Cyberbeveiligingswet

Reactie

Vraag1

Art. 26: governance, kennis bij de Raad van Bestuur.
1. De eis om van ALLE leden van de RvB hetzelfde kennisniveau te eisen lijkt me wat overdreven. Je kunt wel een minimumniveau eisen van alle leden en dan een (veel) hoger niveau bij de bestuurder die informatieveiligheid in zijn of haar portefeuille heeft.
Ja, informatieveiligheid en informatieveilig gedrag is van “iedereen”, maar het moet wel werkbaar blijven. Uiteraard geldt mijn opmerking alleen als een RvB bestaat uit 2 of meer leden.

2. Wat ik mis is het kennisniveau bij de Raad van Toezicht. Als we van bestuurders bepaalde kennis gaan eisen zal de directe werkgever daar toch ook over moeten beschikken. Anders is intern toezicht op dit gebied een wassen neus. Stel bij een RvT van bv. 5 personen voor 2 leden een bepaald kennisniveau verplicht.

3. En ook de lijn moet niet vergeten worden. Directeuren en managers zijn intern de eigenaar van verwerkingen binnen hun sector, aandachtsgebied, RVE e.d. Vaak wordt verantwoordelijkheid doorgeschoven naar de ICT-afdeling. Maar het is geen ICT-feestje. Een vereist kennisniveau bevordert het gevoel van eigenaarschap bij directeuren en managers.