Hoe meet je het effect van security awareness?

Geplaatst op: 21 juli 2026

Het effect van security awareness meten doe je door concrete gedragsindicatoren bij te houden, zoals klikpercentages op phishing simulaties, meldingsgedrag bij verdachte e-mails en de resultaten van kennistoetsen. Een goed security awareness programma combineert kwantitatieve data met kwalitatieve observaties, zodat je niet alleen weet wat medewerkers kennen, maar ook hoe zij in de praktijk handelen. In dit artikel beantwoorden we de meest gestelde vragen over het meten van cybersecurity bewustzijn.

Welke meetbare indicatoren laten zien of security awareness werkt?

De meest betrouwbare indicatoren voor security awareness meten zijn gedragsgebaseerde KPI’s: het percentage medewerkers dat klikt op een gesimuleerde phishing e-mail, het aantal gemelde verdachte berichten via een officieel kanaal, de snelheid waarmee incidenten worden gerapporteerd, en de score op periodieke kennistoetsen. Deze KPI’s samen geven een realistisch beeld van het bewustzijnsniveau binnen de organisatie.

Naast deze directe indicatoren zijn er ook indirecte signalen die iets zeggen over de volwassenheid van het security awareness programma. Denk aan het aantal beveiligingsincidenten dat door medewerkers zelf wordt ontdekt en gemeld, de deelnamegraad aan trainingen en de mate waarin medewerkers proactief vragen stellen over informatiebeveiliging. Een stijging in het aantal meldingen is overigens een positief teken, niet een negatief: het betekent dat medewerkers actiever betrokken raken.

Goede KPI’s voor security awareness zijn onder andere:

• Phishing klikratio: het percentage medewerkers dat klikt op een gesimuleerde phishingmail
• Meldingsratio: het percentage medewerkers dat een verdachte e-mail actief meldt
• Trainingscompletie: het percentage medewerkers dat verplichte trainingen afrondt
• Kennisscore: de gemiddelde score op toetsen na een training
• Herhalingsgedrag: hoe snel medewerkers terugvallen in risicovol gedrag na een training
• Incidentresponstijd: hoe snel een medewerker een incident meldt nadat hij het ontdekt

Combineer altijd meerdere indicatoren. Eén hoge score op een kennistoets zegt weinig als medewerkers in de praktijk nog steeds op phishinglinks klikken.

Wat is het verschil tussen gedragsverandering en kennisniveau meten?

Kennisniveau meten gaat over wat medewerkers weten: kunnen ze een phishingmail herkennen, kennen ze het wachtwoordbeleid, weten ze wat ze moeten doen bij een datalek? Gedragsverandering meten gaat over wat medewerkers daadwerkelijk doen in de praktijk. Het verschil is cruciaal: kennis leidt niet automatisch tot veilig gedrag, en dat maakt gedragsmeting waardevoller voor het beoordelen van het effect van een security awareness training.

In de praktijk zien we regelmatig dat medewerkers na een training uitstekend scoren op een kennistoets, maar een week later toch klikken op een gesimuleerde phishingmail. Dit fenomeen, ook wel de kennis-gedragskloof genoemd, laat zien waarom beide dimensies gemeten moeten worden.

Kennisniveau meten in de praktijk

Kennisniveau meet je met toetsen, quizzen en assessments die direct na een training worden afgenomen. Je kunt ook gebruikmaken van scenario-gebaseerde vragen waarbij medewerkers een situatie beoordelen. Het voordeel is dat dit eenvoudig schaalbaar is en eenvoudig te automatiseren valt via een leerplatform. Het nadeel is dat het geen garantie biedt voor daadwerkelijk veilig gedrag.

Gedragsverandering meten in de praktijk

Gedragsverandering meet je door te observeren wat medewerkers doen, niet wat ze zeggen of weten. Phishing simulaties zijn hiervoor het meest gebruikte instrument. Aanvullend kun je kijken naar het gebruik van wachtwoordmanagers, de naleving van het clean desk beleid, het meldingsgedrag bij verdachte situaties en het gebruik van multi-factorauthenticatie. Deze data geven een realistischer beeld van het werkelijke cybersecurity bewustzijn binnen de organisatie.

Hoe gebruik je phishing simulaties als meetinstrument?

Phishing simulaties zijn een van de meest effectieve methoden om security awareness te meten en te verbeteren. Je stuurt medewerkers een nep-phishingmail en meet wie erop klikt, wie inloggegevens invult en wie de mail meldt als verdacht. Door dit periodiek te herhalen, zie je of het gedrag verbetert over tijd en welke groepen extra aandacht nodig hebben.

Voor een betrouwbaar meetinstrument zijn een paar spelregels belangrijk. De simulaties moeten realistisch zijn en aansluiten bij actuele aanvalstechnieken. Denk aan mails die lijken te komen van een collega, een bekende softwareleverancier of een overheidsinstantie. Varieer ook in moeilijkheidsgraad: een te makkelijke phishingmail levert geen bruikbare data op, een te moeilijke ontmoedigt medewerkers onnodig.

Minstens zo belangrijk als de meting zelf is wat er daarna gebeurt. Medewerkers die op de link klikken, moeten direct een leermoment krijgen, geen schuldgevoel. Het doel is bewustwording en gedragsverandering, niet bestraffing. Koppel de resultaten van phishing simulaties altijd aan een vervolgtraining of gerichte communicatie voor de groepen die het meest kwetsbaar bleken.

Bij pentesten en phishing tests wordt ook gekeken naar hoe realistisch de aanvalsvectoren zijn. Een goede simulatie bootst de tactieken na die echte aanvallers gebruiken, zodat de meting representatief is voor het werkelijke risico.

Wanneer is een nulmeting nodig voor security awareness?

Een nulmeting is altijd nodig voordat je een security awareness programma start of significant aanpast. Zonder nulmeting weet je niet wat het beginpunt is, en kun je later niet aantonen of het programma effect heeft gehad. De nulmeting geeft inzicht in het huidige kennisniveau, het gedrag en de risicogebieden die de meeste aandacht verdienen.

De nulmeting bestaat idealiter uit drie onderdelen. Ten eerste een kennistoets om het basisniveau van informatiebeveiligingsbewustzijn in kaart te brengen. Ten tweede een phishing simulatie zonder voorafgaande aankondiging, om een eerlijk beeld te krijgen van het werkelijke klikgedrag. Ten derde een korte enquête of interview om de beleving en de cultuur rondom informatiebeveiliging te peilen.

Een nulmeting is ook relevant in het kader van NIS2-compliance. De Cyberbeveiligingswet verplicht organisaties om aantoonbaar te werken aan bewustwording en training van medewerkers en bestuurders. Een gedocumenteerde nulmeting, gevolgd door meetbare verbeteringen, is een sterke onderbouwing bij toezicht door de RDI of andere toezichthouders.

Herhaal de nulmeting periodiek, minimaal jaarlijks, om voortgang te meten en nieuwe risico’s te signaleren. Dreigingslandschappen veranderen snel, en wat vorig jaar een adequaat bewustzijnsniveau was, kan dit jaar onvoldoende zijn.

Hoe rapporteer je security awareness resultaten aan het management?

Rapporteer security awareness resultaten aan het management in termen van risicoreductie en bedrijfsimpact, niet in technische details. Laat zien hoe het klikpercentage op phishing simulaties is gedaald, hoeveel medewerkers trainingen hebben afgerond en hoe het meldingsgedrag is verbeterd. Koppel deze cijfers aan de potentiële schade die voorkomen is, zodat de waarde van het programma zichtbaar wordt.

Een effectief managementrapport over KPI’s voor security awareness bevat de volgende elementen:

1. Trend over tijd: laat zien hoe indicatoren zich ontwikkelen ten opzichte van de nulmeting en vorige rapportageperiodes
2. Risicogroepen: welke afdelingen of functies scoren structureel lager en verdienen extra aandacht?
3. Incidentkoppeling: zijn er incidenten geweest die verband houden met menselijk gedrag, en wat was de respons?
4. Actiepunten: concrete aanbevelingen voor de komende periode op basis van de data
5. Compliance-status: in hoeverre voldoet de organisatie aan de trainingsverplichtingen onder geldende wet- en regelgeving

Houd de rapportage beknopt en visueel. Bestuurders hebben behoefte aan een helder dashboard, niet aan een uitgebreid technisch verslag. Gebruik grafieken voor trends, kleurcodering voor risicostatus en een korte samenvatting van maximaal een halve pagina. Voeg een uitgebreidere bijlage toe voor de CISO of de informatiebeveiligingsfunctionaris die de details nodig heeft.

Vergeet niet dat de NIS2-wetgeving bestuurders verplicht actief betrokken te zijn bij cybersecurity. Rapportages moeten hen in staat stellen om weloverwogen beslissingen te nemen over risicobeheersmaatregelen. Een goede rapportage is daarmee niet alleen een verantwoordingsinstrument, maar ook een sturingsinstrument voor de organisatie.

Hoe Q-Cyber helpt met het meten van security awareness

Wij helpen organisaties om security awareness niet alleen te organiseren, maar ook aantoonbaar te maken. Of je nu een nulmeting wilt uitvoeren, phishing simulaties wilt opzetten of resultaten wilt vertalen naar een managementrapportage: wij bieden een pragmatische aanpak die aansluit op jouw organisatie en de geldende wet- en regelgeving.

Wat wij concreet voor je kunnen doen:

• Uitvoeren van een nulmeting inclusief phishing simulatie en kennistoets
• Opzetten van een periodiek meetprogramma met relevante KPI’s voor security awareness
• Verzorgen van trainingen voor medewerkers en bestuurders, inclusief de verplichte bestuurderstraining onder de Cyberbeveiligingswet
• Schrijven van rapportages en beleidsdocumenten die aansluiten op NIS2-vereisten
• Adviseren over de inrichting van een structureel security awareness programma via onze Continuous-Q dienstverlening

Wij werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd advies dat past bij jouw specifieke situatie. Wil je weten hoe jouw organisatie er nu voor staat? Neem contact met ons op en we bespreken samen de eerste stap.

Lees meer

Security awareness training: wat moet erin staan?

Geplaatst op: 20 juli 2026

Een goede security awareness training bevat minimaal de volgende onderwerpen: phishingherkenning, wachtwoordbeleid, veilig omgaan met gevoelige gegevens, meldprocedures bij incidenten en veilig gebruik van apparaten en netwerken. Welke onderwerpen precies aan bod komen, hangt af van de risico’s binnen jouw organisatie en de sector waarin je actief bent. Onder de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet is bewustwording van medewerkers bovendien geen vrijblijvende keuze meer, maar een formeel onderdeel van de zorgplicht. In dit artikel beantwoorden we de meest gestelde vragen over security awareness training: van inhoud en frequentie tot doelgroep en effectiviteitsmeting.

Welke onderwerpen moet een security awareness training behandelen?

Een effectieve security awareness training behandelt in ieder geval phishingherkenning, wachtwoordbeheer, veilig gebruik van apparaten en netwerken, omgang met gevoelige informatie en de meldprocedure bij beveiligingsincidenten. Deze onderwerpen vormen de basis van cyberveilig gedrag voor vrijwel elke medewerker, ongeacht functie of sector.

Naast deze basisonderwerpen is het verstandig om de training af te stemmen op de specifieke risico’s van jouw organisatie. Een zorginstelling heeft andere kwetsbaarheden dan een logistiek bedrijf of een gemeente. Denk bij een bredere training ook aan:

• Social engineering: hoe herken je manipulatiepogingen via telefoon, e-mail of persoonlijk contact?
• Veilig thuiswerken: gebruik van VPN, beveiligde wifi en zakelijke apparatuur thuis
• Supply chain bewustzijn: risico’s van leveranciers en externe partijen die toegang hebben tot systemen
• Multi-factorauthenticatie (MFA): waarom het essentieel is en hoe het werkt in de praktijk
• Incidentrespons: wat doe je als je vermoedt dat er iets mis is gegaan?

Onder de NIS2-zorgplicht zijn organisaties verplicht om passende organisatorische maatregelen te nemen, waaronder bewustwording van personeel en toegangsbeveiliging. Een training die alleen technische uitleg geeft zonder gedragsverandering als doel, schiet tekort. De training moet medewerkers niet alleen informeren, maar ook activeren: herkennen, handelen en melden.

Voor bestuurders gelden aanvullende eisen. De Cyberbeveiligingswet verplicht bestuurders om een training te volgen die hen leert beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de impact voor de organisatie in te schatten.

