De opleidingsplicht voor bestuurders houdt in dat bepaalde bestuurders en leidinggevenden verplicht zijn om specifieke opleidingen of certificeringen te behalen en up-to-date te houden als voorwaarde om hun functie rechtsgeldig te mogen uitoefenen. Deze verplichting vloeit voort uit nationale en Europese wet- en regelgeving, waaronder sectorspecifieke eisen en richtlijnen zoals NIS2, die steeds meer organisaties raken. In dit artikel beantwoorden we de meest gestelde vragen over de opleidingsplicht, zodat jij precies weet waar je aan toe bent.
Voor welke bestuurders geldt de opleidingsplicht?
De opleidingsplicht geldt voor bestuurders en leidinggevenden van organisaties die actief zijn in sectoren waar wet- of regelgeving specifieke kennis- en vakbekwaamheidseisen stelt. Dit omvat onder meer bestuurders in de financiële sector, de zorg, het transport en de energie-infrastructuur. Daarnaast vallen steeds meer directeuren van digitaal actieve bedrijven onder verplichtingen die voortvloeien uit Europese richtlijnen zoals NIS2.
Concreet gaat het om bestuurders die eindverantwoordelijkheid dragen voor bedrijfsprocessen met een hoog risicoprofiel. Denk aan organisaties die kritieke diensten leveren, persoonsgevoelige data verwerken of onderdeel zijn van vitale infrastructuur. Onder de NIS2-richtlijn, die in Nederland in 2026 volledig van kracht is, worden bestuurders van middelgrote en grote organisaties in aangewezen sectoren expliciet verplicht om kennis te hebben van cybersecurity en risicobeheer. Zij mogen die verantwoordelijkheid niet volledig delegeren aan een IT-afdeling of externe partij.
Voor het MKB is dit een belangrijk signaal: de drempel voor wie onder de opleidingsplicht valt, wordt steeds lager naarmate bedrijven groeien of actief zijn in sectoren met verhoogde digitale risico’s.
Welke opleidingen en certificeringen zijn verplicht?
Welke opleidingen verplicht zijn, hangt sterk af van de sector en de toepasselijke regelgeving. Er bestaat geen universele lijst van verplichte certificeringen voor alle bestuurders. Wel zijn er per domein duidelijke kaders: zo schrijft de NIS2-richtlijn voor dat bestuurders aantoonbaar kennis moeten hebben van cybersecurityrisico’s, beveiligingsmaatregelen en incidentbeheer.
In de praktijk kunnen verplichte opleidingen de volgende vormen aannemen:
- Bewustzijnstrainingen op het gebied van cybersecurity, gericht op het herkennen van dreigingen en het nemen van verantwoorde beslissingen
- Risicomanagementopleidingen die bestuurders in staat stellen om beveiligingsrisico’s te beoordelen en te prioriteren
- Sectorspecifieke certificeringen, zoals verplichte vakbekwaamheidseisen in de financiële sector of de zorgsector
- Compliance-trainingen die aantonen dat een bestuurder op de hoogte is van relevante wet- en regelgeving
Onder NIS2 is het niet vereist dat een bestuurder zelf een technisch expert wordt, maar wel dat hij of zij in staat is om weloverwogen beslissingen te nemen over cybersecurity en de juiste vragen te stellen aan de organisatie. Aanbieders van zakelijke cybersecurityoplossingen kunnen hierbij ondersteunen met bewustzijnsprogramma’s die specifiek zijn afgestemd op bestuurders.
Wat zijn de gevolgen van niet voldoen aan de opleidingsplicht?
Niet voldoen aan de opleidingsplicht kan leiden tot persoonlijke aansprakelijkheid van de bestuurder, boetes voor de organisatie en in ernstige gevallen verlies van vergunningen of de bevoegdheid om de functie uit te oefenen. Onder de NIS2-richtlijn kunnen toezichthouders bestuurders van aangewezen organisaties persoonlijk aansprakelijk stellen als zij aantoonbaar tekortgeschoten zijn in hun zorgplicht.
De gevolgen zijn concreet en kunnen meerdere lagen raken:
- Financiële sancties: Toezichthouders kunnen aanzienlijke boetes opleggen aan de organisatie, en in sommige gevallen ook aan de bestuurder persoonlijk.
- Reputatieschade: Een beveiligingsincident dat mede is veroorzaakt door aantoonbaar gebrek aan kennis bij het bestuur, kan het vertrouwen van klanten en partners ernstig schaden.
- Persoonlijke aansprakelijkheid: Bestuurders kunnen civielrechtelijk aansprakelijk worden gesteld voor schade die voortvloeit uit nalatigheid op het gebied van risicobeheer.
- Operationele gevolgen: In gereguleerde sectoren kan het niet voldoen aan opleidingseisen leiden tot schorsing of intrekking van een vergunning.
