Phishing test uitvoeren: stappenplan, spelregels en valkuilen bij een eerste test

Een phishing test uitvoeren betekent dat je met een gecontroleerde, nagemaakte phishingmail meet hoeveel medewerkers klikken, gegevens invullen of de mail melden, zodat je weet waar je organisatie kwetsbaar is en welke training nodig is.

In de praktijk is de eerste phishing test vaak het meest waardevolle securityproject van het jaar, en tegelijk het project met de meeste voetangels. Niet technisch, maar organisatorisch: wie mag het weten, wat mag je meten en wat doe je met de resultaten? Hieronder deel ik het stappenplan dat wij bij klanten gebruiken, de spelregels rond privacy en medezeggenschap, en de valkuilen bij een eerste test.

Kort samengevat

• Doel is meten en leren, niet betrappen. Een phishing test is een nulmeting van gedrag, geen beoordelingsinstrument voor individuele medewerkers.
• Het stappenplan bestaat uit 7 stappen: doel bepalen, scope en scenario kiezen, spelregels vastleggen, techniek voorbereiden, uitvoeren, analyseren en direct opvolgen met training.
• Meet drie cijfers: klikpercentage, percentage dat gegevens invult en het meldingspercentage. Dat laatste is de belangrijkste graadmeter voor weerbaarheid.
• Regel de spelregels vooraf: rapporteer geanonimiseerd op groepsniveau, informeer de ondernemingsraad en leg de verwerking van persoonsgegevens vast.
• Eenmalig testen werkt niet. Weerbaarheid ontstaat door herhaling: korte, terugkerende trainingsmomenten en meerdere tests per jaar.

Wat is een phishing test en wat meet je precies?

Een phishing test is een gesimuleerde phishingaanval op je eigen medewerkers, uitgevoerd met toestemming van de organisatie. Je stuurt een nagemaakte e-mail (of sms, dan spreek je van smishing) met een link naar een veilige testpagina en registreert het gedrag dat volgt. Phishing blijft een van de meest gebruikte manieren waarop aanvallers binnenkomen, omdat het geen kwetsbaarheid in software misbruikt maar vertrouwen, tijdsdruk en autoriteit.

Een goede test levert vier meetwaarden op:

• Klikpercentage: hoeveel medewerkers openen de link.
• Invoerpercentage: hoeveel medewerkers vullen daadwerkelijk inloggegevens of gegevens in. Dit is het cijfer dat het echte risico laat zien.
• Meldingspercentage: hoeveel medewerkers melden de mail bij de servicedesk of het securityteam.
• Tijd tot eerste melding: hoe snel je organisatie zou kunnen ingrijpen bij een echte aanval.

Let op het verschil met een pentest: die legt technische kwetsbaarheden bloot in bijvoorbeeld webapplicaties, API’s of Active Directory. Beide horen in hetzelfde testprogramma, maar beantwoorden een andere vraag, zoals we uitleggen in ons artikel over het verschil tussen een audit en een pentest.

Hoe kun je een phishing test uitvoeren in 7 stappen?

Dit is het stappenplan dat wij aanhouden bij een eerste test:

1. Bepaal het doel en de eigenaar. Wil je een nulmeting, wil je een meldproces testen of wil je directie wakker schudden? Leg vast wie opdrachtgever is (meestal de CISO, security manager of IT-manager) en wie de resultaten mag zien.
2. Kies scope en scenario. Test je de hele organisatie of eerst een afdeling met verhoogd risico, zoals finance, HR of de servicedesk? Kies een scenario dat past bij de realiteit: een nepbericht over een factuur, een gedeeld document, een pakketbezorging of een vraag van de directie.
3. Leg de spelregels en de juridische basis vast. Beschrijf welke gegevens je verwerkt, hoe lang je ze bewaart, dat je op groepsniveau rapporteert en dat er geen consequenties zijn voor individuele medewerkers. Informeer de ondernemingsraad en leg dit vast in je awarenessbeleid.
4. Bereid de techniek voor. Zorg dat de testmails door de filters komen (whitelisting van het verzendplatform), stem af met de servicedesk zodat meldingen worden geregistreerd en niet als storing wegvallen, en test de landingspagina.
5. Voer de test uit in een gespreide golf. Verstuur niet alles in één minuut. Door in golven te versturen voorkom je dat één interne waarschuwing per e-mail de hele meting verstoort.
6. Analyseer op patronen, niet op personen. Kijk naar afdelingen, rollen, tijdstippen en scenario’s. Welke groep vult gegevens in? Waar loopt melden vast?
7. Volg direct op met leren. Laat medewerkers die klikken meteen een korte uitleg zien met de signalen die ze hadden kunnen herkennen, en koppel de resultaten binnen twee weken terug aan de hele organisatie.

Die laatste stap is waar de meeste waarde zit. Wij verbinden een test daarom altijd aan structurele security awareness-training, met korte terugkerende oefeningen via het platform Guardey. Denk aan de Duolingo-aanpak: enkele minuten per week in plaats van één lange sessie per jaar, waardoor gedrag daadwerkelijk verandert.

Welke spelregels gelden bij een phishing test?

