Vanaf 15 augustus 2026 is aantoonbare awareness verplicht. Zo maakt Solipsis met Guardey van je medewerkers je sterkste schakel. Start met de IT Scan.
Security awareness training voor het MKB: van jaarlijkse verplichting naar dagelijkse gewoonte
Als het gesprek over cybersecurity begint, gaat het bijna altijd meteen over techniek. Firewalls, antivirus, multifactorauthenticatie en back-ups. Dat zijn stuk voor stuk onmisbare onderdelen van een goede beveiliging, maar in de praktijk blijkt de mens nog altijd een van de grootste risicofactoren. Eén verkeerde klik op een phishingmail of het delen van gevoelige informatie kan al grote gevolgen hebben.
Sinds 15 augustus 2026 is dat niet langer alleen een operationeel risico. Op die datum trad de Cyberbeveiligingswet in werking, de Nederlandse invulling van de Europese NIS2-richtlijn. Daarmee wordt bewustwording van medewerkers een aantoonbare verplichting in plaats van een goed voornemen. En ook als jouw organisatie zelf buiten de scope valt, krijg je er via je opdrachtgevers vrijwel zeker mee te maken.
In dit artikel lees je wat security awareness training precies inhoudt, waarom de klassieke jaarlijkse sessie niet werkt, wat de wet van je vraagt en hoe Solipsis met het platform Guardey van medewerkers een sterke verdedigingslinie maakt.
Key takeaways
- De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en raakt ruim achtduizend Nederlandse organisaties direct, plus een veelvoud daarvan indirect via de keten.
- Bewustwording van medewerkers is daarbinnen geen advies maar een organisatorische maatregel die je moet kunnen aantonen.
- Eén training per jaar verandert geen gedrag. Korte, herhaalde leermomenten doen dat wel.
- Guardey werkt met wekelijkse uitdagingen van enkele minuten, phishingsimulaties, gamification en rapportage in één platform.
- Solipsis verzorgt de implementatie, de begeleiding en de rapportage, zodat awareness niet als los project blijft hangen.
- Begin met een nulmeting. Zonder startpunt weet je niet of je vooruitgaat.
Hieronder een opbouw van dit artikel. Spring gerust direct naar het onderdeel dat voor jou het meest relevant is.
Waarom techniek alleen je niet meer beschermt
Security awareness training is een gestructureerd programma dat medewerkers leert digitale dreigingen te herkennen, te vermijden en correct te melden. Het gaat om praktische kennis over phishing, wachtwoordgebruik, social engineering en veilig omgaan met bedrijfsgegevens. Anders dan technische maatregelen richt het zich op gedrag.
Dat onderscheid is belangrijk, omdat de aanvalsroute is verschoven. Cybercriminelen richten zich steeds vaker op mensen in plaats van op systemen. Dat is ook logisch. Een goed geconfigureerde firewall is een taai obstakel, een gehaaste medewerker op donderdagmiddag niet.
De Nederlandse cijfers bevestigen dat beeld. De Autoriteit Persoonsgegevens ontving over 2025 bijna veertigduizend meldingen van datalekken. Het aantal lekken door geslaagde account takeovers verdrievoudigde bijna, van ruim zeshonderd in 2024 naar bijna achttienhonderd in 2025. De toezichthouder waarschuwt daarbij expliciet dat kunstmatige intelligentie phishing sneller, overtuigender en grootschaliger maakt.
Dat laatste is de kern van waarom de oude aanpak niet meer volstaat. De klassieke herkenningstips, spelfouten en rare afzenderadressen, zijn grotendeels achterhaald. Een moderne phishingmail verwijst naar een lopend project, komt schijnbaar van je leidinggevende en bevat een verzoek dat volstrekt logisch klinkt. Herkennen vraagt daardoor niet om kennis van een lijstje, maar om een reflex.
Wat de Cyberbeveiligingswet vanaf 15 augustus 2026 van je vraagt
Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Beide wetten zijn op 15 augustus 2026 in werking getreden. Vanaf dat moment gelden nieuwe verplichtingen voor ruim achtduizend organisaties in Nederland. Een overgangstermijn is er niet.
De wet kent grofweg drie kernonderdelen. Er is een registratieplicht bij het Nationaal Cyber Security Centrum, er is een meldplicht voor incidenten en er is een zorgplicht: je moet passende technische en organisatorische maatregelen nemen. Bewustwording en training van medewerkers vallen onder dat laatste. Boetes kunnen oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld.
Voor veel MKB-organisaties is de eerste reactie begrijpelijk: wij vallen er waarschijnlijk niet onder. Dat klopt vaak ook. De wet richt zich primair op middelgrote en grote organisaties in aangewezen sectoren. Maar daarmee ben je er niet. Organisaties die wél onder de wet vallen moeten hun leveranciersketen beheersen. In de praktijk betekent dat: zij gaan van jou vragen om aan te tonen dat je veilig werkt. Wie dat bewijs niet kan leveren, loopt een reëel risico op contractverlies. Zeker in sectoren als zorg, transport, energie en voedselproductie is dat geen theoretisch scenario.
De vraag is dus niet zozeer of je onder de wet valt, maar of je klanten dat doen.
Expert insight
Bij de meeste organisaties die wij spreken is het probleem geen gebrek aan techniek maar een gebrek aan inzicht. Ze weten niet wat ze niet weten. Dat maakt awareness een ander soort investering dan een firewall. Een firewall koop je één keer en die doet zijn werk. Bewustzijn is geen aanschaf maar een conditie: het zakt weg zodra je stopt met onderhouden.
Wat wij in de praktijk zien is dat organisaties die awareness als project behandelen na drie maanden terug bij af zijn, terwijl organisaties die het als routine behandelen na een jaar een meetbaar ander klikgedrag laten zien. Het verschil zit niet in de inhoud van de training. Het zit in de frequentie en in de vraag of iemand de rapportage daadwerkelijk bekijkt.
Figo Maas | AccountmanagerWaarom één training per jaar niet werkt
De meest voorkomende invulling van security awareness is nog altijd een verplichte e-learning van dertig minuten, één keer per jaar, met een toets aan het eind. Iedereen vinkt af, de administratie is op orde en drie maanden later weet niemand meer wat er stond.
Dat is geen kwestie van onwil. Het is hoe geheugen werkt. Kennis die je één keer opneemt en daarna niet gebruikt, verdwijnt. Bovendien verandert het dreigingsbeeld sneller dan de trainingscyclus. Een module die in januari actueel was, mist in september de aanvalsvormen die er dan echt toe doen.
De aanpak die wel werkt draait om herhaling in kleine porties. Korte leermomenten, verspreid over het jaar, die aansluiten bij situaties die medewerkers herkennen. Niet omdat dat prettiger is, maar omdat gedragsverandering nu eenmaal herhaling vraagt. Aanbieders die dit structureel doen rapporteren forse dalingen in het klikpercentage bij phishingsimulaties, met afnames die in de richting van zestig tot zeventig procent gaan na een volledig programma. Die cijfers verschillen per organisatie en per uitgangssituatie, dus neem ze als indicatie en niet als belofte.
Hoe Guardey awareness onderdeel maakt van de werkweek
Guardey is een security awareness platform dat precies op dat principe is gebouwd. In plaats van één lange sessie per jaar krijgen medewerkers wekelijks een korte, interactieve uitdaging die ongeveer drie minuten kost. Daardoor blijft cybersecurity structureel onder de aandacht zonder dat het als verplicht of tijdrovend voelt.
Een tweede element is gamification. Medewerkers verdienen punten, voltooien uitdagingen en volgen hun voortgang, met een leaderboard dat een lichte competitie op gang brengt. Waar awareness vroeger een verplicht nummer was, wordt het zo iets waar mensen uit zichzelf aan meedoen. Dat klinkt als een detail, maar deelnamepercentage is in de praktijk de belangrijkste voorspeller van resultaat.
Het derde onderdeel zijn de phishingsimulaties. Daarmee test je op een veilige manier hoe medewerkers omgaan met verdachte e-mails. Dat geeft inzicht in waar de risico’s zitten en het leert mensen aanvallen herkennen in realistische situaties in plaats van in theorie. Je leert niet alleen wat phishing is, je leert het zien.
