De ultieme Security Awareness Training gids voor 2026

Security awareness training is gestructureerde training die medewerkers leert de cyberdreigingen te herkennen, te vermijden en te melden die ze op het werk tegenkomen. Jarenlang was het iets wat verstandige organisaties deden. In 2026 werd het voor een groot deel van hen een wettelijke verplichting.

NIS2, de Europese richtlijn die in Nederland is uitgewerkt in de Cyberbeveiligingswet, legt sinds 15 augustus 2026 ruim 8.000 organisaties een zorgplicht op waar hun bestuur persoonlijk verantwoordelijk voor is. De EU AI Act gaat nog verder: die verplicht sinds februari 2025 AI-geletterdheid van elke organisatie waarvan medewerkers AI gebruiken op het werk, zonder enige omvangsdrempel.

In deze gids lees je wat security awareness training wel en niet is, waarom 2026 en 2027 de inzet veranderden voor grote en kleine organisaties, welke vier trainingsvormen er zijn en waar elk van hen spaak loopt, en hoe vijf Nederlandse organisaties het vandaag aanpakken.

Ben je meer op zoek naar het platform dan naar de theorie? Bekijk dan de security awareness training van Guardey en zie hoe het werkt.

Wat is Security Awareness Training?

Security awareness training is een gestructureerde training die medewerkers leert om cyberrisico's , die ze op het werk of thuis tegenkomen, te herkennen, te vermijden en te melden. Een goed programma behandelt onderwerpen als phishing, social engineering, malware, wachtwoordbeheer, veilige omgang met gegevens en fysieke beveiliging, en wordt beoordeeld op veranderd gedrag in plaats van op voltooide modules.

De kortere term, security awareness, beschrijft het resultaat: hoe alert mensen binnen een organisatie zijn op digitale risico's. Training is hoe je het opbouwt. Meten is hoe je aantoont dat je het hebt, en dat weegt sinds 2026 net zo zwaar als de training zelf.

Een programma kan gekoppeld zijn aan een specifiek kader zoals ISO 27001, NEN 7510 of de Cyberbeveiligingswet, of algemeen van opzet zijn. Het kan bestaan uit een jaarlijkse sessie of uit korte oefeningen verspreid over het jaar. Zoals de rest van deze gids laat zien, bepaalt juist die keuze meer over het effect dan de inhoud van de training.

Waarom is Security Awareness Training zo belangrijk?

In zijn ‘Data Breach Investigations Report 2026’ stelde Verizon vast dat bij 62% van alle datalekken een menselijke factor meespeelde, een stijging ten opzichte van 60% een jaar eerder, waarbij social engineering alleen al goed was voor 16%. Op een overtuigende link klikken, hetzelfde wachtwoord voor meerdere accounts gebruiken, één keer te vaak een MFA-verzoek goedkeuren: medewerkers zijn van nature geen zwakke schakel, maar ze zijn wel de schakel waar aanvallers op mikken, omdat die wel reageert. Daarom is het net zo belangrijk om mensen te leren bedreigingen te herkennen en te melden als het aanschaffen van welke tool dan ook.

Het belang van Security Awareness Training is al jaren een veelbesproken onderwerp. Niet elke security professional ziet het als noodzakelijk, omdat ze geloven dat menselijke fouten niet uit te sluiten zijn. Ze geloven in technologische maatregelen om de veiligheid te waarborgen, zelfs wanneer menselijke fouten optreden.

Bij Guardey geloven we in een combinatie van beide. Hoewel het waar is dat training geen veiligheid kan garanderen, begrijpen we dat technologie dat ook niet kan. Er is geen spamfilter ter wereld dat garandeert dat het alle phishingmails zal onderscheppen. Voor dat ene procent phishing dat door je technologische verdediging heen komt, wil je dat je medewerkers zich bewust zijn van de gevaren van phishing.

Er zijn veel cyberrisico's die niet door technologie kunnen worden voorkomen. Denk aan real-life social engineering, waarbij iemand het kantoor binnenkomt en de receptie ervan overtuigt dat hij een aannemer is die toegang nodig heeft tot de servers. Dergelijke situaties kunnen alleen worden voorkomen wanneer iedereen binnen je organisatie een hoog niveau van security awareness heeft.

Waarom security awareness training in 2026 en 2027 verplicht is

Drie stukken Europese wetgeving hebben training van medewerkers veranderd van een aanbeveling in een verplichting, en de deadlines die ertoe deden zijn al verstreken. Dit geldt er nu, en voor wie.

