TL;DR: Een security awareness programma is geen jaarlijkse training, maar een doorlopend systeem van nulmeting, maandelijkse microlearning, phishing-simulaties als meetinstrument en kwartaalrapportage. Volgens het Verizon DBIR 2026 zit de menselijke factor in 62% van de datalekken. Eenmalige sessies werken niet: medewerkers vergeten tot 80% binnen een maand. Een gefaseerde, no-blame aanpak verlaagt het klikpercentage aantoonbaar van rond 33% naar circa 4% op twaalf maanden. Vlaamse kmo’s halen tot 50% subsidie via een VLAIO Verbetertraject.
U weet dat uw mensen de eerste verdedigingslinie zijn. U organiseert misschien al een jaarlijkse sessie of een phishing-test. En toch blijft het knagen: blijft die kennis wel hangen? In dit artikel leggen we uit hoe u van losse trainingen naar een structureel security awareness programma gaat dat gedrag echt verandert. We doorlopen de fasen, de meetpunten die er toe doen, de gedragswetenschap erachter en hoe dit aansluit op uw NIS2-verplichtingen, inclusief de Vlaamse subsidies die de rekening verlichten.
Wat is een security awareness programma en waarom is een losse training niet genoeg?
Een security awareness programma is een doorlopend, meetbaar systeem dat het cybergedrag van uw medewerkers structureel verbetert, in plaats van eenmalig kennis over te dragen. Het combineert een nulmeting, periodieke microlearning, phishing-simulaties als meetinstrument en continue bijsturing op basis van gedragsdata. Het doel is niet kennis, maar blijvend ander gedrag.
Het verschil met een losse training zit in de aanpak. Een eenmalige sessie is statisch, eenvormig en gericht op het afvinken van een verplichting. Een programma is continu, gepersonaliseerd en stuurt op risicoreductie. Dat onderscheid is geen detail. Onderzoek van de University of Chicago en UC San Diego vond geen enkel bewijs dat jaarlijkse awareness-training samenhangt met minder phishing-fouten op de werkvloer. Medewerkers die net een jaarlijkse sessie achter de rug hadden, klikten in tests even vaak op gesimuleerde links als collega’s die al maanden geen training hadden gehad.
De oorzaak ligt in hoe ons geheugen werkt. De vergetingscurve, in 1885 beschreven door psycholoog Hermann Ebbinghaus en sindsdien herhaaldelijk bevestigd, laat zien dat we niet-actief herhaalde informatie razendsnel kwijtraken. Volgens cijfers herbevestigd door TrainMeUK (2025) is na 24 uur tot 70% van nieuwe trainingsinformatie vergeten, en na een maand tot 80%. Een sessie verhoogt de alertheid kortstondig, maar na ongeveer vier maanden treedt verval op en is het effect na zes maanden volledig verdwenen.
Hoe groot is de menselijke factor echt in cyberincidenten?
De menselijke factor is volgens het Verizon Data Breach Investigations Report 2026 betrokken bij 62% van de datalekken, een lichte stijging tegenover 60% in 2025. Het gaat dan om menselijke fouten, misbruik van toegangsrechten en het slachtoffer worden van sociale manipulatie. Dat is een fors aandeel, maar het is iets anders dan de losse marketingclaim dat “90% bij de mens begint”.
Waarom is die nuance belangrijk? Omdat een programma op de juiste cijfers gebouwd moet zijn. Het Verizon DBIR 2026 analyseerde meer dan 22.000 incidenten en 12.195 bevestigde datalekken. Daaruit blijkt dat technische kwetsbaarheden in 2026 zijn opgeschoven naar de belangrijkste initiële toegangsweg (31% van de inbraken), terwijl misbruik van inloggegevens de spil blijft in 39% van de datalekken voor laterale bewegingen en datadiefstal.
De menselijke factor en de techniek zijn dus geen tegenpolen, maar twee kanten van dezelfde aanval. Een gestolen wachtwoord komt vaak via een phishingmail binnen, en juist daar grijpt awareness in. Hoe aanvallers zelfs multifactorauthenticatie omzeilen, leest u in ons artikel over MFA omzeilen. Het versterkt het punt: techniek alleen volstaat niet, de mens blijft de laatste verdedigingslinie.
Welke onderdelen horen in een volwaardig awareness programma?
Een volwaardig programma bestaat uit zes elkaar versterkende onderdelen: een nulmeting, doorlopende microlearning, phishing-simulaties als meetinstrument, rolgebaseerde training, cultuur met management buy-in, en continue rapportage. Samen verschuiven ze de focus van compliance naar aantoonbare gedragsverandering.
