Nee, de specifieke wettelijke trainingsplicht uit de Cyberbeveiligingswet geldt volgens de RDI niet voor toezichthoudende bestuurders, commissarissen en niet-uitvoerende bestuurders.
Die verplichting is gericht op uitvoerende bestuursleden van essentiële en belangrijke entiteiten.
Dat antwoord is juridisch vrij duidelijk.
De vervolgvraag vind ik minstens zo interessant:
welke kennis heeft een Raad van Toezicht of Raad van Commissarissen dan wél nodig om goed toezicht te houden op digitale risico's?
Daar begint het echte governancevraagstuk.
Waarom ontstaat hierover verwarring?
In de Cyberbeveiligingswet staat stevige taal over bestuurlijke verantwoordelijkheid, kennis en training.
Daarnaast wordt in de praktijk vaak gesproken over “bestuur en toezicht” als één doelgroep.
Dat is begrijpelijk vanuit governance, maar juridisch moet je onderscheid maken.
De RDI maakt dat onderscheid expliciet:
- uitvoerende bestuurders vallen onder de specifieke trainingsplicht;
- toezichthoudende bestuurders / commissarissen zijn uitgezonderd;
- niet-uitvoerende bestuurders zijn eveneens uitgezonderd.
Een RvT- of RvC-lid hoeft dus niet te doen alsof dezelfde wettelijke certificaatplicht op hem of haar rust.
Betekent dat dat toezicht geen NIS2-kennis nodig heeft?
Dat zou ik er zeker niet uit afleiden.
Een toezichthouder moet het bestuur kunnen bevragen op onderwerpen als:
- digitale continuïteit;
- cyberrisico's;
- leveranciersafhankelijkheden;
- restrisico;
- incidenten;
- herstel;
- investeringskeuzes;
- kwaliteit van managementinformatie.
Daarvoor is technische diepgang meestal niet nodig.
Wel voldoende begrip om te herkennen wanneer een antwoord te oppervlakkig blijft.
Wat is de rol van het uitvoerend bestuur?
Het uitvoerend bestuur draagt verantwoordelijkheid voor governance en risicobeheersing van de organisatie.
Onder de Cyberbeveiligingswet moeten relevante risicobeheersmaatregelen bestuurlijk worden goedgekeurd en moeten uitvoerende bestuurders voldoende kennis hebben om risico's en maatregelen te beoordelen.
Daar hoort de wettelijke training bij.
Voor toezicht ontstaat vervolgens een andere vraag:
kan de raad beoordelen of het bestuur die verantwoordelijkheid aantoonbaar invult?
Welke vragen hoort een RvT of RvC te kunnen stellen?
Ik zou als toezichthouder bijvoorbeeld willen weten:
Welke digitale risico's zijn materieel?
Niet een lijst van alle kwetsbaarheden.
Wel de risico's die strategie, continuïteit, cliënten, klanten of dienstverlening echt kunnen raken.
Welke risico's accepteert het bestuur bewust?
Geen organisatie kan ieder risico volledig wegnemen.
Ik wil dus zien waar restrisico expliciet is besproken en geaccepteerd.
Welk bewijs hebben we dat maatregelen werken?
Een beleidsdocument is iets anders dan aantoonbare werking.
Denk aan:
- restore-tests;
- audits;
- incidentoefeningen;
- leveranciersassurance;
- toegangsreviews;
- kwetsbaarhedenopvolging.
Welke afhankelijkheid hebben we van leveranciers?
Veel digitale continuïteit ligt bij cloud-, SaaS- en IT-dienstverleners.
Toezicht hoort te weten waar concentratierisico zit.
Wat gebeurt er tijdens een ernstig incident?
Wie beslist?
Wanneer wordt toezicht geïnformeerd?
Welke herstelprioriteiten gelden?
Moet een RvT of RvC dan een training volgen?
Wettelijk vanuit deze specifieke trainingsplicht: nee.
Governance-technisch kan een gerichte training of boardroomsessie heel verstandig zijn.
Ik zou de keuze laten afhangen van de vraag:
- mist de raad basiskennis over NIS2 en de Cyberbeveiligingswet;
- zijn rapportages moeilijk te beoordelen;
- is leveranciersrisico onvoldoende zichtbaar;
- wil bestuur en toezicht gezamenlijk een scenario doorlopen;
- zijn rollen rond incidenten nog niet helder?
Dan kan een sessie veel opleveren.
Gezamenlijk trainen of apart?
Beide kan.
Gezamenlijk
Een gezamenlijke Boardroom Training heeft als voordeel dat bestuur en toezicht:
- dezelfde wettelijke context horen;
- dezelfde casus bespreken;
- verschillen in informatiebehoefte zichtbaar maken;
- afspraken kunnen maken over rapportage en escalatie.
Apart
Een aparte toezichtssessie kan nuttig zijn wanneer de RvT/RvC vooral wil werken aan:
- toezichtvragen;
- onafhankelijke informatie;
- rolzuiverheid;
- auditcommissie;
- rapportagekwaliteit.
Ik vind de gezamenlijke variant sterk wanneer er voldoende vertrouwen is om ook echte dilemma's te bespreken.
En het certificaat?
Het wettelijke certificaat uit het Cyberbeveiligingsbesluit is gekoppeld aan de verplichte training voor de uitvoerende bestuurder.
Een RvT/RvC kan uiteraard een bewijs van deelname krijgen aan een boardroomsessie, maar presenteer dat niet alsof de wet voor toezicht hetzelfde certificaat verplicht stelt.
Dat onderscheid hoort ook op de website helder te blijven.
Wat verwacht ik van een toezichthouder na een sessie?
Niet dat iemand technische termen uit het hoofd kent.
Wel dat de raad beter kan doorvragen.
Bijvoorbeeld:
- Waar baseren we ons vertrouwen op?
- Welke maatregel is nog onvoldoende aantoonbaar?
- Welke leverancier vormt het grootste continuïteitsrisico?
- Welk cyberrisico heeft het bestuur bewust geaccepteerd?
- Wanneer is herstel voor het laatst getest?
- Welke onderwerpen vragen bestuurlijk besluit en welke zijn operationeel?
Dat zijn vragen waarmee toezicht zijn eigen rol kan versterken.
Mijn advies
Behandel de wettelijke trainingsplicht en de kennisbehoefte van toezicht als twee verschillende zaken.
Voor uitvoerende bestuurders: voldoe aantoonbaar aan de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit.
Voor RvT en RvC: organiseer voldoende kennis om het bestuur op het juiste niveau te kunnen bevragen.
Die twee komen in een goede boardroom samen, zonder de rollen door elkaar te halen.
Wil je bestuur en toezicht gezamenlijk laten werken aan NIS2, risico's en rapportagevragen? Bekijk dan de NIS2 Boardroom Training.
Bekijk de NIS2 Boardroom Training
Voor de bredere governancepagina:
Veelgestelde vragen
Is NIS2-training wettelijk verplicht voor de Raad van Toezicht?
Nee. De RDI geeft aan dat toezichthoudende bestuurders zijn uitgezonderd van de specifieke trainingsplicht.
Is NIS2-training verplicht voor commissarissen?
Nee. Commissarissen vallen volgens de RDI niet onder deze specifieke trainingsplicht.
Geldt de verplichting voor niet-uitvoerende bestuurders in een one-tier board?
De RDI noemt niet-uitvoerende bestuurders als uitzondering op de specifieke trainingsplicht.
Waarom zou een RvT of RvC toch training volgen?
Om voldoende kennis te hebben voor risicogericht toezicht, rapportages te kunnen beoordelen en het bestuur gericht te kunnen bevragen over cyberrisico's en beheersing.
Kunnen bestuur en toezicht dezelfde Boardroom Training volgen?
Ja. Houd in de inhoud en certificering wel het onderscheid tussen de wettelijke verplichting van uitvoerende bestuurders en de governancebehoefte van toezicht helder.
Bronnen
Gebruik minimaal:
- RDI, Bestuurlijke verantwoordelijkheid en governance;
- Cyberbeveiligingswet;
- Cyberbeveiligingsbesluit.
Volgende stap
Werk gezamenlijk aan bestuurlijke verdieping
In de Boardroom Training werken bestuur, directie en toezicht met dezelfde wettelijke context, risico's, rapportagevragen en een bestuurlijk scenario.