TL;DR: NIS2 maakt cybersecurity-opleiding wettelijk verplicht voor al uw medewerkers én voor uw bestuur. Artikel 21 vraagt opleiding en cyberhygiëne als minimummaatregel, artikel 20 verplicht bestuurders om zelf training te volgen, met persoonlijke aansprakelijkheid bij nalatigheid. Een jaarlijkse e-learning volstaat niet. U hebt een doorlopend, meetbaar en gedocumenteerd programma nodig dat audit-bestendig is voor de CyFun-controles.
Stel dat een inspecteur van het CCB volgende maand bij u langskomt en vraagt om uw opleidingsplan, uw deelnamelijsten en de resultaten van uw laatste phishing-simulatie. Kunt u die op tafel leggen? Voor essentiële en belangrijke entiteiten onder NIS2 is dat geen theoretische vraag meer. De awareness-verplichting is een van de meest concrete, maar tegelijk meest onderschatte onderdelen van de wet. In dit artikel leest u wat de wet precies vraagt, waarom uw bestuur er persoonlijk bij betrokken is, en hoe u een programma opzet dat zowel de audit doorstaat als uw mensen echt weerbaarder maakt.
Wat zegt NIS2 over awareness en opleiding?
NIS2 verplicht organisaties om opleiding en cyberhygiëne als minimummaatregel in te richten. Dat staat letterlijk in artikel 21, lid 2, punt g van de Europese richtlijn, en is overgenomen in artikel 30 van de Belgische NIS2-wet van 26 april 2024. Het gaat niet om een vrijblijvende aanbeveling, maar om een dwingende organisatorische maatregel waarop u kunt worden gecontroleerd.
De wetgever bedoelt met opleiding geen eenmalige presentatie. De tekst spreekt van cyberhygiënepraktijken en opleiding op het gebied van cyberbeveiliging, en dat veronderstelt een herhaalbaar proces. In de praktijk betekent dit een combinatie van formele trainingen, doorlopende awareness-campagnes, e-learningmodules en regelmatige phishing-simulaties. De achterliggende logica is eenvoudig: technologie alleen houdt aanvallers niet tegen als uw mensen niet weten waar ze op moeten letten.
Voor Vlaamse KMO’s is dat een herkenbare realiteit. Onderzoek van onder meer Agoria en het CCB wijst uit dat awareness in België structureel achterblijft op de techniek. Waar de meeste NIS2-entiteiten wel firewalls en back-ups hebben, beschikt minder dan de helft van de Belgische kmo’s over een formeel, continu awareness-programma dat verder gaat dan een jaarlijkse toelichting. De wet dwingt die achterstand nu recht te trekken.
Bestuurders moeten zelf ook training volgen
Onder NIS2 zijn bestuurders verplicht om zelf een cybersecurity-opleiding te volgen, niet alleen om er een te organiseren voor hun personeel. Artikel 20 van de richtlijn legt vast dat de leden van het bestuursorgaan van essentiële en belangrijke entiteiten voldoende kennis moeten verwerven om cyberrisico’s te identificeren en de risicobeheersmaatregelen van hun organisatie kritisch te beoordelen. Dit is voor veel zaakvoerders het meest verrassende onderdeel van de wet.
Het bijzondere zit in de Belgische interpretatie. De memorie van toelichting bij de wet hanteert een brede definitie van bestuursorgaan. Daaronder valt niet alleen de formele raad van bestuur, maar ook het hoger management, het directiecomité, en zelfs meerderheidsaandeelhouders die feitelijk besturen. Verwaarloost een entiteit haar verplichtingen, bijvoorbeeld door medewerkers of het bestuur niet op te leiden, dan kunnen die personen persoonlijk aansprakelijk worden gesteld voor de schade na een incident.
Wat houdt zo’n bestuurstraining concreet in? De wet legt geen exact aantal uren op, maar de gangbare praktijk komt neer op minimaal een jaarlijkse sessie, en extra opleiding bij grote veranderingen in de organisatie of in het dreigingslandschap. De inhoud is strategisch van aard: risicoanalyse, toeleveringsketenrisico’s, de meldplicht onder NIS2, en in toenemende mate de governance rond AI. Belangrijk om te weten: er bestaat in België geen officieel accreditatieprogramma dat definieert wanneer een bestuurstraining “voldoende” is. Dat maakt het des te belangrijker om uw deelname en de inhoud aantoonbaar vast te leggen.
