Cybertoezicht bestuursorgaan: stap-voor-stapgids

Maak van de verplichtingen van het bestuursorgaan in NIS2 artikel 20, de Nederlandse Cbw en DORA artikel 5 een routine: een jaarlijkse kalender, indicatoren, een rapportagepakket, training van het bestuursorgaan en notulen die als bewijs dienen.

Deze gids is voor secretarissen van het bestuur, CISO's, risicofficers en directeuren die de verplichtingen van het bestuursorgaan in NIS2 en DORA in een routine moeten omzetten die het bestuursorgaan kan volhouden. Aan het einde heb je een toezichtstructuur, een jaarlijkse kalender van besluiten, een set indicatoren, een rapportagesjabloon, een trainingsplan en een bewijs­spoor dat een toezichthouder toont hoe het bestuursorgaan zijn rol heeft uitgeoefend.

Voordat je begint

Je hebt een sponsor in het bestuursorgaan nodig (vaak de voorzitter van de audit- of risicocommissie), een CISO of beveiligingsleider die het materiaal voorbereidt, en de secretaris van het bestuur die de kalender en notulen beheert. Zorg dat je het huidige risicoregister, de laatste gapanalyse ten opzichte van NIS2 artikel 21 of je nationale maatregelen, en eventuele openstaande auditbevindingen bij de hand hebt. Als je nog niet zeker bent of je in scope valt, zet dat dan eerst vast.

Stap 1: Zet de wettelijke verplichtingen en wie ze draagt vast

NIS2 artikel 20(1) vereist dat bestuursorganen van essentiële en belangrijke entiteiten de maatregelen van artikel 21 goedkeuren en toezien op de uitvoering ervan, en maakt hen aansprakelijk voor inbreuken, onverminderd nationale aansprakelijkheidsregels voor openbare lichamen en ambtenaren. Artikel 20(2) vereist dat leden van bestuursorganen training volgen, en moedigt entiteiten aan om regelmatig soortgelijke training aan werknemers aan te bieden^[1]. Voor essentiële entiteiten kunnen toezichthouders als laatste redmiddel een tijdelijk verbod nastreven op het uitoefenen van leidinggevende functies door een persoon.

Nationale wetgeving bepaalt de details. De CCB stelt vast dat in België het bestuursorgaan aansprakelijk is als de entiteit haar verplichtingen inzake risicobeheer schendt, en dat verantwoordelijke personen de bevoegdheid moeten hebben om naleving te waarborgen^[3]. In Nederland voegt Cbw artikel 24 een aantoonbare kenniseis toe met een certificaat (zie Stap 7). Voor financiële entiteiten verplicht DORA artikel 5(2) het bestuursorgaan het gehele framework voor beheer van ICT-risico's te definiëren, goed te keuren, te bewaken en te beheren, en draagt het de eindverantwoordelijkheid voor ICT-risico.^[2].

• Bepaal welk orgaan het 'bestuursorgaan' is in je governancemodel: de directie, de raad van bestuur, of beide in een eentrapsstructuur.
• Maak een lijst van de verplichtingen per wet die op je van toepassing is, en noteer waar ze verschillen.
• Informeer het bestuursorgaan in duidelijke termen over persoonlijke blootstelling, met juridisch advies aanwezig.

Stap 2: Zet de toezichtstructuur op

Bepaal waar cyber wordt besproken en beslist. De meeste organisaties houden formele goedkeuring bij het volledige bestuursorgaan en delegeren gedetailleerde beoordeling aan een commissie (audit, risico, of een speciale technologiecommissie). Wat je ook kiest, schrijf het op.

• Werk de taakomschrijving van de commissie bij om cybersecurity en, waar relevant, ICT-risico's van derden op te nemen.
• Geef de CISO een directe lijn naar het bestuur of commissie, minstens voor het kwartaalrapport en voor escalaties.
• Definieer escalatietriggers tussen vergaderingen: een significant incident, een overschreden risicotolerantie, een verzoek van de toezichthouder.
• DORA-entiteiten: wijs de rol toe die ICT-samenwerkingsovereenkomsten met derden monitort, of een senior manager die verantwoordelijk is voor dat risico, zoals artikel 5(3) vereist voor niet-microondernemingen.