De Cyberbeveiligingswet maakt training een verplichte maatregel

De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Hij raakt ruim 8.000 organisaties in 18 sectoren, van energie en drinkwater tot zorg, overheid, vervoer en digitale infrastructuur. Die organisaties hebben vier verplichtingen: registreren in het entiteitenregister via het NCSC, hun risico's beheersen onder een zorgplicht, significante incidenten melden binnen de wettelijke termijnen, en bestuurlijke verantwoordelijkheid dragen voor het geheel.

Twee van die verplichtingen raken training direct. De zorgplicht vraagt om passende maatregelen, en basale cyberhygiëne en het trainen van personeel horen daar uitdrukkelijk bij. Daarmee is training van medewerkers geen aanbeveling meer, maar een maatregel die je moet kunnen aantonen. Aan de top is het strenger: het bestuur is eindverantwoordelijk voor het beheersen van cyberrisico's, en bestuurders moeten zelf voldoende kennis hebben en passende training volgen. Security awareness is niet langer iets wat het bestuur voor anderen goedkeurt. Zie voor die specifieke verplichting de NIS2 training voor bestuurders.

Kleine organisaties worden via de toeleveringsketen erbij betrokken

De Cyberbeveiligingswet kent een omvangsdrempel. Hij geldt voor middelgrote en grote organisaties, grofweg vanaf 50 medewerkers of 10 miljoen euro omzet, dus de meeste kleine bedrijven vallen er op papier buiten. Daar houdt het verhaal niet op.

De zorgplicht dekt uitdrukkelijk ook risico's in de toeleveringsketen, inclusief de praktijk van directe leveranciers en dienstverleners. Daar is een praktische manier voor, en dat is eisen vastleggen in contracten.

Een softwarebedrijf van vijftien man dat levert aan een ziekenhuis, een energiebedrijf of een gemeente krijgt dus de vraag om aan te tonen dat zijn mensen getraind zijn, terwijl de wet dat bedrijf nergens noemt. De verplichting komt niet binnen als brief van een toezichthouder. Hij komt binnen als leveranciersvragenlijst, als beveiligingsbijlage bij een verlenging, of als inkoopchecklist met een vinkje dat gezet moet zijn voordat het contract getekend wordt.

Voor veel Nederlandse mkb'ers verandert daarmee de hele vraag. Security awareness training wordt niet langer afgewogen tegen het risico op een incident, want dat laat zich makkelijk uitstellen. Het wordt afgewogen tegen het risico de grootste klant kwijt te raken, en dat niet.

De AI Act maakte AI-geletterdheid verplicht voor elke organisatie

Artikel 4 van de EU AI Act verplicht AI-geletterdheid sinds 2 februari 2025, en Nederlandse toezichthouders handhaven er sinds 2 augustus 2026 op. Deze kent geen omvangsdrempel en geen sectorlijst. Elke organisatie waarvan medewerkers AI beroepsmatig gebruiken, ook wie alleen tools als ChatGPT of Microsoft Copilot inzet, moet ervoor zorgen dat die medewerkers de risico's, de beperkingen en het juiste gebruik ervan begrijpen. De boetes onder de wet lopen op tot 15 miljoen euro of 3% van de wereldwijde jaaromzet.

Het praktische effect is opvallend: een bureau van twee man dat klantgegevens in een chatbot plakt, heeft een trainingsverplichting die geen enkele omvangsdrempel van de Cyberbeveiligingswet ooit zou hebben gevangen. Het is op dit moment de breedste trainingsverplichting die er ligt. We behandelen hem in onze gids over AI-geletterdheidstraining.

Wat er in 2027 komt

De Cyber Resilience Act maakt het plaatje compleet. De meldingsplicht voor kwetsbaarheden is op 11 september 2026 ingegaan, en de belangrijkste verplichtingen gelden vanaf 11 december 2027 voor iedereen die producten met digitale elementen maakt of verkoopt. De wet voorziet in een eigen zorgplicht door de hele toeleveringsketen heen en een ondersteuningsperiode van minstens vijf jaar.

Als je dit alles samen bekijkt, is de koers duidelijk genoeg om je planning daarop af te stemmen. Toezichthouders vragen niet meer of organisaties beveiligingssoftware hebben aangeschaft, maar of de mensen die ermee werken weten wat ze moeten doen, en of ze dat op verzoek kunnen aantonen. Een trainingsprogramma dat geen bewijs kan leveren, lost maar de helft van je huidige probleem op.

