Wat is Governance?
Governance is het stelsel van kaders, rollen, verantwoordelijkheden en besluitvormingsprocessen waarmee het bestuur van een organisatie richting geeft aan, toezicht houdt op en verantwoording aflegt over haar informatievoorziening, technologie en processen. Governance bepaalt wie wat beslist, op basis waarvan en met welk mandaat. Het gaat dus niet over het dagelijks uitvoeren van werk, maar over de spelregels waarbinnen dat werk gebeurt. In een omgeving waar IT en OT samenkomen, is governance de plek waar wordt vastgelegd wie eigenaar is van een installatie, wie risico’s mag accepteren en wie het bestuur informeert.
Governance bepaalt wie beslist wat, op basis waarvan, en met welk mandaat, en vormt daarmee de ruggengraat van controle en samenhang in digitale en industriële omgevingen.
🧠 Waarom is governance belangrijk?
Zonder governance ontstaan losse beslissingen per afdeling, onduidelijk eigenaarschap en risico’s die niemand bewust heeft geaccepteerd. Goede governance levert vijf dingen op:
| Reden | Toelichting |
|---|---|
| Verantwoordelijkheid | Duidelijk eigenaarschap over systemen, data en processen |
| Risicobeheersing | Technische, juridische en ethische risico’s worden bewust afgewogen en geaccepteerd of behandeld |
| Samenhang in besluitvorming | Voorkomt versnipperde keuzes, dubbele investeringen en onnodige kosten |
| Toezicht en verantwoording | Basis voor Compliance, audits en transparantie richting toezichthouders |
| Richting en prioriteit | Bepaalt de strategische koers bij digitalisering, innovatie en standaardisatie |
Sinds NIS2 is governance bovendien geen vrijblijvende kwestie meer. Artikel 20 van de richtlijn verplicht het bestuur om de cybersecuritymaatregelen goed te keuren en op de uitvoering toe te zien, en bestuurders kunnen aansprakelijk worden gesteld als dat niet gebeurt.
🔄 Wat is het verschil tussen governance en management?
De meeste kaders maken een scherp onderscheid tussen governance (sturen en toezien) en management (plannen en uitvoeren). COBIT 2019 van ISACA legt dat vast in vijf domeinen met samen 40 doelstellingen: alleen het domein Evaluate, Direct and Monitor (EDM, vijf doelstellingen) is governance, de andere vier zijn management.
| Aspect | Governance | Management |
|---|---|---|
| Wie | Raad van bestuur, directie, toezichthoudend orgaan | Lijnmanagement, IT-manager, OT-manager, CISO |
| Kernvraag | Doen we de goede dingen? | Doen we de dingen goed? |
| Activiteiten | Evalueren, richting geven, monitoren | Plannen, bouwen, uitvoeren, meten |
| COBIT-domein | EDM | APO, BAI, DSS, MEA |
| Voorbeeld in OT | Besluiten dat elke installatie een eigenaar en een risicobeoordeling heeft | Een assetinventaris opbouwen en bijhouden |
De norm ISO/IEC 38500 gebruikt hetzelfde drieslag-model: het bestuur evalueert het huidige en toekomstige gebruik van IT, geeft richting via beleid en plannen, en monitort of de uitvoering daaraan voldoet. De editie uit 2024 vervangt die van 2015 en sluit aan op ISO 37000:2021, de algemene richtlijn voor governance van organisaties. Daardoor is het aantal principes gegroeid van zes naar elf en is governance van IT expliciet een onderdeel van de governance van de hele organisatie.
🧱 Op welke niveaus werkt governance?
Governance kan op verschillende niveaus worden toegepast:
| Niveau | Voorbeelden |
|---|---|
| Strategisch | Visie, beleid, risicobereidheid, architectuurkaders (NORA, BIO, enterprise governance) |
| Tactisch | Programma’s, portfoliobeheer, informatiebeleid, sourcing en leveranciersbeleid |
| Operationeel | Projectsturing, Lifecycle Management, patchbeheer, toegangsbeheer, wijzigingsbeheer |
Deze gelaagdheid sluit aan op COBIT van ISACA en op ISO/IEC 38500, een gezamenlijke norm van ISO en IEC. Een architectuurraamwerk als TOGAF voegt daar een eigen vorm van architectuurgovernance aan toe.
