Een goede security awareness training bevat minimaal de volgende onderwerpen: phishingherkenning, wachtwoordbeleid, veilig omgaan met gevoelige gegevens, meldprocedures bij incidenten en veilig gebruik van apparaten en netwerken. Welke onderwerpen precies aan bod komen, hangt af van de risico’s binnen jouw organisatie en de sector waarin je actief bent. Onder de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet is bewustwording van medewerkers bovendien geen vrijblijvende keuze meer, maar een formeel onderdeel van de zorgplicht. In dit artikel beantwoorden we de meest gestelde vragen over security awareness training: van inhoud en frequentie tot doelgroep en effectiviteitsmeting.
Welke onderwerpen moet een security awareness training behandelen?
Een effectieve security awareness training behandelt in ieder geval phishingherkenning, wachtwoordbeheer, veilig gebruik van apparaten en netwerken, omgang met gevoelige informatie en de meldprocedure bij beveiligingsincidenten. Deze onderwerpen vormen de basis van cyberveilig gedrag voor vrijwel elke medewerker, ongeacht functie of sector.
Naast deze basisonderwerpen is het verstandig om de training af te stemmen op de specifieke risico’s van jouw organisatie. Een zorginstelling heeft andere kwetsbaarheden dan een logistiek bedrijf of een gemeente. Denk bij een bredere training ook aan:
- Social engineering: hoe herken je manipulatiepogingen via telefoon, e-mail of persoonlijk contact?
- Veilig thuiswerken: gebruik van VPN, beveiligde wifi en zakelijke apparatuur thuis
- Supply chain bewustzijn: risico’s van leveranciers en externe partijen die toegang hebben tot systemen
- Multi-factorauthenticatie (MFA): waarom het essentieel is en hoe het werkt in de praktijk
- Incidentrespons: wat doe je als je vermoedt dat er iets mis is gegaan?
Onder de NIS2-zorgplicht zijn organisaties verplicht om passende organisatorische maatregelen te nemen, waaronder bewustwording van personeel en toegangsbeveiliging. Een training die alleen technische uitleg geeft zonder gedragsverandering als doel, schiet tekort. De training moet medewerkers niet alleen informeren, maar ook activeren: herkennen, handelen en melden.
Voor bestuurders gelden aanvullende eisen. De Cyberbeveiligingswet verplicht bestuurders om een training te volgen die hen leert beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de impact voor de organisatie in te schatten.
Hoe vaak moet je security awareness training herhalen?
Security awareness training moet minimaal jaarlijks worden herhaald, maar idealiter werk je met kortere, frequente sessies verspreid over het jaar. Eenmalige trainingen hebben bewezen weinig langdurig effect: kennis vervaagt snel als deze niet regelmatig wordt opgefrist en in de praktijk wordt toegepast.
Een effectieve aanpak combineert meerdere vormen en momenten:
- Jaarlijkse basistraining: een uitgebreidere sessie die kernonderwerpen behandelt en bijgewerkt is op basis van actuele dreigingen
- Maandelijkse of kwartaalse micro-learnings: korte, gerichte modules over specifieke onderwerpen zoals een nieuwe aanvalstechniek of een intern incident
- Gesimuleerde phishingtests: periodieke tests die bewustzijn meten en direct een leermoment bieden aan medewerkers die klikken
- Actuele communicatie: nieuwsbrieven of berichten bij actuele dreigingen, zoals een nieuwe ransomwarecampagne in de sector
Het dreigingslandschap verandert voortdurend. Aanvallers passen hun tactieken aan, nieuwe technologieën introduceren nieuwe risico’s en medewerkers wisselen van functie of komen nieuw in dienst. Een training die drie jaar geleden is gevolgd, dekt de huidige realiteit niet meer. Continuïteit in bewustwording is daarom net zo belangrijk als de inhoud van de training zelf.
Wat is het verschil tussen een phishingtest en een awareness training?
Een phishingtest is een gesimuleerde aanval waarbij medewerkers onverwacht een nep-phishingmail ontvangen om te meten hoe zij reageren. Een awareness training is een geplande leeractiviteit waarbij medewerkers bewust worden gemaakt van dreigingen en leren hoe ze veilig moeten handelen. De twee vullen elkaar aan, maar zijn niet hetzelfde.
Het onderscheid is belangrijk omdat beide een ander doel dienen:
- Phishingtest: meet het huidige gedrag, identificeert kwetsbare medewerkers of afdelingen en geeft inzicht in het risiconiveau van de organisatie
- Awareness training: bouwt kennis en vaardigheden op, verandert gedrag structureel en bereidt medewerkers voor op herkenning van echte aanvallen
Een phishingtest zonder training is weinig zinvol: je meet een probleem zonder het op te lossen. Omgekeerd geeft training zonder periodieke tests geen inzicht in of het geleerde ook daadwerkelijk beklijft. De combinatie is het meest effectief: gebruik testresultaten om trainingsinhoud te sturen en herhaal de test na een training om verbetering aan te tonen.
Bij een goed opgezette phishingtest krijgen medewerkers die op een gesimuleerde link klikken direct een leermoment aangeboden, zodat de test zelf ook een bewustwordingsfunctie vervult. Zo worden meten en leren gecombineerd in één activiteit.
Wie binnen een organisatie moet security awareness training volgen?
Alle medewerkers moeten security awareness training volgen, zonder uitzondering. Cyberdreigingen richten zich niet alleen op IT-personeel of leidinggevenden, maar juist ook op administratief medewerkers, medewerkers in de buitendienst en iedereen met toegang tot systemen of gevoelige informatie.
Toch is het verstandig om de training te differentiëren op basis van rol en verantwoordelijkheid:
- Alle medewerkers: basistraining over phishing, wachtwoorden, veilig gebruik van apparatuur en meldprocedures
- IT-medewerkers en systeembeheerders: verdiepende training over toegangsbeheer, incidentrespons en technische beveiligingsmaatregelen
- Financiële medewerkers: specifieke aandacht voor CEO-fraude, factuurmanipulatie en social engineering via e-mail
- Bestuurders en management: training gericht op risicoherkenning, besluitvorming over beveiligingsmaatregelen en bestuurlijke verantwoordelijkheid
- Nieuwe medewerkers: onboarding-training als onderdeel van de introductie, voordat zij toegang krijgen tot systemen
Onder de Cyberbeveiligingswet geldt voor bestuurders een expliciete trainingsplicht. Zij moeten aantoonbaar in staat zijn om beveiligingsrisico’s te herkennen en de gevolgen van maatregelen voor de organisatie te beoordelen. Bestuurders hebben na inwerkingtreding van de wet maximaal twee jaar om aan deze verplichting te voldoen.
Hoe meet je of een security awareness training effectief is?
De effectiviteit van een security awareness training meet je door gedragsverandering te meten, niet alleen kennisoverdracht. Concrete indicatoren zijn: het percentage medewerkers dat klikt op gesimuleerde phishingmails (voor en na training), het aantal gemelde verdachte e-mails, de snelheid waarmee incidenten worden gemeld en de score op kennistoetsen.
Een betrouwbare meting combineert meerdere methoden:
- Nulmeting: voer een phishingtest of kennistoets uit vóór de training om een baseline vast te stellen
- Herhaaltest: gebruik dezelfde of vergelijkbare simulaties na de training om verbetering aan te tonen
- Meldingsgedrag monitoren: registreer hoeveel medewerkers verdachte e-mails actief melden bij de helpdesk of het CISO-team
- Incidentanalyse: bekijk of menselijke fouten als oorzaak van beveiligingsincidenten afnemen in de loop van de tijd
- Periodieke kennistoetsen: korte toetsen na modules meten of de inhoud is begrepen en onthouden
Belangrijk is dat je niet alleen naar percentages kijkt, maar ook naar trends. Een daling van 40% naar 15% in klikgedrag op phishingsimulaties is een tastbaar resultaat. Maar als dat percentage na zes maanden zonder herhaling weer stijgt, wijst dat op de noodzaak van continuïteit in het programma.
Voor organisaties die moeten voldoen aan NIS2 of de Cyberbeveiligingswet, is meetbare effectiviteit ook een verantwoordingsvraagstuk. Toezichthouders kunnen vragen om bewijs dat organisatorische maatregelen, waaronder bewustwording, daadwerkelijk zijn geïmplementeerd en werken.
Hoe Q-Cyber helpt met security awareness training
Wij begrijpen dat een goede security awareness training meer is dan een jaarlijkse PowerPoint-presentatie. Het gaat om gedragsverandering, meetbare resultaten en een aanpak die aansluit op de specifieke risico’s en cultuur van jouw organisatie. Onze aanpak omvat:
- Phishingtests en simulaties: we voeren realistische gesimuleerde aanvallen uit om het huidige bewustzijnsniveau te meten en gerichte leermomenten te creëren
- Op maat gemaakte trainingen: voor medewerkers, IT-teams én bestuurders, afgestemd op sector, risicoprofiel en NIS2-verplichtingen
- Beleid en procedures: we schrijven het bijbehorende beleid rondom bewustwording, meldprocedures en toegangsbeveiliging
- Continuïteit via Continuous-Q: via ons virtuele CISO-programma borgen we bewustwording als doorlopend onderdeel van jullie beveiligingsstrategie
- NIS2-begeleiding: we helpen aantonen dat jouw organisatie voldoet aan de trainings- en zorgplicht onder de Cyberbeveiligingswet
We werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd pragmatisch advies dat past bij jouw organisatie. Wil je weten waar jouw organisatie nu staat en wat er nodig is? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Wat is privacy by design?
- Kan een bestuurder persoonlijk aansprakelijk zijn onder NIS2?
- ISO 27001-certificering: wat kost het en wat levert het op?
- Wat is een beveiligingsaudit?
- Hoe word je stap voor stap NIS2-compliant?
- Sterk wachtwoordbeleid: wat moet erin staan?
- Wat is social engineering en hoe voorkom je het?
- Hoe meet ik het beveiligingsniveau van mijn organisatie?
- Hoe valideer je pentest bevindingen?
- Wat moet ik testen voordat ik een nieuwe applicatie live zet?