Stap 3: Keur de maatregelen en risicotolerantie goed

Goedkeuring is de eerste zichtbare vorm van toezicht. Presenteer het bestuursorgaan de risicobeheermaatregelen (of de gapanalyse en het herstelplan), de risicometodologie, de acceptatiecriteria en de restrisico's die goedkeuring nodig hebben. Onder DORA stelt het bestuursorgaan ook de strategie voor digitale operationele weerbaarheid vast met de ICT-risicotolerantie, en keurt het het ICT-bedrijfscontinuïteitsbeleid, de respons- en herstelplannen, de ICT-interne auditplannen en het beleid voor ICT-diensten van derden goed.^[2].

• Vraag om een besluit, niet om kennisgeving: 'keur de maatregelen en het herstelplan goed', 'accepteer deze restrisico's'.
• Druk risicotolerantie uit in meetbare termen (bijvoorbeeld maximale aanvaardbare downtime voor kritieke diensten).
• Keur het budget voor het plan goed, omdat DORA artikel 5(2)(g) uitdrukkelijk een toegewezen en herzien budget verwacht.

Stap 4: Bouw de jaarlijkse cyberkalender van het bestuur

Een kalender maakt verplichtingen tot routine. Een typische cyclus ziet er als volgt uit:

Kwartaal	Bestuur- of commissieagendapunt	Besluit of resultaat
Q1	Jaarlijkse risicobeoordeling en risicotolerantie; trainingsplan voor het jaar	Keur risicotolerantie en restrisico's goed; keur trainingsplan goed
Q2	Incidentrespons en bedrijfscontinuïteit: oefenresultaten; beoordeling leveranciersrisico	Noteer geleerde lessen; keur planwijzigingen goed
Q3	Interne audit- en toezichtsbevindingen; beleidsbeoordelingen	Keur herstel en beleidsactualisaties goed
Q4	Beoordeling programma-effectiviteit; budget en plan voor volgende jaar	Keur budget en jaarplan goed
Elk kwartaal	Standaard KPI/KRI-dashboard, significante incidenten, regelgevingswijzigingen	Noteer, betwist, escaleer

Stap 5: Kies een korte set KPI's en KRI's

Besturen hebben enkele indicatoren nodig die richting aangeven, niet een muur van technische statistieken. Gebruik key performance indicators (KPI's) voor of het programma levert, en key risk indicators (KRI's) voor of blootstelling buiten risicotolerantie beweegt. Stel voor elk een doel en tolerantie in, en houd definities stabiel zodat trends betekenis hebben.

• KPI's: herstelplanonderdelen op tijd gesloten; aandeel medewerkers dat verplichte training heeft voltooid; aandeel kritieke leveranciers beoordeeld in de afgelopen 12 maanden; backupherstelproeven geslaagd.
• KRI's: kritieke kwetsbaarheden op internetgerichte systemen ouder dan het patchdoel; bevoorrechte accounts zonder MFA; significante incidenten in de periode; kritieke diensten boven aanvaardbare downtime in proeven; achterstallige bevindingen met hoog risico.
• Beperk de bestuurweergave tot 8 tot 12 indicatoren, met rood, oranje en groen tegen de toleranties die het bestuur heeft ingesteld.

Stap 6: Ontwerp het rapportpakket

Een consistent pakket maakt toezicht vergelijkbaar over kwartalen. Houd het tot enkele pagina's en plaats besluiten eerst.

• Pagina 1: gevraagde besluiten en de algehele beoordeling van de CISO in drie zinnen.
• Pagina 2: KPI/KRI-dashboard met trend en commentaar op rode items.
• Pagina 3: toprisico's, wijzigingen sinds vorig kwartaal en risico's in afwachting van acceptatie.
• Pagina 4: significante incidenten en bijna-incidenten, rapportagestatus aan het CSIRT of de toezichthouder, en geleerde lessen.
• Bijlage: status herstelplan, leverancierskwesties, regelgevings- en auditupdates.

De bijbehorende sjabloon bevat een rapportpakketoverzicht, de jaarlijkse kalender en een trainingslogboek klaar om aan te passen.

