Security awareness die werkt: gedrag meten in plaats van trainingen tellen

Security awareness is aantoonbaar als je kunt laten zien wat mensen doen, niet hoeveel uur ze in een training hebben gezeten. ISO 27001 vraagt in hoofdstuk 7.3 om bewustzijn en in bijlage A 6.3 om bewustwording, opleiding en training voor zover relevant voor iemands functie. De Cyberbeveiligingswet, sinds 15 augustus 2026 in werking, vraagt in artikel 21 om basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging. Geen van beide vraagt om trainingsuren. Beide vragen om gedrag, en om bewijs dat je dat gedrag hebt gemeten en bijgestuurd.

Wat de norm en de wet echt eisen

In ISO/IEC 27001:2022 staan twee eisen naast elkaar die vaak op één hoop belanden. Hoofdstuk 7.2 gaat over competentie: voor de rollen die het managementsysteem raken bepaal je welke bekwaamheid nodig is, je zorgt dat mensen die hebben en je bewaart bewijs daarvan als gedocumenteerde informatie. Hoofdstuk 7.3 gaat over bewustzijn en geldt voor iedereen die werk doet onder jouw beheersing: die mensen moeten het beveiligingsbeleid kennen, weten wat hun bijdrage aan de doeltreffendheid van het systeem is en weten wat de gevolgen zijn als ze zich er niet aan houden.

Beheersmaatregel A.6.3 uit bijlage A vult dat in: personeel en relevante belanghebbenden krijgen passende bewustwording, opleiding en training, plus regelmatige updates over het beleid en de procedures, voor zover relevant voor hun functie. Die laatste zes woorden zijn het scharnier. Een norm die iedereen dezelfde training oplegt haalt de toets niet, want dan heb je de relevantie per functie niet bepaald.

De Cyberbeveiligingswet is nog concreter

Artikel 21, derde lid, onderdeel g van de Cyberbeveiligingswet noemt basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging als verplicht onderdeel van de zorgplicht. Het Cyberbeveiligingsbesluit werkt dat uit in artikel 12 en splitst het in twee plichten. Ten eerste: zorg dat je personeel en andere binnen de entiteit werkzame personen, voor zover relevant voor hun functie, zich bewust zijn van de risico's rond je netwerk- en informatiesystemen en cyberhygiënepraktijken toepassen. Ten tweede: wijs de mensen aan van wie de rol vaardigheden en deskundigheid op het gebied van beveiliging vereist, en zorg dat zij regelmatig opleiding krijgen. De toelichting is expliciet dat het om al het personeel gaat, ingehuurde krachten inbegrepen.

De toelichting noemt ook wat cyberhygiëne is: software- en hardware-updates, het wijzigen van wachtwoorden, het beheer van nieuwe installaties, het beperken van toegangsaccounts op beheersniveau en het maken van back-ups. Dat is een lijst met handelingen. Handelingen kun je tellen. Of iemand een e-learning heeft afgerond zegt niets over de vraag of die handelingen gebeuren. Wil je weten of je organisatie onder deze wet valt, lees dan ons artikel over wanneer je onder de Cyberbeveiligingswet valt.

Waarom trainingsuren geen bewijs zijn

Een deelnemerslijst bewijst aanwezigheid. Meer niet. De wet vraagt op twee plaatsen expliciet om iets anders. Artikel 21, derde lid, onderdeel f verplicht tot beleid en procedures om de effectiviteit van je maatregelen te beoordelen. Artikel 18 van het Cyberbeveiligingsbesluit gaat verder: je evalueert periodiek de doeltreffendheid van de genomen maatregelen en de effecten ervan in de praktijk, je legt het resultaat schriftelijk vast en je past de maatregelen zo nodig aan.

De effecten in de praktijk. Dat is de zin waar een deelnemerslijst op stukloopt. Een auditor of toezichthouder die deze eis serieus neemt vraagt niet hoeveel mensen de training hebben gevolgd, maar wat er in het gedrag is veranderd sinds ze hem volgden, en wat je hebt aangepast toen dat tegenviel. Dezelfde logica zit in ISO 27001: A.5.36 vraagt om regelmatige beoordeling van de naleving van je eigen beleid en regels, niet om een beoordeling van je opleidingsagenda.

Vier indicatoren die wel iets zeggen

Meten begint met een nulmeting en een herhaling. Absolute normen zijn er niet, en een percentage van een andere organisatie zegt niets over die van jou. Je eigen trend over vier meetmomenten wel.

Meetbare indicatoren voor security awareness, met de eis waar ze bewijs voor leveren.

Indicator	Wat je meet	Waarvoor het bewijs is
Klikratio	Het aandeel ontvangers dat in een gesimuleerde phishingmail klikt of gegevens invult, per afdeling en per rol.	Bewustzijn in de zin van hoofdstuk 7.3 en artikel 12, eerste lid van het Cyberbeveiligingsbesluit.
Meldratio	Het aandeel ontvangers dat de mail meldt, inclusief de mensen die eerst klikten en het daarna alsnog meldden.	Beheersmaatregel A.6.8: een mechanisme om waargenomen of vermoede gebeurtenissen tijdig te melden.
Tijd tot eerste melding	De tijd tussen verzending en de eerste melding via het officiële kanaal, in minuten, als mediaan.	De meldketen achter de wettelijke termijnen van 24 en 72 uur.
Cyberhygiëne in cijfers	Het aandeel apparaten met openstaande updates ouder dan dertig dagen, het aandeel beheeraccounts met multifactorauthenticatie en het aandeel back-ups dat in de afgelopen periode is teruggezet.	De basispraktijken die de toelichting bij artikel 12 letterlijk opsomt.