Hoe vaak moet je security awareness training herhalen?

Security awareness training moet minimaal jaarlijks worden herhaald, maar idealiter werk je met kortere, frequente sessies verspreid over het jaar. Eenmalige trainingen hebben bewezen weinig langdurig effect: kennis vervaagt snel als deze niet regelmatig wordt opgefrist en in de praktijk wordt toegepast.

Een effectieve aanpak combineert meerdere vormen en momenten:

• Jaarlijkse basistraining: een uitgebreidere sessie die kernonderwerpen behandelt en bijgewerkt is op basis van actuele dreigingen
• Maandelijkse of kwartaalse micro-learnings: korte, gerichte modules over specifieke onderwerpen zoals een nieuwe aanvalstechniek of een intern incident
• Gesimuleerde phishingtests: periodieke tests die bewustzijn meten en direct een leermoment bieden aan medewerkers die klikken
• Actuele communicatie: nieuwsbrieven of berichten bij actuele dreigingen, zoals een nieuwe ransomwarecampagne in de sector

Het dreigingslandschap verandert voortdurend. Aanvallers passen hun tactieken aan, nieuwe technologieën introduceren nieuwe risico’s en medewerkers wisselen van functie of komen nieuw in dienst. Een training die drie jaar geleden is gevolgd, dekt de huidige realiteit niet meer. Continuïteit in bewustwording is daarom net zo belangrijk als de inhoud van de training zelf.

Wat is het verschil tussen een phishingtest en een awareness training?

Een phishingtest is een gesimuleerde aanval waarbij medewerkers onverwacht een nep-phishingmail ontvangen om te meten hoe zij reageren. Een awareness training is een geplande leeractiviteit waarbij medewerkers bewust worden gemaakt van dreigingen en leren hoe ze veilig moeten handelen. De twee vullen elkaar aan, maar zijn niet hetzelfde.

Het onderscheid is belangrijk omdat beide een ander doel dienen:

• Phishingtest: meet het huidige gedrag, identificeert kwetsbare medewerkers of afdelingen en geeft inzicht in het risiconiveau van de organisatie
• Awareness training: bouwt kennis en vaardigheden op, verandert gedrag structureel en bereidt medewerkers voor op herkenning van echte aanvallen

Een phishingtest zonder training is weinig zinvol: je meet een probleem zonder het op te lossen. Omgekeerd geeft training zonder periodieke tests geen inzicht in of het geleerde ook daadwerkelijk beklijft. De combinatie is het meest effectief: gebruik testresultaten om trainingsinhoud te sturen en herhaal de test na een training om verbetering aan te tonen.

Bij een goed opgezette phishingtest krijgen medewerkers die op een gesimuleerde link klikken direct een leermoment aangeboden, zodat de test zelf ook een bewustwordingsfunctie vervult. Zo worden meten en leren gecombineerd in één activiteit.

Wie binnen een organisatie moet security awareness training volgen?

Alle medewerkers moeten security awareness training volgen, zonder uitzondering. Cyberdreigingen richten zich niet alleen op IT-personeel of leidinggevenden, maar juist ook op administratief medewerkers, medewerkers in de buitendienst en iedereen met toegang tot systemen of gevoelige informatie.

Toch is het verstandig om de training te differentiëren op basis van rol en verantwoordelijkheid:

• Alle medewerkers: basistraining over phishing, wachtwoorden, veilig gebruik van apparatuur en meldprocedures
• IT-medewerkers en systeembeheerders: verdiepende training over toegangsbeheer, incidentrespons en technische beveiligingsmaatregelen
• Financiële medewerkers: specifieke aandacht voor CEO-fraude, factuurmanipulatie en social engineering via e-mail
• Bestuurders en management: training gericht op risicoherkenning, besluitvorming over beveiligingsmaatregelen en bestuurlijke verantwoordelijkheid
• Nieuwe medewerkers: onboarding-training als onderdeel van de introductie, voordat zij toegang krijgen tot systemen

Onder de Cyberbeveiligingswet geldt voor bestuurders een expliciete trainingsplicht. Zij moeten aantoonbaar in staat zijn om beveiligingsrisico’s te herkennen en de gevolgen van maatregelen voor de organisatie te beoordelen. Bestuurders hebben na inwerkingtreding van de wet maximaal twee jaar om aan deze verplichting te voldoen.

Hoe meet je of een security awareness training effectief is?

De effectiviteit van een security awareness training meet je door gedragsverandering te meten, niet alleen kennisoverdracht. Concrete indicatoren zijn: het percentage medewerkers dat klikt op gesimuleerde phishingmails (voor en na training), het aantal gemelde verdachte e-mails, de snelheid waarmee incidenten worden gemeld en de score op kennistoetsen.

Een betrouwbare meting combineert meerdere methoden:

1. Nulmeting: voer een phishingtest of kennistoets uit vóór de training om een baseline vast te stellen
2. Herhaaltest: gebruik dezelfde of vergelijkbare simulaties na de training om verbetering aan te tonen
3. Meldingsgedrag monitoren: registreer hoeveel medewerkers verdachte e-mails actief melden bij de helpdesk of het CISO-team
4. Incidentanalyse: bekijk of menselijke fouten als oorzaak van beveiligingsincidenten afnemen in de loop van de tijd
5. Periodieke kennistoetsen: korte toetsen na modules meten of de inhoud is begrepen en onthouden

Belangrijk is dat je niet alleen naar percentages kijkt, maar ook naar trends. Een daling van 40% naar 15% in klikgedrag op phishingsimulaties is een tastbaar resultaat. Maar als dat percentage na zes maanden zonder herhaling weer stijgt, wijst dat op de noodzaak van continuïteit in het programma.

Voor organisaties die moeten voldoen aan NIS2 of de Cyberbeveiligingswet, is meetbare effectiviteit ook een verantwoordingsvraagstuk. Toezichthouders kunnen vragen om bewijs dat organisatorische maatregelen, waaronder bewustwording, daadwerkelijk zijn geïmplementeerd en werken.

Hoe Q-Cyber helpt met security awareness training

Wij begrijpen dat een goede security awareness training meer is dan een jaarlijkse PowerPoint-presentatie. Het gaat om gedragsverandering, meetbare resultaten en een aanpak die aansluit op de specifieke risico’s en cultuur van jouw organisatie. Onze aanpak omvat:

• Phishingtests en simulaties: we voeren realistische gesimuleerde aanvallen uit om het huidige bewustzijnsniveau te meten en gerichte leermomenten te creëren
• Op maat gemaakte trainingen: voor medewerkers, IT-teams én bestuurders, afgestemd op sector, risicoprofiel en NIS2-verplichtingen
• Beleid en procedures: we schrijven het bijbehorende beleid rondom bewustwording, meldprocedures en toegangsbeveiliging
• Continuïteit via Continuous-Q: via ons virtuele CISO-programma borgen we bewustwording als doorlopend onderdeel van jullie beveiligingsstrategie
• NIS2-begeleiding: we helpen aantonen dat jouw organisatie voldoet aan de trainings- en zorgplicht onder de Cyberbeveiligingswet

We werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd pragmatisch advies dat past bij jouw organisatie. Wil je weten waar jouw organisatie nu staat en wat er nodig is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe word je stap voor stap NIS2-compliant?

Geplaatst op: 19 juli 2026

NIS2-compliant worden is voor veel organisaties een complex traject. De richtlijn stelt concrete eisen aan risicobeheer, technische beveiliging, bestuurlijke verantwoordelijkheid en incidentmelding. Toch hoeft het proces niet overweldigend te zijn. Met een gestructureerde aanpak werk je stap voor stap naar volledige NIS2-compliance, zonder dat je het overzicht verliest.

In dit stappenplan lees je precies wat je moet doen om jouw organisatie NIS2-compliant te maken. Van het bepalen of je überhaupt onder de richtlijn valt, tot het borgen van aantoonbare naleving op de lange termijn. Volg de stappen in volgorde, want elke fase bouwt voort op de vorige.

Bepaal of jouw organisatie onder NIS2 valt

Voordat je ook maar één maatregel neemt, moet je weten of de NIS2-richtlijn op jouw organisatie van toepassing is. In Nederland vallen ruim 10.000 organisaties direct onder de wet, en naar schatting 50.000 toeleveranciers krijgen er indirect mee te maken. De NIS2-richtlijn is in Nederland omgezet in de Cyberbeveiligingswet (Cbw), waarvan het wetsvoorstel op 4 juni 2025 bij de Tweede Kamer is ingediend. De inwerkingtreding wordt verwacht in Q2 2026.

De wet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten vallen in sectoren zoals energie, transport, bankwezen, gezondheidszorg en drinkwater. Belangrijke entiteiten opereren in aanvullende sectoren zoals digitale dienstverlening, post en voedselproductie. De categorie bepaalt welk toezichtregime van toepassing is en hoe hoog de maximale boetes zijn.

1. Gebruik de NIS2 Zelfevaluatietool van de RVO (regelhulpenvoorbedrijven.nl) om te toetsen of jouw organisatie onder de wet valt.
2. Raadpleeg de Flowchart Registratieplicht van het NCSC om te bepalen of je als essentiële of belangrijke entiteit wordt aangemerkt.
3. Controleer of jouw organisatie onder Nederlands toezicht valt, of dat een andere EU-lidstaat bevoegd is.
4. Inventariseer ook je toeleveringsketen: val je zelf buiten de reikwijdte, dan kunnen klanten alsnog eisen dat je aan NIS2-normen voldoet.

Na deze stap weet je met zekerheid of jouw organisatie registratieplichtig is en welke verplichtingen op jou van toepassing zijn. Organisaties die twijfelen, kunnen zich alvast vrijwillig registreren via het NCSC-portaal. Dat is mogelijk per 17 oktober 2024 en geeft je bovendien toegang tot actuele dreigingsinformatie.

Breng je huidige beveiligingsniveau in kaart

Met de bevestiging dat je onder NIS2 valt, is de volgende stap het uitvoeren van een nulmeting. Je kunt pas weten wat je nog moet doen als je weet waar je nu staat. Een gap-analyse vergelijkt je huidige beveiligingsniveau met de eisen die de NIS2-richtlijn stelt.

Voor overheidsorganisaties is de Baseline Informatiebeveiliging Overheid (BIO2) het logische startpunt: wie al aan de BIO voldoet, heeft een aanzienlijk deel van de NIS2-zorgplicht al ingevuld. Voor andere organisaties biedt de NEN-EN-ISO/IEC 27002-norm een vergelijkbaar referentiekader. Het ministerie van BZK heeft een publieke mapping gepubliceerd die inzichtelijk maakt welke NIS2-maatregelen verplicht, optioneel of situationeel zijn ten opzichte van ISO 27002 en de BIO.

1. Voer een interne audit uit op de tien minimummaatregelen uit de NIS2-richtlijn, waaronder risicoanalyse, toegangsbeveiliging, cryptografie en supply chain security.
2. Gebruik het BIO Self Assessment (BIO-SA) als je een overheidsorganisatie bent. Dit instrument helpt je stapsgewijs te toetsen in welke mate je al voldoet.
3. Documenteer de geconstateerde tekortkomingen per domein: technisch, organisatorisch en bestuurlijk.
4. Prioriteer de gaps op basis van risico: welke tekortkomingen vormen de grootste bedreiging voor de continuïteit van je dienstverlening?

Na de nulmeting heb je een helder overzicht van wat er al goed gaat en wat er nog moet gebeuren. Dit vormt de basis voor je implementatieplan in de volgende stappen.

Stel een NIS2-beleid en risicobeheerkader op

NIS2 vereist dat cybersecurity structureel is ingebed in beleid en bestuur. Het gaat niet alleen om technische maatregelen, maar ook om aantoonbaar bestuurlijk eigenaarschap. De Cyberbeveiligingswet legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur: bestuurders moeten voldoende kennis hebben om weloverwogen keuzes te maken en zijn verplicht een training te volgen.

Stel op basis van de gap-analyse een formeel beveiligingsbeleid op dat de risicogebaseerde aanpak van de NIS2-richtlijn weerspiegelt. Dit beleid vormt het fundament waarop alle technische en organisatorische maatregelen worden gebouwd.

