Een security awareness programma opzetten: zo pak je het aan

Een security awareness programma is een doorlopende aanpak die ervoor zorgt dat je medewerkers veiliger werken. Je doet het dus niet met één training per jaar. Je begint met een nulmeting en kiest een paar gedragingen die voor jouw bedrijf het meeste risico geven. Daarna train en test je die steeds opnieuw, bijvoorbeeld met phishing simulaties, en je meet of het gedrag echt verandert. In dit artikel lees je hoe je dat als MKB-bedrijf stap voor stap opzet, wat je wel en niet moet meten en waar je bij phishing simulaties juridisch op let.

TL;DR

• 🔁 Een awareness programma is een proces, geen project: een jaarplanning met thema’s, meetmomenten en opvolging.
• 🎯 Begin met een nulmeting en kies 3 tot 5 gedragingen die voor jouw risico’s het verschil maken.
• 🎣 Phishing simulaties werken goed, maar alleen als ze bij een breder programma horen. Meet vooral hoeveel mensen een verdachte mail melden, niet alleen wie klikt.
• ⚖️ Rapporteer per groep of afdeling, regel de AVG-kant en betrek de ondernemingsraad als je die hebt.
• 🛡️ Techniek als MFA en goede spamfilters maakt veilig gedrag makkelijker. Training en techniek horen bij elkaar.

Inhoudsopgave

• Wat is een security awareness programma precies?
• Waarom het nu belangrijker is dan ooit
• Zo zet je een programma op in 6 stappen
• Phishing simulaties binnen je bedrijf
• Wat je wel en niet moet meten
• Een voorbeeldplanning voor een jaar
• Veelgemaakte fouten
• Onze kijk op security awareness
• Hulp nodig bij je programma?
• Veelgestelde vragen
• Bronnen

Wat is een security awareness programma precies?

Veel bedrijven denken bij security awareness aan een e-learning die iedereen één keer per jaar doorklikt. Dat is een training, geen programma. Het Nationaal Cyber Security Centrum beschrijft veilig gedrag bevorderen als een van de basisprincipes van digitale weerbaarheid: medewerkers bewust maken van risico’s, ze trainen in het omgaan met incidenten en werken aan een cultuur waarin veilig gedrag normaal is.

Het verschil zit in drie dingen: het is doorlopend, het is afgestemd op jouw risico’s en het is meetbaar.

Een programma is dus geen product dat je koopt en afvinkt. Het is een manier van werken die je in je bedrijf inbouwt, net als je financiële administratie of je veiligheidsregels op de werkvloer.

Waarom het nu belangrijker is dan ooit

Phishing is al jaren de bekendste aanvalsroute. Maar het wordt sneller erger dan veel ondernemers denken.

• 📈 De Autoriteit Persoonsgegevens zag het aantal account takeovers, vaak het gevolg van phishing, stijgen van 607 in 2024 naar 1.742 in 2025. Dat is bijna drie keer zoveel.
• 🤖 Volgens de AP maakt AI het makkelijker om overtuigende, persoonlijke phishingberichten te maken. De oude tip “let op spelfouten” werkt daardoor steeds minder goed.
• 📨 In totaal kreeg de AP in 2025 39.407 meldingen van datalekken, meer dan het jaar ervoor.
• 💬 Ook je eigen medewerkers gebruiken AI. Uit onderzoek van het NCSC blijkt dat 35% van de medewerkers incidenteel en 14% structureel generatieve AI gebruikt. Wat mag je wel en niet in zo’n tool plakken? Ook dat hoort in je programma.

Daarnaast speelt de wet een rol. Bij de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, noemt het NCSC onder de zorgplicht expliciet basispraktijken voor cyberhygiëne en opleiding op het gebied van cyberbeveiliging. Valt jouw bedrijf onder de wet, dan moet je kunnen laten zien dat je medewerkers hierin traint. Twijfel je of dat voor jou geldt? Lees dan eerst ons artikel over NIS2 voor het MKB. Ook als je er niet onder valt, vragen grotere klanten steeds vaker naar dit soort maatregelen.