Veel organisaties ordenen het toezicht volgens het Three Lines Model van het Institute of Internal Auditors uit 2020, de opvolger van het eerdere three lines of defense. De eerste lijn (operatie, bijvoorbeeld de fabriek) is eigenaar van de risico’s. De tweede lijn (risicomanagement, compliance, security office) ondersteunt en houdt toezicht. De derde lijn (interne audit) geeft onafhankelijke zekerheid aan het bestuur, dat eindverantwoordelijk blijft.
🔄 Hoe hangen governance en architectuur samen?
Governance en Architectuur zijn nauw met elkaar verbonden:
- Architectuurprincipes vormen richtinggevende kaders voor besluitvorming
- Governance zorgt voor naleving, eigenaarschap en besluitvorming over afwijkingen
- Binnen NORA, GEMMA, WILMA en MARIJ is architectuurgovernance een standaardonderdeel
| Architectuurkader | Governancecomponent |
|---|---|
| NORA | Principes en modellen zijn via governance geborgd |
| PETRA | Provincies leggen eigenaarschap en besluitbevoegdheid vast |
| WILMA | Beschrijft rollen bij wijziging of adoptie van bouwstenen |
🏭 Waarom is governance in OT lastiger dan in IT?
In operationele technologie (OT) botsen twee werelden. IT valt traditioneel onder de CIO, terwijl installaties onder productie, techniek of onderhoud vallen. Leveranciers en systeemintegratoren beheren vaak delen op afstand. Installaties draaien twintig jaar of langer, en beschikbaarheid en veiligheid gaan voor vertrouwelijkheid. Daardoor blijven typische governancevragen onbeantwoord:
| Governancevraagstuk | Relevantie in OT |
|---|---|
| Wie is eigenaar van een PLC? | Bepaling van eigendom, beheer en documentatie |
| Wie beslist over firmware-updates? | Afweging van veiligheid, stabiliteit en onderhoudsvensters |
| Wie beheert netwerksegmentatie? | Rolverdeling tussen IT, OT en security |
| Wie accepteert restrisico bij legacy? | Risicoacceptatie als een systeem niet te patchen is |
| Wie voert audits uit? | Toezicht op IEC 62443, BIO of het eigen beveiligingsbeleid |
Zonder governance blijft OT vaak buiten beeld in het organisatiebeleid, met risico op onduidelijkheid, onderinvestering en kwetsbaarheid. IEC 62443-2-1 pakt dit aan: de tweede editie uit augustus 2024 beschrijft het securityprogramma van de asset owner in zogenoemde security program elements, met een volwassenheidsmodel. Voor legacy-systemen die niet alle eisen halen, vraagt de norm beleid en procedures met compenserende maatregelen. NIST SP 800-82 Rev. 3 raadt aan het OT-securityprogramma te laten dragen door een multidisciplinair team van IT, OT, procesveiligheid en management.
🔐 Welke rol speelt governance in beveiliging en wetgeving?
| Beveiligingsthema | Governancerol |
|---|---|
| Security by Design | Governance maakt het een eis in projecten en inkoop |
| Privacy by Design | Governance waarborgt dat privacy vanaf het ontwerp wordt meegenomen |
| Cybersecurity | Governance bepaalt beleid, toezicht en verantwoordelijkheid bij incidenten |
| Patchmanagement | Wie mag wat updaten, en onder welke voorwaarden? |
| Leveranciersbeveiliging | Wie stelt eisen aan leveranciers en controleert die? |
Wetgeving en normen leggen steeds meer governance-eisen vast:
- NIS2 en de Cyberbeveiligingswet - sinds 15 augustus 2026 keurt het bestuur de maatregelen goed, ziet toe op de uitvoering en volgt elk bestuurslid een training over cyberrisico’s. Bij essentiële entiteiten kan een bestuurder bij ernstige overtredingen tijdelijk worden geschorst.
- ISO 27001 - hoofdstuk 5 (Leiderschap) vraagt aantoonbare betrokkenheid van de directie en vastgelegde rollen en bevoegdheden binnen het ISMS.
- NIST CSF 2.0 - de versie van februari 2024 voegde de functie Govern toe, met zes categorieën: organisatiecontext, risicomanagementstrategie, rollen en bevoegdheden, beleid, toezicht en ketenrisico’s.
🔧 Hoe richt u IT/OT-governance in?
