Het commentaar op de Cyberbeveiligingswet ging vrijwel volledig over de boetes voor de organisatie — tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, €7 miljoen of 1,4% voor belangrijke, welk bedrag ook hoger is. Dat zijn de getallen die de sheet halen. Het zijn ook de getallen die het bedrijf betaalt.
Er is een kleiner bedrag dat uit de portemonnee van een bestuurder komt, en het is op een onverwachte plek gericht.
Artikel 93 stelt een persoonlijke bestuurlijke boete van ten hoogste €25.000. Er zijn twee gronden: overtreding van artikel 24, en het niet meewerken aan de toezichthouder. Artikel 92 maakt daarnaast een last onder dwangsom mogelijk tegen een met naam genoemd lid van het bestuur, en die is uitsluitend aan artikel 24 gekoppeld.
Kijk waar die bepalingen op zitten en het beeld kantelt. Van alle inhoudelijke verplichtingen in deze wet is degene die uw eigen bankrekening raakt niet het beveiligen van iets. Het is het weten.
Wat eist artikel 24 Cbw van een bestuurder?
Het meeste hiervan stond al in de richtlijn. NIS2 artikel 20(2) verplicht leden van bestuursorganen een training te volgen zodat zij risico's kunnen identificeren en cyberbeveiligingsmaatregelen en hun gevolgen voor de dienstverlening kunnen beoordelen. Artikel 24(2) Cbw neemt dat vrijwel woordelijk over. De nota van toelichting bij het Cyberbeveiligingsbesluit zegt het zonder omhaal: "Dit is een vereiste uit de NIS2-richtlijn."
Wat Nederland heeft toegevoegd, is de papierwinkel en de prijs.
Artikel 24(4) verplicht u die kennis en vaardigheden aantoonbaar actueel te houden — u moet het kunnen laten zien, niet slechts stellen. Artikel 24(5) verplicht u tot het bezit van "een certificaat, waaruit de deelname blijkt aan een training die de onderwerpen, bedoeld in het tweede lid, behandelt."
Een certificaat. Met uw naam erop.
Het Cyberbeveiligingsbesluit, in werking op dezelfde dag als de wet, bepaalt wat daarop moet staan — en dat zijn vier dingen, niet twee: de naam van het lid van het bestuur, de datum of data waarop de training is gevolgd, de behandelde onderwerpen, en de naam van de aanbieder. Het certificaat is opgesteld in het Nederlands of het Engels. Het Besluit legt ook vast wat de training moet behandelen: soorten risico's voor netwerk- en informatiesystemen, risicomanagementprocessen, risicobeoordelingsmethodiek, en de maatregelen uit artikel 21(3) van de wet.
Voor wie geldt de trainingsplicht precies?
Hier gaan besturen er vaak van uit dat het ergens anders landt, en hier is veel Nederlands commentaar slordig.
De plicht geldt voor uitvoerende bestuurders. Zij strekt zich uit tot de natuurlijke persoon die optreedt namens een rechtspersoon-bestuurder, tot uitvoerende bestuurders in een one-tier board op grond van de artikelen 2:129a en 2:239a BW, en tot de maten van een maatschap, de vennoten van een vennootschap onder firma en de beherende vennoten van een commanditaire vennootschap — alle drie de personenvennootschappen, afzonderlijk genoemd in artikel 24, negende tot en met elfde lid.
Zij geldt niet voor toezichthoudende bestuurders. De NCTV is expliciet: leden van een raad van commissarissen en niet-uitvoerende bestuurders vallen buiten deze trainingsplicht. Zit u in een RvC, dan is artikel 24 niet uw verplichting — maar het bestuur waarop u toezicht houdt moet er wel aan voldoen, en vragen of dat gebeurd is, is bij uitstek uw werk.
Wanneer is de deadline?
15 augustus 2028 voor wie in functie was toen de wet in werking trad. Die datum is een rekensom, geen gepubliceerde termijn: twee jaar na de inwerkingtreding op 15 augustus 2026.
Twee uitzonderingen doen ertoe. Een bestuurder die ná de inwerkingtreding wordt benoemd, krijgt twee jaar vanaf zijn eigen benoeming. En aangewezen instellingen voor hoger onderwijs lopen een aparte termijn van 36 maanden vanaf het moment van aanwijzing.
Waarom de persoonlijke blootstelling op competentie zit
Nederland heeft geen nieuw regime voor persoonlijke aansprakelijkheid bij beveiligingsfalen gecreëerd. Doet zich een incident voor en wordt de vraag of u persoonlijk aansprakelijk bent, dan loopt het antwoord nog steeds via de gewone routes — artikel 2:9 BW jegens de vennootschap zelf, artikel 6:162 BW jegens derden — met hun bewust hoge drempel van het ernstig verwijt: geen tegenvallende uitkomst, maar persoonlijk ernstig te verwijten handelen. Die drempel is niet verschoven. Wie een Nederlands bestuur vertelt dat NIS2 bestuurders persoonlijk aansprakelijk maakt voor incidenten, verkoopt iets.