Zo zet je een programma op in 6 stappen

Je hoeft geen grote organisatie te zijn om dit goed te doen. Voor een bedrijf met 15 of 80 medewerkers werkt dezelfde aanpak, alleen kleiner.

1. Doe een nulmeting

Weet waar je staat voordat je begint. Een nulmeting kan bestaan uit:

• Een eerste phishing simulatie zonder aankondiging van de exacte datum.
• Een korte vragenlijst: weten mensen hoe ze een verdachte mail melden?
• Een rondje over de werkvloer: staan schermen open als iemand koffie haalt? Liggen wachtwoorden op een briefje?
• Een blik op je techniek: staat MFA overal aan, hoe goed is je spamfilter?

Deze meting is je startpunt. Zonder nulmeting kun je later niet laten zien dat het programma iets oplevert.

2. Kies 3 tot 5 gedragingen op basis van je risico’s

Wil je alles tegelijk aanpakken, dan blijft er niets hangen. Kies een paar concrete gedragingen die passen bij jouw risico’s. Het NCSC helpt je met een praktische aanpak voor risicomanagement om die risico’s eerst in kaart te brengen.

Voorbeelden van goede, concrete gedragingen:

• Verdachte mails melden via de meldknop in Outlook.
• Betaalverzoeken en gewijzigde rekeningnummers altijd telefonisch controleren.
• Het scherm vergrendelen bij weglopen (Windows-toets + L).
• Nooit een MFA-verzoek goedkeuren dat je zelf niet hebt aangevraagd.
• Geen klantgegevens in openbare AI-tools plakken.

Stem het af op rollen. Je financiële afdeling krijgt vaker nep-facturen, je directie vaker CEO-fraude, je buitendienst werkt veel op openbare wifi. Het NCSC raadt ook aan om trainingen aan te passen aan de rol van de medewerker.

3. Zorg voor draagvlak bij de directie

Als de directeur zelf de training overslaat, doet de rest dat ook. Laat het management het goede voorbeeld geven: zelf meedoen, er in teamoverleggen over praten en tijd vrijmaken voor medewerkers. Het is ook handig om één vast aanspreekpunt te hebben dat het programma bewaakt.

4. Maak veilig gedrag makkelijk met techniek

Dit is een stap die veel programma’s vergeten. Mensen werken vaak onveilig uit gemak of tijdsdruk. Volgens het NCSC moet techniek het juist makkelijk maken om veilig te werken. Een paar voorbeelden:

• 🔐 MFA op alle accounts. Hoe je dat regelt lees je in ons stappenplan voor MFA in Microsoft 365.
• 🔑 Een wachtwoordmanager, zodat niemand meer een zwak wachtwoord kiest omdat het systeem te veel eisen stelt.
• 📥 Een goed ingesteld spamfilter en een duidelijke meldknop in de mailbox.
• 🖥️ Automatische schermvergrendeling na een paar minuten.

Training zonder techniek is dweilen met de kraan open. Techniek zonder training laat het laatste gat open. Je hebt ze allebei nodig.

5. Maak een jaarplanning

Werk met een vast ritme. Kleine, korte momenten werken beter dan één lange sessie. Denk aan een thema per kwartaal, een maandelijkse microlearning van vijf minuten en een paar simulaties per jaar. Verderop in dit artikel vind je een voorbeeldplanning.

6. Meet, rapporteer en stuur bij

Kijk elk kwartaal of het gedrag verandert. Gaat het meldpercentage omhoog? Wordt er minder geklikt? Bespreek de resultaten met het management en pas je thema’s aan. Nieuwe dreigingen, zoals AI-phishing of nep-QR-codes, neem je direct mee.

Phishing simulaties binnen je bedrijf

Een phishing simulatie is een gecontroleerde nep-aanval op je eigen medewerkers. Je stuurt een mail die lijkt op echte phishing en kijkt wat mensen doen. Klikt iemand, dan krijgt die direct een korte uitleg: waar had je het aan kunnen zien? Dat leermoment op het moment van de fout blijft veel beter hangen dan een presentatie achteraf.