1. Stel een risicobeoordelingsproces in dat periodiek wordt uitgevoerd en gedocumenteerd.
2. Schrijf beleid voor de volgende domeinen: risicoanalyse, bedrijfscontinuïteit, toegangsbeheer, cryptografie, incidentbeheer en supply chain security.
3. Wijs een verantwoordelijke aan voor informatiebeveiliging, zoals een CISO of een vergelijkbare rol, en zorg dat deze persoon rapporteert aan het bestuur.
4. Laat bestuurders een cybersecuritytraining volgen. Vanaf de inwerkingtreding van de Cbw hebben bestuurders maximaal twee jaar om aan deze verplichting te voldoen, maar eerder beginnen is altijd verstandiger.
5. Breng de toeleveringsketen in kaart en stel eisen aan de cybersecuritymaatregelen van leveranciers.

Controleer na het opstellen van het beleid of alle documenten zijn goedgekeurd door het bestuur en of er een duidelijk eigenaarschap is vastgelegd. Beleid zonder bestuurlijke ondertekening heeft geen juridische en organisatorische waarde binnen de NIS2-context.

Implementeer de technische en organisatorische maatregelen

Met het beleid op orde is het tijd voor de concrete implementatie. De NIS2-richtlijn schrijft een reeks minimummaatregelen voor die alle entiteiten moeten treffen. De exacte invulling is risicogebaseerd: maatregelen moeten passend en evenredig zijn aan de risico’s die jouw organisatie loopt.

Werk de implementatie systematisch af per domein. Combineer technische maatregelen met organisatorische aanpassingen, want NIS2-compliance is nooit puur een IT-vraagstuk.

Technische maatregelen

1. Implementeer multi-factorauthenticatie (MFA) voor alle kritieke systemen en gebruikersaccounts.
2. Stel encryptie in voor gevoelige data, zowel in opslag als in transit, en documenteer het cryptografiebeleid.
3. Voer regelmatig penetratietests en vulnerability scans uit om kwetsbaarheden tijdig op te sporen.
4. Richt een patchmanagementproces in zodat bekende kwetsbaarheden snel worden verholpen.
5. Zorg voor netwerksegmentatie en toegangscontrole op basis van het principe van minimale rechten.

Organisatorische maatregelen

1. Stel een incidentresponsplan op en oefen dit regelmatig, zodat medewerkers weten wat ze moeten doen bij een cyberincident.
2. Voer bewustwordingstrainingen in voor alle medewerkers, inclusief phishing-simulaties.
3. Leg contractuele cybersecurityeisen vast bij leveranciers en toeleveranciers.
4. Documenteer alle maatregelen zodat je aantoonbaar kunt maken dat je aan de zorgplicht voldoet.

Verifieer na implementatie of de maatregelen daadwerkelijk werken zoals bedoeld. Technische maatregelen die op papier goed zijn maar in de praktijk niet functioneren, bieden geen echte bescherming en tellen ook niet mee als bewijs van naleving.

Zorg voor aantoonbare naleving en meldplicht

NIS2-compliance is niet alleen iets dat je intern regelt. Je moet het ook kunnen aantonen aan toezichthouders. In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder voor de overheidssector. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT).

Daarnaast geldt een strikte meldplicht voor significante cyberincidenten. Een incident is meldingswaardig als het de continuïteit van de dienstverlening aanzienlijk kan verstoren. De meldprocedure verloopt via het NCSC-portaal en bestaat uit drie stappen:

• Vroegtijdige waarschuwing: eerste melding binnen 24 uur na ontdekking van het incident.
• Vervolgmelding: aanvullende informatie binnen 72 uur na de eerste melding.
• Eindverslag: gedetailleerde beschrijving van het incident, de ernst en de gevolgen, uiterlijk één maand na de eerste melding.

1. Registreer jouw organisatie in het entiteitenregister via het NCSC-portaal. Zorg dat de gegevens actueel zijn, inclusief alle internetdomeinen waarvoor jouw organisatie verantwoordelijk is.
2. Stel een intern meldproces in zodat medewerkers weten hoe ze een incident intern rapporteren, en wie verantwoordelijk is voor de externe melding aan het NCSC.
3. Documenteer alle beveiligingsmaatregelen, risicobeoordelingen en beleidswijzigingen als bewijs van naleving.
4. Test het meldproces periodiek, zodat je zeker weet dat je de deadlines kunt halen als het er echt op aankomt.

Na het inrichten van de meldplicht en het registreren bij het NCSC is jouw organisatie formeel compliant voor wat betreft de registratie- en meldverplichtingen. Houd er rekening mee dat toezichthouders kunnen controleren of de meldprocessen daadwerkelijk zijn ingericht.

Houd compliance actueel met periodieke toetsing

NIS2-compliance is geen eenmalig project, maar een doorlopend proces. Het dreigingslandschap verandert voortdurend, wetgeving wordt aangescherpt en jouw organisatie zelf ontwikkelt zich. Wie vandaag compliant is, kan dat morgen niet meer zijn als er geen structurele borging is.

Bouw een cyclus van periodieke toetsing in zodat compliance geen momentopname blijft maar een levende praktijk wordt. Doorlopende cybersecuritymonitoring helpt je om veranderingen in het dreigingslandschap en in de regelgeving tijdig te signaleren en te verwerken.

1. Plan minimaal één keer per jaar een volledige herhaling van de gap-analyse om te toetsen of de genomen maatregelen nog steeds toereikend zijn.
2. Voer regelmatig red team-oefeningen uit om de weerbaarheid van jouw organisatie realistisch te testen.
3. Volg de ontwikkelingen rondom de Cyberbeveiligingswet, het Cyberbeveiligingsbesluit en de sectorale ministeriële regelingen, die nog steeds in ontwikkeling zijn.
4. Herhaal bestuurderstrainingen bij wisseling van bestuurders of bij significante wijzigingen in de regelgeving.
5. Evalueer na elk incident wat er beter kon en pas het incidentresponsplan en de beveiligingsmaatregelen hierop aan.

Na het inrichten van deze toetsingscyclus heb je niet alleen een compliant organisatie, maar ook een organisatie die structureel weerbaar is. Dat is precies wat de NIS2-richtlijn beoogt: geen statische muurstrategie, maar een dynamische en aantoonbare cyberweerbaarheid die meeontwikkelt met de realiteit.

Hoe Q-Cyber helpt met NIS2-compliance

Het NIS2-traject vraagt om een combinatie van technische expertise, beleidskennis en bestuurlijk inzicht. Precies die combinatie biedt Q-Cyber. Wij begeleiden organisaties door het volledige NIS2-compliance traject, van de eerste nulmeting tot de structurele borging van cyberweerbaarheid. Daarbij zijn we volledig onafhankelijk: we zijn niet gebonden aan softwarepartijen of andere toeleveranciers, waardoor ons advies altijd in jouw belang is.

Wat we concreet voor jou doen:

• Gap-analyse en nulmeting: we brengen het verschil in kaart tussen jouw huidige beveiligingsniveau en de NIS2-vereisten.
• Beleid op maat: we schrijven het beveiligingsbeleid, het risicobeheerkader en de benodigde procedures die aansluiten op jouw organisatie en sector.
• Bestuurderstrainingen: we verzorgen trainingen die bestuurders in staat stellen hun NIS2-verantwoordelijkheid serieus te nemen.
• Technische tests: via penetratietests, vulnerability scans en phishing-simulaties toetsen we of jouw maatregelen in de praktijk werken.
• Virtuele CISO (vCISO): via ons Continuous-Q® aanbod zetten we een team van specialisten in als jouw doorlopende beveiligingspartner.
• Pragmatisch advies: we adviseren maatregelen die passen bij jouw risicoprofiel, zonder onnodige complexiteit of overbodige producten.

Wacht niet tot de Cyberbeveiligingswet formeel in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact op en ontdek hoe we jouw organisatie stap voor stap NIS2-compliant maken.

Lees meer

Patch management: waarom updates zo belangrijk zijn

Geplaatst op: 18 juli 2026

Patch management is het gestructureerd identificeren, testen en installeren van software-updates om bekende kwetsbaarheden in systemen te dichten. Het is een van de meest effectieve maatregelen die een organisatie kan nemen om cyberaanvallen te voorkomen, omdat de meeste succesvolle aanvallen misbruik maken van kwetsbaarheden waarvoor al een patch beschikbaar was. In dit artikel beantwoorden we de meest gestelde vragen over patch management, van de basisprincipes tot de praktische uitvoering.

Wat gebeurt er als je software-updates niet installeert?

Als je software-updates niet installeert, blijven bekende kwetsbaarheden in je systemen openstaan. Aanvallers scannen het internet actief op systemen met verouderde software en kunnen via die kwetsbaarheden binnendringen, gegevens stelen, ransomware installeren of je netwerk overnemen. Hoe langer een patch uitstaat, hoe groter het risico dat er misbruik plaatsvindt.

In de praktijk geldt: zodra een leverancier een beveiligingsupdate uitbrengt, is de kwetsbaarheid die ermee gedicht wordt publiek bekend. Dat betekent dat kwaadwillenden precies weten waar ze naar moeten zoeken. Systemen zonder die update worden daardoor een gemakkelijk doelwit.

De gevolgen van het niet installeren van updates kunnen ernstig zijn:

• Ransomware-aanvallen: Verouderde systemen zijn een veelgebruikt ingangspunt voor ransomware, waarbij aanvallers bestanden versleutelen en losgeld eisen.
• Datalekken: Kwetsbaarheden in software kunnen worden misbruikt om toegang te krijgen tot gevoelige klant- of bedrijfsdata.
• Reputatieschade: Een succesvol incident dat voorkomen had kunnen worden met een patch is moeilijk uit te leggen aan klanten en partners.
• Boetes en juridische gevolgen: Onder wetgeving zoals de NIS2-richtlijn zijn organisaties verplicht passende technische maatregelen te nemen. Een aantoonbaar verouderd patchbeleid kan als nalatigheid worden gezien.

Hoe werkt patch management in de praktijk?

Patch management werkt in de praktijk via een cyclisch proces van inventariseren, beoordelen, testen, uitrollen en controleren. Organisaties brengen eerst in kaart welke systemen en software ze in gebruik hebben, waarna ze bijhouden welke patches beschikbaar zijn en hoe kritiek die zijn. Vervolgens worden patches getest en gecontroleerd uitgerold, zodat ze geen nieuwe problemen veroorzaken.

Een goed ingericht patchproces bestaat doorgaans uit de volgende stappen:

1. Inventarisatie: Weet welke hardware, software en besturingssystemen je in gebruik hebt. Zonder volledig overzicht kun je niet effectief patchen.
2. Monitoring: Volg meldingen van leveranciers, beveiligingsorganisaties en het NCSC over nieuwe kwetsbaarheden en beschikbare patches.
3. Prioritering: Beoordeel welke patches urgent zijn op basis van de ernst van de kwetsbaarheid en de blootstelling van het systeem.
4. Testen: Rol patches eerst uit in een testomgeving om te voorkomen dat ze productiesystemen verstoren.
5. Uitrollen: Installeer de patches gecontroleerd, bij voorkeur buiten kantooruren bij kritieke systemen.
6. Verificatie: Controleer na installatie of de patch correct is toegepast en de kwetsbaarheid daadwerkelijk is gedicht.
7. Documentatie: Leg vast welke patches zijn uitgerold, wanneer en op welke systemen. Dit is ook relevant bij audits en toezicht.

Veel organisaties gebruiken gespecialiseerde tools om dit proces te automatiseren, maar de menselijke beoordeling van prioriteit en risico blijft onmisbaar.

Wat is het verschil tussen een patch en een update?

Een patch is een gerichte aanpassing die een specifieke kwetsbaarheid of fout in software verhelpt. Een update is een bredere term die ook nieuwe functies, verbeteringen in prestaties en meerdere bugfixes kan bevatten. Beveiligingspatches zijn een subset van updates, maar niet alle updates zijn patches.

In de dagelijkse praktijk worden de termen door elkaar gebruikt, maar het onderscheid is relevant voor prioritering. Een beveiligingspatch die een actief misbruikte kwetsbaarheid dicht, heeft een ander urgentieniveau dan een feature-update met nieuwe functionaliteit. Organisaties met een formeel patchbeleid onderscheiden daarom:

• Beveiligingspatches: Dichten kwetsbaarheden en hebben doorgaans de hoogste prioriteit.
• Bugfixes: Lossen fouten op die de werking beïnvloeden maar geen direct beveiligingsrisico vormen.
• Feature-updates: Voegen nieuwe functionaliteit toe en vereisen meer testwerk voor uitrol.
• Major releases: Grote versie-upgrades die uitgebreide planning en migratie vereisen.

