NIS2-trainingsplicht voor bestuurders: 15 vragen over de Cyberbeveiligingswet

1. Moet ons bestuur verplicht een NIS2-training volgen?

Ja, wanneer uw organisatie als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet valt. De specifieke trainingsplicht geldt voor de uitvoerende bestuurders van die entiteit. Zij moeten voldoende kennis en vaardigheden hebben om cyberrisico’s en risicobeheersmaatregelen te beoordelen en de gevolgen daarvan voor de organisatie te begrijpen.

Stel daarom eerst de toepasselijkheid en entiteitsstatus van de organisatie vast. Zonder een betrouwbare scopebeoordeling is niet goed te bepalen welke wettelijke verplichtingen gelden.

2. Welke bestuurders moeten de NIS2-training volgen?

De verplichting geldt voor natuurlijke personen die een uitvoerende bestuursfunctie vervullen bij een essentiële of belangrijke entiteit. Is een rechtspersoon bestuurder, dan geldt de verplichting voor de natuurlijke personen die namens die rechtspersoon in het bestuur zitten.

De juridische rol is bepalend, niet alleen de functietitel. Controleer daarom de statuten, inschrijving en feitelijke taakverdeling wanneer onduidelijk is wie als uitvoerend bestuurder geldt.

3. Geldt de trainingsplicht ook voor de raad van toezicht of raad van commissarissen?

Nee. Toezichthoudende bestuurders, commissarissen en niet-uitvoerende bestuurders zijn uitgezonderd van deze specifieke trainings- en certificaatverplichting. Dat neemt niet weg dat digitale risico’s, bestuurlijke verantwoordelijkheid en toezicht op de zorgplicht voor hen inhoudelijk relevant blijven.

Een gezamenlijke boardroomsessie kan daarom zinvol zijn, maar moet duidelijk worden onderscheiden van de formele training die uitvoerende bestuurders moeten kunnen aantonen.

4. Wanneer moet de training zijn gevolgd?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Bestuurders die op dat moment in functie zijn, moeten uiterlijk binnen twee jaar — dus uiterlijk 15 augustus 2028 — over de vereiste kennis en vaardigheden beschikken. Nieuwe bestuursleden moeten binnen twee jaar na hun benoeming aan de eisen voldoen.

Wacht niet tot het einde van de termijn. De organisatie heeft de kennis eerder nodig om de zorgplicht, maatregelen, incidentmelding en bestuurlijke rapportage goed in te richten.

5. Wat houdt de trainingsplicht precies in?

De bestuurder volgt een training waarmee kennis en vaardigheden worden opgedaan om cyberrisico’s, risicobeheersmaatregelen en de gevolgen voor de organisatie te beoordelen. De bestuurder hoeft geen technisch specialist te worden. De wet vraagt kennis op strategisch niveau, zodat het bestuur de juiste vragen kan stellen, maatregelen kan goedkeuren en onderbouwde besluiten kan nemen.

6. Aan welke eisen moet de training voldoen?

De training moet de wettelijk aangewezen onderwerpen behandelen en aansluiten op het doel van de trainingsplicht. De wet schrijft geen vaste duur, toetsvorm of onderwijsmethode voor. De gekozen opzet moet wel voldoende zijn om de vereiste bestuurlijke kennis en vaardigheden daadwerkelijk op te bouwen.

Leg vooraf vast welke onderwerpen aan bod komen en bewaar programma, deelnemersinformatie en certificaat. Zo kan de organisatie achteraf onderbouwen waarom de gevolgde training passend was.

7. Welke onderwerpen moeten in de training aan bod komen?

Het Cyberbeveiligingsbesluit koppelt de training aan cyberrisico’s, het risicomanagementproces, de gebruikte risicoanalysemethodiek en de maatregelen uit de wettelijke zorgplicht. De bestuurder moet op hoofdlijnen begrijpen hoe deze onderwerpen samenhangen met continuïteit, veiligheid en bestuurlijke besluitvorming.