In de praktijk zien die onderdelen er zo uit:
- Nulmeting (baseline). Een onaangekondigde phishing-simulatie om de werkelijke startpositie te meten zonder medewerkers vooraf te waarschuwen.
- Doorlopende microlearning. Korte modules van 1 tot 3 minuten, maandelijks geleverd in de gewone workflow, om de vergetingscurve plat te slaan.
- Phishing-simulaties als meet- en coachinginstrument. Niet om mensen te betrappen, maar om alertheid te meten en directe feedback te geven op het foutmoment.
- Rolgebaseerde training. Een financieel medewerker traint op factuurfraude en CEO-fraude, operationele medewerkers op fysieke toegang en apparaatbeveiliging.
- Cultuur en management buy-in. Actieve betrokkenheid van de directie en een open meldcultuur waarin fouten gewaardeerd worden in plaats van bestraft.
- Continue rapportage en analytics. Dashboards waarmee IT en HR het gedrag volgen en het curriculum bijsturen op reële risico’s.
Het SANS Security Awareness and Culture Maturity Model (2025) deelt deze groei op in vijf fasen: van Non-Existent, via Compliance-Focused en Awareness & Behavioral Change, naar Long-Term Culture Change en Optimization & Resilience. SANS rekent voor dat echte gedragsverandering pas ontstaat bij minimaal 2,8 voltijdse equivalenten op de awareness-rol, en cultuurverandering bij 3,9 FTE. Geen enkele Vlaamse kmo van 50 tot 250 medewerkers maakt die mensen intern vrij. Daarom is een geautomatiseerd platform, beheerd door een partner, de realistische route. U combineert een awareness-programma met phishing-simulaties zonder uw interne IT-dienst te overbelasten.
Hoe zet u een awareness programma op in fasen?
Een awareness programma bouwt u op in zes fasen over ongeveer een jaar: van risicoanalyse en nulmeting, via beleid, curriculum en microlearning, naar adaptieve simulaties en kwartaalevaluatie. De gefaseerde opbouw houdt het behapbaar voor een kmo en zorgt dat elke stap meetbaar bijdraagt.
Fase 1: Risicoanalyse en nulmeting (maand 1). U brengt de kritieke digitale activa en processen in kaart en voert een eerste, volledig onaangekondigde phishing-simulatie uit. Die levert het initiële Phish-Prone Percentage (PPP) op, uw wetenschappelijke startpunt.
Fase 2: Beleidsbepaling en KPI’s (maand 2). Het management legt meetbare doelen vast en formuleert helder beleid rond wachtwoordhygiëne, tweestapsverificatie en meldprocedures. Een concrete KPI is bijvoorbeeld een meldratio van minstens 30%.
Fase 3: Curriculumontwerp en personalisatie (maand 2-3). U stelt leertrajecten samen per risicoprofiel: basistraining voor iedereen, verplichte strategische training voor de directie conform NIS2, en gespecialiseerde modules voor HR en financiën.
Fase 4: Uitrol van microlearning (maand 3 en doorlopend). De trainingen lopen als maandelijkse modules van maximaal 3 minuten, geleverd via dagelijkse tools zoals Microsoft Teams, Slack of e-mail.
Fase 5: Adaptieve phishing-simulaties (maand 4 en doorlopend). Het systeem past moeilijkheidsgraad en frequentie aan op de individuele prestaties. Wie goed presteert, krijgt complexere scenario’s; wie faalt, krijgt gerichte ondersteuning.
Fase 6: Evaluatie en bijsturing (elk kwartaal). IT en HR evalueren op gedragsdata: dalend klikpercentage, stijgende meldratio, snellere rapportering. Op basis daarvan en van nieuwe dreigingen zoals AI-gestuurde vishing verfijnt u het curriculum.
Hoe meet u of een security awareness programma werkt?
U meet effectiviteit aan gedragsmetrics, niet aan deelnamecijfers. De belangrijkste zijn het Phish-Prone Percentage (klikgedrag), de meldratio (actief gerapporteerde mails) en de veerkrachtratio (verhouding melders tegenover klikkers). Succes is niet “iedereen heeft de training afgerond”, maar “we detecteren een aanval collectief binnen enkele minuten”.
