Alles wat je moet weten over de Cyberbeveiligingswet

Het trainingsmateriaal is gebaseerd op de verplichtingen uit de Cyberbeveiligingswet en sluit specifiek aan bij de praktijk van onderwijs en onderzoek. Met het materiaal kunnen SURF-leden zelf een training organiseren of gebruikmaken van het aanbod van SURF.

Meer dan een vinkje

De training voor bestuurders is meer dan een eenmalig vinkje om aan de Cbw te voldoen. Het trainingsmateriaal behandelt de kennis en vaardigheden die bestuurders nodig hebben om hun verantwoordelijkheid voor cybersecurity goed in te vullen. De training richt zich op het tijdig herkennen van risico’s, het stellen van de juiste vragen en het weloverwogen nemen van beslissingen. Cybersecurity wordt daarmee een structureel onderwerp op de bestuurstafel.

4 modules, 6 uur training

Het trainingsmateriaal bestaat uit 4 modules:

• Uncertainty: begrijp de risico’s en verplichtingen

Deze module behandelt de belangrijkste begrippen op het gebied van cybersecurity en de verplichtingen vanuit de Cyberbeveiligingswet.

• Know Your Position: ken je verantwoordelijkheden

Deze module richt zich op de rol van bestuurders bij risicomanagement. Er is aandacht voor hoe verantwoordelijkheden binnen de organisatie zijn verdeeld, hoe cyberaanvallen verlopen en met welke risico's een instelling te maken krijgt. Daarbij komen o.a. het Three Lines Model, risicomanagement en de Cyber Kill Chain aan bod.

• Get in Control: houd grip op cybersecurity

Hierin leren bestuurders hoe zij kunnen sturen op passende beveiligingsmaatregelen en bedrijfscontinuïteit. Ook krijgen ze inzicht in hoe audits helpen om de effectiviteit van beveiligingsmaatregelen te beoordelen.

• When Murphy Strikes: voorbereid op een cybercrisis

Deze module gaat over incidentrespons en crisismanagement en de rol die bestuurders spelen als er daadwerkelijk sprake is van een incident of crisis.

Het doorlopen van de 4 modules duurt in totaal ongeveer 6 uur. Je kunt de volledige training in één keer aanbieden of de 4 modules over meerdere bijeenkomsten verdelen. Dat laatste biedt bestuurders de mogelijkheid om tussen de bijeenkomsten door concrete stappen te zetten en de opgedane kennis direct toe te passen.

De training is interactief en bestaat onder meer uit groepsdiscussies en het bespreken van praktijkcasussen. Deelnemers ontvangen vooraf een reader en voorbereidende opdrachten.

Zo zet je het trainingsmateriaal in 

SURF stelt het trainingsmateriaal beschikbaar aan alle aangesloten onderwijs- en onderzoeksinstellingen. Je kunt het materiaal op verschillende manieren inzetten, afhankelijk van de behoeften en mogelijkheden binnen je eigen instelling:  

1. Organiseer de training zelf  

Met het trainingsmateriaal kun je zelf binnen je instelling de training organiseren, bijvoorbeeld onder begeleiding van een CISO of een andere deskundige.

2. Maak gebruik van de centrale trainerspool

Wil je de training binnen je instelling organiseren, maar heb je daarvoor zelf onvoldoende capaciteit of expertise? Dan kun je een beroep doen op de centrale trainerspool van SURF. Een trainer uit deze pool komt dan naar jouw instelling om de training te begeleiden.

3. Vraag SURF om de training te organiseren  

Bij SURF kun je een training bij op locatie aanvragen. De voorwaarde hiervoor is dat bestuurders van meerdere instellingen aan deze training deelnemen. Het uitwisselen van kennis en ervaringen tussen bestuurders is namelijk een belangrijk onderdeel van de training.

4. Volg de training bij SURF  

SURF organiseert zelf ook trainingen waar bestuurders zich individueel voor kunnen inschrijven. Ook voor deze trainingen geldt dat er voldoende aanmeldingen van andere bestuurders moeten zijn om de training door te laten gaan.

Waarom kiezen voor trainingsmateriaal van SURF? 

Er zijn ook commerciële aanbieders van trainingen over de Cyberbeveiligingswet, maar het trainingsmateriaal van SURF biedt een aantal specifieke voordelen voor onderwijs- en onderzoeksinstellingen: 

• Ontwikkeld voor en door de sector

De training sluit aan bij de praktijk van onderwijs en onderzoek. De voorbeelden en casussen zijn herkenbaar en houden rekening met de manier waarop cybersecurity binnen de sector is georganiseerd.  

•  Gebaseerd op bestaande expertise

Bij de ontwikkeling van het trainingsmateriaal is gebruikgemaakt van de kennis en ervaring van experts bij onderwijs- en onderzoeksinstellingen.  

• Gezamenlijke kennisbasis

Door gezamenlijk trainingsmateriaal te gebruiken, ontwikkelen bestuurders binnen de sector een vergelijkbare kennisbasis. Het uitwisselen van ervaringen helpt bovendien om de cyberweerbaarheid van de hele sector te versterken.

• Actueel en betaalbaar

SURF onderhoudt het materiaal en werkt het bij op basis van nieuwe inzichten en ervaringen van deelnemende instellingen. Hierdoor hoeven instellingen niet allemaal afzonderlijk een eigen training te ontwikkelen of materiaal van commerciële aanbieders aan te schaffen. Alle leden van SURF kunnen de trainingen en het materiaal afnemen tegen kostprijs.

Wacht niet te lang

Het advies is om binnenkort al te starten met de trainingen, zodat je instelling op tijd is voorbereid op de zorgplicht die in 2030 van kracht wordt. Daarnaast is de kennis uit de training nu al waardevol bij het beoordelen van cyberrisico’s, het nemen van preventieve maatregelen en het omgaan met incidenten en crises. Door de modules periodiek te herhalen, bij voorkeur iedere 2 jaar, blijft cybersecurity bovendien structureel onder de aandacht van bestuurders.