Goede scenario’s lijken op wat jouw mensen echt binnenkrijgen:

• Een melding dat je Microsoft 365-wachtwoord verloopt.
• Een “gedeeld document” via OneDrive of SharePoint.
• Een pakketbezorger die een extra betaling vraagt.
• Een leverancier die een nieuw rekeningnummer doorgeeft.
• Een bericht “van de directeur” met een dringend verzoek.

Begin met makkelijkere varianten en maak ze in de loop van het jaar moeilijker. Zo bouw je zelfvertrouwen op en voorkom je dat mensen afhaken. Wil je je team eerst de basis leren? In ons artikel over phishing herkennen staan 7 signalen die je zo kunt delen.

Juridisch: AVG en ondernemingsraad

Bij een simulatie verwerk je persoonsgegevens: namen, e-mailadressen en wat iemand deed. Daarom moet je dit netjes regelen.

• AVG: bepaal het doel, hoe lang je gegevens bewaart en wie ze mag zien. Informeer medewerkers vooraf dat er in de loop van het jaar oefeningen plaatsvinden, zonder de exacte datum te noemen.
• Ondernemingsraad: heeft je bedrijf een OR, dan kan instemming nodig zijn als de simulatie gezien kan worden als controle op gedrag of prestaties. Het OR-privacyboekje van de Autoriteit Persoonsgegevens beschrijft welke informatie medewerkers moeten krijgen bij observatie: het doel, het tijdschema, het gebruik van de gegevens en de bewaartermijnen.
• Rapportage: rapporteer op groeps- of afdelingsniveau. Wijs nooit publiekelijk individuele medewerkers aan.

Twijfel je of jouw opzet onder de instemmingsplicht valt of hoe lang je gegevens mag bewaren? Leg het plan dan voor aan je privacyjurist of functionaris gegevensbescherming voordat de eerste mail de deur uitgaat.

Wat je wel en niet moet meten

Niet elk getal zegt iets over veiligheid. Het Europese cyberagentschap ENISA maakt in zijn rapport over cybersecuritycultuur in organisaties onderscheid tussen metingen die alleen deelname tellen en metingen die echt gedrag of kennis testen.

Het meldpercentage is vaak het belangrijkste getal. Eén collega die een echte phishingmail snel meldt, kan de rest van het team beschermen. Je IT-partner kan die mail dan uit alle mailboxen halen voordat iemand anders klikt.

Een voorbeeldplanning voor een jaar

Zo kan een jaarplanning eruitzien voor een MKB-bedrijf met 20 tot 100 medewerkers:

Nieuwe medewerkers krijgen in hun eerste week een korte basistraining. Zo begint iedereen op hetzelfde niveau.

Veelgemaakte fouten

Deze fouten zien we vaak bij bedrijven die al eens iets met awareness hebben geprobeerd:

• Het als project behandelen. Een kick-off, een training en daarna niets meer. Na een paar maanden is de kennis weg.
• Straffen in plaats van leren. Wie bang is om fouten toe te geven, meldt ze niet. Het NCSC noemt dat bij bedrijven met duidelijke afspraken over veilig online gedrag 80% van de werknemers zich comfortabel voelt om cyberincidenten te melden. Die openheid wil je juist.
• Te moeilijke simulaties aan het begin. Een perfecte nep-mail in week één zorgt alleen voor frustratie.
• Alleen trainen, niets aan de techniek doen. Zonder MFA kan één klik al genoeg zijn om een account over te nemen.
• Iedereen dezelfde inhoud geven. De boekhouder en de monteur hebben andere risico’s.
• Geen opvolging na een klik. Een simulatie zonder direct leermoment is alleen een test, geen training.

Onze kijk op security awareness

Wij beheren dagelijks werkplekken, netwerken en telefonie voor MKB-bedrijven. Daardoor zien we van dichtbij hoe een incident meestal begint: niet met een geniale hacker, maar met een gewone mail op een drukke dinsdagmiddag. Iemand wil snel een factuur afhandelen en klikt.

Daarom geloven we niet in awareness als los onderdeel. Een training werkt pas echt als de rest van het fundament klopt. MFA staat aan, het spamfilter is goed ingesteld, er is een meldknop en er is iemand die direct reageert als er iets gemeld wordt. Bij ons is dat letterlijk: je belt ons en je krijgt meteen iemand aan de lijn, geen ticketsysteem. Juist bij een mogelijke phishingklik telt elke minuut.

