Every board asks it sooner or later: what should we spend, who should the security lead report to, and how do we know it is working? There is no single right number. There are five questions that turn "are we secure?" into something a board can govern: the budget, the reporting line, the numbers you see each quarter, who checks them, and what the law asks of the board itself. Elk bestuur stelt de vraag vroeg of laat: wat moeten we uitgeven, aan wie rapporteert de beveiligingsverantwoordelijke, en hoe weten we dat het werkt? Er is geen enkel juist getal. Er zijn vijf vragen die van "zijn we veilig?" iets maken dat een bestuur kan besturen: het budget, de rapportagelijn, de getallen die u elk kwartaal ziet, wie die controleert, en wat de wet van het bestuur zelf vraagt.
The best public benchmark in the EU comes from ENISA. In its NIS Investments 2025 report, the median organisation spent about 9% of its IT budget on security in 2024, roughly the same as the year before. The survey covered 1,080 organisations in sectors under NIS2, mostly large ones. That tells you what comparable organisations spend. It does not tell you what you need. We know of no primary source for security spend as a share of revenue, so we give no figure for it.
Business impact: a budget set by benchmark buys the average, whatever your risk is. A budget set by risk starts from the other end: which services must not stop, how much loss the board will accept, and what it costs to stay within that. The UK government's Cyber Governance Code of Practice (April 2025) asks boards for exactly this: resources that follow the agreed risk appetite. DORA goes further for the financial sector and makes the budget the management body's job: it allocates the budget and reviews it periodically (Art. 5(2)(g)).
Het beste openbare ijkpunt in de EU komt van ENISA. In het rapport NIS Investments 2025 besteedde de mediane organisatie in 2024 ongeveer 9% van haar IT-budget aan beveiliging, ongeveer evenveel als het jaar ervoor. Het onderzoek omvatte 1.080 organisaties in sectoren onder NIS2, vooral grote. Dat vertelt u wat vergelijkbare organisaties uitgeven. Het vertelt u niet wat u nodig hebt. Wij kennen geen primaire bron voor beveiligingsuitgaven als aandeel van de omzet, dus daarvoor geven wij geen getal.
Bedrijfsimpact: een budget op basis van een ijkpunt koopt het gemiddelde, wat uw risico ook is. Een budget op basis van risico begint aan de andere kant: welke diensten mogen niet stilvallen, hoeveel verlies aanvaardt het bestuur, en wat kost het om daarbinnen te blijven. De Cyber Governance Code of Practice van de Britse overheid (april 2025) vraagt besturen precies dit: middelen die de afgesproken risicobereidheid volgen. DORA gaat voor de financiële sector verder en maakt het budget de taak van het leidinggevend orgaan: dat wijst het budget toe en evalueert het periodiek (art. 5 lid 2 onder g).
Attackers' costs fall with AI while defenders' budgets are set once a year. Last year's number assumes last year's attacker.De kosten van aanvallers dalen met AI, terwijl het budget van verdedigers eens per jaar wordt vastgesteld. Het getal van vorig jaar gaat uit van de aanvaller van vorig jaar.
New AI tools arrive with their own risks and rarely with their own security budget. The bill lands later, after an incident.Nieuwe AI-tools komen met eigen risico's en zelden met een eigen beveiligingsbudget. De rekening komt later, na een incident.
AI-assisted monitoring and triage let a small team cover more. Worth asking which tasks it took over, rather than assuming the budget can shrink.Met AI ondersteunde monitoring en triage laten een klein team meer afdekken. Vraag welke taken het overnam, in plaats van aan te nemen dat het budget kan krimpen.
No law tells you where the CISO should sit. The question is who can overrule them, and who hears about it when they do. In many organisations the CISO reports to the CIO, who also owns the project deadlines that security can delay. That works while the two agree. When they disagree, the board may never hear about it. DORA names the principle for the financial sector: the function that manages and oversees ICT risk needs an appropriate level of independence to avoid conflicts of interest (Art. 6(4)).
Business impact: the reporting line decides which risks reach the board. We suggest a CISO who can bring an issue to the board, or its audit or risk committee, directly and without asking permission first. Whether the day-to-day line runs to the CEO, the COO or the risk function is your call. The UK Cyber Governance Code suggests a regular two-way dialogue between the board and the CISO, whatever the chart says.
Geen wet zegt waar de CISO hoort. De vraag is wie de CISO kan overrulen, en wie dat hoort als het gebeurt. In veel organisaties rapporteert de CISO aan de CIO, die ook de projectdeadlines bezit die beveiliging kan vertragen. Dat werkt zolang beiden het eens zijn. Zijn ze het oneens, dan hoort het bestuur er misschien nooit van. DORA benoemt het principe voor de financiële sector: de functie die ICT-risico beheert en bewaakt, heeft een passend niveau van onafhankelijkheid nodig om belangenconflicten te voorkomen (art. 6 lid 4).
