Security awareness onder de Cyberbeveiligingswet
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Voor organisaties die direct onder de wet vallen, is bewust omgaan met cyberrisico’s daarmee niet alleen verstandig, maar onderdeel van de wettelijke zorgplicht.
Dat betekent niet dat iedere medewerker verplicht een standaard e-learning moet afvinken. De wet vraagt om passende en aantoonbare maatregelen die aansluiten op de risico’s van de organisatie. Medewerkers moeten weten welke risico’s zij in hun werk tegenkomen en hoe zij veilig handelen. Functies met specifieke verantwoordelijkheden voor cybersecurity moeten bovendien regelmatig worden opgeleid.
Ook voor het bestuur gelden aparte eisen. Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten een training volgen en voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen.
In deze blog leggen we uit wat de wet werkelijk vraagt, waar de grens ligt tussen een wettelijke eis en een verstandige maatregel, en hoe je awareness praktisch en aantoonbaar organiseert.
Wat vraagt de Cyberbeveiligingswet?
De zorgplicht uit de Cyberbeveiligingswet bestaat uit tien onderdelen. Eén daarvan is “basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging”. De wet vraagt van organisaties die eronder vallen om passende en evenredige maatregelen te nemen om cyberrisico’s te beheersen.
Het Cyberbeveiligingsbesluit maakt dat concreter. Medewerkers en andere personen die binnen de organisatie werkzaam zijn, moeten voor zover dat relevant is voor hun functie bewust zijn van de risico’s voor de netwerk- en informatiesystemen en veilige basispraktijken toepassen. Voor functies waarvoor specifieke kennis op het gebied van cybersecurity nodig is, moet bovendien regelmatig opleiding worden verzorgd.
Dat is iets anders dan simpelweg kunnen aantonen dat medewerkers ooit een training hebben gevolgd. De organisatie moet namelijk ook periodiek beoordelen of de genomen beveiligingsmaatregelen daadwerkelijk effectief zijn en de uitkomsten daarvan vastleggen.
Alleen een jaarlijkse e-learning is meestal niet genoeg
De Cyberbeveiligingswet schrijft niet voor hoe vaak iedere medewerker een security awareness-training moet volgen. Toch vinden wij één algemene training per jaar voor de meeste organisaties geen sterke aanpak.
Cyberaanvallen veranderen daarvoor simpelweg te snel. Medewerkers krijgen te maken met overtuigende phishingmails, aangepaste facturen, QR-codes, misbruik van Microsoft 365-inlogpagina’s en social engineering via bijvoorbeeld telefoon of Teams. Door de opkomst van AI wordt het bovendien steeds makkelijker om geloofwaardige teksten te maken. Daar kun je medewerkers beter gedurende het jaar op voorbereiden dan één keer per jaar.
Daarom kijken wij bij security awareness naar drie onderdelen:
- trainen: medewerkers regelmatig kort meenemen in actuele risico’s;
- testen: met realistische simulaties controleren hoe medewerkers reageren;
- verbeteren: de resultaten gebruiken om extra aandacht te geven aan onderwerpen waar dat nodig is.
Een medewerker die een verdachte mail herkent en meldt, is onderdeel van je beveiliging. Techniek houdt veel tegen, maar niet alles. Goede beveiliging ontstaat uit de combinatie van techniek, duidelijke processen en mensen die weten wat ze moeten doen.
Voor bestuurders gelden aparte eisen
De Cyberbeveiligingswet legt cybersecurity nadrukkelijk op de bestuurstafel. Het bestuur moet de maatregelen voor het beheersen van cyberrisico’s goedkeuren en toezien op de uitvoering daarvan. Ook moeten bestuurders voldoende kennis en vaardigheden hebben om cyberrisico’s en de mogelijke gevolgen voor de organisatie te kunnen beoordelen. Voor uitvoerende bestuurders van essentiële en belangrijke entiteiten geldt daarnaast een specifieke trainingsplicht.
Zij moeten uiterlijk twee jaar na de inwerkingtreding van de Cyberbeveiligingswet over de vereiste kennis en vaardigheden beschikken. Omdat de wet op 15 augustus 2026 in werking is getreden, betekent dit uiterlijk 15 augustus 2028. Daarna moet die kennis aantoonbaar actueel worden gehouden.
De overheid schrijft daarbij geen specifieke opleider voor. Een organisatie mag de training extern inkopen, maar kan deze ook zelf organiseren zolang wordt voldaan aan de inhoudelijke eisen. Na afloop moet een certificaat worden verstrekt waarop onder andere de bestuurder, trainingsdatum, behandelde onderwerpen en aanbieder staan vermeld.
Ook relevant als je niet direct onder de wet valt
De Cyberbeveiligingswet raakt ruim 8.000 Nederlandse organisaties rechtstreeks, dit zijn over het algemeen organisaties met meer dan 50 miljoen omzet in kitieke sectoren waaronder levensmiddelen, transport en energie. De invloed van de wet is in de praktijk breder. Een belangrijk onderdeel van de zorgplicht is namelijk de beveiliging van de toeleveringsketen.
Organisaties die onder de Cyberbeveiligingswet vallen, moeten beleid hebben waarin zij rekening houden met afhankelijkheden van leveranciers en dienstverleners. Ook moeten zij periodiek controleren of hun rechtstreekse leveranciers en dienstverleners voldoen aan de beveiligingseisen die zij stellen. Daar merk je als leverancier iets van, ook wanneer je zelf niet rechtstreeks onder de Cyberbeveiligingswet valt.
Denk aan aanvullende beveiligingsvragen bij een aanbesteding, vragenlijsten van klanten, afspraken in een SLA, auditmogelijkheden of het verzoek om beveiligingsmaatregelen aantoonbaar te maken. Ook certificeringen zoals ISO 27001 kunnen daarbij een rol spelen. Daarom zeggen wij al langer: kijk niet alleen naar de vraag of je wettelijk onder NIS2 of de Cyberbeveiligingswet valt, kijk vooral ook naar de eisen en verwachtingen van je klanten.
Als jouw organisatie leverancier is van een grotere organisatie, zorginstelling, overheidsorganisatie of andere partij die eisen stelt aan haar leveranciers, kan aantoonbare cybersecurity net zo relevant zijn.
Hoe wij security awareness organiseren
Sinds 2026 werken we hiervoor samen met Phished. Security awareness is standaard onderdeel van onze Business Technology Platinum dienstverlening.
Phished combineert doorlopende awareness-training met phishing-simulaties en rapportages. Binnen onze dienstverlening gebruiken we die combinatie om niet alleen training beschikbaar te stellen, maar vooral inzichtelijk te maken hoe awareness zich binnen een organisatie ontwikkelt. De resultaten zijn onder andere inzichtelijk op het gebied van klikratio’s, meldgedrag en trainingsvoortgang. We regelen daarbij niet alleen het platform.
Wij verzorgen de technische inrichting, begeleiden de communicatie richting medewerkers en maken de resultaten inzichtelijk voor management en directie. Voor Platinum-klanten nemen we die informatie bovendien mee in onze clientportal, zodat security awareness naast andere onderdelen van de IT-omgeving zichtbaar wordt.
Dit heeft als voordeel dat je als klant niet te maken hebt met nog een securityportaal waar alleen iemand van IT af en toe naar kijkt, maar informatie waarmee je daadwerkelijk het gesprek kunt voeren: Waar worden medewerkers beter in? Welke onderwerpen vragen aandacht? Worden verdachte e-mails gemeld? En moeten we ergens bijsturen?
Hoe staat jouw organisatie ervoor?
Security awareness is één onderdeel van goede cybersecurity. De belangrijkste vraag is uiteindelijk of de maatregelen binnen jouw organisatie passen bij de risico’s én of je kunt aantonen dat ze in de praktijk werken.
Wil je weten wat de Cyberbeveiligingswet voor jouw organisatie betekent en welke maatregelen je al goed hebt geregeld? We kijken graag met je mee. Geen standaard checklist, maar praktisch advies over wat voor jouw organisatie daadwerkelijk nodig is.
