Cyberbeveiligingswet en medewerkers: wat u kunt aantonen

Voor medewerkers vraagt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, twee dingen: basispraktijken voor cyberhygiëne en training op het gebied van cyberbeveiliging. Daarnaast moet u nagaan of uw maatregelen werken. Een phishingtest schrijft de wet niet voor. Met een eindrapport helpt een test wel aantonen dat u uw medewerkers traint en meet wat die training oplevert. Hieronder staan de vier vragen die een bestuurder daarover moet kunnen beantwoorden.

Wat de Cyberbeveiligingswet van organisaties vraagt

De Cyberbeveiligingswet geldt voor organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, de zorg, de overheid en vervoer. Volgens de Rijksoverheid gaat het om ongeveer 8.000 organisaties die essentiële of belangrijke diensten verlenen. Voor essentiële entiteiten geldt proactief toezicht, voor belangrijke entiteiten reactief toezicht.

De wet legt drie plichten op:

• De zorgplicht: passende en evenredige maatregelen om de risico’s voor uw netwerk- en informatiesystemen te beheersen
• De registratieplicht: registratie in het entiteitenregister
• De meldplicht: significante incidenten melden bij het CSIRT en de toezichthouder

De zorgplicht is risicogebaseerd. Er is geen vaste checklist: u kiest maatregelen die passen bij de risico’s en de omvang van uw organisatie, en u moet kunnen uitleggen waarom.

Cyberbeveiligingswet en medewerkers: de zorgplicht voor bewustwording

De zorgplicht volgt de maatregelen uit artikel 21 van de NIS2-richtlijn. Twee daarvan gaan direct over medewerkers en over wat u met hen doet:

• Basispraktijken voor cyberhygiëne en training op het gebied van cyberbeveiliging (artikel 21, lid 2, onder g)
• Beleid en procedures om de effectiviteit van de maatregelen te beoordelen (artikel 21, lid 2, onder f)

Daarnaast vraagt artikel 20 van de richtlijn dat bestuurders een training volgen, en worden organisaties aangemoedigd hun medewerkers regelmatig een vergelijkbare training te geven. Het gaat er dus om dat uw medewerkers verdachte berichten herkennen en weten wat zij dan doen, en dat u kunt laten zien hoe u dat bereikt.

Phishing is daarbij het voor de hand liggende onderwerp. Volgens het ENISA Threat Landscape 2025 begint 60% van de hacks in Europa met phishing. In een Nederlands experiment klikte ruim 1 op de 5 medewerkers op een generieke phishingmail (NCSC en Digital Trust Center, 2022).

Vier vragen die een bestuurder kan beantwoorden

Het bestuur is eindverantwoordelijk voor de beheersing van cyberrisico’s. Volgens de Rijksoverheid en de NCTV betekent dat drie dingen. Het bestuur keurt de maatregelen goed. Het houdt toezicht op de uitvoering. En uitvoerende bestuurders volgen zelf een passende training, zodat zij risico’s en maatregelen kunnen beoordelen. Toezicht en handhaving richten zich op de organisatie, maar kunnen in bepaalde gevallen ook individuele bestuurders raken.

Voor de bewustwording van medewerkers komt dat neer op vier vragen die een bestuurder kan beantwoorden, intern en richting de toezichthouder:

1. Welke maatregelen nemen wij om medewerkers phishing te leren herkennen?
2. Hoe weten wij of die maatregelen werken?
3. Weten medewerkers bij wie zij een verdachte mail melden, en komt die melding aan?
4. Wat hebben wij verbeterd naar aanleiding van de uitkomsten?

Een beleidsdocument beantwoordt alleen de eerste vraag. Voor de andere drie heeft u uitkomsten nodig: een meting, een verslag en een vervolg.

Waarom de meldplicht afhangt van uw medewerkers

Voor een significant incident geldt een vroegtijdige waarschuwing uiterlijk binnen 24 uur na kennisname. Uiterlijk binnen 72 uur na kennisname volgt de incidentmelding met een eerste inschatting, en uiterlijk een maand na die melding een eindrapport.