Een introductie tot veelvoorkomende cyberrisico's

Phishing, vishing, smishing en quishing

Phishing is het gebruik van e-mailberichten om een doelwit aan te vallen. Phishing-e-mails doen zich voor als afkomstig van iemand die het doelwit gewoonlijk zou vertrouwen, zoals een klant of collega, of van een betrouwbare entiteit zoals een bank of online retailer. Soms is het doel van een phishing-e-mail om de ontvanger te verleiden malware te downloaden. Meer algemeen is het echter de bedoeling om gevoelige informatie te verkrijgen, zoals de inloggegevens van het doelwit voor een online bankdienst, of persoonlijk identificeerbare informatie zoals hun burgerservicenummer.

Vishing is een soortgelijke aanval waarbij gebruik wordt gemaakt van spraak- en videogesprekken, terwijl bij smishing sms’jes en tekstberichten worden ingezet. Spear phishing is een aanval die gericht is op een specifieke persoon, zoals een topmanager of iemand met toegang tot het IT-systeem. In deze gevallen gebruikt de hacker vaak social engineering om het slachtoffer het gevoel te geven dat het bericht echt is. Quishing verwijst naar het gebruik van QR-codes waarmee slachtoffers worden misleid om kwaadaardige websites te bezoeken of geld rechtstreeks naar criminelen over te maken.

Malware

Malware is kwaadaardige software die wordt verspreid door cybercriminelen. Het kan individuele computers en andere apparaten, of complete netwerken infecteren. Er zijn veel verschillende soorten malware. Hier zijn enkele voorbeelden:

Virussen

Virussen zijn zelfreplicerende programma's die zijn ontworpen om schade aan een systeem te veroorzaken, gegevens te verwijderen of verdere kwetsbaarheden te introduceren die kunnen worden misbruikt.

Trojaanse paarden

Trojaanse paarden zijn programma's die vermomd zijn als legitieme software, maar schade aan een systeem veroorzaken. Trojaanse paarden blijven vaak lange tijd onopgemerkt op computersystemen, stelen informatie en sturen deze naar cybercriminelen. Een veelvoorkomend type Trojaans paard is een keylogger. Deze registreert alle toetsaanslagen die op een geïnfecteerde computer worden ingevoerd, waardoor mogelijk wachtwoorden en andere gevoelige informatie worden onthuld. Dit kan vervolgens worden gebruikt voor verdere misdrijven, zoals datadiefstal en identiteitsdiefstal.

Ransomware

Een ander veelvoorkomend type malware is ransomware. Ransomware is malware die is ontworpen om losgeld van het slachtoffer te verkrijgen. Meestal versleutelt ransomware alle bestanden op een computersysteem of netwerk, en vraagt vervolgens losgeld van het slachtoffer in ruil voor de middelen om ze te ontsleutelen.

De losgelden die worden geëist, zijn vaak erg hoog, soms veel meer dan het slachtoffer ooit kan betalen. Zelfs als het losgeld wordt betaald, is er geen garantie dat de aanvaller de decoderingssleutels zal verstrekken. In veel gevallen zijn de versleutelde bestanden voorgoed verloren. De afgelopen jaren heeft ransomware in heel Europa ziekenhuisafdelingen lamgelegd, productielijnen stilgelegd en scholen gesloten, vaak via één enkele medewerker die de verkeerde bijlage opende.

Ransomware is internationaal in opkomst, waarbij de omvang van de losgeldbetalingen toeneemt.

Kwaadaardige websites

Kwaadaardige websites, ook bekend als aanvalssites, zijn websites die kwaadaardige code hosten met de bedoeling gebruikers te misleiden om deze naar hun apparaten te downloaden. In sommige gevallen zijn aanvalssites voor dit specifieke doel opgezet. In andere gevallen wordt een legitieme site gekaapt door cybercriminelen die er vervolgens kwaadaardige code in plaatsen. Sommige sites, zogenaamde drive-by aanvalssites, vereisen niet eens dat het slachtoffer op een downloadlink klikt of op enige manier interactie heeft — alleen het bezoeken van de site is voldoende om een onvoldoende beveiligd systeem te infecteren.

Kwaadaardige websites kunnen ook vertrouwde websites imiteren om gebruikers te misleiden hun inloggegevens in te voeren, waardoor criminelen toegang krijgen tot de accounts van slachtoffers.

