Security Awareness Training: Verminder menselijke fouten en creëer een cyberveilige organisatie

Waarom mensen de zwakste én sterkste schakel zijn

De statistieken liegen er niet om: de Autoriteit Persoonsgegevens meldt dat de meeste datalekken in Nederland worden veroorzaakt door menselijke fouten, niet door hackers (Autoriteit Persoonsgegevens, 2022). In België is 43% van gemelde gegevensinbreuken te wijten aan menselijke fouten – meer dan het aandeel door hacking, phishing en malware samen (33%) (Gegevensbeschermingsautoriteit, 2023).

Toch kunnen mensen juist óók de eerste verdedigingslinie vormen als ze goed getraind zijn. "Het zijn primair de mensen die een organisatie veilig maken, niet de technologie," aldus een EU-expert. De cijfers bevestigen dit: onderzoek toont aan dat organisaties die investeren in security awareness training het 'phish-prone' percentage kunnen terugbrengen van gemiddeld 37,9% naar 4,7% binnen een jaar (KnowBe4, 2022).

Het ontwikkelen van een "security-first" cultuur – waarin iedereen cybersecurity als een natuurlijk onderdeel van het werk beschouwt – is daarom essentieel. Bewuste medewerkers herkennen phishingmails, gebruiken sterke wachtwoorden, melden verdachte situaties tijdig, en dragen zo actief bij aan de digitale weerbaarheid van de organisatie.

Terug naar boven

De fundamenten van een security-first cultuur

Een security-first cultuur betekent dat veiligheid bij alle processen en op alle niveaus voorop staat. Het is meer dan alleen een verzameling regels – het is een mentaliteit waarin iedereen in de organisatie "op dezelfde lijn zit" wat betreft cybersecurity.

Doorlopende educatie

Een security-first cultuur komt niet tot stand met een eenmalige actie of beleidsdocument. De NIS2-richtlijn vereist "continue aandacht voor bewustwordingsprogramma's en trainingen" (NCSC, 2023). Door regelmatig aandacht te besteden aan cyberveiligheid – bijvoorbeeld via maandelijkse tips, simulaties of gesprekken – blijft het onderwerp levend en top-of-mind bij medewerkers.

De cruciale rol van het management

Het voorbeeldgedrag en de steun van de bedrijfstop bepalen in hoge mate de cultuur. Bestuurders moeten actief uitdragen waarom digitale veiligheid essentieel is en duidelijk maken dat security een verantwoordelijkheid van iedereen is, niet alleen van IT. Concreet betekent dit:

• Leidinggevenden dienen het gesprek over veilig werken op de werkvloer te faciliteren
• De directie moet zelf de regels naleven ("lead by example")
• Security moet besproken worden in teammeetings en beoordelingsgesprekken

Fouten als leermomenten

Een cruciale pijler van een security-first cultuur is het creëren van een "no-blame" benadering: medewerkers die een fout maken of een incident melden, moeten voelen dat dit een leermoment is, geen aanleiding voor straf. Door incidenten open te bespreken en er lering uit te trekken, groeit de organisatie gezamenlijk in veiligheid.

"Maak van een incident een leermoment in plaats van een schuldvraag."

In een omgeving waar veilig gedrag de norm is, zullen trainingsinspanningen veel effectiever beklijven omdat de organisatie als geheel erop gericht is om "veilig werken" als de normale manier van werken te zien.

Terug naar boven

Verschillende methoden voor security awareness training

Security awareness trainingen komen in vele vormen. De traditionele jaarlijkse e-learning is inmiddels achterhaald; een afwisselende en doorlopende aanpak blijkt effectiever.

Vergelijking van trainingsmethoden

"Alleen bewustwording en kennisverwerving leiden niet per se tot veilig gedrag" (NCSC, 2022)

Frequentie en maatwerk

Belangrijker dan de precieze vorm is dat training aansluit bij de doelgroep en risico's. Een generieke awareness module "voor iedereen" heeft vaak minder impact – medewerkers haken af als voorbeelden niet herkenbaar zijn.