Realistische benchmarks voor een continu programma zien er zo uit:
| KPI | Baseline (ongetraind) | Richtwaarde (90 dagen) | Streefdoel (12 maanden) |
|---|---|---|---|
| Phish-Prone Percentage | 33,1% tot 34,3% | rond 20% | gemiddeld 4,1% |
| Meldratio | minder dan 10% | 20% tot 25% | meer dan 30% (audit-ready) |
| Veerkrachtratio (melders/klikkers) | minder dan 0,3 | rond 0,8 tot 1,0 | meer dan 1,0 |
| Herhaalde overtreders | hoog | dalend | minder dan 2% van het personeel |
Volgens het KnowBe4 Phishing by Industry Benchmarking Report (2025) daalt het gemiddelde Phish-Prone Percentage van 33,1% naar 4,1% na twaalf maanden continue training. Let op de valkuil van “compliance theater”: een lange, droge video die mensen eenmalig afspelen verlaagt het werkelijke risico niet. Wat telt, is de meldknop die echt gebruikt wordt. De diepte achter deze cijfers behandelen we in ons artikel over simulatieresultaten interpreteren, en wat een traject kost leest u in wat een phishing-simulatie kost.
Gedragsverandering: wat werkt echt en wat averechts?
Wat werkt is positieve bekrachtiging, directe feedback op het foutmoment en een no-blame cultuur. Wat averechts werkt is straffen, publiek berispen of een sfeer van wantrouwen. Awareness is geen technische instructie maar een gedragsdiscipline, en angst verlaagt juist de prestaties van uw mensen.
De reden zit in cognitieve belasting. Onder tijdsdruk schakelt het brein van rationeel nadenken (System 2) naar snel, routinematig handelen (System 1). Gedragsonderzoek toont dat werknemers onder deadline-druk significant sneller op een schadelijke link klikken. Aanvallers bouwen daarom bewust urgentie en autoriteit in, zoals een zogenaamd dringend verzoek van de zaakvoerder.
Een strafcultuur maakt dit erger. Wie uit angst voor represailles een foutieve klik verzwijgt, geeft de aanvaller dagen of weken om onopgemerkt binnen te blijven. Een no-blame cultuur, gebouwd op psychologische veiligheid, is daarentegen uw snelste detectiesysteem: mensen melden meteen. Organisaties die “good catches” publiek belonen, realiseren een reductie van de hersteltijd na incidenten. Drie technieken werken bewezen: positieve bekrachtiging (afdelingen met hoge meldratio erkennen), just-in-time nudges (een pop-up direct na een foutieve klik) en frictieloze processen (een duidelijke meldknop in de mailclient).
Hoe sluit awareness aan op NIS2 en CyberFundamentals?
Awareness is sinds de NIS2-richtlijn geen vrijblijvende keuze meer maar een wettelijke verplichting. De Belgische omzetting verplicht bestuursleden tot een gerichte cybersecurity-opleiding en organisaties tot aantoonbare, periodieke training voor alle werknemers. Binnen het CyberFundamentals-kader is “Awareness & Training” verplicht vanaf het Basic-niveau.
Voor de directie zijn de gevolgen concreet. Bestuursleden en zaakvoerders van in-scope entiteiten moeten een opleiding volgen die hen in staat stelt risico’s te beoordelen en maatregelen goed te keuren. Bij nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld. Voor werknemers geldt een verplichting tot basis-cyberhygiëne: phishingherkenning, wachtwoordbeveiliging, gegevensbescherming en correct melden binnen de wettelijke termijnen.
Het CyberFundamentals (CyFun) framework van het CCB is de pragmatische gids om dit aantoonbaar te maken. Het kent vier niveaus. Vanaf Basic (34 controls, dekt 82% van de aanvalstypes) is gestructureerde, continue training verplicht. Op Important niveau (132 controls, 94%) komt daar een gedocumenteerd, rolgebaseerd curriculum bij, met continue simulaties en bijgehouden resultaten voor externe audits. Wilt u weten hoe dit in uw bredere compliance-traject past, lees dan onze NIS2-begeleiding. En om de technische basis op orde te krijgen waar awareness op steunt, helpt ons overzicht van de 10 fundamenten.
Welke Vlaamse subsidies dekken een awareness programma?
Vlaamse kmo’s kunnen een awareness programma deels laten financieren via een VLAIO Cybersecurity Verbetertraject, dat 50% van de projectkosten dekt. Daarnaast bestaat de kmo-portefeuille, sinds 1 februari 2026 exclusief voor cybersecurity, met 45% steun voor kleine en 35% voor middelgrote ondernemingen, tot maximaal 7.500 euro per jaar.
