Wat houdt deze control in?
Het management moet actief informatiebeveiliging ondersteunen, uitdragen en naleven — verder dan alleen beleid vaststellen.
Waarom is dit verplicht?
De Cyberbeveiligingswet legt bestuurlijke aansprakelijkheid vast. Zonder actieve managementbetrokkenheid slaagt geen enkel beveiligingsprogramma.
Praktische implementatie
- Bespreek informatiebeveiliging periodiek in het managementteam
- Laat bestuurders bewustwordingstrainingen volgen
- Neem IB-doelstellingen op in managementcontracten
- Rapporteer beveiligingsstatus regelmatig aan directie
Aandachtspunten voor de overheid
Gemeenteraden en colleges moeten aantoonbaar betrokken zijn; leg dit vast in bestuursverslagen.
Relatie met andere controls
Verbonden met 5.1 (beleid) en 5.35 (onafhankelijke beoordeling).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Het management moet informatiebeveiliging actief ondersteunen, uitdragen en zelf naleven — dus verder gaan dan alleen het beleid vaststellen. De overheidsmaatregel is hier scherp: bestuur én werknemers volgen regelmatig scholing, en bestuurders moeten aantoonbaar voldoende kennis en vaardigheden hebben om de gevolgen van IB-risico's te beoordelen. De Cyberbeveiligingswet legt bestuurlijke aansprakelijkheid vast: bestuurders zijn persoonlijk aanspreekbaar. Zonder zichtbare betrokkenheid van de top slaagt geen enkel beveiligingsprogramma.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Laat bestuurders en managers regelmatig, aantoonbaar scholing volgen zodat zij cyberbeveiligingsrisico's herkennen en de gevolgen kunnen beoordelen.
- ›Agendeer informatiebeveiliging periodiek en aantoonbaar in het managementteam of bestuur.
- ›Rapporteer de beveiligingsstatus regelmatig aan de directie/het bestuur (bijv. via een dashboard of periodieke rapportage).
- ›Neem informatiebeveiligingsdoelstellingen op in managementcontracten of resultaatafspraken.verdieping
- ›Leg de bestuurlijke betrokkenheid expliciet vast in bestuursverslagen of collegebesluiten (relevant voor gemeenteraden en colleges).
Bewijs dat je kunt verzamelen
- ›Deelnamebewijzen of certificaten van scholing voor bestuur en management
- ›Notulen of besluitenlijsten waaruit periodieke agendering van IB blijkt
- ›Periodieke beveiligingsrapportages aan de directie
- ›Managementcontracten of resultaatafspraken met IB-doelstellingen
- ›Bestuursverslagen waarin de betrokkenheid is vastgelegd
Wat je bij een audit moet kunnen aantonen
- ›Dat bestuur en werknemers aantoonbaar en regelmatig scholing volgen
- ›Dat bestuurders aantoonbaar voldoende kennis hebben om IB-risico's te beoordelen
- ›Dat informatiebeveiliging periodiek op bestuurlijk niveau wordt besproken en gerapporteerd
- ›Dat bestuurlijke betrokkenheid schriftelijk is vastgelegd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een scholings-/bewustwordingsaanpak voor bestuur en werknemers vastgesteld?
- ›Is vastgelegd dat IB periodiek op bestuurlijk niveau wordt behandeld?
- ›Is een rapportagelijn naar de directie/het bestuur ingericht?
- ›Hebben bestuurders en werknemers de scholing daadwerkelijk gevolgd (aantoonbaar)?
- ›Vindt de bestuurlijke agendering daadwerkelijk plaats?
- ›Worden rapportages daadwerkelijk opgesteld en aangeboden?
- ›Leidt de bestuurlijke betrokkenheid tot aantoonbare besluiten of bijsturing?
- ›Wordt de scholing periodiek herhaald en actueel gehouden?
- ›Blijft de betrokkenheid over de tijd bestendig (geen eenmalige actie)?
Gekoppelde overheidsmaatregel(en)
Daarbij tonen bestuurders aan dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico's te beoordelen op de diensten en/of producten die de entiteit levert.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.