Volgende maand als NIS2 ingaat moet het bestuur van ruim achtduizend Nederlandse organisaties de eigen beveiligingsmaatregelen formeel goedkeuren en toezien op de uitvoering daarvan. Voor die verplichting geldt geen overgangstermijn. Vrijwel gelijktijdig meldt Gartner dat 71 procent van de raden van commissarissen juist wil dat hun organisatie méér technologisch risico neemt. Die twee bewegingen komen samen op één bureau: dat van de Chief Information Security Officer, wiens functieomschrijving in de meeste organisaties nog steeds spreekt over firewalls, patchcycli en auditrapporten.
De rol van de CISO verschuift van technisch beheerder naar risicovertaler. De Cyberbeveiligingswet legt sinds 15 augustus 2026 de eindverantwoordelijkheid bij het bestuur, terwijl datzelfde bestuur volgens Gartner meer technologisch risico wil nemen. Dat vraagt om andere sturing: exposure management in plaats van kwetsbaarhedenlijsten, bestuursrapportage in financiële taal, beleid rond AI-gebruik en ketenrisico als vast onderdeel van het risicoregister. Dit artikel beschrijft wat er feitelijk verandert, wat de wet wel en niet van de CISO persoonlijk eist, en welke keuzes nu op tafel liggen.
Waarom besturen meer risico accepteren en wat dat doet met het securitybudget
Het beeld dat bestuurders vooral bang zijn voor cyberincidenten klopt steeds minder. Uit de Board of Directors Survey die Gartner tussen 14 april en 22 mei 2025 onder 330 commissarissen uitvoerde, blijkt dat slechts tien procent stellig vertrouwen heeft in de waarde van cybersecurity-investeringen. De overige negentig procent mist een maatstaf om te bepalen of de balans tussen bescherming en kosten klopt. In datzelfde onderzoek geeft 71 procent van de besturen aan dat de organisatie meer technologisch risico zou moeten nemen, met nadrukkelijke aanmoediging richting de directie om sneller te bewegen op AI.
Gartner-analist Will Candrick trok die lijn door tijdens de Security and Risk Management Summit van juni 2026. Zijn stelling: meer beveiliging leidt niet automatisch tot een beter bedrijfsresultaat, maar wel tot hogere kosten, tragere marktintroductie, geremde innovatie, verouderde AI-hulpmiddelen en meer bureaucratie. De kans op een incident is op lange termijn honderd procent, maar de gevolgen zijn in de meeste gevallen verstorend en tijdelijk in plaats van bedreigend voor het voortbestaan. Zijn advies aan CISO’s is praktisch: breng in kaart welke bedrijfsprocessen de winst genereren, vergroot de eigen invloedssfeer en leer uit eigen beweging de taal van het bestuur spreken. Volgens Gartner is zakelijk inzicht in 2028 het belangrijkste onderscheid tussen goed en minder goed presterende CISO’s.
Wie hier alleen een bedreiging in ziet, leest het verkeerd. Een bestuur dat bereid is meer risico te nemen, is ook een bestuur dat bereid is een gesprek te voeren over welk risico dan precies, en tegen welke prijs. Dat gesprek verliest de CISO alleen wanneer hij het niet kan onderbouwen met cijfers die het bestuur herkent.
Wat de Cyberbeveiligingswet sinds 15 augustus 2026 van bestuur en CISO verlangt
De Nederlandse context maakt dit gesprek juridisch dwingend. De Cyberbeveiligingswet, de nationale omzetting van de NIS2-richtlijn, en de Wet weerbaarheid kritieke entiteiten zijn op 15 augustus 2026 in werking getreden nadat de Eerste Kamer er op 7 juli mee instemde. Volgens de Rijksoverheid gelden vanaf die datum nieuwe verplichtingen voor ruim achtduizend organisaties, waaronder ministeries, gemeenten, waterschappen en provincies. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen en verbreedt het bereik naar achttien sectoren.
Vier verplichtingen bepalen het speelveld. Registratie in het entiteitenregister via mijn.ncsc.nl, een risicogebaseerde zorgplicht met passende technische, operationele en organisatorische maatregelen, een meldplicht in drie stappen met een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand, en tot slot de bestuurlijke verantwoordelijkheid. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet aantoonbaar kennis hebben van cyberrisico’s. Voor die trainingsverplichting geldt volgens de NCTV een termijn van twee jaar na inwerkingtreding, of twee jaar na aantreden bij nieuwe benoemingen. Voor de zorgplicht, meldplicht en registratieplicht bestaat die coulance niet.
Ons advies is om die twee jaar niet als speelruimte te behandelen. Een bestuur dat de goedkeuringsplicht moet invullen zonder de onderliggende kennis, tekent in de praktijk voor documenten die het niet kan beoordelen. Dat is precies de situatie waarin een toezichthouder achteraf vaststelt dat het toezicht niet meer dan formeel was.
