1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Security awareness training in 2026: wat gedrag echt verandert, en hoe u een programma bouwt dat dat aantoont
De meeste organisaties doen aan security awareness training omdat een auditor erom vraagt. De organisaties die er iets aan hebben, doen het omdat een aanvaller hun medewerkers toch wel test, getraind of niet. Deze gids legt het verschil uit, geschreven door de mensen die die tests uitvoeren.
Security awareness training in het kort
De antwoorden die een CISO, compliance officer of HR-directeur meestal nodig heeft voordat hij verder leest.
- Security awareness training is een gestructureerd, terugkerend programma dat medewerkers leert aanvallen op mensen te herkennen, te weerstaan en te melden: phishing, stem- en deepfake-fraude, diefstal van inloggegevens, onzorgvuldig omgaan met data en fysieke indringing.
- Eén e-learningmodule per jaar voldoet aan de letter van de meeste normen en verandert bijna niets. Gedrag verandert pas als kennis, motivatie, vermogen en tijdige prikkels samen worden ontworpen en gemeten.
- De metric die telt, is niet de voltooiing. Het is hoeveel mensen een verdacht bericht melden, hoe snel, en of dat aantal na elke cyclus stijgt.
- NIS2 artikel 21(2)(g), ISO 27001:2022 maatregel A.6.3, DORA artikel 13(6), AVG artikel 39(1)(b) en PCI DSS v4.0.1 eis 12.6 verwachten allemaal awareness en training, met bewijs dat het heeft plaatsgevonden en is geëvalueerd.
- U kunt het programma zelf bouwen, een platform kopen of beginnen met gratis materiaal van praktijkmensen. HackersHub publiceert een gratis security awareness bibliotheek en voert de phishing simulaties uit die meten of er iets van is blijven hangen.
Wat security awareness training is, en wat het niet is
Security awareness training is het onderdeel van een informatiebeveiligingsprogramma dat zich richt op mensen in plaats van op systemen. Het doel is dat elke medewerker, inhuurkracht en manager weet welke aanvallen hij in zijn rol kan verwachten, ze op het moment zelf herkent, weet wat hij moet doen en dat ook doet. In de praktijk combineert een goed security awareness programma korte leerinhoud, realistische oefeningen zoals phishing simulaties, duidelijke meldroutes en terugkoppeling, verspreid over het jaar in plaats van eenmalig.
Drie begrippen lopen vaak door elkaar en horen dat niet te doen. Awareness is weten dat een dreiging bestaat: dat een factuur vervalst kan zijn, dat een stem aan de telefoon synthetisch kan zijn, dat een MFA-melding die u niet zelf veroorzaakte een aanval is. Training is het vermogen om op die kennis te handelen: hoe u een gewijzigd rekeningnummer verifieert, hoe u een bericht meldt. Cultuur is wat mensen doen als niemand kijkt en het beleid onhandig is. Een programma dat alleen awareness oplevert, is een voorlichtingscampagne. Een programma dat getraind gedrag en een meldcultuur oplevert, is een beveiligingsmaatregel, en de enige die tussen een aanvaller en een medewerker met betaalbevoegdheid staat.
Het vervangt geen technische maatregelen. E-mailfiltering, phishing-bestendige multifactorauthenticatie en detectie dragen het grootste deel van de last; awareness training bestaat voor de aanvallen die door die lagen heen komen, minder dan vroeger en veel gerichter.
Waarom training alleen voor de compliance faalt
Het gangbare programma: een e-learningmodule van 30 minuten in januari, een voltooiingsrapport in februari, een certificaat in de auditmap, stilte tot volgend jaar. De voltooiing haalt 95 procent omdat HR achter de achterblijvers aan zit, en verder beweegt er niets. Het programma is ontworpen om een voltooiingsregistratie op te leveren, en dat levert het op. De inhoud is generiek (dezelfde module voor de crediteurenmedewerker die betalingen goedkeurt en de magazijnchef die nooit een bijlage opent), de timing klopt niet (kennis zakt binnen weken weg) en er is geen terugkoppeling, dus herhaalt de volgende cyclus dezelfde module.
Het Verizon Data Breach Investigations Report schrijft al jaren het merendeel van de datalekken minstens deels toe aan een menselijke factor: een afgegeven wachtwoord, een aangeklikte link, een omgeleide betaling. Het Britse National Cyber Security Centre (NCSC) stelt in zijn richtlijn over phishingverdediging uitdrukkelijk dat van gebruikers niet verwacht kan worden dat zij elke aanval herkennen, dat melden makkelijk moet zijn en dat niemand mag worden bestraft voor een klik. Het SANS Security Awareness Maturity Model beschrijft dezelfde weg van binnenuit: programma's beginnen compliance-gedreven en bereiken pas gedragsverandering als ze bemenst, rolspecifiek en gemeten zijn. De meeste organisaties die wij testen, zitten in de compliance-fase en denken dat ze verder zijn.