Bedrijfsimpact: de rapportagelijn bepaalt welke risico's het bestuur bereiken. Wij stellen een CISO voor die een kwestie rechtstreeks bij het bestuur, of de audit- of risicocommissie, kan neerleggen zonder eerst toestemming te vragen. Of de dagelijkse lijn naar de CEO, de COO of de risicofunctie loopt, is uw keuze. De Britse Cyber Governance Code stelt een regelmatige dialoog in twee richtingen voor tussen het bestuur en de CISO, wat het organogram ook zegt.
AI projects are often run from the business, outside IT. A CISO who only sees IT's pipeline misses them until they are live.AI-projecten lopen vaak vanuit de business, buiten IT om. Een CISO die alleen de pijplijn van IT ziet, mist ze tot ze live staan.
The pressure to ship AI features fast is exactly the pressure that keeps a CISO who reports to delivery quiet.De druk om AI-functies snel uit te brengen, is precies de druk waardoor een CISO die aan de oplevering rapporteert, zwijgt.
Tools that summarise risk data give the board and the CISO the same picture. The independence still comes from the reporting line, not the tool.Tools die risicogegevens samenvatten, geven bestuur en CISO hetzelfde beeld. De onafhankelijkheid komt nog steeds uit de rapportagelijn, niet uit de tool.
A dashboard full of blocked attacks and training completions tells a board that the team is busy, not that the organisation is safe. We suggest five numbers that move when real risk moves. The share of critical vulnerabilities fixed within the agreed deadline. The share of admin and remote-access accounts with phishing-resistant MFA. The date of the last successful restore test of a critical system. The time from an alert to someone acting on it, outside office hours. And the number of findings and accepted risks past their deadline.
Business impact: a number without a tolerance is trivia. Agree in advance what green, amber and red mean for each, and ask for the same five every quarter so the trend is visible. The UK Cyber Governance Code suggests formal reporting at least quarterly, with metrics and agreed tolerances. DORA asks financial entities to set security objectives with key performance indicators and key risk metrics (Art. 6(8)(c)). Which five you choose is your call; these are ours.
Een dashboard vol tegengehouden aanvallen en afgeronde trainingen vertelt een bestuur dat het team druk is, niet dat de organisatie veilig is. Wij stellen vijf getallen voor die bewegen als het echte risico beweegt. Het aandeel kritieke kwetsbaarheden dat binnen de afgesproken termijn is gedicht. Het aandeel beheer- en externe-toegangsaccounts met phishingbestendige MFA. De datum van de laatste geslaagde hersteltest van een kritiek systeem. De tijd van een alarm tot iemand erop handelt, buiten kantoortijd. En het aantal bevindingen en aanvaarde risico's dat over de termijn is.
Bedrijfsimpact: een getal zonder tolerantie is een weetje. Spreek vooraf af wat groen, oranje en rood voor elk betekent, en vraag elk kwartaal dezelfde vijf, zodat de trend zichtbaar wordt. De Britse Cyber Governance Code stelt formele rapportage voor van minstens eens per kwartaal, met indicatoren en afgesproken toleranties. DORA vraagt financiële entiteiten beveiligingsdoelen vast te leggen met kritieke prestatie-indicatoren en kernrisico-indicatoren (art. 6 lid 8 onder c). Welke vijf u kiest, is uw keuze; dit zijn de onze.
AI help shortens the time from a published flaw to a working attack. A patch deadline that was fine last year may be too slow now.AI-hulp verkort de tijd van een gepubliceerd lek tot een werkende aanval. Een patchtermijn die vorig jaar goed was, kan nu te traag zijn.
AI makes a polished dashboard cheap. Ask where each number comes from and who can change it, before trusting the colour.AI maakt een gepolijst dashboard goedkoop. Vraag waar elk getal vandaan komt en wie het kan wijzigen, voordat u op de kleur vertrouwt.
Numbers pulled straight from the systems, not typed into slides, are harder to dress up. AI can help collect them; a person still owns each one.Getallen die rechtstreeks uit de systemen komen, niet in dia's getypt, zijn lastiger op te poetsen. AI kan helpen ze te verzamelen; elk getal heeft nog steeds een eigenaar.