USB-aanvallen

Verwijderbare media zoals USB-drives kunnen gemakkelijk worden gebruikt als vector voor kwaadaardige code. In sommige gevallen kan een crimineel fysieke toegang krijgen tot de apparaten van een organisatie; vaker laten aanvallers geïnfecteerde USB-sticks achter waar onwetende medewerkers ze kunnen vinden.

Het is triviaal voor een aanvaller om een USB-drive te bemachtigen, voorzien van het logo van de doelorganisatie, of een andere vertrouwde entiteit zoals een klant of vaste leverancier, en deze in de buurt van het pand achter te laten waar deze zal worden opgepakt. Ze rekenen erop dat nieuwsgierige of behulpzame medewerkers de USB-drive in een van de computers op het netwerk van een organisatie steken om de inhoud ervan te controleren. Eenmaal verbonden kan de geïnfecteerde drive zijn payload van malware afleveren.

Merk op dat elk apparaat dat gegevens kan opslaan, kan worden gebruikt voor dit soort aanvallen, inclusief MP3-spelers, digitale camera's en smartphones. Een recent voorbeeld is Sogu, een USB-ondersteunde cyber-spionagecampagne die gericht is op meerdere industrieën.

Al deze aanvallen kunnen verwoestend zijn voor een organisatie. Je kunt de kans op zo'n aanval minimaliseren met de juiste Security Awareness Training voor medewerkers en bedrijfseigenaren. Wanneer het personeel van een organisatie zich bewust is van de risico's en hoe deze te vermijden, veranderen ze van een zwakke schakel in een menselijke firewall.

En de lijst gaat verder

De bovengenoemde cyberrisico's zijn enkele van de meest voorkomende, maar cybercriminelen hebben veel methoden om waardevolle gegevens te stelen. Naarmate de tijd vordert, verbeteren hun methoden en zijn ze moeilijker te herkennen voor het ongetrainde oog. Vooral met de opkomst van AI lijken de verschillende soorten cyberrisico's grenzeloos.

De verschillende soorten Security Awareness Training

Er zijn meerdere manieren om je medewerkers te trainen. Hieronder bespreken we enkele van de meest gebruikte.

Jaarlijkse cursussen

Veel organisaties vertrouwen nog steeds op jaarlijkse trainingen om hun personeel voor te bereiden op het omgaan met cyberrisico's. Jaarlijkse Security Awareness Training voor medewerkers kent twee belangrijke problemen. Ten eerste verandert het digitale dreigingslandschap voortdurend. Nieuwe risico's ontstaan voortdurend, niet slechts één keer per jaar, waardoor jaarlijkse training snel verouderd raakt.

Ten tweede onthouden mensen informatie simpelweg geen heel jaar. Zelfs de meest oplettende leerling zal niet alles wat hij heeft geleerd langer dan een paar maanden onthouden. Dit kennisverval betekent dat de kennis van medewerkers na verloop van tijd onvermijdelijk minder uitgebreid wordt, waardoor ze minder effectief zijn in het vermijden van risico's.

Klassikale training

Klassikale training heeft wel enkele voordelen ten opzichte van andere lesmethoden. Het creëert een afleidingsvrije omgeving waarin cursisten zich kunnen concentreren op de specifieke onderwerpen die ze moeten begrijpen en internaliseren. Klassikale training heeft echter ook aanzienlijke nadelen. Cursisten moeten worden weggehaald bij andere activiteiten, wat betekent dat ze ofwel achterlopen op werktaken, ofwel hun vrije tijd moeten opofferen.

Klassikale training dwingt ook een 'one-size-fits-all' model op aan cursisten, waarbij sommige cursisten zich vervelen of niet uitgedaagd voelen, en anderen verward achterblijven door nieuwe onderwerpen.

Traditionele e-learning

Traditionele e-learning probeert klassikaal leren na te bootsen in een externe omgeving. Lessen worden gegeven via een platform zoals Canvas of Moodle, met behulp van slides en andere media. Er zijn meestal colleges, ofwel vooraf opgenomen of live gegeven door een instructeur. Hoewel traditionele e-learning flexibeler en schaalbaarder is dan klassikaal leren, heeft het enkele van dezelfde nadelen. Leren is vaak passief, met beperkte interactiviteit en ondermaatse betrokkenheid of retentie.

