Het certificaat is voorgeschreven. Actueel blijven ook.

De Cyberbeveiligingswet verplicht ieder bestuurslid afzonderlijk tot kennis van cyberbeveiligingsrisico’s, en schrijft voor dat hij een certificaat bezit waaruit deelname aan een training blijkt. Dat certificaat is dus niet optioneel.

Het is ook niet het eindpunt, en dat is het deel dat in samenvattingen vrijwel altijd ontbreekt.

Vier leden, die je in deze volgorde moet lezen

Lid 2 zegt wat u moet kunnen. Risico’s voor de beveiliging van netwerk- en informatiesystemen identificeren, risicobeheersmaatregelen beoordelen, en de gevolgen van beide voor de diensten van de organisatie beoordelen. Merk op dat het drie werkwoorden zijn en geen onderwerpenlijst.

Lid 3 geeft er twee jaar voor. Gerekend vanaf de inwerkingtreding van het tweede lid; wie later wordt benoemd, krijgt twee jaar vanaf zijn benoeming. Wij noemen hier bewust geen kalenderdatum, omdat wij niet hebben vastgesteld of dat tweede lid op dezelfde dag als de rest van de wet in werking trad.

Lid 5 zegt hoe u het aantoont. Met een certificaat waaruit deelname blijkt aan een training die de onderwerpen van lid 2 behandelt.

Lid 4 zegt dat het daarmee niet klaar is. De kennis en vaardigheden moeten aantoonbaar actueel blijven. Dat is een doorlopende verplichting, geen eenmalige.

Waar het woord “aantoonbaar” op neerkomt

Dit is het interessante deel, en het is toevallig ons eigen vakgebied: het verschil tussen iets doen en kunnen laten zien dat je het deed.

Een certificaat uit jaar één toont over vier jaar nog steeds aan dat u toen een training volgde. Het toont niet aan dat u bijhield. Lid 4 vraagt om dat tweede, en het legt niet vast hoe u dat aantoont — er staat geen frequentie in de wet.

Wat er wél is: lid 6 laat toe dat bij algemene maatregel van bestuur regels worden gesteld over de duur en het niveau van de training. Tot die er zijn, is de invulling aan u, en dan is de veilige lezing dat u het bijhouden zelf documenteert — een korte aantekening per jaar over wat er is gevolgd en wat er is besproken, in de bestuursstukken waar het thuishoort.

Twee dingen die eronder vandaan glippen

Het geldt per lid, niet per bestuur. Er staat ieder lid van het bestuur. Eén bestuurder die het onderwerp aan een collega overlaat, voldoet niet — ook niet als die collega uitstekend op de hoogte is.

Een rechtspersoon als bestuurder ontsnapt niet. Lid 7 trekt de plicht door naar de natuurlijke persoon. Een holdingconstructie haalt de eis er dus niet uit.

Waar dit ophoudt

Wij verkopen geen trainingen en hebben geen belang bij deze verplichting. Dat is precies waarom dit stuk hier kan staan zonder verkooppraatje: het is een plicht die u hoe dan ook heeft, en wij hebben er niets aan te verdienen.

Wat wij wél doen, raakt eraan op één punt. Als het bestuur straks moet laten zien dat het handelde, is de vraag niet of er iets is besloten maar of dat is vastgelegd. Dat geldt voor de training, en het geldt voor elke andere maatregel die het goedkeurt.

Wat artikel 24 verder van het bestuur vraagt→

Waar dit vandaan komt