The five numbers come from the people they measure. Now and then the board needs someone else to check them. Internal audit is the first option: DORA requires it for financial entities, by auditors with enough ICT knowledge and appropriate independence (Art. 6(6)). An external review is worth considering when the inside view is weakest: a new CISO, after a serious incident, before a merger or a large cloud move, before a supervisor's visit, and when the dashboard has been green for a year. Under NIS2, the supervisor can order an independent security audit of an essential entity, at that entity's cost (Art. 32(2)).
Business impact: an outside view costs far less when you ask for it than when it arrives after an incident. Worth agreeing who commissions it: the board or its audit committee, not the team being reviewed, so the findings reach you unfiltered.
De vijf getallen komen van de mensen die ze meten. Af en toe heeft het bestuur iemand anders nodig om ze te controleren. Interne audit is de eerste optie: DORA vereist die voor financiële entiteiten, door auditors met voldoende ICT-kennis en de nodige onafhankelijkheid (art. 6 lid 6). Een externe toetsing is het overwegen waard als het zicht van binnen het zwakst is: een nieuwe CISO, na een ernstig incident, vóór een fusie of een grote overstap naar de cloud, vóór een bezoek van de toezichthouder, en als het dashboard al een jaar groen is. Onder NIS2 kan de toezichthouder een onafhankelijke beveiligingsaudit van een essentiële entiteit opleggen, op kosten van die entiteit (art. 32 lid 2).
Bedrijfsimpact: een blik van buiten kost veel minder als u erom vraagt dan als die na een incident komt. Het loont om af te spreken wie de opdracht geeft: het bestuur of de auditcommissie, niet het team dat wordt getoetst, zodat de bevindingen ongefilterd bij u komen.
Attackers test you continuously with AI help. Next to that, a review every few years is a long gap.Aanvallers testen u doorlopend met AI-hulp. Daarnaast is een toetsing om de paar jaar een lang gat.
AI writes convincing policies and evidence files fast. A review that only reads documents can pass an organisation that only writes them.AI schrijft snel overtuigend beleid en bewijsdossiers. Een toetsing die alleen documenten leest, kan een organisatie goedkeuren die alleen documenten schrijft.
Ask reviewers to check settings and run tests, not only read policies. AI tooling makes that cheaper for them too.Vraag toetsers instellingen te controleren en tests te draaien, niet alleen beleid te lezen. AI-gereedschap maakt dat ook voor hen goedkoper.
NIS2 names the board: management bodies approve the security measures, oversee their implementation, can be held liable, and are required to follow training (Art. 20). In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. NCSC-NL puts it simply: security is a responsibility of the board, and directors need enough knowledge to judge risks and measures. DORA asks the same of financial entities and adds the budget and the audit plans: the management body bears the ultimate responsibility for ICT risk, and its members keep their knowledge up to date, including through regular training (Art. 5).
Business impact: neither law says how often the board trains, only that it does, and regularly under DORA. We suggest keeping a record of what each member followed and when, and approving the measures as a minuted decision, not a slide that was shown.
NIS2 noemt het bestuur: bestuursorganen keuren de beveiligingsmaatregelen goed en zien toe op de uitvoering, kunnen aansprakelijk worden gesteld en zijn verplicht een opleiding te volgen (art. 20). In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. Het NCSC zegt het eenvoudig: cyberbeveiliging is een verantwoordelijkheid van het bestuur, en bestuurders hebben voldoende kennis nodig om risico's en maatregelen te beoordelen. DORA vraagt hetzelfde van financiële entiteiten en voegt het budget en de auditplannen toe: het leidinggevend orgaan draagt de eindverantwoordelijkheid voor ICT-risico, en zijn leden houden hun kennis op peil, onder meer met regelmatige opleidingen (art. 5).
Bedrijfsimpact: geen van beide wetten zegt hoe vaak het bestuur een opleiding volgt, alleen dat het gebeurt, en onder DORA regelmatig. Wij stellen voor vast te leggen wat elk lid volgde en wanneer, en de maatregelen goed te keuren als genotuleerd besluit, niet als een dia die werd getoond.
Training written two years ago says little about deepfakes or AI agents. A board that trained once may judge today's risks with yesterday's picture.Een opleiding van twee jaar geleden zegt weinig over deepfakes of AI-agents. Een bestuur dat één keer trainde, beoordeelt de risico's van vandaag misschien met het beeld van gisteren.
An AI summary of the board pack is not the same as reading it. The approval still carries each member's name.Een AI-samenvatting van de vergaderstukken is niet hetzelfde als ze lezen. De goedkeuring draagt nog steeds de naam van elk lid.
