Compliance zonder begrip is een vinkjesoefening

 

Hoe weet je als bestuurder zeker dat je aan alle eisen voldoet? Die vraag wordt steeds urgenter. Organisaties krijgen te maken met nieuwe Europese wetgeving op het gebied van cyberbeveiliging, digitale weerbaarheid en AI. De rode draad: bestuurders moeten niet alleen voldoen aan de regels, maar ook begrijpen wat deze betekenen voor hun organisatie. Toezichthouders verwachten steeds vaker dat bestuurders aantoonbaar betrokken zijn bij governance en risicobeheersing. In bepaalde situaties kunnen zij hiervoor persoonlijk verantwoordelijk worden gehouden.

Juist daarom groeit de behoefte aan een gestructureerde aanpak om risico's te beheersen en aantoonbaar grip te houden op informatiebeveiliging. Rob Jansen, Business Leader Zakelijke Dienstverlening & ICT bij DNV, verzorgt audits en trainingen bij middelgrote en grote organisaties en legt bestuurders de vraag voor of zij voldoen aan alle eisen. Afwachten is vaak de reflex. "Veel bestuurders weten wel dat wetgeving eraan komt, maar wachten vaak tot het zover is. Dan neemt de druk toe en gaan ze pas in beweging. Dat hebben we ook gezien bij de AVG."

Niet alle sectoren gelijk

Hoe serieus cybersecurity wordt genomen, verschilt sterk per sector. ICT-bedrijven, telecombedrijven, energiemaatschappijen en banken hebben informatiebeveiliging traditioneel goed verankerd. Productiebedrijven en organisaties in de voedselketen lopen achter. Precies die sectoren vallen nu onder de Cyberbeveiligingswet.

Bovendien geldt: hoe kleiner de organisatie, hoe groter de achterstand. MKB-bedrijven tot 250 medewerkers hebben zelden de capaciteit om een volwaardige Information Security-afdeling te runnen. Ze zijn afhankelijk van externe adviseurs, en ook dat is een risico.

Jansen wijst op een veelgemaakte fout. "Sommige bestuurders besluiten om alleen de interne ICT-afdeling te certificeren. Want het gaat toch over ICT? Dat is nou net de verkeerde manier van denken. Informatiebeveiliging gaat over de volledige breedte van de organisatie: fysieke beveiliging, personeel, processen. Niet alleen ICT."

De audit als sturingsinstrument

DNV werkt met een risicogebaseerde benadering van certificering. Een audit toetst niet alleen aan de norm, maar ook aan de risico's die de organisatie zelf als meest kritiek ziet. Die thema's worden als rode draad meegenomen door het auditproces, van bestuursniveau tot operationele uitvoering.

"We rapporteren niet alleen het totaalresultaat, maar geven ook per thema inzicht: wat gaat goed, waar zijn kansen voor verbetering, en waar voldoe je niet aan de norm," aldus Jansen. Zo wordt de uitkomst input voor jaarplannen en beleid, niet alleen bewijs van conformiteit.

ISO/IEC 27001 speelt daarin een concrete rol. Volledig ingevoerd dekt de norm een groot deel van de Cyberbeveiligingswet af. "Het is geen garantie dat je aan de wet voldoet, maar wel een effectief raamwerk om daarnaartoe te werken en jaarlijks te verbeteren."

Jansen geeft bestuurders twee boodschappen mee. Ten eerste: ontwikkel kennis en competenties intern, zodat je zelf beleidskeuzes kunt maken. Ten tweede: behandel certificering niet als eindpunt, maar als cyclisch verbeterinstrument. De regeldruk neemt niet af, verwacht Jansen, maar wordt wel specifieker.  Organisaties die vandaag investeren in kennis, governance en continue verbetering, zijn beter voorbereid op de volgende golf aan regelgeving. Niet omdat ze ieder vinkje kunnen zetten, maar omdat ze begrijpen waarom die vinkjes er zijn.

Bron: Legal Succes & Compliance FD.

16-10-2026 11:00:00