Het gedragsmodel achter training die werkt
De gedragswetenschap geeft een eenvoudige toets voor elke awareness-activiteit. Gedrag vindt plaats wanneer vier voorwaarden op hetzelfde moment samenvallen. Ontwerp voor alle vier, of verwacht geen van de vier.
Kennis: weten ze hoe de aanval er vandaag uitziet?
Niet phishing in het algemeen, maar de varianten van 2026 in hun eigen inbox: een Microsoft 365-inlogpagina op een lookalike-domein, een QR-code op een parkeerbon, een stem die precies klinkt als de CFO. Kennis moet actueel zijn, bij de rol passen en kort genoeg zijn om te onthouden.
Motivatie: willen ze er genoeg om te handelen?
Angstcampagnes en publiekelijk afrekenen vernietigen motivatie; mensen stoppen met melden om verwijten te vermijden. Motivatie komt uit begrip van de gevolgen voor collega's en klanten, uit leidinggevenden die zichtbaar hetzelfde doen, en uit de ervaring dat een melding wordt beantwoord.
Vermogen: is de juiste handeling makkelijk?
Als melden zes stappen en een ticket kost, verwijderen mensen het bericht. Een meldknop met één klik, een verificatieprocedure voor gewijzigde betaalgegevens van twee minuten en een servicedesk die de beller bedankt, vergroten het vermogen. Hier investeren de meeste programma's te weinig.
Prikkels: is er een signaal op het moment van de beslissing?
Een banner op externe e-mail, een waarschuwing als de weergavenaam niet bij het adres past, een melding voordat iemand een onverwacht MFA-verzoek goedkeurt, een kwartaalsimulatie die landt terwijl de les nog vers is. Prikkels zetten kennis om in handelen op het ene moment dat telt.
Zo zet u het programma op: zeven stappen
De volgorde doet ertoe. Meet eerst, zodat elke volgende stap kan aantonen dat hij iets heeft gedaan.
1. Leg een nulmeting vast
Voer vóór enige training een onaangekondigde phishing simulatie en een korte kennismeting uit. Registreer het klikpercentage, het percentage dat inloggegevens invult en vooral het meldpercentage en de tijd tot de eerste melding. Zonder dit getal kan het programma geen vooruitgang laten zien aan directie of auditor.
2. Koppel onderwerpen aan rollen en risico
Finance en inkoop krijgen CEO-fraude en verificatie van betaalwijzigingen. Bestuurders en hun assistenten krijgen deepfake-stemmen en pretexting. IT-beheerders krijgen MFA-moeheid, misbruik van OAuth-toestemming en social engineering via de servicedesk. Iedereen krijgt de basis. Houd de generieke laag klein en de rollaag scherp.
3. Kies een ritme dat mensen volhouden
Korte contactmomenten elke vier tot zes weken presteren beter dan één lange jaarlijkse sessie: een module van tien minuten, een video van twee minuten of één gesimuleerde lokmail houdt het onderwerp in het werkgeheugen. Bewaar de langere sessie voor onboarding en de jaarlijkse evaluatie die de meeste normen vereisen.
4. Gebruik simulaties als meetinstrument, niet als straf
Phishing simulaties meten of training het gedrag heeft veranderd en bieden een leermoment op het moment van falen. Varieer de moeilijkheid, wissel thema's af, neem telefoon en sms mee waar de rol dat rechtvaardigt, en gebruik nooit voorwendsels over bonussen, ontslagen of privézaken. Een beheerde phishing simulatie levert nulmeting en trend zonder eigen infrastructuur.
5. Maak melden het belangrijkste gedrag
Installeer een meldknop in de mailclient, stuur meldingen naar een triagewachtrij en sluit de lus: elke melder krijgt dezelfde dag antwoord. Eén vroege melding stelt het securityteam in staat dezelfde lokmail uit tweehonderd andere inboxen te halen; daarom voorspelt het meldpercentage de uitkomst van echte incidenten.
6. Betrek directie en ondernemingsraad vroeg
Bestuurders doorlopen dezelfde modules en simulaties, en zeggen dat ook. Simulaties die het gedrag van medewerkers volgen, raken in Nederland het instemmingsrecht van de ondernemingsraad (artikel 27 WOR) en de AVG; stem aanpak, bewaartermijn en no-blame-beleid af vóór de eerste campagne, niet na een klacht.