Eén nuancering, want zo schoon is het beeld niet. Artikel 78 stelt de toezichthouder in staat de civiele rechter te verzoeken een of meer bestuurders van een essentiële entiteit te schorsen wanneer die entiteit de einddatum uit een hersteldbesluit niet heeft gehaald. Dat is een persoonlijk gevolg, en het volgt wél uit inhoudelijk tekortschieten. Het is geen boete, maar het is niet niets.
Wat overeind blijft is het scherpere punt. De plek waar deze wet voor een inhoudelijke verplichting in uw eigen portemonnee grijpt, is niet de maatregel die faalde. Het is het niet kunnen aantonen dat u de kennis had om het risico te besturen. De wetgever heeft de persoonlijke boete op het besturen gericht, niet op het incident.
Welke training voldoet aan artikel 24?
Hier zit tegelijk een vrijheid en een val.
De overheid heeft het niet willen zeggen. De NCTV is expliciet: "De Rijksoverheid schrijft geen specifieke training of opleidingsaanbieder voor." Geen lijst van erkende aanbieders, geen accreditatie, geen voorgeschreven duur en geen voorgeschreven niveau — het Besluit had beide kunnen vastleggen op grond van artikel 24(6) en heeft dat bewust niet gedaan. Organisaties mogen de training zelf organiseren, bijvoorbeeld met ondersteuning van een eigen CISO.
Lees dat als toestemming en u koopt het goedkoopste dat een PDF oplevert. Lees het goed en het gevolg is scherper: de norm waaraan uw bestuur wordt gehouden is de norm die uw bestuur kan verdedigen. Geen enkel certificaat beëindigt die discussie, want geen instantie heeft enig certificaat goedgekeurd.
Er zit bovendien een bewegend doel in de inhoud. De vier onderwerpen uit het Besluit zeggen niets over AI, terwijl het risicolandschap dat een bestuur moet kunnen beoordelen inmiddels AI-ondersteunde aanvallen omvat, AI-systemen in de eigen bedrijfsvoering, en de AI-verordening daarbovenop. Een bestuur dat in 2029 aantoonbaar actueel moet verdedigen met een training uit 2027 waarin dat allemaal niet voorkwam, zal merken dat "we hebben de cursus gedaan" een dun antwoord is. De verplichting is actualiteit, niet aanwezigheid.
Welk bewijs zou een Nederlands bestuur in 2028 op de plank moeten hebben?
Vier dingen, en ze zouden waar moeten zijn in plaats van alleen aanwezig.
- Een certificaat per uitvoerend bestuurder, met alle vier de elementen die het Besluit eist. Dat is de ondergrens, niet het antwoord.
- Bewijs áchter de onderwerpenlijst die het certificaat al draagt. Het certificaat zegt wat behandeld is; een toezichthouder kan vragen wat er geleerd is. "Het zat in de deck" is een zwak antwoord op risicobeoordelingsmethodiek.
- Een herhalingsplan, want aantoonbaar actueel is doorlopend. Kennis die actueel was in 2026 is dat niet vanzelf in 2029. Bepaal de frequentie bewust en leg vast waarom die de juiste is.
- Eén vastgelegd moment waarop het bestuur een risicokader daadwerkelijk heeft uitgedaagd, genotuleerd. Dat is het artefact dat een bestuurd risico onderscheidt van een gedocumenteerd risico.
Niets daarvan vereist een leverancier. Het vereist dat u besluit welke norm u zichzelf oplegt, voordat iemand anders dat voor u doet.
Verder
Het bredere verhaal — wat DORA, NIS2 en de AI-verordening samen vragen van wie bestuurt, en het competentiegat dat de meeste raden van commissarissen nog hebben — staat in het bijbehorende stuk. Kijkt u hiernaar vanuit een transactie, dan verhuist de verplichting mee bij closing.
Elke andere plicht in deze wet kunt u beleggen bij iemand die het voor u doet. De kennis niet. Denkt uw bestuur na over wat "aantoonbaar actueel" voor u zou moeten betekenen, dan is dat een gesprek waard — neem contact op.
Bronnen
- Cyberbeveiligingswet — Staatsblad 2026, 187, Wet van 8 juli 2026. Artikel 24 bevat de individuele kennis-, actualiteits- en certificaatplicht en de overgangstermijn; artikel 78 de schorsingsbevoegdheid; artikel 92 de last onder dwangsom; artikel 93 de persoonlijke boete van €25.000 en de twee gronden; de artikelen 80 en 87 de boeteplafonds voor entiteiten.
- Cyberbeveiligingsbesluit — Staatsblad 2026, 189, Besluit van 8 juli 2026. De artikelen 20 tot en met 22 bevatten het doel van de training, de vereiste inhoud, en de vier elementen plus taaleis van het certificaat; artikel 35 brengt wet en besluit in werking op 15 augustus 2026.
- Bestuurlijke aansprakelijkheid en trainingsplicht — NCTV. De tweejaarstermijn, de beperking tot uitvoerende bestuurders, en de bevestiging dat geen specifieke training of aanbieder wordt voorgeschreven.
- Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht — Rijksoverheid, juli 2026. Inwerkingtreding en een reikwijdte van ruim 8.000 organisaties.
- Richtlijn (EU) 2022/2555 — NIS2 — de moederrichtlijn. Artikel 20(2) eist de training al; het certificaat, de actualiteitsplicht en de persoonlijke boete zijn Nederlandse toevoegingen.