Een eenmalige training per jaar is meestal onvoldoende om gedrag blijvend te beïnvloeden. Het NCSC adviseert bewustwording continu te agenderen. Een praktisch uitgangspunt is om het hele jaar door aandacht te besteden aan verschillende thema's, bijvoorbeeld:

• Kwartaal 1: focus op phishing (workshops en simulaties)
• Kwartaal 2: wachtwoordbeheer (quiz en posteractie)
• Kwartaal 3: veilig thuiswerken
• Kwartaal 4: fysieke beveiliging en clean desk policy

De meest effectieve awareness programma's combineren meerdere methoden en stemmen deze af op specifieke risico's, doelgroepen en organisatiecultuur. Door variatie in aanpak blijft veiligheidsbewustzijn beter beklijven en wordt security een natuurlijk onderdeel van het werk.

Terug naar boven

Phishing-simulaties: leren door ervaren

Phishing-simulaties zijn een krachtig instrument binnen awareness-programma's. Hierbij verstuurt men een nagemaakte phishing-e-mail naar eigen medewerkers om te testen hoe zij reageren en om hen al doende te trainen in het herkennen van phishing.

Hoe werkt een phishingtest?

Organisaties gebruiken een dienst of tool die phishingmails nabootst. Als een medewerker op de link klikt, wordt hij/zij doorgestuurd naar een veilige landingspagina die uitlegt dat dit een test was en toont welke hints in de mail erop wezen dat het phishing was. Sommige organisaties voegen een vervolgtraining toe voor degenen die "gehapt" hebben.

Bewezen effectiviteit

Onderzoek laat zien dat herhaalde simulaties het klikgedrag drastisch kunnen verbeteren:

• Bij eerste tests is gemiddeld 70% van medewerkers vatbaar (klikt of geeft info)
• Na vijf gesimuleerde phishing-mails daalt dit tot single digit percentages
• Na een jaar training zakt het "phish-prone" percentage van bijna 38% naar 4,7% (KnowBe4, 2022)

Bovendien blijkt dat getrainde medewerkers veel sneller phishingpogingen gaan melden: in een onderzoek rapporteerde 82% van de geteste medewerkers een gesimuleerde phishingmail binnen 60 minuten.

Best practices voor phishing-simulaties

1. Voorkom een afrekencultuur: Phishingtests moeten als leermiddel dienen, niet als valstrik. Communiceer vooraf dat er simulaties plaatsvinden en benadruk het educatieve doel.
2. Betrek iedereen: Een klassieke fout is om directie of bepaalde afdelingen uit te zonderen. Juist het management moet meedoen – het "kan iedereen gebeuren".
3. Nabespreken en leren: Deel na elke simulatie geaggregeerde resultaten en herkenningspunten. Zo leren ook medewerkers die niet zelf geklikt hebben.
4. Varieer de scenario's: Herhaal phishing-simulaties regelmatig maar gebruik steeds wisselende tactieken. Begin relatief eenvoudig en maak de tests geleidelijk sluwer.
5. Meet zowel klikken als melden: Succes is niet alleen dat minder mensen klikken, maar ook dat méér mensen verdachte mails proactief melden aan security.
6. Wees voorzichtig met gevoelige thema's: Vermijd scenario's die als misplaatste grap kunnen overkomen of emoties onnodig bespelen.

Waarschuwing: Een bekend negatief voorbeeld was een bedrijf dat een phishingtest uitstuurde die een bonus of loonsverhoging beloofde – dit leidde tot grote verontwaardiging toen bleek dat het nep was.

Terug naar boven

Cyberbewustzijn per functie en rol

Niet alleen kantoorpersoneel, maar alle medewerkers hebben basiskennis nodig om veilig te kunnen werken in een digitale omgeving. We spreken hier van "cyberhygiëne": het geheel van goede gewoontes om veilig met systemen en data om te gaan.

Voor niet-technische medewerkers

Voor medewerkers in administratie, HR, marketing of productie ligt de nadruk op praktische basiskennis:

• Wachtwoordbeheer: Het belang van sterke, unieke wachtwoorden en gebruik van een wachtwoordmanager
• Phishing herkennen: Waarop te letten bij e-mails en berichten
• Updates en patches: Begrijpen dat updates cruciaal zijn om beveiligingslekken te dichten
• Fysieke beveiliging: Laptops locken bij weglopen, gevoelige documenten niet op printers laten slingeren
• Data classificatie: Weten welke informatie vertrouwelijk is en hoe die veilig te behandelen
• Incidentmelding: Waar en hoe meld je een phishingmail of een ransomware-scherm?