Het is dus niet alleen een formaliteit: de opleidingsplicht is een actief instrument van toezichthouders om organisaties verantwoordelijk te houden voor hun digitale en operationele weerbaarheid.
Hoe vaak moet een bestuurder zijn opleiding vernieuwen?
De frequentie waarmee een bestuurder zijn opleiding moet vernieuwen, verschilt per sector en per type verplichting. Voor de meeste opleidingen in het kader van NIS2 en cybersecuritybewustzijn geldt dat kennis jaarlijks of tweejaarlijks moet worden bijgehouden, omdat het dreigingslandschap voortdurend verandert.
In sectoren met formele vakbekwaamheidseisen, zoals de financiële sector of het transport, zijn de herhaaltermijnen vaak wettelijk vastgelegd. Hier geldt doorgaans een verplichte herhalingsopleiding of herexamen na een bepaald aantal jaren. In minder strak gereguleerde sectoren is de norm meer praktisch van aard: een bestuurder moet aantoonbaar kunnen laten zien dat zijn of haar kennis actueel is.
Praktisch gezien is het verstandig om opleidingen en trainingen te behandelen als een doorlopend proces in plaats van een eenmalige verplichting. Dreigingen op het gebied van cybersecurity, nieuwe wetgeving en veranderende risicoprofielen vragen om een lerende organisatie op alle niveaus, inclusief de top.
Wie is verantwoordelijk: de bestuurder of de werkgever?
De verantwoordelijkheid voor het naleven van de opleidingsplicht ligt bij zowel de bestuurder persoonlijk als bij de organisatie als geheel. De bestuurder is eindverantwoordelijk voor zijn of haar eigen bekwaamheid en kan niet volledig achter de organisatie schuilen. Tegelijkertijd heeft de organisatie een faciliterende en toezichthoudende rol.
In de praktijk betekent dit het volgende:
- De bestuurder is verantwoordelijk voor het actief bijhouden van kennis, het volgen van verplichte opleidingen en het tijdig signaleren wanneer aanvullende scholing nodig is.
- De organisatie is verantwoordelijk voor het bieden van de mogelijkheid tot opleiding, het bijhouden van een opleidingsadministratie en het toetsen of bestuurders aan de gestelde eisen voldoen.
- De raad van commissarissen of toezicht, indien aanwezig, heeft een controlerende rol en kan worden aangesproken als zij nalaten hierop toe te zien.
Onder NIS2 is de persoonlijke verantwoordelijkheid van bestuurders expliciet verankerd. Dit onderscheidt deze richtlijn van eerdere cybersecuritywetgeving, waarbij de nadruk meer lag op de organisatie als geheel. Bestuurders kunnen zich dus niet langer onttrekken aan hun verantwoordelijkheid door te verwijzen naar een IT-afdeling of externe leverancier.
Hoe verschilt de opleidingsplicht per sector?
De opleidingsplicht verschilt aanzienlijk per sector, zowel in inhoud als in de mate van formalisering. Sommige sectoren kennen wettelijk verankerde en gedetailleerde eisen, terwijl andere sectoren meer werken met risicogebaseerde normen zonder vaste certificeringstrajecten.
Zwaar gereguleerde sectoren
In sectoren als financiële dienstverlening, zorg en luchtvaart zijn de opleidingseisen voor bestuurders uitgebreid en formeel vastgelegd. Toezichthouders zoals de AFM, DNB of de Inspectie Gezondheidszorg hanteren concrete vakbekwaamheidseisen, waarbij bestuurders periodiek moeten aantonen dat zij aan de gestelde normen voldoen. Het niet behalen of verlengen van vereiste certificeringen kan directe gevolgen hebben voor de vergunningspositie van de organisatie.
Digitaal actieve sectoren onder NIS2
Voor organisaties die vallen onder de NIS2-richtlijn, waaronder aanbieders van digitale diensten, energie, transport en drinkwater, geldt een specifieke verplichting voor bestuurders op het gebied van cybersecurity. In 2026 zijn deze eisen volledig van kracht in Nederland. Bestuurders in deze sectoren moeten aantoonbaar in staat zijn om cybersecurityrisico’s te beoordelen en te sturen op adequate beveiligingsmaatregelen. De nadruk ligt minder op een specifiek diploma en meer op aantoonbare kennis en betrokkenheid.
Minder gereguleerde sectoren
In sectoren zonder expliciete wettelijke opleidingseisen voor bestuurders, zoals de algemene zakelijke dienstverlening of de detailhandel, bestaat er geen formele opleidingsplicht in de klassieke zin. Toch kunnen ook hier verplichtingen ontstaan via brancheorganisaties, cao-afspraken of contractuele eisen van opdrachtgevers. Bovendien geldt voor alle organisaties die digitale diensten afnemen of aanbieden een algemene zorgplicht, waarbij bestuurders geacht worden voldoende kennis te hebben om verantwoorde beslissingen te nemen.