Voor cybersecurity draait het primair om de beveiligingspatches. Die bepalen hoe kwetsbaar een systeem is voor aanvallen.

Hoe vaak moeten organisaties patches uitvoeren?

Organisaties moeten kritieke beveiligingspatches zo snel mogelijk uitrollen, bij voorkeur binnen 24 tot 72 uur na beschikbaarheid wanneer er sprake is van actief misbruik. Voor minder urgente patches geldt doorgaans een cyclus van twee tot vier weken, afhankelijk van het risicoprofiel van de organisatie en de gevoeligheid van de systemen.

Er is geen universele patchfrequentie die voor elke organisatie werkt. De juiste cadans hangt af van meerdere factoren:

• Ernst van de kwetsbaarheid: Een CVSS-score (Common Vulnerability Scoring System) van 9 of hoger vraagt om directe actie.
• Blootstelling van het systeem: Systemen die direct bereikbaar zijn via het internet vereisen snellere opvolging dan interne systemen.
• Wettelijke verplichtingen: Onder de NIS2-wetgeving moeten organisaties aantoonbaar passende maatregelen nemen. Een te trage patchcyclus kan als onvoldoende worden beoordeeld.
• Operationele impact: Bij kritieke productiesystemen vergt het testen en uitrollen meer voorbereiding, maar dat rechtvaardigt geen onbeperkt uitstel.

Een praktische richtlijn die veel organisaties hanteren: kritieke patches binnen 48 uur, hoge prioriteit binnen zeven dagen, overige patches binnen dertig dagen. Stel dit vast in een formeel patchbeleid zodat iedereen weet wat er van hen verwacht wordt.

Welke systemen hebben de meeste prioriteit bij patchen?

Systemen die direct bereikbaar zijn via het internet, kritieke bedrijfsprocessen ondersteunen of toegang bieden tot gevoelige data hebben de hoogste prioriteit bij patchen. Denk aan firewalls, VPN-gateways, webservers, e-mailservers en systemen voor identiteits- en toegangsbeheer. Een kwetsbaarheid in deze systemen kan direct leiden tot een succesvolle aanval op je hele netwerk.

Een goede prioritering bij patch management volgt de logica van risico en blootstelling:

Systemen met directe internettoegang

Firewalls, loadbalancers, VPN-concentrators en publiek toegankelijke webapplicaties staan als eerste in de schijnwerpers van aanvallers. Kwetsbaarheden in deze systemen worden vaak binnen uren na publicatie al actief misbruikt. Patches voor deze systemen verdienen altijd prioriteit.

Systemen met toegang tot kritieke data

Databaseservers, systemen voor identiteitsbeheer zoals Active Directory en platforms voor financiële of medische gegevens moeten hoog op de patchlijst staan. Een aanvaller die hier binnenkomt, heeft toegang tot de kroonjuwelen van de organisatie. Ook onderzoek naar kwetsbaarheden in deze omgevingen loont om blinde vlekken te ontdekken.

Wanneer is een vulnerability scan nuttig naast patch management?

Een vulnerability scan is nuttig naast patch management wanneer je wilt verifiëren of patches correct zijn toegepast, of wanneer je kwetsbaarheden wilt opsporen die niet alleen door patches worden opgelost, zoals misconfiguraties, zwakke wachtwoorden of verouderde protocollen. Patch management en vulnerability scanning vullen elkaar aan en vormen samen een sterkere verdediging.

Patch management richt zich op het dichten van bekende kwetsbaarheden via leveranciersupdates. Maar niet alle risico’s zijn te herleiden tot ontbrekende patches. Een vulnerability scan brengt het bredere aanvalsoppervlak in kaart en geeft inzicht in:

• Systemen die je over het hoofd hebt gezien in je patchproces (shadow IT, vergeten servers)
• Misconfiguraties die een aanvaller kunnen helpen, ook al zijn alle patches geïnstalleerd
• Verouderde software of protocollen die niet meer worden ondersteund
• Kwetsbaarheden in maatwerksoftware waarvoor geen leveranciersupdates bestaan

Een pentest gaat nog een stap verder: daarbij probeert een ethisch hacker actief gebruik te maken van gevonden kwetsbaarheden om te toetsen hoe ver een aanvaller daadwerkelijk zou kunnen komen. Dit geeft een realistisch beeld van de effectiviteit van je beveiliging in de praktijk.

De combinatie van regelmatig patchen, periodieke vulnerability scans en gerichte pentests vormt de basis van een volwassen beveiligingsaanpak. Zeker voor organisaties die onder de NIS2-wetgeving vallen, is het aantonen van een dergelijke gelaagde aanpak steeds belangrijker.

Hoe Q-Cyber helpt met patch management en kwetsbaarhedenbeheer

Q-Cyber ondersteunt organisaties bij het opzetten en verbeteren van een effectief patchbeleid, van de eerste inventarisatie tot de doorlopende bewaking van kwetsbaarheden. We combineren technische expertise met beleidskennis, zodat uw aanpak zowel technisch solide als aantoonbaar compliant is.

Wat we concreet voor u doen:

• Vulnerability scans: We brengen het aanvalsoppervlak van uw organisatie in kaart en identificeren kwetsbaarheden die uw patchproces mogelijk heeft gemist.
• Pentests en red team assessments: Onze ethische hackers toetsen hoe ver een aanvaller daadwerkelijk zou komen via gevonden kwetsbaarheden.
• Patchbeleid op maat: We helpen u een formeel patchbeleid opstellen dat aansluit op uw risicoprofiel en voldoet aan de eisen van NIS2 en andere relevante wetgeving.
• Virtuele CISO via Continuous-Q: Voor organisaties zonder eigen CISO bieden we doorlopende begeleiding bij alle aspecten van cybersecurity, inclusief patchbeheer.
• NIS2-begeleiding: We voeren gap-analyses uit, schrijven beleid op maat en adviseren pragmatische maatregelen die aansluiten op uw specifieke situatie.

We werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in uw belang is. Wilt u weten hoe uw organisatie er nu voor staat op het gebied van patch management en kwetsbaarhedenbeheer? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe train je medewerkers in cybersecurity?

Geplaatst op: 17 juli 2026

Medewerkers trainen in cybersecurity doe je door regelmatige, praktijkgerichte sessies te combineren met gesimuleerde aanvallen zoals phishingtests. Effectieve cybersecurity training voor medewerkers gaat verder dan eenmalige voorlichting: het gaat om het opbouwen van blijvend cyberbewustzijn dat verankerd is in de dagelijkse werkroutine. In dit artikel beantwoorden we de meest gestelde vragen over security awareness training, van de juiste onderwerpen tot het meten van resultaten.

Welke cybersecurity-onderwerpen moeten medewerkers kennen?

Medewerkers moeten in elk geval de volgende kernonderwerpen kennen: phishing herkennen, veilig omgaan met wachtwoorden, het gebruik van multi-factorauthenticatie, veilig thuiswerken en het melden van verdachte situaties. Dit zijn de basisvaardigheden die de grootste risico’s voor een organisatie afdekken en die in vrijwel elke functie relevant zijn.

Naast deze basisonderwerpen zijn er thema’s die afhankelijk van de rol meer of minder relevant zijn. Iemand die werkt met klantgegevens heeft baat bij training over gegevensbescherming en privacywetgeving. Een medewerker met beheerdersrechten moet juist dieper ingaan op toegangsbeveiliging en het principe van least privilege. En voor bestuurders is het essentieel om inzicht te hebben in risicoherkenning, het beoordelen van beveiligingsmaatregelen en de gevolgen van cyberincidenten voor de organisatie.

Vanuit de NIS2-wetgeving zijn er concrete minimumvereisten voor training. De Cyberbeveiligingswet verplicht alle leden van het bestuur om een training te volgen gericht op drie leerdoelen: het identificeren van beveiligingsrisico’s voor netwerk- en informatiesystemen, het beoordelen van risicobeheersmaatregelen en het inschatten van de gevolgen voor de organisatie. Dit maakt duidelijk dat cybersecurity training niet alleen voor de IT-afdeling is, maar voor de hele organisatie, van receptie tot directie.

• Phishing en social engineering herkennen
• Veilig wachtwoordbeheer en gebruik van een wachtwoordmanager
• Multi-factorauthenticatie (MFA) instellen en gebruiken
• Veilig omgaan met e-mail en bijlagen
• Melden van verdachte situaties of incidenten
• Veilig thuiswerken en gebruik van openbare netwerken
• Basisbeginselen van gegevensbescherming

Hoe vaak moeten medewerkers cybersecurity-training volgen?

Medewerkers zouden minimaal één keer per jaar een volledige security awareness training moeten volgen, aangevuld met kortere, gerichte herhalingen gedurende het jaar. Eén jaarlijkse training is een absolute ondergrens; de meest effectieve aanpak combineert een jaarlijkse basistraining met maandelijkse of kwartaalse micro-learnings en gesimuleerde phishingtests.

De reden voor regelmatige herhaling is simpel: kennis slijt. Onderzoek en praktijkervaring laten zien dat medewerkers na een paar maanden een groot deel van de trainingsinhoud vergeten zijn als er geen opvolging plaatsvindt. Cyberdreigingen veranderen bovendien voortdurend. Een phishingmail zag er vijf jaar geleden anders uit dan vandaag, en aanvallers passen hun methoden continu aan op actuele gebeurtenissen en populaire communicatiemiddelen.

Een goede trainingskalender ziet er in de praktijk zo uit:

1. Jaarlijkse basistraining: uitgebreide sessie met alle kernonderwerpen, bij voorkeur interactief
2. Kwartaalse updates: korte modules over actuele dreigingen of nieuwe beleidswijzigingen
3. Maandelijkse phishingtests: gesimuleerde aanvallen om alertheid te meten en te onderhouden
4. Directe leermomenten: wanneer een medewerker op een gesimuleerde phishinglink klikt, direct een korte uitleg aanbieden

Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt bovendien dat bestuurders na inwerkingtreding maximaal twee jaar hebben om aan de trainingsplicht te voldoen. Het is verstandig niet te wachten tot die deadline nadert.

Wat is het verschil tussen een phishingtest en een security awareness training?

Een security awareness training is een educatieve sessie waarbij medewerkers leren hoe ze cyberdreigingen herkennen en vermijden. Een phishingtest is een gesimuleerde aanval waarbij nep-phishingmails worden verstuurd om te meten hoe medewerkers in de praktijk reageren. De twee vullen elkaar aan: training bouwt kennis op, de phishingtest toetst of die kennis ook in de praktijk wordt toegepast.

Het onderscheid is belangrijk omdat kennis en gedrag niet hetzelfde zijn. Een medewerker kan precies weten hoe een phishingmail eruitziet, maar toch op een link klikken wanneer de mail op het juiste moment binnenkomt en overtuigend is opgesteld. Een phishing test onthult precies dat gat tussen kennis en gedrag, en geeft de organisatie inzicht in waar de kwetsbaarheden zitten.

Wat levert een phishingtest op?

Een phishingtest levert concrete meetgegevens op: hoeveel procent van de medewerkers opende de mail, klikte op de link of vulde gegevens in. Die data helpt bij het prioriteren van vervolgtraining en laat zien welke afdelingen of functies extra aandacht nodig hebben. Het is geen instrument om medewerkers te bestraffen, maar om gerichte verbeteringen door te voeren.

Wanneer zet je welk instrument in?

Start bij nieuwe medewerkers altijd met een basistraining voordat je een phishingtest uitvoert. Voor bestaande teams is een nulmeting via een phishingtest een goede manier om de huidige stand van zaken in kaart te brengen. Vervolgens wissel je training en tests af om een continu leerproces te creëren. De combinatie van beide instrumenten is veel effectiever dan elk afzonderlijk.

Hoe maak je cybersecurity-training effectief en niet saai?

Cybersecurity training wordt effectief door deze praktijkgericht, kort en relevant te maken voor de dagelijkse werkzaamheden van de medewerker. Lange theoretische presentaties werken niet; interactieve scenario’s, herkenbare voorbeelden en directe toepasbaarheid wel. De medewerker moet na de training begrijpen wat hij of zij morgen anders doet.