Voor een structureel programma is het Verbetertraject doorgaans de sterkste route. VLAIO financiert 50% van begeleide implementatietrajecten via erkende dienstverleners. Het instappakket START (10 mandagen) omvat een maturiteitsanalyse, technische audits en een actieplan, met een netto kmo-investering van 5.400 euro na steun. Het MEDIUM-pakket (21 mandagen) voegt praktische begeleiding toe bij de implementatie, inclusief het opzetten van trainingen en awareness, voor netto 10.920 euro. Het PLUS-pakket (34 mandagen) bouwt een volledige basis voor een NIS2- of ISO 27001-audit, voor netto 17.000 euro.
De zakelijke logica is sterk. Volgens de in de research aangehaalde cijfers kostte een datalek een onderneming in 2025 gemiddeld 4,44 miljoen dollar, terwijl NIS2 awareness-training voor de directie wettelijk verplicht stelt. Een gesubsidieerd traject is daarmee geen kostenpost maar risicobeheersing. Onze opleidingen en awareness zijn opgezet om binnen deze subsidiekaders te passen, zodat de drempel voor een kmo zo laag mogelijk blijft.
Veelgestelde vragen over een security awareness programma
Hoe vaak moeten medewerkers binnen een kmo worden getraind?
Idealiter maandelijks, via korte microlearning-modules van 1 tot 3 minuten. Onderzoek toont dat kennis na een eenmalige sessie al na vier maanden begint te vervagen en na zes maanden volledig verdwijnt. Maandelijkse, hapklare trainingen houden veiligheid top-of-mind zonder de productiviteit te belasten.
Werken phishing-simulaties echt om risico’s te verlagen?
Ja, mits ingezet als positief coachinginstrument met onmiddellijke feedback bij een foutieve klik. Doorlopende simulaties gecombineerd met maandelijks leren verlagen het Phish-Prone Percentage binnen twaalf maanden aantoonbaar van gemiddeld 33,1% naar circa 4,1%. Puur bestraffend gebruik saboteert juist de meldingsbereidheid.
Hoe overtuig ik het management van een langetermijninvestering?
Presenteer awareness als strategisch bedrijfsthema, onderbouwd met financiële en wettelijke argumenten. Een datalek kostte in 2025 gemiddeld 4,44 miljoen dollar. Bovendien eist de NIS2-wetgeving aantoonbare training van bestuursleden, die bij nalatigheid persoonlijk aansprakelijk kunnen worden gesteld.
Is een kmo met minder dan 250 werknemers wel een doelwit?
Ja, juist middelgrote kmo’s zijn een geliefd doelwit omdat hun beveiliging vaak minder volwassen is dan die van multinationals. Daarnaast worden kmo’s vaker gebruikt als zwakke achterdeur om grotere toeleveringsketens binnen te dringen via supply chain-aanvallen.
Hoe ga ik om met medewerkers die blijven falen in simulaties?
Herhaalde overtreders, gemiddeld minder dan 2% van een organisatie, mogen nooit publiek gestraft worden. Ondersteun hen met gerichte, laagdrempelige coaching en vereenvoudig hun digitale werkomgeving. Bestraffen leidt er enkel toe dat echte incidenten uit angst verzwegen worden.
Volstaat tweestapsverificatie (2FA/MFA) niet als technische maatregel?
Nee. Hoewel het CCB 2FA sterk aanbeveelt, omzeilen moderne aanvallers het met AI-gestuurde social engineering en Adversary-in-the-Middle-kits die wachtwoord én sessietoken in real time onderscheppen. Omdat de mediane tijd tot een klik slechts 21 seconden bedraagt, blijft menselijke alertheid de cruciale laatste verdedigingslinie.
Conclusie
Een security awareness programma verschilt fundamenteel van een jaarlijkse training: het is doorlopend, meetbaar en gericht op blijvend gedrag. De cijfers zijn duidelijk. De menselijke factor speelt in 62% van de datalekken, kennis vervaagt binnen maanden, en een gefaseerde aanpak met no-blame cultuur verlaagt het klikpercentage van rond 33% naar circa 4% op een jaar. Tel daar de NIS2-verplichtingen en de CyFun-eisen bij op, en de vraag is niet of u dit aanpakt, maar hoe gestructureerd.
Het goede nieuws: u hoeft het niet alleen te dragen, en met een VLAIO Verbetertraject dekt de overheid de helft van de kosten. Wilt u weten waar uw organisatie vandaag staat en welke aanpak past bij uw schaal? Boek een kennismaking en we brengen samen in kaart welke eerste stap voor u het meeste oplevert.