Gamified training

Gamified Security Awareness Training aangeboden door providers zoals Guardey is een moderne oplossing. Het is vergelijkbaar met de aanpak van taalapps zoals Duolingo. In plaats van één keer per jaar veel informatie te krijgen, of losse lessen met beperkte interactie, ontvangen gebruikers een constante stroom van korte, gemakkelijk te verwerken trainingen.

Met Guardey krijgen gebruikers een wekelijkse challenge die ze in ongeveer 3 minuten kunnen voltooien. Tijdens een challenge leren ze over cyberrisico's zoals phishing, malware, zwakke wachtwoorden en AI. Door goed te presteren tijdens challenges, kunnen ze punten scoren voor het leaderboard van de organisatie. Vriendelijke competitie tussen collega's heeft bewezen gebruikers betrokken te houden.

Door de leerervaring te gamificeren, raken gebruikers intrinsiek gemotiveerd om te blijven deelnemen. Of dat nu is om de toppositie op het leaderboard te bereiken, hun 'hot streaks' van opeenvolgende gespeelde weken voort te zetten, of simpelweg om hun eigen high score te verbeteren.

Hoe je je organisatie enthousiast krijgt voor Security Awareness Training

Je hebt besloten dat gamified learning de ideale oplossing is voor de security training behoeften van je organisatie. Je hebt een aantal goede producten gevonden die aan al je eisen voldoen. Nu komt het moeilijkste deel: je organisatie overtuigen om een nieuwe training oplossing te adopteren.

Mensen zijn misschien terughoudend om de stap te zetten naar gamified security training om verschillende redenen. Je zult veel vragen moeten beantwoorden. Wat is security awareness? Hoe profiteert de organisatie hiervan? Mensen die al een jaarlijkse cybersecurity training hebben doorstaan, denken misschien dat ze niets te winnen hebben bij doorlopende training. Managers en directieleden denken misschien dat hun personeel te slim is om in een phishing-e-mail of een mysterieuze USB-stick op de parkeerplaats te trappen. Hier zijn enkele ideeën die kunnen helpen mensen te overtuigen en mee te krijgen.

Organiseer een security awareness week: een leuk en boeiend security awareness evenement kan mensen enthousiast maken over cybersecurity en hen nieuwsgierig maken naar meer.

Voer een spear phishing simulatie uit: Een realistische spear phishing simulatie die gericht is op belangrijke individuen kan helpen aantonen dat iedereen in je organisatie kwetsbaar kan zijn.

Nodig een gastspreker uit: Een expert spreker kan mensen effectiever overtuigen dan abstracte informatie. Dit kan een slachtoffer van cybercriminaliteit zijn, een security expert, of zelfs een ethische "white hat" hacker.

Hoe Nederlandse organisaties aan security awareness training doen

Hier zijn enkele voorbeelden van Nederlandse organisaties die succesvol Security Awareness Training hebben geïmplementeerd voor hun medewerkers.

EyeOn

EyeOn is een specialist in forecasting en planning, en helpt internationale bedrijven bij het beheren van supply chain uitdagingen. EyeOn is verantwoordelijk voor een groot deel van de data van hun klanten, die veilig moet worden verwerkt. Ze hebben een gamified cybersecurity training oplossing geadopteerd om ervoor te zorgen dat hun personeel de uitdaging aankon en om hun security af te stemmen op de ISO27001 certificeringseisen.

Ze introduceerden het nieuwe training programma onder medewerkers met wat zij een security awareness week noemden. “We begonnen elke dag met een interview van 15 minuten en noemden dat de safety catch-up. Elke dag had een specifiek thema. De eerste heette ‘from desk to destination’. Dit ging allemaal over security maatregelen tijdens het reizen, zoals het gebruik van een privacy screen, het veilig opbergen van je laptop, enzovoort. Een ander thema ging over vertrouwelijke data, wat we ‘how to not get in trouble with the SEC’ noemden.”

Priore

Priore biedt accountancy- en belastingadviesdiensten. Met de verantwoordelijkheid voor gevoelige financiële informatie van klanten, is cybersecurity van vitaal belang voor hen. Priore wilde te allen tijde een hoog niveau van security awareness onder zijn personeel handhaven. Daarom stapten ze over van een jaarlijkse cybersecurity cursus naar een oplossing die continu leren bood: Guardey.

