NIS2 bestuurstraining-register: gratis sjabloon (XLSX)

NIS2 bestuurstraining-register: gratis sjabloon

Dit gratis NIS2 bestuurstraining-register is een downloadbare Excel-werkmap (plus PDF-gids en machineleesbare Markdown) die de trainingsplicht van bestuursorganen uit artikel 20, lid 2, van richtlijn (EU) 2022/2555 — en vanaf 15 augustus 2026 de Nederlandse Cyberbeveiligingswet — auditeerbaar vastlegt: een bestuursregister op naam, een trainingslogboek met één regel per lid per sessie — aanbieder, datum, uren, gedekte artikel 20-doelen, bewijsreferentie — met automatisch berekende vervaldatums die achterstallige leden rood markeren, plus een sessiecatalogus en een jurisdictiereferentie over hoe nationale wetten het 'regelmatig' kwantificeren. Zonder e-maildrempel; de downloadbare bestanden zijn beschikbaar in het Nederlands.

Artikel 20 is het deel van NIS2 dat een toezichthouder in vijf minuten kan controleren. Beoordelen of de artikel 21-maatregelen werken duurt maanden; of elk bestuurslid een geldig, onderbouwd trainingsbewijs heeft, is een ja/nee-vraag tegen een namenlijst. En de vraag wordt concreet: de Cyberbeveiligingswet is op 7 juli 2026 door de Eerste Kamer aangenomen en treedt op 15 augustus 2026 in werking — met bestuursplichten én persoonlijke aansprakelijkheid. Dit register bestaat zodat het antwoord altijd ja is, op papier.

Belangrijkste inzichten

1. De trainingsplicht is echt en persoonlijk. Artikel 20(2) zegt dat bestuursleden 'verplicht zijn een opleiding te volgen' — verplicht, niet aangemoedigd. De Cbw verankert dat per 15 augustus 2026 in Nederlands recht; de Duitse omzetting (§ 38 BSIG) laat zien waar dit heengaat: persoonlijk, niet delegeerbaar, met aansprakelijkheid waarvan afstand nietig is.
2. 'Regelmatig' is een variabele van nationaal recht — de werkmap houdt haar per regel bij. Het Duitse richtsnoer: ~4 uur minimaal elke 3 jaar; Letland: regelmatige training met minimaal jaarlijkse inhoudsrevisie; Tsjechië (wet nr. 264/2025): behoorlijk getrainde bestuursorganen; België: het CCB laat omvang en duur bewust aan de entiteit. Het herhalingsinterval is een kolom, geen aanname.
3. Houd bestuurstraining en personeelstraining strikt gescheiden. Bestuurstraining is artikel 20(2); cyberhygiënetraining van medewerkers is artikel 21(2)(g) — een andere plicht met ander bewijs, beheerd in het LMS. Ze vermengen is de meest voorkomende reden dat entiteiten uiteindelijk geen van beide netjes kunnen aantonen.
4. Auditors toetsen individuen, geen gemiddelden. De toezichtpraktijk convergeert naar records per lid: wie, wat, wanneer, hoe lang, door wie, waarmee bewezen, wanneer verschuldigd — plus het programmadocument en de notulen waarin het getrainde bestuur het artikel 21-maatregelenpakket goedkeurt. Het register berekent per lid de laatste sessie en volgende vervaldatum en markeert hiaten.
5. De bewijsreferentie ís het bewijs. Een trainingscertificaat dat niet op verzoek kan worden getoond, bestaat voor een audit niet. Elke afgeronde logboekregel wijst naar een opgeslagen artefact — certificaat-ID, getekende presentielijst, LMS-export.

Wat er in de werkmap zit

Blad	Inhoud	Waarom het telt
1. Bestuursregister	Eén regel per lid: naam, rol, orgaan, benoemingsdatum, toepasselijkheid van de artikel 20-plicht met onderbouwing, status, berekende kolommen voor laatste sessie en volgende vervaldatum	De lijst waaraan auditors toetsen — inclusief vertrokken leden, die blijven staan
2. Trainingslogboek	Eén regel per lid per sessie: titel, aanbieder en type, datum, duur in uren, vorm, gedekte artikel 20-doelen, herhalingsinterval, berekende vervaldatum, bewijsreferentie, afrondingsstatus	Het individuele record dat toezichthouders daadwerkelijk opvragen
3. Sessiecatalogus	Het programma vooruit: geplande sessies, doelgroep, doelen, frequentie, vorm, aanbieder, effectiviteitsmeting	Het programmadocument naast de individuele bewijzen
4. Jurisdictiereferentie	EU-basis plus Nederland, Duitsland, Letland, België, Noorwegen en het VK: instrument, regel, kwantificering, stand	Het 'regelmatig' per land, op één blad

Achterstallige leden kleuren automatisch rood, dropdowns houden de waarden consistent, en ingevulde voorbeeldregels tonen een compleet bewijsdossier voor een fictief bestuur. De machineleesbare Markdown-variant bevat de volledige velddefinities, enums en agent-werkregels — dekking-, onboarding-, bewijs- en doelvolledigheidscontroles — zodat een AI-agent het register kan bijhouden en een auditextract kan produceren uit alleen het bestand.

