Governance · art. 24 Cyberbeveiligingswet
Het bestuurderscertificaat
De meest persoonlijke verplichting van de hele wet, en de minst besproken. Waar andere landen het bij «de leiding moet goedkeuren en op de hoogte zijn» laten, verlangt Nederland dat ieder lid van het bestuur een certificaat bezit.
«Met het oog op het aantonen van de kennis en vaardigheden bezit ieder lid van het bestuur van een essentiële entiteit of belangrijke entiteit een certificaat, waaruit de deelname blijkt aan een training die de onderwerpen, bedoeld in het tweede lid, behandelt.»
Ieder lid, niet het bestuur als geheel
Art. 24, tweede lid, richt zich op «ieder lid van het bestuur». Eén opgeleide bestuurder dekt de anderen niet af. En zit er een rechtspersoon in het bestuur, dan geldt de verplichting voor de natuurlijke personen die daarin namens haar zitting hebben (zevende lid).
Binnen twee jaar, dus uiterlijk 15 augustus 2028
Twee jaar na inwerkingtreding van het tweede lid, en de hele wet treedt op 15 augustus 2026 in werking. Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming. Verwar dit niet met de inwerkingtreding zelf.
Aantoonbaar actueel houden
Het vierde lid verlangt dat de kennis «aantoonbaar actueel» blijft. Een certificaat uit 2027 dat nooit meer wordt aangevuld, voldoet dus niet vanzelf op langere termijn.
Het programma ligt vast
Hoofdstuk 5 van het Cyberbeveiligingsbesluit schrijft de inhoud voor. Art. 20 stelt het doel: het bestuurslid moet risico's voor de beveiliging van netwerk- en informatiesystemen kunnen identificeren en de gevolgen daarvan voor de diensten van de entiteit kunnen beoordelen, en hetzelfde voor de risicobeheersmaatregelen. Art. 21 noemt de onderwerpen die in ieder geval aan bod komen:
- de soorten risico's voor netwerk- en informatiesystemen;
- risicomanagementprocessen;
- risicobeoordelingsmethodiek;
- en de onderwerpen van art. 21, derde lid, van de wet — de maatregelen zelf.
Wat nog niet vaststaat. Art. 22 van het besluit stelt eisen aan het certificaat, en art. 24, zesde lid, van de wet reserveert de duur en het niveau van de training voor een algemene maatregel van bestuur. Zolang die er niet is, kan niemand met zekerheid zeggen welk certificaat voldoet. Wie u vandaag een «Cbw-conform certificaat» verkoopt, loopt op de regelgeving vooruit.