De link met aansprakelijkheid is geen detail. Wie wil begrijpen wat een bestuurder precies riskeert, leest het best ook onze uitleg over de NIS2-boetes en bestuurdersaansprakelijkheid in België. Persoonlijke training is een van de meest directe manieren om dat risico te beperken.
Wat telt als een compliant awareness-programma?
Een compliant programma is een gestructureerd, gedocumenteerd en doorlopend traject dat aantoonbaar alle medewerkers en bestuurders bereikt. Toezichthouders en conformiteitsbeoordelingsinstanties nemen geen genoegen meer met een ad-hocaanpak. Ze verwachten dat awareness verankerd zit in uw informatiebeveiligingsbeleid en in uw bedrijfscultuur.
De ruggengraat hiervoor is het CyberFundamentals-raamwerk (CyFun) van het CCB, dat vier niveaus kent: Small, Basic, Important en Essential. De opleidingsverplichting zit verankerd in de controle PR.AT-1, die op elk niveau verplicht is en eist dat alle gebruikers, inclusief tijdelijke krachten en relevante externe dienstverleners, aantoonbaar worden opgeleid. Op de niveaus Important en Essential komt daar PR.AT-2 bij: een specifiekere training voor gebruikers met verhoogde rechten, zoals systeembeheerders. Het CCB vermeldt in zijn implementatiegidsen uitdrukkelijk dat simulatie-oefeningen zoals phishing-tests nodig zijn om te verifiëren of medewerkers de kennis ook echt toepassen.
Die controles bepalen meteen uw tijdslijn. Essentiële entiteiten moeten uiterlijk op 18 april 2026 hun conformiteit met CyFun Basic of Important aantonen via verificatie of certificering, met het uiteindelijke doelniveau gecertificeerd tegen 18 april 2027. Een niet-gedocumenteerd of inactief awareness-programma laat u die toets niet halen. Wilt u eerst de bredere stappen begrijpen voordat u op awareness inzoomt? Dan helpt ons NIS2-stappenplan in 7 stappen om het geheel te overzien. Dit artikel gaat dieper in op de stap die over uw mensen gaat.
De vijf onderwerpen die elk programma moet dekken
Een sterk awareness-programma is nooit generiek. Auditoren verwachten een gedifferentieerd curriculum dat aansluit bij het risicoprofiel van elke functie. Toch zijn er vijf inhoudelijke kaders die in vrijwel elk programma thuishoren, ongeacht de doelgroep.
Het eerste kader is social engineering in al zijn vormen: phishing via e-mail, smishing via sms en vishing via de telefoon. Dit is de meest gebruikte ingang voor aanvallers en verdient de meeste aandacht. Het tweede kader gaat over toegang: een gezond wachtwoordbeleid en correct gebruik van meervoudige authenticatie (MFA), inclusief het herkennen van zogenaamde MFA-moeheid waarbij aanvallers u bestoken met goedkeuringsverzoeken tot u toehapt.
Het derde kader is veilig omgaan met bedrijfsdata, met bijzondere aandacht voor thuiswerken, BYOD en het groeiende risico van Shadow AI: het invoeren van gevoelige bedrijfsdata of broncode in publieke generatieve AI-tools. Het vierde kader betreft de meldprocedures, want medewerkers moeten weten hoe en wanneer ze een verdacht incident intern melden, helemaal gezien de strikte NIS2-meldtermijnen. Het vijfde kader, ten slotte, zijn de rolspecifieke dreigingen: financieel personeel traint op CEO-fraude en factuurfraude, IT-beheerders op veilige configuraties, en het bestuur op governance en toeleveringsketenrisico’s.
Van jaarlijkse e-learning naar een structureel programma
Een eenmalige jaarlijkse training is niet compliant, omdat ze geen blijvende gedragsverandering oplevert. Het effect van een losse sessie ebt na ongeveer een maand weg, waarna de waakzaamheid terugvalt naar het oude niveau. De wet vraagt via het proportionaliteitsbeginsel dat u de stand van de techniek volgt, en die wijst eenduidig richting doorlopende, korte interventies in plaats van één lange sessie per jaar.
Hoe ziet zo’n doorlopend programma er dan uit? In de praktijk werkt een gelaagde aanpak het best. Algemene medewerkers krijgen maandelijkse of tweemaandelijkse micro-learnings van vijf tot tien minuten, gecombineerd met regelmatige phishing-simulaties. Geprivilegieerde gebruikers volgen halfjaarlijks diepere technische training. Financieel en HR-personeel krijgt elk kwartaal verdiepingsmodules over gerichte fraude. Het bestuur sluit minstens jaarlijks aan. Die ritmes zijn geen wettelijke voorschriften, maar wel de norm die auditoren als redelijk beschouwen.
Het verschil tussen afvinken en echt verbeteren zit in de meting. Auditoren nemen geen genoegen meer met louter deelnamepercentages. U moet gedragsdata kunnen tonen: het percentage medewerkers dat een phishing-simulatie correct rapporteert, en de snelheid waarmee dat gebeurt. Cyberplan draait phishing-simulaties bij meer dan 300 Vlaamse bedrijven, en de patronen die we daar zien bevestigen dat het juist die structurele herhaling is die het verschil maakt. Wie waarom awareness onmisbaar is dieper wil begrijpen, vindt dat terug in ons artikel over security awareness training en waarom technologie alleen niet volstaat. NIS2 maakt wat daar bepleit wordt nu ook wettelijk verplicht.
Phishing-simulatie als kern van uw awareness-programma
Phishing-simulaties vormen de meetbare kern van een effectief awareness-programma, omdat ze toetsen of kennis ook tot gedrag leidt. Theorie alleen vertelt u niets over hoe uw mensen reageren onder druk. Een simulatie wel, en bovendien levert ze precies de gedragsdata op die u nodig hebt om uw compliance aan te tonen.
De cijfers tonen de waarde aan. Volgens het Phishing by Industry Benchmarking-rapport van KnowBe4 (2024) klikt gemiddeld ruim 34% van de medewerkers zonder training op een schadelijke link. Na twaalf maanden consistente training daalt dat zogenaamde phish-prone percentage richting enkele procenten. Tegelijk stijgt de rapportagebereidheid van minder dan 10% naar veertig à vijftig procent. Het verschil zit niet in één spectaculaire campagne, maar in herhaling en in directe, opbouwende feedback op het moment dat iemand klikt.
De frequentie maakt het verschil tussen een momentopname en een echt programma. Minimaal per kwartaal is een ondergrens, maandelijks is ideaal, en idealiter bevat uw simulatiekalender ook smishing- en vishing-scenario’s, want mobiele social engineering wint snel terrein. Een aandachtspunt: het CCB publiceert geen officiële norm voor een acceptabele klikfrequentie, dus spiegelt u zich het best aan internationale standaarden zoals SANS of NIST. Hoe u de uitkomsten van zo’n simulatie correct leest, behandelen we apart, net als de kostenkant. Een waarschuwing tot slot: simulaties zonder educatieve context, waarbij u medewerkers test en bestraft zonder begeleiding, creëren een angstcultuur en verlagen net de meldingsbereidheid. Doe het dus opbouwend, niet bestraffend.
Wat kost een awareness-programma en welke subsidies zijn er?
Een professioneel, SaaS-gebaseerd awareness- en phishingplatform kost in België doorgaans tussen 20 en 55 euro per medewerker per jaar, afhankelijk van de grootte van uw organisatie en de diepgang van de rapportage. Dat is een marktrange voor de software; begeleiding, maatwerk en strategie komen daar bovenop. Voor de meeste Vlaamse KMO’s is dit een beheersbare investering, zeker afgezet tegen de kost van één geslaagde aanval.
Het goede nieuws is dat de Vlaamse overheid fors bijdraagt. Het meest interessante kanaal voor een volledig traject is het VLAIO Cybersecurity Verbetertraject, dat tot 50% steun biedt en awareness opneemt in zijn pakketten. Het START-pakket levert een analyse en actieplan, het MEDIUM-pakket voegt basisinrichting van awareness-protocollen toe, en het PLUS-pakket omvat een volledig medewerkerstrainings- en awarenessprogramma. De pakketten lopen qua brutokostprijs van ongeveer 7.100 tot 39.900 euro, waarbij een kmo na 50% steun dus tussen circa 3.550 en 19.950 euro netto betaalt.