Zo gebruikt u het sjabloon

1. Breng eerst het bestuur in kaart. Eén regel per lid, inclusief commissarissen waar uw nationale omzetting die meetelt — en documenteer de onderbouwing in beide gevallen. Vertrek zet de status op 'Vertrokken'; niemand verdwijnt uit het register, want historische goedkeuringen worden getoetst aan de historische samenstelling.
2. Registreer sessies per lid, niet per evenement. Eén governancesessie met vijf bestuurders is vijf regels, elk met een eigen bewijsreferentie. Noteer de uren — toezichthouders verwachten de duur per record, niet per programma.
3. Koppel de inhoud aan de drie doelen van artikel 20(2). Risico's herkennen, risicobeheerpraktijken beoordelen, impact op de diensten. Over de geldige sessies van een lid moet het totaal alle drie dekken — een tabletop alleen is aanvulling, geen vervulling.
4. Leid het herhalingsinterval af uit het recht, niet uit voorkeur. 36 maanden als Duits richtsnoer, 12 maanden waar strengere regels gelden — en documenteer waar uw land het openlaat. De vervaldatum berekent zich uit het interval en kleurt rood zodra die verstrijkt.
5. Sluit de cirkel in de notulen. De training bestaat zodat het bestuur de artikel 21-maatregelen deskundig kan goedkeuren — de goedkeuringsnotulen moeten aanwezigen en maatregelversie noemen. Combineer dit register met onze artikel 21-checklist voor de maatregelenkant.

Juridische basis

• Richtlijn (EU) 2022/2555 (NIS2), artikel 20, lid 1 — de bestuursorganen van essentiële en belangrijke entiteiten moeten de risicobeheersmaatregelen van artikel 21 goedkeuren, op de uitvoering toezien en kunnen aansprakelijk worden gesteld voor inbreuken door de entiteit.
• Artikel 20, lid 2 — leden van de bestuursorganen zijn verplicht een opleiding te volgen, en entiteiten worden aangemoedigd hun medewerkers regelmatig vergelijkbare training aan te bieden, om voldoende kennis en vaardigheden op te doen om risico's te herkennen en risicobeheerpraktijken en hun impact op de diensten te beoordelen.
• Artikel 21, lid 2, onder g — basale cyberhygiëne en cybersecuritytraining als verplichte risicobeheersmaatregel: de aparte personeelsplicht die dit register bewust niet volgt.
• Cyberbeveiligingswet (NL) — aangenomen 7 juli 2026, in werking 15 augustus 2026: bestuursgoedkeuring, toezicht en training, met persoonlijke aansprakelijkheid van bestuurders; tot die datum geldt het NIS1-kader.

VK en Noorwegen/EER

VK: de Cyber Security and Resilience Bill — in juli 2026 bij het House of Lords, Royal Assent eind 2026 verwacht — verscherpt het toezicht op cybergovernance op bestuursniveau, maar bevat geen wettelijke trainingsplicht naar het model van artikel 20; de verwachtingen lopen via de vrijwillige Cyber Governance Code of Practice. Wie in of naar de EU opereert, kan beter tegen NIS2 bewijzen. Noorwegen: de digitale-beveiligingswet (digitalsikkerhetsloven, in werking sinds 1 oktober 2025) maakt het bestuur verantwoordelijk voor het beveiligingsniveau en verlangt goedkeuring van het beveiligingsmanagementsysteem met jaarlijkse beoordeling; bestuurstraining wordt verwacht in lijn met NIS2, onder toezicht van de Nasjonal sikkerhetsmyndighet (NSM) — ook al is NIS2 zelf nog niet in het EER-akkoord opgenomen.

Van trainingsregister naar koperzichtbaar bewijs

Hetzelfde governancebewijs dat een toezichthouder toetst, vragen enterprise-kopers steeds vaker op in beveiligingsvragenlijsten — 'krijgt het senior management cybersecuritytraining?' is een standaardregel. Orbiq publiceert governancebewijs — trainingsattesten, beleidsgoedkeuringen, managementreview-cadans — in een beheerd Trust Center, zodat het dossier dat u voor de NIS2-audit bijhoudt ook de klant beantwoordt. Voor de bredere bewijsstapel: onze gidsen over NIS2-compliance en intern versus extern bewijs.

Bronnen & referenties

1. Richtlijn (EU) 2022/2555 (NIS2) — volledige tekst — artikelen 20(1), 20(2), 21(2)(g).
2. NL Digital Government — NIS2 Directive / Cyberbeveiligingswet (Cbw) — status en inwerkingtreding van de Nederlandse omzetting.
3. Bird & Bird — Dutch Cybersecurity Act (Cyberbeveiligingswet) adopted — aanname 7 juli 2026, bestuursplichten en aansprakelijkheid.
4. Taylor Wessing — Germany's implementation of NIS2 — § 38 BSIG: plichten en persoonlijke aansprakelijkheid; in werking sinds 6 december 2025.
5. Heise — NIS2: Mandatory cyber security training for management boards — het richtsnoer 'elke 3 jaar / ~4 uur' uit de Duitse toelichting.
6. Centre for Cybersecurity Belgium — NIS2-brochure — Belgische verwachtingen rond bestuurstraining.
7. Wikborg Rein — Five things you need to know about the Digital Security Act — bestuursplichten in Noorwegen.
8. UK Parliament — Cyber Security and Resilience Bill — stand van het wetsvoorstel; geen NIS2-achtige trainingsplicht.

Verder lezen

• NIS2-compliance: vereisten, deadlines en implementatie
• NIS2-auditgereedheid: continue bewijsvoering
• NIS2: intern bewijs versus extern bewijs
• Gratis sjabloon: NIS2 leverancier-bewijsaanvraag-checklist — de toeleveringsketen-tegenhanger van art. 21(2)(d)
• Gratis sjabloon: NIS2 incidentrapportage-sjablonenpakket — de meldformulieren van artikel 23