Voor IT-teams en technische rollen

Medewerkers in technische functies hebben vaak al meer cyberkennis, maar kunnen zich verder specialiseren:

• Incident Response training: Regelmatig oefenen hoe te reageren op cyberincidenten
• Threat hunting & monitoring: Training in het gebruik van SIEM-tools en herkennen van afwijkende patronen
• Secure coding: Voor ontwikkelaars, training in beveiligde codeermethoden en security by design
• Forensics: Basis digitale forensische technieken om bij incidenten sporen te behouden
• Cloud security: Training in het veilig configureren van cloudomgevingen

BYOD en IoT-awareness

In veel organisaties gebruiken medewerkers eigen smartphones of laptops voor werkdoeleinden. Dit creëert extra risico's die aandacht vereisen:

• Verplicht een pincode of biometrie op eigen apparaten met werkgegevens
• Installeer verplichte bedrijfsapps (MDM) en geen ongeautoriseerde apps
• Plaats IoT-apparaten op een apart netwerk en wijzig standaard wachtwoorden

Door voor elke doelgroep passende training aan te bieden, borg je dat op ieder niveau de juiste kennis en vaardigheden aanwezig zijn om cyberdreigingen het hoofd te bieden.

Terug naar boven

Gamification: leren door spel

Gamification, het inzetten van spelelementen in trainingen, verhoogt de betrokkenheid en maakt leren leuker. In plaats van saaie verplichte kost wordt security training een interactieve ervaring waar medewerkers actief aan deelnemen.

Waarom werkt gamification?

Mensen zijn van nature competitief en nieuwsgierig. Door elementen als punten, badges, levels, tijdslimieten of ranglijsten toe te voegen, prikkel je die eigenschappen. Medewerkers zullen eerder geneigd zijn deel te nemen aan een game-achtige activiteit dan aan een droge meerkeuzetoets.

Voorbeelden van gamification

• Capture the Flag (CTF): Teams moeten een reeks cybersecurity-uitdagingen oplossen en verdienen punten voor elke "flag" (CTFtime, 2023)
• Cyber Escape Room: Medewerkers moeten puzzels met een security-tintje oplossen om "te ontsnappen"
• Quiz-battles: Live competities waarbij teams via smartphones vragen beantwoorden
• Cybersecurity bordspellen: Fysieke spellen waarbij teams security-incidenten moeten managen

Bewezen resultaten

Onderzoek bevestigt dat gamification niet alleen leuk is, maar ook meetbare leerwinst oplevert:

• Een studie naar een "Cyber Shield Game" toonde aan dat het spel de security awareness significant verhoogde (Serious Games Society, 2022)
• In het experiment "Phish Derby" verdienden medewerkers punten door phishing-mails te rapporteren, met als resultaat snellere en alertere reacties
• Systematische literatuurstudies tonen aan dat gamified elementen consequent zorgen voor hogere kennis, meer engagement en positieve gedragsveranderingen

Een bijkomend voordeel: via games kun je informeel feedback verzamelen. Als je bijvoorbeeld ziet op welke vragen veel mensen fout antwoorden, kun je die inzichten gebruiken om je awareness-programma bij te sturen.

Terug naar boven

Gedragspsychologie in cybersecurity

Om effectief menselijk gedrag te veranderen, moeten we begrijpen waarom mensen fouten maken. Vaak is het níet omdat medewerkers onverschillig zijn, maar spelen psychologische factoren een grote rol.

Typische redenen voor fouten

• Stress en vermoeidheid: Een vermoeide medewerker klikt eerder onbezonnen op een link
• Gewoontegedrag: Mensen kiezen vaak de weg van de minste weerstand
• Onwetendheid: Sommige medewerkers beseffen de risico's simpelweg niet
• Cognitieve biases: Mensen zijn vatbaar voor social engineering die inspeelt op emoties
• Technologie-overdaad: Te complexe security-procedures leiden tot "security fatigue"

"We zijn niet de rationele wezens die we denken te zijn." (NCSC, 2022)

Nudging: subtiele gedragsbeïnvloeding

Gezien deze factoren is het belangrijk de werkomgeving zo in te richten dat veilig gedrag de gemakkelijke keuze wordt. Dit is het principe van "nudging":

