In oktober loopt overal in Europa de Cybersecurity Awareness Month, en dat is voor een kmo het gemakkelijkste moment van het jaar om iets rond digitale veiligheid te organiseren. De aandacht is er toch al, het campagnemateriaal van de overheid is gratis, en uw medewerkers verwachten het min of meer. De vraag is niet óf u meedoet, maar hoe u het aanpakt zonder dat het een verplichte sessie van een uur wordt die niemand onthoudt. Hieronder staat een programma van vier weken, met telkens één actie van maximaal een halfuur.
In het kort
- De European Cybersecurity Month loopt elk jaar in oktober, met gratis materiaal van ENISA en Safeonweb dat u vrij mag gebruiken.
- Vier weken, vier thema’s, telkens één actie van hoogstens dertig minuten per medewerker.
- Begin met een nulmeting, anders weet u in november niet of er iets veranderd is.
- Kennis zonder herhaling zakt binnen dagen weg, dus werk met korte interventies in plaats van één lange sessie.
- Het bewijs dat u opleiding organiseert, hebt u nadien nodig voor NIS2 en voor de vragenlijsten van uw klanten.
Wat is Cybersecurity Awareness Month?
Cybersecurity Awareness Month is de internationale campagnemaand rond digitale veiligheid die elk jaar in oktober loopt. In Europa organiseert ENISA de European Cybersecurity Month samen met de lidstaten, en in België vertaalt het Centrum voor Cybersecurity België dat via Safeonweb naar campagnes met gratis posters, video’s en e-learning die bedrijven vrij mogen gebruiken.
Voor een kmo is dat om twee redenen interessant. Het materiaal is er al, dus u hoeft niets te laten maken. En het draagvlak is hoger dan in eender welke andere maand, want uw medewerkers zien de campagne ook buiten het werk.
Waarom oktober het juiste moment is
Het dreigingsbeeld helpt helaas mee. Phishing is bij ongeveer zes op tien incidenten de eerste ingang, en het meldpunt van het CCB verwerkt intussen ruim veertigduizend meldingen per dag. Die berichten zien er ook anders uit dan vroeger: door AI-gegenereerde teksten bevatten ze geen spelfouten meer, waardoor het klassieke advies om op taalfouten te letten grotendeels waardeloos is geworden. Uw mensen hebben dus nieuwe herkenningspunten nodig, niet dezelfde als drie jaar geleden.
Daar komt een tweede reden bij die minder over dreiging en meer over papierwerk gaat. Onder de Belgische NIS2-wet is opleiding van medewerkers en bestuur een verplichte maatregel, en klanten die zelf onder de wet vallen vragen aan hun leveranciers deelnamebewijzen op. Wat u in oktober organiseert, levert dus meteen het bewijsmateriaal dat u in een NIS2-vragenlijst nodig hebt.
Het vierwekenprogramma
| Week | Thema en actie | Tijd | Materiaal | Wie trekt het |
|---|---|---|---|---|
| Week 1 | Nulmeting en aftrap. Een onaangekondigde phishing-simulatie legt uw vertrekpunt vast, gevolgd door een korte mail van de zaakvoerder die de maand aankondigt. | Max. 15 min | Simulatietraject, aankondigingsmail van de directie | Zaakvoerder en HR |
| Week 2 | Phishing herkennen en melden. Rol de e-learning van Safeonweb uit en maak de interne meldknop bekend, samen met het adres verdacht@safeonweb.be. | 20 min | Safeonweb e-learning, posters en infographics | Communicatie |
| Week 3 | Wachtwoorden en tweestapsverificatie. Toon hoe een wachtwoordmanager werkt en zet tweestapsverificatie aan op alle zakelijke accounts. | 20 min | Instructievideo’s, interne instructiekaart | IT-verantwoordelijke of IT-partner |
| Week 4 | Fysieke veiligheid en afsluiting. Een clean-deskronde, gevolgd door een quiz en de geanonimiseerde resultaten van de nulmeting. | 30 min | Online quiz, rapportage van de simulatie | HR en zaakvoerder |
De volgorde is niet willekeurig. U meet eerst, want zonder vertrekpunt kunt u in november niets aantonen. De aankondiging komt van de zaakvoerder en niet van IT, omdat draagvlak van bovenaf begint. En de resultaten toont u pas op het einde, geanonimiseerd, zodat het een gezamenlijke vaststelling wordt en geen afrekening.
Waarom korte interventies beter werken dan één sessie
Twee inzichten uit gedragsonderzoek verklaren de opbouw hierboven. Het eerste is dat mensen zonder herhaling binnen enkele dagen het grootste deel van nieuwe informatie vergeten. Een klassieke jaarlijkse sessie van een uur scoort daardoor slecht: enkele weken later is er weinig van over. Korte, herhaalde momenten resetten die vergeetcurve telkens opnieuw, en dat verklaart waarom vier keer twintig minuten meer oplevert dan één keer tachtig.
Het tweede is dat gedrag pas verandert wanneer motivatie, gemak en een aanleiding samenvallen. Daarom bestaat elke week uit één concrete handeling die makkelijk is: een knop indrukken, een wachtwoordmanager installeren, tweestapsverificatie aanzetten. En daarom hangen er posters en gaat er een mail uit: die vormen de aanleiding op het moment dat het telt.