Hoe ver de persoonlijke aansprakelijkheid van een CISO werkelijk reikt
Rond bestuurdersaansprakelijkheid circuleren scherpere koppen dan de wet rechtvaardigt. Een CISO is doorgaans geen statutair bestuurder en valt daarmee niet onder de klassieke bestuurdersaansprakelijkheid uit het Burgerlijk Wetboek. Toezichthouders kunnen op grond van de Cyberbeveiligingswet boetes en bindende aanwijzingen opleggen aan de organisatie en aan bestuurders, en in de zwaarste toezichtcategorie kan een bestuurder tijdelijk uit een leidinggevende functie worden geschorst. Persoonlijke aansprakelijkheid van een CISO komt pas in beeld wanneer die zelfstandig bevoegd is om ingrijpende beslissingen te nemen, bijvoorbeeld het offline halen van een netwerk of het doen van een wettelijke melding, en daarbij een ernstig verwijt te maken valt.
Praktisch betekent dit dat documentatie geen administratieve bijzaak is maar een beschermingsmechanisme. Wanneer een bestuurder ondanks een onderbouwd advies besluit een investering niet te doen, hoort dat besluit traceerbaar vastgelegd te zijn, met datum, onderbouwing en de afweging die eraan ten grondslag lag. Wie dat niet vastlegt, staat achteraf met lege handen tegenover een reconstructie waarin iedereen zich anders herinnert wat er is besproken.
Van kwetsbaarheden tellen naar exposure management als sturingsinstrument
De meest tastbare verandering in het dagelijkse werk zit in de verschuiving van kwetsbaarhedenbeheer naar exposure management. Klassiek vulnerability management telt hoeveel kwetsbaarheden zijn gevonden en gepatcht. Exposure management stelt een andere vraag: welke van die kwetsbaarheden zijn in deze specifieke omgeving daadwerkelijk uitbuitbaar, en welk bedrijfsproces raakt dat als het misgaat. Dat vereist continue monitoring, dreigingscontext en een koppeling tussen technische bevindingen en bedrijfsprocessen in plaats van een geïsoleerde assetlijst.
Hier zit de valkuil die we in de praktijk het vaakst tegenkomen. Exposure management levert alleen iets op wanneer het het tellen van kwetsbaarheden vervangt. Wordt het als extra rapportagelaag boven op bestaande processen gezet, dan groeit de rapportagelast zonder dat de besluitvorming verbetert, en houdt het securityteam twee waarheden naast elkaar. De keuze om oude rapportages daadwerkelijk af te schaffen is bestuurlijk lastiger dan de technische implementatie, en juist daar strandt de omslag meestal.
Waarom identiteit het zwaarste weegt in een exposure-analyse
Aanvallers richten zich inmiddels vaker op gestolen identiteiten en actieve sessies dan op het forceren van wachtwoorden. Een authenticatiesysteem dat alleen op het inlogmoment controleert, sluit die deur niet meer. Wij beschreven eerder hoe organisaties de overstap maken van statische naar adaptieve multifactorauthenticatie die het risico tijdens de hele sessie blijft beoordelen, en hoe identity governance, device-compliance en netwerksegmentatie steeds vaker als één samenhangend geheel worden ingericht. Voor een exposure-analyse betekent dit dat de vraag wie waarbij kan minstens zo zwaar weegt als de vraag welke CVE ergens openstaat. In de meeste omgevingen levert het opschonen van overbodige rechten en slapende accounts meer risicoreductie op dan de laatste twintig procent van de patchachterstand.
Hoe u cyberrisico rapporteert aan een bestuur dat in financiële termen denkt
Tien jaar geleden presenteerde ongeveer een kwart van de CISO’s aan het eigen bestuur. Tijdens de Gartner Security and Risk Management Summit 2026 gaf vrijwel de hele zaal aan dat nu wel te doen. De inhoud van die presentaties bleef echter achter bij die toegang. Volgens Gartner-analisten Sam Olyaei en Tom Scholtz zijn de meeste rapportages nog altijd opgebouwd rond securityfuncties in plaats van rond bedrijfsuitkomsten, waardoor besturen cybersecurity behandelen als een verzekeringspremie. Gartner meldt daarbij dat 93 procent van de bestuursleden onderschrijft dat cyberrisico de aandeelhouderswaarde bedreigt en 98 procent verwacht dat dreigingen de komende twee jaar toenemen.
Hun voorstel is om het financiële kwartaalverslag als sjabloon te nemen, omdat dat de taal is waarin een bestuur al denkt. Een balansdeel geeft een momentopname van de grootste risico’s en de mogelijke financiële gevolgen, aangevuld met de status van de uitvoering tegen de goedgekeurde roadmap en met afspraken over patchritme, containmenttijd en hersteltijd. Een resultatendeel toont verwachte verliezen of verbeteringen door dreigingen, automatisering, procesveranderingen en regelgeving. Een kasstroomdeel maakt zichtbaar waar het budget naartoe gaat, uitgesplitst naar personeel, diensten, hardware en software, met benchmarks zoals het aandeel van het IT-budget dat naar beveiliging gaat. Een afsluitend toelichtend deel geeft context en formuleert wat de CISO van het bestuur vraagt.