Een paar concrete principes die het verschil maken:

• Gebruik echte voorbeelden: laat zien hoe een phishingmail eruitziet die gericht is op de eigen sector of organisatie
• Houd het kort: micro-learnings van vijf tot tien minuten werken beter dan sessies van een uur
• Maak het interactief: quizzen, simulaties en scenario-oefeningen zorgen voor actieve verwerking
• Sluit aan bij de rol: een medewerker van de financiële afdeling herkent CEO-fraude eerder als het voorbeeld uit zijn eigen werkcontext komt
• Geef directe feedback: wie op een gesimuleerde phishinglink klikt, krijgt meteen uitleg waarom die mail verdacht was
• Maak het herhaalbaar: varieer de inhoud bij elke cyclus zodat medewerkers niet de antwoorden gaan herkennen, maar de principes

Gamification is een andere bewezen aanpak. Ranglijsten, beloningen voor goede scores en teamuitdagingen maken van cyberbewustzijn iets wat medewerkers actief willen verbeteren in plaats van iets wat ze moeten ondergaan. De toon van de training is ook bepalend: een vriendelijke, niet-bestraffende aanpak werkt beter dan een die medewerkers het gevoel geeft dat ze worden getest op fouten.

Wie is verantwoordelijk voor cybersecurity-training binnen een organisatie?

De eindverantwoordelijkheid voor cybersecurity training ligt bij het bestuur van de organisatie. De dagelijkse uitvoering ligt doorgaans bij de CISO, de HR-afdeling of een combinatie van beiden. Maar de cultuur van cyberbewustzijn wordt bepaald door de toon die het leiderschap zet: als bestuurders zelf de training serieus nemen, volgt de rest van de organisatie.

De NIS2-richtlijn maakt dit formeel: de Cyberbeveiligingswet legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur neer. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen over netwerk- en informatiebeveiliging. Dit is geen vrijblijvende aanbeveling, maar een wettelijke verplichting met bijbehorende trainingsplicht.

In de praktijk werkt een gedeelde verantwoordelijkheid het beste:

• Bestuur: stelt cybersecurity als prioriteit, volgt zelf training en draagt het belang ervan actief uit
• CISO of security officer: bepaalt de inhoud van de training, bewaakt de kwaliteit en analyseert de resultaten
• HR: integreert cybersecurity training in het onboardingprogramma en de jaarlijkse opleidingscyclus
• Lijnmanagers: stimuleren hun team actief deel te nemen en geven het goede voorbeeld
• Medewerkers: zijn zelf verantwoordelijk voor hun eigen leerproces en het melden van verdachte situaties

Organisaties zonder een interne CISO kunnen een virtuele CISO-dienst inschakelen om deze rol op te vullen en het trainingsprogramma te structureren.

Hoe meet je of cybersecurity-training daadwerkelijk werkt?

Je meet de effectiviteit van cybersecurity training door drie dingen bij te houden: gedragsverandering (klikratio’s bij phishingtests), kennisgroei (scores op toetsen voor en na de training) en het aantal gemelde incidenten. Een stijging in het aantal meldingen van verdachte mails is juist een positief signaal: het betekent dat medewerkers alerter zijn geworden.

Concrete meetpunten die je kunt bijhouden:

• Phishingklikratio: het percentage medewerkers dat op een gesimuleerde phishinglink klikt, gemeten over tijd
• Meldingsratio: hoeveel medewerkers verdachte mails actief melden bij de IT-afdeling of helpdesk
• Kennisscores: resultaten van toetsen die voor en na de training worden afgenomen
• Doorlooptijd: hoe snel voltooit de organisatie de verplichte trainingen
• Incidenttrends: neemt het aantal beveiligingsincidenten dat te herleiden is tot menselijk gedrag af over tijd

Het is belangrijk om metingen over een langere periode te volgen. Eén phishingtest zegt weinig; een reeks van zes tests over een jaar laat zien of de training structureel effect heeft. Combineer kwantitatieve data met kwalitatieve signalen: praten medewerkers vaker over cybersecurity? Stellen ze vragen? Melden ze twijfelgevallen? Dat zijn tekenen dat cyberbewustzijn echt leeft in de organisatie.

Vergeet ook niet de resultaten terug te koppelen naar het bestuur. Trainingseffectiviteit is een onderdeel van de bredere cyberweerbaarheid van de organisatie, en bestuurders moeten in staat zijn de voortgang te beoordelen. Dit sluit direct aan bij de bestuurlijke verantwoordelijkheid zoals die is vastgelegd in de Cyberbeveiligingswet.

Hoe wij helpen met cybersecurity training voor medewerkers

Bij Q-Cyber begrijpen we dat de mens de sterkste schakel in je beveiliging kan zijn, maar ook de meest kwetsbare. Daarom bieden we een praktische aanpak voor security awareness training die aansluit op de realiteit van jouw organisatie, niet op een standaard sjabloon.

Wat we voor je kunnen doen:

• Phishingtests op maat: gesimuleerde aanvallen die aansluiten op de dreigingen die voor jouw sector relevant zijn
• Bestuurstraining: gerichte sessies die voldoen aan de trainingsplicht uit de Cyberbeveiligingswet, inclusief de drie verplichte leerdoelen
• Security awareness programma’s: een doorlopend trainingsprogramma met micro-learnings, toetsen en voortgangsrapportages
• NIS2-begeleiding: advies over hoe je de trainingsplicht inbedt in een bredere NIS2-aanpak, inclusief beleid en governance
• Onafhankelijk advies: zonder binding aan softwarepartijen geven we eerlijk advies over wat voor jouw organisatie werkt

Wil je weten waar jouw organisatie nu staat en hoe je cybersecurity training structureel kunt aanpakken? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is tweefactorauthenticatie (2FA)?

Geplaatst op: 16 juli 2026

Tweefactorauthenticatie (2FA) is een beveiligingsmethode waarbij je naast je wachtwoord een tweede verificatiestap doorloopt om toegang te krijgen tot een account of systeem. Die tweede stap bewijst dat jij het bent en niet iemand die alleen je wachtwoord heeft buitgemaakt. 2FA is een van de meest effectieve en laagdrempelige maatregelen om accountbeveiliging direct te versterken, en wordt steeds vaker verplicht gesteld door wet- en regelgeving zoals NIS2. In dit artikel beantwoorden we de meest gestelde vragen over tweestapsverificatie: hoe het werkt, welke vormen er zijn, hoe veilig het echt is en welke methode het beste past bij jouw organisatie.

Hoe werkt 2FA in de praktijk?

Bij tweefactorauthenticatie log je in met twee onafhankelijke bewijzen van je identiteit: iets wat je weet (je wachtwoord), gecombineerd met iets wat je hebt of bent. Na het invoeren van je wachtwoord vraagt het systeem om een tweede verificatie, zoals een code op je telefoon of een vingerafdrukscan, voordat toegang wordt verleend.

In de praktijk verloopt een 2FA-inlogpoging doorgaans als volgt:

1. Je voert je gebruikersnaam en wachtwoord in op een website of applicatie.
2. Het systeem herkent je account en vraagt om een tweede verificatiestap.
3. Je ontvangt een eenmalige code via sms, e-mail of een authenticator-app, of je bevestigt de inlogpoging via een hardwaretoken of biometrische scan.
4. Na het invoeren of bevestigen van de tweede factor krijg je toegang.

Het grote voordeel van deze aanpak is dat een aanvaller die je wachtwoord heeft gestolen, nog steeds niet kan inloggen zonder die tweede factor. Zelfs bij een datalek waarbij wachtwoorden worden buitgemaakt, blijft het account beschermd. Dit maakt inlogbeveiliging via 2FA aanzienlijk robuuster dan een enkel wachtwoord, hoe sterk dat wachtwoord ook is.

Welke vormen van 2FA bestaan er?

Er bestaan meerdere vormen van tweefactorauthenticatie, elk met een eigen balans tussen gebruiksgemak en beveiligingsniveau. De meest voorkomende methoden zijn sms-codes, authenticator-apps, hardwaretokens, e-mailcodes en biometrische verificatie.

Sms-codes en e-mailcodes

Bij sms-gebaseerde 2FA stuurt het systeem een eenmalige code naar je mobiele telefoonnummer. Dit is een toegankelijke methode die geen extra app of apparaat vereist. Het nadeel is dat sms-berichten kwetsbaar zijn voor zogenoemde SIM-swapping-aanvallen, waarbij een aanvaller je telefoonnummer overneemt. E-mailcodes bieden vergelijkbaar gemak, maar zijn afhankelijk van de beveiliging van het e-mailaccount zelf.

Authenticator-apps

Apps zoals Google Authenticator, Microsoft Authenticator of Authy genereren elke 30 seconden een nieuwe eenmalige code op je smartphone. Deze codes zijn tijdgebonden en worden lokaal gegenereerd, zonder dat er een netwerkverbinding nodig is. Dit maakt authenticator-apps veiliger dan sms-codes en tegelijk gebruiksvriendelijk voor dagelijks gebruik.

Hardwaretokens en beveiligingssleutels

Fysieke beveiligingssleutels zoals een YubiKey of vergelijkbare FIDO2-tokens bieden de hoogste mate van bescherming. Je sluit het apparaatje aan via USB of NFC en bevestigt daarmee de inlogpoging. Omdat de sleutel fysiek aanwezig moet zijn, is phishing nagenoeg onmogelijk. Dit maakt hardwaretokens bijzonder geschikt voor accounts met verhoogd risico, zoals beheerders van kritieke systemen.

Biometrische verificatie

Vingerafdrukken, gezichtsherkenning en irisscans zijn vormen van biometrische authenticatie. Ze worden steeds vaker gecombineerd met andere factoren in moderne apparaten. Biometrische gegevens zijn uniek en moeilijk te kopiëren, maar vereisen specifieke hardware en roepen privacyvragen op over de opslag van deze gegevens.

Hoe veilig is 2FA echt?

Tweefactorauthenticatie verhoogt de accountbeveiliging aanzienlijk, maar is niet onfeilbaar. De veiligheid hangt sterk af van de gekozen methode: hardwaretokens en authenticator-apps bieden veel sterkere bescherming dan sms-codes. Zelfs de zwakste vorm van 2FA is echter beduidend veiliger dan uitsluitend een wachtwoord.

Aanvallers hebben methoden ontwikkeld om bepaalde 2FA-varianten te omzeilen. Bij real-time phishing-aanvallen lokken ze slachtoffers naar een nepsite die tegelijkertijd inlogt op de echte site en de 2FA-code onderschept. Sms-codes zijn kwetsbaar voor SIM-swapping. Authenticator-app-codes kunnen worden gestolen als het apparaat zelf gecompromitteerd is.

Toch blijft 2FA een van de meest aanbevolen basismaatregelen in cybersecurity, juist omdat het de lat voor aanvallers enorm verhoogt. De meeste geautomatiseerde aanvallen en credential-stuffingpogingen stranden direct op de tweede factor. Voor de overgrote meerderheid van organisaties geldt: 2FA invoeren is een van de effectiefste stappen die je kunt zetten om inlogbeveiliging te versterken, zeker in combinatie met sterke wachtwoorden en een goed toegangsbeleid.

Wat is het verschil tussen 2FA en MFA?

Multi-factorauthenticatie (MFA) is de overkoepelende term voor elke authenticatiemethode die twee of meer onafhankelijke verificatiefactoren combineert. Tweefactorauthenticatie (2FA) is een specifieke vorm van MFA waarbij precies twee factoren worden gebruikt. Alle 2FA is dus MFA, maar niet alle MFA is 2FA.

In de praktijk worden de termen vaak door elkaar gebruikt, maar er is een relevant verschil voor organisaties die hun beveiliging willen opschalen. Bij MFA kunnen drie of meer factoren worden gecombineerd, bijvoorbeeld een wachtwoord, een authenticator-app én een biometrische scan. Dit biedt extra zekerheid voor omgevingen met een hoog risicoprofiel, zoals toegang tot kritieke infrastructuur of gevoelige persoonsgegevens.

Wet- en regelgeving zoals de NIS2-richtlijn spreekt expliciet van het gebruik van multi-factorauthenticatie of continue authenticatie als minimumvereiste. In de meeste gevallen voldoet goed geïmplementeerde 2FA aan deze eis, maar het is verstandig om per context te beoordelen of twee factoren voldoende zijn of dat een derde laag meerwaarde biedt.

Wanneer is 2FA verplicht voor organisaties?

Tweefactorauthenticatie is verplicht voor organisaties die onder de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) vallen. De NIS2-richtlijn benoemt het gebruik van multi-factorauthenticatie uitdrukkelijk als een van de minimummaatregelen binnen de zorgplicht. De inwerkingtreding van de Cyberbeveiligingswet wordt verwacht in het tweede kwartaal van 2026.

