In het tweede kwartaal van 2026 treedt naar verwachting de Cyberbeveiligingswet (“Cbw”) in werking. De Cbw heeft tot doel de cyberverplichtingen voor entiteiten in sectoren met maatschappelijk of economisch gewicht te versterken. Ook bevat de Cbw bepalingen over het toezicht, de handhaving en aanvullende verantwoordelijkheden voor bestuurders van zogeheten essentiële of belangrijke entiteiten.
In dit blog bespreken we de verantwoordelijkheid van bestuurders van de zogenoemde essentiële en belangrijke entiteiten. We gaan in op wat de Cbw van bestuurders verlangt, welke kennis en vaardigheden zij moeten bezitten, en hoe zij hun taken kunnen verdelen met bijvoorbeeld de Chief Information Security Officer (“CISO”).
De Cbw maakt bestuurders eindverantwoordelijk voor de naleving van alle Cbw verplichtingen. Bestuurders moeten onder meer zorg dragen voor de registratie van de organisatie bij het digitale loket van het Nationaal Cyber Security Centrum. Daarnaast onderhouden bestuurders het contact met toezichthoudende instanties en Computer Security Incident Response Teams (“CSIRTs”) wanneer zich significante incidenten voordoen. De bestuurders brengen de relevante cyberrisico’s in kaart, stellen passende beheersmaatregelen vast, keuren deze goed en houden actief toezicht op de uitvoering
De verantwoordelijkheid ligt bij het formele bestuur of, in geval van een one-tier board, bij de uitvoerende bestuurders. Bij andere rechtsvormen rust de verantwoordelijkheid op de feitelijke bestuurders. Voor overheidsinstanties zijn de minister, het college van burgemeester en wethouders of het dagelijks bestuur verantwoordelijk.
Bestuurders kunnen alleen beslissingen nemen als zij voldoende kennis hebben over cyberbeveiliging. Daarom zijn zij verplicht om regelmatig trainingen te volgen op het gebied van cyberbeveiliging Deze scholingsplicht stelt hen in staat risico’s te begrijpen, maatregelen en de impact daarvan te beoordelen en weloverwogen besluiten te nemen. Vanaf de inwerkingtreding van de Cbw geldt een overgangstermijn van twee jaar (of, bij nieuwe benoemingen, twee jaar na aantreden). Daarna moeten bestuurders hun kennis aantoonbaar actueel houden, onder meer via trainingen met certificering.
Iedere bestuurder moet in ieder beschikken over kennis en vaardigheden om:
In de praktijk betekent dit dat bestuurders:
De precieze kennisvereisten kunnen bij algemene maatregel van bestuur nader worden uitgewerkt.
Naast de vereisten rond kennis en scholing schrijft de Cbw ook voor wat bestuurders in de praktijk moeten doen. De belangrijkste bestuurlijke taken zijn:
1. Cyberrisicomanagement integreren
2. Vaststellen en goedkeuren van beleid
3. Incidentmanagement en meldplicht
Voor de uitvoering en invulling van het cyberbeveiligingsbeleid stellen veel organisaties een CISO aan. Het aanstellen van een CISO is niet verplicht, maar voor grote organisaties wel aan te raden.
Het bestuur blijft eindverantwoordelijk voor de naleving van de Cbw, een CISO dient ter ondersteuning. Zo kan een CISO bijvoorbeeld:
Bestuurders die niet of onvoldoende verantwoordelijkheid nemen op het gebied van de naleving en invulling van de Cbw lopen het risico civielrechtelijk aansprakelijk te worden gesteld. Daarnaast kunnen toezichthouders handhavens optreden jegens hen.
De Cbw maakt cyberweerbaarheid een belangrijke prioriteit voor bestuurders. De nieuwe wet brengt veel nieuwe verplichtingen, verantwoordelijkheden en risico’s voor bestuurders van essentiële en belangrijke entiteiten mee. Voor bestuurders dus zaak om zich tijdig te informeren en voor te bereiden.
Wilt u weten welke verplichtingen voor u als bestuurder gelden en hoe u uw organisatie én uzelf juridisch kunt beschermen? Neem dan contact op met Anna Sträter, Bente van Kan, Wouter Fledderus, Machteld Robichon of Ole Oerlemans.
Meer weten over de Cbw? Lees onze andere blogs:
