De meeste Nederlandse MKB-bedrijven hebben hun technische verdediging inmiddels redelijk op orde: een firewall, endpointbeveiliging, MFA op het Microsoft 365-tenant. Het gat dat toch nog steeds incidenten veroorzaakt, is het gat dat techniek alleen niet dichtplakt: een collega die op een overtuigende factuurmail klikt, of een betaling wijzigt omdat iemand die zich voordoet als de directeur daar "dringend" om vraagt. Security awareness training is de discipline om dat gat systematisch te dichten, in plaats van te hopen dat één jaarlijkse e-learning het werk doet.
Deze gids laat zien waar een echt programma daadwerkelijk uit bestaat, wat het kost in Nederland, hoe je meet of het werkt, en waar het onder NIS2 in past.
Waarom een jaarlijkse e-learning geen programma is
De meeste MKB-bedrijven die zeggen "aan awareness te doen" bedoelen daarmee één ding: medewerkers klikken één keer per jaar door een e-learning van twintig minuten, vinken een compliance-vakje af, en zijn de inhoud binnen enkele weken weer vergeten. Dat levert een certificaat op, geen gedragsverandering.
Een echt programma bestaat uit vier onderdelen die elkaar versterken:
- Een nulmeting. Voordat je iemand traint, test je waar de organisatie daadwerkelijk staat, doorgaans met een onaangekondigde phishingsimulatie, zodat je een getal hebt om tegen te verbeteren in plaats van een inschatting.
- Gestructureerde, rolgerichte content. Finance en HR lopen andere risico's (betalingsfraude, malware via een cv-bijlage) dan een ontwikkelaar of iemand op het magazijn. Generieke content over "klik niet op verdachte links" wordt genegeerd; content die aansluit bij iemands eigen functie blijft hangen.
- Doorlopende phishingsimulaties, niet één losse test. Gedrag zakt zonder herhaling weer weg, en dat is precies waarom één jaarlijkse test op zichzelf bijna niets oplevert.
- Een laagdrempelige manier om te melden, idealiter een knop om phishing met één klik te melden in Outlook of Gmail. Dit is het onderdeel dat de meeste MKB-bedrijven overslaan, terwijl het misschien wel het meest waardevolle is: een collega die een verdachte e-mail op tijd doorstuurt naar het securityteam kan een aanval stoppen voordat die zich verder verspreidt, ook als drie andere collega's er al wel op geklikt hebben.
Hoe een programma er in de praktijk uitziet, stap voor stap
- 1. Meet het startpunt. Draai een onaangekondigde phishingsimulatie vóórdat je het programma aankondigt, zodat de nulmeting echt gedrag laat zien en niet het beste gedrag van mensen die weten dat ze getest worden.
- 2. Segmenteer op functie en risico. Finance, HR en iedereen met toegang tot betalingssystemen hebben gerichte modules nodig over factuurfraude en CEO-fraude specifiek, niet de generieke bedrijfsbrede cursus.
- 3. Draai simulaties op een vaste cadans. Een realistisch minimum is vier tot zes gesimuleerde phishingcampagnes per jaar, wisselend in moeilijkheidsgraad en vorm (e-mail, en steeds vaker sms en voice- of deepfake-achtige scenario's).
- 4. Coach mensen die klikken, straf ze niet. Iedereen die op een simulatie klikt, krijgt binnen enkele minuten een korte, concrete uitleg over wat de e-mail verraadde, geen preek van de leidinggevende. Klikkers straffen is de snelste manier om mensen te laten stoppen met het melden van echte verdachte e-mails, uit angst om dom over te komen.
- 5. Maak melden moeiteloos. Een zichtbare "meld phishing"-knop werkt beter dan een instructie die ergens in een beleidsdocument staat dat niemand herleest.
- 6. Rapporteer de trend aan het management, niet alleen een afrondingspercentage. Klikpercentage, meldpercentage en herhaalklikkers over tijd vertellen je of het risico van de organisatie daadwerkelijk daalt.
Wat het kost in Nederland
Wat de prijs bepaalt
Een offerte voor security awareness training is geen vast bedrag — die beweegt met een aantal factoren:
- Aantal medewerkers. De meeste aanbieders rekenen per medewerker, dus het totaal schaalt rechtstreeks met het aantal mensen dat je traint.