Gratis materiaal en waar professionele ondersteuning verschil maakt
U kunt het basisprogramma volledig uitvoeren met publiek materiaal. Safeonweb biedt posters, infographics, video’s en een e-learningmodule aan die u vrij mag gebruiken, en ENISA stelt jaarlijks campagnemateriaal ter beschikking. Voor een kmo die dit jaar iets wil doen zonder budget, is dat een volwaardig startpunt.
Drie zaken kunt u daarmee niet doen, en net die bepalen of u in november resultaat kunt tonen. Overheden voeren geen gecontroleerde phishing-simulaties uit op uw organisatie, dus een nulmeting van het werkelijke klik- en meldgedrag zit er niet bij. Er is geen meting van vooruitgang, dus u weet niet of er iets veranderd is. En er is geen rapportage die u kunt voorleggen aan uw directie, uw auditor of een klant die om bewijs vraagt. Het gratis materiaal leert; de simulatie meet.
Wat u beter niet doet
- Namen noemen van wie klikte. Dat levert wrok op en zorgt ervoor dat mensen een echte fout voortaan verzwijgen. Precies het tegenovergestelde van wat u wil bereiken.
- Eén verplichte sessie van een uur inplannen. De opkomst valt tegen en de kennis zakt snel weg. Vier korte momenten werken beter en storen minder.
- Kwetsende scenario’s gebruiken. Een valse mail over ontslagen of een bonus werkt technisch uitstekend, maar beschadigt het vertrouwen in HR voor lang.
- Melden ingewikkeld maken. Vraag geen formulier en geen analyse van technische headers. Eén klik op een knop, meer niet.
Wat wél werkt is de omgekeerde beweging. Beloon de afdeling met het hoogste meldpercentage met iets kleins. Laat een directielid openlijk vertellen dat hij tijdens de nulmeting zelf geklikt heeft, want dat verlaagt de drempel voor iedereen. En geef wie op een simulatie klikt meteen een korte, opbouwende uitleg over de signalen die hij miste, in plaats van een berisping. Meer over die aanpak leest u in de zeven soorten phishing die elke werknemer moet herkennen.
“Eén campagnemaand per jaar is symboolpolitiek”
Die kritiek is terecht, en gedragsonderzoek geeft de criticus gelijk. Een geïsoleerde inspanning in oktober zonder vervolg heeft na enkele weken geen meetbaar effect meer. Een bedrijf dat alleen in oktober aan cyberveiligheid denkt, creëert schijnveiligheid, en dat is in sommige opzichten erger dan niets doen, omdat het een vals gevoel van gedaan werk geeft.
Het antwoord is niet oktober overslaan, maar oktober anders inzetten. De maand heeft drie voordelen die geen enkele andere maand heeft. Het draagvlak is hoger door de brede aandacht buiten uw bedrijf. Het is het natuurlijke moment voor een nulmeting waarvan u de cijfers aan uw bestuur kunt voorleggen. En het is de aankondiging van wat daarna komt: het jaarprogramma met korte herhalingen en periodieke simulaties. Zo wordt oktober de vonk en niet het volledige vuur. Hoe u dat jaarprogramma structureel opzet, staat in een security awareness-programma opzetten.
Oktober vastleggen? Boek uw nulmeting nu
De eerste week bepaalt of uw campagnemaand meetbaar wordt of blijft hangen bij goede bedoelingen. Cyberplan zet de nulmeting voor u op: een gecontroleerde phishing-simulatie met Vlaamse scenario’s die uw mensen herkennen, met directe en opbouwende feedback voor wie klikt. U krijgt een rapport per afdeling met klik- en meldpercentages, en op het einde van de maand een tweede meting die de evolutie toont. Dat rapport gebruikt u daarna voor uw directie, uw auditdossier en de vragenlijsten van uw klanten. Bekijk hoe we dat aanpakken op de pagina phishing-simulaties, of neem contact op om uw simulatie voor oktober in te plannen. Wie in september boekt, staat klaar op 1 oktober.
Veelgestelde vragen
Wanneer vindt de European Cybersecurity Month plaats?
Elk jaar in de volledige maand oktober. ENISA en de Europese Commissie organiseren de campagne samen met de lidstaten, en in België ondersteunt Safeonweb ze met eigen materiaal en acties.
Hoeveel tijd kost dit programma mijn medewerkers?
Vijftien tot dertig minuten per week, verspreid over vier weken. De opzet is bewust zo gemaakt dat de werking niet verstoord wordt en dat niemand een halve dag kwijt is.
Is een phishing-simulatie vooraf verplicht?
Wettelijk niet, maar zonder nulmeting hebt u geen vertrekpunt. U weet dan niet hoeveel mensen klikken of melden, en dus ook niet of uw campagne iets heeft opgeleverd. Voor rapportage aan directie of klanten is die meting onmisbaar.
Wat doe ik als een medewerker op de simulatie klikt?
Behandel het als een leermoment. De medewerker krijgt meteen een korte pagina te zien die uitlegt aan welke signalen het bericht herkenbaar was. Geen namen, geen sancties, want dat zorgt er alleen voor dat echte fouten verzwegen worden.
Welk gratis materiaal biedt Safeonweb voor bedrijven?
Posters, infographics, bewustmakingsvideo’s en een e-learningmodule rond veilig internetten. U mag dat vrij gebruiken om uw interne campagne mee te vullen en om de meldreflex naar verdacht@safeonweb.be te stimuleren.
Wat gebeurt er na 31 oktober?
Oktober is de start, niet het einde. Wie het effect wil behouden, plant daarna periodieke korte simulaties en herhaalmomenten in, zodat de alertheid op peil blijft en u de evolutie kunt blijven meten.
