Artikel 24 legt de plicht bij het bestuur. Niet bij de CISO.

Artikel 24 van de Cyberbeveiligingswet legt de goedkeuring van de cyberbeveiligingsmaatregelen bij het bestuur, en stelt daarnaast eisen aan ieder bestuurslid persoonlijk. Het is daarmee het artikel dat cyberbeveiliging in Nederland van een afdelingsonderwerp een bestuursonderwerp maakt.

Het artikel heeft zeven leden. De meeste samenvattingen behandelen er twee.

Lid 1: de maatregelen behoeven goedkeuring

De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit.

Artikel 21 is de zorgplicht: passende en evenredige technische, operationele en organisatorische maatregelen. Lid 1 zegt dat die maatregelen niet vastliggen zolang het bestuur ze niet heeft goedgekeurd. Niet kennisgenomen, niet besproken — goedgekeurd.

Lid 2 en 3: ieder lid afzonderlijk, binnen twee jaar

Lid 2 somt drie vaardigheden op. Ieder bestuurslid beschikt over kennis en vaardigheden om:

Let op het woord ieder. De plicht rust niet op het bestuur als college maar op elk lid ervan. Eén bestuurder die het onderwerp aan een collega overlaat, voldoet niet.

Lid 3 geeft daarvoor twee jaar, gerekend vanaf de inwerkingtreding van het tweede lid. Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming. Wij noemen hier bewust geen kalenderdatum: of het tweede lid op dezelfde dag als de rest van de wet in werking is getreden, hebben wij niet vastgesteld, en een verkeerde deadline is erger dan geen deadline.

Lid 4 en 5: aantoonbaar actueel, en met een certificaat

Dit is het deel dat in samenvattingen bijna altijd ontbreekt, en het is het deel waar de plicht doorlopend wordt.

Ieder lid van het bestuur houdt de kennis en vaardigheden, bedoeld in het tweede lid, aantoonbaar actueel.

Met het oog op het aantonen van de kennis en vaardigheden bezit ieder lid van het bestuur een certificaat, waaruit de deelname blijkt aan een training die de onderwerpen, bedoeld in het tweede lid, behandelt.

Het certificaat is dus voorgeschreven, en het is niet het eindpunt. Lid 5 regelt hoe u deelname aantoont; lid 4 legt daarbovenop dat de kennis actueel blijft, en wel aantoonbaar. Een certificaat uit het eerste jaar toont over vier jaar nog steeds aan dat u een training volgde, en niet dat u bijhield.

Lid 6 laat toe dat bij algemene maatregel van bestuur regels worden gesteld over de duur en het niveau van die training. Lid 7 trekt de hele plicht door naar de natuurlijke persoon wanneer een rechtspersoon bestuurder is — een holdingconstructie haalt de eis er niet uit.

Wat een overtreding kost

De wet kent twee boetebepalingen, in twee paragrafen. Artikel 80 gaat over essentiële entiteiten, artikel 87 over belangrijke entiteiten. De bedragen verschillen, de systematiek niet: het hoogste van een vast bedrag en een omzetpercentage.

Twee details die het bedrag groter maken dan het lijkt. Het percentage rekent over de omzet van de onderneming waartoe de entiteit behoort, niet over die van de entiteit zelf. En het is telkens het hoogste van de twee, niet het laagste.

Eén detail dat de andere kant op werkt: de werking van het boetebesluit wordt opgeschort totdat het besluit onherroepelijk is.

Waar dit ophoudt

Artikel 24 vraagt dat het bestuur maatregelen goedkeurt en de kennis heeft om dat te kunnen. Het schrijft geen enkele maatregel voor. Het zegt niets over persoonsgegevens van bestuurders, en niets over databrokers.

Wij leveren verwijderverzoeken bij databrokers, dus wij zouden hier graag een verband leggen dat de wet niet legt. Het verband dat er wél is, is er een van risico: een woonadres dat te koop staat, is bruikbaar materiaal voor gerichte fraude, en het beperken daarvan kan een maatregel zijn die u onder uw zorgplicht schaart. Dat is uw afweging, en het staat of valt met uw eigen risicoanalyse.

Waarom wij dit een risicoargument noemen en geen verplichting→

De opleidingsplicht die bij artikel 24 hoort→

Hoe u dit risico in een bestuursstuk verwoordt→

Waar dit vandaan komt