NIS2-opleiding bestuurders: verplichting en Franse omzetting

De NIS2-opleiding voor bestuurders is een verplichting uit Richtlijn (EU) 2022/2555. Artikel 20 verplicht de lidstaten om van de leden van de bestuursorganen van essentiële en belangrijke entiteiten een opleiding in cyberbeveiliging te eisen. De richtlijn vraagt ook om een vergelijkbare opleiding voor werknemers aan te moedigen. In Frankrijk is de omzettingswet op de datum van dit artikel nog niet definitief aangenomen.

Hier staat wat de Europese tekst zegt, hoever de Franse omzetting staat, en hoe u een opleiding organiseert die de besluitvorming dient in plaats van het attest.

Wat artikel 20 van de NIS2-richtlijn zegt

Artikel 20 behandelt het bestuur. Het eerste lid vraagt de bestuursorganen om de maatregelen voor risicobeheer goed te keuren, toezicht te houden op de uitvoering ervan en verantwoording af te leggen over inbreuken. Bestuurders kunnen cybersecurity dus niet delegeren zonder haar te volgen.

Lid 2 trekt daar de conclusie uit voor de opleiding. De leden van de bestuursorganen moeten een opleiding volgen. Entiteiten moeten worden aangemoedigd om regelmatig vergelijkbare opleidingen aan hun werknemers aan te bieden. Het doel is voldoende kennis op te doen om risico's te herkennen. Het gaat er ook om de praktijken van risicobeheer en hun effect op de diensten van de entiteit te beoordelen.

De verplichting is dwingend voor bestuurders en stimulerend voor werknemers. Dat is een belangrijk verschil met DORA, dat modules voor al het personeel eist. Ons artikel over de DORA-opleiding vergelijkt de twee teksten.

De opleiding van het personeel: artikel 21

Artikel 21, lid 2, somt de minimale maatregelen voor risicobeheer op. Punt g) heeft betrekking op de basispraktijken van cyberhygiëne en opleiding in cyberbeveiliging. De bewustmaking van het personeel hoort dus bij de basis, ook al maakt artikel 20 haar slechts aanmoedigend.

Concreet zal een entiteit die haar teams niet opleidt, moeite hebben om aan te tonen dat haar maatregelen ‘passend en evenredig’ zijn.

Wie valt onder NIS2?

De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Ze behoren tot meerdere sectoren: onder meer energie, vervoer, gezondheidszorg, banken en infrastructuren voor financiële markten. Volgens de Franse Senaat zou de Franse omzetting het aantal gereguleerde sectoren van 6 naar 18 brengen.

Banken en financiële infrastructuren vallen ook onder DORA, dat voorrang heeft voor het ICT-risico in de financiële sector. Een entiteit moet dus nagaan welke tekst voor haar geldt, en niet twee programma's opstapelen waar er één volstaat.

De Franse lokale overheden vallen binnen de reikwijdte die het wetsontwerp voor ogen heeft. Voor hen wordt de opleiding van gekozenen en de algemene directie een volwaardig onderwerp. Ons artikel over bewustmaking bij lokale overheden en ziekenhuizen gaat daarop in.

Hoever staat de Franse omzetting?

De richtlijn moest vóór 17 oktober 2024 worden omgezet. Het wetsontwerp ‘résilience’ werd op 15 oktober 2024 in de Franse ministerraad gepresenteerd. De volledige titel luidt: weerbaarheid van kritieke infrastructuren en versterking van de cyberbeveiliging. Het zet NIS2 om, de richtlijn over de weerbaarheid van kritieke entiteiten en het onderdeel van DORA dat de financiële sector betreft.

De Senaat keurde de tekst in maart 2025 goed. De bijzondere commissie van de Assemblée nationale stemde er in september 2025 mee in. De behandeling in openbare zitting is, volgens de gespecialiseerde pers, op het moment van schrijven niet afgerond.

Begin juli 2026 besloot de Europese Commissie zich tot het Hof van Justitie van de Europese Unie te wenden. Ze richt zich tegen Frankrijk en andere lidstaten wegens niet-omzetting. Het platform MonEspaceNIS2 van de ANSSI preciseert dat NIS2 in Frankrijk in werking treedt zodra de wet, de decreten en de besluiten zijn gepubliceerd. Niet alle vereisten zullen op dezelfde dag van toepassing zijn.

Volgens de Senaat zou de tekst betrekking hebben op ongeveer 15 000 essentiële en belangrijke entiteiten, en op bijna 1 500 lokale overheden.

Wat voorziet het wetsontwerp over de opleiding?

In zijn oorspronkelijke versie voorzag het ontwerp in een sturing van de beveiliging van informatiesystemen. Die sturing omvatte de opleiding in cyberbeveiliging van de leden van de bestuursorganen. De Senaat vond dat deze formulering artikel 20 te weinig omzette en breidde de opleiding uit tot personen die aan cyberrisico's worden blootgesteld.

De tekst kan nog evolueren tot aan de definitieve goedkeuring. Controleer de geldende versie op Légifrance en op de website van de ANSSI voordat u een plan opstelt.