1. Standaardinstellingen veilig maken: Zorg dat defaults veilig zijn, zoals MFA standaard ingeschakeld
2. Voorzien in hulpmiddelen: Maak veilig gedrag makkelijk, bijvoorbeeld door een wachtwoordmanager aan te bieden
3. Positieve bekrachtiging: Benoem liever "80% doet het goed" dan "20% doet het fout"
4. Mens als oplossing benaderen: Zie medewerkers als partners in security, niet als zwakke schakels

Praktische toepassingen

• No-blame cultuur: Zorg dat medewerkers fouten durven melden zonder angst voor sancties
• Integratie in HR-processen: Neem veilig werken mee in functioneringsgesprekken
• Peer influence: Creëer security champions die als voorbeeld dienen
• Herinneringen en nudges: Gebruik visuele cues zoals posters of pop-ups

Door een omgeving te scheppen waar mensen zich bewust zijn van risico's, zich gesteund voelen om het juiste te doen, en leren van kleine missers, wordt veilig gedrag geleidelijk de "path of least resistance" en daarmee de norm.

Terug naar boven

Best practices voor een effectief security awareness programma

Het opzetten van een effectief bewustwordingsprogramma vereist een integrale aanpak. Hier zijn de bewezen best practices:

1. Onderbouw met risicoanalyse

Begin niet willekeurig met posters of trainingen, maar bepaal welke risico's het belangrijkst zijn voor jouw organisatie. Koppel het programma aan de uitkomsten van een risicoanalyse. Als onbevoegde toegang en datalekken de top-risico's zijn, focus dan op wachtwoordbeveiliging en veilig datagebruik.

2. Meet voortgang met KPI's

"Meten is weten, ook hier." Zonder metingen weet je niet of activiteiten effect hebben. Doe een nulmeting en bepaal KPI's zoals:

• Phishing-klikpercentage
• Meldingsgraad van incidenten
• Scores in kennistoetsen
• Aantal datalekken door menselijke fouten

3. Maak het een continu proces

Maak van awareness geen eenmalige campagne maar een doorlopend veranderprogramma. Verspreid inspanningen over het jaar en plan regelmatige touchpoints. Herhaling is cruciaal: gedrag verandert niet van de ene dag op de andere.

4. Zorg voor steun van boven en onder

Zorg voor zichtbare steun van het management zodat iedereen weet dat het serieus is. Creëer tegelijkertijd bottom-up betrokkenheid door security ambassadors of een werkgroep samen te stellen met mensen uit verschillende teams.

5. Integreer met bestaande processen

Laat security awareness niet in een silo zitten. Neem het op in onboardingprogramma's, werkoverleggen, en bestaande initiatieven op gebied van kwaliteit of compliance. Als veiligheid onderdeel wordt van "hoe we hier werken", is het veel effectiever.

6. Varieer maar houd kernboodschappen consistent

Gebruik verschillende formats – infographics, quizzen, video's – maar houd de kernboodschappen consistent. Beter vijf variaties rond hetzelfde thema dan vijf verschillende onderwerpen oppervlakkig behandelen.

7. Maak het relevant voor de doelgroep

Stem content af op verschillende afdelingen en functies. Vermijd jargon voor niet-IT'ers en gebruik voorbeelden die aansluiten bij hun dagelijks werk. Zoals het NCSC zegt: "Generieke campagnes hebben doorgaans weinig impact."

8. Houd het behapbaar

Overlaad mensen niet met te veel informatie in één keer. Beter elke maand 5 minuten microlearning dan jaarlijks een urenlange klassikale sessie waarbij de helft afhaakt.

9. Benut gedragswetenschap

Laat je programma ontwerpen of toetsen door iemand met kennis van gedragspsychologie. Gebruik principes als social proof ("90% van je collega's heeft de training al gedaan") en maak veilig gedrag de makkelijke optie.

10. Leer van incidenten

Zet mechanismen op om lessons learned uit incidenten terug te koppelen. Deel ieder kwartaal (geanonimiseerd) wat er is gebeurd en wat ervan geleerd is. Creëer een cultuur waarin "fouten maken mag, er niets van leren niet."

Terug naar boven

Praktijkvoorbeeld: Van bewustwording naar gedragsverandering

Een grote Nederlandse organisatie ontdekte dat hun traditionele aanpak (jaarlijks een algemene awarenessmodule) weinig effect sorteerde. Medewerkers zagen awareness als een verplicht nummer en het klikgedrag bij phishingtests verbeterde niet.