Welke organisaties vallen onder deze verplichting? In Nederland gaat het om ruim 10.000 organisaties in sectoren die als essentieel of belangrijk worden aangemerkt, waaronder energie, transport, gezondheidszorg, digitale infrastructuur en de gehele overheid. Gemeenten, provincies, waterschappen en rijksdepartementen worden allemaal als essentiële entiteiten beschouwd. Daarnaast krijgen naar schatting 50.000 toeleveranciers aan deze organisaties indirect met de eisen te maken.

Naast NIS2 kunnen ook sectorspecifieke normen en kaders 2FA verplicht stellen. Voor overheidsorganisaties geldt de Baseline Informatiebeveiliging Overheid (BIO2) als normenkader, dat toegangsbeveiliging inclusief meerfactorauthenticatie als eis stelt. Ook branchestandaarden zoals ISO 27001 en sectorale richtlijnen in de financiële sector bevatten vergelijkbare vereisten. Organisaties die twijfelen of zij onder de wet vallen, kunnen de NIS2-zelfevaluatietool gebruiken via de website van de Rijksdienst voor Ondernemend Nederland.

Welke 2FA-methode is het beste voor jouw organisatie?

De beste 2FA-methode voor jouw organisatie hangt af van het risicoprofiel, de gebruikersgroep en de beschikbare middelen. Voor de meeste organisaties bieden authenticator-apps de beste balans tussen veiligheid en gebruiksgemak. Voor omgevingen met hoge risico’s, zoals beheerdersaccounts of toegang tot kritieke systemen, zijn hardwaretokens de sterkste keuze.

Houd bij de keuze rekening met de volgende factoren:

• Risiconiveau: Hoe gevoeliger de data of het systeem, hoe sterker de 2FA-methode moet zijn. Beheerders en gebruikers met uitgebreide rechten verdienen extra bescherming.
• Gebruiksgemak: Een methode die medewerkers als omslachtig ervaren, wordt omzeild of verkeerd gebruikt. Kies een oplossing die past bij het werkproces.
• Schaalbaarheid: Denk aan de uitrolbaarheid voor alle medewerkers, inclusief thuiswerkers, externe partijen en leveranciers.
• Integratie: Controleer of de gekozen 2FA-oplossing aansluit op de bestaande systemen, zoals je identity provider of cloudomgeving.
• Herstelproces: Wat gebeurt er als een medewerker de toegang tot de tweede factor verliest? Een goed herstelproces is essentieel om uitval te voorkomen zonder de beveiliging te ondermijnen.

Sms-codes zijn acceptabel als tijdelijke maatregel of voor laagrisico-toepassingen, maar voor structurele inlogbeveiliging zijn authenticator-apps of hardwaretokens de voorkeurskeuze. Organisaties die al werken met een centrale identity- en toegangsbeheersoplossing kunnen 2FA daar vaak direct in integreren, wat het beheer aanzienlijk vereenvoudigt.

Hoe Q-Cyber helpt met tweefactorauthenticatie en toegangsbeveiliging

Weten welke 2FA-methode bij jouw organisatie past, is één ding. Die methode correct implementeren, integreren in beleid en borgen voor de lange termijn is een ander verhaal. Wij helpen organisaties bij elke stap van dat proces, van advies tot uitvoering.

Concreet bieden wij:

• Gap-analyse en risicoassessment: We brengen in kaart waar jouw toegangsbeveiliging nu staat en waar de kwetsbaarheden zitten, inclusief de mate van NIS2-compliance.
• Beleidsvorming: We schrijven toegangsbeveiligingsbeleid op maat, inclusief richtlijnen voor 2FA-gebruik, herstelprocessen en uitzonderingen.
• Technisch advies: We adviseren welke 2FA-oplossingen passen bij jouw IT-omgeving, zonder binding aan specifieke softwarepartijen.
• Trainingen: We verzorgen bewustwordingstrainingen voor medewerkers en bestuurders, zodat 2FA niet alleen wordt uitgerold maar ook correct wordt gebruikt.
• Pentesten en phishingtests: Via onze security scans testen we of jouw 2FA-implementatie in de praktijk standhoudt tegen realistische aanvalsscenario’s.
• Virtuele CISO: Via Continuous-Q bieden we continue begeleiding door een team van specialisten, ook voor toegangsbeveiliging en NIS2-voorbereiding.

Of je nu wilt starten met 2FA, jouw huidige implementatie wilt laten toetsen of volledig NIS2-compliant wilt worden: we denken graag met je mee. Neem contact op en we bespreken samen de beste aanpak voor jouw organisatie.

Lees meer

E-mailbeveiliging: SPF, DKIM en DMARC uitgelegd

Geplaatst op: 15 juli 2026

SPF, DKIM en DMARC zijn drie DNS-gebaseerde e-mailauthenticatiestandaarden die samen voorkomen dat kwaadwillenden jouw domein gebruiken om nep-e-mails te versturen. Zonder deze instellingen is jouw domein kwetsbaar voor e-mailspoofing en phishingaanvallen waarbij aanvallers zich voordoen als jouw organisatie. In dit artikel beantwoorden we de meest gestelde vragen over hoe deze standaarden werken, hoe je ze instelt en wat ze betekenen voor NIS2-compliance.

Wat gebeurt er als SPF, DKIM en DMARC niet zijn ingesteld?

Als SPF, DKIM en DMARC niet zijn ingesteld op jouw domein, kunnen aanvallers e-mails versturen die er precies uitzien alsof ze van jouw organisatie afkomstig zijn. Ontvangende mailservers hebben dan geen manier om te controleren of een bericht legitiem is, waardoor phishing- en spoofingaanvallen vrij spel hebben.

De gevolgen zijn concreet en ernstig. Medewerkers, klanten of partners kunnen frauduleuze e-mails ontvangen die ogenschijnlijk van jouw domein komen, met als doel inloggegevens te stelen, malware te verspreiden of betalingen te manipuleren. Naast de directe schade lijdt ook de reputatie van jouw domein: als jouw domein regelmatig wordt misbruikt voor spam, kunnen e-mailproviders berichten van jouw legitieme adres als verdacht markeren of weigeren.

Een ander risico is dat je als organisatie geen enkel inzicht hebt in dit misbruik. Zonder DMARC-rapportages weet je simpelweg niet dat jouw domeinnaam elders wordt ingezet voor aanvallen. Tools zoals internet.nl kunnen controleren of jouw domein de juiste e-mailauthenticatiestandaarden ondersteunt, wat een goed startpunt is om de huidige situatie in kaart te brengen.

Hoe werkt SPF en wat stelt het precies in?

SPF, voluit Sender Policy Framework, is een DNS-record dat vastlegt welke mailservers gemachtigd zijn om e-mail te versturen namens jouw domein. Wanneer een ontvangende mailserver een bericht ontvangt, controleert hij of het IP-adres van de verzendende server voorkomt in het SPF-record van het afzenderdomein. Staat het IP er niet in, dan faalt de SPF-controle.

Een SPF-record wordt toegevoegd als een TXT-record in de DNS-instellingen van jouw domein. Een eenvoudig voorbeeld ziet er zo uit:

• v=spf1 geeft aan dat het om een SPF-record gaat
• include:mailprovider.com staat toe dat de servers van jouw mailprovider e-mail mogen versturen
• ip4:203.0.113.5 staat een specifiek IP-adres toe
• -all wijst alle andere verzenders af (de strengste instelling)

Een belangrijk aandachtspunt: SPF valideert alleen het technische verzendadres (het zogenaamde envelope-from adres), niet het zichtbare “Van:”-adres dat de ontvanger ziet. Dat is precies waarom SPF alleen nooit voldoende is en altijd gecombineerd moet worden met DKIM en DMARC.

Wat is het verschil tussen DKIM en SPF?

Het kernverschil is dat SPF controleert vanaf welke server een e-mail verstuurd wordt, terwijl DKIM verifieert of de inhoud van het bericht onderweg niet is aangepast. DKIM staat voor DomainKeys Identified Mail en werkt met een cryptografische handtekening die aan het bericht wordt toegevoegd.

Bij DKIM plaatst de verzendende mailserver een digitale handtekening in de header van het e-mailbericht. Deze handtekening is gemaakt met een privésleutel die alleen jouw server kent. De bijbehorende publieke sleutel staat gepubliceerd in jouw DNS. De ontvangende server haalt die publieke sleutel op en controleert daarmee of de handtekening klopt en of de berichtinhoud niet is gewijzigd.

Samengevat:

• SPF beantwoordt de vraag: mag deze server e-mail sturen namens dit domein?
• DKIM beantwoordt de vraag: is dit bericht afkomstig van de echte eigenaar van het domein en ongewijzigd aangekomen?

Een praktisch voordeel van DKIM boven SPF is dat de handtekening ook bewaard blijft als een bericht wordt doorgestuurd. SPF-verificatie faalt namelijk regelmatig bij doorgestuurde berichten, omdat het IP-adres van de doorsturende server niet in het originele SPF-record staat. DKIM is in dat opzicht robuuster, maar ook DKIM heeft beperkingen als het gaat om het zichtbare afzenderadres. Dat is waar DMARC om de hoek komt kijken.

Wat doet DMARC en hoe gebruikt het SPF en DKIM?

DMARC, wat staat voor Domain-based Message Authentication, Reporting and Conformance, is de overkoepelende laag die SPF en DKIM aan elkaar koppelt en een beleid bepaalt voor wat er moet gebeuren met berichten die de controles niet doorstaan. DMARC voegt bovendien rapportagemogelijkheden toe, zodat je inzicht krijgt in hoe jouw domein wordt gebruikt.

DMARC werkt door te eisen dat óf SPF óf DKIM slaagt én dat het gevalideerde domein overeenkomt met het zichtbare “Van:”-adres in het bericht. Dit laatste heet “alignment” en is de cruciale stap die e-mailspoofing effectief tegengaat. Een aanvaller die een technisch geldig SPF-record gebruikt vanuit een ander domein, slaagt dus niet voor de DMARC-alignment-controle.

In het DMARC-record stel je een van drie beleidsopties in:

• none: alleen monitoring, berichten worden niet geblokkeerd
• quarantine: verdachte berichten belanden in de spammap
• reject: verdachte berichten worden volledig geweigerd

Daarnaast kun je in het DMARC-record een e-mailadres opgeven waarop je rapportages ontvangt. Deze rapporten geven je inzicht in welke servers e-mail versturen namens jouw domein, inclusief eventueel misbruik. Voor organisaties die willen voldoen aan moderne beveiligingsnormen is een DMARC-beleid van minimaal quarantine of reject de aanbevolen standaard.

Hoe stel je SPF, DKIM en DMARC correct in?

De correcte instelling van SPF, DKIM en DMARC verloopt stapsgewijs via de DNS-instellingen van jouw domein. Begin altijd met SPF en DKIM voordat je DMARC activeert, want DMARC bouwt voort op de resultaten van beide andere controles.

Stap 1: SPF instellen

Voeg een TXT-record toe aan je DNS met daarin alle mailservers die namens jouw domein mogen verzenden. Gebruik -all aan het einde voor de strengste afwijzing van onbevoegde servers. Controleer of alle legitieme verzendende systemen (zoals CRM-tools, nieuwsbriefplatformen en externe mailproviders) zijn opgenomen, anders worden jouw eigen berichten geblokkeerd.

Stap 2: DKIM instellen

Genereer een DKIM-sleutelpaar via jouw mailprovider of mailserver. Publiceer de publieke sleutel als TXT-record in je DNS onder een selector-subdomein (bijvoorbeeld mail._domainkey.jouwdomein.nl). Zorg dat jouw mailserver de privésleutel gebruikt om uitgaande berichten te ondertekenen.

Stap 3: DMARC instellen en monitoren

Begin met een DMARC-beleid van none en een rapportage-e-mailadres. Analyseer de rapporten die je ontvangt om te begrijpen welke bronnen e-mail versturen namens jouw domein. Zodra je zeker weet dat alle legitieme verzenders correct zijn geconfigureerd, schakel je over naar quarantine en uiteindelijk naar reject.

Een veelgemaakte fout is te snel overstappen naar een streng DMARC-beleid zonder eerst de rapportages te analyseren. Dit kan ertoe leiden dat legitieme e-mail wordt geblokkeerd. Neem de tijd voor de monitoringsfase, zeker als je organisatie meerdere systemen gebruikt die e-mail versturen.