We zien ook dat ondernemers het fijn vinden als ze niet hoeven te schakelen tussen een trainingsleverancier, een beveiligingspartij en een IT-beheerder. Als één partij verantwoordelijk is voor het hele IT-fundament, kan wat je in een simulatie leert direct vertaald worden naar een betere instelling in je omgeving. Een team dat durft te melden en een omgeving die 24/7 bewaakt wordt: die combinatie maakt het verschil.

— Mick

Hulp nodig bij je programma?

Wil je dit niet allemaal zelf uitzoeken? Wij helpen MKB-bedrijven met een security awareness training voor medewerkers die aansluit op de rest van je beveiliging. Omdat wij ook je werkplekken en Microsoft 365 kunnen beheren, koppelen we training direct aan de techniek die veilig werken makkelijker maakt. Bekijk onze aanpak voor IT-beveiliging of neem contact op voor een vrijblijvend gesprek. 📞

Praktische tip: begin deze week met één ding. Zet een meldknop in Outlook en vertel je team in het volgende overleg: “Twijfel je over een mail? Melden is altijd goed.” Meer tips voor het trainen van je team vind je in ons artikel over phishing training voor bedrijven.

Veelgestelde vragen

Wat is een awareness programma?

Een awareness programma is een doorlopende aanpak om medewerkers bewust te maken van digitale risico’s en ze veiliger te laten werken. Het bestaat uit een nulmeting, gerichte trainingen, oefeningen zoals phishing simulaties en metingen van gedrag. Het verschil met een losse training is dat je het steeds herhaalt en bijstuurt.

Hoe vaak moet je een phishing simulatie doen?

Er is geen vaste regel, maar een paar keer per jaar is voor de meeste MKB-bedrijven een goed ritme. Te vaak zorgt voor irritatie, te weinig zorgt ervoor dat de kennis wegzakt. Combineer de simulaties met korte microlearnings, zodat er tussendoor ook iets gebeurt.

Mag ik mijn medewerkers zomaar testen met nep-phishing?

Je mag het doen, maar je moet het wel goed regelen. Je verwerkt persoonsgegevens, dus de AVG geldt, en heb je een ondernemingsraad, dan kan instemming nodig zijn. Informeer medewerkers vooraf dat er oefeningen komen en rapporteer per groep, niet per persoon.

Is security awareness verplicht onder NIS2?

Voor organisaties die onder de Cyberbeveiligingswet vallen, hoort opleiding op het gebied van cyberbeveiliging bij de zorgplichtmaatregelen. Je moet dan kunnen laten zien dat je medewerkers traint. Valt je bedrijf er niet onder, dan is het niet wettelijk verplicht, maar het blijft een van de goedkoopste manieren om je risico te verkleinen.

Is cybersecurity moeilijk voor gewone medewerkers?

Nee, als je het klein en concreet houdt. Medewerkers hoeven geen experts te worden: ze moeten een paar vaste gewoontes aanleren, zoals verdachte mails melden en betaalverzoeken controleren. Goede techniek op de achtergrond doet de rest.

Bronnen

• NCSC: Basisprincipe 2, bevorder veilig gedrag
• NCSC: Zorgplicht onder de Cyberbeveiligingswet
• NCSC: Aan de slag met risicomanagement
• NCSC: Aanzienlijk gebruik van generatieve AI onder medewerkers
• Autoriteit Persoonsgegevens: AI vergroot gevaren van cyberaanvallen
• Autoriteit Persoonsgegevens: Datalekkenrapportage 2025
• Autoriteit Persoonsgegevens: Het OR-privacyboekje
• ENISA: Cyber Security Culture in organisations

Aanbevelingen

• Privileged access management: zo beveilig je bevoorrechte toegang
• Conditional access beleid: zo bouw je slimme toegangsregels
• Phishing herkennen en voorkomen – tips voor een veilige mailbox
• Phishing training voor bedrijven: zo bescherm je je team