Cyber Governance-bewijs
Cyberbeveiliging is niet langer alleen een IT-kwestie. Het is een kwestie die de aandacht van de raad van bestuur verdient.
Op grond van de Nederlandse Cyberbeveiligingswet — de nationale omzetting van NIS2, die naar verwachting rond 1 juli 2026 van kracht wordt — wordt cyberbeveiliging een expliciete verantwoordelijkheid van de raad van bestuur, waarbij individuele aansprakelijkheid mogelijk is in gevallen van grove nalatigheid. De maatregel zelf staat zelden ter discussie. Wat wel wordt onderzocht, is of de raad van bestuur kan aantonen dat hij op de hoogte was, is getraind en actie heeft ondernomen met betrekking tot het risico.
Documentatie, en niet het beveiligingslek, is meestal de zwakke schakel
Toezichthouders bestuderen steeds vaker de notulen van bestuursvergaderingen, en niet alleen de technische logboeken. Handhavingsmaatregelen volgen doorgaans bepaalde patronen — te late rapportage, gebrekkige documentatie, tekortkomingen in de voorbereiding op audits — en zijn niet het gevolg van één enkele technische storing.
Het toezicht op cyberrisico’s valt nu rechtstreeks onder de verantwoordelijkheid van de raad van bestuur en is geen gedelegeerde IT-taak meer.
De Cyberbeveiligingswet voert drie kernverplichtingen in: een registratieplicht, een meldingsplicht voor incidenten en een zorgplicht, die een gedocumenteerde risicoanalyse en een beleid voor incidentrespons vereist.
Bestuursleden zijn verplicht een opleiding op het gebied van cyberbeveiliging te volgen en aantoonbaar die kennis op peil te houden — een vereiste die op zichzelf al een bewijslast met zich meebrengt.
Vier voorwaarden voor een verdedigbaar cyberbestuur
Risicoanalyseverslag
Een gedocumenteerde risicoanalyse die actueel was op het moment dat de beslissingen werden genomen — en niet achteraf, na een incident, is samengesteld.
Goedkeuring door de leiding
Bewijs dat het management specifieke cyberrisico’s heeft beoordeeld en aanvaard, zoals destijds vastgelegd, en niet louter op basis van stilzwijgen.
Bewijs van bestuursopleiding
Aantoonbaar bewijs dat de bestuursleden de vereiste cybersecuritytraining hebben gevolgd en die kennis op peil hebben gehouden.
Beslissingstraject bij incidenten
Een overzicht van de beslissingen die op bestuursniveau tijdens een incident zijn genomen — wat er bekend was, wanneer, en wat er is besloten — en niet alleen het eindrapport.
Hoe Cyber Governance-bewijs in de praktijk tekortschiet
Een gestructureerde, op bewijs gebaseerde basis, afgestemd op de eisen van vandaag
Standaard — Basis voor gestructureerde dossiers
Brengt feiten, bewijsmateriaal, beslissingen en verplichtingen op het gebied van cybergovernance samen in een onderbouwde structuur. De documenten vormen de uitkomst van die structuur — niet het product zelf.
Pro — Laag voor bestuur en integriteit
Voegt bestuurs- en integriteitscontroles toe op het gebied van besluitvormingsverantwoordelijkheid, de integriteit van bewijsmateriaal en de grenzen van toegangs- en auditcontroles, waardoor het cybertoezicht op bestuursniveau wordt versterkt.
Dossier Secure Enterprise wordt ontwikkeld om gebeurtenissen, betrokkenen, beleid, beslissingen, bewijsmateriaal, resultaten en audittrails met elkaar te verbinden tot een verdedigbare reconstructieketen — inclusief beslissingen over cyberincidenten en bewijsmateriaal met betrekking tot het toezicht door de raad van bestuur. Deze laag bevindt zich momenteel in actieve ontwikkeling.
Cyber Governance-bewijs, uitgelegd
Wat is de Cyberbeveiligingswet en wanneer treedt deze in werking?
De Nederlandse implementatie van NIS2, die naar verwachting rond 1 juli 2026 van kracht wordt, vervangt de huidige Wbni en heeft betrekking op 18 sectoren.
Waarom maakt NIS2 cyberbeveiliging tot een verantwoordelijkheid van de raad van bestuur?
NIS2 legt de directe verantwoordelijkheid voor het toezicht op cyberrisico’s bij het hoger management en de raad van bestuur, in plaats van dit als een puur technische taak te beschouwen.
Kunnen individuele bestuursleden op grond van de Cbw persoonlijk aansprakelijk worden gesteld?
Afzonderlijke bestuursleden kunnen in geval van grove nalatigheid persoonlijk aansprakelijk worden gesteld, los van de boetes die aan de organisatie worden opgelegd.
Welke gegevens moeten organisaties bijhouden om aan te tonen dat zij toezicht houden op cyberrisico’s?
Documentatie waarin risicobeoordelingen, goedkeuring door het management, beslissingen inzake incidentrespons en de beoordeling van cyberrisico’s door de raad van bestuur in de loop van de tijd zijn vastgelegd.
Is ‘Dossier Secure Enterprise’ nu volledig operationeel voor het Cyber Governance-bewijs?
Dossier Secure Enterprise bevindt zich in een actieve ontwikkelingsfase en wordt opgezet als infrastructuur voor forensic governance. De huidige Dossier Secure-lagen bieden een gestructureerde basis voor bewijsmateriaal, terwijl de volledige reconstructieketen van Enterprise stap voor stap wordt opgebouwd.
Ga na op welke punten uw Cyber Governance-bewijs momenteel onvolledig is
De 48-uurs governance-test laat precies zien waar het verband tussen cyberrisico’s en de onderbouwing op bestuursniveau ontbreekt — voordat dit onder druk door grondig onderzoek aan het licht komt.