Voldoet mijn organisatie aan NIS2 met alleen e-mailauthenticatie?

Nee, e-mailauthenticatie via SPF, DKIM en DMARC is een noodzakelijke maar niet voldoende maatregel voor NIS2-compliance. De NIS2-richtlijn vereist een breed pakket aan technische en organisatorische maatregelen, waarvan e-mailbeveiliging slechts één onderdeel is.

Onder de NIS2-zorgplicht moeten organisaties aantoonbaar passende maatregelen nemen op onder meer de volgende gebieden:

• Risicoanalyse en beveiligingsbeleid voor informatiesystemen
• Toegangsbeveiliging en multi-factorauthenticatie
• Cryptografie en encryptie
• Beveiliging van de toeleveringsketen
• Bedrijfscontinuïteit en incidentbeheer
• Meldplicht bij significante cyberincidenten

E-mailauthenticatie draagt bij aan de technische basisbeveiliging en vermindert het risico op phishing, wat relevant is voor de NIS2-eis rondom beveiligingsmaatregelen voor personeel en toegangsbeveiliging. Maar het is geen vervanging voor een volledig cybersecurityprogramma. Organisaties die onder de Cyberbeveiligingswet vallen, zijn verplicht een risicogebaseerde aanpak te hanteren en dit aantoonbaar te maken richting toezichthouders. Een pentest of vulnerability scan kan helpen om inzicht te krijgen in de bredere kwetsbaarheden naast e-mailbeveiliging.

Hoe Q-Cyber helpt met e-mailbeveiliging en NIS2

Bij Q-Cyber helpen we organisaties niet alleen met het technisch correct instellen van SPF, DKIM en DMARC, maar ook met het inbedden van e-mailbeveiliging in een bredere cybersecuritystrategie. Onze aanpak is pragmatisch, onafhankelijk en gericht op wat jouw organisatie echt nodig heeft.

Wat we concreet voor je kunnen doen:

• Technische audit: we controleren de huidige staat van jouw e-mailauthenticatie en signaleren kwetsbaarheden in SPF, DKIM en DMARC-configuraties
• Implementatiebegeleiding: we begeleiden de correcte instelling van alle drie de standaarden, inclusief de monitoringsfase
• NIS2 gap-analyse: we brengen in kaart waar jouw organisatie staat ten opzichte van de NIS2-verplichtingen, inclusief e-mailbeveiliging als onderdeel van het totaalplaatje
• Beleidsvorming: we schrijven beleid op maat dat aansluit op jouw risicoprofiel en voldoet aan de eisen van de Cyberbeveiligingswet
• Trainingen: we verzorgen bewustwordingstrainingen voor medewerkers en bestuurders over phishing en e-mailrisico’s
• Virtuele CISO: via Continuous-Q® bieden we doorlopende begeleiding door een team van specialisten

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van e-mailbeveiliging en NIS2-compliance? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is DNS-beveiliging?

Geplaatst op: 14 juli 2026

DNS-beveiliging is het geheel van maatregelen dat organisaties beschermt tegen aanvallen op het Domain Name System, het protocol dat domeinnamen vertaalt naar IP-adressen. Zonder adequate DNS-bescherming kunnen aanvallers verkeer omleiden, communicatie onderscheppen of diensten volledig platleggen. Hieronder beantwoorden we de meest gestelde vragen over DNS security, van veelvoorkomende aanvalstechnieken tot concrete maatregelen die elke organisatie kan nemen.

Hoe wordt DNS misbruikt door cybercriminelen?

Cybercriminelen misbruiken DNS op meerdere manieren: ze manipuleren de vertaling van domeinnamen om gebruikers naar valse websites te sturen, verbergen kwaadaardig verkeer in DNS-verzoeken, of overbelasten DNS-servers om diensten onbereikbaar te maken. DNS is een aantrekkelijk doelwit omdat het vrijwel altijd open staat en door veel organisaties onvoldoende wordt gemonitord.

De meest voorkomende aanvalstechnieken zijn:

• DNS spoofing en cache poisoning: de aanvaller plaatst valse DNS-records in een resolver, waardoor gebruikers ongemerkt naar een nepwebsite worden geleid in plaats van de echte.
• DNS tunneling: kwaadaardige software verbergt data in DNS-verzoeken om firewalls te omzeilen en communicatie te onderhouden met een command-and-control server. Dit wordt veel gebruikt bij geavanceerde aanvallen en datalekken.
• DNS hijacking: aanvallers wijzigen de DNS-instellingen van een router of domeinregistratie, zodat al het verkeer via hun infrastructuur loopt.
• DDoS via DNS amplification: kleine verzoeken worden versterkt tot enorme hoeveelheden antwoordverkeer, gericht op het platleggen van een doelwit.
• Subdomain takeover: verlopen of onbeheerde subdomeinen worden overgenomen om phishing of malware te hosten onder een vertrouwde domeinnaam.

Wat al deze technieken gemeen hebben, is dat ze gebruikmaken van het vertrouwen dat systemen en gebruikers automatisch stellen in DNS. Het protocol is van oorsprong ontworpen voor beschikbaarheid, niet voor veiligheid. Dat maakt cybersecurity DNS een onderwerp dat structureel aandacht verdient, en niet alleen na een incident.

Wat zijn de gevolgen van een DNS-aanval voor een organisatie?

Een succesvolle DNS-aanval kan leiden tot diefstal van inloggegevens, langdurige uitval van diensten, reputatieschade en in ernstige gevallen datalekken met juridische gevolgen. De impact reikt verder dan technische verstoring: klanten, partners en medewerkers kunnen zonder waarschuwing op frauduleuze websites terechtkomen.

Concreet kunnen de gevolgen zijn:

• Omleiding van klanten naar phishingpagina’s die identiek lijken aan de echte website
• Onderschepping van gevoelige communicatie, zoals e-mail of loginverkeer
• Volledige onbereikbaarheid van webapplicaties, portalen of interne systemen
• Exfiltratie van bedrijfsdata via DNS tunneling, soms wekenlang onopgemerkt
• Schade aan de merkreputatie als klanten in contact komen met valse content onder de eigen domeinnaam

Organisaties die vallen onder de NIS2-richtlijn hebben bovendien een meldplicht bij significante incidenten. Een DNS-aanval die de continuïteit van dienstverlening verstoort, kan meldingsplichtig zijn bij het NCSC. Dat maakt de organisatorische en juridische gevolgen van een DNS-incident voor veel sectoren aanzienlijk zwaarder dan puur de technische schade.

Hoe werkt DNS-filtering als beveiligingsmaatregel?

DNS-filtering is een beveiligingstechniek waarbij DNS-verzoeken worden geanalyseerd en geblokkeerd op basis van een lijst van bekende kwaadaardige of ongewenste domeinen. Wanneer een gebruiker of systeem een verbinding probeert te maken met een gevaarlijk domein, geeft de DNS-resolver geen antwoord terug, waardoor de verbinding nooit tot stand komt.

De werking is relatief eenvoudig te begrijpen: elk apparaat in een netwerk stuurt DNS-verzoeken naar een resolver. Bij DNS-filtering zit er een beveiligingslaag tussen het apparaat en de resolver die elk verzoek toetst aan een database van bedreigingen. Die database bevat onder andere:

• Domeinen die worden gebruikt voor malware-distributie
• Command-and-control servers van bekende botnets
• Phishingdomeinen en nep-loginpagina’s
• Domeinen die betrokken zijn bij DNS tunneling

Het grote voordeel van DNS-filtering als onderdeel van DNS bescherming is dat het werkt ongeacht welk apparaat of welke applicatie een verbinding probeert te maken. Zelfs als malware al actief is op een systeem, kan DNS-filtering voorkomen dat die malware contact maakt met de aanvaller. Het is daarmee een effectieve tweede verdedigingslinie, naast endpoint- en netwerkbeveiliging.

Wat is het verschil tussen DNSSEC en DNS over HTTPS?

DNSSEC en DNS over HTTPS zijn twee verschillende beveiligingstechnieken die elk een ander probleem oplossen. DNSSEC verifieert de authenticiteit van DNS-antwoorden om te voorkomen dat records worden vervalst. DNS over HTTPS versleutelt het DNS-verkeer zelf om afluisteren en manipulatie onderweg te voorkomen. Ze vullen elkaar aan en zijn geen alternatieven voor elkaar.

DNSSEC: integriteit van DNS-records

DNSSEC staat voor Domain Name System Security Extensions. Het voegt digitale handtekeningen toe aan DNS-records, zodat een resolver kan controleren of een antwoord daadwerkelijk afkomstig is van de bevoegde DNS-server en niet is aangepast. DNSSEC beschermt tegen cache poisoning en spoofing, maar versleutelt het verkeer zelf niet. De inhoud van DNS-verzoeken blijft leesbaar voor partijen die het verkeer kunnen onderscheppen.

DNS over HTTPS: vertrouwelijkheid van DNS-verkeer

DNS over HTTPS, ook wel DoH genoemd, stuurt DNS-verzoeken via een versleutelde HTTPS-verbinding. Hierdoor kunnen internetproviders, netwerkapparatuur of aanvallers niet meelezen welke domeinen een gebruiker opvraagt. DoH beschermt de privacy en maakt het moeilijker om DNS-verkeer te manipuleren onderweg. Een nadeel voor organisaties is dat DoH het lastiger maakt om DNS-filtering toe te passen op netwerkniveau, omdat het verkeer niet meer centraal zichtbaar is.

Voor een robuuste DNS security-aanpak is het zinvol beide technieken te overwegen: DNSSEC voor de integriteit van de eigen DNS-records, en DoH of DNS over TLS voor de vertrouwelijkheid van uitgaand verkeer, mits dit past binnen het bredere beveiligingsbeleid van de organisatie.

Welke DNS-beveiligingsmaatregelen zijn essentieel voor organisaties?

De meest essentiële DNS-beveiligingsmaatregelen zijn: het activeren van DNSSEC voor eigen domeinen, het implementeren van DNS-filtering, het monitoren van DNS-verkeer op afwijkingen, het beperken van zone transfers en het regelmatig controleren van DNS-records op ongeautoriseerde wijzigingen. Samen vormen deze maatregelen de basis van een solide DNS-beveiliging.

Een overzicht van de meest impactvolle stappen:

1. Activeer DNSSEC voor alle domeinen die de organisatie beheert, inclusief subdomeinen die worden gebruikt voor e-mail en applicaties.
2. Implementeer DNS-filtering om verbindingen met kwaadaardige domeinen automatisch te blokkeren, zowel voor gebruikers als voor servers en IoT-apparaten.
3. Monitor DNS-verkeer op ongewone patronen, zoals grote hoeveelheden verzoeken naar onbekende domeinen of verzoeken met ongebruikelijk lange subdomeinen (een indicator van DNS tunneling).
4. Beperk zone transfers zodat de volledige inhoud van een DNS-zone niet opvraagbaar is door ongeautoriseerde partijen. Dit voorkomt dat aanvallers een compleet overzicht krijgen van de infrastructuur.
5. Gebruik dedicated of gecontroleerde resolvers in plaats van de standaard resolvers van de internetprovider, zodat filtering en logging centraal beheerd kunnen worden.
6. Controleer DNS-records periodiek op wijzigingen die niet zijn doorgevoerd door de eigen beheerders, als vroegtijdige detectie van DNS hijacking.
7. Stel TTL-waarden bewust in: te hoge TTL-waarden vertragen reactie op incidenten, te lage waarden verhogen de belasting op resolvers.

Voor organisaties die vallen onder NIS2 zijn veel van deze maatregelen niet optioneel. De zorgplicht vereist passende technische maatregelen voor de beveiliging van netwerk- en informatiesystemen, en DNS vormt daar een fundamenteel onderdeel van.

Wanneer is een DNS-beveiligingsscan zinvol?

Een DNS-beveiligingsscan is zinvol wanneer een organisatie wil weten of haar DNS-configuratie kwetsbaarheden bevat die door aanvallers kunnen worden misbruikt. Concreet is een scan aan te raden bij het lanceren van nieuwe domeinen, na een infrastructuurwijziging, als onderdeel van een periodieke beveiligingsbeoordeling, of wanneer er vermoedens zijn van ongeautoriseerde wijzigingen.