Deze vier zijn met elkaar te lezen, al is die lezing interpretatie en geen norm. Een gangbare duiding is dat een lage klikratio samen met een lage meldratio er vaker op wijst dat de campagne te makkelijk was dan dat je organisatie oplet. En dat een hoge klikratio met een hoge meldratio en een korte meldtijd in veel gevallen een betere uitkomst is dan het omgekeerde: er zijn mensen ingetrapt, maar het incident lag binnen een kwartier op tafel. Welke uitleg klopt voor jouw organisatie bepaal je door de campagne en de meting naast elkaar te leggen, niet door het percentage alleen.

De klok van 24 uur begint bij een mens

Onder de Cyberbeveiligingswet geef je bij een significant incident onverwijld, of als dat niet lukt binnen 24 uur na kennisname, een vroegtijdige waarschuwing aan je CSIRT en je bevoegde autoriteit. Binnen 72 uur na kennisname volgt de melding met een initiële beoordeling van ernst en gevolgen, en uiterlijk een maand na die melding een eindverslag met oorzaak en genomen maatregelen.

Die termijnen lopen vanaf het moment dat de organisatie kennis krijgt van het incident. Dat moment is bijna altijd een medewerker die iets raars ziet en het doorgeeft. Elke minuut die tussen de waarneming en de melding zit, is een minuut van je 24 uur. Daarom is meldgedrag geen zachte indicator maar de eerste schakel in een wettelijke keten. Wat er gebeurt als die keten faalt staat in ons artikel over NIS2-boetes en aansprakelijkheid.

Gedrag onder druk is iets anders dan kennis

Het idee dat je emoties en werk gescheiden houdt, houdt geen stand op de dag dat het misgaat. Mensen klikken niet omdat ze niet weten wat phishing is. Ze klikken omdat de mail om 16.50 uur binnenkomt, van de directeur lijkt te komen en haast suggereert. Kennis is dan niet de beperkende factor, druk is dat.

Dat heeft twee gevolgen voor je programma. Test onder realistische omstandigheden, dus met tijdsdruk, met een afzender die klopt en op momenten waarop het druk is. En zorg dat melden niets kost. Bijlage A kent naast het meldmechanisme in A.6.8 ook een disciplinaire procedure in A.6.4, en dat is precies de spanning die je moet managen: als medewerkers denken dat een melding een dossier oplevert, daalt je meldratio en stijgt je tijd tot melding. Beloon de melding, ook als de melder zelf de fout maakte. Beheersmaatregel A.5.4 legt bij het management de plicht om van al het personeel te eisen dat het beleid wordt toegepast, en die eis is geloofwaardiger als de directie zelf meedoet aan de simulaties.

Het bestuur heeft een eigen opleidingsplicht

Voor bestuurders is de eis harder dan bewustzijn. Artikel 24 van de Cyberbeveiligingswet verplicht ieder bestuurslid tot kennis en vaardigheden om risico's te identificeren, beheersmaatregelen te beoordelen en de gevolgen voor de dienstverlening in te schatten, en het bewijs daarvan is een certificaat van deelname aan een training over die onderwerpen. Voor de rest van de organisatie ligt de lat anders: daar telt niet een certificaat maar het gedrag dat je meet.

Zo maak je het aantoonbaar

• Leg de doelgroepen vast. Wie krijgt algemene bewustwording en wie is aangewezen als iemand van wie de rol beveiligingsdeskundigheid vereist. Die aanwijzing is een aparte eis in artikel 12, tweede lid en vraagt om een lijst met namen en rollen.
• Meet voor en na. Een nulmeting, dan de interventie, dan dezelfde meting. Zonder nulmeting kun je geen effect aantonen en heb je alleen een momentopname.
• Leg de evaluatie schriftelijk vast. Artikel 18 van het Cyberbeveiligingsbesluit vraagt letterlijk om een schriftelijk vastgelegd resultaat en om aanpassing van de maatregelen waar nodig. Een dashboard zonder besluit is geen evaluatie.
• Koppel het aan je risicobeoordeling. Blijft de klikratio hoog bij de afdeling die betalingen doet, dan is dat geen opleidingskwestie maar een risico dat om een extra beheersmaatregel vraagt, bijvoorbeeld een vierogenprincipe bij betalingswijzigingen.

Waar je vandaag mee begint

Begin met het deel dat vandaag al meetbaar is. Onze gratis domeinscan toetst de publiek zichtbare buitenkant van je organisatie op TLS, security headers, DNSSEC en e-mailbeveiliging. Dat is direct relevant voor awareness: als je domein geen strikt DMARC-beleid voert, kan iedereen mailen namens jouw organisatie, en dan meet je met je phishingsimulatie een risico dat je met techniek had kunnen wegnemen.

Zet daarna je programma naast de eisen. In onze gids over de Cyberbeveiligingswet en NIS2 staat wat de zorgplicht per onderwerp vraagt, en in de gids over ISO 27001 staat hoe bewustzijn en competentie in het managementsysteem terechtkomen. Beide vragen om hetzelfde bewijs: niet de agenda van je trainingen, maar de meting van wat er daarna veranderde.