De praktische randvoorwaarde daarbij is belangrijker dan het model zelf. Een CISO krijgt doorgaans vijf tot tien minuten. Kies daarom een kleine, stabiele set indicatoren die tussen rapportages hetzelfde blijft, en weersta de neiging om per kwartaal nieuwe cijfers te introduceren. Een grafiek die drie kwartalen op rij dezelfde meting toont, zegt een bestuur meer dan een dashboard vol nieuwe metrieken. Wij richten SOC-rapportages daarom zo in dat detectie- en responstijden herleidbaar zijn naar concrete bedrijfsprocessen en vooraf afgesproken drempels, zodat een bestuursupdate op dezelfde cijfers rust als het dagelijkse operationele overzicht.
Waarom AI-governance bovenaan de prioriteitenlijst van CISO’s staat
In de Leadership Perspective Survey van maart 2026, gebaseerd op 1.085 reacties van CISO’s uit de Gartner C-level Communities, is het beschermen en mogelijk maken van AI-gebruik de belangrijkste functionele prioriteit. Die optie stond niet eerder in de vragenlijst en kwam meteen op de eerste plaats terecht. Het beoordelen en beheersen van cyberrisico staat derde, het vergroten van organisatorische weerbaarheid vijfde. Als bedrijfsbrede prioriteit noemen CISO’s onverminderd groei, gevolgd door kostenbeheersing en productiviteit. Op investeringsniveau is AI eveneens de grootste post: 43 procent wil middelen vrijmaken voor AI-producten en diensten, terwijl 39 procent investeert in dataleakpreventie, identity- en accessmanagement, multifactorauthenticatie en zero trust.
De risicokant van die cijfers verdient aandacht. Investeringen die vooral voortkomen uit de angst om achter te blijven, leiden tot projecten waarin governance en beveiligingsbasis worden overgeslagen. Een werkbaar AI-beleid hangt daarom aan bestaande kaders, bijvoorbeeld aan de functies van het NIST Cybersecurity Framework, in plaats van naast de securityorganisatie te worden opgetuigd als apart traject. Begin bij de vraag welke AI-diensten medewerkers vandaag al gebruiken en welke bedrijfsdata daar terechtkomt. Dat inventarisatiewerk is minder aantrekkelijk dan een pilot met agents, maar het is de enige basis waarop een bestuur later een verantwoord besluit kan nemen.
Ketenrisico is geen inkoopvraagstuk meer maar onderdeel van de zorgplicht
De tweede verbreding van het takenpakket komt van buiten. Organisaties zijn in toenemende mate afhankelijk van leveranciers, softwarecomponenten en clouddiensten die zij zelf niet hebben goedgekeurd en soms niet eens kennen. De Cyberbeveiligingswet noemt de beveiliging van de toeleveringsketen uitdrukkelijk als onderdeel van de zorgplicht, inclusief de beveiligingsaspecten in de relatie met rechtstreekse leveranciers en dienstverleners. Leveranciers die zelf buiten de reikwijdte van de wet vallen, merken de gevolgen alsnog via contracten en aanbestedingen. Hoe die eis technisch en contractueel uitpakt, en wat de aanval op CEVA Logistics daarover liet zien, beschreven wij in ons artikel over ketenbeveiliging onder de Cyberbeveiligingswet en de weg van vertrouwen naar aantoonbare controle.
Voor de CISO betekent dit dat leveranciersbeheer verhuist van inkoop naar het risicoregister. Vragenlijsten en contractuele bepalingen verdelen achteraf de verantwoordelijkheid, maar voorkomen geen inbraak. De maatregelen die het verschil maken, begrenzen de schade wanneer een schakel toch bezwijkt: een actueel beeld van alles wat is aangesloten, strikte scheiding van leveranciersapparatuur en onbeheerde systemen van bedrijfskritische zones, tijdgebonden toegang voor onderhoudspartijen in plaats van permanente verbindingen, en detectie op netwerkniveau voor apparatuur die buiten het bereik van endpointoplossingen valt.
Wat een CISO die deze agenda serieus neemt de komende maanden anders doet
De optelsom is overzichtelijk. Het bestuur is sinds 15 augustus wettelijk eindverantwoordelijk en wil tegelijk meer ruimte om risico te nemen. Kwetsbaarhedenlijsten zeggen te weinig over werkelijke blootstelling. Bestuursrapportages landen alleen wanneer ze in financiële structuur zijn opgezet. AI en ketenafhankelijkheid vragen beleid dat aansluit op bestaande kaders in plaats van een eigen traject. Wie op alle vier fronten tegelijk wil beginnen, komt nergens. De volgorde die in de praktijk werkt, begint bij zichtbaarheid, gaat via een kleine set stabiele indicatoren naar de bestuurstafel en breidt van daaruit uit naar AI en keten.
Wilt u weten hoe uw huidige rapportage zich verhoudt tot wat de Cyberbeveiligingswet aan aantoonbaarheid vraagt, of waar in uw infrastructuur segmentatie en toegangscontrole het meeste effect opleveren? De specialisten van SolidBE denken graag met u mee, van de technische inrichting tot de vertaling naar het gesprek in de bestuurskamer. Neem contact op voor een vrijblijvende afspraak.