Specifieke situaties waarin een DNS aanvallen-gerichte scan direct waarde toevoegt:

• De organisatie heeft meerdere subdomeinen die historisch zijn aangemaakt en mogelijk niet meer actief worden beheerd
• Er zijn recent wijzigingen doorgevoerd in DNS-records, registrars of hostingomgevingen
• De organisatie heeft een fusie, overname of migratie doorgemaakt waarbij DNS-beheer is overgedragen
• Er zijn signalen van phishing waarbij de eigen domeinnaam wordt misbruikt
• De organisatie bereidt zich voor op NIS2-compliance en wil de technische baseline in kaart brengen

Een DNS-scan brengt onder andere in kaart of DNSSEC correct is geconfigureerd, of er sprake is van open resolvers, of zone transfers zijn beperkt, en of er verdachte of verlopen subdomeinen aanwezig zijn die vatbaar zijn voor overname. Een pentest kan dit verder verdiepen door actief te testen of gevonden kwetsbaarheden daadwerkelijk exploiteerbaar zijn.

Hoe Q-Cyber helpt met DNS-beveiliging

Wij helpen organisaties om hun DNS-beveiliging van reactief naar structureel te brengen. Dat doen we niet met een standaardpakket, maar met een aanpak die aansluit op de specifieke situatie, infrastructuur en het risiconiveau van uw organisatie. Onze dienstverlening op het gebied van DNS security omvat onder andere:

• DNS-beveiligingsscans waarbij we uw domeinconfiguratie, subdomeinen, DNSSEC-implementatie en zone transfers doorlichten op kwetsbaarheden
• Pentesten waarbij we actief testen of DNS-kwetsbaarheden exploiteerbaar zijn in uw specifieke omgeving
• Advies en beleidsvorming rondom DNS-beveiliging als onderdeel van uw bredere cybersecuritybeleid, ook in het kader van NIS2-compliance
• Virtuele CISO-diensten via Continuous-Q waarbij een team van specialisten structureel meekijkt naar uw beveiligingspostuur, inclusief DNS
• Monitoring en detectie van afwijkend DNS-gedrag als onderdeel van een bredere beveiligingsstrategie

We werken onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd gebaseerd is op wat voor uw organisatie het meest effectief is. Wilt u weten hoe uw DNS-beveiliging er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is het verband tussen NIS2 en zero trust beveiliging?

Geplaatst op: 14 juli 2026

NIS2 en zero trust beveiliging versterken elkaar direct: de NIS2-richtlijn verplicht organisaties tot risicogebaseerde beveiligingsmaatregelen, strikte toegangscontrole en continue monitoring, en dat zijn precies de pijlers waarop een zero trust-framework is gebouwd. Zero trust is geen vereiste die NIS2 met name noemt, maar het is een van de meest effectieve benaderingen om aan de NIS2-verplichtingen te voldoen. In dit artikel beantwoorden we de meest gestelde vragen over de relatie tussen NIS2-compliance en zero trust beveiliging.

Hoe versterkt zero trust de naleving van NIS2?

Zero trust versterkt de naleving van NIS2 doordat het beveiligingsprincipe structureel invulling geeft aan de zorgplicht die de richtlijn oplegt. Waar NIS2 vraagt om passende technische en organisatorische maatregelen, biedt zero trust een concreet raamwerk dat identiteitsverificatie, minimale toegangsrechten en continue monitoring combineert tot een samenhangende beveiligingsstrategie.

De kern van zero trust is eenvoudig: vertrouw niemand en niets standaard, ook niet binnen je eigen netwerk. Elk verzoek om toegang wordt geverifieerd, ongeacht de locatie van de gebruiker of het apparaat. Dit sluit naadloos aan bij wat NIS2 vraagt: organisaties moeten aantonen dat ze risico’s actief beheersen en dat cybersecurity structureel is ingebed in processen en beleid.

Concreet biedt zero trust op meerdere vlakken ondersteuning bij NIS2-naleving:

• Toegangsbeheer: Zero trust dwingt af dat gebruikers alleen toegang krijgen tot wat ze echt nodig hebben, wat direct bijdraagt aan de NIS2-eis rondom beveiligingsmaatregelen voor personeel en toegangsbeveiliging.
• Continue monitoring: Het framework vereist doorlopende verificatie en logging, wat organisaties helpt bij de detectie van incidenten en de verplichte meldprocedures onder NIS2.
• Supply chain security: Doordat ook externe partijen en leveranciers continu worden geverifieerd, versterkt zero trust de beveiliging van de toeleveringsketen, een van de expliciete minimummaatregelen onder NIS2.

Welke zero trust-maatregelen zijn verplicht onder NIS2?

NIS2 schrijft zero trust niet als term voor, maar verschillende concrete maatregelen die centraal staan in een zero trust-framework zijn wel degelijk verplicht onder de richtlijn. De Cyberbeveiligingswet benoemt meerdere minimummaatregelen waarbij zero trust-principes direct van toepassing zijn.

De volgende zero trust-gerelateerde maatregelen zijn aan te merken als verplicht of sterk aanbevolen onder NIS2:

• Multi-factorauthenticatie (MFA): Expliciet benoemd als minimummaatregel. Zero trust bouwt voort op MFA door ook na authenticatie continue verificatie te vereisen.
• Toegangsbeheer op basis van minimale rechten: Gebruikers en systemen krijgen alleen de rechten die ze nodig hebben voor hun specifieke taak, niet meer.
• Cryptografie en encryptie: Verplicht beleid en procedures voor het gebruik van cryptografie vallen rechtstreeks binnen het zero trust-domein.
• Risicoanalyse en beleid voor informatiesystemen: Zero trust vereist een gedetailleerd inzicht in welke systemen, gebruikers en data aanwezig zijn, wat de basis vormt voor een goede risicoanalyse.
• Beveiliging van de toeleveringsketen: Zero trust past verificatie toe op alle partijen, inclusief leveranciers en externe dienstverleners.

Organisaties die een NIS2-compliancestrategie opbouwen, merken in de praktijk dat een goed ingericht zero trust-framework een groot deel van de verplichte maatregelen afdekt. Het is daarmee een efficiënte aanpak om meerdere NIS2-vereisten tegelijk te adresseren.

Wat is het verschil tussen zero trust en traditionele perimeterbeveiliging bij NIS2?

Het fundamentele verschil is dat traditionele perimeterbeveiliging vertrouwen baseert op locatie, terwijl zero trust vertrouwen baseert op voortdurende verificatie. Bij perimeterbeveiliging geldt: wie binnen het netwerk is, wordt vertrouwd. Bij zero trust geldt: niemand wordt vertrouwd, ongeacht waar die zich bevindt.

Traditionele perimeterbeveiliging: de muur als verdediging

De klassieke aanpak bouwt een stevige buitenmuur rondom het netwerk, met firewalls, VPN’s en DMZ-zones, en gaat ervan uit dat alles binnen die muur veilig is. Dit model werkt redelijk goed zolang alle medewerkers op kantoor werken en alle systemen intern draaien. Maar in een wereld van cloudapplicaties, thuiswerken en externe leveranciers is die perimeter grotendeels verdwenen.

Zero trust: beveiliging zonder grenzen

Zero trust erkent dat de perimeter niet langer bestaat. Elke gebruiker, elk apparaat en elke applicatie wordt als potentieel onbetrouwbaar beschouwd totdat het tegendeel is bewezen. Dit maakt zero trust bij uitstek geschikt voor de hedendaagse dreigingsomgeving die NIS2 adresseert.

Voor NIS2-naleving is dit onderscheid cruciaal. De richtlijn vraagt om een risicogebaseerde benadering waarbij organisaties aantonen dat ze actief risico’s beheren. Een statische perimeter biedt onvoldoende bewijs van actief risicobeheer. Zero trust levert door zijn aard continue verificatie en logging op, wat organisaties in staat stelt om bij een audit of incident concreet aan te tonen welke maatregelen zijn genomen.

Hoe begin je met een zero trust-implementatie voor NIS2-compliance?

Een zero trust-implementatie voor NIS2-compliance start met een grondige inventarisatie van identiteiten, systemen en data, gevolgd door het inrichten van strikte toegangscontrole en continue monitoring. Je hoeft niet alles tegelijk te doen: een gefaseerde aanpak werkt het best.

Een praktische aanpak bestaat uit de volgende stappen:

1. Breng je omgeving in kaart: Identificeer alle gebruikers, apparaten, applicaties en datastromen. Zonder dit overzicht is zero trust niet effectief en voldoe je ook niet aan de NIS2-eis voor risicoanalyse.
2. Implementeer sterke identiteitsverificatie: Activeer multi-factorauthenticatie voor alle gebruikers, te beginnen bij accounts met verhoogde rechten. Dit is tegelijk een NIS2-minimummaatregel.
3. Pas het principe van minimale toegang toe: Geef gebruikers en systemen alleen toegang tot wat ze nodig hebben. Herzie bestaande rechten en verwijder overbodige toegangen.
4. Segmenteer je netwerk: Verdeel het netwerk in kleinere zones zodat een aanvaller bij een inbraak niet direct toegang heeft tot alles. Dit beperkt de schade bij een incident, wat aansluit bij de NIS2-eis voor bedrijfscontinuïteit.
5. Richt continue monitoring in: Zorg voor logging en monitoring van alle toegangspogingen en activiteiten. Dit ondersteunt zowel de detectie van incidenten als de meldplicht onder NIS2.
6. Test je beveiliging regelmatig: Voer periodiek penetratietests uit om te verifiëren of je zero trust-maatregelen in de praktijk werken.

Een red team-oefening kan aanvullend inzicht geven in hoe een echte aanvaller door je zero trust-architectuur heen zou proberen te breken, zodat je gericht verbeteringen kunt doorvoeren.

Geldt zero trust voor alle organisaties die onder NIS2 vallen?

Zero trust als aanpak is relevant voor alle organisaties die onder NIS2 vallen, maar de manier waarop je het implementeert verschilt per organisatietype en omvang. Zowel essentiële als belangrijke entiteiten profiteren van zero trust-principes, al hoeft de uitwerking niet identiek te zijn.

Onder de Cyberbeveiligingswet vallen diverse organisaties automatisch, waaronder ministeries, provincies, gemeenten en waterschappen. Al deze organisaties hebben een zorgplicht: ze moeten passende en evenredige maatregelen nemen om de continuïteit van hun dienstverlening te waarborgen. Zero trust biedt daarvoor een schaalbaar raamwerk dat zowel voor grote rijksorganisaties als voor kleinere gemeenten toepasbaar is.

Het onderscheid tussen essentiële en belangrijke entiteiten zit primair in de intensiteit van het toezicht, niet in de inhoud van de beveiligingsmaatregelen. Beide categorieën moeten aantonen dat ze risico’s actief beheersen. Zero trust ondersteunt dat voor beide groepen.

Voor organisaties die twijfelen of ze onder NIS2 vallen, biedt het NCSC een zelfevaluatietool. Wie eenmaal weet dat de wet van toepassing is, doet er goed aan snel te starten met een gap-analyse om te bepalen welke zero trust-maatregelen al aanwezig zijn en waar nog werk te doen is. Meer achtergrond over cybersecurity en compliance vind je via onze onderzoekspagina.

Hoe Q-Cyber helpt met NIS2 en zero trust beveiliging

Wij begeleiden organisaties bij de vertaalslag van NIS2-verplichtingen naar concrete, werkbare beveiligingsmaatregelen, inclusief zero trust-implementaties die passen bij jouw organisatie. Onze aanpak is pragmatisch, onafhankelijk en zonder binding aan softwarepartijen of leveranciers.

Wat we voor je kunnen doen:

• Gap-analyse: We brengen in kaart waar jouw organisatie staat ten opzichte van de NIS2-vereisten en welke zero trust-maatregelen al aanwezig zijn of nog ontbreken.
• Beleidsvorming: We schrijven beleid op maat dat aansluit op jouw risicoprofiel en voldoet aan de eisen van de Cyberbeveiligingswet.
• Technisch testen: Via penetratietests en red team-oefeningen toetsen we of je beveiligingsmaatregelen in de praktijk standhouden.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zodat cybersecurity een levende capaciteit wordt binnen jouw organisatie.
• Bestuurderstrainingen: We verzorgen trainingen voor bestuurders en management, zodat zij de kennis hebben om weloverwogen beslissingen te nemen over cybersecurity, een expliciete verplichting onder NIS2.

Wil je weten hoe jouw organisatie er nu voor staat en wat de eerste stap is richting NIS2-compliance met een zero trust-aanpak? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer