Kort antwoord
De wettelijke eisen staan in de artikelen 20 tot en met 22 van het Cyberbeveiligingsbesluit. De training moet een bestuurder voldoende kennis en vaardigheden geven om risico’s voor netwerk- en informatiesystemen te herkennen, de mogelijke gevolgen voor de dienstverlening te beoordelen en risicobeheersmaatregelen inhoudelijk te wegen.
De opleider moet alle voorgeschreven onderwerpen behandelen en na afloop een certificaat in het Nederlands of Engels verstrekken. De wet schrijft geen minimumduur, examen of erkende opleider voor.
Voor wie is de training wettelijk verplicht?
De specifieke trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten die onder de Cyberbeveiligingswet vallen. Het gaat om de personen die de organisatie feitelijk besturen en verantwoordelijk zijn voor het goedkeuren van de risicobeheersmaatregelen en het toezicht op de uitvoering daarvan.
Volgens de actuele toelichting van de NCTV geldt deze specifieke wettelijke plicht niet voor commissarissen, toezichthoudende bestuurders en andere niet-uitvoerende bestuursleden. Voor goed toezicht blijft voldoende kennis van cyberrisico’s, continuïteit en bestuurlijke informatie natuurlijk wel relevant.
Welk leerresultaat schrijft de wet voor?
Artikel 20 van het Cyberbeveiligingsbesluit beschrijft wat een bestuurder na de training moet kunnen. Het gaat om drie samenhangende vaardigheden:
- risico’s voor de beveiliging van netwerk- en informatiesystemen identificeren;
- de mogelijke gevolgen van die risico’s voor de diensten van de entiteit beoordelen;
- de risicobeheersmaatregelen én de gevolgen daarvan voor de diensten beoordelen.
De training hoeft bestuurders dus niet op te leiden tot technisch specialist. Zij moet hen wel voldoende inhoudelijke basis geven om voorstellen, restrisico’s, prioriteiten en gevolgen bestuurlijk te kunnen beoordelen.
Welke onderwerpen zijn wettelijk voorgeschreven?
Artikel 21 van het Cyberbeveiligingsbesluit werkt de inhoud uit in twee delen: drie onderwerpen over risico en risicomanagement, gevolgd door de tien maatregelcategorieën uit artikel 21 lid 3 van de Cyberbeveiligingswet.
Drie verplichte onderwerpen over risico
- Soorten risico’s voor de beveiliging van netwerk- en informatiesystemen.
- Processen voor risicomanagement, van identificatie en analyse tot behandeling en monitoring.
- Methoden voor risicobeoordeling, zodat waarschijnlijkheid, impact en prioriteit zorgvuldig kunnen worden gewogen.
Tien verplichte maatregelcategorieën
- Beleid voor risicoanalyse en beveiliging van informatiesystemen.
- Incidentenbehandeling.
- Bedrijfscontinuïteit, waaronder back-upbeheer, noodvoorzieningenplannen en crisisbeheer.
- Beveiliging van de toeleveringsketen, inclusief de relatie met directe leveranciers en dienstverleners.
- Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen, inclusief respons op en bekendmaking van kwetsbaarheden.
- Beleid en procedures voor beoordeling van de effectiviteit van maatregelen voor cyberbeveiligingsrisicobeheer.
- Basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging.
- Beleid en procedures rond cryptografie en encryptie.
- Personeelsbeveiliging, toegangsbeleid en activabeheer.
- Waar passend: multifactorauthenticatie of continue authenticatie en beveiligde spraak-, video-, tekst- en noodcommunicatie.
Een aanbieder kan deze onderwerpen combineren in modules of casuïstiek. De gekozen werkvorm mag verschillen, zolang de volledige wettelijke inhoud aantoonbaar wordt behandeld en het voorgeschreven leerresultaat centraal staat.
Welke eisen gelden voor het certificaat?
Na de training moet iedere deelnemende bestuurder een certificaat ontvangen. Artikel 22 van het Cyberbeveiligingsbesluit verlangt dat daarop ten minste staat:
- de naam van de bestuurder;
- de datum of data waarop de training is gevolgd;
- de onderwerpen die tijdens de training zijn behandeld;
- de naam van de aanbieder van de training.
Het certificaat moet in het Nederlands of Engels zijn opgesteld. Het document bewijst wie welke training heeft gevolgd; het is geen certificering van de organisatie en geen verklaring dat de entiteit volledig aan de Cyberbeveiligingswet voldoet.
Wanneer moet de training zijn gevolgd?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Uitvoerende bestuurders moeten binnen twee jaar over de vereiste kennis en vaardigheden beschikken. Dat betekent in beginsel uiterlijk 15 augustus 2028.
Daarna is één gevolgde training niet het eindpunt. De bestuurder moet de kennis en vaardigheden aantoonbaar actueel houden. De wet schrijft daarvoor geen vaste herhaaltermijn voor. Een praktische aanpak is om actualisering te koppelen aan relevante wetswijzigingen, nieuwe dreigingen, incidenten, veranderingen in kritieke leveranciers of een nieuwe bestuurdersbenoeming.
Wat schrijft de wet niet voor?
Het Cyberbeveiligingsbesluit stuurt op inhoud, leerresultaat en aantoonbaarheid. Het schrijft niet voor:
- hoeveel uur de training minimaal moet duren;
- dat een examen of toets verplicht is;
- dat de aanbieder wettelijk geaccrediteerd of erkend moet zijn;
- dat de training uitsluitend extern mag worden verzorgd;
- dat één specifieke lesvorm, opleider of opleidingsinstituut moet worden gekozen.
Een geschikte interne training is dus mogelijk. De organisatie moet wel kunnen onderbouwen dat alle onderwerpen aan bod zijn gekomen, het leerresultaat passend is bereikt en een correct certificaat is verstrekt.
Hoe is dit verwerkt in de NIS2 Bestuurderstraining?
De NIS2 Bestuurderstraining brengt de drie risico-onderwerpen en tien maatregelcategorieën samen in een programma van circa vier uur. Deelnemers verwerken de inhoud actief in bestuurlijke vragen en casuïstiek. Na afronding van het volledige programma ontvangen zij een certificaat met de vereiste gegevens.
De training is gericht op het persoonlijke leerresultaat van de uitvoerende bestuurder. Een beoordeling van de organisatie, formele GAP-analyse of complianceverklaring valt daar niet onder.
Veelgestelde vragen over de wettelijke trainingseisen
Voor welke bestuurders is de NIS2-training wettelijk verplicht?
De specifieke trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten. Volgens de actuele overheidsuitleg vallen commissarissen, toezichthoudende bestuurders en andere niet-uitvoerende bestuursleden niet onder deze specifieke plicht.
Welke onderwerpen moet de verplichte NIS2-training behandelen?
De training moet soorten risico’s, risicomanagementprocessen en methoden voor risicobeoordeling behandelen. Ook alle tien maatregelcategorieën uit artikel 21 lid 3 van de Cyberbeveiligingswet moeten aan bod komen, van incidentenbehandeling en continuïteit tot ketenbeveiliging, cryptografie en toegangsbeheer.
Hoe lang mag de verplichte NIS2-training duren?
De wet schrijft geen minimumaantal uren voor. Doorslaggevend zijn het vereiste leerresultaat, de volledige behandeling van de voorgeschreven onderwerpen en een certificaat met de vereiste gegevens.
Wanneer moet een bestuurder de NIS2-training hebben gevolgd?
Uitvoerende bestuurders moeten binnen twee jaar na inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 over de vereiste kennis en vaardigheden beschikken. Dat betekent in beginsel uiterlijk 15 augustus 2028. Daarna moeten zij hun kennis en vaardigheden aantoonbaar actueel houden.
Wat moet op het certificaat van de NIS2-training staan?
Het certificaat vermeldt de naam van de bestuurder, de datum of data waarop de training is gevolgd, de behandelde onderwerpen en de naam van de aanbieder. Het certificaat is opgesteld in het Nederlands of Engels.
Moet de NIS2-training door een erkende opleider worden gegeven?
De wet wijst geen opleidingsinstituut aan en kent geen wettelijke accreditatie voor aanbieders. Een organisatie kan ook een geschikte interne training organiseren, zolang inhoud, leerresultaat en certificaat aan de wettelijke eisen voldoen.
Officiële bronnen
- Cyberbeveiligingsbesluit, Staatsblad 2026, 189 — in het bijzonder artikelen 20 tot en met 22.
- NCTV: bestuurlijke verantwoordelijkheid en trainingsplicht voor bestuurders.
Laatst inhoudelijk gecontroleerd op 14 augustus 2026. Dit artikel geeft algemene informatie en is geen juridisch advies voor een individuele organisatie of bestuurder.
Volledig programma
Training voor de individuele uitvoerende bestuurder
Bekijk de NIS2 Bestuurderstraining met actieve verwerking, alle voorgeschreven onderwerpen en een certificaat met de vereiste gegevens.
Vraag data aan