wijzigingen in de keten — nieuwe leveranciers, nieuwe koppelingen, nieuwe afhankelijkheden.
Leg de bespreking vast in de notulen. Toezicht dat niet is vastgelegd, heeft voor een toezichthouder niet plaatsgevonden.
3. Zelf getraind zijn
De derde verplichting wordt het vaakst weggewuifd: bestuurders moeten zelf training volgen om voldoende kennis en vaardigheden te verwerven om cyberbeveiligingsrisico's te kunnen onderkennen en beoordelen. Daarnaast moeten zij vergelijkbare training aan hun medewerkers aanbieden.
Dat is nadrukkelijk iets anders dan de phishing-simulatie die de rest van het bedrijf krijgt. Het doel is niet dat een bestuurder een verdachte link herkent, maar dat hij of zij de juiste vragen kan stellen bij een risicoanalyse en kan beoordelen of een voorgestelde maatregel in verhouding staat tot het risico. Een dagdeel per jaar, toegespitst op de eigen sector en de eigen keten, dekt dit af — mits u bijhoudt wie erbij was.
Waarom dit geen formaliteit is
NIS2 koppelt aan deze verplichtingen een aansprakelijkheid: bestuurders kunnen persoonlijk aansprakelijk worden gehouden voor het niet naleven van de zorgplicht. Bij essentiële entiteiten kan de toezichthouder bovendien een tijdelijk verbod opleggen om een leidinggevende functie uit te oefenen.
Daarnaast staan er boetes tegenover die niet op MKB-schaal zijn ontworpen: voor essentiële entiteiten tot € 10 miljoen of 2 procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot € 7 miljoen of 1,4 procent — telkens het hoogste van de twee. De exacte uitwerking en het handhavingsbeleid liggen bij de Nederlandse wetgever en de toezichthouders, maar de orde van grootte is duidelijk.
Aansprakelijkheid verplaatst het gesprek. Security is geen IT-budgetpost meer, maar een bestuursbesluit met een handtekening eronder.
Wat een bestuur minimaal in huis moet hebben
- Een actuele risicoanalyse, met datum en een eigenaar.
- Een goedkeuringsbesluit over de maatregelen, vastgelegd in de notulen.
- Een kwartaalrapportage met status, risico's en incidenten.
- Bewijs van gevolgde bestuurstraining, met deelnemers en datum.
- Een meldproces met namen erin, niet met functies.
- Een overzicht van kritieke leveranciers en de eisen die u aan hen stelt.
Zes documenten. Dat is minder werk dan het klinkt, en het is precies het pakket dat een toezichthouder als eerste opvraagt.
De RISKpilot-ketenscan levert de bestuurdersbriefing van één A4 en de directiepresentatie waarmee u deze verplichtingen in één zitting kunt beleggen. CISOpilot houdt de kwartaalcyclus daarna draaiend.