- Scope. Alleen phishing als basis kost minder dan een programma dat ook wachtwoordhygiëne, veilig thuiswerken en social engineering via de telefoon behandelt.
- Frequentie en vorm van simulaties. Kwartaalgewijs simuleren kost minder dan maandelijks simuleren via meerdere kanalen (e-mail, sms, voice).
- Coaching en rapportage. Een programma met een meld-phishing-knop, individuele coaching voor herhaalklikkers en managementrapportage kost meer om te leveren dan een selfservice e-learningabonnement.
- Of het gebundeld is. Awareness training als onderdeel van een bredere overeenkomst voor IT-beheer of security wordt doorgaans anders geprijsd dan een losse abonnementsvorm.
Binnen die bandbreedte geven gepubliceerde cijfers een indicatie. Eén Nederlandse aanbieder noemt een bandbreedte van EUR 500 tot EUR 2.500 per jaar voor een klein tot middelgroot bedrijf, afhankelijk van de scope (Cyberon). Aan de onderkant worden e-learningabonnementen per medewerker geadverteerd vanaf ongeveer EUR 0,65 per medewerker per maand als introductietarief (AVGtrainingen), bruikbaar als ondergrens, al kost een echt begeleid programma met simulaties, coaching en rapportage doorgaans meer dan een selfservice e-learningabonnement alleen.
| Niveau | Wat erbij zit | Indicatie |
|---|---|---|
| Alleen e-learning | Jaarlijkse of kwartaalmodules, geen simulaties | Laagste kosten, dichter bij een compliance-vinkje dan een werkend programma |
| Awareness + simulaties | Rolgerichte content, kwartaalgewijze phishingsimulaties, basismelding | Middenmoot, het realistische minimum voor de meeste MKB-bedrijven |
| Begeleid programma | Alles hierboven, plus een meld-phishing-knop, coachingsworkflow en managementrapportage, vaak gebundeld in een bredere securitydienst | Hogere kosten, maar het enige niveau dat gedrag structureel verandert |
Behandel elke offerte als een bandbreedte: vraag precies welke van bovenstaande bouwstenen zijn inbegrepen voordat je twee prijzen vergelijkt, want "security awareness training" betekent per aanbieder iets anders.
Hoe je meet of het daadwerkelijk werkt
Het afrondingspercentage is de makkelijkste metric om te rapporteren en de minst nuttige. Die zegt dat mensen de training hebben geopend, niet dat ze een echte aanval zouden herkennen. Volg in plaats daarvan:
- Klikpercentage bij simulaties. Een veelgeciteerde Benelux-benchmark laat zien dat ongeveer vier op de tien medewerkers bij de eerste test klikken op een gesimuleerde phishinglink ([Emerce](https://www.emerce.nl/wire/vier-tien-medewerkers-klikken-phishinglink-bijna-niemand-meldt)). Een volwassen programma moet dat percentage over tijd omlaag brengen; onder de 5% wordt over het algemeen als een gezond niveau gezien voor een organisatie die regelmatig simuleert ([Kymatio](https://kymatio.com/blog/2026-phishing-benchmarks-industry-click-rates)).
- Meldpercentage, niet alleen klikpercentage. Een collega die een echte phishingmail meldt, zelfs na er bijna op geklikt te hebben, is waardevoller voor je securitypositie dan iemand die simpelweg nooit getest wordt. Een stijgend meldpercentage naast een dalend klikpercentage is het teken dat een programma daadwerkelijk werkt, niet alleen draait.
- Meldsnelheid. Hoe snel bereikt een verdachte e-mail je securityteam of IT-partner nadat die in een inbox is beland? Minuten maken uit, want dat is je echte window om een lopende phishingcampagne in te dammen voordat anderen er ook op klikken.
- Herhaalklikkers. Een kleine groep medewerkers die op elke simulatie klikt, vormt een groter risico dan het gemiddelde doet vermoeden, en zij zijn precies degenen op wie gerichte coaching zich moet richten.
