Awareness genereren binnen je organisatie: zo krijg je medewerkers écht betrokken bij security

Awareness genereren betekent: medewerkers zo betrekken bij informatiebeveiliging dat zij risico’s herkennen, veilig handelen en incidenten melden. Het draait om gedrag en cultuur, niet om een jaarlijkse e-learning die iedereen zo snel mogelijk wegklikt.

In vrijwel elk implementatietraject dat wij begeleiden, of het nu om ISO 27001, NEN 7510 of NIS2 gaat, zie ik hetzelfde patroon: de techniek staat, het beleid is geschreven, maar de mens blijft de kwetsbaarste schakel. Uit het Verizon Data Breach Investigations Report 2025 blijkt dat bij ongeveer 60 procent van de onderzochte datalekken een menselijke factor betrokken was, via fouten, misbruik of manipulatie. Awareness genereren is daarmee geen zachte randvoorwaarde, maar een van de meest rendabele beveiligingsmaatregelen die er zijn.

Kort samengevat

• Awareness genereren is gedragsverandering, geen kennisoverdracht. Het doel is dat medewerkers in het echte moment de juiste keuze maken.
• Begin bij de directie. Zonder zichtbaar voorbeeldgedrag van bestuur en management blijft elk programma vrijblijvend.
• Maak het persoonlijk. Gelekte inloggegevens van de eigen organisatie op het dark web raken mensen harder dan theorie.
• Herhaal in korte, frequente porties in plaats van één lange sessie per jaar.
• Wetgeving verplicht het. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, is per 15 augustus 2026 van kracht en verplicht ook bestuurders tot scholing.
• Meet gedrag, niet opkomst. Meldingsbereidheid en klikgedrag zeggen meer dan het aantal afgeronde modules.

Wat betekent awareness genereren precies, en wat is het niet?

Awareness genereren is het structureel vergroten van het beveiligingsbewustzijn én het veilige gedrag van medewerkers, zodat zij verdachte situaties herkennen, weten wat ze moeten doen en dat ook doen. Het verschil met de klassieke aanpak zit in de uitkomst die je nastreeft.

• Wel: medewerkers die een verdachte factuur intern verifiëren voordat ze betalen.
• Wel: een collega die om 22.00 uur meldt dat hij per ongeluk op een link heeft geklikt, zonder angst voor gezichtsverlies.
• Niet: een verplichte e-learning waarvan alleen de afvinkstatus wordt bijgehouden.
• Niet: een phishingsimulatie die wordt gebruikt om medewerkers af te rekenen op een fout.

Kennis is de eerste stap, gedrag is het doel en cultuur is het resultaat. Een organisatie met een volwassen securitycultuur herkent niet alleen phishing, maar durft ook fouten te melden. Dat laatste is cruciaal, want de meldingssnelheid bepaalt hoe groot de schade wordt.

Waarom mislukken de meeste awarenessprogramma’s?

De meeste programma’s stranden niet op inhoud, maar op vorm en volhouden. Dit zijn de vijf oorzaken die wij het vaakst tegenkomen:

1. Eenmalig in plaats van continu. Kennis uit één jaarlijkse sessie zakt binnen weken weg. Zonder herhaling verdwijnt het effect.
2. Te algemeen. Een generieke module over wachtwoorden landt niet bij een verpleegkundige die met een gedeeld werkstation werkt of bij een planner in de logistiek.
3. Geen voorbeeldgedrag vanuit de top. Als de directie zelf multifactor-authenticatie omzeilt, weet iedereen genoeg.
4. Angstcultuur rond fouten. Wie gestraft wordt na een misklik, meldt de volgende keer niets. Daarmee verlies je juist de tijd die je nodig hebt.
5. Verkeerde meetlat. Sturen op deelnamepercentages meet inspanning, geen resultaat.

Wil je dieper in de opzet duiken, dan hebben wij een compleet stappenplan voor een awarenessprogramma dat gedrag verandert beschreven.

Hoe genereer je awareness die wél blijft hangen? Zeven stappen

Awareness genereren werkt het best als je het behandelt als een doorlopend programma met eigenaar, budget en meetpunten. Wij hanteren deze volgorde:

1. Bepaal je nulmeting. Meet klikgedrag, meldingsbereidheid en kennisniveau voordat je begint. Zonder startpunt toon je later geen vooruitgang aan.
2. Koppel awareness aan je risicoanalyse. Welke scenario’s raken jouw organisatie het hardst: CEO-fraude, ransomware via een leverancier, of een datalek met patiëntgegevens? Richt je programma daarop in.
3. Begin bij directie en management. Zij bepalen de norm, keuren middelen goed en zijn zelf een hoogwaardig doelwit.
4. Segmenteer per doelgroep. Financiën, HR, ICT-beheerders en de werkvloer hebben elk hun eigen risico’s en dus hun eigen scenario’s.
5. Werk met korte, frequente prikkels. Enkele minuten per week met microlearning levert meer op dan een halve dag per jaar.
6. Oefen realistisch. Combineer phishingsimulaties met fysieke scenario’s en bespreek de uitkomst zonder namen te noemen.
7. Verankeren en herhalen. Neem awareness op in onboarding, functioneringsgesprekken en leveranciersafspraken, en evalueer minimaal jaarlijks.

Waarom werkt een dark web-sessie zo goed bij directie en bestuur?