“80% van de organisatie begon direct actief deel te nemen na de eerste introductie-e-mail. Na een maand of twee gebruikte iedereen, op 1 of 2 mensen na, Guardey elke week. Dit kwam allemaal door intrinsieke motivatie en het begrip van het belang van security awareness. Er zijn geen incentives zoals een maandelijkse prijs of iets dergelijks, dus dat kunnen we altijd nog proberen als de deelname mocht afnemen.”

Konot

KONOT is een onderwijsstichting die onderwijs verzorgt via 22 Nederlandse basisscholen. De organisatie had een Security Awareness Training oplossing nodig die hen in lijn bracht met de GDPR. Omdat ze al het doelwit waren geweest van meerdere mislukte cyberaanvallen, had KONOT een training product nodig dat hun personeel te allen tijde geïnformeerd en bewust zou houden. Ze adopteerden Guardey om doorlopende training en evaluatie aan te bieden en zo consistente security awareness te waarborgen.

KONOT heeft Guardey onlangs uitgerold, en de eerste feedback van de gebruikers komt nu binnen. “De eerste feedback die we hebben ontvangen is enthousiast. Guardey maakte ze echt competitief, wat een goed teken is,” zegt Martijn. “Het is erg toegankelijk, wat ik waardeer. Een enkeling was minder enthousiast over het concept van training awareness voordat we begonnen, maar we zullen dat binnenkort met hen evalueren.” Frieda vervolgt: “Ik ben helemaal geen gamer, maar ik merkte ook dat ik steeds nieuwe uitdagingen aanging. Het is heel gemakkelijk om door de vragen heen te komen.”

Delta Wines

Delta Wines is een wijngroothandel. Toen hun verzekeraar het belang van Security Awareness Training en de aanstaande NIS2-richtlijn benadrukte, ondernam de CEO van Delta Wines actie. Om iedereen mee te krijgen, werd een phishing simulatie uitgevoerd die voor veel mensen een waardevolle wake-up call was. Nadat veel medewerkers in de overtuigende e-mail waren getrapt, stonden ze zeer open voor aanvullende training.

“We krijgen veel positieve feedback. Veel medewerkers beginnen direct met de nieuwe wekelijkse challenge zodra ze de e-mail ontvangen dat deze klaarstaat. Sommigen zijn serieus teleurgesteld als ze een vraag fout hebben. Het heeft meerdere interne discussies over security op gang gebracht, wat geweldig is.”

Gezamenlijke Brandweer Amsterdam

Gezamenlijke Brandweer Amsterdam is een grote brandweer, belast met incident response in een industrieel gebied van Amsterdam. Als een brandweer slachtoffer wordt van een cyberaanval, kunnen de gevolgen catastrofaal zijn. De afdeling moest ook voldoen aan de NIS2-vereisten. Teamleider Raymond Pikee wilde een terugkerende training oplossing die leuk en boeiend zou zijn.

In het leaderboard kunnen de brandweerlieden zien hoe goed ze presteren vergeleken met collega's, wat de interne competitie stimuleert. “We zijn een competitief stel, dus dat is een leuke toevoeging. Deze gamification elementen maken het leuk om Guardey te spelen, wat ons ook helpt de informatie te onthouden.”

Hoe je begint met het implementeren van Security Awareness Training

Nu je weet wat security awareness training is en waarom het geen vrije keuze meer is, blijft de vraag over waar je op moet letten bij een programma. Drie dingen scheiden de programma's die werken van de programma's die alleen worden afgerond.

Het moet doorlopend zijn, want kennis vervaagt binnen maanden in plaats van jaren en het dreigingslandschap wacht niet op je jaarlijkse sessie. Het moet kort genoeg zijn zodat mensen het ook echt afmaken, want een programma met een voltooiingspercentage van 80% beschermt 80% van je organisatie. En het moet de deelname meten en vastleggen, want vanaf 2026 moet je aantonen wat je hebt gedaan, niet alleen beschrijven.

Als je geen idee hebt waar jouw organisatie vandaag de dag staat, begin dan met meten in plaats van kopen. Een security awareness nulmeting laat zien welke teams daadwerkelijk risico lopen, en verandert training van kostenpost in iets waar je resultaten voor kunt aantonen.

Bij Guardey bieden we gamified Security Awareness Training aan die gericht is op het betrokken houden van gebruikers gedurende lange periodes. Door gebruik te maken van een leaderboard, achievements, hot streaks en andere gamification elementen, krijgen gebruikers een gevoel van vriendschappelijke competitie wat de participatie stimuleert.