Praktisch gezien is het platform beschikbaar in ruim vijftien talen, waaronder Nederlands, koppelt het met Microsoft 365 en Google Workspace, en is er branchespecifieke content voor onder meer zorg, onderwijs en overheid. Er geldt geen minimum aantal gebruikers, wat het voor kleinere teams toegankelijk maakt.
Van bewustzijn naar bewijs: rapportage die standhoudt
Hier zit het onderdeel dat in de meeste gesprekken over awareness te laat aan bod komt. Bewustzijn dat je niet kunt aantonen, telt onder de zorgplicht niet mee. Een toezichthouder, een auditor of een opdrachtgever in de keten vraagt niet of je medewerkers oplet. Die vraagt om bewijs.
Via de rapportages van Guardey wordt zichtbaar hoe actief medewerkers deelnemen, welke onderwerpen goed worden beheerst en waar extra aandacht nodig is. Die informatie heeft een dubbele functie. Intern stuur je ermee bij, bijvoorbeeld door een afdeling met een hoger klikpercentage gerichte aandacht te geven. Extern lever je er het onderbouwde bewijs mee dat je aan je zorgplicht voldoet, bruikbaar richting NIS2-verantwoording, een ISO 27001-traject of de aanvraag van een cyberverzekering.
Belangrijk daarbij: gebruik die rapportage niet om medewerkers af te rekenen. Zodra mensen het gevoel krijgen dat een simulatie een valstrik is in plaats van een oefening, melden ze verdachte e-mails niet meer. En melden is precies wat je wilt bereiken.
Zo pakt Solipsis het aan
Een platform aanschaffen is het makkelijke deel. De reden dat awareness-trajecten stranden is bijna nooit de software, maar het ontbreken van iemand die het traject bewaakt. Solipsis verzorgt daarom de implementatie, de begeleiding en de rapportage rondom Guardey, zodat het niet na twee maanden stilvalt.
Dat begint met een nulmeting. Binnen de Solipsis IT Scan brengen we in kaart hoe weerbaar je organisatie is tegen cyberdreigingen, waarbij we kijken naar firewalls, antivirus, multifactorauthenticatie, awareness-training, monitoring en compliance. Het resultaat is een eerlijk startpunt in plaats van een verkoopgesprek. Pas als je weet waar je staat, kun je prioriteren op feiten in plaats van op gevoel.
Daarna richten we Guardey in, koppelen we het aan je Microsoft-omgeving, stemmen we de content af op je organisatie en bespreken we periodiek wat de rapportage laat zien. Awareness wordt zo geen los product naast je IT, maar een onderdeel van hoe je IT beheerd wordt.
Weten hoe cyberbewust jouw organisatie werkelijk is?
Begin met een nulmeting. De Solipsis IT Scan brengt in kaart waar je staat op weerbaarheid, awareness en compliance, en geeft je een concreet vertrekpunt in plaats van een aanname. Vrijblijvend en zonder verplichtingen.
Is security awareness training verplicht onder de Cyberbeveiligingswet?
Voor organisaties die onder de wet vallen is bewustwording en training van medewerkers onderdeel van de zorgplicht. Het is dus geen losse verplichting met een eigen artikel, maar een organisatorische maatregel die je moet nemen en moet kunnen aantonen.
Wanneer is de Cyberbeveiligingswet in werking getreden?
Op 15 augustus 2026. De Eerste Kamer stemde op 7 juli 2026 in met de wet. Er geldt geen overgangstermijn, en organisaties die onder de wet vallen moeten zich registreren bij het Nationaal Cyber Security Centrum.
Wat is het verschil tussen Guardey en een gewone e-learning?
Een e-learning is een eenmalige module met een toets. Guardey is een doorlopend programma met korte wekelijkse uitdagingen, gamification, phishingsimulaties en rapportage in één platform. Het verschil zit in herhaling en in deelnamepercentage.
Hoe vaak moet je medewerkers trainen?
De wet noemt geen frequentie. Praktisch gezien is continu beter dan periodiek. Guardey werkt met wekelijkse uitdagingen van enkele minuten, wat aantoonbaar meer effect heeft op gedrag dan een jaarlijkse sessie.
Klaar voor grip op je data?
Zorgeloos werken met
Kom werken bij Solipsis
Aantoonbaar veilig