Bestuurders worden zelden overtuigd door statistieken, wel door hun eigen gegevens. In onze NIS2-directietraining gaat een ethisch hacker live het dark web op en laat zien welke bedrijfsgegevens, e-mailadressen en wachtwoorden van de eigen organisatie daar te koop of te vinden zijn. Die confrontatie verandert doorgaans meer dan een presentatie van een uur. Wat zo’n gestolen account verraadt, lieten wij eerder zien in onze analyse over een gestolen accountnaam op het dark web.

Hoe houd je awareness leuk zonder het onderwerp licht te maken?

Betrokkenheid ontstaat als leren geen straf voelt. Daarom werken wij voor structurele awareness met het platform Guardey, waarin medewerkers wekelijks enkele minuten oefenen in korte, speelse uitdagingen, vergelijkbaar met taalapps. Voor teams die iets tastbaars willen, zetten we de Cyber Escape Truck in, een escaperoom op locatie waarin collega’s samen securityvraagstukken oplossen. Hetzelfde principe: herhaling in kleine porties, met plezier als motor.

Welke eisen stellen NIS2, ISO 27001 en NEN 7510 aan awareness?

Awareness is geen vrijblijvende extra, maar een expliciete eis in vrijwel elk relevant kader:

• Cyberbeveiligingswet en NIS2: de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, is vanaf 15 augustus 2026 van kracht en brengt een registratieplicht, zorgplicht en meldplicht met zich mee. Artikel 20 van de NIS2-richtlijn verplicht bestuursleden bovendien om zelf scholing te volgen en training voor medewerkers aan te bieden.
• ISO 27001: hoofdstuk 7.3 stelt eisen aan bewustzijn en beheersmaatregel 6.3 gaat over bewustzijn, opleiding en training. Auditors vragen hier aantoonbaar bewijs voor.
• NEN 7510: voor zorginstellingen geldt dezelfde lijn, aangevuld met specifieke aandacht voor het zorgvuldig omgaan met patiëntgegevens.
• BIO 2.0 en DORA: ook binnen de overheid en de financiële sector zijn opleiding en bewustwording een vast onderdeel van de vereiste beheersmaatregelen.

Praktisch betekent dit dat je moet kunnen aantonen wát je hebt gedaan, voor wie, wanneer en met welk resultaat. Een gestructureerde security awareness training met deelnameregistratie, oefenresultaten en een jaarplanning levert precies dat bewijs op. Welke verplichtingen per norm gelden, lees je op onze pagina over normen en wetgeving. Actuele dreigingsinformatie publiceert het Nationaal Cyber Security Centrum, en het Digital Trust Center biedt praktische handvatten voor ondernemers.

Hoe meet je of awareness genereren echt werkt?

Meet gedrag, niet aanwezigheid. Deze indicatoren geven een betrouwbaar beeld van de voortgang:

• Meldingsgraad: welk percentage van de ontvangers meldt een simulatie of verdachte mail? Dit is de belangrijkste positieve indicator.
• Tijd tot melding: hoeveel minuten zitten er tussen de eerste klik en de eerste melding bij de helpdesk?
• Klik- en invulpercentage: hoeveel mensen klikken, en hoeveel vullen echt gegevens in? Dat tweede getal is relevanter.
• Herhaalgedrag: welke doelgroepen blijven achter en hebben extra begeleiding nodig?
• Kwalitatieve signalen: komen er meer vragen bij de securityfunctionaris binnen? Een gezond teken.

Rapporteer deze cijfers per kwartaal aan de directie en koppel ze aan je risicoanalyse. Zo wordt awareness een stuurbaar onderdeel van je managementsysteem. Wil je dit structureel beleggen, dan is een vaste security partner vaak effectiever dan losse projecten, met vaste maandkosten en volledige ontzorging.

Veelgestelde vragen over awareness genereren

Hoe vaak moet je security awareness herhalen?

Idealiter continu, met korte oefeningen van enkele minuten per week of per maand, aangevuld met een jaarlijkse verdiepende sessie. Eén training per jaar is te weinig om gedrag te veranderen, omdat kennis binnen enkele weken wegzakt.

Is security awareness verplicht onder NIS2?

Ja. De NIS2-richtlijn verplicht bestuursleden om zelf scholing te volgen over cyberrisico’s en om medewerkers regelmatig vergelijkbare training aan te bieden. In Nederland is dit vastgelegd in de Cyberbeveiligingswet, die vanaf 15 augustus 2026 van kracht is.

Wat kost een awarenessprogramma?

Dat hangt af van omvang, aantal doelgroepen en de gekozen vormen, zoals een platform, phishingsimulaties of live sessies. Wij werken met vaste, voorspelbare maandkosten en volledige ontzorging, zodat je vooraf precies weet waar je aan toe bent.

Hoe krijg je de directie mee?

Laat zien wat er over de eigen organisatie te vinden is op het dark web en vertaal het risico naar bedrijfscontinuïteit, aansprakelijkheid en reputatie. Een live demonstratie door een ethisch hacker overtuigt bestuurders doorgaans binnen één sessie.

Werken phishingsimulaties eigenlijk wel?

Ja, mits je ze inzet om te leren en niet om af te rekenen. Combineer een simulatie altijd met directe uitleg op het moment van de fout, en stuur op meldingsgraad in plaats van alleen op klikpercentage.