• beleid voor risicoanalyse en beveiliging van netwerk- en informatiesystemen
• incidentenbehandeling en meldprocessen
• bedrijfscontinuïteit, back-ups, crisisbeheer en herstel
• beveiliging van de toeleveringsketen en leveranciers
• veilige verwerving, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarheden
• beoordeling van de effectiviteit van risicobeheersmaatregelen
• cyberhygiëne en cyberbeveiligingstraining
• cryptografie en versleuteling
• personeelsbeveiliging, toegangsbeleid en activabeheer
• multifactorauthenticatie, beveiligde communicatie en andere passende toegangsmaatregelen

8. Welke NIS2-training is verplicht?

De overheid wijst geen specifieke cursus, opleider of trainingsvorm aan. Een externe opleiding, maatwerkprogramma of interne training kan passend zijn, zolang de inhoud de wettelijke onderwerpen dekt en iedere verplichte bestuurder een bruikbaar certificaat ontvangt.

Kies daarom niet alleen op naam of duur. Beoordeel het programma, het bestuurlijke niveau, de aansluiting op de eigen organisatie en de kwaliteit van de bewijsvoering.

9. Moet de opleider officieel erkend of gecertificeerd zijn?

Nee. De Cyberbeveiligingswet verlangt geen erkenning of certificering van de opleider. Wel moet op het certificaat staan wie de training heeft verzorgd. De organisatie blijft verantwoordelijk voor een verdedigbare keuze van inhoud, niveau en aanbieder.

10. Welk bewijs moet de bestuurder kunnen tonen?

Iedere bestuurder op wie de trainingsplicht van toepassing is, moet een certificaat kunnen tonen waaruit blijkt dat de training is gevolgd. Een gezamenlijke presentielijst zonder individueel herleidbaar certificaat is daarvoor onvoldoende zorgvuldig.

11. Wat moet er op het certificaat staan?

Het certificaat moet ten minste de naam van de bestuurder, de datum of data van de training, de behandelde onderwerpen en de naam van de aanbieder vermelden. Het certificaat mag in het Nederlands of Engels zijn opgesteld; de training zelf mag ook in een andere taal worden gegeven.

• naam van de bestuurder
• datum of data van de training
• behandelde onderwerpen
• naam van de aanbieder

12. Hoe maakt de organisatie naleving aantoonbaar?

Bewaar per bestuurder het certificaat samen met het programma, de inhoudelijke leerdoelen en de datum waarop deelname bestuurlijk of administratief is vastgelegd. Neem daarnaast in de governancekalender op hoe kennis actueel wordt gehouden en hoe het bestuur over cyberrisico’s wordt geïnformeerd.

Een compact bewijsdossier voorkomt dat informatie bij een personeelswissel of toezichtsvraag verspreid over mailboxen en agenda’s moet worden teruggezocht.

13. Moet de training periodiek worden herhaald?

De regelgeving schrijft geen vaste herhaaltermijn voor. Bestuurders moeten hun kennis en vaardigheden na de eerste training wel aantoonbaar actueel houden. Dat kan met gerichte bijscholing, periodieke updates, oefeningen of andere aantoonbare activiteiten die passen bij wijzigingen in dreigingen, wetgeving en de organisatie.

Leg daarom een onderhoudscyclus vast in plaats van te wachten op een expliciete vervaldatum van het certificaat.

14. Welke praktische checklist kan de bestuurssecretaris gebruiken?

Gebruik de wettelijke deadline als eindpunt, maar organiseer de uitvoering als een bestuurlijk dossier met duidelijke eigenaren. De volgende stappen maken de trainingsplicht praktisch beheersbaar.

• bevestig of de organisatie een essentiële of belangrijke entiteit is
• bepaal welke natuurlijke personen uitvoerend bestuurder zijn
• selecteer een training die alle officiële onderwerpen aantoonbaar behandelt
• plan deelname ruim vóór de toepasselijke deadline
• controleer per bestuurder of het certificaat alle verplichte gegevens bevat
• bewaar programma, certificaten en besluitvorming centraal
• plan hoe kennis en vaardigheden aantoonbaar actueel worden gehouden

15. Is de bestuurderstraining voldoende om aan NIS2 te voldoen?

Nee. De training ondersteunt bestuurlijke kennis, maar vervangt de overige verplichtingen niet. Afhankelijk van de entiteitsstatus moet de organisatie onder meer registratie, risicoanalyse, zorgplichtmaatregelen, leveranciersbeheersing, incidentmelding, governance en aantoonbare opvolging organiseren.

Kynexis ondersteunt de uitvoeringskant met een quickscan, GAP-analyse, audit, implementatie en borging. Training en uitvoering zijn complementair, maar hebben ieder een eigen doel en bewijsvoering.