Daarnaast blijft de KMO-portefeuille een optie. Sinds de hervorming van 1 februari 2026 is de pijler Advies binnen de portefeuille beperkt tot cybersecurity, terwijl de pijler Opleiding ongewijzigd open blijft staan voor awareness-trainingen. Kleine ondernemingen krijgen er 45% subsidie, middelgrote 35%, met een plafond van 7.500 euro per jaar. Voor een afgebakende opleiding kan dat volstaan; voor een structureel meerjarentraject zit u doorgaans beter met het Verbetertraject. Een laatste tip die niets kost: registreer uw organisatie op Safeonweb@Work van het CCB, want daar vindt u gratis beleidstemplates, campagnemateriaal en een driemaandelijkse Quick Scan die als startpunt voor gerichte training kan dienen.
Veelgestelde vragen over de NIS2 awareness verplichting
Is security awareness training verplicht onder NIS2?
Ja. Artikel 21, lid 2, punt g van de NIS2-richtlijn, overgenomen in artikel 30 van de Belgische wet van 26 april 2024, maakt cyberhygiëne en opleiding een verplichte minimummaatregel voor essentiële en belangrijke entiteiten. Een gedocumenteerd, doorlopend programma is nodig om dit aan te tonen bij een audit.
Moeten bestuurders zelf ook een cybersecurity-opleiding volgen?
Ja. Artikel 20 van NIS2 verplicht leden van het bestuursorgaan om zelf training te volgen. In België valt onder bestuursorgaan ook het hoger management en feitelijke bestuurders. Wie dit nalaat, riskeert persoonlijke aansprakelijkheid voor schade na een cyberincident.
Hoe vaak moet ik awareness-training organiseren om compliant te zijn?
De wet legt geen exact aantal uren op, maar volgt het proportionaliteitsbeginsel. De gangbare norm is doorlopend: maandelijkse micro-learnings en phishing-simulaties voor medewerkers, halfjaarlijkse training voor geprivilegieerde gebruikers, en minstens jaarlijkse training voor het bestuur. Een eenmalige jaarlijkse sessie volstaat niet.
Wat is het verschil tussen de awareness-eisen voor essentiële en belangrijke entiteiten?
De inhoudelijke opleidingsverplichting geldt voor beide. Het verschil zit in het toezicht: essentiële entiteiten krijgen proactief én reactief toezicht en verplichte periodieke audits, belangrijke entiteiten enkel reactief toezicht. De maximale boetes verschillen ook, met respectievelijk tot 10 miljoen euro en tot 7 miljoen euro.
Welke onderwerpen moet een NIS2-conform awareness-programma behandelen?
Minimaal social engineering (phishing, smishing, vishing), wachtwoordbeleid en MFA, veilig datagebruik inclusief thuiswerken en Shadow AI, interne meldprocedures, en rolspecifieke dreigingen voor risicogroepen zoals financieel personeel en IT-beheerders. Het curriculum moet gedifferentieerd zijn per functie.
Worden awareness-programma’s gesubsidieerd in Vlaanderen?
Ja. Het VLAIO Cybersecurity Verbetertraject dekt tot 50% van een begeleid traject inclusief awareness. De KMO-portefeuille subsidieert opleidingen aan 45% voor kleine en 35% voor middelgrote ondernemingen, tot een plafond van 7.500 euro per jaar. Het Verbetertraject is doorgaans de sterkste keuze voor een structureel programma.
Van wettelijke plicht naar verdedigingslinie
De awareness-verplichting onder NIS2 leest op het eerste gezicht als weer een vinkje op een lange compliancelijst. Toch is dat de verkeerde manier om ernaar te kijken. Compliance is hier het minimum, geen sterke beveiligingscultuur het doel. De wet dwingt u te doen wat sowieso de meest rendabele cybersecurity-investering is die u kunt maken: uw mensen weerbaar maken tegen de aanvallen die hen het vaakst treffen.
Het verschil tussen een organisatie die de audit nipt haalt en een die echt veiliger wordt, zit in de uitvoering. Een doorlopend, meetbaar en gedocumenteerd programma dat ook uw bestuur meeneemt, dekt niet alleen uw wettelijke verplichting, maar verlaagt uw werkelijke risico aantoonbaar. Wilt u weten waar uw organisatie vandaag staat en hoe een programma op maat van uw mensen en uw NIS2-verplichtingen eruitziet? Cyberplan zet samen met u een awareness-traject op dat de audit doorstaat én blijft werken, met gebruik van de VLAIO-subsidies die het betaalbaar houden. Boek een vrijblijvend kennismakingsgesprek en we brengen het in kaart.