De CISO besloot het roer om te gooien. Samen met bestuur en afdelingsmanagers werd een grondige risico-inventarisatie uitgevoerd, die ongeveer 20 scenario's opleverde die de organisatie zouden kunnen schaden. Hieruit selecteerde men vijf scenario's waar menselijk handelen cruciaal was, waarvan drie als bijzonder urgent:

1. Voorkomen van onbevoegde toegang
2. Veilig versturen van vertrouwelijke data
3. Juiste omgang met klantgegevens in CRM

Het nieuwe awarenessprogramma werd specifiek rondom deze drie kernthema's opgebouwd. Men schakelde een gedragsdeskundige in en organiseerde interactieve sessies waar medewerkers veilige gedragingen konden oefenen met rollenspellen.

De resultaten na een jaar waren indrukwekkend:

• Het aantal onbevoegden dat zonder controle werd binnengelaten tijdens mystery tests daalde drastisch
• De waardering van het awarenessprogramma door medewerkers steeg significant
• Medewerkers herkenden de onderwerpen als echte risico's uit hun eigen werk

Deze case toont aan dat een aanpak gericht op specifieke risico's en interactieve leervormen veel effectiever is dan een generieke one-size-fits-all benadering.

Terug naar boven

Zo begin je morgen met security awareness

Geïnspireerd om aan de slag te gaan? Hier zijn praktische stappen om te starten:

Stap 1: Leg de basis intern

• Krijg management buy-in door de business case duidelijk te maken
• Identificeer een programma-eigenaar (vaak de CISO of security officer)
• Stel een kernteam samen (IT/security + Communicatie + HR)
• Formuleer duidelijke doelstellingen en verzamel een nulmeting

Stap 2: Ontwerp je programma

• Kies 3-5 key risico-thema's op basis van een risicoanalyse
• Maak een jaarplanning met diverse interventies
• Schrijf een communicatiestrategie uit
• Gebruik ENISA's Awareness Raising "AR-in-a-Box" toolkit als leidraad (ENISA, 2023)

Stap 3: Benut beschikbare resources

• Gebruik materiaal van het NCSC-NL, zoals de publicatie "Voorbij de e-learning" (NCSC, 2022)
• Bekijk resources van de Cyber Security Coalition (België) (Cyber Security Coalition, 2023)
• Overweeg samenwerking met commerciële aanbieders voor specifieke onderdelen

Stap 4: Start klein en schaal op

• Begin met een pilot in één afdeling of met één type activiteit
• Verzamel feedback en leer van de resultaten
• Verbeter voortdurend op basis van metingen

Stap 5: Haak in op bestaande initiatieven

• Benut de European Cybersecurity Month (oktober) (European Commission, 2023)
• Gebruik kant-en-klare materialen en slogans van nationale campagnes

Gratis resources om direct te gebruiken

• ENISA Awareness Raising "AR-in-a-Box"
• NCSC-NL publicaties en factsheets
• Cybersecurity Coalition BE - Cyber Security Kit
• OWASP Security Culture Cheat Sheet (OWASP, 2023)
• CISA Stop-Think-Connect Toolkit (Engelstalig maar universeel bruikbaar) (CISA, 2023)

Begin vandaag nog – cybersecurity awareness opbouwen is een traject van lange adem, maar elke stap, hoe klein ook, is vooruitgang ten opzichte van niets doen.

Terug naar boven

Checklist: Is jouw organisatie klaar voor security awareness?

Gebruik deze checklist om te bepalen waar je staat en wat je volgende stappen moeten zijn:

• We hebben een actuele risicoanalyse die specifieke menselijke risicofactoren identificeert
• Er is een duidelijke eigenaar voor het security awareness programma
• We meten regelmatig het security-bewustzijn en -gedrag in de organisatie
• Ons management toont zichtbare steun voor security awareness
• We hebben een jaarplan voor security awareness met gevarieerde activiteiten
• Security awareness is geïntegreerd in onboarding en functieprofielen
• We hebben een duidelijk incidentmeldingsproces dat bekend is bij alle medewerkers
• Medewerkers worden regelmatig getraind in het herkennen van phishing
• We hebben op maat gemaakte training voor verschillende afdelingen/functies
• We evalueren regelmatig de effectiviteit van onze awareness-activiteiten
• Er is een no-blame cultuur waarin medewerkers veilig incidenten kunnen melden
• We leren als organisatie van security-incidenten en delen deze lessen

Hoe meer vinkjes, hoe beter je organisatie op weg is naar een security-first cultuur. Ontbrekende elementen vormen je actiepunten voor de komende periode.