Draai simulaties vaak genoeg om een trend te zien, niet een momentopname: een realistisch minimum is vier tot zes per jaar, vaker voor risicovollere functies (Kymatio).
Waar dit onder NIS2 past
Valt jouw organisatie onder NIS2 (rechtstreeks, of als leverancier van een organisatie die dat wel doet), dan is cybersecurity-awareness en training één van de expliciete organisatorische maatregelen die de richtlijn verwacht onder artikel 20 en 21, niet alleen voor IT-medewerkers, maar voor de hele organisatie, inclusief het management (AVGtrainingen). NIS2 schrijft geen specifieke tool of een vast aantal phishingsimulaties voor, maar "we hebben drie jaar geleden één e-learning gedaan" houdt geen stand als bewijs van een doorlopend programma als je ooit compliance moet aantonen. Heb je nog niet in kaart gebracht waar je staat ten opzichte van de richtlijn, dan is onze NIS2-checklist voor het MKB een goed startpunt voordat je een trainingsprogramma scopet.
Veelgemaakte fouten
- Het als eenmalig behandelen, niet als programma. Eén jaarlijkse module levert een afrondingscertificaat op, geen blijvende gedragsverandering; het effect verdampt binnen weken zonder herhaling.
- Klikkers straffen. Dit is de snelste manier om je meldpercentage kapot te maken, mensen stoppen met het melden van verdachte e-mails uit angst om erop aangesproken te worden, en juist dat signaal verdwijnt dan.
- Generieke content voor iedereen. Finance loopt niet dezelfde risico's als het magazijn. Content die niet aansluit bij iemands eigen functie wordt genegeerd.
- Geen meldmechanisme. Training zonder een makkelijke manier om ernaar te handelen levert vooral frustratie op zodra iemand voor het eerst iets echts spot en niet weet wat te doen.
- Geen cijfers naar het management. Zonder een trendlijn in klikpercentage, meldpercentage en herhaalklikkers kan niemand zien of het budget daadwerkelijk iets oplevert.
FAQ
Wat kost security awareness training voor een MKB-bedrijf? Reken in Nederland op ongeveer EUR 500 tot EUR 2.500 per jaar voor een klein tot middelgroot bedrijf, afhankelijk van het aantal medewerkers en modules, met instapmodellen voor e-learning vanaf ongeveer EUR 0,65 per medewerker per maand. Een begeleid programma met simulaties, coaching en rapportage kost doorgaans meer dan alleen e-learning.
Is security awareness training verplicht onder NIS2? NIS2 verplicht organisaties die onder de richtlijn vallen om passende maatregelen te nemen op het gebied van cybersecurity-awareness en training onder artikel 20 en 21, voor de hele organisatie, niet alleen IT. Een specifiek product of vast aantal simulaties schrijft de richtlijn niet voor, maar een eenmalige training voldoet waarschijnlijk niet aan een eis van een doorlopende maatregel.
Hoe vaak moet je phishingsimulaties draaien? Een realistisch minimum is vier tot zes simulaties per jaar, wisselend in vorm en moeilijkheidsgraad, met vaker testen voor risicovollere functies zoals finance en HR.
Wat is een goed klikpercentage om naar te streven? Veel organisaties starten met ongeveer vier op de tien medewerkers die bij een eerste simulatie klikken. Met een lopend programma wordt onder de 5% over het algemeen als gezond niveau gezien, al telt het meldpercentage minstens zo zwaar mee als het klikpercentage.
Moeten we medewerkers straffen die blijven klikken op simulaties? Nee. Coach herhaalklikkers individueel. Straffen zorgt aantoonbaar voor minder melding van echte verdachte e-mails in de hele organisatie, en dat is een slechter resultaat dan één persoon die op een simulatie klikt.
Bouw een programma dat gedrag echt verandert
Wil je een security awareness programma dat is afgestemd op het echte risico van jouw organisatie, in plaats van een generieke modulebibliotheek? Ons Cybersecurity & Identity-team ontwerpt en draait trainingen, phishingsimulaties en meldworkflows, vaak als onderdeel van een bredere Managed IT-beheer & support-overeenkomst. Lees ook onze NIS2-checklist voor het MKB als je ook in kaart wilt brengen waar je staat ten opzichte van de richtlijn.