waarom heb ik een deelnamebewijs nodig voor een cybersecuritytraining

Bewijs dat cyberhygiëne en scholing zijn geregeld

Een deelnamebewijs dient als bewijsstuk dat personeelstraining daadwerkelijk heeft plaatsgevonden, en dat is precies wat zowel de eigen administratie als een securityvragenlijst van een klant vraagt. Cyberbeveiliging draait niet alleen om techniek, maar ook om mensen die weten hoe ze phishing herkennen, wachtwoorden beheren en incidenten melden. Training is daarom een van de terugkerende onderdelen binnen de zorgplicht, en een deelnamebewijs is het tastbare resultaat waarmee die training aangetoond kan worden — niet alleen tegenover een toezichthouder, maar ook tegenover een opdrachtgever die om onderbouwing vraagt.

Voor plichtige organisaties hoort een deelnamebewijs bij het bewijsstuk dat aangeleverd moet worden per beveiligingsmaatregel: niet de maatregel zelf ("wij trainen personeel") maar het concrete bewijs dat het ook is gebeurd, met naam, datum en onderwerp. Voor keten-geraakte MKB-leveranciers die zelf niet onder de wet vallen, is het net zo relevant: wie een securityvragenlijst van een klant moet invullen krijgt vaak juist deze vraag voorgelegd, omdat een opdrachtgever moet kunnen aantonen dat ook de keten voldoende weerbaar is. Zonder een deelnamebewijs blijft "we trainen ons personeel" een bewering zonder onderbouwing, en dat is meestal niet voldoende.

Waar dit uit de zorgplicht volgt

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien verplichte maatregelen expliciet basale cyberhygiëne en cybersecuritytraining als onderdeel van de zorgplicht, wat in de Cyberbeveiligingswet als de Nederlandse omzetting wordt overgenomen. ISO/IEC 27001 werkt dit in Annex A verder uit als beheersmaatregel rond bewustzijn en training van medewerkers, waarbij aantoonbaarheid — dus een registratie van wie wanneer welke training heeft gevolgd — een terugkerend element is. Het NCSC benadrukt in zijn voorlichting over de zorgplicht dat maatregelen niet alleen genomen, maar ook aangetoond moeten kunnen worden.