Cyberbeveiligingswet verplicht L&D bestuurstraining te regelen

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Organisaties die onder de wet vallen als essentiële of belangrijke entiteit moeten hun uitvoerende bestuurders uiterlijk 15 augustus 2028 een cyberbeveiligingstraining laten volgen. Een erkende opleider schrijft de wet niet voor: organisaties mogen de training inkopen of zelf organiseren. Voor de L&D-afdeling of de externe opleider die dit oppakt, betekent dat een nieuwe compliance-verplichting om te agenderen en een nieuwe vraag om op in te spelen.

Welke organisaties vallen onder de trainingsplicht

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt voor organisaties die essentiële of belangrijke diensten verlenen binnen achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Volgens Rijksoverheid.nl betekent dat voor duizenden organisaties dat ze aan nieuwe wettelijke verplichtingen moeten voldoen, waaronder een registratieplicht bij het Nationaal Cyber Security Centrum en een zorgplicht voor hun netwerk- en informatiesystemen.

De trainingsplicht raakt specifiek de uitvoerende bestuurders van die organisaties. De NCTV meldt dat toezichthoudende bestuurders zoals leden van een raad van commissarissen en niet-uitvoerende bestuurders niet onder deze verplichting vallen.

Wat de training moet behandelen

Volgens de NCTV leren bestuurders in de training onder meer risico's voor de beveiliging van netwerk- en informatiesystemen te herkennen, de mogelijke gevolgen daarvan voor de organisatie in te schatten, cyberbeveiligingsrisico's te identificeren en te beheersen en de maatregelen te beoordelen die deze risico's moeten beperken. Doel is dat bestuurders op basis daarvan afgewogen besluiten kunnen nemen op bestuurlijk niveau.

De nadere eisen aan de training, zoals de onderwerpen die aan bod moeten komen en de eisen aan het certificaat, staan in het Cyberbeveiligingsbesluit. Dat is de algemene maatregel van bestuur die bij de wet hoort. Volgens Digitale Overheid moeten die regels organisaties juist helpen om de training passend bij hun eigen situatie in te vullen, niet die keuze wegnemen.

Certificaat, geen erkende aanbieder

Na afloop van de training ontvangt de bestuurder een certificaat waarop staat dat de training is gevolgd en welke onderwerpen zijn behandeld. Het certificaat moet in het Nederlands of Engels zijn opgesteld, al mag de training zelf in een andere taal worden gegeven.

De Rijksoverheid schrijft geen specifieke training of opleidingsaanbieder voor. Organisaties kunnen een externe aanbieder inschakelen, maar kunnen de training ook zelf verzorgen, bijvoorbeeld met ondersteuning van hun eigen CISO, zolang de inhoud aan de wettelijke eisen voldoet. Dat opent de deur voor een opleider zonder aparte accreditatie, mits het lesprogramma aantoonbaar de onderwerpen uit de wet dekt.

Termijn: uiterlijk 15 augustus 2028

De wettekst zelf is stellig over de datum. Artikel 24, derde lid van de Cyberbeveiligingswet bepaalt dat ieder lid van het bestuur van een essentiële of belangrijke entiteit binnen twee jaar na de inwerkingtreding van de kennis- en vaardighedeneis aan die eis moet voldoen. Omdat de wet op 15 augustus 2026 in werking trad, valt die termijn op 15 augustus 2028. Daarna moeten bestuurders hun kennis aantoonbaar actueel houden, dus eenmalig trainen is niet genoeg.

Wat dit betekent voor werkgevers en opleiders

Voor de L&D-afdeling of opleidingsverantwoordelijke bij een essentiële of belangrijke entiteit ligt er een concrete actie: breng in kaart welke bestuurders onder de plicht vallen, kies tussen inkopen en zelf organiseren en zorg dat het certificaat de juiste onderwerpen en taal vermeldt. Twee jaar klinkt ruim, maar de training moet aantoonbaar aan de eisen uit het Cyberbeveiligingsbesluit voldoen. Dat vraagt om een programma dat niet alleen bewustwording biedt maar ook de beoordelingsvaardigheid die de wet noemt.

Voor opleidingsbedrijven ontstaat een compliance-markt zonder wettelijke toetredingsdrempel. Er is geen keurmerk of erkenning verplicht om deze training aan te bieden. Dat betekent ook dat de opdrachtgever zelf moet beoordelen of een aangeboden programma de inhoud dekt die de wet vraagt, in plaats van te kunnen leunen op een accreditatie. Een vergelijkbare figuur speelt bij de verplichting rond AI-geletterdheid: ook daar ligt de verantwoordelijkheid voor een passend programma bij de organisatie zelf. Wie scholingskosten voor deze training wil doorbelasten bij vertrekkende bestuurders, doet er goed aan de regels over het studiekostenbeding erbij te pakken, al gaat die achtergrond over werknemers en niet over bestuurders.