Cyberbewustzijn is mooi, maar het moet wel leiden tot gedragsverandering
De cijfers uit
Waar het op neerkomt: we zeggen cybersecurity met z’n allen heel belangrijk te vinden, maar slagen er onvoldoende in om het thema organisatie-breed onder de aandacht te brengen. Het gevolg is dat menselijk gedrag het grootste risico op cyberincidenten blijft. Bij veel organisaties ondermijnt dat de zorgvuldig opgebouwde technische weerbaarheid. Want gedrag verandert pas bij voldoende awareness – en dan niet in de vorm van een eenmalig programma, maar als onderdeel van een structureel plan om cyberbewustzijn op het netvlies te houden.
Compliance zonder awareness bestaat niet
Wie dacht dat compliance aan cybersecurity-wetgeving nog puur een aangelegenheid van de IT-afdeling was, leeft in het verleden. Wetten en richtlijnen als NIS2 en de DORA verplichten organisaties in elke sector om niet alleen in technisch opzicht de boel op de rit te hebben. Cyberbewustzijn binnen je organisatie – wat je als organisatie onderneemt om het gewenste menselijke gedrag te bereiken – maakt steeds nadrukkelijker deel uit van wettelijke kaders.
Desondanks ziet 11 procent van de onderzochte organisaties security als puur IT-vraagstuk. En nog eens 39 procent vindt het ‘primair’ een IT-thema. Een karige 27 procent is zover dat cybersecurity en compliance aan relevante wetgeving zijn verweven in de bedrijfscultuur. Dat terwijl die situatie eigenlijk pas écht compliant genoemd kan worden; compliance zonder organisatie-breed bewustzijn bestaat anno 2026 niet meer. Het maakt er immers deel van uit.
Cybersecurity is mensenwerk
“Alles wat we in security doen, is mensenwerk”, zegt Thys te Poele, CISO bij de gemeente Oost Gelre, treffend over die menselijke component. “Ja, het gaat over informatie en systemen, maar uiteindelijk draait het om gedrag, communicatie en samenwerking. Je kan de techniek nog zo goed regelen, als mensen niet begrijpen waarom iets belangrijk is, dan valt het hele bouwwerk om.” Exact de reden dat menselijk gedrag zo nadrukkelijk terugkomt in wetgeving.
Menselijk gedrag wordt door de geïnterviewde experts dan ook met afstand het vaakst genoemd als risicofactor nummer 1. Maar bij slechts 27 procent van de respondenten is medewerkers bewust maken van risico’s en veilig gedrag bevorderen een prioriteit. Daar zien we dus een gat: het grote probleem is helder, maar de oplossing staat niet bovenaan de prioriteitenlijst. Hoe kan dat?
Awareness-programma’s mislukken té vaak
Er zijn drie hoofdredenen die dat gat verklaren: inconsistentie, te generieke training en de bedrijfscultuur.
Inconsistentie zien we bij bijna vier op de vijf organisaties terug: zij maken cyberbewustzijn kortstondig belangrijk, maar zodra het programma afloopt, zakt dat bewustzijn weer terug. “Je kan het mooiste beleid hebben, maar als de boodschap niet consistent is, dan weten mensen niet meer wat leidend is”, zegt security-expert Marianne Schinkel daarover. “Medewerkers gaan afwegen welke boodschap het zwaarst weegt. Of ze doen uiteindelijk niets.” Cyberbewustzijn moet dan ook geen eenmalige campagne zijn, maar een ‘always on’-campagne: dat is consistent.
Awareness-trainingen blijken bovendien meestal veel te generiek. Als je dataclassificatie uitlegt aan medewerkers die nooit werken met geclassificeerde documenten, raak je ze kwijt. Awareness-programma’s moeten op maat zijn, zodat ze de doelgroep raken. Je bent er niet met één e-learning voor je hele organisatie. Medewerkers ervaren zulke ‘one size fits all’-oplossingen als verplichte nummertjes waar ze doorheen klikken zonder gedragsverandering. Op papier is iedereen geslaagd, maar je bent geen millimeter opgeschoten.
Tot slot is de bedrijfscultuur van cruciaal belang. Cyberbewustzijn creëer je bottom-up én top-down. In de teams zelf moet het onderwerp van gesprek zijn, maar zeker ook vanuit de directie moet het belangrijk worden gemaakt. Dat vergt effectief leiderschap en security als boardroom-onderwerp, niet als IT-vraagstuk. Als de top risico's relativeert, doet iedereen dat. Dat is één van de oorzaken dat awareness-programma’s té vaak mislukken: top-down draagvlak ontbreekt.
De kracht van herhaling
Wat werkt dan wél? Serge Buitenhuis, docent Security Risk Management, licht dat toe aan de hand van het zogeheten ‘schoolbewaker-voorbeeld’. Een beveiliger die een school bewaakt, moet weten wat de reden achter de reden is dat hij dat doet. Uiteraard om de school veilig te houden, maar er is een achterliggende reden: “Je wil dat die beveiliger zegt: ik zit hier omdat het onderwijsproces moet doorgaan.” Kortom: de bewaker realiseert zich waarom zijn bijdrage aan een veilige school zo belangrijk is voor het grotere plaatje.
Op vergelijkbare wijze moeten medewerkers beseffen waarom gedrag dat past bij cyber awareness bijdraagt aan de gehele weerbaarheid van de organisatie. Serge: “Dat vraagt om duidelijkheid vanuit het bestuur en actieve ondersteuning vanuit security. Die helderheid is niet iets dat je eenmalig vastlegt in een beleidsdocument, maar iets dat voortdurend moet worden uitgelegd, herhaald en geoefend.”
“Beleid is prachtig op papier, maar mensen onthouden niet wat er in dertig pagina’s staat”, zegt Thys daarover. “Wat wél werkt, is uitleggen waarom we iets doen, op een manier die past bij hun werk. Dat is geen kwestie van regels, maar van begrip.” Het begint dus met bewustzijn: medewerkers uitleggen, op een manier die bij hun referentiekader past, wat hun persoonlijke bijdrage aan een veilige organisatie is. En dat vervolgens blijven doen via een effectief awareness-programma op maat, met mandaat vanuit de directie. Want cyberbewustzijn is mooi, maar het moet wel leiden tot gedragsverandering: en dat bereik je alleen door de kracht van herhaling in je voordeel in te zetten.
