Security awareness training in de softwareontwikkeling is geen apart hoofdstuk in de wet, maar volgt uit de zorgplicht: de verplichting om passende technische en organisatorische maatregelen te nemen tegen risico's voor netwerk- en informatiesystemen. Bewustwording van medewerkers is één van de maatregelen die daaronder vallen, omdat een groot deel van de incidenten begint met een menselijke fout: een phishingmail die wordt geopend, een wachtwoord dat wordt gedeeld, een verkeerd geconfigureerde toegang die niemand opmerkt.
Daarnaast staat er in de richtlijn een tweede, aparte verplichting die niet over medewerkers gaat maar over de bestuurder zelf: die moet zelf ook trainen, en moet toezien op de opzet van cyberbeveiliging binnen de organisatie. Dat is een andere plicht dan de trainingsverplichting voor het personeel, met een ander doel en een andere eigenaar. Voor een softwarebedrijf dat onder de zorgplicht valt, of dat via een klant met NIS2-eisen te maken krijgt, is het onderscheid tussen deze twee lagen precies waar veel verwarring ontstaat.
Wat de zorgplicht vraagt van de organisatie
De zorgplicht beschrijft geen vast trainingsprogramma met een minimum aantal uren of een verplichte leverancier. Wat de richtlijn wel vraagt, is dat een organisatie aantoonbaar aandacht heeft voor beveiligingsbewustzijn als onderdeel van haar risicobeheer. In de praktijk betekent dat: medewerkers die met code, klantdata of productieomgevingen werken, moeten weten wat social engineering is, hoe ze een verdacht verzoek herkennen, en wat ze doen als ze twijfelen.
Bij een softwarebedrijf ligt de nadruk vaak op een paar specifieke risico's die niet bij elk MKB-bedrijf spelen: toegang tot broncode, geheimen in configuratiebestanden, en de verleiding om testomgevingen losser te beveiligen dan productie. Een awarenessprogramma dat alleen waarschuwt voor phishingmails, maar niets zegt over het delen van een API-key in een chatbericht, mist precies het risico dat in de ontwikkelstraat het vaakst misgaat. Wie dit systematisch wil vastleggen, vindt in het overzicht van onderwerpen per sector hoe andere maatregelen uit de zorgplicht hierop aansluiten, zoals toegangsbeheer en incidentregistratie.
De aparte plicht voor de bestuurder
Naast de trainingsverplichting voor het personeel legt de richtlijn een eigen verantwoordelijkheid bij de bestuurder: die moet zelf voldoende kennis hebben om de genomen maatregelen te kunnen beoordelen, en moet de risico's kunnen inschatten die aan de organisatie verbonden zijn. Dit is geen aanvulling op de personeelstraining maar een zelfstandige verplichting, gericht op degene die eindverantwoordelijk is.
Dat onderscheid is relevant omdat het vaak wordt overgeslagen: een bedrijf regelt een e-learning voor alle medewerkers en denkt daarmee ook aan de bestuurdersplicht te hebben voldaan. Of de directeur van een softwarebedrijf gaat ervan uit dat de eigen technische achtergrond volstaat, zonder dat er iets is vastgelegd. Beide situaties laten een gat zien tussen wat feitelijk gebeurt en wat aantoonbaar is georganiseerd. Voor de precieze invulling van deze verplichting, en voor wat landspecifiek is vastgelegd in de nationale omzetting, is de officiële tekst van de richtlijn het aangewezen startpunt; wij houden in de kennisbank bij welke publicaties wij hebben gezien en wanneer.
Wat dat betekent voor een softwarebedrijf in de praktijk
Een softwarebedrijf dat zelf onder de zorgplicht valt, of dat een securityvragenlijst krijgt van een opdrachtgever die dat wel doet, krijgt meestal twee soorten vragen tegelijk: of er een awarenessprogramma is voor medewerkers, en of de directie zelf trainingsactiviteiten heeft gevolgd of georganiseerd. Wie alleen het eerste kan aantonen, laat op papier een verplichting onbeantwoord die de vragenlijst wel degelijk uitvraagt.
Om te bepalen of, en in welke rol, dit voor uw organisatie relevant is, helpt het om eerst de sector, de omvang en de plaats in de keten in kaart te brengen. Dat is precies waar de gratis NIS2-check mee begint: in een paar vragen wordt duidelijk of een organisatie zelf plichtig is, alleen via een klant wordt geraakt, of geen van beide.
Vastleggen: bewijsstuk en eigenaar
Een trainingsverplichting die alleen in hoofden bestaat, is bij een controle of een vragenlijst niet aantoonbaar. Wat wel werkt, is per verplichting een status, een bewijsstuk en een eigenaar vastleggen: wanneer heeft welke groep medewerkers welke training gevolgd, en is er een apart moment geweest waarop de bestuurder zich heeft laten informeren over de genomen maatregelen en de risico's van de organisatie. Beide horen in een dossier, niet in twee losse mailtjes.
Veel voorkomende twijfels over wat precies onder de trainingsverplichting valt, en hoe die zich verhoudt tot andere maatregelen uit de zorgplicht, staan uitgewerkt in de veelgestelde vragen. Daar leest u ook hoe secria.eu bronnen bijhoudt en wanneer een pagina voor het laatst is gecontroleerd, terug te vinden via de uitleg over hoe de informatie wordt opgebouwd.
Wilt u eerst weten of dit onderwerp voor uw organisatie relevant is, of alleen via een klant naar u toe komt? Doe de gratis NIS2-check of blader door de onderwerpen; beide zijn zonder account te raadplegen en geven meteen een concrete vervolgstap.