Short, regular sessions on current threats, AI included, keep the knowledge in step. A yearly slide deck rarely does.Korte, regelmatige sessies over actuele dreigingen, AI inbegrepen, houden de kennis bij. Een jaarlijkse presentatie doet dat zelden.
| Control | Addresses | In one line |
|---|---|---|
| A written risk appetite | Budget (01) | Which services must not stop, and how much loss the board accepts. The budget is then the cost of staying within it. |
| Budget reviewed against risk | Budget (01) | Once a year, and after a serious incident or a big change. The ENISA median is a sanity check, not the answer. |
| CISO with a direct line | Reporting line (02) | The CISO can bring an issue to the board or its audit or risk committee without asking permission, and meets it without management present at least once a year. |
| Five numbers with tolerances | Five numbers (03) | The same five outcome numbers every quarter, with green, amber and red agreed in advance. Each number has a named owner. |
| Outside view at set moments | Review (04) | New CISO, serious incident, merger or big migration, supervisor's visit, a year of green. Commissioned by the board, not the team. |
| Minuted approval | The law (05) | The board approves the security measures as a recorded decision and sees the follow-up. |
| Training record | The law (05) | What each member followed and when. Short, regular sessions on current threats rather than one course. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Een vastgelegde risicobereidheid | Budget (01) | Welke diensten mogen niet stilvallen, en hoeveel verlies aanvaardt het bestuur. Het budget is dan de prijs om daarbinnen te blijven. |
| Budget getoetst aan risico | Budget (01) | Eens per jaar, en na een ernstig incident of een grote verandering. De ENISA-mediaan is een controle op redelijkheid, niet het antwoord. |
| CISO met een directe lijn | Rapportagelijn (02) | De CISO kan een kwestie bij het bestuur of de audit- of risicocommissie neerleggen zonder toestemming te vragen, en spreekt die minstens eens per jaar zonder het management erbij. |
| Vijf getallen met toleranties | Vijf getallen (03) | Elk kwartaal dezelfde vijf uitkomstgetallen, met groen, oranje en rood vooraf afgesproken. Elk getal heeft een eigenaar met naam. |
| Blik van buiten op vaste momenten | Toetsing (04) | Nieuwe CISO, ernstig incident, fusie of grote migratie, bezoek van de toezichthouder, een jaar groen. In opdracht van het bestuur, niet van het team. |
| Genotuleerde goedkeuring | De wet (05) | Het bestuur keurt de beveiligingsmaatregelen goed als vastgelegd besluit en ziet de opvolging. |
| Opleidingsregister | De wet (05) | Wat elk lid volgde en wanneer. Korte, regelmatige sessies over actuele dreigingen in plaats van één cursus. |
Without a written risk appetite and agreed tolerances, a board cannot tell enough from too little. That is the starting position until someone sets them.Zonder vastgelegde risicobereidheid en afgesproken toleranties kan een bestuur genoeg niet van te weinig onderscheiden. Dat is de uitgangssituatie tot iemand ze vaststelt.
Money goes to the wrong things, bad news stops below the board, and after an incident the board cannot show it approved or oversaw anything. Under the Cyberbeveiligingswet that can become personal.Geld gaat naar de verkeerde dingen, slecht nieuws stopt onder het bestuur, en na een incident kan het bestuur niet laten zien dat het iets goedkeurde of bewaakte. Onder de Cyberbeveiligingswet kan dat persoonlijk worden.
Governance does not stop attacks. With an appetite, a direct line, five numbers and an outside view, the board knows where it stands and can show it.Governance houdt geen aanvallen tegen. Met een risicobereidheid, een directe lijn, vijf getallen en een blik van buiten weet het bestuur waar het staat en kan het dat laten zien.
The CISO runs the programme and reports on it. Approving it, funding it and overseeing it stay with the board.De CISO voert het programma uit en rapporteert erover. Goedkeuren, financieren en toezien blijven bij het bestuur.
Quarters in a row the dashboard arrived on time · tolerances breached and not discussed · months since the last outside view · board members with a current training record.Kwartalen op rij dat het dashboard op tijd kwam · overschreden toleranties die niet zijn besproken · maanden sinds de laatste blik van buiten · bestuursleden met een actueel opleidingsregister.