Stap 7: Train het bestuur en houd het trainingslogboek bij

Training is een persoonlijke plicht van elk lid. Het NIS2-doel is dat leden risico's kunnen identificeren en risicobeheermaatregelen en hun effect op de diensten van de entiteit kunnen beoordelen. In Nederland stellen Cbb-artikelen 20 en 21 de inhoud vast (risicoïdentificatie en de risicobeheermaatregelen van de wet), en artikel 22 vereist een certificaat met de naam van het bestuurslid, datum of data, onderwerpen en aanbieder, in het Nederlands of Engels^[4]. Zittende bestuurleden moeten aan de vereiste voldoen tegen 15 augustus 2028, en nieuwe leden binnen twee jaar na benoeming^[5]. DORA artikel 5(4) verwacht dat leden hun kennis up-to-date houden, onder meer door regelmatige, specifieke training evenredig aan het ICT-risico.

• Plan een introductie voor nieuwe leden en een jaarlijkse opfriscursus voor iedereen, afgestemd op je sector en recente incidenten.
• Voeg een tafeltopoefening toe waarin bestuurleden hun crisisrollen spelen.
• Houd een trainingslogboek per lid bij met data, onderwerpen, aanbieder en certificaat.

Stap 8: Leg besluiten vast als bewijs

Notulen zijn het voornaamste document dat een toezichthouder ziet van hoe het bestuursorgaan zijn rol heeft uitgeoefend. Ze hoeven niet lang te zijn, maar ze moeten laten zien wat werd gepresenteerd, welke vragen werden gesteld, wat werd besloten en welke vervolgstappen werden afgesproken.

• Noteer de besluitformulering exact, inclusief eventuele voorwaarden.
• Noteer inhoudelijke vragen en kritische opmerkingen, kort.
• Houd een actielijst bij met eigenaren en data, en bespreek deze op de volgende vergadering.

Stap 9: Controleer het programma elk jaar

Beoordeel eenmaal per jaar of het toezicht werkt: werden beslissingen op tijd genomen, hebben indicatoren tot actie geleid, zijn alle leden getraind, bereikten escalaties het bestuursorgaan? Vraag interne audit of een externe partij om het programma om de paar jaar te beoordelen. In Secrato kunnen goedkeuringen van het bestuursorgaan, trainingsgegevens en indicatorwaarden naast de controls staan waar ze betrekking op hebben, zodat hetzelfde bewijs voor NIS2, de nationale wet en DORA kan dienen.

Hoe dit aansluit op andere frameworks

NIS2 artikel 20 en DORA artikel 5 overlappen sterk: één kalender en één pakket kunnen beide dienen, waarbij DORA goedkeuringen toevoegt voor de veerkrachtstrategie, continuïteit, auditplannen en beleid voor derden. ISO/IEC 27001 clausule 5 (leiderschap) en clausule 9.3 (managementbeoordeling) sluiten natuurlijk aan op stap 3, 4 en 9. In CyFun worden governancecontrols over rollen, beleid en risicobeheer gevoed door dezelfde besluiten van het bestuursorgaan.

Veelgestelde vragen

Moet het hele bestuursorgaan training volgen, of slechts één lid?

Artikel 20(2) verwijst naar leden van het bestuursorgaan, dus elk lid. De Nederlandse Cbw maakt dit expliciet met een certificaat per lid.

Kan het bestuursorgaan toezicht delegeren aan de CISO?

Het bestuursorgaan kan voorbereiding en dagelijkse uitvoering delegeren, maar goedkeuring en toezicht blijven taken van het bestuursorgaan. Delegatie moet worden gedocumenteerd, en het bestuursorgaan moet regelmatig rapportages ontvangen.

Hoe vaak moet het bestuursorgaan over cyber spreken?

De wetten stellen geen frequentie vast. Een standaardrapport per kwartaal plus een jaarlijkse diepgaande analyse is een gebruikelijk, verdedigbaar ritme, met escalatie tussen vergaderingen voor significante incidenten.

We zijn een DORA-entiteit. Speelt NIS2 artikel 20 nog een rol?

DORA is de sectorspecifieke wet voor beheer van ICT-risico's in de financiële sector, dus artikel 5 ervan is van toepassing. Groepsentiteiten buiten de scope van DORA kunnen nog steeds onder NIS2 vallen.