Veel incidenten beginnen met één mail in één inbox. Of uw organisatie er op tijd van weet, hangt dan af van één medewerker die de mail direct meldt bij de juiste persoon, ook na een klik. Daarom past een goed werkend phishingprotocol bij de zorgplicht: één meldpunt, en een organisatie waarin melden altijd goed is. De wet schrijft zo’n protocol niet voor.

Hoe een phishingtest helpt aantonen dat u aan bewustwording werkt

Een phishingtest is stap 1 van een phishing simulatie en zelf een oefening. Uw medewerkers krijgen een realistische, onschuldige phishingmail en leren daarna van de herkenningsbrief phishing waaraan de mail te herkennen was. Tegelijk meet de test of de bewustwording werkt. Daarmee raakt hij zowel de training (onder g) als het beoordelen van de effectiviteit (onder f).

Na een phishingtest laten uitvoeren bij BSM heeft u deze stukken in handen:

• Een geanonimiseerd eindrapport, geschreven door onze specialisten, met een risicomatrix
• Per route wat er gebeurde: op de phishingpagina, in de hackermailbox en bij melden en navraag
• De herkenningsbrief phishing die alle medewerkers ontvingen
• Advies over wat u kunt verbeteren, bijvoorbeeld in uw phishingprotocol

De meldingen en vragen bij uw helpdesk ziet BSM niet zelf. Die houdt uw organisatie tijdens de test bij; het verslag daarvan stuurt u ons na afloop, en wij beschrijven het in het eindrapport. Zo ziet u ook of meldingen bij de juiste persoon aankomen, en daar steunt de meldplicht op.

Omdat wij elke test met hetzelfde risicomodel beoordelen, kunt u een volgende phishingtest naast deze leggen. Een reeks rapporten toont een ontwikkeling; dat zegt meer dan één momentopname. Het eindrapport noemt geen namen; of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. Welke onderdelen er verder bij een test horen, staat op de pagina onderdelen van een phishingtest.

Een phishingtest is één maatregel binnen de zorgplicht. Hij helpt aantonen dat u aan de bewustwording van medewerkers werkt; de andere maatregelen, van back-ups tot toegangsbeheer, blijven nodig. Beschrijf de test intern daarom als onderdeel van uw training en van uw toetsing van de effectiviteit.

De BIO2 en andere kaders die hetzelfde vragen

• BIO2 (overheid): geldt sinds 15 augustus 2026 via de Cyberbeveiligingswet, en vraagt bewustwording en training. Zie BIO2 en ENSIA voor gemeenten.
• ISO 27001:2022, maatregel A.6.3: bewustwording, opleiding en training, regelmatig bijgewerkt. Zie ISO 27001 awareness training.
• NEN 7510 (zorg): de zorgvariant van ISO 27001. Zie NEN 7510 awareness.
• DORA (financiële sector, sinds 17 januari 2025): programma’s voor ICT-beveiligingsbewustzijn voor alle medewerkers en het senior management.

Voor al deze kaders geldt hetzelfde: een eindrapport van een phishingtest helpt aantonen dat u uw medewerkers traint en dat u meet wat het oplevert. Hoe een test verloopt, leest u op Zo ziet een phishingtest van BSM eruit. Wilt u bespreken wat de Cyberbeveiligingswet voor uw organisatie betekent? Plan een gratis intake.

Bronnen

• Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht (7 juli 2026)
• NCSC, Cyberbeveiligingswet (NIS2)
• NCTV, Cyberbeveiligingswet: vragen en antwoorden
• Richtlijn (EU) 2022/2555 (NIS2), artikelen 20 en 21
• Digitale Overheid, Cybersecurity regulation for public sector in Government Gazette (BIO2)
• ENISA Threat Landscape 2025
• NCSC, 1 op de 5 medewerkers valt voor phishingmail (29 juni 2022)