“Security spending, reporting and oversight are not tied to an agreed risk appetite, so that the board cannot judge whether security is sufficient, which can lead to an avoidable incident and to a board that cannot show it met its legal duties.”“Beveiligingsuitgaven, rapportage en toezicht zijn niet gekoppeld aan een afgesproken risicobereidheid, zodat het bestuur niet kan beoordelen of de beveiliging volstaat, wat kan leiden tot een vermijdbaar incident en tot een bestuur dat niet kan aantonen dat het zijn wettelijke plichten nakwam.”
| Framework | What it asks of the board | What to ask a supplier | When an incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires management bodies to approve the security measures, oversee them and follow training, and makes them liable (Art. 20). The measures include policies to assess their effectiveness (Art. 21(2)(f)). Supervisors can order an independent audit of essential entities (Art. 32(2)). The Cyberbeveiligingswet has been in force since 15 August 2026. | Ask who in their organisation approves security, and how often their board sees it. A supplier that cannot answer has no owner for your risk. | An incident can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | The management body defines, approves and oversees the ICT risk framework and bears the ultimate responsibility (Art. 5(2)). It allocates the budget and approves the ICT audit plans (Art. 5(2)(f)–(g)), and its members train regularly (Art. 5(4)). ICT risk sits with an independent control function, and internal audit checks the framework (Art. 6(4) and 6(6)). DORA has applied since 17 January 2025. | The management body sets up reporting channels so it hears about ICT supplier arrangements and planned material changes (Art. 5(2)(i)). Ask suppliers behind critical functions for what you need to feed them. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC1.2 asks the board to be independent of management and to oversee internal control. CC1.3 covers structures, reporting lines and responsibilities. | Read the description of the control environment: who leads security, who they report to, and how the board oversees it. | An incident caused by a control failure will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Security governance appears only where it supports the controls in scope. | The report rarely shows how the supplier's board oversees security. Ask for it in the contract, together with their security reporting. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van het bestuur vraagt | Wat u een leverancier vraagt | Als een incident u treft |
|---|---|---|---|
| NIS2 | NIS2 verplicht bestuursorganen de beveiligingsmaatregelen goed te keuren, erop toe te zien en een opleiding te volgen, en maakt hen aansprakelijk (art. 20). Bij de maatregelen hoort beleid om de doeltreffendheid ervan te beoordelen (art. 21 lid 2 onder f). De toezichthouder kan een onafhankelijke audit van essentiële entiteiten opleggen (art. 32 lid 2). De Cyberbeveiligingswet is van kracht sinds 15 augustus 2026. | Vraag wie in hun organisatie de beveiliging goedkeurt, en hoe vaak hun bestuur die ziet. Een leverancier die dat niet weet, heeft geen eigenaar voor uw risico. | Een incident kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | Het leidinggevend orgaan bepaalt het kader voor ICT-risicobeheer, keurt het goed, houdt toezicht op de uitvoering en is ervoor verantwoordelijk; het draagt de eindverantwoordelijkheid voor ICT-risico (art. 5 lid 2). Het wijst het budget toe en keurt de ICT-auditplannen goed (art. 5 lid 2 onder f en g), en zijn leden volgen regelmatig opleidingen (art. 5 lid 4). ICT-risico ligt bij een onafhankelijke controlefunctie, en interne audit controleert het kader (art. 6 lid 4 en lid 6). DORA geldt sinds 17 januari 2025. | Het leidinggevend orgaan richt rapportagekanalen in, zodat het hoort over afspraken met ICT-leveranciers en geplande wezenlijke wijzigingen (art. 5 lid 2 onder i). Vraag leveranciers achter kritieke functies om wat u nodig hebt om die te voeden. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC1.2 vraagt een bestuur dat onafhankelijk is van het management en toeziet op de interne beheersing. CC1.3 gaat over structuren, rapportagelijnen en verantwoordelijkheden. | Lees de beschrijving van de beheersomgeving: wie de beveiliging leidt, aan wie die rapporteert, en hoe het bestuur toezicht houdt. | Een incident door een falende beheersmaatregel komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Beveiligingsgovernance komt alleen voor waar die de beheersmaatregelen in scope ondersteunt. | Het rapport laat zelden zien hoe het bestuur van de leverancier toezicht houdt op beveiliging. Vraag daar in het contract om, samen met hun beveiligingsrapportage. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: ENISA NIS Investments 2025 (Dec 2025), UK Cyber Governance Code of Practice (DSIT and NCSC UK, Apr 2025), NIS2 Art. 20, 21, 23 and 32, DORA Art. 5, 6 and 19, NCSC-NL on the Cyberbeveiligingswet (Aug 2026), AICPA Trust Services Criteria CC1.2 and CC1.3 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: ENISA NIS Investments 2025 (dec 2025), Britse Cyber Governance Code of Practice (DSIT en NCSC UK, apr 2025), NIS2 art. 20, 21, 23 en 32, DORA art. 5, 6 en 19, NCSC over de Cyberbeveiligingswet (aug 2026), AICPA Trust Services Criteria CC1.2 en CC1.3 (2017, aandachtspunten 2022) · oktober 2026.