7. Evalueer, rapporteer en stuur bij na elke cyclus
Elke cyclus eindigt met een rapport van één pagina: nulmeting versus nu, per afdeling, met de drie onderwerpen die de volgende ronde nadruk krijgen. Dit is het bewijs waar uw ISO 27001-auditor, NIS2-toezichthouder of DORA-beoordelaar om vraagt, en het houdt de opdrachtgever betrokken.
De onderwerpen die een programma in 2026 moet dekken
Aanvalstechnieken zijn sneller veranderd dan de meeste curricula. Dit is de lijst die wij verwachten in elk programma dat zich actueel noemt.
Phishing en AI-ondersteunde phishing
Foutloos Nederlands, lokmails gegenereerd uit het LinkedIn-profiel van het doelwit, lookalike-inlogpagina's die de sessie stelen. De oude signalen zijn verdwenen: leer mensen het verzoek te verifiëren, niet de grammatica te controleren.
Deepfake-stem en videofraude
Een paar seconden audio van een congrespraatje is genoeg om de stem van een directeur te klonen. Betaal- en toegangsverzoeken per telefoon of videogesprek vragen altijd een controle via een bekend nummer.
MFA-moeheid en consent phishing
Aanvallers met een wachtwoord sturen pushmeldingen tot iemand op goedkeuren tikt, of verleiden de gebruiker tot toestemming aan een kwaadaardige app die de mailbox leest. Een onverwachte melding is een incident.
Wachtwoorden, wachtwoordmanagers en passkeys
Hergebruik over diensten heen blijft de meest voorkomende oorzaak in de inbreuken die wij onderzoeken. Een wachtwoordmanager, unieke inloggegevens per dienst en passkeys waar mogelijk schakelen hele categorieën aanvallen uit.
Omgaan met data en AI-tools
Welke gegevens wel en niet in een publieke AI-assistent, een persoonlijke clouddrive of een chat-app mogen. Classificatie in gewone woorden met voorbeelden uit de eigen afdeling werkt beter dan een ongelezen beleid.
Incidenten melden en de eerste tien minuten
Wat te doen na een klik, een ingevuld wachtwoord of een betaling naar het verkeerde rekeningnummer. Wie te bellen, wat niet te verwijderen, waarom snelheid belangrijker is dan schaamte. Hier betaalt een no-blame-cultuur zich terug.
Fysieke beveiliging en meeliften
Toegangspassen, bezoekers, onbeheerde schermen, USB-apparaten, de koerier die even de printer nodig heeft. Fysieke pentests laten zien hoe vaak een zelfverzekerde onbekende de serverruimte bereikt; de les is beleefd aanspreken en escaleren.
Thuiswerken en hybride werken
Thuisnetwerken, openbare wifi, privéapparaten, gedeelde schermen in videogesprekken, uitgeprinte documenten op de keukentafel. De perimeter is de laptop en de persoon die hem vasthoudt.
Metrics die ertoe doen, en metrics die misleiden
Directie en auditor accepteren wat u rapporteert. Rapporteer de getallen die incidenten voorspellen.
| Metric | Wat het werkelijk zegt | De valkuil |
|---|---|---|
| Voltooiingspercentage | Of HR effectief achter mensen aan heeft gezeten | Wordt gezien als bewijs van vaardigheid; het bewijst aanwezigheid |
| Toetsscore | Kortetermijngeheugen op de dag zelf | Zakt binnen weken weg; zegt niets over gedrag onder druk |
| Klikpercentage simulatie | Vatbaarheid voor één lokmail op één dag | Een dalend klikpercentage kan simpelweg makkelijkere lokmails betekenen |
| Meldpercentage | Of mensen herkennen en handelen; voorspelt de uitkomst van echte incidenten | Blijft rond nul zonder meldknop en terugkoppeling |
| Tijd tot eerste melding | Hoeveel tijd het securityteam heeft om een echte campagne in te dammen | Alleen zinvol als meldingen vrijwel direct worden getrieerd |
| Groep herhaalde klikkers | Wie rolspecifieke coaching nodig heeft, geen extra module | Wordt gebruikt voor sancties in plaats van ondersteuning, wat het melden doodt |
Compliance-haken: wat elk kader vraagt
Elk belangrijk kader benoemt awareness en training. De formulering verschilt; het bewijs dat een beoordelaar wil zien is bijna hetzelfde: een programma, bewijs dat het liep, bewijs dat het is geëvalueerd.