Waarom niet wachten? Omdat het verschil tussen de goedkeuring van de wet en de toepassing ervan weinig tijd laat, en de verwachtingen van de richtlijn al bekend zijn.

Een opleidingsplan in vier stappen voor de directie

1. De beoogde personen bepalen. Leden van de raad van bestuur, het directiecomité, en assistenten die gesprekken en verzoeken filteren.
2. De beslissingsdoelen vastleggen. Wat moet een bestuurder kunnen beslissen op een incidentdag, en wat moet hij weigeren op een dag met een frauduleus telefoontje?
3. Uiteenzetting en oefening afwisselen. Een korte bijdrage over het juridisch kader, daarna een oefensituatie met een crisis- of fraudescenario.
4. Documenteren en herzien. Een spoor per persoon, en een jaarlijkse herziening van de inhoud.

De veelgemaakte fouten

• De opleiding delegeren aan alleen de CISO. Artikel 20 legt de verantwoordelijkheid bij het bestuursorgaan zelf.
• Op de wet wachten om te handelen. De verwachtingen van de richtlijn zijn sinds december 2022 openbaar.
• Opleiden zonder te evalueren. Aanwezigheid in de zaal zegt niets over wat is begrepen.
• De omgeving vergeten. Directieassistenten nemen de gesprekken aan waarop aanvallers het eerst mikken.

Bestuurders opleiden: wat werkt

Een bestuurder hoeft versleuteling niet te begrijpen. Hij moet de juiste vragen kunnen stellen, kunnen afwegen tussen beveiliging en continuïteit, en niet toegeven wanneer een aanval via hem loopt.

Drie nuttige inhouden

• Het risico in bedrijfstaal: wat een onderbreking van de dienst kost, wat u moet melden, aan wie.
• De crisisbeslissingen: betalen of niet, een dienst afsluiten of handhaven, klanten informeren.
• De aanvallen op bestuurders: valse opdrachten, nepleveranciers, identiteitsfraude per telefoon.

Het laatste punt wordt vaak verwaarloosd. Bestuurders en hun omgeving zijn geliefde doelwitten van fraude met valse betaalopdrachten. Ons artikel over CEO-fraude beschrijft het mechanisme.

Waarom oefensituaties passen bij directiecomités

Bestuurders hebben weinig tijd en weinig geduld voor generieke modules. Ze onthouden een beleefde situatie beter: een telefoontje, een beslissing die binnen enkele minuten moet worden genomen, een financieel belang.

Stel een financieel directeur die gebeld wordt door iemand die zegt door de voorzitter te zijn gemachtigd voor een vertrouwelijke operatie. Die vraagt om een dringende overschrijving en benadrukt de discretie. De goede antwoorden zijn eenvoudige zinnen:

• ‘Ik noteer uw verzoek en bel de voorzitter terug op zijn gebruikelijke nummer.’
• ‘Geen enkele overschrijving wordt uitgevoerd buiten de dubbele validatie.’
• ‘Vertrouwelijkheid sluit de procedure niet uit.’

Met Face Up kan een trainer dit rollenspel maken op basis van zijn echte gevallen. De bestuurder spreekt met een persona die door een AI wordt gespeeld. Daarna krijgt hij een debriefing: sterke punten, verbeterpunten, citaten van zijn eigen woorden. Hij kan opnieuw spelen om zijn standpunt vol te houden.

De opleiding van de directie bewijzen

De richtlijn eist een opleiding, en de toezichthouder zal haar willen zien. Bewaar de datum, de inhoud, de lijst van deelnemers en een evaluatie. De debriefings van oefensessies tonen wat de bestuurder kan, niet alleen dat hij aanwezig was. We werken deze sporen uit in het artikel over het bewijs van opleiding tegenover de auditor.

Veelgestelde vragen

Is de opleiding van bestuurders in Frankrijk al verplicht?

De richtlijn legt haar op aan de lidstaten, maar de verplichting zal pas voor Franse entiteiten gelden zodra de omzettingswet is aangenomen en afgekondigd. Voorbereiding is nu al nuttig.

Moeten ook de werknemers worden opgeleid?

De richtlijn vraagt het aan te moedigen, en artikel 21 plaatst cyberhygiëne en opleiding onder de minimale maatregelen. Het Franse wetsontwerp breidt, in de versie van de Senaat, de opleiding uit tot de blootgestelde personen.

Welke duur moet u voor de opleiding voorzien?

De tekst geeft geen precieze duur of frequentie. Hij vraagt een opleiding die volstaat om risico's te herkennen en de praktijken van de entiteit te beoordelen.

Wat is het verband met bewustmaking over vishing?

Bestuurders en hun teams worden geviseerd door gesprekken die de hiërarchie of een leverancier nabootsen. Onze gids over security awareness training over vishing biedt een methode om daarop te oefenen.

Om NIS2 voor te bereiden zonder op de wet te wachten, plant u een oefensessie met uw directiecomité en zijn assistenten. Ons overzicht van verplichte opleidingen helpt om ze in het geheel van uw verplichtingen te plaatsen. Om een rollenspel over een bestuurdersbeslissing te zien, reserveer een demo.