Een phishing test verwerkt persoonsgegevens van medewerkers, dus je hebt een zorgvuldige basis nodig. Als jurist en securityadviseur houd ik vijf spelregels aan:

• Rapporteer geanonimiseerd of geaggregeerd. Resultaten gaan naar de directie op afdelings- en organisatieniveau, niet als namenlijst.
• Geen sancties. Wie klikt, krijgt uitleg. Zodra een test voelt als een afrekening, daalt het meldingspercentage en dat is precies wat je wilt verhogen.
• Betrek de medezeggenschap. Een regeling voor het verwerken van persoonsgegevens van medewerkers is een onderwerp waarover je de ondernemingsraad tijdig betrekt. Doe dat vooraf, niet na de eerste ophef.
• Vermijd scenario’s die schade doen. Geen valse berichten over ontslag, salariskortingen, reorganisaties of overlijden. De les blijft niet hangen, het wantrouwen wel.
• Kondig het programma aan, niet de test. Vertel dat de organisatie periodiek test. Het exacte moment en scenario blijven onaangekondigd, anders meet je niets.

Voor de inhoudelijke basisadviezen over phishing verwijs ik graag naar het Nationaal Cyber Security Centrum en naar de praktische informatie en campagnematerialen van het Digital Trust Center.

Wat zijn de grootste valkuilen bij een eerste phishing test?

• Een te makkelijk scenario. Een slecht Nederlands nepbericht levert een mooi laag klikpercentage op en een volledig onbruikbare nulmeting. Aanvallers gebruiken tegenwoordig vlekkeloze taal.
• Alleen op klikken meten. Zonder meldingspercentage weet je niet of je organisatie een aanval zou zién. Melden is de vaardigheid die incidenten klein houdt.
• De servicedesk niet informeren. Meldingen verdwijnen in de ruis of de test wordt halverwege afgebroken.
• Directie buiten de test laten. Juist bestuurders zijn doelwit van gerichte aanvallen.
• Resultaten niet terugkoppelen. Een test zonder opvolging is een meting zonder effect.
• Eenmalig testen. Plan meerdere momenten per jaar met wisselende scenario’s en kanalen.

Hoe past een phishing test in NIS2, ISO 27001 en NEN 7510?

Bewustwording is in alle relevante frameworks een expliciet onderwerp. In ISO 27001 is bewustwording, opleiding en training van medewerkers een eigen beheersmaatregel, en NEN 7510 stelt vergelijkbare eisen aan zorgorganisaties. In de NIS2-richtlijn horen basale cyberhygiëne en opleiding op het gebied van cyberbeveiliging tot de maatregelen die onder de zorgplicht vallen. De Nederlandse uitwerking daarvan, de Cyberbeveiligingswet, is op 15 augustus 2026 in werking getreden en raakt ruim achtduizend organisaties in essentiële en belangrijke sectoren. Wat dat concreet betekent, leggen we uit in ons overzicht van wat de Cyberbeveiligingswet vanaf 15 augustus 2026 betekent.

Geen van deze kaders schrijft letterlijk voor: voer vier phishing tests per jaar uit. Wel moet je kunnen aantonen dat medewerkers zijn getraind en dat je de effectiviteit van die training meet. Een phishing test met een rapportage per afdeling en een aantoonbare verbetering over de tijd is precies zulk bewijs, en dus bruikbaar in een audit. Voor bestuurders gaan wij nog een stap verder met de NIS2-directietraining, waarin een ethisch hacker live het dark web op gaat en laat zien welke gegevens van de eigen organisatie daar te vinden of te koop zijn. Dat is confronterender dan elk klikpercentage.

Wij begeleiden dit soort trajecten met vaste, voorspelbare maandkosten en volledige ontzorging: van scenario en spelregels tot rapportage en opvolging, zodat je interne team er geen project van hoeft te maken.

Veelgestelde vragen over een phishing test uitvoeren

Mag je een phishing test uitvoeren zonder medewerkers te informeren?

Ja, mits je het programma vooraf aankondigt in je beleid en de medezeggenschap betrekt. Het exacte moment en scenario blijven onaangekondigd, maar de verwerking van persoonsgegevens, de bewaartermijn en het uitgangspunt van geanonimiseerd rapporteren leg je vooraf vast.

Hoe vaak moet je een phishing test uitvoeren?

Voor de meeste organisaties werkt vier keer per jaar goed, met wisselende scenario’s en moeilijkheidsgraden. Combineer dat met korte, doorlopende trainingsmomenten, want een losse test per jaar verandert gedrag niet duurzaam.

Wat is een goed resultaat bij een phishing test?

Er bestaat geen universele norm, want het resultaat hangt sterk af van scenario en sector. Beoordeel daarom de trend in je eigen organisatie: een dalend invoerpercentage, een stijgend meldingspercentage en een kortere tijd tot de eerste melding.

Is een phishing test hetzelfde als een pentest?

Nee. Een phishing test meet gedrag en meldprocessen van medewerkers, een pentest zoekt technische kwetsbaarheden in bijvoorbeeld webapplicaties, interne netwerken of Active Directory. Phishing kan wel als onderdeel binnen een breder pentestprogramma worden meegenomen.