Cyberbeveiligingswet onder toezicht: voorkom een nieuwe verantwoordingslaag

18 september, 2026

De Rijksinspectie Digitale Infrastructuur (RDI) heeft begin september gepresenteerd hoe zij het toezicht op de Cyberbeveiligingswet (Cbw) wil vormgeven. Daarmee wordt zichtbaar wat het toezicht op de sinds 15 augustus geldende wet in de praktijk gaat betekenen voor duizenden organisaties waarvoor digitale weerbaarheid niet langer alleen een bestuurlijk aandachtspunt is, maar nu ook onderwerp van formeel toezicht.

Dit is voor veel van deze organisatie een nieuw fenomeen. Ervaring in andere sectoren leert dat het risico bestaat dat organisaties de komst van toezicht vooral beantwoorden met (veelal gefragmenteerde) interne informatie uitvragen, aparte rapportages en een afzonderlijke Cbw-compliancestroom. Daarmee zouden we een kans missen.

De Cyberbeveiligingswet verplicht organisaties onder meer tot risicomanagement, passende beveiligingsmaatregelen, beheersing van de toeleveringsketen en melding van significante incidenten. Ook het bestuur heeft een expliciete verantwoordelijkheid: alle bestuursleden zijn eindverantwoordelijk voor de governance en risicobeheersing van de organisatie, inclusief cyberbeveiliging. De kernvraag zou daarom niet moeten zijn “Welke informatie moeten we voor de toezichthouder produceren?”, maar: “Welke informatie heeft het bestuur zelf nodig om aantoonbaar te kunnen sturen op digitale weerbaarheid”?

Eén digitale werkelijkheid

Organisaties beschikken vaak al over een grote hoeveelheid informatie: risicoanalyses, control frameworks, incidentrapportages, leveranciersassessments, interne audits, assurance-rapporten en rapportages aan verschillende toezichthouders.De uitdaging is niet per definitie nóg meer informatie produceren. De uitdaging is daarvan één samenhangend en betrouwbaar bestuurlijk beeld te maken.

Marc Welters RE RA, voorzitter NOREA

“De Cyberbeveiligingswet maakt bestuurlijke verantwoordelijkheid explicieter, maar de oplossing is niet nóg een compliance-rapportage. Een bestuur moet zelf beschikken over één samenhangend beeld van de belangrijkste digitale risico’s, afhankelijkheden, beheersmaatregelen en restrisico’s. Als dat beeld goed is ingericht, is dit ook de basis vormen voor verantwoording aan toezichthouders. Eén rapport voor meerdere doeleinden”

Dat is ook de gedachte achter de International Digital Reporting Standards (IDRS): verschillende wettelijke en toezichtsvragen hoeven niet te leiden tot verschillende bestuurlijke werkelijkheden. De onderliggende digitale risico’s en beheersing zijn immers dezelfde.

Van compliance naar evidence

Dat betekent dat één rapport opgesteld kan worden dat aan de vereiste wettelijke verplichting voldoet. Dezelfde onderliggende evidence kan zo worden hergebruikt. Een bestuur zou bijvoorbeeld periodiek moeten kunnen zien:

welke digitale processen en afhankelijkheden materieel zijn;
welke risico’s buiten de vastgestelde risicobereidheid vallen;
of kritieke beheersmaatregelen aantoonbaar werken;
welke belangrijke leveranciers en ketenafhankelijkheden bestaan;
welke incidenten, kwetsbaarheden en uitzonderingen bestuurlijke aandacht vragen;
en welke verbetermaatregelen nog openstaan.

Daarmee verandert toezicht van een externe administratieve verplichting in iets dat aansluit op de gewone bestuurlijke cyclus van risicoanalyse, besluitvorming, monitoring en verantwoording.

De RDI benadrukt zelf dat bestuurders verantwoordelijk zijn voor digitale weerbaarheid en dat organisaties ruimte houden om maatregelen te kiezen die passen bij hun eigen risico’s en omstandigheden. Dat biedt juist ruimte om toezicht niet als afvinkoefening, maar als onderdeel van goed bestuur te organiseren.

Wat kunnen bestuurders nu doen?

De invoering van toezicht biedt een logisch moment om niet eerst een nieuwe Cbw-rapportage op te tuigen, maar de bestaande digitale verantwoordingshuishouding tegen het licht te houden:

Ga in gesprek met je CISO/securityofficer. Breng in kaart hoe digitaal weerbaar je organisatie nu is; waar zitten de (digitale) kritische succesfactoren, met impact op de continuïteit van de organisatie of dienstverlening? Waar zitten afhankelijkheden van systemen of externe partijen? En kijk dan waar al wel of nog niet voldoende maatregelen genomen om die risico’s te beheersen.

Kijk ook welke informatie bestuur, interne toezichthouders en externe toezichthouders nu al ontvangen. Bepaal vervolgens welke onderliggende risico- en controlinformatie werkelijk essentieel is, waar betrouwbare evidence ontbreekt en welke rapportages uit dezelfde informatiebasis kunnen worden gevoed. Zo ontstaat niet alleen betere compliance, maar vooral betere bestuurlijke sturing op de digitale weerbaarheid van je organisatie.

De Cyberbeveiligingswet vraagt om aantoonbare digitale weerbaarheid. De kunst is om die aantoonbaarheid één keer goed te organiseren en vervolgens voor meerdere doelen te gebruiken.

Geschreven door