| Kader | Eis | Bewijs waarmee een beoordelaar genoegen neemt |
|---|---|---|
| NIS2, artikel 21(2)(g) | Basispraktijken voor cyberhygiëne en opleiding in cyberbeveiliging als onderdeel van de risicobeheersmaatregelen | Gedocumenteerd programma voor al het personeel, voltooiings- en simulatieregistraties, opleiding van het bestuursorgaan conform artikel 20(2) |
| ISO 27001:2022, bijlage A maatregel 6.3 | Bewustwording, opleiding en training in informatiebeveiliging, passend bij de rol, regelmatig geactualiseerd | Opleidingsbehoefte per rol, registratie van uitvoering, bewijs van campagnes, evaluatie van de effectiviteit |
| DORA, artikel 13(6) | Programma's voor ICT-beveiligingsbewustzijn en weerbaarheidsopleiding als verplichte modules voor al het personeel en het hoger management | Moduleregistraties inclusief het bestuursorgaan, inhoud afgestemd op het ICT-risico van de entiteit, periodieke evaluatie |
| AVG, artikel 39(1)(b) | De functionaris voor gegevensbescherming ziet toe op naleving, met inbegrip van bewustmaking en opleiding van het personeel dat bij verwerking is betrokken | Opleidingsplan van de FG, deelname per verwerkende rol, gedocumenteerde bewustwordingsactiviteiten |
| PCI DSS v4.0.1, eis 12.6 | Formeel programma, minimaal elke 12 maanden geëvalueerd, training bij indiensttreding en minimaal jaarlijks, met aandacht voor phishing en social engineering, met bevestiging door de medewerker | Programmadocument, notulen van de jaarlijkse evaluatie, voltooiings- en bevestigingsregistraties |
Zelf bouwen, kopen of gratis beginnen
Drie eerlijke routes. De meeste volwassen programma's combineren ze uiteindelijk.
| Route | Past wanneer | Let op |
|---|---|---|
| Zelf bouwen | U heeft een securityteam met tijd, sterke interne communicatie en een specifieke cultuur om aan te pakken | Inhoud veroudert; niemand is eigenaar van de metrics; simulaties vragen infrastructuur en juridische voorbereiding |
| Een platform kopen | U heeft rolgebaseerde inhoud in meerdere talen, geautomatiseerde toewijzing en auditrapportage op schaal nodig | Licentiekosten schalen met het aantal medewerkers; generieke bibliotheken; het klikpercentage van de leverancier is niet uw meldpercentage |
| Gratis materiaal van praktijkmensen plus een beheerde simulatie | U wilt actueel, door experts geschreven materiaal zonder inkooptraject, en een onafhankelijke meting van gedrag | U blijft eigenaar van ritme, rapportage en het gesprek met de ondernemingsraad |
De gratis route, en waar HackersHub past
HackersHub publiceert een gratis security awareness bibliotheek, geschreven door de testers die phishing simulaties en red team-opdrachten uitvoeren voor enterprise-klanten. Geen betaalmuur, geen registratie, bijgewerkt zodra technieken veranderen. Het bestaat omdat wij steeds weer binnenliepen bij organisaties die hadden betaald voor een jaarlijkse module en nog nooit hadden gehoord van de aanvallen waarmee wij binnenkwamen.
Het meten is waar wij als dienstverlener in beeld komen. Onze phishing simulaties leveren de nulmeting, de kwartaaltrend, het meldpercentage en het leermoment, uitgevoerd door hands-on experts in plaats van een sjabloonmachine, met de juridische voorbereiding en het gesprek met de ondernemingsraad geregeld voordat de eerste e-mail de deur uitgaat. Waar het risico het rechtvaardigt, breidt social engineering testing de oefening uit naar telefoon, sms en pretexting op locatie. Tien jaar offensive security en een 4,9/5 over 127 beoordelingen komen precies daaruit: het gat vinden voordat iemand anders het vindt.
Veelgestelde vragen
Verder lezen
- Phishing simulatie laten uitvoeren door HackersHub
- Gratis security awareness bibliotheek
- Phishing training voor medewerkers: wat werkt
- Een phishing campagne opzetten, stap voor stap
- Phishing simulatie kosten: wat bepaalt de prijs?
- Wat is social engineering? Technieken en verdediging
- Social engineering testing: telefoon, sms en op locatie
- Penetratietest laten uitvoeren door HackersHub
Wilt u weten of uw training iets heeft veranderd?
Een nulmeting met een phishing simulatie laat zien waar uw medewerkers vandaag staan, met het meldpercentage en het leermoment ingebouwd. Hands-on experts, juridische voorbereiding inbegrepen, geen sjabloonmachine. Plan een gesprek.