Een praktische aanpak voor een industriële organisatie in zeven stappen:
- Bepaal de reikwijdte - welke locaties, installaties en netwerken vallen onder het programma, en valt u onder de Cyberbeveiligingswet?
- Wijs eigenaren aan - elke installatie krijgt een eigenaar in de lijn, niet bij IT; leg dit vast in een RACI-matrix
- Stel een stuurgroep in - met productie, techniek, IT, security en procesveiligheid, onder voorzitterschap van een directielid
- Leg risicobereidheid vast - wat accepteert het bestuur, en wie mag restrisico tekenen? Koppel dit aan risicomanagement volgens bijvoorbeeld ISO 31000
- Schrijf beleid - één beveiligingsbeleid met een OT-paragraaf of een apart OT-beleid, afgeleid van IEC 62443
- Richt toezicht in - kwartaalrapportage aan het bestuur met een handvol indicatoren, zoals het percentage installaties met eigenaar, openstaande kritieke kwetsbaarheden en de status van segmentatie
- Toets en verbeter - jaarlijkse interne audit en een managementreview, en bij wijziging van wetgeving een nieuwe gap-analyse
Een veelgemaakte fout is governance gelijkstellen aan een beleidsdocument. Het document is pas waardevol als besluiten aantoonbaar volgens de afgesproken rollen worden genomen.
❓ Veelgestelde vragen
Wat is het verschil tussen governance en compliance?
Governance is het stelsel waarmee een organisatie zelf richting geeft, beslist en toezicht houdt. Compliance is het aantoonbaar voldoen aan wetten, normen en eigen beleid. Goede governance maakt compliance mogelijk, maar governance gaat ook over keuzes waar geen wet iets over zegt.
Wie is verantwoordelijk voor OT-governance?
Eindverantwoordelijk voor OT-governance is het bestuur van de organisatie, zeker onder NIS2 en de Cyberbeveiligingswet. De uitvoering ligt meestal bij een CISO of OT-securitymanager samen met de eigenaren van installaties in productie en techniek. IT, OT en procesveiligheid hebben elk een rol in de stuurgroep.
Welke normen gaan over IT-governance?
De belangrijkste normen voor IT-governance zijn ISO/IEC 38500 (editie 2024), die principes voor het bestuur geeft, en COBIT 2019 van ISACA, met 40 governance- en managementdoelstellingen. ISO 37000 beschrijft governance van organisaties in het algemeen. Voor OT-security vult IEC 62443-2-1 dit aan met eisen aan het securityprogramma van de asset owner.
Is governance verplicht onder NIS2?
Ja, NIS2 maakt governance van cybersecurity verplicht voor essentiële en belangrijke entiteiten. Artikel 20 vereist dat het bestuur de maatregelen goedkeurt, op de uitvoering toeziet en training volgt. In Nederland is dit sinds 15 augustus 2026 uitgewerkt in de Cyberbeveiligingswet.
Wat is het Three Lines Model?
Het Three Lines Model van het Institute of Internal Auditors (2020) verdeelt rollen in risicobeheersing over drie lijnen: de operatie als risico-eigenaar, ondersteunende functies als risicomanagement en compliance, en onafhankelijke interne audit. Het bestuur blijft eindverantwoordelijk voor governance. Het model verving het oudere three lines of defense.
Hoe meet u of governance werkt?
Of governance werkt, meet u met een beperkt aantal indicatoren die het bestuur periodiek ziet, zoals het aandeel installaties met een benoemde eigenaar, de doorlooptijd van risicoacceptaties en de bevindingen uit audits. De volwassenheidsniveaus uit IEC 62443-2-1 laten zien hoe de organisatie zich ontwikkelt, en de Tiers van het NIST CSF geven aan hoe streng risicogovernance en -beheer zijn ingericht.
📌 Samengevat
Governance is de bestuurlijke structuur achter techniek: het legt vast wie beslist, wie eigenaar is en wie toezicht houdt. Het zorgt voor grip, richting en verantwoording, zowel in IT als OT, en is sinds NIS2 en de Cyberbeveiligingswet ook een wettelijke bestuurstaak.
Kaders als ISO/IEC 38500, COBIT en NIST CSF geven de structuur, IEC 62443 vertaalt die naar industriële installaties en architectuurkaders als NORA borgen samenhang. Wie eigenaarschap, risicoacceptatie en rapportage helder regelt, legt de basis voor betrouwbare, veilige en toekomstbestendige informatievoorziening.