Terug naar boven

Veelgestelde vragen over security awareness training

Hoe vaak moet security awareness training plaatsvinden?

Security awareness is geen eenmalige activiteit maar een doorlopend proces. Eén jaarlijkse training is onvoldoende. Effectievere benaderingen omvatten maandelijkse microtrainingen, kwartaalupgrades en regelmatige phishing-simulaties. De frequentie moet hoog genoeg zijn om security top-of-mind te houden, zonder medewerkers te overladen.

Zijn phishing-simulaties niet onethisch tegenover medewerkers?

Wanneer correct uitgevoerd, zijn phishing-simulaties een waardevol leerinstrument. De sleutel is transparantie over het doel (leren, niet straffen), vermijden van emotioneel beladen scenario's, en het bieden van constructieve feedback. Informeer medewerkers vooraf dat er simulaties kunnen plaatsvinden als onderdeel van het leerproces.

Hoe meet je het succes van een awareness programma?

Gebruik een combinatie van meetpunten zoals:

• Klikpercentage bij phishing-simulaties (en verbetering over tijd)
• Percentage medewerkers dat verdachte mails meldt
• Scores op kennistests
• Aantal security-incidenten door menselijk handelen
• Vragenlijsten over veiligheidscultuur en -perceptie

Wat als medewerkers security-maatregelen als hinderlijk ervaren?

Dit is een veelvoorkomend probleem. Drie strategieën helpen hierbij:

1. Maak het "waarom" duidelijk met concrete voorbeelden
2. Betrek medewerkers bij het ontwerpen van security-processen
3. Zorg voor gebruiksvriendelijke tools die veilig gedrag makkelijker maken dan onveilig gedrag

Welke security awareness training heeft de grootste impact?

De meest effectieve trainingen zijn:

• Op maat gemaakt voor specifieke doelgroepen en risico's
• Interactief en praktijkgericht
• Doorlopend met regelmatige herhaling
• Ingebed in de bredere security-cultuur
• Ondersteund door zichtbaar management

Moeten we security awareness inhuren of zelf ontwikkelen?

Dit hangt af van je middelen en expertise. Veel organisaties kiezen voor een hybride aanpak: gebruik commerciële oplossingen voor de basis (zoals e-learning platforms en phishing-simulaties), maar personaliseer de inhoud met eigen scenario's en breng-eigen-organisatie-context in. Zorg in alle gevallen dat het programma past bij jouw specifieke risico's en cultuur.

Hoe krijg ik het management mee in security awareness?

Frame security awareness als een business issue, niet als een IT-probleem (Gartner, 2022). Toon de financiële impact van incidenten en reputatieschade. Gebruik benchmarks en compliance-vereisten (zoals NIS2) om de noodzaak te onderbouwen (European Commission, 2022). Betrek directieleden in phishing-tests en awareness-activiteiten om hen persoonlijk te laten ervaren hoe belangrijk het is.

Terug naar boven

Bronnenlijst

• Autoriteit Persoonsgegevens. (2022). Meldplicht datalekken: overzicht meldingen 2021.
• CISA. (2023). Stop-Think-Connect Toolkit.
• Cyber Security Coalition. (2023). Cyber Security Kit.
• Serious Games Society. (2022). Effectiviteit van de Cyber Shield Game voor security awareness.
• CTFtime. (2023). CTF (Capture The Flag) Events.
• European Commission. (2023). European Cybersecurity Month.
• ENISA. (2023). Awareness Raising AR-in-a-Box.
• Gartner. (2022). Build a Successful Security Awareness Program.
• Gegevensbeschermingsautoriteit. (2023). Jaarverslag 2022.
• KnowBe4. (2022). Phishing By Industry Benchmarking Report.
• KnowBe4. (2022). 2022 Phishing By Industry Benchmarking Report.
• NCSC. (2022). Voorbij e-learnings: effectief gedrag aanleren.
• NCSC. (2022). Factsheet Cybersecuritygedrag.
• NCSC. (2022). Handreiking gedragsbepalende factoren voor digitaal veilig gedrag.
• NCSC. (2023). NIS2: impact en implicaties.
• European Commission. (2022). NIS2 Directive.
• OWASP. (2023). Security Culture Cheat Sheet.