Een bestuursbesluit heeft drie regels nodig. Geen programma.

Een besluit om de blootstelling van bestuurders te beperken hoeft geen programma te zijn. Het bedrag valt onder de meeste mandaatgrenzen, de doorlooptijd is kort, en er is niets aan te implementeren.

Wat het wel nodig heeft, is een formulering die overeind blijft als iemand haar naleest. Dit artikel geeft die, met de redenering waarom elk onderdeel er staat.

De drie regels

Een besluittekst die werkt, doet drie dingen: hij benoemt het risico als uw eigen oordeel, hij benoemt de maatregel, en hij benoemt de grens. Meer is niet nodig, en meer maakt het aanvechtbaar.

Risico. Het bestuur stelt vast dat persoonsgegevens van bestuurders — woonadres, eerdere adressen en privételefoonnummer — via commerciële partijen verkrijgbaar zijn, en beoordeelt dit als een reëel onderdeel van het aanvalsoppervlak van deze organisatie.

Maatregel. Het bestuur besluit dit risico te beperken door voor de leden van het bestuur verzoeken te laten indienen bij de betrokken partijen, met bewaking van de wettelijke termijn en vastlegging van elk antwoord. De kosten hiervan bedragen [bedrag] per jaar en vallen binnen het mandaat van [rol].

Grens. Het bestuur onderkent dat verwijdering niet kan worden gegarandeerd, dat partijen kunnen weigeren en dat gegevens later opnieuw kunnen worden verworven. De opbrengst van deze maatregel is een aantoonbaar en herhaalbaar proces, geen eindtoestand.

Waarom elk onderdeel er staat

“Beoordeelt dit als” en niet “is verplicht tot”. De Cyberbeveiligingswet vraagt geen enkele concrete maatregel en zegt niets over persoonsgegevens van bestuurders bij handelaren. Een besluit dat zich op een verplichting beroept die niet bestaat, valt om bij de eerste jurist die meeleest, en neemt de rest van het stuk mee.

De maatregel beschrijft handelingen, geen uitkomst. Indienen, bewaken, vastleggen. Dat zijn dingen die u kunt afdwingen. Verwijderen is dat niet — dat beslist de ontvangende partij.

De grens staat in het besluit zelf. Niet in een bijlage en niet in het gesprek erna. Een bestuur dat een maatregel goedkeurt zonder de beperking ervan te hebben vastgelegd, heeft een verwachting gewekt die het niet waar kan maken — en dat is precies wat er later wordt teruggelezen.

Drie formuleringen voor hetzelfde voorstel, waarvan er twee omvallen→

Wat u erbij moet plannen

Het besluit zelf is één agendapunt. Wat eromheen hangt, is meer werk dan het besluit.

De functionaris voor de gegevensbescherming toetst de leverancier. Dat is doorgaans de langste stap en het is de stap waarin trajecten sneuvelen. De betrokkenen worden geïnformeerd vóórdat er iets wordt gemeten. En iedere bestuurder tekent afzonderlijk zijn eigen machtiging, want dat recht is persoonsgebonden en de organisatie kan het niet voor hem uitoefenen.

Welke vier handtekeningen er nodig zijn, en van wie→

Waar dit ophoudt

Deze tekst is een voorbeeld en geen model dat u ongelezen kunt overnemen. Wij kennen uw risicobeeld niet, en de eerste regel — het oordeel dat dit risico voor úw organisatie reëel is — is precies het deel dat van u moet komen.

Wij zijn ook geen juridisch adviseur. Wat hier staat is hoe wij een besluit zouden formuleren zodat het de toets doorstaat van iemand die de wet beter kent dan de opsteller.

Waar dit vandaan komt