Gemeentebestuurders hebben tot augustus 2028 voor de Cbw-training

Bestuurders van gemeenten moeten uiterlijk augustus 2028 een training in cyberrisico's hebben afgerond. Die termijn volgt uit de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 van kracht is en het college van burgemeester en wethouders aanwijst als eindverantwoordelijke. Informatiebeveiliging & Privacy (IB&P) zette op 1 oktober 2026 in een blog op een rij wat de wet van bestuurders vraagt.

De Cbw is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Gemeenten vallen er rechtstreeks onder, met de Rijksinspectie Digitale Infrastructuur (RDI) als toezichthouder. Het blog noemt 4 kernverplichtingen: registratie van de gemeente en haar internetdomeinen in het entiteitenregister van het NCSC, een zorgplicht met maatregelen op basis van een risicoanalyse en de BIO2 als normenkader, een meldplicht en de bestuurlijke verantwoordelijkheid.

Bij een significant incident volgt binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport. Onder de bestuurlijke verantwoordelijkheid keurt het college de maatregelen goed, houdt het toezicht op de uitvoering en volgt het een training. Volgens het blog was het college onder de BIO en via ENSIA al verantwoordelijk voor informatiebeveiliging, en is nieuw dat de wet die rol expliciet vastlegt, met een trainingsplicht en extern toezicht door de RDI.

Het Cyberbeveiligingsbesluit (Cbb), de uitwerking van de wet, stelt eisen aan het bewijs. Na de training ontvangt elke bestuurder een certificaat met de eigen naam, de data, de behandelde onderwerpen en de naam van de aanbieder (artikel 22 Cbb). Volgens het blog moet de kennis aantoonbaar actueel blijven, en een vaste herhalingstermijn kent het Cbb niet.

De training behandelt minimaal 13 onderwerpen (artikel 21 Cbb): de soorten risico's, risicomanagementprocessen en risicobeoordelingsmethodiek, aangevuld met de 10 zorgplichtthema's uit de wet, zoals incidentbehandeling, bedrijfscontinuïteit en ketenbeveiliging. Volgens artikel 20 Cbb moeten bestuurders risico's kunnen herkennen, de gevolgen voor de dienstverlening kunnen beoordelen en maatregelen op waarde kunnen schatten.

Volgens het blog introduceert de Cbw voor overheidsbestuurders geen nieuwe persoonlijke aansprakelijkheid bovenop het bestaande recht. IB&P wijst ook op de gemeenteraadsverkiezingen van maart 2026, waardoor er veel nieuwe wethouders zijn.